JP2008269401A - ログ管理プログラム及びログ管理装置 - Google Patents

Abstract

【課題】複数のログを圧縮しつつも、各ログの前後関係が分かるようにする。
【解決手段】未圧縮ログテーブル２２Ａに格納されている複数のログのうち、予め定められた要約禁止条件を満たすログの要約禁止フィールド２２ｇに、要約禁止である旨を設定し、未圧縮ログテーブル２２Ａで要約禁止フィールド２２ｇに要約禁止である旨が設定されていないログを、予め定められた要約手法で要約する。そして、圧縮処理済みログテーブル２２Ｂには、要約されたログを格納すると共に、要約禁止である旨が設定されているログに関しては、そのまま格納する。
【選択図】 図２

Description

本発明は、記憶装置に記憶されている複数のログを圧縮するログ管理プログラム、及びログ管理装置に関する。

様々なシステムは、そのシステム上における利用者の振る舞いなどを記述したログを出力することがある。例えば、ウェブサーバにおけるアクセスログや、アンチウィルスソフトウェアにおける検疫のログなどは、この一例である。他の例としては、企業内の業務システムが、システム上での利用者の行動履歴をログとして残すこともある。これらのログは、コンピュータ上での利用者の振る舞いを後になって検証する場合や、システムの正当に運用されていることの証明、また時にはシステムの不正な利用の発見などの場合に非常に有益である。しかし、こういったログは、場合によっては膨大な量となり、人間がログから必要な情報を取り出すことが不可能なレベルに達することも少なくない。

このため、ログを圧縮し、必要な情報のみを入手するための技術が必要となってきている。そのためのアプローチとして、例えば、特許文献1では、アクセスログの中から、予め定められた要件を満たすログのみを抽出し、残りのログを削除する方法が提案されている。

特開2003-76814号

しかしながら、特許文献１に記載の技術では、ログ数を当初より少なくできるものの、抽出したログの前後のログが削除されてしまい、抽出したログや、このログを実行したシステムの利用者の振る舞い等を検証することができないことがあるという問題点がある。

本発明は、このような従来技術の問題点に着目し、複数のログを圧縮しつつも、各ログの前後関係が分かるログ圧縮プログラムを提供することを目的とする。

前記問題点を解決するためのログ管理プログラムは、
記憶装置に記憶されている複数のログを圧縮するログ管理プログラムにおいて、
前記記憶装置から前記複数のログを読み込む読込ステップと、
前記読込ステップで読み込んだ前記複数のログのうち、予め定められた要約禁止条件を満たすログに対して、要約しない旨の情報を関連付ける要約禁止ログ特定ステップと、
前記読込ステップで読み込んだ前記複数のログのうち、前記要約しない旨の情報が関連付けられていないログを、予め定められた要約手法で要約する要約ステップと、
前記要約しない旨の情報が関連付けられているログ、及び前記要約ステップで要約されたログを記憶装置に格納する圧縮ログ格納ステップと、
をコンピュータに実行させることを特徴とする。

ここで、前記要約禁止ログ特定ステップでは、前記読込ステップで読み込んだ前記複数のログを、一連の処理の区切りを判定するルールに従って、複数のセクションに分割し、各セクション毎に、前記要約禁止条件を満たすか否かを判断し、該要約禁止条件を満たすセクション中の各ログに対して、前記要約しない旨の情報を関連付ける、ことが好ましい。さらに、前記要約ステップでは、前記読込ステップで読み込んだ前記複数のログを、一連の処理の区切りを判定するルールに従って、複数のセクションに分割し、該複数のセクションのうち、前記要約しない旨の情報が関連付けられているログを含まないセクションを、前記予め定められた要約手法で要約する、ことが好ましい。

前記問題点を解決するためのログ管理装置は、
記憶装置に記憶されている複数のログを圧縮するログ管理装置において、
前記記憶装置から前記複数のログを読み込む読込手段と、
前記読込手段が読み込んだ前記複数のログのうち、予め定められた要約禁止条件を満たすログに対して、要約しない旨の情報を関連付ける要約禁止ログ特定手段と、
前記読込手段が読み込んだ前記複数のログのうち、前記要約しない旨の情報が関連付けられていないログを、予め定められた要約手法で要約する要約手段と、
前記要約しない旨の情報が関連付けられているログ、及び前記要約ステップで要約されたログを記憶装置に格納する圧縮ログ格納手段と、
を備えていることを特徴とする。

本発明によれば、不審な又は不可解な処理である蓋然性に高くないログは要約される一方で、不審な又は不可解な処理である蓋然性に高いログは要約されずにそのまま残る。このため、要約されない、不審な又は不可解な処理である蓋然性に高いログの前後のログは、なんらかのかたちで残っているため、このログの前後のログを確認することができる。また、本発明では、このログを実行したシステムの利用者の長時間に渡る全体の振る舞いも把握することができる。

以下、本発明に係る各種実施形態について、図面を用いて説明する。

まず、図１〜図７を用いて、本発明に係るログ管理装置の第一の実施形態について説明する。

図１に示すように、ログ管理装置１０は、ネットワーク４０を介して、複数のコンピュータと接続されている。このネットワーク４０に接続されているコンピュータとしては、ここでは、各ユーザが使用する端末４５ａ，４５ｂ，…と、電子メールの送受信処理等を行うメールサーバ４１と、文書や画像などの情報を蓄積しておき端末４５ａ，４５ｂ，…からの要求に応じて、これら情報を送信するＷｅｂサーバ４２と、経理処理を行う経理システム４３と、資材管理を行う資材システム４４とがある。

ログ管理装置１０は、コンピュータであり、各種処理を実行するＣＰＵ１１と、各種データが格納されるハードディスク装置等の記憶装置２０と、ＣＰＵ１１が処理を実行する際のワークエリア等となるメモリ３１と、キーボードやマウス等の入力装置３２と、ディスプレイやプリンタ等の出力装置３３と、ＬＡＮ(Local Area Network)等のネットワーク４０を介して外部と通信するためのＮＩＣ（Network Interface Card）等の通信インタフェース３４と、を備えている。

記憶装置２０には、コンピュータをログ管理装置として機能させるためのログ管理プログラム２１が格納されていると共に、複数のログが格納されるログテーブル２２が設定されている。ＣＰＵ１１は、機能的に、ネットワーク４０に接続されているコンピュータからログを受け付けるログ受付部１２と、受け付けた複数のログのうちで予め定められた要約禁止条件を満たすログを特定する要約禁止ログ特定部１３と、受け付けたログのうち要約禁止条件を満たさないログを要約する要約部１４と、要約されたログ等を記憶装置２０に格納する圧縮処理済みログ格納部１５と、記憶装置に格納されているログを出力装置３３から出力させるログ出力部１６と、を有している。これらの各機能部は、いずれも、ＣＰＵ１１がログ管理プログラム２１を実行することにより、機能する。

図２の左側に示すログテーブル２２Ａは、アクションの実行日時が格納される時刻フィールド２２ａと、利用システム名又は利用ジョブ名が格納されるシステム名フィールド２２ｂと、ユーザ識別子又はユーザが使用する端末の識別子が格納されるユーザ識別子フィールド２２ｃと、アクション内容が格納されるアクションフィールド２２ｄと、アクションの詳細内容やアクションの関連事項が格納されるパラメータフィールド２２ｅ，２２ｆ，…と、ログの要約を禁止する旨の情報が格納される要約禁止フィールド２２ｇと、圧縮処理が終了した旨の情報が格納される圧縮処理済みフィールド２２ｈと、を有している。要約禁止フィールド２２ｇは、初期状態として「０」が設定されており、該当ログが要約禁止条件を満たす場合に「１」が設定される。また、圧縮処理済みフィールド２２ｈは、初期状態として「０」が設定されており、要約禁止フィールド２２ｇに「１」が設定された場合、及び該当ログが要約された場合に「１」が設定される。

このログテーブル２２Ａの最上段のレコード位置には、時刻「2007年1月12日12：34：56」に、経理システム４３に対して、ユーザ「ＡＡ」が「ログイン」したことを示すログが格納されている。第二段目のレコード位置には、時刻「2007年1月12日12：35：59」に、経理システム４３に対して、ユーザ「ＡＡ」が「旅費清算」し、その旅費は、「2007年1月9日」の「東京」行きで発生したことを示すログが格納されている。また、第五段目のレコード位置には、時刻「2007年1月12日13：05：22」に、ウェブサーバ４２に対して、ユーザ「ＡＡ」が「ウェブ閲覧」し、このウェブページのアドレスが「www.abc.co.jp」であることを示すログが格納されている。このように、各ログのパラメータ「旅費清算」「東京」、「ウェブ閲覧」「www.abc.co.jp」は、システム又はジョブとアクションに対して固有のものである。なお、同図では、パラメータフィールド２２e,２２fとして、二つのフィールドしか描いていないが、さらに幾つかのフィールドを設けてもよい。また、ここでは、パラメータフィールド２２e,２２fに一つの情報しか格納していないが、複数の情報を格納するようにしてもよい。

次に、本実施形態のログ管理装置１０の動作について説明する。

ログ管理装置１０の通信インタフェース３４が、各コンピュータから送られてくるログを受信すると、ログ受付部１２が、これを受け付け、記憶装置２０のログテーブル２２に、受け付け順に格納する。なお、前述のログテーブル２２Ａは、後述するように、ユーザ識別子毎に分類して、メモリ３１上に展開してテーブルであり、記憶装置２０内のログテーブル２２には、各コンピュータからの受け入れ順に各ログが格納されるので、このログテーブル２２は、正確に時系列順に並んでいるわけでも、ユーザ識別子毎に分類されているわけでもない。

次に、記憶装置２０のログテーブル２２に格納された複数のログの圧縮処理について、図３に示すフローチャートに従って説明する。このログ圧縮処理は、このログ管理装置１０の管理者からの指示時、所定期間経過時、未圧縮ログの数が所定数になった時等に起動する。

このログ圧縮処理では、まず、ログ圧縮前処理部１３が、記憶装置２０内のログテーブル２２に格納されている複数のログのうち、圧縮処理済みフィールド２２ｈに「０」が設定されているログ、つまり未圧縮ログを読み込み（Ｓ１０）、この未圧縮ログをユーザ識別子毎に分類して、テーブル形式でメモリ３１上に展開する（Ｓ２０）。すなわち、メモリ３１上には、図２の左側に示すように、未圧縮ログテーブル２２Ａの形式で、読み込んだログが展開される。ここで、処理の対象となるユーザ識別子は、読み込んだ全未圧縮ログに含まれている全ユーザ識別子であってもよいが、管理者が入力装置３２を操作して、対象となるユーザ識別子を指定し、この指定されたユーザ識別子であってもよい。

メモリ３１上に、ユーザ識別子毎に分類された未圧縮ログが展開されると、要約禁止ログ特定部１４が起動して、未圧縮ログのうちで要約しないログを特定する（Ｓ３０）。この要約禁止ログ特定処理（Ｓ３０）は、ネットワーク４０に接続されているコンピュータの処理、言い換えると、このログ管理装置１０がログの管理対象としているコンピュータの処理が、不審な又は不可解な処理であると疑う蓋然性に高い場合に、この処理を示すログを要約しないようにするために、このログにマークを付ける処理である。

ここで、図４に示すフローチャートに従って、要約禁止ログ特定処理（Ｓ３０）の詳細について説明する。

要約禁止ログ特定部１４は、まず、メモリ３１上に展開されているユーザ識別子毎に分類された未圧縮ログに対して、初期設定処理を行う（Ｓ３１）。具体的には、時刻フィールド２２ａを参照して、未圧縮ログを時系列にソートする。

次に、要約禁止ログ特定部１４は、メモリ３１上にソートされた未圧縮ログを、予め定められたルールに従って区切って、セッションと呼ばれる一連のログ群を特定する（Ｓ３２）。このルールとしては、例えば、以下の二つのルールを用いる。

第１ルール：あるログのアクション時刻から、次のログのアクション時刻までの間の時間が予め定められた時間以上、例えば、５分以上である場合には、あるログと次のログとの間をセクションの区切りとして区切る。

第２ルール：あるログでの利用システム又は利用ジョブと、次のログでの利用システム又は利用ジョブとが異なる場合に、あるログと次のログとの間をセクションの区切りとして区切る。

以上のルールのうち、まず、第１ルールにより、セクションを分けた後、第２ルールにより、セクション分けが可能な場合に、さらにセクションを分ける。以上のルールに従って、図２中の左側の未圧縮ログテーブル２２Ａ中の複数の未圧縮ログを複数のセクションに分けると、第１ルールにより、最上段のログから第４段目のログまで、第５段目のログから第７段目のログまで、第８段目のログから第１０段目のログまで、第１１段目のログから第１３段目のログまでが、それぞれ、一つのセクションとなる。なお、例えば、第１０段目のログのアクション実行時刻と第１１段目のログのアクション実行時刻との間の時間が予め定められた時間よりも小さい場合には、第２ルールにより、第１０段目のログと第１１段目のログとの間がセクションの区切りとなる。

次に、要約禁止ログ特定部１４は、ステップ３２で特定したセッションが要約禁止ルールに該当するか否かを判断する（Ｓ３３）。要約禁止ルールに該当する場合、メモリ３１上に展開されている未圧縮ログテーブル２２Ａで、このセッションを構成する全てのログの要約禁止フィールド２２ｇに「１」を設定、つまりこれらのログの要約を禁止する旨を設定し（Ｓ３４）、未処理のログが存在するか否か、言い換えると、セッション特定されていないログがあるか否かを判断し（Ｓ３５）、セッション特定されていないログがあれば、ステップ３２に戻り、セッション特定されていないログが無ければ、要約禁止ログの特定処理（Ｓ３０）は終了する。また、ステップ３３で、特定したセッションが要約禁止ルールに該当しないと判断した場合には、直ちに、ステップ３５に進む。

要約禁止ルールとしては、例えば、図６に示すように、四つのルールを用いる。

第１ルール：アクションとして「ログイン」「ログアウト」が存在すべきセッションであるにも関わらず、このいずれかが存在しないセッションである。

第２ルール：アクションとして「ログイン失敗」が４回以上連続している。

第３ルール：アクションとして「メール送信」のときの送信先アドレスがフリーメールアドレスである。送信先アドレスがフリーメールアドレスの場合、情報漏洩の可能性が高いからである。

第４ルール：利用許可のないユーザがシステム又はジョブを利用している。この第４ルールの適用を実施するためには、図６に示すように、各システム毎に、利用可能なユーザ識別子をテーブル２５等で管理しておく必要がある。

以上の４つのルールのうち、第１ルールから第３ルールに関しては、予めログ管理プログラム２１内に組み込んでおけばよい。また、第４ルールも、予めログ管理プログラム２１内に組み込んでおくことは勿論、ログ管理装置１０の起動時等に、このルールを適用するか否かを管理者に確認を求め、管理者がこのルールの適用を求めている場合には、さらに、管理者から各システム毎に、利用可能なユーザ識別子のデータを受け付けて、このデータを前述したようにテーブル２５等で管理しておく必要がある。

図２中の左側に示す未圧縮ログテーブル２２Ａに格納されている複数のログに対して、以上の要約禁止ログの特定処理（Ｓ３０）を施した場合、最上段のログから第４段目のログまでの第１セッション、第５段目のログから第７段目のログまでの第２セッション、及び第１１段目のログから第１３段目のログまでの第４セッションに関しては、先に説明した要約禁止ルールのいずれにも該当しないため、第１、第２及び第４セッションを構成する各ログの要約禁止フィールド２２ｇは、「０」のままである。一方、第８段目のログから第１０段目のログまで第３セッションに関しては、「ログイン」が存在すべきであるにも関わらず、「ログイン」が存在せず、不審な又は不可解な処理であると疑う蓋然性に高いセッションであり、第１ルールに該当するため、この第３セッションを構成する全てのログの要約禁止フィールド２２ｇは、「０」から「１」へ設定変更される。

要約禁止ログ特定部１４による要約禁止ログ特定処理（Ｓ３０）が終了すると、図３のフローチャートに示すように、ログ要約部１５によるログ要約処理（Ｓ４０）が実行される。このログ要約処理（Ｓ４０）の詳細について、図５に示すフローチャートに従って説明する。

ログ要約部１５は、まず、メモリ３１上に展開されているユーザ識別子毎に分類された未圧縮ログを、前述の定められたルールに従って区切って、セッションと呼ばれる一連のログ群を特定する（Ｓ４１）。ここで使用するルールは、前述のステップ３２で使用したルールと同じルールを用いる。但し、このステップ４１で使用するルールは、必ずしも、前述のステップ３２で使用したルールと同じである必要はない。また、ここでは、要約禁止ログ特定処理（Ｓ３０）の処理結果がメモリ３１上に展開されているので、このログ要約処理（Ｓ４０）では、直ちに、セクションの特定処理（Ｓ４１）を実行しているが、要約禁止ログ特定処理（Ｓ３０）の処理結果を記憶装置２２に格納する場合には、このログ要約処理（Ｓ４０）においても、要約禁止ログ特定処理（Ｓ３０）の初期設定（Ｓ３１）と同様に初期設定を行うことになる。

ログ要約部１５は、次に、メモリ３１上に展開されている未圧縮ログテーブル２２Ａを参照して、ステップ４１で特定したセッションを構成する各ログの要約禁止フィールド２２ｇに「１」が設定されているか否かを判断する（Ｓ４２）。特定したセッションを構成する各ログの要約禁止フィールド２２ｇに「１」が設定されていなければ、予め定められている要約手法に従って、特定したセッションを構成する各ログを要約して、これをメモリ３１上の新たなログテーブル、つまり圧縮処理後のログテーブル２２Ｂ（図２中の左側のテーブル）に格納する（Ｓ４３）。そして、この圧縮処理後のログテーブル２２Ｂの該当ログのログ圧縮済みフィールド２２ｈに「１」を設定し、つまり該当ログが圧縮処理済みである旨を設定すると共に、未圧縮ログテーブル２２Ａの該当ログのログ圧縮済みフィールド２２ｈに「１」を設定する（Ｓ４４）。また、ステップ４２で、特定したセッションを構成する各ログの要約禁止フィールド２２ｇに「１」が設定されていると判断した場合には、特定したセッションを構成する各ログを要約することなく、前述のステップ４４の処理を実行する。

ログ要約部１５は、圧縮処理後のログテーブル２２Ｂ及び未圧縮ログテーブル２２Ａの該当ログのログ圧縮済みフィールド２２ｈに「１」を設定すると（Ｓ４４）、未圧縮ログテーブル２２Ａ中に未処理のログが存在するか否か、言い換えると、セッション特定されておらず、ログ圧縮済みフィールド２２ｈに「１」が設定されていないログがあるか否かを判断し（Ｓ４５）、セッション特定されていないログがあれば、ステップ４１に戻り、セッション特定されていないログが無ければ、ログ要約処理（Ｓ４０）は終了する。なお、ここでは、メモリ３１上に、未圧縮ログテーブル２２Ａのほかに、新たに、圧縮処理後のログテーブル２２Ｂを展開するようにしているが、この圧縮処理後のログテーブル２２Ｂに関しては、未圧縮ログテーブル２２Ａ中の対応部分に上書きするようにしてもよい。

ここで、要約手法について説明する。

一つのセッションの要約では、時刻としては、一つのセッション中の最後のログの実行時刻が採用され、「ログイン」「ログアウト」が存在するセクションでは、これら「ログイン」「ログアウト」が削除され、「ログイン」「ログアウト」を除くアクションがアクションとして採用される。また、パラメータに関しては、前述したように、システム又はジョブとアクションに対して固有であるため、システム又はジョブとアクションに応じて、どのように要約するかが定められている。なお、ここでは、時刻としては、一つのセッション中の最後のログの実行時刻を採用するようにしているが、一つのセッション中の最初のログの実行時刻を採用するようにしてもよい。

例えば、図２中の左側に示す未圧縮ログテーブル２２Ａに格納されている複数のログに対して、以上のログ要約処理（Ｓ４０）を施した場合、最上段のログから第４段目のログまでの第１セッション、第５段目のログから第７段目のログまでの第２セッション、及び第１１段目のログから第１３段目のログまでの第３セッションに関しては、図２中の左側に示す圧縮処理後のログテーブル２２Ａに示すように、それぞれ、一つのレコードに要約される。

第１セッションを要約すると、圧縮処理後のログテーブル２２Ｂの時刻フィールド２２ａには、この第１セッションの最後のログの実行時刻である「2007/1/12 12：37：15」が格納され、システム名フィールド２２ｂには、圧縮処理前と同様の「経理」がそのまま格納され、ユーザ識別子フィールド２２ｃには、圧縮処理前と同様の「ＡＡ」がそのまま格納され、アクションフィールド２２ｄには、このセッションにおける「ログイン」「ログアウト」を除くアクションである「旅費清算」が格納され、第１パラメータフィールド２２ｅには、「清算件数：２件」が格納され、第２パラメータフィールド２２ｆには、各行先としての「東京、大阪」が格納される。なお、ここでは、２つのパラメータフィールド２２ｅ，２２ｆのそれぞれに、「清算件数：２件」「東京、大阪」を格納するようにしているが、いずれか一方のみを一つのパラメータフィールド２２ｅに格納するようにしてもよい。

また、第２セッションを要約すると、圧縮処理後のログテーブル２２Ｂの時刻フィールド２２ａには、この第２セッションの最後のログの実行時刻である「2007/1/12 13：06：10」が格納され、システム名フィールド２２ｂには、圧縮処理前と同様の「ウェブ」がそのまま格納され、ユーザ識別子フィールド２２ｃには、圧縮処理前と同様の「ＡＡ」がそのまま格納され、アクションフィールド２２ｄには、圧縮処理前と同様の「ウェブ閲覧」が格納され、第１パラメータフィールド２２ｅには、「閲覧件数：３件」が格納され、第２パラメータフィールド２２ｆには、この第２セクション中の最後のログでのウェブページのアドレス「www.ghi.co.jp」が格納される。なお、ここでは、第２パラメータフィールド２２ｆには、この第２セクション中の最後のログでのウェブページのアドレスを格納しているが、最初のログでのウェブページアドレスを格納するようにしてもよい。また、ここでは、２つのパラメータフィールド２２ｅ，２２ｆのそれぞれに、「閲覧件数：３件」「www.ghi.co.jp」を格納するようにしているが、いずれか一方のみを一つのパラメータフィールド２２ｅに格納するようにしてもよい。

第３セッションに関しては、この第三セッションを構成する各ログの要約禁止フィールド２２ｇに「１」が格納されているため、つまり、不審な又は不可解な処理であると疑う蓋然性に高いため、要約処理は実行されず、そのまま、圧縮処理後のログテーブル２２Ｂに格納される。

また、第４セッションを要約すると、圧縮処理後のログテーブル２２Ｂの時刻フィールド２２ａには、この第４セッションの最後のログの実行時刻である「2007/1/12 15：32：09」が格納され、システム名フィールド２２ｂには、圧縮処理前と同様の「メール」がそのまま格納され、ユーザ識別子フィールド２２ｃには、圧縮処理前と同様の「ＡＡ」がそのまま格納され、アクションフィールド２２ｄには、圧縮処理前と同様の「送信」が格納され、第１パラメータフィールド２２ｅには、「送信件数：３件」が格納され、第２パラメータフィールド２２ｆには、この第４セクション中の最後のログでのメール送信先アドレス「mail＠xx.cc.co.jp」が格納される。なお、ここでは、第２パラメータフィールド２２ｆには、この第４セクション中の最後のログでのメール送信先アドレスを格納しているが、最初のログでのメール送信先アドレスを格納するようにしてもよい。また、ここでは、２つのパラメータフィールド２２ｅ，２２ｆのそれぞれに、「送信件数：３件」「mail＠xx.cc.co.jp」を格納するようにしているが、いずれか一方のみを一つのパラメータフィールド２２ｅに格納するようにしてもよい。

ログ要約部１５によるログ要約処理（Ｓ４０）が終了すると、図３のフローチャートに示すように、圧縮処理済みログ格納部１６により、圧縮処理済みのログが記憶装置２０に格納される（Ｓ５０）。すなわち、図２中の圧縮処理後のログテーブル２２Ｂが、記憶装置２０のログテーブル２２の対応部分に上書きされる。

圧縮処理後のログを参照したい場合には、入力装置３２を操作して、対象時間帯及び対象ユーザ識別子を入力する。ログ出力部１７は、これを受け付け、対象時間帯及び対象ユーザ識別子に対応するログを記憶装置２０のログテーブル２２Ｂから抽出し、図７に示すように、出力装置３３に出力する。この出力では、要約したログに対して、要約していないログ２３、つまり不審な又は不可解な処理である蓋然性に高いログが異なる表示形態で表示される。例えば、要約したログが「黒色」で表示される場合には、要約していないログ２３は例えば「赤色」で表示される等である。

以上のように、本実施形態では、不審な又は不可解な処理である蓋然性に高くないログは要約される一方で、不審な又は不可解な処理である蓋然性に高いログは要約されずにそのまま残る。このため、要約されない、不審な又は不可解な処理である蓋然性に高いログの前後のログは、なんらかのかたちで残っているため、このログの前後のログを確認することができる。また、このログを実行したシステムの利用者の長時間（例えば、一日）に渡る全体の振る舞いも把握することができる。具体的には、図２の左側に示す圧縮処理後のログテーブル２２Ａでは、上から３段目〜５段目のレコードに格納されているログは、要約されず、そのままここに格納されたログであるが、この直前のログを参照すると、アクションが「ウェブ閲覧」であるため、例えば、このウェブ閲覧によるウィルス感染により、上から３段目〜５段目のレコードに格納されているログが不審な又は不可解な処理であると判断された原因ではないかと考察することができる。

次に、本発明に係るログ管理装置の第二の実施形態について、図８を用いて説明する。

第１の実施形態は、記憶装置２２のログテーブル２２に圧縮処理後のログテーブル２２Ｂを上書きするものであるが、本実施形態は、記憶装置２０の記憶領域中で、当初のログテーブル２２が記憶されている記憶領域と異なる記憶領域に、圧縮処理後のログテーブル２２Ｂを格納し、要約されたログを指定することで、このログに対応する要約されていないログを呼び出せるようにしたものである。なお、本実施形態において、第一の実施形態と同一部位については、同一の符号を付し、重複した説明を省略する。

このため、本実施形態のＣＰＵ１１ａは、要約されたログの指定を受け付ける要約ログ指定部１８と、この指定されたログに対応する要約されていないログを当初のログテーブル２２から抽出する未圧縮ログ検索部１９とを有する。さらに、本実施形態の圧縮処理済みログ格納部１６ａは、第一の実施形態と異なり、前述したように、記憶装置２０の記憶領域中で、当初のログテーブル２２が記憶されている記憶領域と異なる記憶領域に、圧縮処理後のログテーブル２２Ｂを格納する。

以上のように、本実施形態では、第一の実施形態と比べて、ＣＰＵ１１ａの機能が付加されていると共に、一部の機能が変更されているため、当然、記憶装置２０に格納されているログ管理プログラム２１ａは、第一の実施形態のログ管理プログラム２１と異なっている。

次に、本実施形態のログ管理装置１０ａの動作について説明する。

本実施形態のログ管理装置１０ａのログ圧縮処理は、図３等を用いて説明した第一の実施形態のログ管理装置１０のログ圧縮処理と基本的に同一である。但し、繰り返すことになるが、圧縮処理後のログテーブル２２Ｂは、記憶装置２０の記憶領域中で、当初のログテーブル２２が記憶されている記憶領域と異なる記憶領域に格納される。

また、本実施形態のログ管理装置１０ａの圧縮済みログの出力処理に関しても、図７を用いて説明した第一の実施形態と基本的に同様である。但し、この図７に示す出力画面中で、要約されたログ（図７中でハッチングが施されていないログ）を指定することで、前述したように、このログに対応する要約されていないログを呼び出せる。

具体的には、要約ログ指定部１８が、入力装置３２の操作による要約されたログの指定を受け付けると、未圧縮ログ検索部１９が、指定されたログを解析して、このログに対応した、要約されていないログを記憶装置２０のログテーブル２２から抽出する。この際、未圧縮ログ検索部１９は、要約されたログに含まれている、実行時刻、システム名、ユーザ識別子を取得し、これらと同じデータを含むログを当初のログテーブル２２から抽出する。

例えば、図７に示す出力画面３３ａ中で、不審な又は不可解な処理である蓋然性に高いログとして、要約されないログ２３の前のログ２４の詳細を調べたい場合には、この前のログ２４を指定すると、未圧縮ログ検索部１９は、この前のログ２４に含まれている実行時刻「2007/1/12 13：06：06」、システム名「ウェブ」、ユーザ識別子「ＡＡ」を取得し、これらデータを含むログを記憶装置２０の当初のログテーブル２２から抽出する。この場合、図２の左側に示す未圧縮ログテーブル２２Ａの例では、上から７段目のログ２４ａが抽出される。ところで、図７中の要約されたログ２４は、図２中の上から７段目のログ２４ａと、その一段上のログと、さらに二段上のログとを要約したものである。このため、この実施形態では、ログ２４ａを抽出した後、図７中の要約されたログ２４に含まれている実行時刻「2007/1/12 13：06：06」から所定時間（例えば、１時間）前までのログ、つまり、実行時刻が例えば「2007/1/12 13：06：06〜2007/1/12 12：06：06」であって、図７中の要約されたログ２４に含まれているシステム名「ウェブ」、ユーザ識別子「ＡＡ」のログをさらに抽出する。なお、ここでは、要約されたログ２４を指定すると、この要約されたログ２４に対応する、要約されていない全てのログを抽出するようにしているが、要約されたログ２４に対応する、要約されていない一つのログ２４ａのみを抽出するようにしてもよい。

ログ出力部１７は、以上のように、未圧縮ログ検索部１９により要約されていないログが抽出されると、これを出力装置３３に出力させる。

以上のように、本実施形態では、当初のログテーブル２２の他に、圧縮処理後のログテーブル２２Ｂも、記憶装置２０に格納するため、第一の実施形態よりも、記憶装置２０の記憶容量は大きくなければならないが、ログ管理者にとっては、極めて見易く且つ理解し易い圧縮処理後のログテーブル２２Ｂを参照できる上に、要約されたログの詳細を知りたい場合には、要約されていないログも参照することができるというメリットがある。

本発明に係る第一の実施形態におけるログ管理システムの構成図である。 本発明に係る第一の実施形態における未圧縮ログテーブル及び圧縮処理済みログテーブルのデータ構成を示す説明図である。 本発明に係る第一の実施形態におけるログ圧縮処理の手順を示すフローチャートである。 図３中の要約禁止ログ特定処理の詳細を示すフローチャートである。 図３中のログ要約処理の詳細を示すフローチャートである。 本発明に係る第一の実施形態における要約禁止ルールを示す説明図である。 本発明に係る第一の実施形態における圧縮処理済みのログの出力例を示す説明図である。 本発明に係る第二の実施形態におけるログ管理システムの構成図である。

符号の説明

１０，１０ａ：ログ管理装置、１１，１１ａ：ＣＰＵ、１２：ログ受付部、１３：ログ圧縮前処理部、１４：要約禁止ログ特定部、１５：ログ要約部、１６，１６ａ：圧縮処理済みログ格納部、１７：ログ出力部、１８：要約ログ指定部、１９：未圧縮ログ検索部、２０：記憶装置、２１，２１ａ：ログ管理プログラム、２２，２２Ａ：未圧縮ログテーブル、２２Ｂ：圧縮処理済みログテーブル、３１：メモリ、３２：入力装置、３３：出力装置、３４：通信インタフェース

Claims (9)

1. 記憶装置に記憶されている複数のログを圧縮するログ管理プログラムにおいて、
   前記記憶装置から前記複数のログを読み込む読込ステップと、
   前記読込ステップで読み込んだ前記複数のログのうち、予め定められた要約禁止条件を満たすログに対して、要約しない旨の情報を関連付ける要約禁止ログ特定ステップと、
   前記読込ステップで読み込んだ前記複数のログのうち、前記要約しない旨の情報が関連付けられていないログを、予め定められた要約手法で要約する要約ステップと、
   前記要約しない旨の情報が関連付けられているログ、及び前記要約ステップで要約されたログを記憶装置に格納する圧縮ログ格納ステップと、
   をコンピュータに実行させることを特徴とするログ管理プログラム。
2. 請求項１に記載のログ管理プログラムにおいて、
   前記要約禁止ログ特定ステップでは、前記読込ステップで読み込んだ前記複数のログを、一連の処理の区切りを判定するルールに従って、複数のセクションに分割し、各セクション毎に、前記要約禁止条件を満たすか否かを判断し、該要約禁止条件を満たすセクション中の各ログに対して、前記要約しない旨の情報を関連付ける、
   ことを特徴とするログ管理プログラム。
3. 請求項１及び２のいずれか一項に記載のログ管理プログラムにおいて、
   前記要約ステップでは、前記読込ステップで読み込んだ前記複数のログを、一連の処理の区切りを判定するルールに従って、複数のセクションに分割し、該複数のセクションのうち、前記要約しない旨の情報が関連付けられているログを含まないセクションを、前記予め定められた要約手法で要約する、
   ことを特徴とするログ管理プログラム。
4. 請求項１から３のいずれか一項に記載のログ管理プログラムにおいて、
   前記コンピュータは、１以上の他のコンピュータと通信する通信手段を備え、
   前記通信手段を用いて、前記１以上の他のコンピュータからログを受け付けるログ受付ステップを、
   前記コンピュータに実行させることを特徴とするログ管理プログラム。
5. 請求項１から４のいずれか一項に記載のログ管理プログラムにおいて、
   前記コンピュータは、入力手段及び出力手段を備え、
   前記圧縮ログ格納ステップで前記記憶装置に格納された複数のログのうち、前記入力手段の操作により指定された１以上のログを前記出力手段に出力させるログ出力ステップを、
   前記コンピュータに実行させることを特徴とするログ管理プログラム。
6. 請求項５に記載のログ管理プログラムにおいて、
   前記ログ出力ステップでは、前記要約しない旨の情報が関連付けられているログを、該要約しない旨の情報が関連付けられていないログと視覚的に異なるよう、前記出力手段に出力させる、
   ことを特徴とするログ管理プログラム。
7. 請求項１から６のいずれか一項に記載のログ管理プログラムにおいて、
   前記読込ステップで読み込まれる前記複数のログが記憶されている前記記憶装置の記憶領域は、前記圧縮ログ格納ステップで、前記要約しない旨の情報が関連付けられているログ及び前記要約ステップで要約されたログが格納される前記記憶装置の記憶領域とは異なる未圧縮ログ記憶領域である、
   ことを特徴とするログ管理プログラム。
8. 請求項７に記載のログ管理プログラムにおいて、
   前記コンピュータの入力装置により、前記圧縮ログ格納ステップで前記記憶装置に格納された前記要約ステップで要約されたログの指定を受け付ける要約ログ指定ステップと、
   前記要約ログ指定ステップで受け付けた前記要約されたログを解析して、該要約されたログに対応するログを、前記未圧縮ログ記憶領域から抽出する未圧縮ログ検索ステップと、
   前記未圧縮ログ検索ステップで抽出された前記ログを、前記コンピュータの出力装置に出力させる出力ステップと、
   を前記コンピュータに実行させることを特徴とするログ管理プログラム。
9. 記憶装置に記憶されている複数のログを圧縮するログ管理装置において、
   前記記憶装置から前記複数のログを読み込む読込手段と、
   前記読込手段が読み込んだ前記複数のログのうち、予め定められた要約禁止条件を満たすログに対して、要約しない旨の情報を関連付ける要約禁止ログ特定手段と、
   前記読込手段が読み込んだ前記複数のログのうち、前記要約しない旨の情報が関連付けられていないログを、予め定められた要約手法で要約する要約手段と、
   前記要約しない旨の情報が関連付けられているログ、及び前記要約ステップで要約されたログを記憶装置に格納する圧縮ログ格納手段と、
   を備えていることを特徴とするログ管理装置。

Images