JP2008097484A - ログ管理システムおよびフォレンジック調査方法 - Google Patents

Abstract

【課題】
ログとして取得するファイルの管理を容易化し、インシデント発生後に迅速に調査が可能なログ管理システムを提供する。
【解決手段】
クライアント１００にコンピュータ上で発生するイベントを監視しイベントログを出力する監視プログラム１０１と、イベントに関連するファイルを保全し実ファイルログを出力する保全プログラム１０２とを設置する。保全プログラム１０２が、対ファイルを複製する時に、そのファイルのファイル内容からその特徴値を算出し、監視プログラム１０１が、イベントログにファイルの特徴値を記録する。サーバ１１０は、ログを回収、検索する回収プログラム１１１と検索プログラム１１２とを備える。プログラム１１２が、記録された特徴値と、実ファイルログに格納される実ファイルのファイル名とを比較することで、イベントログと実ファイルログとを関連付け、検索結果を表示する。
【選択図】図１

Description

本発明は、業務を遂行するための利用者端末を対象に、情報漏洩などのインシデント発生後に迅速かつ効率的に調査可能なログ管理技術に関する。

近年ＩＴの普及やＩＴを利用して業務を遂行する機会の増加により、個人情報や財務データなどを対象にＩＴを使って作成し蓄積することが行われている。それに伴い、犯行手段の一つとしてＩＴを利用する機会も増加し、その結果、ＩＴを使った犯行を対象とする調査の重要性が増しており、「コンピュータフォレンジック」と呼ばれる調査技術が知られるようになっている。

コンピュータフォレンジックでは、特許文献１にあるように、ネットワークを経由して安全にサーバからクライアントの完全なイメージを証拠として保全する。しかし、例えば証拠隠滅のためにファイルを完全削除された場合には、いくら完全なイメージを保全したとしても調査を行うことができなくなる。そのため、日常的にログを取得しておくことも重要であると言える。

このような日常的に取得するログには、いくつかの種類があるが、特許文献２によれば、印刷データを全てサーバ経由で印刷して印刷ログを取得し、印刷データおよび印刷ログを蓄積保管し、情報漏洩が起きたときに追跡できるようにしている。このようにログとして実ファイルまで取得し保管するためには、ファイル管理が必要となる。

ログとして取得する実ファイルの管理に関し、特許文献３のファイル管理システムによると、新規にファイルを登録する場合に、すでに登録済みのファイルと同名であるかどうか、内容が一致するかどうかを調べた後に、利用されていない新たなＩＤを割り振るというファイル登録処理を行い、管理している。

Ｐａｔｅｎｔ Ｎｏ．ＵＳ６７９２５４５ 特開２００３−３３０６７７号公報 特開２００２−９９４５４号公報

しかしながら、特許文献３に開示されているファイル管理システムでは、クライアントとサーバが常に通信し合い、クライアントで扱うファイルをサーバでリアルタイムに集中管理するシステム構成が想定されており、クライアントとサーバが常に通信し合うとは限らない環境、例えば、クライアントが個別に実ファイルをログとして取得し、定期的あるいは不定期にサーバに一括してファイルを転送するというシステム構成のことは想定されていなかった。

そこで、本発明の目的は、ログとして取得するファイルの管理を容易化し、省スペース化を図ると共に、インシデント発生後に迅速に調査が可能なログ管理システムおよびフォレンジック調査方法を提供することにある。

本発明は、クライアントで発生するイベントを監視し、イベントに関連するファイルを含めたログをサーバで管理するログ管理システムとして、クライアントは、イベントを監視し、イベントログを出力するイベント監視部と、イベントに関連するファイルを保全し、実ファイルログを出力するファイル保全部とを有し、このファイル保全部は、ファイル名が同じであるが内容の異なるファイルを別々のファイルとして管理すると共に、等しい内容を持つファイルを単一のファイルとして扱い、サーバは、これらイベントログと実ファイルログをサーバに回収するログ回収部と、回収したイベントログと実ファイルログを検索するログ検索部とを有し、このログ検索部は、ファイル名が同じであるが内容の異なるファイルをイベントログと関連付けて別のファイルとして検索結果を出力し、等しい内容を持つファイルをイベントログと関連付けて別のファイルとして検索結果を出力するログ管理システムを提供する。

また、本発明は、クライアントのコンピュータで発生するイベントを、イベントに関連するファイルを含めてログとし、ログをサーバで集中管理するログ管理システムを用いたフォレンジック調査方法であって、ログ管理システムは、
発生したイベントを時系列に記録した結果を保存するイベントログ保存部と、イベントに関連するファイルを実ファイルログとして保存する実ファイルログ保存部と、イベントログと実ファイルログとを検索するログ検索部とを有し、このログ検索部を用いてインシデントに関係するイベントを絞り込むことによってフォレンジック調査を実行するフォレンジック調査方法を提供する。

更に、このフォレンジック調査方法において、ログ管理システムに、コンピュータ上のメモリ領域および記憶領域をビット単位でフォレンジックイメージとして取得して保全するフォレンジックイメージ保全部と、フォレンジックイメージを解析するフォレンジック解析部を追加して設置し、ログ検索部を用いてインシデントに関係するイベントを絞り込み、絞り込まれたイベントに関連する前記フォレンジックイメージをフォレンジック解析部で解析するフォレンジック調査方法を提供する。

更にまた、このフォレンジック調査方法において、ログ管理システムに、物理的な監視を行い監視結果を記録するフィジカル監視部と、監視結果を検索するフィジカルログ検索部を追加設置し、ログ検索部を用いてインシデントに関係するイベントを絞り込み、絞り込まれたイベントに関連する監視結果をこのフィジカルログ検索部で検索するフォレンジック調査方法を提供する。

本発明によれば、ログとして取得する実ファイルについて、同一ファイル名でも内容の異なる場合には個別に管理し、さらには等しい内容を持つファイルを単一のファイルとして扱うファイル管理を容易化し、省スペース化を図ることができる。

本発明により、例えばクライアントでファイルが完全削除され証拠隠滅されたとしても、何のファイルを削除したのかをイベントログおよび実ファイルログの両方を使って効率的にフォレンジック調査することができる。

以下、本発明の実施形態について、適宜、図面を参照しながら詳しく説明する。

図１は、本発明の第一の実施例に係るログ管理システムの全体構成を示した図である。図１に示すように、ログ管理システム１は、クライアント１００（クライアント１００ａおよび１００ｂ）、ログ管理サーバ１１０を含んで構成され、クライアント１００ａおよび１００ｂ、ログ管理サーバ１１０は、ネットワーク１２５を介して接続される。クライアント１００ａはユーザ１３０ａが使用し、前記クライアント１００ｂはユーザ１３０ｂが使用する端末であり、またログ管理サーバ１１０は管理者１３１が使用する端末である。なお、クライアント１００ａを利用する者がユーザ１３０ａであると識別することは、図示していないクライアント１００ａの持つ識別・認証プログラムによって実現される。

ログ管理システム１には、ファイルサーバ１２１、プリンタ１２２、メールサーバ１２３、プロキシサーバ１２４も接続されており、これらはクライアント１００ａや１００ｂと通信することで、ユーザ１３０ａおよび１３０ｂが業務を遂行するものである。また、クライアント１００ａおよび１００ｂはネットワーク１２５に常時接続しているとは限らず、必要に応じてネットワークから切断されることがあっても良い。更に、フォレンジックサーバ１４０とカメラ１５０もログ管理システム１に接続されているが、これらは第一の実施例では使用されず、第二の実施例において使用される。

クライアント１００ａと１００ｂ上では、イベント監視プログラム１０１、ファイル保全プログラム１０２がそれぞれ動作し、クライアント１００ａと１００ｂで発生するファイル削除などのイベントを監視し、それに伴うログを出力する。またクライアント１００ａと１００ｂは、イベントログＤＢ１０３、特徴値リストＤＢ１０４、実ファイルログＤＢ１０５、設定情報ＤＢ１０６を保持する。なお、フォレンジックエージェントプログラム１０７についても第一の実施例では使用しない。

またログ管理サーバ１１０上では、ログ回収プログラム１１１、ログ検索プログラム１１２が動作し、クライアント１００ａおよび１００ｂで出力したログを回収すると共に、管理者１３１がログを検索するためのインタフェースを提供する。またログ管理サーバ１１０は、イベントログＤＢ１１３、特徴値リストＤＢ１１４、実ファイルログＤＢ１１５、設定情報ＤＢ１１６、監視対象ＤＢ１１７を保持する。

図２は、本実施例に係るクライアント１００の一例のブロック構成を示した図である。図２に示すように、クライアント１００は、中央処理部（ＣＰＵ）２０１、メモリ２０２、記憶装置２０３、通信部２０４、表示部２０５、操作部２０６、可搬媒体接続部２０７などを含み、さらにそれらがバス２０８を介して相互に接続されて構成されたコンピュータからなる。

ここで、メモリ２０２は、半導体メモリのＲＡＭ（Ｒａｎｄｏｍ
Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などで構成され、ＣＰＵ２０１が実行するプログラムがロードされる。記憶装置２０３は、電源をオフにしても記憶されたデータが保存されるハードディスクなどによって構成される。本明細書において、メモリ２０２と記憶装置２０３は記憶部と総称される場合がある。通信部２０４は、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ
Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）や独自のプロトコルなどを利用し、イーサネット（登録商標）や無線ローカルエリアネットワーク（ＬＡＮ）などによるネットワーク１２５を介して、ログ管理サーバ１１０などと通信する装置によって構成される。表示部２０５は、ＬＣＤ（Ｌｉｑｕｉｄ
Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）などで構成され、ＣＰＵ２０１が処理した結果などを表示する装置である。操作部２０６は、キーボードやマウスなどの入力装置によって構成される。可搬媒体接続部２０７は、ＵＳＢフラッシュメモリを接続するためのＵＳＢインタフェースや、ＣＤ−ＲやＤＶＤ−Ｒへの書き込みを行うためのディスクドライブなどで構成される。

以上のように構成されたクライアント１００は、さらに、イベント監視プログラム１０１、ファイル保全プログラム１０２などの機能ブロックを備える。これらの機能ブロックの機能は、ＣＰＵ２０１が記憶装置２０３から所定のプログラムを前記メモリ２０２にロードし、実行することによって実現される。
また、これら所定のプログラムは、可搬媒体から可搬媒体接続部２０７を介して、或いはネットワーク１２５から通信部２０４を介してクライアント１００の記憶部に導入される場合もある。これらの機能ブロックの機能として、ＣＰＵ２０１が実行する処理の詳細について、後述する図６を用いて説明する。また、記憶装置２０３には、前記イベントログＤＢ１０３、特徴値リストＤＢ１０４、実ファイルログＤＢ１０５、設定情報ＤＢ１０６を保持するが、これらの詳細について、後述する図３と図４を用いて説明する。

また図示していないが、ログ管理サーバ１１０のブロック構成も図２と同様のものとなるが、可搬媒体接続部２０７は必ずしも含まなくて良い。さらに、ログ管理サーバ１１０は、ログ回収プログラム１１１、ログ検索プログラム１１２などの機能ブロックを備える。これらの機能ブロックの機能は、ログ管理サーバ１１０内のＣＰＵが記憶部に記憶された所定のプログラムを実行することによって実現される。これら所定のプログラムは、ネットワーク１２５や可搬媒体を介して記憶部に導入される場合もあることは上述の通りである。

これらの機能ブロックの処理の詳細について、後述する図７と図８を用いて説明する。また、記憶装置２０３には、イベントログＤＢ１１３、特徴値リストＤＢ１１４、実ファイルログＤＢ１１５、設定情報ＤＢ１１６、監視対象ＤＢ１１７を保持するが、これらの詳細について、図３と図４を用いて説明する。

さて、図３は、イベントログＤＢ１０３および１１３、特徴値リストＤＢ１０４および１１４、実ファイルログＤＢ１０５および１１５を示した図である。図３の（ａ）に示すように、イベントログＤＢ１０３および１１３は、列に日時３０１、マシンＩＤ３０２、ユーザＩＤ３０３、イベント３０４、ドライブ情報３０５、パス３０６、ファイル名３０７、ファイル種別３０８、特徴値３０９、予備３１０を持つ、０個以上の行からなるテーブルの構成をとる。

図３の（ｂ）に示すように、特徴値リストＤＢ１０４および１１４は、ファイルの特徴値３３０を１行当たり１個記載している、０個以上の特徴値からなる単一ファイルである。図３の（ｃ）に示すように、実ファイルログＤＢ１０５および１１５は、ファイル内容３２１を持ちファイル名３２０で一意に識別される実ファイルを、０個以上保持するフォルダである。

図４は、設定情報ＤＢ１０６および１１６と、監視対象ＤＢ１１７を示した図である。図４の（ａ）に示すように、設定情報ＤＢ１０６および１１６は、対象イベントテーブル４００と対象ファイルテーブル４１０とからなる。対象イベントテーブル４００は、列に対象イベント４０１と取得フラグ４０２を持つ、０個以上の行からなるテーブルの構成をとる。また、対象ファイルテーブル４１０は、列に対象ファイル種別４１１、マジックナンバ４１２、取得フラグ４１３を持つ、０個以上の行からなるテーブルの構成をとる。

図４の（ｂ）に示すように、監視対象ＤＢ１１７は、監視対象とするクライアントの識別子４２０を１行当たり１個記載している、０個以上のクライアントの識別子からなる単一ファイルである。なお、識別子４２０としては、クライアント１００に割り当てたマシン名、ＩＰアドレス、ＭＡＣアドレスほか、クライアント１００を一意に特定可能な情報のうちのいずれか１つであれば良い。図３の（ａ）に示したイベントログＤＢ１０３および１１３の列のうち、マシンＩＤ３０２には監視対象ＤＢ１１７の識別子４２０を格納する。これにより、マシンＩＤ３０２を見れば、クライアント１００を一意に特定することができる。

また図３の（ａ）のイベント３０４には、対象イベントテーブル４００の対象イベント４０１の列のうちのいずれか一つの対象イベントを格納する。このような対象イベント４０１には、次に示すものがあるが、これだけに限らない。
（１）削除
・ファイル削除
（２）エクスポート
・印刷
・可搬記録媒体（ＵＳＢメモリ、ＣＤ−Ｒ、ＤＶＤ−Ｒなど）への書き出し
・メールに添付し送信
・ネットワークファイル共有でのアップロード
・Webブラウザでのアップロード
・ネットワークプログラム（ＦＴＰなど）でのアップロード
（３）インポート
・可搬記録媒体（ＵＳＢメモリ、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ）からの読み込み
・メール添付されたファイルの保存
・ネットワークファイル共有でのダウンロード
・Webブラウザでのダウンロード
・ネットワークプログラム（ＦＴＰなど）でのダウンロード
（４）設定変更
・レジストリ変更
・設定ファイル変更
またドライブ情報３０５には「固定ディスク」「リムーバブルディスク」「ネットワークドライブ」「ＣＤ−ＲＯＭドライブ」「ＲＡＭディスク」のいずれか一つを格納する。またファイル種別３０８には、対象ファイル種別テーブル４１１の対象ファイル種別４１１の列のうちいずれか一つのファイル種別を格納する。

更に、図３の（ａ）特徴値３０９にはファイルの特徴値を格納するが、本特徴値の算出については、ファイルの詳細構造を示した図５を用いて詳細に説明する。
図５において、ファイルは、ファイル管理情報５０１とファイル内容３２１とで構成され、ファイル管理情報５０１の保持する情報の一つに上述したファイル名３２０が含まれる。ファイル内容３２１の先頭の数バイト（一般的には４バイトあるいは８バイト）は、ファイルの種別ごとに決まっているマジックナンバ５０２である。また、ファイル内容３２１の一部には、例えばワープロファイルやスプレッドシートファイルやプレゼンテーションファイルなどの場合に、メタデータ５０３と呼ばれるデータを含む場合がある。

上述の特徴値３０９は、図５で示すファイルの詳細構造のうち、例えばファイル内容３２１をＳＨＡ（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ）１やＭＤ（Ｍｅｓｓａｇｅ Ｄｉｇｅｓｔ）５などのハッシュ関数の入力とし、その出力として得られた値を用いる。これにより、ファイル名３２０が変更されたとしても、特徴値３０９は変わらないものとなる。このような特徴値３０９の算出方法によると、例えばワープロファイルをオープンし、一文字追加し同じ文字を削除し保存した場合には、メタデータ５０３に含まれる改定番号が変更されるために、ファイルサイズや見た目は変わらないが、特徴値３０９は変更されてしまう。

あるいは特徴値３０９として、例えばファイル内容３２１から前記メタデータ５０３を除いた部分をＳＨＡ１やＭＤ５などのハッシュ関数の入力とし、その出力として得られた値を用いても良い。このような特徴値３０９の算出方法によると、例えばワープロファイルをオープンし、一文字追加し同じ文字を削除し保存した場合にも、特徴値３０９は変わらないものとなる。

また図４の（ａ）に示した対象ファイル種別テーブル４１１に含まれるマジックナンバ４１２は、図５に示したファイルの詳細構造のうち、ファイル内容３２１の先頭の数バイトであるマジックナンバ５０２を表すものである。

以上、ログ管理システム１のシステム構成およびデータ構造を説明してきたが、続いてイベント監視プログラム１０１、ファイル保全プログラム１０２、ログ回収プログラム１１１、ログ検索プログラム１１１それぞれの詳細な処理フローの一実施例を図面を用いて説明する。

図６は、クライアント１００で動作するイベント監視プログラム１０１とファイル保全プログラム１０２の詳細な処理フローの一実施例を示したものである。

イベント監視プログラム１０１は、ログ出力処理を開始すると、ステップ６０１において、設定情報ＤＢ１０６の対象イベントテーブル４００を参照し、取得フラグ４０２がＯＮとなっている対象イベント４０１の全てを監視する。このとき、対象イベントを検出した場合には、どのファイルに対するイベントであるかも検出する。

つぎにステップ６０２において、ステップ６０１で検出したファイルが、取得対象であるかどうかを設定情報ＤＢ１０６の対象ファイル種別テーブル４１０を参照して行う。ファイルは図５で説明したように、そのファイル内容３２１の先頭の数バイトにはマジックナンバ５０２と呼ばれるファイルの種別ごとに決められた値が格納されている。マジックナンバ５０２を見つけ、対象ファイル種別テーブル４１０のマジックナンバ４１２の列にあるものと一致するかどうかを調べる。さらに一致した場合には、取得フラグ４１３がＯＮであるかどうかを調べる。このようにして取得対象であるかどうかを判定する。もし取得対象でないならば、ステップ６０１に戻る。取得対象ならば次のステップ６０３に進む。

ステップ６０３では、ステップ６０１で検出したイベントに応じて分岐を行う。もし、イベントが（１）削除、（２）エクスポートである場合には、次のステップ６０４に進む。もしイベントが（３）インポート、（４）設定変更である場合には、次のステップ６０５に進む。

ステップ６０４では、ステップ６０１で検出したイベントを一時的にロックする。これにより、削除やエクスポートしようとするイベントに対し、ファイルがクライアント１００上に存在するように保全してから、ファイル保全プログラムのステップ６０６に進む。

一方、ステップ６０５では、ステップ６０１で検出したイベントが完了するまで待機する。これにより、インポートや設定変更をおこなうイベントに対し、ファイルがクライアント１００上に存在するようにしてから、ファイル保全プログラムのステップ６０６に進む。

ステップ６０６では、ファイル保全プログラム１０２が、ファイルの特徴値を算出する。ファイルは図５で説明したように、ファイル管理情報５０１とファイル内容３２１とから構成されるが、特徴値はファイル管理情報５０１を除いて算出する。ステップ６０７では、ステップ６０６で算出した特徴値が、特徴値リスト１０４にあるかどうかを調べる。もし特徴値リスト１０４にあるならば、イベント監視プログラムのステップ６１０に進む。もし特徴値リスト１０４にないならば、次のステップ６０８に進む。

ステップ６０８では、ステップ６０６で特徴値を算出したファイルをコピーし、実ファイルログＤＢ１０５に複製を作る。さらに、複製したファイルのファイル名３２０を、ステップ６０６で算出した特徴値の文字列に変更する。ステップ６０９では、ステップ６０６で算出した特徴値を、特徴値リストＤＢ１０４に追加する。

ステップ６１０では、再びイベント監視プログラム１０１の処理に戻り、ステップ６０４でロックしたイベントの処理を解除する。ステップ６１１では、イベントログＤＢ１０３にイベントログを出力する。なお、図３の（ａ）に示したイベントログＤＢ１０３の列の一つである予備３１０には、例えば以下に示す情報を格納する。
・印刷の場合には、プリンタ名や印刷枚数など
・メールに添付し送信の場合には、宛先メールアドレスなど
・Ｗｅｂブラウザでアップロードの場合には、接続していたＵＲＬなど
・ＵＳＢフラッシュメモリ等の可搬記録媒体への書き出しの場合には、そのシリアル番号など
・ネットワーク共有でのアップロードの場合には、接続先のマシン名など
以上の処理が完了すると、再びステップ６０１に戻り、次のイベントを監視する。このように、クライアント１００において、イベント監視プログラム１０１とファイル保全プログラム１０２が連携して動作することにより、クライアント１００上で発生したイベントのログをイベントログＤＢ１０３に出力し、そのイベントに関係する実ファイルを実ファイルログＤＢ１０５に保全することができる。

次に図７を使って、ログ管理サーバ１１０のログ回収プログラム１１１がクライアント１００からログを回収するフローの一実施例の詳細なを説明する。

ログ回収プログラム１１１がログ回収処理を開始すると、ステップ７０１において、監視対象ＤＢ１１７に格納する全てのクライアントからのログ回収を完了したかどうかを判定する。もし、完了したならば次のステップ７０６に進む。もし完了していないならば次のステップ７０２に進む。

ステップ７０２では、ログ管理サーバ１１０は、クライアント１００と通信路を確立する。もし確立できないならば、確立できるまで何度かトライした後に、ステップ７０１に戻り、次のクライアントに処理を移す。ステップ７０２でクライアント１００と通信路を確立できたならば、ステップ７０３において、クライアント１００のイベントログＤＢ１０３からイベントログを回収し、ログ管理サーバ１１０のイベントログＤＢ１１３にイベントログを移動する。

ステップ７０４では、同様に実ファイルログＤＢ１０５から実ファイルログを回収し、ログ管理サーバ１１０の実ファイルログＤＢ１１５に実ファイルを移動する。このとき、同名ファイルであった場合にはログ管理サーバ１１０で上書きする。あるいは、上書きせずに、実ファイルログＤＢ１０５にある実ファイルを削除するものであっても良い。

ステップ７０５において、クライアント１００との通信路を切断し、ステップ７０１に戻り、次のクライアントに処理を移す。こうして全てのクライアントからのログ回収が完了すると、ステップ７０６において、実ファイルログＤＢ１１５にある実ファイルのファイル名を、特徴値リストＤＢ１１４に追加する。ステップ７０７では、ステップ７０６で更新した特徴値リストＤＢ１１４を、クライアント全てに配布する。

以上のようにして、ログ管理サーバ１１０のログ回収プログラム１１１は、全クライアントからログを回収する。これにより、本実施例において、ログ管理システム１のクライアント１００で出力されたログが、ログ管理サーバ１１０で集中管理できることになる。

次に図８を使って、管理者１３１がログ管理サーバ１１０のログ検索プログラム１１２を使って、回収したログを検索する処理フローの一実施例を詳細に説明する。

ログ検索プログラム１１２が起動すると、ステップ８０１において、ログ検索画面を表示する。ログ検索画面の一実施例を図９の（ａ）に示す。ログ検索画面９００は、検索対象項目を指定するためのチェックボックス９０１〜９０８および９１２と、検索条件を詳細に指定するためのプルダウンメニュー９０９と、検索したいファイル名などの文字列を指定するためのエディットボックス９１０と、検索を開始するためのボタン９１１とから構成される。チェックボックス９０１〜９０８および９１２は、図３に示したイベントログＤＢ１１３と、実ファイルログＤＢ１１５とに対応して、次に示すように検索対象項目の一つ一つに設けられる。
・日時３０１に対応して、日時のチェックボックス９０１とプルダウンメニュー９０９が設けられる
・マシンＩＤ３０２に対応して、マシンＩＤのチェックボックス９０２とプルダウンメニューが設けられる
・ユーザＩＤ３０３に対応して、ユーザＩＤのチェックボックス９０３とプルダウンメニューが設けられる
・イベント３０４に対応して、イベントのチェックボックス９０４とプルダウンメニューが設けられる
・ファイル種別３０８に対応して、ファイル種別のチェックボックス９０５とプルダウンメニューが設けられる
・パス３０６およびファイル名３０７に対応して、ファイル名の全てまたは一部のチェックボックス９０６とエディットボックス９１０が設けられる
・ファイル内容３２１に対応して、ファイルに含まれる単語のチェックボックス９０７とエディットボックスが設けられる
・特徴値３０９に対応して、ファイルの特徴値のチェックボックス９０８とエディットボックスが設けられる
・予備３１０に対応して、予備のチェックボックス９１２とエディットボックスが設けられる。

これらのチェックボックス９０１〜９０８、９１２のうち、チェックをつけた検索対象項目についてＡＮＤ条件で検索を、図８に示す次のステップ８０２および８０３で行っていく。ステップ８０２では、イベントログＤＢ１１３を検索し、ステップ８０１で指定した検索条件に合致するイベントログを検索する。又、ステップ８０３では、実ファイルログＤＢ１１５を検索し、ステップ８０１で指定した検索条件に合致する実ファイルログを検索する。

ステップ８０４では、ステップ８０２およびステップ８０３で検索にヒットした結果を表示する。検索結果画面の一例を図９の（ｂ）に示す。検索結果画面９２０は、これまでに検索した検索条件の履歴を表示する検索履歴表示フィールド９２３と、検索にヒットしたイベントログを表示する検索結果表示フィールド９２４と、実ファイルを表示するためのファイル表示フィールド９２５と、再検索を行うためのメニューボタン９２１と、ログ取得の設定を行うためのメニューボタン９２２とから構成される。検索結果表示フィールド９２４では、検索にヒットしたイベントログが表示され、これらのイベントログは、列項目メニューにあるボタン９２７を押下することで、ソートすることができる。また検索履歴表示フィールド９２３に表示される、過去の検索条件をクリックすることで、その検索条件にヒットした検索結果を検索結果表示フィールド９２４に表示することができる。

ステップ８０５においては、管理者１３１が検索結果画面９２０上での操作に従って処理を分岐する。管理者１３１が検索結果表示フィールド９２４の一つの行９２８を選択した場合には、次のステップ８０６に進む。管理者１３１が設定メニューボタン９２２を押下した場合には、次のステップ８０９に進む。管理者１３１が再検索メニューボタン９２１を押下した場合には、ステップ８０１に戻り再検索を行う。

ステップ８０６では、検索結果表示フィールド９２４で選択された一つの行９２８に対し、選択行９２８に含まれる特徴値３０９を持つファイルを、実ファイルログＤＢ１１５に格納される実ファイルのファイル名３２０を検索することで探す。ステップ８０７では、ステップ８０６で見つかった実ファイルの特徴値を再度算出し、選択行９２８に含まれる特徴値３０９と一致するかどうかを調べ、改ざんされていないかどうかを判定する。

ステップ８０８では、ファイル表示フィールド９２５に実ファイルの内容を表示する。その時、ステップ８０７の改ざんチェック結果を、図９のファイル表示フィールド９２５の表示領域上の一部９２９に表示する。なお、このような改ざんチェック結果の表示方法は、これだけに限らない。また、実ファイルの内容については、表示に限らず、必要に応じて他の出力機器を使って出力することも可能である。

図１０は、ステップ８０８でファイル表示フィールド９２５に表示する実ファイルの一例を示したものである。実ファイルがテキストファイルの場合には、図１０の（ａ）に示すように、ファイル表示フィールド９２５全体にテキスト情報１００１を表示する。あるいは、実ファイルが画像ファイルの場合も同様に、ファイル表示フィールド９２５全体に画像情報を表示する。実ファイルがワープロファイルの場合には、図１０の（ｂ）に示すように、ワープロファイルに含まれるテキスト情報１０１１と、画像情報１０１２とを混在させて表示する。実ファイルがレジストリファイルの場合には、図１０の（ｃ）に示すように、レジストリのキーの構造を左側のペイン１０２１に、キーの値などを右側のペイン１０２２に表示する。ファイル表示フィールド９２５は、これらの（ａ）（ｂ）（ｃ）に限らず、その他の実ファイルであっても、適切に表示することができる。例えば、圧縮ファイルであった場合には解凍後のファイルを表示し、また暗号化ファイルであった場合には組織で保有するエスクロー鍵で復号化した結果を表示する。

さて、図８に戻り、ステップ８０５からの分岐の一つであるステップ８０９では、ログ取得のための設定画面を表示する。図１１に設定画面の一実施例を示す。設定画面１１００は、ログ取得対象となるイベントを指定するフィールド１１０１と、ログ取得対象となるファイルを指定するフィールド１１０２と、ログ取得対象となるファイルを追加するためのボタン１１０５と、設定を完了するためのボタン１１０６とから構成される。

対象イベント指定フィールド１１０１は、図４の（ｄ）で説明した設定情報ＤＢ１１６の対象イベントテーブル４００の一覧を表示すると共に、取得フラグ４０２のＯＮとＯＦＦとを切り替えるためのチェックボックス１１０３を表示する。また、対象ファイル指定フィールド１１０２は、図４の（ｄ）で説明した設定情報ＤＢ１１６の対象ファイル種別テーブル４１０の一覧を表示すると共に、取得フラグ４１３のＯＮとＯＦＦとを切り替えるためのチェックボックス１１０４を表示する。対象ファイル指定フィールド１１０２に表示される一つの対象ファイル種別７０７を選択すると、アイテム設定画面１１１０を表示する。

アイテム設定画面１１１０は、取得フラグ４１３に対応したチェックボックス１１１１と、対象ファイル種別４１１に対応した入力フィールド１１１２と、マジックナンバ４１２に対応した入力フィールド１１１３と、対象ファイル種別テーブル４１０の該当する列を更新するための更新ボタン１１１４と、対象ファイル種別テーブル４１０の該当する行を削除するための削除ボタン１１１５とから構成される。アイテム設定画面１１１０は、追加ボタン１１０５を押下した場合にも表示する。なお、この時には、削除ボタン１１１５を非活性化して表示する。管理者１３１が設定完了ボタン１１０６を押下すると、次のステップ８１０に進む。

ステップ８１０では、設定情報ＤＢ１１６を更新する。ステップ８１１では、ログ管理サーバ１１０から、クライアント１００に対して設定情報ＤＢ１１６を配信し、設定情報ＤＢ１０６を更新する。以上の処理により、図８のログ検索プログラム１１２はログを検索するためのインタフェースを管理者１３１に提供する。

これまで説明してきた第一の実施例によれば、クライアント１００で情報漏洩などのインシデントが発生した場合にも、ログ管理サーバ１１０にあるイベントログと実ファイルログを検索することで、迅速かつ効率的に調査を行うことができ、ファイル管理が非常に単純化される。

例えば、社内の機密情報を印刷した紙が漏洩したことが分かった場合には、管理者は図９の（ａ）に示したログ検索画面９００において、イベントのチェックボックス９０４にチェックをつけ、プルダウンメニューで「印刷」を選択し、ファイルに含まれる単語９０７にチェックをつけ、エディットボックスに漏洩した紙に含まれる文字列を入力し検索する。検索結果として表示される図９の（ｂ）に示す検索結果画面９２０を参照することで、該当する印刷物を、いつ、誰が、どのクライアントで、何部印刷したのかを把握することができる。

さらに例えば、ＵＳＢフラッシュメモリが盗難あるいは紛失した場合には、管理者は図９の（ａ）に示したログ検索画面９００において、ユーザＩＤのチェックボックス９０３にチェックをつけ、プルダウンメニューで該当するユーザＩＤを選択し、イベントのチェックボックス９０４にチェックをつけ、プルダウンメニューで「可搬記録媒体への書き出し」を選択し、予備のチェックボックス９１２にチェックをつけ、エディットボックスにＵＳＢフラッシュメモリのシリアル番号を入力し検索する。検索結果として表示される図９の（ｂ）に示す検索結果画面９２０を参照することで、該当するＵＳＢフラッシュメモリに書き込んだファイル名やファイル内容を調べることができる。

次に説明する本発明の第二の実施例では、図１を使って説明した実施例１に加えてさらに、フォレンジックエージェントプログラム１０７と、フォレンジックサーバ１４０とを使用する。フォレンジックエージェントプログラム１０７とは、クライアント１００上のメモリ２０２に読み込まれたデータや記憶装置２０３にあるデータをビット単位で、即ちコンピュータ上のメモリ領域および記憶領域をビット単位でフォレンジックイメージとして取得し、フォレンジックサーバ１４０のフォレンジックマネージャプログラム１４１に送信可能なプログラムである。フォレンジックマネージャプログラム１４１は、フォレンジックエージェントプログラム１０７と通信可能であり、管理者１３１にフォレンジックイメージ解析などの操作インタフェースを提供するプログラムである。

実施例１で述べたようなログ管理サーバ１１０で、ログを検索することによりインシデント調査を行うことはできるが、イベントログＤＢ１１３と実ファイルログＤＢ１１５だけでは調査が行き詰った場合には、さらなるクライアント１００の捜査が必要となる。例えば、図５に示したファイル詳細構造のうち、ファイル管理情報５０１に関する情報は、実施例１で述べたログ管理システムでは取得できない。そこで、管理者１３１がフォレンジックサーバ１４０のフォレンジックマネージャプログラム１４１を操作し、フォレンジックエージェントプログラム１０７に命令を出すことにより、クライアント１００上のメモリ２０２や記憶装置２０３上のあらゆるデータをフォレンジックイメージとして取得し、フォレンジックイメージＤＢ１４２に保存する。

管理者１３１は、フォレンジックイメージＤＢ１４２を対象にフォレンジックマネージャプログラム１４１を使って解析することで、例えば、記憶装置上の未割り当て領域やスラック領域やメモリイメージまでも検索することが可能となる。よって、本実施例により、管理者１３１がクライアント１００をわざわざ押収しなくても、クライアント１００の詳細なフォレンジック調査を迅速に行うことができる。

本発明の第三の実施例では、図１を使って説明した実施例１に加えてさらに、物理的な監視の手段（フィジカル監視部）としてカメラ１５０を使用する。カメラ１５０は所定の撮像範囲を定期的あるいは不定期に撮影し、撮影した静止画あるいは動画を物理的な監視結果（フィジカルログ）として図示していないカメラサーバに送信する。管理者１３１がこのカメラサーバに記録された映像を物理的な監視結果（フィジカルログ）として図示していないフィジカルログ検索部でディスプレイ表示するなどして検索することにより、フィジカルな事象を確認することができるものである。

例えば、カメラ１５０はプリンタ１２２を撮像範囲にとらえる。これにより、クライアント１００から出した印刷ジョブの結果、印刷された内容とその紙媒体を持ち出した人物を特定することまでが可能となる。また例えば、クライアント１００が共用端末の場合には、ユーザ１３０がすべてゲストアカウントでログインすることも予想される。そこで、カメラ１５０で共用端末を撮像範囲にとらえる。これにより、たとえゲストアカウントでログインされたとしても、誰がログインしたのかと言ったフィジカルな事象まで、このフィジカルログを用いて特定することができる。

以上、本実施例によれば、ログ管理サーバ１１０のイベントログＤＢ１１３や実ファイルログ１１５だけを検索しても分からない、とくにフィジカルな事象まで含めたインシデント調査を確実かつ効率的に行うことができる。

なお、本実施例は、第二の実施例と独立した形で説明したが、第二、第三の実施例を組み合わせることにより、より確実なインシデント調査を実施することもできることは言うまでもない。

本発明の第四の実施例では、図１を使って説明したログ管理システム１において、ＡＳＰ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｖｉｃｅ Ｐｒｏｖｉｄｅｒ）サービス形態をとる。クライアント１００、ファイルサーバ１２１、プリンタ１２２、メールサーバ１２３、プロキシサーバ１２４は企業ごとに配置されるものであり、ログ管理サーバ１１０は、ＡＳＰサービスプロバイダに配置される。

ＡＳＰサービスプロバイダは、例えば、イベント監視プログラム１０１、ファイル保全プログラム１０２は無償で企業に配布し、企業ごとに蓄積されるイベントログ１１３と実ファイルログ１１５をログ回収プログラム１１１が回収し、回収した容量に応じて課金を行う。この課金処理は、図１に示したログ管理サーバ１１０に更に課金処理部となる課金処理プログラムを追加し、この課金処理プログラムが、各々のクライアント毎に、ログ回収プログラム１１１が回収したログ容量に基づき課金処理を実行することによって可能である。本実施例により、企業はログ管理サーバを構築することなく、低コストでログ管理システムを導入することができる。

以上、本発明のログ管理システムを詳述してきたが、別の観点からすれば、本発明はログ管理システムに好適な、ログ管理サーバやクライアントや、それらのためのプログラムを提供していると言うこともできる。例えば、本発明は、クライアントがイベントを監視して得たイベントログと、ファイル名が同じであるが内容の異なるファイルを別々のファイルとして管理すると共に、等しい内容を持つファイルを単一のファイルとして扱いながら、イベントに関連するファイルを保全して出力される実ファイルログとを、クライアントから回収するログ回収部と、回収したイベントログと実ファイルログを検索するログ検索部とを有し、このログ検索部は、ファイル名が同じであるが内容の異なるファイルをイベントログと関連付けて別のファイルとして検索結果を出力し、等しい内容を持つファイルをイベントログと関連付けて別のファイルとして検索結果を出力するログ管理サーバ、或いはそのプログラムを提供している。

また例えば、本発明は、イベントを監視し、イベントログを出力するイベント監視部と、ファイル名が同じであるが内容の異なるファイルを別々のファイルとして管理すると共に、等しい内容を持つファイルを単一のファイルとして扱いながら、イベントに関連するファイルを保全して実ファイルログを出力するファイル保全部とからなるクライアント（端末）、或いはそのプログラムを提供している。

上述した本発明は、クライアント（端末）で従業員が業務を遂行し、サーバでクライアントを管理するようなクライアントサーバシステムに適用できる。例えば、ＬＡＯＡ端末の監視や、営業用途で持ち運ぶ端末の監視や、システム管理用の端末の監視や、アウトソーシング業務で客先システムに接続して使用する端末の監視などにも適用できる。

具体的には、クライアントで印刷したファイルの内容について、ログ管理サーバは、イベントログおよび実ファイルログを使ってファイル内容の文字列検索まで行うなど、効率的に調査することができる。

また、具体的には、可搬記録媒体を盗難・紛失した場合にも、ログ管理サーバはその可搬記録媒体に入っていたファイルが何であるかを、イベントログおよび実ファイルログを使って効率的に調査することができる。

更に、具体的には、情報漏洩インシデントに関与したと推測されるクライアントが物理的に発見できないような場合にも、ログ管理サーバは、削除ファイルや、印刷ファイル、持ち出しファイルなど、インシデントに関係性の高い調査を、イベントログと実ファイルログを使って進めることができる。

本発明の第一、第二、第三の実施例に係るログ管理システムの全体構成を示した図。 本発明の第一の実施例のログ管理システムにおける、クライアントのブロック構成を示した図。 本発明の第一の実施例のログ管理システムにおける、イベントログＤＢと特徴値リストＤＢと実ファイルログＤＢのデータを示した図。 本発明の第一の実施例のログ管理システムにおける、設定情報ＤＢと監視対象ＤＢのデータを示した図。 本発明の第一の実施例のログ管理システムにおける、ファイルの詳細構造を示した図。 本発明の第一の実施例のログ管理システムにおける、ログ取得のフローチャートを示した図。 本発明の第一の実施例のログ管理システムにおける、ログ回収のフローチャートを示した図。 本発明の第一の実施例のログ管理システムにおける、ログ検索のフローチャートを示した図。 本発明の第一の実施例のログ管理システムにおける、ログ検索インタフェースの一例を示した図。 本発明の第一の実施例のログ管理システムにおける、ファイルビューアのインタフェースの一例を示した図。 本発明の第一の実施例のログ管理システムにおける、設定インタフェースの一例を示した図。

符号の説明

１…ログ管理システム、１００…クライアント、１０１…イベント監視プログラム、１０２…ファイル保全プログラム、１０３…イベントログＤＢ、１０４…特徴値リストＤＢ、１０５…実ファイルログＤＢ、１０６…設定情報ＤＢ、
１０７…フォレンジックエージェントプログラム、１１０…ログ管理サーバ、
１１１…ログ回収プログラム、１１２…ログ検索プログラム、１１３…イベントログＤＢ、１１４…特徴値リストＤＢ、１１５…実ファイルログＤＢ、１１６…設定情報ＤＢ、１１７…監視対象ＤＢ、１２１…ファイルサーバ、１２２…プリンタ、１２３…メールサーバ、１２４…プロキシサーバ、１２５…ネットワーク、１３０…ユーザ、１３１…管理者、１４０…フォレンジックサーバ、
１４１…フォレンジックマネージャプログラム、１４２…フォレンジックイメージＤＢ、１５０…カメラ、２０１…ＣＰＵ、２０２…メモリ、２０３…記憶装置、２０４…通信部、２０５…表示部、２０６…操作部、２０７…可搬媒体接続部、２０８…バス。

Claims (10)

1. クライアントで発生するイベントを監視し、前記イベントに関連するファイルを含めたログをサーバで管理するログ管理システムであって、
   前記クライアントは、
   前記イベントを監視し、イベントログを出力するイベント監視部と、
   前記イベントに関連する前記ファイルを保全し、実ファイルログを出力するファイル保全部とを有し、前記ファイル保全部は、ファイル名が同じであるが内容の異なる前記ファイルを別々のファイルとして管理すると共に、等しい内容を持つ前記ファイルを単一のファイルとして扱い、
   前記サーバは、
   前記イベントログと前記実ファイルログを前記サーバに回収するログ回収部と、
   回収した前記イベントログと前記実ファイルログを検索するログ検索部とを有し、
   前記ログ検索部は、ファイル名が同じであるが内容の異なる前記ファイルを前記イベントログと関連付けて別のファイルとして検索結果を出力し、等しい内容を持つ前記ファイルを前記イベントログと関連付けて別のファイルとして検索結果を出力する
   ログ管理システム。
2. 請求項１記載のログ管理システムであって、
   前記ファイル保全部が、保全対象となる前記ファイルを複製する時に、前記ファイルの特徴値を算出して、複製後の前記ファイルのファイル名とし、
   前記イベント監視部が、前記イベントログに前記特徴値を記録し、
   前記ログ検索部が、検索結果を出力する時に、前記イベントログに記録された前記特徴値と、前記実ファイルログに格納された前記ファイルのファイル名とを比較することで、前記イベントログと前記実ファイルログとを関連付け、検索結果を出力する
   ログ管理システム。
3. 請求項２記載のログ管理システムであって、
   前記実ファイルログに含まれる前記ファイルの前記特徴値の一覧を保持する特徴値リストを備え、
   前記特徴値リストを、前記ファイル保全部が前記実ファイルログを出力するときと、前記ログ回収部が前記イベントログおよび前記実ファイルログを回収したときのいずれか一つ以上のタイミングで更新し、
   前記ファイル保全部が、前記特徴値リストに含まれる前記特徴値と一致する前記ファイルを保全しない
   ログ管理システム。
4. 請求項２記載のログ管理システムであって、
   前記ファイルの前記特徴値の算出を、ファイル管理情報を除いたファイル内容のデータを対象に算出する、あるいは、前記ファイル管理情報とメタデータを除いたファイル内容のデータを対象に算出する
   ログ管理システム。
5. 請求項２記載のログ管理システムであって、
   前記ログ検索部が検索結果を出力する時に、前記ファイルの特徴値を算出し、前記イベントログに記録された前記特徴値と一致しているかどうかを判定し、判定結果を出力する
   ログ管理システム。
6. 請求項１記載のログ管理システムであって、
   前記ファイル保全部が、前記イベントがファイル削除あるいはエクスポートの時には、前記イベントを一時的にロックした上で前記ファイルを保全し、前記イベントがインポートあるいは設定変更の時には、前記イベントが完了してから前記ファイルを保全する
   ログ管理システム。
7. 請求項１記載のログ管理システムであって、
   前記サーバは、前記サーバで集中管理している前記イベントログと前記実ファイルログの容量に応じて課金する課金処理部を更に有する
   ログ管理システム。
8. クライアントのコンピュータで発生するイベントを、前記イベントに関連するファイルを含めてログとし、前記ログをサーバで集中管理するログ管理システムを用いたフォレンジック調査方法であって、
   前記ログ管理システムは、
   発生した前記イベントを時系列に記録した結果を保存するイベントログ保存部と、
   前記イベントに関連する前記ファイルを実ファイルログとして保存する実ファイルログ保存部と、
   前記イベントログと前記実ファイルログとを検索するログ検索部とを有し、
   前記ログ検索部を用いてインシデントに関係する前記イベントを絞り込む
   フォレンジック調査方法。
9. 請求項８記載のフォレンジック調査方法であって、
   前記ログ管理システムは、
   前記コンピュータ上のメモリ領域および記憶領域をビット単位でフォレンジックイメージとして取得するフォレンジックイメージ保全部と、
   前記フォレンジックイメージを解析するフォレンジック解析部を更に有し、
   前記ログ検索部を用いてインシデントに関係する前記イベントを絞り込み、絞り込まれた前記イベントに関連する前記フォレンジックイメージを前記フォレンジック解析部で解析する
   フォレンジック調査方法。
10. 請求項８記載のフォレンジック調査方法であって、
    前記ログ管理システムは、
    物理的な監視を行い監視結果を記録するフィジカル監視部と、
    前記監視結果を検索するフィジカルログ検索部を更に有し、
    前記ログ検索部を用いてインシデントに関係する前記イベントを絞り込み、絞り込まれた前記イベントに関連する前記監視結果を前記フィジカルログ検索部で検索する
    フォレンジック調査方法。

Images