JP2008108227A - ストレージシステム及び監査ログ管理方法 - Google Patents

Abstract

【課題】セキュアで高信頼に監査ログを集中保管し、監査ログの運用管理を容易にし得るストレージシステム及び監査ログ管理方法を提案する。
【解決手段】上位装置が、当該上位装置の監査ログをネットワークを介して記憶装置に送信し、記憶装置が、上位装置から送信される監査ログを、論理ユニット上に設定された監査ログを格納する領域でなる監査ログ格納領域に読み書きするようにした。これにより、セキュアで高信頼に監査ログを集中保管し、監査ログの運用管理を容易にし得るストレージシステム及び監査ログ管理方法を実現できる。
【選択図】図２

Description

本発明は、ストレージシステム及び監査ログ管理方法に関し、上位装置及び記憶装置がネットワークを介して接続されたストレージシステムに適用して好適なものである。

従来、ネットワークシステムにおいては、システム障害や不正アクセス等の原因を究明して対策を講じるために、システム上の機器が出力する監査ログが活用されている（下記特許文献１参照）。ここで「監査ログ」とは、機器の障害等の予め定められた監査事象の発生を示す情報をいう。また近年では、企業や組織が法規制や監査基準、各種セキュリティ評価基準等に準拠することや、訴訟時の証拠として裁判所に提出することを目的としても監査ログが活用されており、監査ログの重要性がますます増大している。

このような状況のもと、従来のネットワークシステムでは、ホストやスイッチ及び記憶装置（例えばディスクアレイ装置）等の様々な機器が出力する監査ログを、「syslog」と呼ばれるプロトコルを利用して１つのログサーバ（以下、これをsyslogサーバと呼ぶ）に収集すると共に、これら各機器の監査ログを相関分析することによってシステム障害や不正アクセス等の監視や原因の調査を行い、また、監査や訴訟に備えて監査ログを集中保管していた。

一方、企業や組織で取り扱うデータ量の増大に伴い、記憶装置によるストレージコンソリデーションが進んでいる。記憶装置は、ＳＡＮ（Storage Area Network）を介してホストに接続される。この場合ＳＡＮとしては、ＦＣ（Fibre Channel）を用いたＦＣ‐ＳＡＮや、ＴＣＰ／ＩＰ（Transmission Control Protocol / Internet Protocol）及びｉＳＣＳＩ（internet ＳＣＳＩ（Small Computer System Interface））を用いたＩＰ‐ＳＡＮ等が存在する。

記憶装置上には複数の論理的なボリューム（以下、適宜、これを論理ユニットと呼ぶ）が構成され、ＳＡＮに接続されたホストは、それぞれ記憶装置上のこれら論理ユニットに対してデータの書き込みや読み出しを行う。

ＦＣ‐ＳＡＮやＩＰ‐ＳＡＮにおいて、記憶装置上の論理ユニットに対するデータの書き込みや読み出しは、ＳＣＳＩコマンドによるデータ転送によって実現されており、ホストは、その論理ユニット及び当該論理ユニット内のデータの位置（以下、これを論理アドレスと呼ぶ）を指定して記憶装置にアクセスする。

また記憶装置は、ＬＡＮ（Local Area Network）によってもホストと接続され、ホスト間でのファイル共有を目的としたファイルサーバとして利用される。ＬＡＮにおいて、記憶装置に対するデータの読み書きは、ＮＦＳ（Network File System）やＣＩＦＳ（Common Internet File System）等のネットワークファイルシステムプロトコルによるデータ転送によってファイル単位で実現される。この場合ホストは、データの読み書きを行うファイル及びファイル内のデータの位置（以下、「オフセットアドレス」とも呼ぶ）を指定して記憶装置にアクセスする。
特開２００２−１１１６６７

上述のように監査ログの重要性の増加に伴い、ストレージシステムにおいて収集及び保管すべき監査ログの量は今後ますます増加する。そのため、上述した背景技術では、監査ログを転送するネットワークやログサーバにかかる負荷が増大する。負荷を分散する１つの方法として、ネットワークやログサーバを複数に分けることも考えられる。しかしながら、この方法によると、監査ログが分散して保管されるため、相関分析が困難になる。

さらに、syslogは単純なプロトコルであるため、監査ログデータが転送経路上で消失する危険性や、大量の監査ログデータを送信元を詐称してログサーバに送信することによりサービスの提供を不能とする攻撃を受ける危険性がある。企業や組織は上述のような目的で監査ログを収集して保管（管理）するため、syslogプロトコルの信頼性及びセキュリティの低さは致命的である。

本発明は以上の点を考慮してなされたもので、セキュアで高信頼に監査ログを集中保管し、監査ログの運用管理を容易にし得るストレージシステム及び監査ログ管理方法を提案しようとするものである。

かかる課題を解決するため本発明においては、上位装置及び記憶装置がネットワークを介して接続されたストレージシステムにおいて、前記上位装置は、当該上位装置における所定の監査事象の発生を示す情報でなる監査ログを前記ネットワークを介して前記記憶装置に送信し、前記記憶装置は、前記上位装置から前記ネットワークを介して与えられるデータを格納するための記憶領域上に定義された１つ以上の論理ユニットをそれぞれ前記ネットワークに接続するための１つ以上の接続ポートを備え、前記上位装置から送信される前記監査ログを、前記論理ユニット上に設定された監査ログを格納する領域でなる監査ログ格納領域に読み書きすることを特徴とする。

この結果、このストレージシステムによれば、上位装置の監査ログを記憶装置において集中保管することができる。

また本発明においては、上位装置及び記憶装置がネットワークを介して接続されたストレージシステムの前記上位装置における所定の監査事象の発生を示す情報でなる監査ログを管理する監査ログ管理方法において、前記上位装置が、当該上位装置の前記監査ログを前記ネットワークを介して前記記憶装置に送信する第１のステップと、前記記憶装置が、前記上位装置から送信される前記監査ログを、前記論理ユニット上に設定された監査ログを格納する領域でなる監査ログ格納領域に読み書きする第２のステップとを備えることを特徴とする。

この結果、この監査ログ管理方法によれば、上位装置の監査ログを記憶装置において集中保管することができる。

本発明によれば、「syslog」と呼ばれるプロトコルを利用することなく上位装置の監査ログを記憶装置において集中保管することができるため、セキュアで高信頼に監査ログを集中保管し、監査ログの運用管理を容易にし得るストレージシステム及び監査ログ管理方法を実現できる。

以下図面について、本発明の一実施の形態を詳述する。

（１）第１の実施の形態
（１−１）本実施の形態によるストレージシステムの構成
図１において、１は全体として本実施の形態によるストレージシステムを示す。このストレージシステム１は、ホスト２及び監査ログ管理ホスト３がＳＡＮ４を介して記憶装置５に接続されると共に、監査ログ管理ホスト３及びＮＡＳ（Network Access Server）クライアントホスト６がＬＡＮ７を介して記憶装置５に接続されることにより構成されている。

ホスト２は、ＳＡＮ４を介して記憶装置５に格納されているデータにアクセスする計算機であり、ＣＰＵ１０、メモリ１１及び接続ポート１２を備える。ＣＰＵ１０は、例えば記憶装置５へのデータの入出力処理を実行するプロセッサである。メモリ１１には、ＣＰＵ１０が実行するプログラムや、当該プログラムで使用されるデータが格納される。接続ポート１２は、ホスト２をＳＡＮ４に接続するためのネットワークインタフェースである。

監査ログ管理ホスト３は、ＳＡＮ４又はＬＡＮ５を介して記憶装置５に格納されているデータにアクセスする計算機であり、ＣＰＵ１３、メモリ１４及び複数の接続ポート１５Ａ，１５Ｂを備える。ＣＰＵ１３は、例えば記憶装置５へのデータの入出力処理を実行するプロセッサである。メモリ１４には、ＣＰＵ１３が実行するプログラムや、当該プログラムで使用されるデータが格納される。接続ポート１５Ａは、監査ログ管理ホスト３をＳＡＮ４に接続するためのネットワークインタフェースであり、接続ポート１５Ｂは、監査ログ管理ホスト３をＬＡＮ７に接続するためのネットワークインタフェースである。

ＮＡＳクライアントホスト６は、ＬＡＮ７を介して記憶装置５に格納されているデータにアクセスする計算機であり、ＣＰＵ１６、メモリ１７及び接続ポート１８を備えて構成される。ＣＰＵ１６は、例えば記憶装置５へのデータの入出力処理を実行するプロセッサである。メモリ１７には、ＣＰＵ１６が実行するプログラムや、当該プログラムで使用されるデータが格納される。接続ポート１８は、ＮＡＳクライアントホスト６をＬＡＮ７に接続するためのネットワークインタフェースである。

ＳＡＮ４は、ＦＣ‐ＳＡＮ又はＩＰ‐ＳＡＮから構成される。このＳＡＮ４を介したホスト２及び記憶装置５間の通信や、監査ログ管理ホスト３及び記憶装置５間の通信は、ＳＣＳＩプロトコルに従って行なわれる。またＬＡＮ７を介した監査ログ管理ホスト３及び記憶装置５間の通信や、ＮＡＳクライアントホスト６及び記憶装置５間の通信は、ＮＦＳやＣＩＦＳ等のネットワークファイルシステムプロトコルに従って行なわれる。

記憶装置５は、いわゆるディスクアレイ装置であり、チャネルアダプタ２０、ＮＡＳボード２１、内部バス２２、キャッシュメモリ２３、共有メモリ２４、ディスク制御インタフェース２５、複数の物理ボリューム２６及び管理インタフェース２７を備える。

チャネルアダプタ２０及びＮＡＳボード２１は、内部バス２２によってキャッシュメモリ２３及び共有メモリ２４に接続され、さらにディスク制御インタフェース２５を介して物理ボリューム２６に接続される。キャッシュメモリ２３は、ホスト２や監査ログ管理ホスト３、ＮＡＳクライアントホスト６が記憶装置５に格納されているデータにアクセスする際に、データの送受信を効率化するためにデータを一時的に保存する目的で使用される。共有メモリ２４は、例えばキャッシュメモリ２３内のデータの管理情報等を格納するために用いられる。管理インタフェース２７は、記憶装置５の管理者が、例えばチャネルアダプタ２０やＮＡＳボード２１の設定等、記憶装置５の動作に関連する管理操作を行うためのインタフェースを提供する。

チャネルアダプタ２０は、ＳＡＮ４を介して記憶装置５に接続されるホスト２や監査ログ管理ホスト３に対して、ＳＣＳＩプロトコルを使用したデータ入出力インタフェースを提供する。チャネルアダプタ２０は、ＣＰＵ３０、メモリ３１及び接続ポート３２Ａ，３２Ｂを備える。ＣＰＵ３０は、例えばデータの入出力処理を実行するプロセッサである。メモリ３１には、ＣＰＵ３０が実行するプログラムや、当該プログラムで使用されるデータが格納される。接続ポート３２Ａ，３２Ｂは、チャネルアダプタ２０をＳＡＮ４に接続するためのネットワークインタフェースである。

ＮＡＳボード２１は、ＬＡＮ７を介して記憶装置５に接続する監査ログ管理ホスト３やＮＡＳクライアントホスト６に対して、ＮＦＳやＣＩＦＳ等のネットワークファイルシステムプロトコルを使用したデータ入出力インタフェースを提供する機能を有する。ＮＡＳボード２１は、ＣＰＵ４０、メモリ４１及び接続ポート４２を備える。ＣＰＵ４０は、例えばデータの入出力処理を実行するプロセッサである。メモリ４１は、ＣＰＵ４０が実行するプログラムや、当該プログラムで使用されるデータが格納される。接続ポート４２は、ＮＡＳボード２１をＬＡＮ７に接続するためのネットワークインタフェースである。

図２に、ストレージシステム１の論理的な構成例を示す。記憶装置５は、１又は複数の論理デバイス５０と、論理デバイス５０の１つである監査ログ専用デバイス５０Ａとを備える。また記憶装置５は、データの送受信を効率化するため、キャッシュメモリ２３上に監査ログデータＬＤを保持する。さらに記憶装置５は、共有メモリ２４上にキャッシュ管理情報テーブル５１、監査ログ制御情報テーブル５２及び監査ログアクセス制御情報テーブル５３を保持する。

チャネルアダプタ２０は、メモリ３１にＩ／Ｏリクエスト処理プログラム６０、監査
ログ追記プログラム６１、論理デバイス情報テーブル６２を保持している。またＮＡＳボード２１は、メモリ４１上にネットワークファイルシステムサービスプログラム７０、監査ログ追記プログラム６１、監査ログ管理サービスプログラム７２、監査ログ管理情報テーブル７３を保持している。

ホスト２は、メモリ１１上に監査ログ書込みプログラム８０を格納している。監査ログ管理ホスト３は、メモリ１４上に監査ログ管理プログラム８１を格納している。ＮＡＳクライアントホスト６は、メモリ１７上に監査ログ書込みプログラム８２及びネットワークファイルシステムクライアントプログラム８３を保持している。

論理デバイス５０は、記憶装置５の物理ボリューム２６を論理的に再定義したものである。記憶装置５では、さらに論理デバイス５０が論理ユニットとして再定義されており、ホスト２や監査ログ管理ホスト３から論理ユニット単位で論理デバイス５０を識別できるようになされている。

ホスト２や監査ログ管理ホスト３がＳＡＮ４経由でチャネルアダプタ２０にＳＣＳＩコマンドを送信する際には論理ユニットの識別子であるＬＵＮ（Logical Unit Number）を指定し、チャネルアダプタ２０が論理ユニットに対応する論理デバイス５０を特定してデータの入出力を行う。

また記憶装置５においては、ＮＡＳボード２１が論理デバイス５０上にファイルシステム（以下、「ローカルファイルシステム」とも呼ぶ）を構築しており、論理デバイス５０内のデータをファイル単位で管理している。

さらに記憶装置５においては、ネットワークファイルシステムサービスプログラム７０がローカルファイルシステム上のファイルを、例えばファイル共有等の目的で、ネットワークファイルシステムプロトコルを使用してエクスポートしている。

監査ログ管理ホスト３やＮＡＳクライアントホスト６からはネットワークファイルシステムプロトコルを経由して論理デバイス５０にデータの入出力を行う。

監査ログ管理ホスト３やＮＡＳクライアントホスト６がＬＡＮ７経由でＮＡＳボード２１にネットワークファイルシステムプロトコルのコマンドを送信する際には、ネットワークファイルシステムサービスプログラム７０によってエクスポートされたファイル名を指定し、ＮＡＳボード２１が指定されたファイル名に対応するローカルファイルシステム上のファイルを特定し、当該ファイルに対応する論理デバイス５０を特定してデータの入出力を行う。

論理デバイス５０の中には、監査ログを格納することを目的とした監査ログ専用デバイス５０Ａが１つ以上含まれており、本実施例においては、記憶装置５内で、監査ログ専用デバイス５０Ａが特定の論理ユニットに対応付けられている。

さらに本実施例においては、記憶装置５内で、監査ログ専用デバイス５０ＡがＮＡＳボード２１上のローカルファイルシステムにおける特定のファイルに対応付けられている。論理デバイス５０の定義、論理デバイス５０と論理ユニットの対応関係、論理デバイス５０と監査ログ専用デバイス５０Ａの対応関係、ＮＡＳボード２１のローカルファイルシステム上の特定のファイルと監査ログ専用デバイス５０Ａの対応関係は、例えば記憶装置５の管理者によって、例えば管理インタフェース２７経由で事前に行われる。

監査ログデータＬＤは、ホスト２又はＮＡＳクライアントホスト６上のユーザの行動や、ホスト２又はＮＡＳクライアントホスト６上の障害等、監査事象の発生を示す情報が記録されたデータである。また監査ログデータＬＤには、例えば監査事象を引き起こしたユーザ名や監査事象の発生時刻、監査事象の結果、監査事象の発生原因等、監査事象に関連する情報も記録されている。この監査ログデータＬＤは、ホスト２上の監査ログ書込みプログラム８０や、ＮＡＳクライアントホスト６上の監査ログ書込みプログラム８２によって生成され、ＳＡＮ４あるいはＬＡＮ７経由で記憶装置５に送信される。

さらに監査ログデータＬＤは、チャネルアダプタ２０やＮＡＳボード２１によって、例えばデータの送受信を効率化する目的でキャッシュメモリ２３に一時的に保持された後、ディスク制御インタフェース１５を介して監査ログ専用デバイス５０Ａに書き込まれる。また監査ログデータＬＤは、ホスト２上の監査ログ書込みプログラム８０や、ＮＡＳクライアントホスト６上の監査ログ書込みプログラム８２によって指定された論理ユニット内の論理アドレスとは無関係に、記憶装置５によって監査ログ専用デバイス５０Ａに追記される。

この監査ログデータＬＤは、監査ログ管理ホスト３上の監査ログ管理プログラム８１からの読出し要求に応じて、チャネルアダプタ２０やＮＡＳボード２１によって、キャッシュメモリ２３あるいは監査ログ専用デバイス５０Ａから読み出され、ＳＡＮ４あるいはＬＡＮ７経由で監査ログ管理プログラム８１に送信される。

監査ログ書込みプログラム８０は、例えばホスト２上のユーザの行動や障害等の監査事象を、監査ログとして記録するためのプログラムである。監査ログ書込みプログラム８０は、監査事象に関連する情報を監査ログデータＬＤに格納し、ＳＣＳＩコマンドを使用して、監査ログ専用デバイス５０Ａに対応付けられた論理ユニットに対する監査ログデータＬＤの書込み要求をチャネルアダプタ２０に送信し、続いて監査ログデータＬＤを送信する。

監査ログ書込みプログラム８２は、例えばＮＡＳクライアントホスト６上のユーザの行動や障害等の監査事象を、監査ログとして記録するためのプログラムである。監査ログ書込みプログラム８２は、監査事象に関連する情報を監査ログデータＬＤに格納し、ネットワークファイルシステムクライアントプログラム８３を使用して、監査ログ専用デバイス５０Ａに対応付けられたファイルに対する監査ログデータＬＤの書込み要求をＮＡＳボード２１に送信し、続いて監査ログデータＬＤを送信する。

監査ログ管理プログラム８１は、例えば監査ログ管理ホスト３上のユーザが、例えば監査ログデータの閲覧といった監査ログ参照操作や、例えば監査ログデータの検索や抽出といった監査ログ管理操作を、記憶装置５内に格納された監査ログデータＬＤに対して行うためのプログラムである。

監査ログ管理プログラム８１は、ＳＣＳＩコマンドを使用して、監査ログ専用デバイス５０Ａに対応付けられた論理ユニットに対する監査ログデータＬＤの読出し要求をチャネルアダプタ２０に送信し、監査ログデータＬＤを受信することで、監査ログ参照操作を実現する。

また監査ログ管理プログラム８１は、監査ログ専用デバイス５０Ａに対応付けられたファイルに対する監査ログデータＬＤの読出し要求をＮＡＳボード２１に送信し、監査ログデータＬＤを受信することで、監査ログ参照操作を実現する。

さらに監査ログ管理プログラム８１は、例えばＨＴＴＰ（Hyper Text Transfer Protocol）等を利用して、ＮＡＳボード２１上の監査ログ管理サービスプログラム７２に監査ログ管理コマンドを送信することで、監査ログデータＬＤの参照操作や管理操作を行う。

Ｉ／Ｏリクエスト処理プログラム６０は、ホスト２や監査ログ管理ホスト３から論理
ユニット内のある論理アドレスへのデータの書き込みやデータの読み出しといったアクセス要求を受信し、要求内容に応じてホスト２や監査ログ管理ホスト３とデータを送受信するプログラムである。

Ｉ／Ｏリクエスト処理プログラム６０はホスト２や監査ログ管理ホスト３からアクセ
ス要求を受け取った際に、論理デバイス情報テーブル６２を参照し、論理ユニットに対応付けられた記憶装置５内の論理デバイスを特定する。

Ｉ／Ｏリクエスト処理プログラム６０がデータ書込み要求を受信し、当該要求が監査
ログ専用デバイス５０Ａに対応付けられた論理ユニットに対するものであった場合、Ｉ
／Ｏリクエスト処理プログラム６０は、当該書込み要求を監査ログデータＬＤの書込み要求であると判断する。

次にＩ／Ｏリクエスト処理プログラム６０は、共有メモリ２４上の監査ログアクセス
制御情報テーブル５３をもとに、当該書込み要求が監査ログ専用デバイス５０Ａに対する監査ログデータＬＤの書き込みを許可されたホストによるものであるかどうかを確認する。

さらにＩ／Ｏリクエスト処理プログラム６０は、当該監査ログデータＬＤをキャッシ
ュメモリ２３に書き込み、監査ログ追記プログラム６１が当該監査ログデータＬＤを監査ログ専用デバイス５０Ａに追記するための管理情報を共有メモリ２４上のキャッシュ管理情報テーブル５１に登録する。

キャッシュ管理情報テーブル５１への登録の際、Ｉ／Ｏリクエスト処理プログラム６
０は、ホスト２や監査ログ管理ホスト３によって指定された論理アドレスとは無関係に、監査ログ専用デバイス５０Ａに監査ログデータＬＤを追記できるよう、監査ログ専用デバイス５０Ａ内の監査ログ追記アドレスを共有メモリ２４上の監査ログ制御情報テーブル５２で管理する。

また、Ｉ／Ｏリクエスト処理プログラム６０がデータ読出し要求を受信し、当該読出
し要求が監査ログ専用デバイス５０Ａに対応付けられた論理ユニットに対するものであった場合、Ｉ／Ｏリクエスト処理プログラム６０は、当該要求を監査ログデータＬＤの
読出し要求であると判断する。

次にＩ／Ｏリクエスト処理プログラム６０は、共有メモリ２４上の監査ログアクセス
制御情報テーブル５３をもとに、当該読出し要求が監査ログ専用デバイス５０Ａに対する監査ログデータＬＤの読み出しを許可されたホストによるものであるかどうかを確認する。

さらにＩ／Ｏリクエスト処理プログラム６０は、キャッシュメモリ２３又は監査ログ
専用デバイス５０Ａから監査ログデータＬＤを読み出す。ホスト２や監査ログ管理ホスト３から受け取るアクセス要求の形式や、論理デバイス情報テーブル６２の形式、キャッシュ管理情報テーブル５１の形式、監査ログ制御情報テーブル５２の形式、監査ログアクセス制御情報テーブル５３の形式及びＩ／Ｏリクエスト処理プログラム６０の動作
手順については後述する。

監査ログ追記プログラム６１は、例えば一定周期で、共有メモリ２４上のキャッシュ管理情報テーブル５１を参照し、キャッシュメモリ２３上に書き込まれた監査ログデータＬＤを監査ログ専用デバイス５０Ａに書き込むプログラムである。キャッシュ管理情報テーブル５１の形式については後述する。

ネットワークファイルシステムサービスプログラム７０は、ＮＦＳやＣＩＦＳ等のネットワークファイルシステムプロトコルを利用したデータ入出力インタフェースを提供するプログラムであり、監査ログ管理プログラム８１やネットワークファイルシステムクライアントプログラム８３からファイル内のあるオフセットアドレスへのデータの書き込みや読み出しといった操作要求を受け、操作要求に応じて論理デバイス５０内のデータの書き込みや読み出しをファイル単位で行うプログラムである。

ネットワークファイルシステムサービスプログラム７０は、監査ログ管理プログラム８１やネットワークファイルシステムクライアントプログラム８３からファイル操作要求を受け取った際に、指定されたファイル名に対応するＮＡＳボード２１上のローカルファイルシステムにおけるファイル名とパス名を特定する。

ネットワークファイルシステムサービスプログラム７０がファイルへの書込み要求を受信し、特定されたファイルパスが監査ログ専用デバイス５０Ａに対応付けられたファイルパスを指す場合、ネットワークファイルシステムサービスプログラム７０は当該書込み要求を監査ログデータＬＤの書込み要求であると判断する。

次にネットワークファイルシステムサービスプログラム７０は、共有メモリ２４上の監査ログアクセス制御情報テーブル５３をもとに、当該書込み要求が監査ログ専用デバイス５０Ａに対する監査ログデータＬＤの書き込みを許可されたホストによるものであるかどうかを確認する。

ネットワークファイルシステムサービスプログラム７０はさらに、当該監査ログデータＬＤをキャッシュメモリ２３に書き込み、当該監査ログデータＬＤを監査ログ専用デバイス５０Ａに追記するための管理情報を共有メモリ２４上のキャッシュ管理情報テーブル５１に登録する。

この際、ネットワークファイルシステムサービスプログラム７０は、ネットワークファイルシステムクライアントプログラム８３によって指定されたオフセットアドレスとは無関係に、監査ログ専用デバイス５０Ａに監査ログデータＬＤを追記できるよう、監査ログ専用デバイス５０Ａ内の監査ログ追記アドレスを共有メモリ２４上の監査ログ制御情報テーブル５２で管理する。

また、ネットワークファイルシステムサービスプログラム７０がファイルの読出し要求を受信し、特定されたファイルパスが監査ログ専用デバイス５０Ａに対応付けられたファイルパスを指す場合、ネットワークファイルシステムサービスプログラム７０は当該読出し要求を監査ログデータＬＤの読出し要求であると判断する。

次にネットワークファイルシステムサービスプログラム７０は、共有メモリ２４上の監査ログアクセス制御情報テーブル５３をもとに、当該読出し要求が監査ログ専用デバイス５０Ａに対する監査ログデータＬＤの読み出しを許可されたホストによるものであるかどうかを確認する。

さらにネットワークファイルシステムサービスプログラム７０は、キャッシュメモリ２３あるいは監査ログ専用デバイス５０Ａから監査ログデータを読み出す。監査ログ管理プログラム８１やネットワークファイルシステムクライアントプログラム８３から受け取るアクセス要求の形式や、監査ログ管理情報テーブル７３の形式、キャッシュ管理情報テーブル５１の形式、監査ログ制御情報テーブル５２の形式、監査ログアクセス制御情報テーブル５３の形式、ネットワークファイルシステムサービスプログラム７０の動作手順については後ほど説明する。

監査ログ管理サービスプログラム７２は、例えば監査ログの閲覧といった監査ログ参照操作や、例えば監査ログの検索や抽出といった監査ログ管理操作のためのインタフェースを監査ログ管理プログラム８１に提供するものである。監査ログ管理サービスプログラム７２は、例えばＨＴＴＰ等を利用して、監査ログ管理プログラム８１から監査ログ管理コマンドを受信し、監査ログの参照操作や管理操作を行った結果を監査ログ管理プログラム８１に返す。監査ログ管理コマンドの形式や監査ログ管理サービスプログラム７２の動作手順については後ほど説明する。

論理デバイス情報テーブル６２には、論理デバイス５０と論理ユニットの対応関係や、論理デバイス５０と監査ログ専用デバイス５０Ａの対応関係が含まれており、Ｉ／Ｏリクエスト処理プログラム６０がＳＣＳＩコマンドの受信時に論理ユニットに対応する論理デバイス５０を特定し、当該論理デバイス５０が監査ログ専用デバイス５０Ａであるかどうかを識別するために参照する。論理デバイス情報テーブル６２の内容は、例えば記憶装置５の管理者によって事前に定義あるいは登録される。論理デバイス情報テーブル６２の形式については、図４を用いて後ほど説明する。

監査ログ管理情報テーブル７３には、監査ログ専用デバイス５０ＡとＮＡＳボード２１上のファイルとの対応関係が含まれており、ネットワークファイルシステムサービスプログラム７０がファイル操作要求受信時に、当該要求が監査ログ専用デバイス５０Ａへの監査ログデータＬＤの書き込みや読み出しであるかどうかを判断するために参照する。監査ログ管理情報テーブル７３に含まれる情報は、例えば記憶装置５の管理者によって事前に定義あるいは登録される。監査ログ管理情報テーブル７３の形式については図６を用いて後ほど説明する。

キャッシュ管理情報テーブル５１には、キャッシュメモリ２３に書き込まれたデータのキャッシュ上の位置を示すポインタや当該データを書き込むべき論理デバイス５０等の情報が含まれている。キャッシュ管理情報テーブル５１に含まれる情報は、記憶装置５がホスト２や監査ログ管理ホスト３、ＮＡＳクライアントホスト６からデータの書き込みや読み出しの要求を受信した際にＩ／Ｏリクエスト処理プログラム６０やネットワークファイルシステムサービスプログラム７０によって書き込まれ、例えばキャッシュメモリ２３内の監査ログデータＬＤを監査ログ専用デバイス５０Ａに書き込む際に、監査ログ追記プログラム６１によって参照される。キャッシュ管理情報テーブル５１の形式については図５を用いて後ほど説明する。

監査ログ制御情報テーブル５２には、キャッシュメモリ２３内の監査ログデータＬＤを監査ログ専用デバイス５０Ａに追記する際の監査ログ専用デバイス５０Ａ内のアドレス情報が含まれている。監査ログ制御情報テーブル５２に含まれる情報は、記憶装置５がホスト２や監査ログ管理ホスト３、ＮＡＳクライアントホスト６から監査ログデータＬＤの書込み要求を受信した際にＩ／Ｏリクエスト処理プログラム６０やネットワーク
ファイルシステムサービスプログラム７０によって参照及び更新される。監査ログ制御情報テーブルの形式については図７を用いて後ほど説明する。

図３（Ａ）は、監査ログ書込みプログラム８０や監査ログ管理プログラム８１及びネットワークファイルシステムクライアントプログラム８３が、記憶装置５内のデータにアクセスする際に記憶装置５に対して送信するアクセス要求データ９０の構成例を示している。

この図３（Ａ）において、「送信先識別子」フィールド９０Ａには、このアクセス要求データ９０の送信先の識別子が格納される。例えば、ＦＣ‐ＳＡＮにおける宛先ポートのＷＷＮ（World Wide Name）や、ＩＰ‐ＳＡＮ又はＬＡＮにおける宛先ネットワークインタフェースのＩＰアドレスの値がこの「送信先識別子」フィールド９０Ａに格納されることとなる。

また「送信元識別子」フィールド９０Ｂには、このアクセス要求データ９０の送信元の識別子が格納される。例えば、ＦＣ‐ＳＡＮにおける送信元ポートのＷＷＮや、ＩＰ‐ＳＡＮ又はＬＡＮにおける送信元ネットワークインタフェースのＩＰアドレスの値がこの「送信元識別子」フィールド９０Ｂに格納されることとなる。

「コマンドデータ」フィールド９０Ｃには、このアクセス要求データ９０の要求内容を示すコマンド情報が格納される。例えば、ＳＣＳＩ規格のコマンドフレームや、ＮＦＳ又はＣＩＦＳ等のネットワークファイルシステムプロトコルのコマンドフレームがこのコマンドデータフィールド９０Ｃに格納されることとなる。

図３（Ｂ）は、監査ログ書込みプログラム８０や監査ログ管理プログラム８１が記憶装置５に対して送信するコマンドデータ９０Ｃの一例をＳＣＳＩ規格のコマンドフレームのフォーマットで示したものである。

この図３（Ｂ）において、「オペレーションコード」フィールド９０ＣＡ１には、ＳＣＳＩコマンドのコード値が格納される。例えば、書き込みコマンドや読み出しコマンドを示すコード値がこの「オペレーションコード」フィールド９０ＣＡに格納される。また「ＬＵＮ」フィールド９０ＣＢ１には、ＳＣＳＩコマンドの実行対象となる論理ユニットのＬＵＮが格納される。

「論理アドレス」フィールド９０ＣＣ１には、論理ユニット内のデータの読み書きを行う位置として、論理ユニット上のデータ格納位置のアドレス値が格納される。さらに「転送データ長」フィールド９０ＣＤ１には、そのとき書込み対象又は読出し対象となっているデータのデータ長が格納される。

図３（Ｃ）は、監査ログ管理プログラム８１やネットワークファイルシステムクライアントプログラム８３が記憶装置５に対して送信する「コマンドデータ」フィールド９０Ｃの構成例をＣＩＦＳ等のネットワークファイルシステムプロトコルのコマンドフレームのフォーマットで示したものである。

この図３（Ｃ）において、「コマンドコード」フィールド９０ＣＡ２には、ネットワークファイルシステムプロトコルのコマンドのコード値が格納される。例えば、書込みコマンドや読出しコマンドを示すコード値がこの「コマンドコード」フィールド９０ＣＡ２に格納されることとなる。

また「ファイル名」フィールド９０ＣＢ２には、ネットワークファイルシステムプロトコルのコマンドの実行対象となるファイルのパス名が格納され、「オフセット」フィールド９０ＣＣ２には、データの書き込み又は読み出しを行う位置として、ファイル上のデータ位置を示すアドレス値が格納される。さらに「転送データ長」フィールド９０ＣＤ２には、このとき書込み対象又は読出し対象となっているデータのデータ長が格納される。

一方、図３（Ｄ）は、監査ログ管理プログラム８１から、例えばＨＴＴＰ等を利用して、記憶装置５内の監査ログ管理サービスプログラム７２に送信される監査ログ管理コマンドフレーム９１のデータフォーマットの一例を示している。

この図３（Ｄ）において、「コマンドコード」フィールド９１Ａには、監査ログ管理プログラム８１が監査ログ管理サービスプログラム７２に与えるコマンド（監査ログ管理コマンド）の種類に応じたコード値が格納される。例えば、監査ログの閲覧や検索、抽出を示すコード値がこの「コマンドコード」フィールド９１Ａに格納される。

また「パラメータ」フィールド９１Ｂには、監査ログ管理コマンド９１のパラメータ、例えば監査ログの検索キーワードや、抽出時間帯、抽出先の論理デバイス番号などの情報が格納される。監査ログ管理プログラム８１が監査ログ管理サービスプログラム７２に与えるコマンドの種類に応じて、０あるいは１つ以上のパラメータがこの「パラメータ」フィールド９１Ｂに格納されることとなる。

図３（Ｅ）及び図３（Ｆ）は、ホスト２やＮＡＳクライアントホスト６から記憶装置５に送信される書込みコマンドに続いて、ホスト２やＮＡＳクライアントホスト６から記憶装置５に送信される監査ログデータＬＤ、また、監査ログ管理ホスト３から記憶装置５に送信される読み出しコマンドに続いて、記憶装置５から監査ログ管理ホスト３に送信される監査ログデータＬＤのフォーマット例をそれぞれ示すものである。

これら図３（Ｅ）及び図３（Ｆ）において、「監査ログ」フィールド９２Ａ，９３Ａには、監査ログが格納される。また「終端記号」フィールド９２Ｂ，９３Ｂには、監査ログの終端を示す記号（以下、これを終端記号と呼ぶ）が格納される。この終端記号は、例えば監査ログ書込みプログラム８０によって付加されるものであり、この終端記号として、例えばＮＵＬＬ文字や改行コードが「終端記号」フィールド９２Ｂに格納されることとなる。

「パディング」フィールド９３Ｃには、例えば監査ログデータＬＤがＳＣＳＩ規格の転送データ長に満たない場合に監査ログ書込みプログラム８０によって付加されるパディングデータ、例えばＮＵＬＬ文字が格納される。

図３（Ｇ）は、監査ログデータＬＤに格納されている監査ログ９４の一例を示している。

この図３（Ｇ）において、「重要度」フィールド９４Ａには、ホスト２やＮＡＳクライアントホスト６において検出した監査事象の重要度を示すコード値が格納され、「時刻」フィールド９４Ｂには、ホスト２やＮＡＳクライアントホスト６において監査事象を検出した時刻が格納される。

また「ユーザ名」フィールド９４Ｃには、ホスト２やＮＡＳクライアントホスト６において検出した監査事象を発生させたユーザの名前を示す文字列が格納され、「事象名」フィールド９４Ｄには、ホスト２やＮＡＳクライアントホスト６において検出した監査事象の内容を示す文字列が格納される。

さらに「結果」フィールド９４Ｅには、ホスト２やＮＡＳクライアントホスト６において検出した監査事象の結果を示す文字列が格納され、「原因」フィールド９４Ｆには、ホスト２やＮＡＳクライアントホスト６において検出した監査事象の原因を示す文字列が格納される。

図４は、論理デバイス情報テーブル６２の構成例を示す。論理デバイス情報テーブル６２は、記憶装置５内に定義された各論理デバイス５０を管理するためテーブルであり、「論理デバイス番号」フィールド６２Ａ、「ポート識別子」フィールド６２Ｂ、「ＬＵＮ」フィールド６２Ｃ及び「監査ログ専用デバイスフラグ」フィールド６２Ｄから構成される。

このうち「論理デバイス番号」フィールド６２Ａには、各論理デバイス５０にそれぞれ付与された当該論理デバイス５０を記憶装置５内において一意に識別するための識別子が格納される。

また「ポート識別子」フィールド６２Ｂには、ネットワーク（ＳＡＮ４）上でその論理デバイス５０と接続された接続ポート３２Ａ，３２Ｂの識別情報が格納される。例えばネットワークがＦＣ‐ＳＡＮである場合におけるその接続ポート３２Ａ，３２ＢのＷＷＮや、ネットワークがＩＰ‐ＳＡＮである場合におけるその接続ポート３２Ａ，３２ＢのＩＰアドレスが「ポート識別子」フィールド６２Ｂに格納されることとなる。なお、この「ポート識別子」フィールド６２Ｂに格納された識別情報は、Ｉ／Ｏリクエスト
処理プログラム６０が、監査ログ書込みプログラム８０や監査ログ管理プログラム８１からＳＣＳＩコマンドを受信したときに、当該ＳＣＳＩコマンドにおいて指定された論理ユニットに対応する論理デバイス５０を特定するために用いられる。

「ＬＵＮ」フィールド６２Ｃには、対応する接続ポート３２Ａ，３２Ｂに接続された論理ユニットのＬＵＮが格納される。この「ＬＵＮ」フィールド６２Ｃに格納されたＬＵＮは、Ｉ／Ｏリクエスト処理プログラム６０が、監査ログ書込みプログラム８０や監査ログ管理プログラム８１からＳＣＳＩコマンドを受信したときに、当該ＳＣＳＩコマンドに基づいて対応する論理デバイス５０を特定するために用いられる。

「監査ログ専用デバイスフラグ」フィールド６２Ｄには、対応する論理デバイス５０を監査ログ専用デバイス５０Ａとして利用するかどうかを示すフラグ情報が格納される。具体的には、対応する論理デバイス５０を監査ログ専用デバイス５０Ａとして利用する場合には、その「監査ログ専用デバイス」フィールド６２Ｄに「１」が格納され、対応する論理デバイス５０を監査ログ専用デバイス５０Ａとして使用しない場合には、その「監査ログ専用デバイス」フィールド６２Ｄに「０」が格納される。

なお本実施の形態においては、論理デバイス情報テーブル６２において、１つの監査ログ専用デバイス５０Ａに１つ以上のポート識別子を対応付けることで、１つ以上の接続ポート３２Ａ，３２Ｂを経由して受信した監査ログデータＬＤを１つの監査ログ専用デバイス５０Ａに格納することができる。また、１つの監査ログ専用デバイス５０Ａに１つ以上の論理ユニット（ＬＵＮ）を対応付けることで、監査ログ専用デバイス５０Ａに対応する論理ユニットをホスト２ごとに変更することができる。

図５は、キャッシュ管理情報テーブル５１の構成例を示している。このキャッシュ管理情報テーブル５１は、キャッシュメモリ２３に格納されたデータを管理するためのテーブルであり、「キャッシュポインタ」フィールド５１Ａ、「キャッシュデータ長」フィールド５１Ｂ、「論理デバイス番号」フィールド５１Ｃ及び「論理アドレス」フィールド５１Ｄから構成される。

このうち「キャッシュポインタ」フィールド５１Ａには、対応するデータのキャッシュメモリ２３上での格納位置を表すポインタ情報が格納される。また「キャッシュデータ長」フィールド５１Ｂには、そのデータのデータ長が格納され、「論理デバイス番号」フィールド５１Ｃには、そのデータが書き込まれるべき論理デバイス５０の論理デバイス番号が格納される。さらに「論理アドレス」フィールド５１Ｄには、その論理デバイス５０におけるそのデータが書き込まれるべき位置を表すアドレス情報が格納される。

図６は、監査ログ管理情報テーブル７３の構成例を示す。この監査ログ管理情報テーブル７３は、監査ログ専用デバイス５０Ａを管理するためのテーブルであり、「監査ログ専用デバイス番号」フィールド７３Ａ及び「監査ログ専用ファイルパス名」フィールド７３Ｂから構成される。

このうち「監査ログ専用デバイス番号」フィールド７３Ａには、対応する監査ログ専用デバイス５０Ａを記憶装置５内で一意に識別するための識別情報が格納される。また「監査ログ専用ファイルパス名」フィールド７３Ｂには、ＮＡＳボード２１上のローカルファイルシステムにおいて対応する監査ログ専用デバイス５０Ａに対応付けられたファイルのパス名が格納される。

ネットワークファイルシステムサービスプログラム７０は、監査ログ管理プログラム８１やネットワークファイルシステムクライアントプログラム８３からネットワークファイルシステムプロトコルのアクセス要求データ９０（図３（Ａ）及び（Ｃ）参照）を受信し、当該アクセス要求データ９０の「ファイル名」フィールド９０ＣＢ２に格納されたパス名に対応するＮＡＳボード２１上のローカルファイルシステムのファイルを特定した結果、特定後の当該ファイルのパス名が「監査ログ専用ファイルパス名」フィールド７３Ｂに格納されたパス名と一致した場合には、当該アクセス要求データ９０を対応する監査ログ専用デバイス５０Ａに対するコマンドと判断し、監査ログ専用デバイス５０Ａ内の監査ログデータＬＤを送受信する。

図７は、監査ログ制御情報テーブル５２の構成例を示す。この監査ログ制御情報テーブル５２は、Ｉ／Ｏリクエスト処理プログラム６０やネットワークファイルシステムサ
ービスプログラム７０の動作に必要なパラメータを管理するためのテーブルであり、「パラメータ名」フィールド５２Ａ及び「パラメータ値」フィールド５２Ｂから構成される。

「パラメータ名」フィールド５２Ａには、例えば監査ログ専用デバイス追記アドレスなどのパラメータの識別子が格納され、「パラメータ値」フィールド５２Ｂには、そのパラメータのパラメータ値が格納される。

なお、監査ログ専用デバイス追記アドレスは、Ｉ／Ｏリクエスト処理プログラム６０
とネットワークファイルシステムサービスプログラム７０によって、キャッシュメモリ２３上の監査ログデータＬＤを監査ログ専用デバイス５０Ａに追記する位置を監査ログ追記プログラム６１に示すために参照されるアドレスであり、キャッシュ管理情報テーブル５１の「論理アドレス」フィールド５１Ｄに書き込まれる。その後、監査ログ専用デバイス追記アドレスは、Ｉ／Ｏリクエスト処理プログラム６０とネットワークファイルシステムサービスプログラム７０によって、キャッシュメモリ２３上の監査ログデータＬＤのデータ長に応じて更新される。

図８は、監査ログアクセス制御情報テーブル５３の構成例を示す。監査ログアクセス制御情報テーブル５３は、監査ログ専用デバイス５０Ａごとのアクセス権に関する情報を管理するためのテーブルであり、「監査ログ専用デバイス番号」フィールド５３Ａ、「ホスト識別子」フィールド５３Ｂ及び「アクセス権」フィールド５３Ｃから構成される。

このうち「監査ログ専用デバイス番号」フィールド５３Ａには、対応する監査ログ専用デバイス５０Ａに付与された、当該監査ログ専用デバイス５０Ａを記憶装置５内で一意に識別するための識別情報（論理デバイス番号）が格納される。

また「ホスト識別子」フィールド５３Ｂには、アクセス権が設定された各ホスト（ホスト２、監査ログ管理ホスト３及び又はＮＡＳクライアントホスト６）の識別情報が格納される。具体的には、ホスト２及び記憶装置５間を接続するネットワークがＦＣ‐ＳＡＮの場合にはＷＷＮ、当該ネットワークがＩＰ‐ＳＡＮやＬＡＮの場合はＩＰアドレスが識別情報としてこの「ホスト識別子」フィールド５３Ｂに格納される。またホスト２がメインフレームホストの場合には、当該ホスト２のノードＩＤや論理パーティション番号又はベンダ名等が識別情報としてこの「ホスト識別子」フィールド５３Ｂに格納される。

「アクセス権」フィールド５３Ｃは、対応する「監査ログ専用デバイス番号」フィールド５３Ａに論理デバイス番号が格納された監査ログ専用デバイス５０Ａに対して、対応する「ホスト識別子」フィールド５３Ｂに識別情報が格納されたホスト（ホスト３０、監査ログ管理ホスト３及び又はＮＡＳクライアントホスト６）に与えられたアクセス権限が格納される。なお、このようなアクセス権限としては、対応する監査ログ専用デバイス５０Ａからの監査ログの読み出しのみを許可する「read」と、書き込みのみを許可する「write」と、読み出し及び書き込みの双方を許可する「read/write」とがある。

図９（Ａ）は、チャネルアダプタ２０のＣＰＵ３０が、ホスト２や監査ログ管理ホスト３からのアクセス要求データ９０（図３（Ａ））を受信した場合に、Ｉ／Ｏリクエスト処理プログラム６０に基づいて実行する第１のコマンド処理の一例を示すフローチャートである。

かかるＣＰＵ３０は、チャネルアダプタ２０が起動されると、この図９（Ａ）に示す第１のコマンド処理を開始し、まず、共有メモリ２４から監査ログアクセス制御情報テーブル５３（図８）を読み出す（ＳＰ１）。

続いてＣＰＵ３０は、ホスト２や監査ログ管理ホスト３からアクセス要求データ９０が送信されてくるのを待ち受け（ＳＰ２）、やがてかかるアクセス要求データ９０を受信すると、当該アクセス要求データ９０の「オペレーションコード」フィールド９０ＣＡ１に格納されたオペレーションコードに基づいて、与えられたコマンドが書込みコマンドであるか否かを判断する（ＳＰ３）。

ＣＰＵ３０は、この判断において肯定結果を得ると、図９（Ｂ）について後述する第１の書込みコマンド処理を実行し（ＳＰ４）、この後ステップＳＰ２に戻って、次ぎのアクセス要求データ９０が送信されてくるのを待ち受ける。

これに対してＣＰＵ３０は、ステップＳＰ３の判断において否定結果を得ると、かかるオペレーションコマンドが読出しコマンドであるか否かを判断する（ＳＰ５）。

そしてＣＰＵ３０は、この判断において肯定結果を得ると、通常のＳＣＳＩ読出しコマンド処理と同様にして、アクセス要求データ９０において指定されたデータを指定された論理デバイス５０の指定されたアドレス位置から読み出す第１の読出しコマンド処理を実行し（ＳＰ６）、この後ステップＳＰ２に戻って、次のアクセス要求データ９０が送信されてくるのを待ち受ける。

またＣＰＵ３０は、ステップＳＰ５の判断において否定結果を得ると、通常のＳＣＳＩコマンド処理と同様に、かかる第１の書込みコマンド処理及び第１の読出しコマンド処理以外の、そのアクセス要求データ９０の「オペレーションコード」フィールド９０ＣＡ１に格納されているコマンドに応じた第１のコマンド処理を実行する（ＳＰ７）。そしてＣＰＵ３０は、この後ステップＳＰ２に戻って、次のアクセス要求データ９０が送信されてくるのを待ち受ける。

図９（Ｂ）は、図９（Ａ）について上述した第１のコマンド処理のステップＳＰ４において、Ｉ／Ｏリクエスト処理プログラム６０に基づいて実行される第１の書込みコマンド処理の具体的な処理内容を示すフローチャートである。

ＣＰＵ３０は、かかる第１のコマンド処理のステップＳＰ４に進むと、この第１の書込みコマンド処理を開始し、まず、論理デバイス情報テーブル６２（図４）の先頭行の情報を読み出す（ＳＰ１０）。

続いてＣＰＵ３０は、第１のコマンド処理（図９（Ａ））のステップＳＰ２において受信したアクセス要求データ９０の「送信先識別子」フィールド９０Ａ（図３（Ａ））に格納されている送信先の識別子と、ステップＳＰ１０において論理デバイス情報テーブル６２から読み出した行の「ポート識別子」フィールド６２Ｂ（図４）に格納されているポート識別子とが一致するか否かを判断する（ＳＰ１１）。

ＣＰＵ３０は、このステップＳＰ１１において肯定結果を得ると、かかる第１のコマンド処理（図９（Ａ））のステップＳＰ２において受信したアクセス要求データ９０の「ＬＵＮ」フィールド９０ＣＢ１（図３（Ａ））に格納されているＬＵＮと、ステップＳＰ１０において論理デバイス情報テーブル６２から読み出した行の「ＬＵＮ」フィールド６２Ｃ（図４）に格納されているＬＵＮが一致するか否かを判断する（ＳＰ１２）。

そしてＣＰＵ３０は、この判断において肯定結果を得た場合には、ステップＳＰ１０において論理デバイス情報テーブル６２から読み出した行の「監査ログ専用デバイスフラグ」フィールド６２Ｄを参照して、アクセス要求データ９０においてデータ書込み先として指定されている論理デバイス５０が監査ログ専用デバイス５０Ａ（図２）であるか否かを判断する（ＳＰ１３）。

ＣＰＵ３０は、この判断において否定結果を得ると、第１のコマンド処理（図９（Ａ））のステップＳＰ２において受信したアクセス要求データ９０に格納されていた書込みコマンドが通常の書込みコマンドであるものと判断して、当該アクセス要求データ９０に続いてホスト２又は監査ログ管理ホスト３から送信されてくる書込み対象データを、指定された論理デバイス５０の指定されたアドレス位置に格納する（ＳＰ１６）。そしてＣＰＵ３０は、この後この第１の書込みコマンド処理を終了して、第１のコマンド処理（図９（Ａ））に戻る。

これに対してＣＰＵ３０は、ステップＳＰ１３の判断において肯定結果を得ると、ステップＳＰ１において読み出した監査ログアクセス制御情報テーブル５３（図８）の「アクセス権」フィールド５３Ｃを参照して、そのコマンド要求を送信してきたホスト２又は監査ログ管理ホスト３がその論理デバイス５０（監査ログ専用デバイス５０Ａ）へのデータ書込み権限を有するか否かを判断する（ＳＰ１７）。

具体的に、ＣＰＵ３０は、監査ログアクセス制御情報テーブル５３から一行ずつ情報を読み出し、読み出した行の「監査ログ専用デバイス番号」フィールド５３Ａに格納されている論理デバイス番号と、ステップＳＰ１２において特定した論理デバイス番号とを比較する。そしてＣＰＵ３０は、これらが一致した場合、ステップＳＰ２において受信したアクセス要求データ９０の「送信元識別子」フィールド９０Ｂに格納されている送信元の識別子と、当該監査ログアクセス制御情報テーブル５３のかかる行の「ホスト識別子」フィールド５３Ｂに格納されている識別子とを比較する。そしてＣＰＵ３０は、これらが一致した場合、かかる行の「アクセス権」フィールド５３Ｃを参照することで、かかるホスト２又は監査ログ管理ホスト３がその監査ログ専用デバイス５０Ａに対するデータ書込み権限を有するか否かを判断することとなる（ＳＰ１７）。

そしてＣＰＵ３０は、このステップＳＰ１７の判断において肯定結果を得ると、図９（Ｃ）について後述する監査ログ追記処理を実行し（ＳＰ１８）、この後この第１の書込みコマンド処理を終了して、第１のコマンド処理に戻る。

これに対してＣＰＵ３０は、ステップＳＰ１７の判断において否定結果を得ると、そのアクセス要求データ９０を送信したホスト２又は監査ログ管理ホスト３に対して、当該ホスト２又は監査ログ管理ホスト３がかかる監査ログ専用デバイス５０Ａに対する書込み権限を有していない旨の書込みエラーを送信し（ＳＰ１９）、この後この第１の書込みコマンド処理を終了して、第１のコマンド処理に戻る。

一方、ＣＰＵ３０は、ステップＳＰ１１又はステップＳＰ１２の判断において否定結果を得た場合には、論理デバイス情報テーブル６２（図４）に、現在対象としている行の次の行が存在するか否かを判断する（ＳＰ１４）。

そしてＣＰＵ３０は、かかる次の行が存在する場合には、当該行の情報を論理デバイス情報テーブル６２から読み出し（ＳＰ１５）、この後ステップＳＰ１２又はステップＳＰ１４において肯定結果を得るまで（該当する論理デバイス５０を検出し又は論理デバイス情報テーブル６２のすべての行についての比較を終えるまで）同様の処理を繰り返す（ＳＰ１１−ＳＰ１４−ＳＰ１５−ＳＰ１１）。

またＣＰＵ３０は、やがてステップＳＰ１４において肯定結果を得たときには、そのアクセス要求データ９０を送信してきたホスト２又は監査ログ管理ホスト３に対して、当該ホスト２又は監査ログ管理ホスト３がかかる監査ログ専用デバイス５０Ａに対する書込み権限を有していない旨の書込みエラーを送信し（ＳＰ１９）、この後この第１の書込みコマンド処理を終了して、第１のコマンド処理（図９（Ａ））に戻る。

図９（Ｃ）は、上述の第１の書込みコマンド処理（図９（Ｂ））のステップＳＰ１８におけるＣＰＵ３０の具体的な処理内容を示すフローチャートである。

ＣＰＵ３０は、第１の書込みコマンド処理（図９（Ｂ））のステップＳＰ１８に進むとこの図９（Ｃ）に示す監査ログ追記処理を開始し、まず、共有メモリ２４（図１）にデータが書き込まれないように当該共有メモリ２４をロックし（ＳＰ２０）、この後、ホスト２から送信される監査ログデータＬＤを受信する（ＳＰ２１）。

続いてＣＰＵ３０は、監査ログ専用デバイス５０Ａに空き領域があるか否かを確認し（ＳＰ２２）、空き領域があるときには、キャッシュ管理情報テーブル５１（図５）上の空行を探す（ＳＰ２４）。具体的に、ＣＰＵ３０は、キャッシュ管理情報テーブル５１の先頭行から一行ずつ読み出し、当該行の「キャッシュポインタ」フィールド５１Ａにキャッシュポインタが格納されているかどうかを確認し、キャッシュポインタが格納されていない場合に空行であると判断するという処理を実行することになる。

次いでＣＰＵ３０は、ステップＳＰ２１において受信した監査ログデータＬＤをキャッシュメモリ２３上の空き領域に書き込み（ＳＰ２５）、この後、当該監査ログデータＬＤを書き込んだキャッシュメモリ２３の記憶領域のアドレス（ポインタ）及び当該監査ログデータＬＤのデータ長を、それぞれキャッシュ管理情報テーブル５１（図５）上のステップＳＰ２４において検出した行内の「キャッシュポインタ」フィールド５１Ａ及び「キャッシュデータ長」フィールド５１Ｂに書き込む（ＳＰ２６）。

この後ＣＰＵ３０は、監査ログ制御情報テーブル５２（図７）上の監査ログ専用デバイス追記アドレス（監査ログ専用デバイス５０Ａに監査ログデータＬＤを追記する際の追記開始アドレス）が格納された「パラメータ名」フィールド５２Ａと対応する「パラメータ値」フィールド５２Ｂ内に格納されたパラメータ値（アドレス）を読み出し（ＳＰ２７）、これをステップＳＰ２４において検出したキャッシュ管理情報テーブル５１上の空行の「論理アドレス」フィールド５１Ｄに格納する。またＣＰＵ３０は、これと併せて、キャッシュ管理情報テーブル５１上のかかる行の「論理デバイス番号」フィールド５１Ｃに、ステップＳＰ１２（図９（Ｂ））において特定した論理デバイス番号を格納する（ＳＰ２８）。

続いてＣＰＵ３０は、監査ログ制御情報テーブル５２（図７）の監査ログ専用デバイス追記アドレスが格納された「パラメータ名」フィールド５２Ａに対応する「パラメータ値」フィールド５２Ｂに格納されているパラメータ値（アドレス）を、ステップＳＰ２６においてキャッシュ管理情報テーブル５１の対応する「キャッシュデータ長」フィールド５１Ｂに格納した監査ログデータ長と、ステップＳＰ２７において監査ログ制御情報テーブル５２から読み出した監査ログ専用デバイス追記アドレスの値とを加算した値に更新する（ＳＰ２９）。

次いでＣＰＵ３０は、共有メモリ２４のロックを解除し（ＳＰ３０）、この後、この監査ログ追記処理を終了して、図９（Ｂ）について上述した第１の書込みコマンド処理に戻る。

なおＣＰＵ３０は、ステップＳＰ２２において監査ログ専用デバイス５０Ａに空き領域がないことを確認したときには、受信した監査ログデータＬＤを破棄する（ＳＰ２３）。そしてＣＰＵ３０は、この後共有メモリ２４のロックを解除した後に（ＳＰ３０）、この監査ログ追記処理を終了して、図９（Ｂ）について上述した第１の書込みコマンド処理に戻る。

一方、図１０（Ａ）は、ＮＡＳボード２１のＣＰＵ３０が、監査ログ管理ホスト３又はＮＡＳクライアントホスト６からのアクセス要求データ９０（図３（Ａ））を受信した場合に、ネットワークファイルシステムサービスプログラム７０（図２）に基づいて実行する第２のコマンド処理の一例を示すフローチャートである。

ＣＰＵ３０は、ＮＡＳボード２１が起動されると、この図１０（Ａ）に示す第２のコマンド処理を開始し、まず、共有メモリ２４から監査ログアクセス制御情報テーブル５３（図８）を読み出し（ＳＰ４０）、その後、メモリ３１から監査ログ管理情報テーブル７３（図６）を読み出す（ＳＰ４１）。

続いてＣＰＵ３０は、監査ログ管理ホスト３又はＮＡＳクライアントホスト６からアクセス要求データ９０が送信されてくるのを待ち受け（ＳＰ４２）、やがてかかるアクセス要求データ９０を受信すると、当該アクセス要求データ９０の「コマンドコード」フィールド９０ＣＡ２に格納されたコマンドコードに基づいて、与えられたコマンドが書込みコマンドであるか否かを判断する（ＳＰ４３）。

ＣＰＵ３０は、この判断において肯定結果を得ると、図１０（Ｂ）について後述する第２の書込みコマンド処理を実行し（ＳＰ４４）、この後ステップＳＰ４２に戻って、次ぎのアクセス要求データ９０が送信されるのを待ち受ける。

これに対してＣＰＵ３０は、ステップＳＰ４３の判断において否定結果を得ると、かかるコマンドコマンドが読出しコマンドであるか否かを判断する（ＳＰ４５）。

そしてＣＰＵ３０は、この判断において肯定結果を得ると、図１０（Ｃ）について後述する第２の読出しコマンド処理を実行し（ＳＰ４６）、この後ステップＳＰ４２に戻って、次ぎのアクセス要求データ９０が送信されるのを待ち受ける。

またＣＰＵ３０は、ステップＳＰ４５の判断において否定結果を得ると、第１のコマンド処理と同様に、かかる第２の書込みコマンド処理（図１０（Ｂ））及び第２の読出しコマンド処理（図１０（Ｃ））以外の、そのアクセス要求データ９０の「コマンドコード」フィールド９０ＣＡ２に格納されているコマンドに応じたコマンド処理を実行する（ＳＰ４７）。そしてＣＰＵ３０は、この後ステップＳＰ４２に戻って、次のアクセス要求データ９０が送信されるのを待ち受ける。

図１０（Ｂ）は、図１０（Ａ）について上述した第２のコマンド処理のステップＳＰ４４において実行される第２の書込みコマンド処理の具体的な処理内容を示すフローチャートである。

ＣＰＵ３０は、かかる第２のコマンド処理のステップＳＰ４４に進むと、この第２の書込みコマンド処理を開始し、まず、ＮＦＳやＣＩＦＳ等のネットワークファイルシステムプロトコルにおける通常の処理と同様に、監査ログ管理ホスト３又はＮＡＳクライアントホスト６から与えられたアクセス要求データ９０の「ファイル名」フィールド９０ＣＢ２（図３（Ｃ））に格納されたパス名を、ＮＡＳボード２１上のローカルファイルシステムのパス名に変換する（ＳＰ５０）。

続いてＣＰＵ３０は、ステップＳＰ５０において得られたそのとき対象とするファイルのパス名に基づいて、監査ログ管理ホスト３又はＮＡＳクライアントホスト６から与えられたアクセス要求データ９０が監査ログ専用デバイス５０Ａへの監査ログデータＬＤの書込み要求であるか否かを判断する（ＳＰ５１）。

具体的に、ＣＰＵ３０は、監査ログ管理情報テーブル７３（図６）を先頭行から一行ずつ読み出し、ステップＳＰ５０において得られたＮＡＳボード２１上のローカルファイルシステムのパス名が、その行の「監査ログ専用ファイルパス名」フィールド７３Ｂに格納されているパス名と一致するかどうかを比較する。そしてＣＰＵ３０は、これらのパス名が一致した場合には、その行の「監査ログ専用デバイス番号」フィールド７３Ａに格納された論理デバイス番号の監査ログ専用デバイス５０Ａに対する監査ログデータＬＤの書込み要求であると判断することとなる（ＳＰ５１）。

そしてＣＰＵ３０は、このステップＳＰ５１の判断において否定結果を得たときには、通常のＳＣＳＩの書込みコマンドとして処理を行った後（ＳＰ５２）、この第２の書込みコマンド処理を終了して、第２のコマンド処理（図１０（Ａ））に戻る。

これに対してＣＰＵ３０は、ステップＳＰ５１の判断において肯定結果を得たときには、ステップＳＰ４０（図１０（Ａ））において読み出した監査ログアクセス制御情報テーブル５３（図８）を参照して、アクセス要求データ９０を送信した監査ログ管理ホスト３又はＮＡＳクライアントホスト６がその監査ログ専用デバイス５０Ａに対する監視ログデータＬＤの書込み権限を有しているか否かを判断する（ＳＰ５３）。

具体的に、ＣＰＵ３０は、監査ログアクセス制御情報テーブル５３から一行分ずつ情報を読み出し、ステップＳＰ５１において特定した論理デバイス番号と、その行の「監査ログ専用デバイス番号」フィールド５３Ａに格納された論理デバイス番号とを比較する。そしてＣＰＵ３０は、これらの論理デバイス番号が一致した場合、ステップＳＰ４２において受信したアクセス要求データ９０の「送信元識別子」フィールド９０Ａに格納されている識別子が、その行の「ホスト識別子」フィールド５３Ｂに格納されている識別子と一致するか否かを判断する。そしてＣＰＵ３０は、これらの識別子が一致した場合、その行の「アクセス権」フィールド５３Ｃを参照することで、対応する監査ログ管理ホスト３又はＮＡＳクライアントホスト６がその監査ログ専用デバイス５０Ａに対する監査ログデータＬＤの書込み権限を有するか否かを判断することとなる（ＳＰ５３）。

そしてＣＰＵ３０は、このステップＳＰ５３の判断において肯定結果を得ると、この後かかる監査ログ管理ホスト３又はＮＡＳクライアントホスト６から送信される監査ログデータＬＤに終端記号（図３（Ｆ））及びパディングデータ（図３（Ｆ））を必要に応じて追加する（ＳＰ５４）。

この後ＣＰＵ３０は、図９（Ｃ）について上述した監査ログ追記処理を実行し（ＳＰ５５）、この後、この第２の書込みコマンド処理を終了して、第２のコマンド処理に戻る。

これに対してＣＰＵ３０は、ステップＳＰ５３の判断において否定結果を得ると、そのアクセス要求データ９０を送信した監査ログ管理ホスト３又はＮＡＳクライアントホスト６に対して、当該監査ログ管理ホスト３又はＮＡＳクライアントホスト６がかかる監査ログ専用デバイス５０Ａに対する書込み権限を有していない旨の書込みエラーを送信し（ＳＰ５６）、この後この第２の書込みコマンド処理を終了して、第２のコマンド処理（図１０（Ａ））に戻る。

図１０（Ｃ）は、上述の第２のコマンド処理（図１０（Ａ））のステップＳＰ４６におけるＣＰＵ３０の具体的な処理内容を示すフローチャートである。

ＣＰＵ３０は、第２のコマンド処理のステップＳＰ４６に進むとこの図１０（Ｃ）に示す第２の読出しコマンド処理を開始し、まず、ＮＦＳやＣＩＦＳ等のネットワークファイルシステムサービスにおける通常の処理と同様に、監査ログ管理ホスト３から受信したアクセス要求データ９０の「ファイル名」フィールド９０ＣＢ２（図３（Ｃ））に格納されたパス名を、ＮＡＳボード２１上のローカルファイルシステムのパス名に変換する（ＳＰ６０）。

続いてＣＰＵ３０は、第２の書込みコマンド処理（図１０（Ｂ））のステップＳＰ５０において得られたそのとき対象とするファイルのパス名に基づいて、監査ログ管理ホスト３から与えられたアクセス要求データ９０が監査ログ専用デバイス５０Ａからの監査ログデータＬＤの読出し要求であるか否かを判断する（ＳＰ６１）。

具体的に、ＣＰＵ３０は、ステップＳＰ４１（図１０（Ａ））において読み込んだ監査ログ管理情報テーブル７３（図６）の情報を先頭行から一行ずつ読み出し、ステップＳＰ６０において得られたＮＡＳボード２１上のローカルファイルシステムのパス名が、その行の「監査ログ専用ファイルパス名」フィールド７３Ｂに格納されているパス名と一致するかどうかを比較する。そしてＣＰＵ３０は、これらのパス名が一致した場合には、その行の「監査ログ専用デバイス番号」フィールド７３Ａに格納された論理デバイス番号の監査ログ専用デバイス５０Ａからの監査ログデータＬＤの読出し要求であると判断する（ＳＰ６１）。

そしてＣＰＵ３０は、このステップＳＰ６１の判断において否定結果を得たときには、通常のＳＣＳＩの読出しコマンドとして通常のデータの読出し処理を行った後（ＳＰ６２）、この第２の読出しコマンド処理を終了して、第２のコマンド処理（図１０（Ａ））に戻る。

これに対してＣＰＵ３０は、ステップＳＰ６１の判断において肯定結果を得たときには、ステップＳＰ４０（図１０（Ａ））において読み出した監査ログアクセス制御情報テーブル５３を参照して、アクセス要求データ９０を送信した監査ログ管理ホスト３がその監査ログ専用デバイス５０Ａからの監視ログデータＬＤの読出し権限を有しているか否かを判断する（ＳＰ６３）。

具体的に、ＣＰＵ３０は、監査ログアクセス制御情報テーブル５３（図８）から一行分ずつ情報を読み出し、ステップＳＰ６１において特定した論理デバイス番号と、その行の「監査ログ専用デバイス番号」フィールド５３Ａに格納されている論理デバイス番号とを比較する。そしてＣＰＵ３０は、これらの論理デバイス番号が一致した場合、ステップＳＰ４２（図１０（Ａ））において受信したアクセス要求データ９０の「送信元識別子」フィールド９０Ａに格納されている識別子が、その行の「ホスト識別子」フィールド５３Ｂに格納されている識別子と一致するか否かを判断する。そしてＣＰＵ３０は、これらの識別子が一致した場合、その行の「アクセス権」フィールド５３Ｃを参照することで、対応する監査ログ管理ホスト３がその監査ログ専用デバイス５０Ａからの監査ログデータＬＤの読出し権限を有するか否かを判断することとなる。

そしてＣＰＵ３０は、このステップＳＰ６３の判断において肯定結果を得ると、その監査ログ専用デバイス５０Ａから対応する監査ログデータＬＤを読み出し（ＳＰ６４）、この監査ログデータＬＤに付加されている終端記号（図３（Ｆ））及びパディングデータ（図３（Ｆ））を除去する（ＳＰ６５）。

次いでＣＰＵ３０は、この監査ログデータＬＤを対応する監査ログ管理ホスト３に送信し（ＳＰ６６）、この後、この第２の読出しコマンド処理を終了して、第２のコマンド処理（図１０（Ａ））に戻る。

これに対してＣＰＵ３０は、テップＳＰ６３の判断において否定結果を得ると、そのアクセス要求データ９０を送信した監査ログ管理ホスト３に対して、当該監査ログ管理ホスト３がかかる監査ログ専用デバイス５０Ａからの監査ログデータＬＤの読出し権限を有していない旨の書込みエラーを送信し（ＳＰ６７）、この後この第２の読出しコマンド処理を終了して、第２のコマンド処理（図１０（Ａ））に戻る。

図１１は、監査ログ管理ホスト３の監査ログ管理プログラム８１からの要求に応じて記憶装置５が提供する各種サービスのうち、監査ログ専用デバイス５０Ａから特定のキーワードを含む監査ログデータＬＤだけを抽出すべき要求が与えられた場合におけるＮＡＳボード２１のＣＰＵ４０の処理内容を示すフローチャートである。

この場合、監査ログ管理ホスト３の監査ログ管理プログラム８１からは、図３（Ｄ）について上述したフォーマットの監査ログ管理コマンドフレーム９１がＮＳＡボード２１に与えられる。そして、この監査ログ管理コマンドフレーム９１では、「コマンドコード」フィールド９１Ａに監査ログデータＬＤの抽出を指示するコマンドが格納され、先頭の「パラメータ」フィールド９１Ｂに監査ログを抽出するための抽出キーワードが格納される。

そしてＮＡＳボード２１のＣＰＵ４０は、かかる監査ログ管理コマンドフレーム９１を受信すると、監査ログ管理サービスプログラム７２（図２）に基づいて図１１に示す監査ログ抽出サービス処理を実行する。

すなわち、ＣＰＵ４０は、かかる監査ログ管理コマンドフレーム９１を受信すると、監査ログ抽出サービス処理を開始し、まず、監査ログ専用デバイス５０Ａに格納された監査ログデータＬＤのうち、先頭の監査ログデータＬＤを終端符号及びパディングデータを含めて当該監査ログ専用デバイス５０Ａから読み出す（ＳＰ７０）。

続いてＣＰＵ４０は、このとき読み出した監査ログデータＬＤ中に、このとき受信した監査ログ管理コマンドフレーム９１内の「パラメータ」フィールド９１Ｂに格納されている抽出キーワードが含まれているか否かをパターンマッチングにより調査する（ＳＰ７１）。

そしてＣＰＵ４０は、その監査ログデータＬＤ中にかかる抽出キーワードが含まれていないと判断したときには、その監査ログデータＬＤが監査ログ専用デバイス５０Ａに格納された監査ログデータＬＤのうちの最後か否か、つまり監査ログ専用デバイス５０Ａに格納されたすべての監査ログデータＬＤについて同様の調査を行なったか否かを判断する（ＳＰ７３）。

ＣＰＵ４０は、この判断において否定結果を得ると、監査ログ専用デバイス５０Ａから次の調査対象となる監査ログデータＬＤを読み出し（ＳＰ７４）、この後、ＳＰ７３において肯定結果を得るまで同様の処理を繰り返す（ＳＰ７１〜ＳＰ７４−ＳＰ７１）。

またＣＰＵ４０は、ステップＳＰ７１において、その監査ログデータＬＤ中にかかる抽出キーワードが含まれていると判断したときには、その監査ログデータＬＤからパディングデータを除去し、この後当該監査ログデータＬＤを監査ログ管理プログラム８１（図２）に送信する（ＳＰ７２）。

次いでＣＰＵ４０は、その監査ログデータＬＤが監査ログデータＬＤが監査ログ専用デバイス５０Ａに格納された監査ログデータＬＤのうちの最後か否か、つまり監査ログ専用デバイス５０Ａに格納されたすべての監査ログデータＬＤについて同様の調査を行なったか否かを判断する（ＳＰ７３）。

ＣＰＵ４０は、この判断において否定結果を得ると、監査ログ専用デバイス５０Ａから次の調査対象となる監査ログデータＬＤを読み出し（ＳＰ７４）、この後、ＳＰ７３において肯定結果を得るまで同様の処理を繰り返す（ＳＰ７１〜ＳＰ７４−ＳＰ７１）。

そしてＣＰＵ４０は、やがて監査ログ専用デバイス５０Ａに格納されたすべての監査ログデータＬＤに対する同様の調査を終えることによりステップＳＰ７３において肯定結果を得ると、この監査ログ抽出サービス処理を終了する。

（１−２）本実施の形態の効果
以上のように、本実施の形態によるストレージシステム１によれば、記憶装置５が監査ログ専用デバイス５０Ａに対応付けられた特定の論理ユニットへのデータの書き込みを利用して、複数の接続ポート３２Ａ，３２Ｂ，４２を経由して受信した複数のホスト１０及び監査ログ管理ホスト３の監査ログデータＬＤを監査ログ専用デバイス５０Ａに集中保管することができる。また、ＮＡＳボード２１上の特定のファイルに対する書き込みを利用して、ネットワークファイルシステムプロトコル経由で受信した監査ログデータＬＤを当該監査ログ専用デバイス５０Ａに集中保管することができる。

従って、記憶装置５が複数のインタフェース、接続ポート３２Ａ，３２Ｂ，４２及びプロトコルを経由して受信した監査ログデータＬＤを監査ログ専用デバイス５０Ａに集中保管することが可能となり、syslogサーバの負荷を軽減することが可能となる。

またホスト（ホスト１０、監査ログ管理ホスト３及びＮＡＳクライアントホスト６）から指定された論理アドレスやファイル中のオフセットアドレスとは無関係に、記憶装置５が監査ログ専用デバイス５０Ａに監査ログデータＬＤ追記することで、監査ログデータＬＤの改竄を防止し、監査ログデータＬＤをセキュアに集中保管することが可能となる。

さらに監査ログ管理サービスプログラム７２（図２）によって監査ログの検索や抽出等のインタフェースを提供することで、監査ログ管理支援を実現することが可能となる。

（２）第２の実施の形態
（２−１）本実施の形態によるストレージシステムの構成
図１及び図２において、１００は第２の実施の形態によるストレージシステムを示す。このストレージシステム１００は、ＳＣＳＩコマンドとして、通常のＳＣＳＩ規格の書込みコマンドとは別の独自の監査ログ書込みコマンドを使用する点、監査ログ書込みプログラム８０（図２）が監査ログ専用デバイス５０Ａに対する監査ログデータＬＤの書込み要求を送信する際に、「オペレーションコード」フィールド９０ＣＡ１（図３（Ｂ））に監査ログ書込みコマンドのコード値をセットする点、Ｉ／Ｏリクエスト処理プ
ログラム６０（図２）が図９（Ａ）について上述した第１のコマンド処理の代わりに図１２に示す第３のコマンド処理に従ってコマンド処理を実行する点が第１の実施の形態によるストレージシステム１と異なる。

また本実施の形態によるストレージシステム１００は、ネットワークファイルシステムプロトコルのコマンドとして、通常のＣＩＦＳ等における書込みコマンドとは別の独自の監査ログ書込みコマンドを使用する点、監査ログ書込みプログラム８２（図２）がネットワークファイルシステムクライアントプログラム８３（図２）を使用して監査ログ専用デバイス５０Ａに対する監査ログデータＬＤの書込み要求を送信する際に、「コマンドコード」フィールド９０ＣＡ２（図３（Ｃ））に監査ログ書込みコマンドのコード値をセットする点、ネットワークファイルシステムサービスプログラム７０（図２）が図１０（Ａ）について上述した第２のコマンド処理の代わりに図１３に示す第４のコマンド処理に従ってコマンド処理を実行する点も第１の実施の形態によるストレージシステム１と異なる。

図１２は、第２の実施の形態の記憶装置１０１において、チャネルアダプタ１０２のＣＰＵ３０がメモリ１０３に格納されたＩ／Ｏリクエスト処理プログラム１０４（図２
）に基づいて実行する第３のコマンド処理の一例を示すフローチャートである。

すなわち本実施の形態において、かかるＣＰＵ３０は、チャネルアダプタ１０２が起動されると、この図１２に示す第３のコマンド処理を開始し、ステップＳＰ８０〜ステップＳＰ８５までを図９（Ａ）について上述した第１のコマンド処理のステップＳＰ１〜ステップＳＰ６と同様に処理する。

一方、ＣＰＵ３０は、ステップＳＰ８４の判断において否定結果を得たときには、ステップＳＰ８１において受信したアクセス要求データ９０の「オペレーションコード」フィールド９０ＣＡ１に格納されたオペレーションコードに基づいて、与えられたコマンドが本実施の形態において導入した監査ログ書込みコマンドであるか否かを判断する（ＳＰ８６）。

そしてＣＰＵ３０は、この判断において肯定結果を得ると、図１３について後述する監査ログ書込みコマンド処理を実行し（ＳＰ８７）、この後ステップＳＰ８１に戻って、次のアクセス要求データ９０が送信されてくるのを待ち受ける。

これに対してＣＰＵ３０は、ステップＳＰ８６の判断において否定結果を得ると、通常のＳＣＳＩコマンド処理と同様に、書込みコマンド処理若しくは読出しコマンド処理、又は監査ログ書き込みコマンド処理以外のコマンド処理を実行し（ＳＰ８８）、この後ステップＳＰ８１に戻って、次のアクセス要求データ９０が送信されてくるのを待ち受ける。

図１３は、図１２について上述した第３のコマンド処理のステップＳＰ８７において、Ｉ／Ｏリクエスト処理プログラム１０４に基づいて実行される第３の書込みコマンド処理の具体的な処理内容を示すフローチャートである。

ＣＰＵ３０は、かかる第３のコマンド処理のステップＳＰ８７に進むと、この第３の書込みコマンド処理を開始し、まず、図１２について上述した第３のコマンド処理のステップＳＰ８０において読み出した監査ログアクセス制御情報テーブル５３（図８）を参照して、アクセス要求データ９０を送信したホスト２が監査ログ専用デバイス５０Ａへの書き込み権限を持つか否かを確認する。なお、この場合におけるＣＰＵ３０の具体的な処理内容は、図９（Ｂ）について上述した第１の書込みコマンド処理のステップＳＰ１７と同様である。

そしてＣＰＵ３０は、この判断において肯定結果を得た場合には、図９（Ｃ）について上述した監査ログ追記処理を実行することにより、その後ホスト２から送信されてくる監査ログデータＬＤを監査ログ専用デバイス５０Ａに追記し、この後この監査ログ書込みコマンド処理を終了して、第３のコマンド処理（図１２）に戻る。

これに対してＣＰＵ３０は、そのときアクセス要求データ９０を送信したホスト２に対して、当該ホスト２がかかる監査ログ専用デバイス５０Ａに対する書込み権限を有していない旨の書込みエラーを送信し（ＳＰ９２）、この後この第３の書込みコマンド処理を終了して、第２のコマンド処理に戻る。

一方、図１４は、第２の実施の形態の記憶装置１０１において、ＮＡＳボード１１０のＣＰＵ４０が、監査ログ管理ホスト３又はＮＡＳクライアントホスト６からのアクセス要求データ９０（図３（Ａ））を受信した場合に、メモリ１１１に格納されたネットワークファイルシステムサービスプログラム１１２（図２）に基づいて実行する第４のコマンド処理の一例を示すフローチャートである。

ＣＰＵ４０は、ＮＡＳボード１１０が起動されると、この図１４に示す第４のコマンド処理を開始し、ステップＳＰ１００〜ステップＳＰ１０６までを図１０（Ａ）について上述した第２のコマンド処理のステップＳＰ４０〜ステップＳＰ４６と同様に処理する。

一方、ＣＰＵ４０は、ステップＳＰ１０６の判断において否定結果を得たときには、ステップＳＰ１０２において受信したアクセス要求データ９０の「コマンドコード」フィールド９０ＣＡ２に格納されたコマンドコードに基づいて、与えられたコマンドが本実施の形態において導入した監査ログ書込みコマンドであるか否かを判断する（ＳＰ１０７）。

そしてＣＰＵ４０は、この判断において肯定結果を得ると、図１３について上述した監査ログ書込みコマンド処理を実行し（ＳＰ１０８）、この後ステップＳＰ１０２に戻って、次のアクセス要求データ９０が送信されてくるのを待ち受ける。

これに対してＣＰＵ４０は、ステップＳＰ１０６の判断において否定結果を得ると、通常のＳＣＳＩコマンド処理と同様に、書込みコマンド処理若しくは読出しコマンド処理、又は監査ログ書き込みコマンド処理以外のコマンド処理を実行し（ＳＰ１０９）、この後ステップＳＰ１０２に戻って、次のアクセス要求データ９０が送信されてくるのを待ち受ける。

（２−２）本実施の形態の効果
以上のように第２の実施の形態のストレージシステム１００によれば、第１の実施形態同様、記憶装置１０１が監査ログ専用デバイス５０Ａへの監査ログデータＬＤの追記を行うことで、syslogサーバの負荷を軽減し、記憶装置１０１上にセキュアに監査ログを集中保管することができる。さらに、通常のＳＣＳＩ規格やネットワークファイルシステムプロトコルの書き込みコマンドとは別に監査ログ書き込みコマンドを用意することで、第１の実施の形態のように監査ログ専用デバイス５０Ａに対応付けられた特定の論理ユニットやファイルを用意する必要がないため、記憶装置１０１の設定の簡略化や、Ｉ／Ｏリクエスト処理プログラム１０４やネットワークファイルシステムサービスプ
ログラム１１２に基づく第３及び第４の書込みコマンド処理の処理内容を削減することができる。

（３）他の実施の形態
なお上述の第１及び第２の実施の形態においては、情報の保持形態としてテーブルを使用する場合を例に挙げて説明したが、本発明はこれに限らず、情報の保持形態としてこの他種々の保持形態を広く適用することができる。

また上述の第１及び第２の実施の形態においては、ホスト２、監査ログ管理ホスト３及びＮＡＳクライアントホスト６の監査ログデータＬＤを記憶装置１の内部に設定された監査ログ専用デバイス５０Ａに格納するようにした場合について述べたが、本発明はこれに限らず、例えばかかる監査ログ専用デバイス５０Ａを記憶装置１に外部接続された外部記憶装置内に設け、かかるホスト２等から記憶装置１に送信される監査ログを、記憶装置１の制御のもとにかかる外部記憶装置内の監査ログ専用デバイス５０Ａに読み書きするようにしても良い。

本発明は、種々の構成のストレージシステムに広く適用することができる。

ストレージシステムの全体構成例を示すブロック図である。 プログラム及びデータの構成例を示すブロック図である。 （Ａ）−（Ｇ）は、アクセス要求データ、コマンドフレーム、監査ログ管理コマンド、監査ログデータ及び監査ログの構成例をそれぞれ示す概念図である。 論理デバイス情報テーブルの構成例を示す概念図である。 キャッシュ管理情報テーブルの構成例を示す概念図である。 監査ログ管理情報テーブルの構成例を示す概念図である。 監査ログ制御情報テーブルの構成例を示す概念図である。 監査ログアクセス制御情報テーブルの構成例を示す概念図である。 第１のコマンド処理の処理手順を示すフローチャートである。 第１の書込みコマンド処理の処理手順を示すフローチャートである。 監査ログ追記処理の処理手順を示すフローチャートである。 第２のコマンド処理の処理手順を示すフローチャートである。 第２の書込みコマンド処理の処理手順を示すフローチャートである。 第２の読出しコマンド処理の処理手順を示すフローチャートである。 監査ログ抽出サービス処理の処理手順を示すフローチャートである。 第３のコマンド処理の処理手順を示すフローチャートである。 監査ログ書込みコマンド処理の処理手順を示すフローチャートである。 第４のコマンド処理の処理手順を示すフローチャートである。

符号の説明

１，１０１……記憶装置、２……ホスト、３……監査ログ管理ホスト、４……ＳＡＮ、５，１０１……記憶装置、６……ＮＡＳクライアントホスト、７……ＬＡＮ、２０，１０２……チャネルアダプタ、２１，１１０……ＮＡＳボード、２３……キャッシュメモリ、２４……共有メモリ、３０，４０……ＣＰＵ、３１，４１，１０３，１１１……メモリ、５０……論理デバイス、５０Ａ……監査ログ専用デバイス、５１……キャッシュ管理情報テーブル、５２……監査ログ制御情報テーブル、５３……監査ログアクセス制御情報テーブル、６０，１０４……Ｉ／Ｏリクエスト処理プログラム、６１……監査ログ追記プログラム、６２……論理デバイス情報テーブル、７０，１１２……ネットワークファイルシステムサービスプログラム、７２……監査ログ管理サービスプログラム７２、７３……監査ログ管理情報テーブル、ＬＤ……監査ログデータ。

Claims (18)

1. 上位装置及び記憶装置がネットワークを介して接続されたストレージシステムにおいて、
   前記上位装置は、
   当該上位装置における所定の監査事象の発生を示す情報でなる監査ログを前記ネットワークを介して前記記憶装置に送信し、
   前記記憶装置は、
   前記上位装置から前記ネットワークを介して与えられるデータを格納するための記憶領域上に定義された１つ以上の論理ユニットをそれぞれ前記ネットワークに接続するための１つ以上の接続ポートを備え、前記上位装置から送信される前記監査ログを、前記論理ユニット上に設定された前記監査ログを格納する領域でなる監査ログ格納領域に読み書きする
   ことを特徴とするストレージシステム。
2. 前記記憶装置は、
   当該記憶装置に関連する管理操作を行なうための管理インタフェースを備え、
   前記管理インタフェースを介して前記監査ログ格納領域を定義する
   ことを特徴とする請求項１に記載の記憶装置。
3. 前記上位装置は、
   当該上位装置の前記監査ログを、特定の前記論理ユニットに対する書込み要求として前記記憶装置に送信する
   ことを特徴とする請求項１に記載のストレージシステム。
4. 前記記憶装置は、
   前記上位装置から送信される前記書込み要求において指定された、前記監査ログの書込み先の論理アドレスに関わりなく、当該監査ログを前記監査ログ格納領域に追記する
   ことを特徴する請求項３に記載のストレージシステム。
5. 前記記憶装置は、
   前記上位装置から複数の前記接続ポートを経由して送信される前記監査ログを、前記監査ログ格納領域に格納する
   ことを特徴とする請求項１に記載のストレージシステム。
6. 前記上位装置は、
   当該上位装置の前記監査ログを、特定のファイルに対する書込み要求として前記記憶装置に送信し、
   前記記憶装置は、
   前記上位装置から送信される前記監査ログを、当該監査ログと同じフォーマットで前記監査ログ格納領域に格納する
   ことを特徴とする請求項１に記載のストレージシステム。
7. 前記記憶装置は、
   前記上位装置から送信される前記書込み要求において指定された、前記監査ログの書込み先の論理アドレスに関わりなく、前記監査ログを前記監査ログ格納領域に追記する
   ことを特徴する請求項６に記載のストレージシステム。
8. 前記記憶装置は、
   前記上位装置から送信される前記監査ログ格納領域に対する書込み要求又は読出し要求を特定の前記上位装置に制限する
   ことを特徴する請求項１に記載のストレージシステム。
9. 前記記憶装置は、
   前記上位装置に対して、前記監査ログ格納領域に格納された前記監査ログを検索及び又は抽出するための監査ログ管理インタフェースを提供する
   ことを特徴する請求項１に記載のストレージシステム。
10. 上位装置及び記憶装置がネットワークを介して接続されたストレージシステムの前記上位装置における所定の監査事象の発生を示す情報でなる監査ログを管理する監査ログ管理方法において、
    前記上位装置が、当該上位装置の前記監査ログを前記ネットワークを介して前記記憶装置に送信する第１のステップと、
    前記記憶装置が、前記上位装置から送信される前記監査ログを、前記論理ユニット上に設定された監査ログを格納する領域でなる監査ログ格納領域に読み書きする第２のステップと
    を備えることを特徴とする監査ログ管理方法。
11. 前記第１のステップの前に、
    前記記憶装置に関連する管理操作を行なうための管理インタフェースを介して与えられた前記外部操作に応じて、前記監査ログ格納領域を予め定義する
    ことを特徴とする請求項１０に記載の監査ログ管理方法。
12. 前記第１のステップでは、
    前記上位装置が、当該上位装置の前記監査ログを、特定の前記論理ユニットに対する書込み要求として前記記憶装置に送信する
    ことを特徴とする請求項１０に記載の監査ログ管理方法。
13. 前記第２のステップでは、
    前記記憶装置が、前記上位装置から送信される前記書込み要求において指定された、前記監査ログの書込み先の論理アドレスに関わりなく、当該監査ログを前記監査ログ格納領域に追記する
    ことを特徴する請求項１２に記載の監査ログ管理方法。
14. 前記第２のステップでは、
    前記記憶装置が、前記上位装置から複数の接続ポートを経由して送信される前記監査ログを、前記監査ログ格納領域に格納する
    ことを特徴とする請求項１０に記載の監査ログ管理方法。
15. 前記第１のステップでは、
    前記上位装置が、当該上位装置の前記監査ログを、特定のファイルに対する書込み要求として前記記憶装置に送信し、
    前記第２のステップでは、
    前記記憶装置が、前記上位装置から送信される前記監査ログを、当該監査ログと同じフォーマットで前記監査ログ格納領域に格納する
    ことを特徴とする請求項１０に記載の監査ログ管理方法。
16. 前記第２のステップでは、
    前記記憶装置が、前記上位装置から送信される前記書込み要求において指定された、前記監査ログの書込み先の論理アドレスに関わりなく、前記監査ログを前記監査ログ格納領域に追記する
    ことを特徴する請求項１５に記載の監査ログ管理方法。
17. 前記第２のステップでは、
    前記記憶装置が、前記上位装置から送信される前記監査ログ格納領域に対する書込み要求又は読出し要求を特定の前記上位装置に制限する
    ことを特徴する請求項１０に記載の監査ログ管理方法。
18. 前記第２のステップでは、
    前記記憶装置が、前記上位装置に対して、前記監査ログ格納領域に格納された前記監査ログを検索及び又は抽出するための監査ログ管理インタフェースを提供する
    ことを特徴する請求項１０に記載の監査ログ管理方法。

Images