JP2008191858A - 端末監視装置と端末監視装置のためのプログラム - Google Patents

Abstract

【課題】ネットワークに接続された端末の操作をリアルタイムで監視すると共に、その操作の確認を容易とすることが可能な端末監視装置とそのような端末監視装置のためのプログラムを提供する。
【解決手段】ネットワークに接続された端末における操作を監視する端末監視装置は、端末１からキャプチャされた操作画面情報を取得するキャプチャ画像取得部２３と、端末１から操作ログ情報を取得する操作ログ情報取得部２４と、操作ログ情報に含まれている操作イベントの操作評価値を算定する操作イベント評価部２６と、操作評価値に基づいて明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化部３０と、操作画面情報に強調イメージを合成して監視画面として表示する監視画像表示部２９とを備える。
【選択図】図２

Description

本発明は、ネットワークに接続された端末の操作を監視する端末監視装置とそのような端末監視装置のためのプログラムに関する。

近年、企業等において文書ファイル等はコンピュータを利用して作製される状況が非常に多くなっている。一方で、イントラネットやローカルエリアネットワーク等のネットワークを介して文書ファイル等の送受信を行う環境も広まっている。このような環境の中、不正な目的を持ってネットワークを介して重要な文書ファイル等に対して書き換えや削除を行うケースが少なくない。このような不正操作を監視するために、ユーザの操作履歴を操作履歴ファイルに記録して保護することにより、全ての操作内容を把握し、常に監視用端末からネットワーク内で操作を行っているユーザの操作内容をリアルタイムに監視する保護方法が知られている（例えば、特許文献１）。この特許文献１に係る保護方法は、ネットワーク内のユーザの操作内容をリアルタイムに監視し不正操作があった事が、後に判明した場合においても操作履歴ファイルを解析することにより不正操作の追跡を可能とし、ネットワーク内のセキュリティを確保している。

また、監視対象コンピュータシステムの操作履歴ログを監視することにより、不正入力や不正操作をリアルタイムで監視することができる不正操作監視装置も知られている（例えば、特許文献２）。この特許文献２に係る不正操作監視装置では、コンピュータシステムの操作ログ情報を常に監視することにより、不正操作が行われた際にリアルタイムで発見することが可能となる。しかしながら、これらの特許文献１や特許文献２に係る技術では、単にリアルタイム映像の再生、或いは、録画した画像の再生であるため、例えば、ネットワークやコンピュータシステムの監視者が視覚的に不正操作を把握することが難しく、どこに着目すればよいかがわかりづらいといった問題があった。

特開２０００−３５４０３６号公報（第２―５頁） 特開２００２−２５８９７２号公報（段落番号００１８、００１９等）

本発明の目的は、上記問題に鑑みネットワークに接続された端末の操作をリアルタイムで監視すると共に、その操作の確認を容易とすることが可能な端末監視装置とそのような端末監視装置のためのプログラムを提供することである。

上記目的を達成するための本発明に係る、端末監視装置の特徴は、ネットワークに接続された端末における操作を監視し、前記端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得部と、前記端末から操作ログ情報を取得する操作ログ情報取得部と、前記操作ログ情報に含まれている操作イベントの操作評価値を算定する操作イベント評価部と、前記操作評価値に基づいて明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化部と、前記操作画面情報に前記強調イメージを合成して監視画面として表示する監視画像表示部と、を備える点にある。

このような構成とすれば、ネットワークに接続された端末の操作画面に基づいてキャプチャされたキャプチャ画像と、ファイル操作等に基づいて記録される操作ログ情報とにより操作イベントの操作評価値を容易に算定することができる。この算定により操作イベントが要明示操作イベントであると算定された場合には、その操作を強調する強調イメージをキャプチャ画像に合成することにより、端末におけるユーザの操作を監視することが容易となる。

また、前記端末監視装置は、前記操作イベント評価部が、操作イベント画面位置算定部が算定する画面位置情報に基づいて前記操作評価値を算定する構成とすると好適である。このような構成とすれば、操作イベント画面位置算定部がマウスカーソルの画面位置情報に基づいてマウスカーソルがアイコン上にあるのか否かを容易に判定することができる。したがって、この判定結果に基づいてマウスカーソルがアイコン上にある場合に操作評価値が高いと算定するようにすれば、ダブルクリック等のマウス操作を行う前に着目することができるため、容易に監視することができる。

また、前記端末監視装置は、前記監視画像表示部が、キーボードによる操作に基づいてキーボードイメージ生成部が生成するキーボードイメージを前記強調イメージとして合成して表示する構成とすると好適である。このような構成とすれば、マウス操作だけでなくキーボードによるショートカットキー操作に対しても要明示操作イベントであるか否かを判定し、要明示操作イベントであれば強調イメージを表示することができるため、キャプチャ画像からは判別し難いキーボードによる操作も監視することが可能となる。

また、前記端末監視装置が、前記操作イベント特殊画像化部が、前記強調イメージとして前記要明示操作イベントを説明する表示を生成する構成とすると好適である。また、前記操作イベント特殊画像化部が、前記強調イメージをポインティングデバイスのカーソルに対して明示すると共に、前記カーソルの移動速度に応じて前記強調イメージの大きさを変更するように構成しても良いし、前記強調イメージが、前記要明示操作イベントの発生時点から所定時間経過後まで明示されるように構成しても良い。更には、前記監視画面が、前記要明示操作イベントの発生時点から少なくとも所定時間経過後まで保存されるようにしても良いし、前記監視画像表示部が、前記要明示操作イベントの発生時に前記監視画面を一時停止するようにしても良い。このように強調イメージを状況に応じて変更して表示する構成とすると、視覚的にわかりやすくすることができるため、監視を容易とすることができる。また、要明示操作イベントの発生時点から、所定時間経過後まで保存したり、要明示操作イベントが発生した際に監視画面を一時停止したりする構成とすると、要明示操作イベントの見逃しを防止することができるため、更に、監視が容易となる。

また、前記端末監視装置は、前記監視画像表示部が、前記キャプチャ画像取得部から取得した前記操作画面情報に前記強調イメージを合成した領域を監視画面として表示すると共に、前記合成した領域以外の領域は画像処理して表示する構成とすれば好適である。このような構成とすれば、操作を監視すると共に、監視対象とならない領域のキャプチャ画像はモザイク処理やマスク処理等の画像処理を行って表示することによりユーザのプライバシーも確保することができる。

更に、本発明では、ネットワークに接続された端末における操作を監視する端末監視装置のためのプログラムも権利範囲としており、前記端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得機能と、前記端末から操作ログ情報を取得する操作ログ情報取得機能と、前記操作ログ情報に含まれている操作イベントの操作評価値を算定する操作イベント評価機能と、前記操作評価値に基づいて明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化機能と、前記操作画面情報に前記強調イメージを合成して監視画面として表示する監視画像表示機能と、をコンピュータに実現させることが可能である。

〔本発明の第一実施形態〕
以下、本発明に係る端末監視装置の一例として、図１のように構成されたコンピュータネットワークシステムを用いて説明する。図１は、このコンピュータネットワークシステムを模式的に示した構成図であり、ユーザにより各種ファイルの作成、閲覧、複写、修正、削除、印刷等の操作が行われる端末１と、この端末１において行われたファイル操作の操作状況を監視する端末監視サーバ２とからなる。端末１を使用するユーザのユーザ識別情報と、端末１のモニタに表示される操作画面に基づく操作画面情報と、ファイル操作に基づいて記録される操作ログ情報とが、各端末１から端末監視サーバ２に送信される。したがって、各端末１におけるファイル操作やモニタに表示される操作画面が端末監視サーバ２にリアルタイムで表示される状態にある。

図２は、端末１と端末監視サーバ２の機能ブロックを示す図である。端末１は、ネットワークに接続された汎用パソコンで構成されるが、図２においては、本発明に特に関係する機能のみを示すこととする。ユーザは、端末１を利用するためにユーザ名とパスワードを入力することによりログインする必要がある。このログインは、端末１を利用可能とすると共に、コンピュータネットワークへのログインも可能とする。このログイン処理を通じて得られたユーザ名は、ユーザ識別情報生成部１２において、そのままで或いは必要に応じてユーザコード等に変換され、端末１を識別するための端末ＩＤとともに端末監視サーバ２に送るユーザ識別情報に組み込まれる。

ユーザが何らかのファイル操作を行う際には、まず操作対象となるファイルを指定し、指定されたファイルに対して処理命令を行う。この処理命令にしたがって、図示しない端末１の演算処理部は閲覧命令、複写命令、修正命令、削除命令、印刷命令等の命令に応じたデータ処理を指定されたファイルに対して実行する。その際のユーザによる操作状況は、端末１が備えるモニタ（図示しない）に表示される操作画面を操作画面情報として画像キャプチャ部１３によりキャプチャされると共に、その操作ログに基づいて操作ログ情報が操作ログ情報生成部１４により生成される。この操作ログ情報にはユーザによるファイル操作の情報だけでなく、端末１が入力デバイスとして備えるマウスやキーボード３３等の操作情報も含まれ、マウスカーソルＣｕの座標位置等に関する情報も含まれる。なお、マウスカーソルＣｕの移動速度は、このマウスカーソルＣｕの座標位置から算出可能である。

ユーザ識別情報生成部１２によって生成されたユーザ識別情報、画像キャプチャ部１３によってキャプチャされた操作画面情報、操作ログ情報生成部１４によって生成された操作ログ情報は、ネットワークインタフェース１１を通じて、ネットワークで接続された端末監視サーバ２に送られる。なお、これらのユーザ識別情報と操作画面情報と操作ログ情報とは端末監視サーバ２に対して個別に送っても良いし、一体化して端末ファイル情報として送っても良い。

端末監視サーバ２は、端末１から送られるこれらの情報を端末監視サーバ２が備えるネットワークインタフェース２１を介して取得する。ユーザ識別情報はユーザ識別情報取得部２２により取得され、操作画面情報はキャプチャ画像としてキャプチャ画像取得部２３により取得される。また、操作ログ情報は操作ログ情報取得部２４により取得される。これらの各情報は、各端末１の起動から終了するまでの間、端末監視サーバ２に送られてくることから、端末監視サーバ２では各端末１におけるファイル操作やモニタに表示される操作画面がリアルタイムで表示されることとなる。したがって、この表示されている内容を確認することにより、端末１の操作状況を把握することが可能となる。

操作ログ情報取得部２４により取得された操作ログ情報に記録された操作イベントに基づいて、その操作イベントが行われた画面位置を操作イベント画面位置算定部２５が算定する。この算定された画面位置によりマウスによるダブルクリック操作やドラッグ操作等が行われた位置を認識することが可能となり、また、キーボード操作によるファイル操作等が行われた位置の認識も可能となる。

操作イベント評価部２６は操作イベントの操作評価値の算定を行う。この操作評価値の算定は、操作評価値テーブル格納部２７に格納される操作評価値テーブル２７ａに基づいて算定される（詳細は後述）。操作イベント特殊画像化部３０は、操作評価値に基づいて明示が必要であると判定された要明示操作イベントがあったことを端末監視サーバ２における監視者に対して明示するための強調イメージの生成を行う。

キャプチャ画像取得部２３により操作画面情報として取得されたキャプチャ画像は、監視画像表示部２９に送られる。このキャプチャ画像と操作ログ情報から得られた操作イベントの時間的概念を考えると、キャプチャ画像はリアルタイムで表示されているが、操作イベントは操作イベント毎の断片的な記録でしかないために両者の時間的概念が必ずしも一致するとは限らない。したがって、操作イベント評価部２６により操作評価値に基づいて明示が必要であると判定された操作イベントのタイムスタンプと、キャプチャ画像のタイムスタンプとが一致するように同期をとる必要がある。この同期をとるために監視画像表示部２９には同期部２９ａが備えられている。監視画像表示部２９は、キャプチャ画像取得部２３から送られるキャプチャ画像と操作イベント特殊画像化部３０から送られる強調イメージとを同期させて合成し、ＶＲＡＭ（Video Random Access Memory）３１を介してモニタ３２に監視画面として表示する。この強調イメージに関しては、後述することとする。

また、端末１のキーボード操作により操作イベントが発生した場合には、キーボードイメージ生成部２８が生成するキーボードイメージ３４と操作イベント特殊画像化部３０により生成される強調イメージとキャプチャ画像とが監視画像表示部２９により合成され、ＶＲＡＭ３１を介してモニタ３２に出力される。このようにすると、操作画面情報からは判別し難いキーボード３３によるファイル操作等も端末監視サーバ２において監視することが容易となる。

次に、操作評価値テーブル格納部２７に格納される操作評価値テーブル２７ａについて説明する。操作評価値テーブル２７ａは、端末１で行われた操作イベントがどれくらいの操作評価値であるかを算定するための操作イベントと操作評価値との関係を示すテーブルである。この操作評価値テーブル２７ａの一例を図３に示す。図３に示す例では１０段階表示で操作評価値が大きくなるにつれて強調イメージの明示の必要性が高くなるように付与されている。図３に示されるように「ファイルの削除」や「ファイルの名称変更」等のように必要性が高い操作と考えられる操作イベントには「８」や「７」のような高い操作評価値が付与され、「プログラムの起動」や「プログラムの終了」や「ファイルの作成」等のように必要性が低い操作と考えられる操作イベントには「３」や「２」や「１」のように低い操作評価値が付与される。また、「ファイルのコピー」や「ファイルの移動」や「印刷」等の操作イベントには中程度の操作評価値が付与されている。

操作イベントが、操作評価値テーブル２７ａに示される所定の操作評価値以上の操作イベントであれば、操作イベント評価部２６は、この操作イベントは強調イメージの明示が必要であると判定する。この判定に基づいて、操作イベント特殊画像化部３０により強調イメージが生成される。この操作評価値は、単なる一例でありコンピュータネットワークシステムの管理者により任意に設定することは当然に可能であるし、状況に応じて変更することも当然に可能である。また、図３に示された操作イベント以外の操作イベントに関して操作評価値を定めることも当然に可能である。

次に、端末監視サーバ２が備えるモニタ３２に映される監視画面について説明する。ここで、説明に使用する監視画面は端末１の操作状況を端末監視サーバ２によりリアルタイムで表示される画像となる。図４は、ユーザがデスクトップ上のアイコンをダブルクリックしてプログラムを起動する場合における強調イメージの合成の一例を示す監視画面である。キャプチャ画像取得部２３に格納されるキャプチャ画像は監視画像表示部２９に送られ表示される（図４（ａ）参照）。

また、監視画面の下部には、監視の対象とする端末１の切り替えを行う対象端末切り替えメニュー５１が配設されている。また、リアルタイムで表示されている操作画面を別に備える記録部に記録する構成とすることも可能であるが、表示中に個別に記録することも可能である。この記録を開始する開始ボタン５３と停止する停止ボタン５２も監視画面の下部に配設される。また、記録した際の記録時間を表示する記録時間表示部５４も配設される。端末監視サーバ２における監視者は、これらのボタンを操作して各端末１の表示されている操作画面を必要に応じて記録し、監視することが可能となる。

マウスカーソルＣｕがデスクトップのアイコン（ｉｃｏｎ）の上に移動し、例えば、ダブルクリックによるプログラム起動等の所定の操作イベントが行われるとマウスカーソルＣｕの位置を強調するために、図４（ｂ）のようにマウスカーソルＣｕを中心とするサークル状のマーキングＭを表示する。このマーキングＭは操作イベント特殊画像化部３０により生成される。このようにマーキングＭを表示することにより、マウスカーソルＣｕの位置が視覚的に判別しやすくなる。また、この際、図４（ｃ）のように表示している監視画面上に「プログラム起動」の文字を吹き出し表示することにより操作イベントを強調表示することも可能である。この吹き出し表示も操作イベント特殊画像化部３０により生成され、監視画像再生部２９に送られることによりキャプチャ画像と合成される。このようにキャプチャ画像と強調イメージとを合成して表示することにより、端末監視サーバ２で操作を視覚的に把握することが可能となる。

また、例えば操作評価値テーブル２７ａに示された操作評価値に応じて、所定の操作イベントが行われた場合には、所定の時間経過するまでマウスカーソルＣｕを追跡するようにマーキングＭを表示する構成とすることも好適である。更には、操作評価値に応じて追跡時間を長くする構成とすることも可能である。このような構成とすれば、視覚的に操作を把握することが可能であるし、連続して操作が行われる場合に対して有効である。

上記のようなマウスカーソルＣｕの追跡マーキング中にマウスカーソルＣｕの動く速さに応じてマーキングＭの大きさを変化させることにより視覚的に認識させることも可能である。例えば、マウスカーソルＣｕの動きが速いときには、ダブルクリック等の操作を行う可能性が低いと考えられるため図５（ａ）のようにマーキングＭの大きさを小さくし、マウスカーソルＣｕの動きが遅いときや停止したときには、マウスカーソルＣｕ周辺のアイコン等を選択したり、ドラッグアンドドロップ等をしたりする可能性があることからマウスカーソルＣｕ周辺に着目する必要があるためにマーキングＭの大きさを図５（ｂ）のように大きくすることも可能である。このようにマウスカーソルＣｕの動く速さに合わせてマーキングＭの大きさを変えることにより、操作が行われる前から着目することが可能となる。

更に、端末監視サーバ２で操作を把握しやすくするために、ダブルクリック等の操作イベントの発生時にマーキングＭの表示を変更する構成とすることも好適である。例えば、図６（ａ）のようにマウスカーソルＣｕのマーキングＭを２重円に変更したり、図６（ｂ）のようにマウスカーソルＣｕのマーキングＭを四角に変更したり、図６（ｃ）のようにマーキングＭを破線に変更したりすることも可能である。また、図示はしないが、マーキングＭの線幅や色を変更したり、点滅させたりすることも当然に可能である。更には、操作評価値テーブル２８ａに示された操作評価値に応じて段階的にマーキングＭを変更することも好適である。このように操作イベントの発生や、操作評価値に応じてマーキングＭを変更することにより、着目すべき箇所を周辺に対して拡張したり、操作評価値が高い旨を示唆したりすることが可能となる。

端末１にはキーボード３３が備えられており、キーボード３３のショートカットキーによるファイル操作も可能である。例えば、アプリケーションの多くは「コントロール」キーと「Ｘ」キーとを同時に押すことにより削除コマンドとして動作するように設定されている。また、単に「ＤＥＬＥＴＥ」キーを押すことによって削除することも可能である。このようなキーボード３３による操作は、キャプチャ画像から判別することは容易ではない。このような場合には、操作ログに記録されたキーボード操作をキーボードイメージ生成部２８が生成するキーボードイメージ３４に強調イメージを合成することにより着目することが可能となる。例えば、図７に示されるように「コントロール（ＣＴＲＬ）」キーと「Ｘ」キーとにより削除が行われる際には、モニタ３２にキャプチャ画像と共にキーボードイメージ３４を表示し、例えば「ＣＴＲＬ」キーと「Ｘ」キーとを塗りつぶす等の強調イメージを表示する。このキーの表示と共に「削除」の文字を吹き出し表示することも可能であり、このような構成とすればキーボード３３による操作を容易に認識することが可能となる。

〔本発明の第二実施形態〕
第一実施形態として、キャプチャ画像と強調イメージとの合成画像をモニタ３２に表示されるとして説明した。本発明に係る別実施形態として、強調イメージとして使用されるマーキングＭ内の領域を監視画面としてモニタ３２に表示し、マーキングＭの外側の領域はモザイク処理やマスク処理等の画像処理を行う構成とすることも好適である。モザイク処理を行った場合の例を図８に示す。このような構成とすることにより、操作を監視すると共に、ユーザのプライバシーを確保することも可能となる。

〔その他の実施形態〕
上記の各実施形態では、各端末１の操作画面情報を常時、端末監視サーバ２に送られるとして説明したが、これに限らない。例えば、所定の時間間隔で送ることにより監視することも当然に可能である。このような構成とすれば、端末監視サーバ２の処理能力の低下を防止することができる。

上記の各実施形態では、監視画面において対象とする端末１の名称のみを表示して説明したが、これに限らない。例えば、各端末１から送られるユーザ識別情報を監視画面に表示するように構成することも、当然に可能である。このような構成とすれば、操作画面が表示されている端末１を使用しているユーザの特定が容易となる。

上記の各実施形態では、監視画面において１台の端末１に関して表示されるとして説明したが、これに限らない。例えば、複数台の端末１を端末監視２に並べて表示し、同時に表示することも当然に可能である。

上記の第二実施形態として、画像強調イメージとして使用されるマーキングＭ内の領域を監視画面としてモニタ３２に表示し、マーキングＭの外側の領域はモザイク処理やマスク処理等の画像処理を行うとして説明したが、これに限らない。例えば、マーキングＭの外側の領域は完全に表示しないようにすることも当然に可能であるし、使用している色数を減らしたり、解像度を落としたりすることも可能である。このような構成とすれば、画像ファイルの容量を抑えることによりＶＲＡＭ３４のメモリ消費も抑えることができるため、描画速度の低下を防止することが可能となる。

上記実施形態において、強調イメージが、発生時点から所定時間後まで明示されるように構成すると好適である。また、要明示操作イベントが発生した際には、発生時点から少なくとも所定時間経過後まで保存されたり、更には、要明示操作イベントの発生時に前記監視画面を一時停止したりする構成とすると好適である。このように構成すると、録画再生中に監視すべき操作を見落とすことがなくなり、監視が容易となる。

上記の各実施形態では、ファイル操作に関する操作の監視について説明したが、これに限らない。例えば、アプリケーション上での操作やアプリケーションの起動そのものを監視することも本発明に係る端末監視装置の権利範囲であることは当然である。

上記の各実施形態では、端末監視サーバ２が単独のコンピュータにより構築されているとして説明したが、これに限らない。端末監視サーバ２の機能を区分けして、複数のコンピュータに分散させても良く、例えば、端末監視サーバ２におけるキャプチャ画像取得部２３をファイルサーバのようなデータ取得専用機に振り分け、このデータ取得専用機から操作画面情報や操作ログ情報を読み出して種々の処理を施し監視モニタに表示させる独立した監視端末を配置させても良い。この監視端末とデータ取得専用機をネットワークで接続することで、いつでもどこからでも端末を監視することができる。

なお、本仕様書で用いられているキャプチャ画像とは、操作画面をキャプチャして得られた静止画ファイルやその静止画ファイルの集合体、及び連続した静止画を動画化して得られた動画ファイルや動画ファイルの集合体を総称している。従って、端末１から端末監視サーバ２に送信されるキャプチャ画像は静止画であっても動画であっても良い。動画の形式で端末１から端末監視サーバ２に送信される場合は、端末１のフォーマッタ部に静止画を動画化する機能が備えられることになる。また、端末１の操作画面（キャプチャ画面）をモニタ３２で表示する際も、静止画の連続表示（スライドショーのようなスタイル）でも良いし、動画表示でも良く、必要に応じて適切な静止画−動画化プログラムや動画−静止画化プログラムが実装される。更に、キャプチャ画像取得部２３で取得される際のキャプチャ画像の形式も種々のものを選択することができる。例えば、静止画の場合にはＪＰＥＧやＧＩＦ等が、動画の場合にはＭＰＥＧやＡＶＩ等が用いられる。

コンピュータネットワークシステムを模式的に示した構成図 端末と端末監視サーバの機能ブロックを示す図 操作評価値テーブルの一例を示す図 キャプチャ画像と強調イメージとを合成した場合の一例を示す図 マウスカーソルの動く速さに合わせてマーキングの大きさを変えた一例を示す図 マーキングの表示を変更した場合の一例を示す図 キーボードイメージに強調イメージを合成する場合の一例を示す図 マーキングの外側領域をモザイク表示した場合の例を示す図

符号の説明

１：端末
２：端末監視サーバ
１２：ユーザ識別情報生成部
１３：画像キャプチャ部
１４：操作ログ情報生成部
２２：ユーザ識別情報取得部
２３：キャプチャ画像取得部
２４：操作ログ情報取得部
２５：操作イベント画面位置算定部
２６：操作イベント評価部
２７：操作評価値テーブル格納部
２７ａ：操作評価値テーブル
２８：キーボードイメージ生成部
２９：監視画像再生部
２９ａ：同期部
３０：操作イベント特殊画像化部
３１：ＶＲＡＭ
３２：モニタ
３３：キーボード
３４：キーボードイメージ

本発明は、ネットワークに接続された端末の操作を監視する端末監視装置とそのような端末監視装置のためのプログラムに関する。

近年、企業等において文書ファイル等はコンピュータを利用して作製される状況が非常に多くなっている。一方で、イントラネットやローカルエリアネットワーク等のネットワークを介して文書ファイル等の送受信を行う環境も広まっている。このような環境の中、不正な目的を持ってネットワークを介して重要な文書ファイル等に対して書き換えや削除を行うケースが少なくない。このような不正操作を監視するために、ユーザの操作履歴を操作履歴ファイルに記録して保護することにより、全ての操作内容を把握し、常に監視用端末からネットワーク内で操作を行っているユーザの操作内容をリアルタイムに監視する保護方法が知られている（例えば、特許文献１）。この特許文献１に係る保護方法は、ネットワーク内のユーザの操作内容をリアルタイムに監視し不正操作があった事が、後に判明した場合においても操作履歴ファイルを解析することにより不正操作の追跡を可能とし、ネットワーク内のセキュリティを確保している。

また、監視対象コンピュータシステムの操作履歴ログを監視することにより、不正入力や不正操作をリアルタイムで監視することができる不正操作監視装置も知られている（例えば、特許文献２）。この特許文献２に係る不正操作監視装置では、コンピュータシステムの操作ログ情報を常に監視することにより、不正操作が行われた際にリアルタイムで発見することが可能となる。しかしながら、これらの特許文献１や特許文献２に係る技術では、単にリアルタイム映像の再生、或いは、録画した画像の再生であるため、例えば、ネットワークやコンピュータシステムの監視者が視覚的に不正操作を把握することが難しく、どこに着目すればよいかがわかりづらいといった問題があった。

特開２０００−３５４０３６号公報（第２―５頁） 特開２００２−２５８９７２号公報（段落番号００１８、００１９等）

本発明の目的は、上記問題に鑑みネットワークに接続された端末の操作をリアルタイムで監視すると共に、その操作の確認を容易とすることが可能な端末監視装置とそのような端末監視装置のためのプログラムを提供することである。

上記目的を達成するための本発明に係る、端末監視装置の特徴は、ネットワークに接続された端末における操作を監視し、前記端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得部と、前記端末から操作ログ情報を取得する操作ログ情報取得部と、前記操作ログ情報に含まれている操作イベントのうち、明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化部と、前記操作画面情報に前記強調イメージを合成して監視画面として表示する監視画像表示部と、を備える点にある。

また、上記目的を達成するための本発明に係る、端末監視装置の他の特徴は、ネットワークに接続された端末における操作を監視し、前記端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得部と、前記端末から操作ログ情報を取得する操作ログ情報取得部と、前記操作ログ情報に含まれている操作イベントの操作評価値を算定する操作イベント評価部と、前記操作評価値に基づいて明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化部と、前記操作画面情報に前記強調イメージを合成して監視画面として表示する監視画像表示部と、を備える点にある。

このような構成とすれば、ネットワークに接続された端末の操作画面に基づいてキャプチャされたキャプチャ画像と、ファイル操作等に基づいて記録される操作ログ情報とによ
り操作イベントの操作評価値を容易に算定することができる。この算定により操作イベントが要明示操作イベントであると算定された場合には、その操作を強調する強調イメージをキャプチャ画像に合成することにより、端末におけるユーザの操作を監視することが容易となる。

また、前記端末監視装置は、前記操作イベント評価部が、操作イベント画面位置算定部が算定する画面位置情報に基づいて前記操作評価値を算定する構成とすると好適である。このような構成とすれば、操作イベント画面位置算定部がマウスカーソルの画面位置情報に基づいてマウスカーソルがアイコン上にあるのか否かを容易に判定することができる。したがって、この判定結果に基づいてマウスカーソルがアイコン上にある場合に操作評価値が高いと算定するようにすれば、ダブルクリック等のマウス操作を行う前に着目することができるため、容易に監視することができる。

また、前記端末監視装置は、前記監視画像表示部が、キーボードによる操作に基づいてキーボードイメージ生成部が生成するキーボードイメージを前記強調イメージとして合成して表示する構成とすると好適である。このような構成とすれば、マウス操作だけでなくキーボードによるショートカットキー操作に対しても要明示操作イベントであるか否かを判定し、要明示操作イベントであれば強調イメージを表示することができるため、キャプチャ画像からは判別し難いキーボードによる操作も監視することが可能となる。

また、前記端末監視装置が、前記操作イベント特殊画像化部が、前記強調イメージとして前記要明示操作イベントを説明する表示を生成する構成とすると好適である。また、前記操作イベント特殊画像化部が、前記強調イメージをポインティングデバイスのカーソルに対して明示すると共に、前記カーソルの移動速度に応じて前記強調イメージの大きさを変更するように構成しても良いし、前記強調イメージが、前記要明示操作イベントの発生時点から所定時間経過後まで明示されるように構成しても良い。更には、前記監視画面が、前記要明示操作イベントの発生時点から少なくとも所定時間経過後まで保存されるようにしても良いし、前記監視画像表示部が、前記要明示操作イベントの発生時に前記監視画面を一時停止するようにしても良い。このように強調イメージを状況に応じて変更して表示する構成とすると、視覚的にわかりやすくすることができるため、監視を容易とすることができる。また、要明示操作イベントの発生時点から、所定時間経過後まで保存したり、要明示操作イベントが発生した際に監視画面を一時停止したりする構成とすると、要明示操作イベントの見逃しを防止することができるため、更に、監視が容易となる。

また、前記端末監視装置は、前記監視画像表示部が、前記キャプチャ画像取得部から取得した前記操作画面情報に前記強調イメージを合成した領域を監視画面として表示すると共に、前記合成した領域以外の領域は画像処理して表示する構成とすれば好適である。このような構成とすれば、操作を監視すると共に、監視対象とならない領域のキャプチャ画像はモザイク処理やマスク処理等の画像処理を行って表示することによりユーザのプライバシーも確保することができる。

更に、本発明では、ネットワークに接続された端末における操作を監視する端末監視装置のためのプログラムも権利範囲としており、前記端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得機能と、前記端末から操作ログ情報を取得する操作ログ情報取得機能と、前記操作ログ情報に含まれている操作イベントのうち、明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化機能と、前記操作画面情報に前記強調イメージを合成して監視画面として表示する監視画像表示機能と、をコンピュータに実現させることが可能である。

〔本発明の第一実施形態〕
以下、本発明に係る端末監視装置の一例として、図１のように構成されたコンピュータネットワークシステムを用いて説明する。図１は、このコンピュータネットワークシステムを模式的に示した構成図であり、ユーザにより各種ファイルの作成、閲覧、複写、修正、削除、印刷等の操作が行われる端末１と、この端末１において行われたファイル操作の操作状況を監視する端末監視サーバ２とからなる。端末１を使用するユーザのユーザ識別情報と、端末１のモニタに表示される操作画面に基づく操作画面情報と、ファイル操作に基づいて記録される操作ログ情報とが、各端末１から端末監視サーバ２に送信される。したがって、各端末１におけるファイル操作やモニタに表示される操作画面が端末監視サーバ２にリアルタイムで表示される状態にある。

図２は、端末１と端末監視サーバ２の機能ブロックを示す図である。端末１は、ネットワークに接続された汎用パソコンで構成されるが、図２においては、本発明に特に関係する機能のみを示すこととする。ユーザは、端末１を利用するためにユーザ名とパスワードを入力することによりログインする必要がある。このログインは、端末１を利用可能とすると共に、コンピュータネットワークへのログインも可能とする。このログイン処理を通じて得られたユーザ名は、ユーザ識別情報生成部１２において、そのままで或いは必要に応じてユーザコード等に変換され、端末１を識別するための端末ＩＤとともに端末監視サーバ２に送るユーザ識別情報に組み込まれる。

ユーザが何らかのファイル操作を行う際には、まず操作対象となるファイルを指定し、指定されたファイルに対して処理命令を行う。この処理命令にしたがって、図示しない端末１の演算処理部は閲覧命令、複写命令、修正命令、削除命令、印刷命令等の命令に応じたデータ処理を指定されたファイルに対して実行する。その際のユーザによる操作状況は、端末１が備えるモニタ（図示しない）に表示される操作画面を操作画面情報として画像キャプチャ部１３によりキャプチャされると共に、その操作ログに基づいて操作ログ情報が操作ログ情報生成部１４により生成される。この操作ログ情報にはユーザによるファイル操作の情報だけでなく、端末１が入力デバイスとして備えるマウスやキーボード３３等の操作情報も含まれ、マウスカーソルＣｕの座標位置等に関する情報も含まれる。なお、マウスカーソルＣｕの移動速度は、このマウスカーソルＣｕの座標位置から算出可能である。

ユーザ識別情報生成部１２によって生成されたユーザ識別情報、画像キャプチャ部１３によってキャプチャされた操作画面情報、操作ログ情報生成部１４によって生成された操作ログ情報は、ネットワークインタフェース１１を通じて、ネットワークで接続された端末監視サーバ２に送られる。なお、これらのユーザ識別情報と操作画面情報と操作ログ情報とは端末監視サーバ２に対して個別に送っても良いし、一体化して端末ファイル情報として送っても良い。

端末監視サーバ２は、端末１から送られるこれらの情報を端末監視サーバ２が備えるネットワークインタフェース２１を介して取得する。ユーザ識別情報はユーザ識別情報取得部２２により取得され、操作画面情報はキャプチャ画像としてキャプチャ画像取得部２３により取得される。また、操作ログ情報は操作ログ情報取得部２４により取得される。これらの各情報は、各端末１の起動から終了するまでの間、端末監視サーバ２に送られてくることから、端末監視サーバ２では各端末１におけるファイル操作やモニタに表示される操作画面がリアルタイムで表示されることとなる。したがって、この表示されている内容を確認することにより、端末１の操作状況を把握することが可能となる。

操作ログ情報取得部２４により取得された操作ログ情報に記録された操作イベントに基
づいて、その操作イベントが行われた画面位置を操作イベント画面位置算定部２５が算定する。この算定された画面位置によりマウスによるダブルクリック操作やドラッグ操作等が行われた位置を認識することが可能となり、また、キーボード操作によるファイル操作等が行われた位置の認識も可能となる。

操作イベント評価部２６は操作イベントの操作評価値の算定を行う。この操作評価値の算定は、操作評価値テーブル格納部２７に格納される操作評価値テーブル２７ａに基づいて算定される（詳細は後述）。操作イベント特殊画像化部３０は、操作評価値に基づいて明示が必要であると判定された要明示操作イベントがあったことを端末監視サーバ２における監視者に対して明示するための強調イメージの生成を行う。

キャプチャ画像取得部２３により操作画面情報として取得されたキャプチャ画像は、監視画像表示部２９に送られる。このキャプチャ画像と操作ログ情報から得られた操作イベントの時間的概念を考えると、キャプチャ画像はリアルタイムで表示されているが、操作イベントは操作イベント毎の断片的な記録でしかないために両者の時間的概念が必ずしも一致するとは限らない。したがって、操作イベント評価部２６により操作評価値に基づいて明示が必要であると判定された操作イベントのタイムスタンプと、キャプチャ画像のタイムスタンプとが一致するように同期をとる必要がある。この同期をとるために監視画像表示部２９には同期部２９ａが備えられている。監視画像表示部２９は、キャプチャ画像取得部２３から送られるキャプチャ画像と操作イベント特殊画像化部３０から送られる強調イメージとを同期させて合成し、ＶＲＡＭ（Video Random Access Memory）３１を介してモニタ３２に監視画面として表示する。この強調イメージに関しては、後述することとする。

また、端末１のキーボード操作により操作イベントが発生した場合には、キーボードイメージ生成部２８が生成するキーボードイメージ３４と操作イベント特殊画像化部３０により生成される強調イメージとキャプチャ画像とが監視画像表示部２９により合成され、ＶＲＡＭ３１を介してモニタ３２に出力される。このようにすると、操作画面情報からは判別し難いキーボード３３によるファイル操作等も端末監視サーバ２において監視することが容易となる。

次に、操作評価値テーブル格納部２７に格納される操作評価値テーブル２７ａについて説明する。操作評価値テーブル２７ａは、端末１で行われた操作イベントがどれくらいの操作評価値であるかを算定するための操作イベントと操作評価値との関係を示すテーブルである。この操作評価値テーブル２７ａの一例を図３に示す。図３に示す例では１０段階表示で操作評価値が大きくなるにつれて強調イメージの明示の必要性が高くなるように付与されている。図３に示されるように「ファイルの削除」や「ファイルの名称変更」等のように必要性が高い操作と考えられる操作イベントには「８」や「７」のような高い操作評価値が付与され、「プログラムの起動」や「プログラムの終了」や「ファイルの作成」等のように必要性が低い操作と考えられる操作イベントには「３」や「２」や「１」のように低い操作評価値が付与される。また、「ファイルのコピー」や「ファイルの移動」や「印刷」等の操作イベントには中程度の操作評価値が付与されている。

操作イベントが、操作評価値テーブル２７ａに示される所定の操作評価値以上の操作イベントであれば、操作イベント評価部２６は、この操作イベントは強調イメージの明示が必要であると判定する。この判定に基づいて、操作イベント特殊画像化部３０により強調イメージが生成される。この操作評価値は、単なる一例でありコンピュータネットワークシステムの管理者により任意に設定することは当然に可能であるし、状況に応じて変更することも当然に可能である。また、図３に示された操作イベント以外の操作イベントに関して操作評価値を定めることも当然に可能である。

次に、端末監視サーバ２が備えるモニタ３２に映される監視画面について説明する。ここで、説明に使用する監視画面は端末１の操作状況を端末監視サーバ２によりリアルタイムで表示される画像となる。図４は、ユーザがデスクトップ上のアイコンをダブルクリックしてプログラムを起動する場合における強調イメージの合成の一例を示す監視画面である。キャプチャ画像取得部２３に格納されるキャプチャ画像は監視画像表示部２９に送られ表示される（図４（ａ）参照）。

また、監視画面の下部には、監視の対象とする端末１の切り替えを行う対象端末切り替えメニュー５１が配設されている。また、リアルタイムで表示されている操作画面を別に備える記録部に記録する構成とすることも可能であるが、表示中に個別に記録することも可能である。この記録を開始する開始ボタン５３と停止する停止ボタン５２も監視画面の下部に配設される。また、記録した際の記録時間を表示する記録時間表示部５４も配設される。端末監視サーバ２における監視者は、これらのボタンを操作して各端末１の表示されている操作画面を必要に応じて記録し、監視することが可能となる。

マウスカーソルＣｕがデスクトップのアイコン（ｉｃｏｎ）の上に移動し、例えば、ダブルクリックによるプログラム起動等の所定の操作イベントが行われるとマウスカーソルＣｕの位置を強調するために、図４（ｂ）のようにマウスカーソルＣｕを中心とするサークル状のマーキングＭを表示する。このマーキングＭは操作イベント特殊画像化部３０により生成される。このようにマーキングＭを表示することにより、マウスカーソルＣｕの位置が視覚的に判別しやすくなる。また、この際、図４（ｃ）のように表示している監視画面上に「プログラム起動」の文字を吹き出し表示することにより操作イベントを強調表示することも可能である。この吹き出し表示も操作イベント特殊画像化部３０により生成され、監視画像再生部２９に送られることによりキャプチャ画像と合成される。このようにキャプチャ画像と強調イメージとを合成して表示することにより、端末監視サーバ２で操作を視覚的に把握することが可能となる。

また、例えば操作評価値テーブル２７ａに示された操作評価値に応じて、所定の操作イベントが行われた場合には、所定の時間経過するまでマウスカーソルＣｕを追跡するようにマーキングＭを表示する構成とすることも好適である。更には、操作評価値に応じて追跡時間を長くする構成とすることも可能である。このような構成とすれば、視覚的に操作を把握することが可能であるし、連続して操作が行われる場合に対して有効である。

上記のようなマウスカーソルＣｕの追跡マーキング中にマウスカーソルＣｕの動く速さに応じてマーキングＭの大きさを変化させることにより視覚的に認識させることも可能である。例えば、マウスカーソルＣｕの動きが速いときには、ダブルクリック等の操作を行う可能性が低いと考えられるため図５（ａ）のようにマーキングＭの大きさを小さくし、マウスカーソルＣｕの動きが遅いときや停止したときには、マウスカーソルＣｕ周辺のアイコン等を選択したり、ドラッグアンドドロップ等をしたりする可能性があることからマウスカーソルＣｕ周辺に着目する必要があるためにマーキングＭの大きさを図５（ｂ）のように大きくすることも可能である。このようにマウスカーソルＣｕの動く速さに合わせてマーキングＭの大きさを変えることにより、操作が行われる前から着目することが可能となる。

更に、端末監視サーバ２で操作を把握しやすくするために、ダブルクリック等の操作イベントの発生時にマーキングＭの表示を変更する構成とすることも好適である。例えば、図６（ａ）のようにマウスカーソルＣｕのマーキングＭを２重円に変更したり、図６（ｂ）のようにマウスカーソルＣｕのマーキングＭを四角に変更したり、図６（ｃ）のようにマーキングＭを破線に変更したりすることも可能である。また、図示はしないが、マーキ
ングＭの線幅や色を変更したり、点滅させたりすることも当然に可能である。更には、操作評価値テーブル２８ａに示された操作評価値に応じて段階的にマーキングＭを変更することも好適である。このように操作イベントの発生や、操作評価値に応じてマーキングＭを変更することにより、着目すべき箇所を周辺に対して拡張したり、操作評価値が高い旨を示唆したりすることが可能となる。

端末１にはキーボード３３が備えられており、キーボード３３のショートカットキーによるファイル操作も可能である。例えば、アプリケーションの多くは「コントロール」キーと「Ｘ」キーとを同時に押すことにより削除コマンドとして動作するように設定されている。また、単に「ＤＥＬＥＴＥ」キーを押すことによって削除することも可能である。このようなキーボード３３による操作は、キャプチャ画像から判別することは容易ではない。このような場合には、操作ログに記録されたキーボード操作をキーボードイメージ生成部２８が生成するキーボードイメージ３４に強調イメージを合成することにより着目することが可能となる。例えば、図７に示されるように「コントロール（ＣＴＲＬ）」キーと「Ｘ」キーとにより削除が行われる際には、モニタ３２にキャプチャ画像と共にキーボードイメージ３４を表示し、例えば「ＣＴＲＬ」キーと「Ｘ」キーとを塗りつぶす等の強調イメージを表示する。このキーの表示と共に「削除」の文字を吹き出し表示することも可能であり、このような構成とすればキーボード３３による操作を容易に認識することが可能となる。

〔本発明の第二実施形態〕
第一実施形態として、キャプチャ画像と強調イメージとの合成画像をモニタ３２に表示されるとして説明した。本発明に係る別実施形態として、強調イメージとして使用されるマーキングＭ内の領域を監視画面としてモニタ３２に表示し、マーキングＭの外側の領域はモザイク処理やマスク処理等の画像処理を行う構成とすることも好適である。モザイク処理を行った場合の例を図８に示す。このような構成とすることにより、操作を監視すると共に、ユーザのプライバシーを確保することも可能となる。

〔その他の実施形態〕
上記の各実施形態では、各端末１の操作画面情報を常時、端末監視サーバ２に送られるとして説明したが、これに限らない。例えば、所定の時間間隔で送ることにより監視することも当然に可能である。このような構成とすれば、端末監視サーバ２の処理能力の低下を防止することができる。

上記の各実施形態では、監視画面において対象とする端末１の名称のみを表示して説明したが、これに限らない。例えば、各端末１から送られるユーザ識別情報を監視画面に表示するように構成することも、当然に可能である。このような構成とすれば、操作画面が表示されている端末１を使用しているユーザの特定が容易となる。

上記の各実施形態では、監視画面において１台の端末１に関して表示されるとして説明したが、これに限らない。例えば、複数台の端末１を端末監視２に並べて表示し、同時に表示することも当然に可能である。

上記の第二実施形態として、画像強調イメージとして使用されるマーキングＭ内の領域を監視画面としてモニタ３２に表示し、マーキングＭの外側の領域はモザイク処理やマスク処理等の画像処理を行うとして説明したが、これに限らない。例えば、マーキングＭの外側の領域は完全に表示しないようにすることも当然に可能であるし、使用している色数を減らしたり、解像度を落としたりすることも可能である。このような構成とすれば、画像ファイルの容量を抑えることによりＶＲＡＭ３４のメモリ消費も抑えることができるため、描画速度の低下を防止することが可能となる。

上記実施形態において、強調イメージが、発生時点から所定時間後まで明示されるように構成すると好適である。また、要明示操作イベントが発生した際には、発生時点から少なくとも所定時間経過後まで保存されたり、更には、要明示操作イベントの発生時に前記監視画面を一時停止したりする構成とすると好適である。このように構成すると、録画再生中に監視すべき操作を見落とすことがなくなり、監視が容易となる。

上記の各実施形態では、ファイル操作に関する操作の監視について説明したが、これに限らない。例えば、アプリケーション上での操作やアプリケーションの起動そのものを監視することも本発明に係る端末監視装置の権利範囲であることは当然である。

上記の各実施形態では、端末監視サーバ２が単独のコンピュータにより構築されているとして説明したが、これに限らない。端末監視サーバ２の機能を区分けして、複数のコンピュータに分散させても良く、例えば、端末監視サーバ２におけるキャプチャ画像取得部２３をファイルサーバのようなデータ取得専用機に振り分け、このデータ取得専用機から操作画面情報や操作ログ情報を読み出して種々の処理を施し監視モニタに表示させる独立した監視端末を配置させても良い。この監視端末とデータ取得専用機をネットワークで接続することで、いつでもどこからでも端末を監視することができる。

なお、本仕様書で用いられているキャプチャ画像とは、操作画面をキャプチャして得られた静止画ファイルやその静止画ファイルの集合体、及び連続した静止画を動画化して得られた動画ファイルや動画ファイルの集合体を総称している。従って、端末１から端末監視サーバ２に送信されるキャプチャ画像は静止画であっても動画であっても良い。動画の形式で端末１から端末監視サーバ２に送信される場合は、端末１のフォーマッタ部に静止画を動画化する機能が備えられることになる。また、端末１の操作画面（キャプチャ画面）をモニタ３２で表示する際も、静止画の連続表示（スライドショーのようなスタイル）でも良いし、動画表示でも良く、必要に応じて適切な静止画−動画化プログラムや動画−静止画化プログラムが実装される。更に、キャプチャ画像取得部２３で取得される際のキャプチャ画像の形式も種々のものを選択することができる。例えば、静止画の場合にはＪＰＥＧやＧＩＦ等が、動画の場合にはＭＰＥＧやＡＶＩ等が用いられる。

コンピュータネットワークシステムを模式的に示した構成図 端末と端末監視サーバの機能ブロックを示す図 操作評価値テーブルの一例を示す図 キャプチャ画像と強調イメージとを合成した場合の一例を示す図 マウスカーソルの動く速さに合わせてマーキングの大きさを変えた一例を示す図 マーキングの表示を変更した場合の一例を示す図 キーボードイメージに強調イメージを合成する場合の一例を示す図 マーキングの外側領域をモザイク表示した場合の例を示す図

符号の説明

１：端末
２：端末監視サーバ
１２：ユーザ識別情報生成部
１３：画像キャプチャ部
１４：操作ログ情報生成部
２２：ユーザ識別情報取得部
２３：キャプチャ画像取得部
２４：操作ログ情報取得部
２５：操作イベント画面位置算定部
２６：操作イベント評価部
２７：操作評価値テーブル格納部
２７ａ：操作評価値テーブル
２８：キーボードイメージ生成部
２９：監視画像再生部
２９ａ：同期部
３０：操作イベント特殊画像化部
３１：ＶＲＡＭ
３２：モニタ
３３：キーボード
３４：キーボードイメージ

本発明は、ネットワークに接続された端末の操作を監視する端末監視装置とそのような端末監視装置のためのプログラムに関する。

近年、企業等において文書ファイル等はコンピュータを利用して作製される状況が非常に多くなっている。一方で、イントラネットやローカルエリアネットワーク等のネットワークを介して文書ファイル等の送受信を行う環境も広まっている。このような環境の中、不正な目的を持ってネットワークを介して重要な文書ファイル等に対して書き換えや削除を行うケースが少なくない。このような不正操作を監視するために、ユーザの操作履歴を操作履歴ファイルに記録して保護することにより、全ての操作内容を把握し、常に監視用端末からネットワーク内で操作を行っているユーザの操作内容をリアルタイムに監視する保護方法が知られている（例えば、特許文献１）。この特許文献１に係る保護方法は、ネットワーク内のユーザの操作内容をリアルタイムに監視し不正操作があった事が、後に判明した場合においても操作履歴ファイルを解析することにより不正操作の追跡を可能とし、ネットワーク内のセキュリティを確保している。

また、監視対象コンピュータシステムの操作履歴ログを監視することにより、不正入力や不正操作をリアルタイムで監視することができる不正操作監視装置も知られている（例えば、特許文献２）。この特許文献２に係る不正操作監視装置では、コンピュータシステムの操作ログ情報を常に監視することにより、不正操作が行われた際にリアルタイムで発見することが可能となる。しかしながら、これらの特許文献１や特許文献２に係る技術では、単にリアルタイム映像の再生、或いは、録画した画像の再生であるため、例えば、ネットワークやコンピュータシステムの監視者が視覚的に不正操作を把握することが難しく、どこに着目すればよいかがわかりづらいといった問題があった。

特開２０００−３５４０３６号公報（第２―５頁） 特開２００２−２５８９７２号公報（段落番号００１８、００１９等）

本発明の目的は、上記問題に鑑みネットワークに接続された端末の操作をリアルタイムで監視すると共に、その操作の確認を容易とすることが可能な端末監視装置とそのような端末監視装置のためのプログラムを提供することである。

上記目的を達成するための本発明に係る、端末監視装置の特徴は、ネットワークに接続された端末における不正な目的を持った操作を監視する端末監視装置において、前記端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得部と、前記端末から操作ログ情報を取得する操作ログ情報取得部と、前記操作ログ情報に含まれている操作イベントに関連付けられ監視における明示の必要性を示す操作評価値を取得する操作イベント評価部と、前記操作評価値に基づいて明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化部と、前記操作画面情報に前記強調イメージを合成して監視画面として表示する監視画像表示部と、を備える点にある。

このような構成とすれば、ネットワークに接続された端末の操作画面に基づいてキャプチャされたキャプチャ画像と、ファイル操作等に基づいて記録される操作ログ情報とにより操作イベントの操作評価値を容易に算定することができる。この算定により操作イベントが要明示操作イベントであると算定された場合には、その操作を強調する強調イメージをキャプチャ画像に合成することにより、端末におけるユーザの操作を監視することが容易となる。

また、前記端末監視装置は、前記監視画像表示部が、キーボードによる操作に基づいてキーボードイメージ生成部が生成するキーボードイメージを前記強調イメージとして合成して表示する構成とすると好適である。このような構成とすれば、マウス操作だけでなくキーボードによるショートカットキー操作に対しても要明示操作イベントであるか否かを判定し、要明示操作イベントであれば強調イメージを表示することができるため、キャプチャ画像からは判別し難いキーボードによる操作も監視することが可能となる。

また、前記端末監視装置が、前記操作イベント特殊画像化部が、前記強調イメージとして前記要明示操作イベントを説明する表示を生成する構成とすると好適である。また、前記操作イベント特殊画像化部が、前記強調イメージをポインティングデバイスのカーソルに対して明示すると共に、前記カーソルの移動速度に応じて前記強調イメージの大きさを変更するように構成しても良いし、前記強調イメージが、前記要明示操作イベントの発生時点から所定時間経過後まで明示されるように構成しても良い。更には、前記監視画面が、前記要明示操作イベントの発生時点から少なくとも所定時間経過後まで保存されるようにしても良いし、前記監視画像表示部が、前記要明示操作イベントの発生時に前記監視画面を一時停止するようにしても良い。このように強調イメージを状況に応じて変更して表示する構成とすると、視覚的にわかりやすくすることができるため、監視を容易とすることができる。また、要明示操作イベントの発生時点から、所定時間経過後まで保存したり、要明示操作イベントが発生した際に監視画面を一時停止したりする構成とすると、要明示操作イベントの見逃しを防止することができるため、更に、監視が容易となる。

また、前記端末監視装置は、前記監視画像表示部が、前記キャプチャ画像取得部から取得した前記操作画面情報に前記強調イメージを合成した領域を監視画面として表示すると共に、前記合成した領域以外の領域は画像処理して表示する構成とすれば好適である。このような構成とすれば、操作を監視すると共に、監視対象とならない領域のキャプチャ画像はモザイク処理やマスク処理等の画像処理を行って表示することによりユーザのプライバシーも確保することができる。

更に、本発明では、ネットワークに接続された端末における操作を監視する端末監視装置のためのプログラムも権利範囲としており、ネットワークに接続された端末における不正な目的を持った操作を監視する端末監視装置のためのプログラムにおいて、前記端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得機能と、前記端末から操作ログ情報を取得する操作ログ情報取得機能と、前記操作ログ情報に含まれている操作イベントに関連付けられ監視における明示の必要性を示す操作評価値を取得する操作イベント評価機能と、前記操作評価値に基づいて前記操作ログ情報に含まれている操作イベントのうち、明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化機能と、前記操作画面情報に前記強調イメージを合成して監視画面として表示する監視画像表示機能と、をコンピュータに実現させることが可能である。

〔本発明の第一実施形態〕
以下、本発明に係る端末監視装置の一例として、図１のように構成されたコンピュータネットワークシステムを用いて説明する。図１は、このコンピュータネットワークシステムを模式的に示した構成図であり、ユーザにより各種ファイルの作成、閲覧、複写、修正、削除、印刷等の操作が行われる端末１と、この端末１において行われたファイル操作の操作状況を監視する端末監視サーバ２とからなる。端末１を使用するユーザのユーザ識別情報と、端末１のモニタに表示される操作画面に基づく操作画面情報と、ファイル操作に基づいて記録される操作ログ情報とが、各端末１から端末監視サーバ２に送信される。したがって、各端末１におけるファイル操作やモニタに表示される操作画面が端末監視サーバ２にリアルタイムで表示される状態にある。

図２は、端末１と端末監視サーバ２の機能ブロックを示す図である。端末１は、ネットワークに接続された汎用パソコンで構成されるが、図２においては、本発明に特に関係する機能のみを示すこととする。ユーザは、端末１を利用するためにユーザ名とパスワードを入力することによりログインする必要がある。このログインは、端末１を利用可能とすると共に、コンピュータネットワークへのログインも可能とする。このログイン処理を通じて得られたユーザ名は、ユーザ識別情報生成部１２において、そのままで或いは必要に応じてユーザコード等に変換され、端末１を識別するための端末ＩＤとともに端末監視サーバ２に送るユーザ識別情報に組み込まれる。

ユーザが何らかのファイル操作を行う際には、まず操作対象となるファイルを指定し、指定されたファイルに対して処理命令を行う。この処理命令にしたがって、図示しない端末１の演算処理部は閲覧命令、複写命令、修正命令、削除命令、印刷命令等の命令に応じたデータ処理を指定されたファイルに対して実行する。その際のユーザによる操作状況は、端末１が備えるモニタ（図示しない）に表示される操作画面を操作画面情報として画像キャプチャ部１３によりキャプチャされると共に、その操作ログに基づいて操作ログ情報が操作ログ情報生成部１４により生成される。この操作ログ情報にはユーザによるファイル操作の情報だけでなく、端末１が入力デバイスとして備えるマウスやキーボード３３等の操作情報も含まれ、マウスカーソルＣｕの座標位置等に関する情報も含まれる。なお、マウスカーソルＣｕの移動速度は、このマウスカーソルＣｕの座標位置から算出可能である。

ユーザ識別情報生成部１２によって生成されたユーザ識別情報、画像キャプチャ部１３によってキャプチャされた操作画面情報、操作ログ情報生成部１４によって生成された操作ログ情報は、ネットワークインタフェース１１を通じて、ネットワークで接続された端末監視サーバ２に送られる。なお、これらのユーザ識別情報と操作画面情報と操作ログ情報とは端末監視サーバ２に対して個別に送っても良いし、一体化して端末ファイル情報として送っても良い。

端末監視サーバ２は、端末１から送られるこれらの情報を端末監視サーバ２が備えるネットワークインタフェース２１を介して取得する。ユーザ識別情報はユーザ識別情報取得部２２により取得され、操作画面情報はキャプチャ画像としてキャプチャ画像取得部２３により取得される。また、操作ログ情報は操作ログ情報取得部２４により取得される。これらの各情報は、各端末１の起動から終了するまでの間、端末監視サーバ２に送られてくることから、端末監視サーバ２では各端末１におけるファイル操作やモニタに表示される操作画面がリアルタイムで表示されることとなる。したがって、この表示されている内容を確認することにより、端末１の操作状況を把握することが可能となる。

操作ログ情報取得部２４により取得された操作ログ情報に記録された操作イベントに基づいて、その操作イベントが行われた画面位置を操作イベント画面位置算定部２５が算定する。この算定された画面位置によりマウスによるダブルクリック操作やドラッグ操作等が行われた位置を認識することが可能となり、また、キーボード操作によるファイル操作等が行われた位置の認識も可能となる。

操作イベント評価部２６は操作イベントの操作評価値の算定を行う。この操作評価値の算定は、操作評価値テーブル格納部２７に格納される操作評価値テーブル２７ａに基づいて算定される（詳細は後述）。操作イベント特殊画像化部３０は、操作評価値に基づいて明示が必要であると判定された要明示操作イベントがあったことを端末監視サーバ２における監視者に対して明示するための強調イメージの生成を行う。

キャプチャ画像取得部２３により操作画面情報として取得されたキャプチャ画像は、監視画像表示部２９に送られる。このキャプチャ画像と操作ログ情報から得られた操作イベントの時間的概念を考えると、キャプチャ画像はリアルタイムで表示されているが、操作イベントは操作イベント毎の断片的な記録でしかないために両者の時間的概念が必ずしも一致するとは限らない。したがって、操作イベント評価部２６により操作評価値に基づいて明示が必要であると判定された操作イベントのタイムスタンプと、キャプチャ画像のタイムスタンプとが一致するように同期をとる必要がある。この同期をとるために監視画像表示部２９には同期部２９ａが備えられている。監視画像表示部２９は、キャプチャ画像取得部２３から送られるキャプチャ画像と操作イベント特殊画像化部３０から送られる強調イメージとを同期させて合成し、ＶＲＡＭ（Video Random Access Memory）３１を介してモニタ３２に監視画面として表示する。この強調イメージに関しては、後述することとする。

また、端末１のキーボード操作により操作イベントが発生した場合には、キーボードイメージ生成部２８が生成するキーボードイメージ３４と操作イベント特殊画像化部３０により生成される強調イメージとキャプチャ画像とが監視画像表示部２９により合成され、ＶＲＡＭ３１を介してモニタ３２に出力される。このようにすると、操作画面情報からは判別し難いキーボード３３によるファイル操作等も端末監視サーバ２において監視することが容易となる。

次に、操作評価値テーブル格納部２７に格納される操作評価値テーブル２７ａについて説明する。操作評価値テーブル２７ａは、端末１で行われた操作イベントがどれくらいの操作評価値であるかを算定するための操作イベントと操作評価値との関係を示すテーブルである。この操作評価値テーブル２７ａの一例を図３に示す。図３に示す例では１０段階表示で操作評価値が大きくなるにつれて強調イメージの明示の必要性が高くなるように付与されている。図３に示されるように「ファイルの削除」や「ファイルの名称変更」等のように必要性が高い操作と考えられる操作イベントには「８」や「７」のような高い操作評価値が付与され、「プログラムの起動」や「プログラムの終了」や「ファイルの作成」等のように必要性が低い操作と考えられる操作イベントには「３」や「２」や「１」のように低い操作評価値が付与される。また、「ファイルのコピー」や「ファイルの移動」や「印刷」等の操作イベントには中程度の操作評価値が付与されている。

操作イベントが、操作評価値テーブル２７ａに示される所定の操作評価値以上の操作イベントであれば、操作イベント評価部２６は、この操作イベントは強調イメージの明示が必要であると判定する。この判定に基づいて、操作イベント特殊画像化部３０により強調イメージが生成される。この操作評価値は、単なる一例でありコンピュータネットワークシステムの管理者により任意に設定することは当然に可能であるし、状況に応じて変更することも当然に可能である。また、図３に示された操作イベント以外の操作イベントに関して操作評価値を定めることも当然に可能である。

次に、端末監視サーバ２が備えるモニタ３２に映される監視画面について説明する。ここで、説明に使用する監視画面は端末１の操作状況を端末監視サーバ２によりリアルタイムで表示される画像となる。図４は、ユーザがデスクトップ上のアイコンをダブルクリックしてプログラムを起動する場合における強調イメージの合成の一例を示す監視画面である。キャプチャ画像取得部２３に格納されるキャプチャ画像は監視画像表示部２９に送られ表示される（図４（ａ）参照）。

また、監視画面の下部には、監視の対象とする端末１の切り替えを行う対象端末切り替えメニュー５１が配設されている。また、リアルタイムで表示されている操作画面を別に備える記録部に記録する構成とすることも可能であるが、表示中に個別に記録することも可能である。この記録を開始する開始ボタン５３と停止する停止ボタン５２も監視画面の下部に配設される。また、記録した際の記録時間を表示する記録時間表示部５４も配設される。端末監視サーバ２における監視者は、これらのボタンを操作して各端末１の表示されている操作画面を必要に応じて記録し、監視することが可能となる。

マウスカーソルＣｕがデスクトップのアイコン（ｉｃｏｎ）の上に移動し、例えば、ダブルクリックによるプログラム起動等の所定の操作イベントが行われるとマウスカーソルＣｕの位置を強調するために、図４（ｂ）のようにマウスカーソルＣｕを中心とするサークル状のマーキングＭを表示する。このマーキングＭは操作イベント特殊画像化部３０により生成される。このようにマーキングＭを表示することにより、マウスカーソルＣｕの位置が視覚的に判別しやすくなる。また、この際、図４（ｃ）のように表示している監視画面上に「プログラム起動」の文字を吹き出し表示することにより操作イベントを強調表示することも可能である。この吹き出し表示も操作イベント特殊画像化部３０により生成され、監視画像再生部２９に送られることによりキャプチャ画像と合成される。このようにキャプチャ画像と強調イメージとを合成して表示することにより、端末監視サーバ２で操作を視覚的に把握することが可能となる。

また、例えば操作評価値テーブル２７ａに示された操作評価値に応じて、所定の操作イベントが行われた場合には、所定の時間経過するまでマウスカーソルＣｕを追跡するようにマーキングＭを表示する構成とすることも好適である。更には、操作評価値に応じて追跡時間を長くする構成とすることも可能である。このような構成とすれば、視覚的に操作を把握することが可能であるし、連続して操作が行われる場合に対して有効である。

上記のようなマウスカーソルＣｕの追跡マーキング中にマウスカーソルＣｕの動く速さに応じてマーキングＭの大きさを変化させることにより視覚的に認識させることも可能である。例えば、マウスカーソルＣｕの動きが速いときには、ダブルクリック等の操作を行う可能性が低いと考えられるため図５（ａ）のようにマーキングＭの大きさを小さくし、マウスカーソルＣｕの動きが遅いときや停止したときには、マウスカーソルＣｕ周辺のアイコン等を選択したり、ドラッグアンドドロップ等をしたりする可能性があることからマウスカーソルＣｕ周辺に着目する必要があるためにマーキングＭの大きさを図５（ｂ）のように大きくすることも可能である。このようにマウスカーソルＣｕの動く速さに合わせてマーキングＭの大きさを変えることにより、操作が行われる前から着目することが可能となる。

更に、端末監視サーバ２で操作を把握しやすくするために、ダブルクリック等の操作イベントの発生時にマーキングＭの表示を変更する構成とすることも好適である。例えば、図６（ａ）のようにマウスカーソルＣｕのマーキングＭを２重円に変更したり、図６（ｂ）のようにマウスカーソルＣｕのマーキングＭを四角に変更したり、図６（ｃ）のようにマーキングＭを破線に変更したりすることも可能である。また、図示はしないが、マーキングＭの線幅や色を変更したり、点滅させたりすることも当然に可能である。更には、操作評価値テーブル２８ａに示された操作評価値に応じて段階的にマーキングＭを変更することも好適である。このように操作イベントの発生や、操作評価値に応じてマーキングＭを変更することにより、着目すべき箇所を周辺に対して拡張したり、操作評価値が高い旨を示唆したりすることが可能となる。

端末１にはキーボード３３が備えられており、キーボード３３のショートカットキーによるファイル操作も可能である。例えば、アプリケーションの多くは「コントロール」キーと「Ｘ」キーとを同時に押すことにより削除コマンドとして動作するように設定されている。また、単に「ＤＥＬＥＴＥ」キーを押すことによって削除することも可能である。このようなキーボード３３による操作は、キャプチャ画像から判別することは容易ではない。このような場合には、操作ログに記録されたキーボード操作をキーボードイメージ生成部２８が生成するキーボードイメージ３４に強調イメージを合成することにより着目することが可能となる。例えば、図７に示されるように「コントロール（ＣＴＲＬ）」キーと「Ｘ」キーとにより削除が行われる際には、モニタ３２にキャプチャ画像と共にキーボードイメージ３４を表示し、例えば「ＣＴＲＬ」キーと「Ｘ」キーとを塗りつぶす等の強調イメージを表示する。このキーの表示と共に「削除」の文字を吹き出し表示することも可能であり、このような構成とすればキーボード３３による操作を容易に認識することが可能となる。

〔本発明の第二実施形態〕
第一実施形態として、キャプチャ画像と強調イメージとの合成画像をモニタ３２に表示されるとして説明した。本発明に係る別実施形態として、強調イメージとして使用されるマーキングＭ内の領域を監視画面としてモニタ３２に表示し、マーキングＭの外側の領域はモザイク処理やマスク処理等の画像処理を行う構成とすることも好適である。モザイク処理を行った場合の例を図８に示す。このような構成とすることにより、操作を監視すると共に、ユーザのプライバシーを確保することも可能となる。

〔その他の実施形態〕
上記の各実施形態では、各端末１の操作画面情報を常時、端末監視サーバ２に送られるとして説明したが、これに限らない。例えば、所定の時間間隔で送ることにより監視することも当然に可能である。このような構成とすれば、端末監視サーバ２の処理能力の低下を防止することができる。

上記の各実施形態では、監視画面において対象とする端末１の名称のみを表示して説明したが、これに限らない。例えば、各端末１から送られるユーザ識別情報を監視画面に表示するように構成することも、当然に可能である。このような構成とすれば、操作画面が表示されている端末１を使用しているユーザの特定が容易となる。

上記の各実施形態では、監視画面において１台の端末１に関して表示されるとして説明したが、これに限らない。例えば、複数台の端末１を端末監視２に並べて表示し、同時に表示することも当然に可能である。

上記の第二実施形態として、画像強調イメージとして使用されるマーキングＭ内の領域を監視画面としてモニタ３２に表示し、マーキングＭの外側の領域はモザイク処理やマスク処理等の画像処理を行うとして説明したが、これに限らない。例えば、マーキングＭの外側の領域は完全に表示しないようにすることも当然に可能であるし、使用している色数を減らしたり、解像度を落としたりすることも可能である。このような構成とすれば、画像ファイルの容量を抑えることによりＶＲＡＭ３４のメモリ消費も抑えることができるため、描画速度の低下を防止することが可能となる。

上記実施形態において、強調イメージが、発生時点から所定時間後まで明示されるように構成すると好適である。また、要明示操作イベントが発生した際には、発生時点から少なくとも所定時間経過後まで保存されたり、更には、要明示操作イベントの発生時に前記監視画面を一時停止したりする構成とすると好適である。このように構成すると、録画再生中に監視すべき操作を見落とすことがなくなり、監視が容易となる。

上記の各実施形態では、ファイル操作に関する操作の監視について説明したが、これに限らない。例えば、アプリケーション上での操作やアプリケーションの起動そのものを監視することも本発明に係る端末監視装置の権利範囲であることは当然である。

上記の各実施形態では、端末監視サーバ２が単独のコンピュータにより構築されているとして説明したが、これに限らない。端末監視サーバ２の機能を区分けして、複数のコンピュータに分散させても良く、例えば、端末監視サーバ２におけるキャプチャ画像取得部２３をファイルサーバのようなデータ取得専用機に振り分け、このデータ取得専用機から操作画面情報や操作ログ情報を読み出して種々の処理を施し監視モニタに表示させる独立した監視端末を配置させても良い。この監視端末とデータ取得専用機をネットワークで接続することで、いつでもどこからでも端末を監視することができる。

なお、本仕様書で用いられているキャプチャ画像とは、操作画面をキャプチャして得られた静止画ファイルやその静止画ファイルの集合体、及び連続した静止画を動画化して得られた動画ファイルや動画ファイルの集合体を総称している。従って、端末１から端末監視サーバ２に送信されるキャプチャ画像は静止画であっても動画であっても良い。動画の形式で端末１から端末監視サーバ２に送信される場合は、端末１のフォーマッタ部に静止画を動画化する機能が備えられることになる。また、端末１の操作画面（キャプチャ画面）をモニタ３２で表示する際も、静止画の連続表示（スライドショーのようなスタイル）でも良いし、動画表示でも良く、必要に応じて適切な静止画−動画化プログラムや動画−静止画化プログラムが実装される。更に、キャプチャ画像取得部２３で取得される際のキャプチャ画像の形式も種々のものを選択することができる。例えば、静止画の場合にはＪＰＥＧやＧＩＦ等が、動画の場合にはＭＰＥＧやＡＶＩ等が用いられる。

コンピュータネットワークシステムを模式的に示した構成図 端末と端末監視サーバの機能ブロックを示す図 操作評価値テーブルの一例を示す図 キャプチャ画像と強調イメージとを合成した場合の一例を示す図 マウスカーソルの動く速さに合わせてマーキングの大きさを変えた一例を示す図 マーキングの表示を変更した場合の一例を示す図 キーボードイメージに強調イメージを合成する場合の一例を示す図 マーキングの外側領域をモザイク表示した場合の例を示す図

符号の説明

１：端末
２：端末監視サーバ
１２：ユーザ識別情報生成部
１３：画像キャプチャ部
１４：操作ログ情報生成部
２２：ユーザ識別情報取得部
２３：キャプチャ画像取得部
２４：操作ログ情報取得部
２５：操作イベント画面位置算定部
２６：操作イベント評価部
２７：操作評価値テーブル格納部
２７ａ：操作評価値テーブル
２８：キーボードイメージ生成部
２９：監視画像再生部
２９ａ：同期部
３０：操作イベント特殊画像化部
３１：ＶＲＡＭ
３２：モニタ
３３：キーボード
３４：キーボードイメージ

Claims (10)

1. ネットワークに接続された端末における操作を監視する端末監視装置において、
   前記端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得部と、前記端末から操作ログ情報を取得する操作ログ情報取得部と、前記操作ログ情報に含まれている操作イベントの操作評価値を算定する操作イベント評価部と、前記操作評価値に基づいて明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化部と、前記操作画面情報に前記強調イメージを合成して監視画面として表示する監視画像表示部と、を備える端末監視装置。
2. 前記操作イベント評価部が、操作イベント画面位置算定部が算定する画面位置情報に基づいて前記操作評価値を算定することを特徴とする請求項１に記載の端末監視装置。
3. 前記監視画像表示部が、キーボードによる操作に基づいてキーボードイメージ生成部が生成するキーボードイメージを前記強調イメージとして合成して表示することを特徴とする請求項１又は２に記載の端末監視装置。
4. 前記操作イベント特殊画像化部が、前記強調イメージとして前記要明示操作イベントを説明する表示を生成することを特徴とする請求項１から３のいずれか一項に記載の端末監視装置。
5. 前記操作イベント特殊画像化部が、前記強調イメージをポインティングデバイスのカーソルに対して明示すると共に、前記カーソルの移動速度に応じて前記強調イメージの大きさを変更することを特徴とする請求項１から４のいずれか一項に記載の端末監視装置。
6. 前記強調イメージが、前記要明示操作イベントの発生時点から所定時間経過後まで明示されることを特徴とする請求項１から５のいずれか一項に記載の端末監視装置。
7. 前記監視画面が、前記要明示操作イベントの発生時点から少なくとも所定時間経過後まで保存されることを特徴とする請求項１から６のいずれか一項に記載の端末監視装置。
8. 前記監視画像表示部が、前記要明示操作イベントの発生時に前記監視画面を一時停止することを特徴とする請求項１から６のいずれか一項に記載の端末監視装置。
9. 前記監視画像表示部が、前記キャプチャ画像取得部から取得した前記操作画面情報に前記強調イメージを合成した領域を監視画面として表示すると共に、前記合成した領域以外の領域は画像処理して表示することを特徴とする請求項１から８のいずれか一項に記載の端末監視装置。
10. ネットワークに接続された端末における操作を監視する端末監視装置のためのプログラムにおいて、
    前記端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得機能と、前記端末から操作ログ情報を取得する操作ログ情報取得機能と、前記操作ログ情報に含まれている操作イベントの操作評価値を算定する操作イベント評価機能と、前記操作評価値に基づいて明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化機能と、前記操作画面情報に前記強調イメージを合成して監視画面として表示する監視画像表示機能と、をコンピュータに実現させる端末監視装置のためのプログラム。

Images