JP2009110220A - 監査ログ収集・評価システム、監査ログ収集・評価方法、および、収集・評価コンピュータ - Google Patents

Abstract

【課題】ログを用いて、システムの評価を効率的に行うことを課題とする。
【解決手段】収集・評価コンピュータ１０１は、収集対象コンピュータ１１８から受信した監査ログに基づいてそのログを出力したソフトウェアの動作結果に関する所定の指標を累計してその累計結果を記憶部に格納する累計処理部１０７と、記憶部に格納された累計結果及び当該監査ログに関連する１つ前の監査ログの評価結果に基づいて当該監査ログに関して評価し、その評価結果と監査ログを合わせて評価監査ログとして記憶部に格納する評価処理部１０６と、を備える。
【選択図】図１

Description

本発明は、コンピュータ上のプログラム（ソフトウェア）のログを収集し、そのログを用いて、システムの状況を監査（把握）する技術に関する。

従来のログ収集システムでは、収集対象となるコンピュータのログ情報を収集して、統一的なフォーマットに変換して、統一的なログ情報をユーザの傾向分析などに利用していた（例えば特許文献１参照）。
特開２００４−２９５３０３号公報

しかしながら、前記した特許文献１などの従来技術においては、ログ収集時に変換する統一的なフォーマットは、ログの整形が主たる目的であったため、監査のような目的を持ったシステム評価に利用することはできない。
また、収集したログの分析についても、履歴データとして格納し、検索や傾向の分析を行うものとしているが、収集し、変換したログ情報のみを格納しているため、分析に時間がかかるとともに、システムの評価について有用な分析手段を提供できない、つまり、システムの評価を効率的に行うことができないという課題がある。

本発明は、前記課題に鑑みてなされたものであり、ログを用いて、システムの評価を効率的に行うことを課題とする。

前記課題を解決するために、本発明は、ソフトウェアの動作結果であるログの収集対象となる収集対象コンピュータと、前記収集対象コンピュータのログを収集してその評価とともに当該ログを記憶部に記憶する収集・評価コンピュータと、を有する監査ログ収集・評価システムである。
前記収集対象コンピュータは、前記ログを取得するログ取得部と、前記取得したログを所定の規則にしたがってフォーマットを統一して監査ログとする監査ログ生成部と、前記監査ログを前記収集・評価コンピュータに送信する送信部と、を備える。
前記収集・評価コンピュータは、前記収集対象コンピュータから受信した監査ログに基づいてそのログを出力したソフトウェアの動作結果に関する所定の指標を累計してその累計結果を前記記憶部に格納する累計処理部と、前記記憶部に格納された累計結果及び当該監査ログに関連する１つ前の監査ログの評価結果に基づいて当該監査ログに関して評価し、その評価結果と前記監査ログを合わせて評価監査ログとして前記記憶部に格納する評価処理部と、を備える。
その他の手段については後記する。

本発明によれば、ログを用いて、システムの評価を効率的に行うことができる。

以下、本発明を実施するための最良の形態（以下、「実施形態」という。）を、図面に基づいて詳細に説明する。なお、言及図以外の図も適宜参照するものとする。

図１は、本実施形態の監査ログ収集・評価システムＳの収集対象コンピュータ１１８、収集・評価コンピュータ１０１（監査ログの収集および収集ログの評価を行うコンピュータ）の構成の一例を表す図である。
収集対象コンピュータ１１８は、プロセッサ１２５とメモリ１１９と記憶装置１２６とを有し、通信インタフェース２４０を介してＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークＮに接続する。なお、収集対象コンピュータ１１８は、図１では１つしか示していないが、複数であってもよい。

記憶装置１２６からメモリ１１９に展開したログ送信部１２１（送信部）、ログ正規化部１２２（監査ログ生成部）、ログ取得部１２３、ログ収集指示受付部１２４などを含むプログラム１２０をプロセッサ１２５が実行することで、ログ送信処理、ログ正規化処理、ログ取得処理、ログ収集受付処理などの各処理が行われる。なお、以下において、「プロセッサ１２５がログ送信部１２１を実行することでログ送信処理を行う」と「ログ送信部１２１がログ送信処理を実行する」は同じ意味内容である。

ここで、監査ログとは、収集対象コンピュータ１１８に導入されているソフトウェアが出力するコンピュータシステムに対するアクセス内容（操作内容）やコンピュータシステムの変更履歴などを後から確認できるように記録したログを指す。監査ログは、内部および外部監査に対応できるように、網羅性、正確性、正当性を維持し、長期保管できることが求められる。
監査ログは、後から参照する場合の検索容易性を高めるため、既定のフォーマット（監査ログフォーマット）に加工する。ここでいう、加工とは、データの内容を変更することではなく、表示形式を変更し、情報の順序を整理して決められた格納領域に格納することを指す。

図１０に示すように、監査ログフォーマット１０００は、ログＩＤ（IDentification）１００１、日時１００２、プログラム１００３、ＩＰ（Internet Protocol）アドレスやホスト名で示される場所１００４、動作主体となるユーザ１００５、動作の種別１００６、動作の結果１００７、ログのメッセージ１００８やその他ソフトウェア固有の付加情報１００９などで示されるプログラムの動作などを表す情報（評価・分析観点）で構成される。実施例では、評価・分析の際の観点として、ユーザを１つの例として説明しているが、その他の要素（プログラムの動作などを表す情報として取得可能な情報）に着目して監査ログを評価・分析するように構成することができる。

図１に戻って、ログ送信部１２１は、収集指示のあった収集対象コンピュータ１１８に導入されているソフトウェアが出力したログを収集・評価コンピュータ１０１へ送信する。ログ正規化部１２２は、取得したログを監査ログへ変換するために正規化を実施する。なお、ここで、ログの正規化とは、ログのフォーマットを統一することをいう（詳細は後記）。
ログ取得部１２３は、収集指示のあったソフトウェアが出力したログを収集指示に従って取得する。ログ収集指示受付部１２４は、収集・評価コンピュータ１０１から送信される収集指示情報を受信し、収集対象コンピュータ１１８上に格納する。

なお、ログ送信部１２１、ログ正規化部１２２、ログ取得部１２３、ログ収集指示受付部１２４などによる各機能は、プログラム１２０をプロセッサ１２５で実行することで実現するようにしたが、それ以外に、各機能を集積回路化するなどしてハードウェアで実現することもできる。
記憶装置１２６は、ログ情報１２７、ログ取得状況情報１２８（図９参照）、収集対象情報１２９、正規化ルール情報１３０などを格納する。

収集・評価コンピュータ１０１は、プロセッサ１１０とメモリ１０２と記憶装置１１１（記憶部）と入力部１８０と表示部１８１とを有し、通信インタフェース１１７を介してネットワークＮに接続する。
入力部１８０は、収集・評価コンピュータ１０１のユーザ（以下、単に「ユーザ」という。）が情報を入力する手段であり、例えば、キーボードやマウスなどである。
表示部１８１は、情報を表示する手段であり、例えば、液晶表示装置などである。

記憶装置１１１からメモリ１０２に展開した表示処理部１０４、分析処理部１０５、評価処理部１０６、累計処理部１０７、ログ収集指示部１０８、ログ収集部１０９などを含むプログラム１０３をプロセッサ１１０が実行することで、表示処理、分析処理、評価処理、累計処理、ログ収集指示処理、ログ収集処理などの各処理が行われる。なお、以下において、「プロセッサ１１０が表示処理部１０４を実行することで表示処理を行う」と「表示処理部１０４が表示処理を実行する」は同じ意味内容である。

表示処理部１０４は、ユーザによる入力部１８０からの入力を受け付ける画面を表示部１８１に表示し、また、入力データを処理し、分析処理部１０５へ引き渡す。分析処理部１０５は、収集・評価コンピュータ１０１上の記憶装置１１１に格納されている評価監査ログテーブル１１４の評価監査ログを集計する。評価処理部１０６は、収集対象コンピュータ１１８から送信された監査ログを評価し、評価監査ログとして評価監査ログテーブル１１４に格納する。

累計処理部１０７は、収集対象コンピュータ１１８から送信された監査ログを累計し、累計結果を累計テーブル１１５に格納する。ログ収集指示部１０８は、収集対象コンピュータ１１８に導入されているソフトウェアから出力されたログを取得し、収集・評価コンピュータ１０１へと送信することを指示するため収集指示情報を収集対象コンピュータ１１８へ送信する。ログ収集部１０９は、収集対象コンピュータ１１８から送信される監査ログを受信し、以降の処理へと監査ログを引き渡す。

なお、表示処理部１０４、分析処理部１０５、評価処理部１０６、累計処理部１０７、ログ収集指示部１０８、ログ収集部１０９などによる各機能は、プログラム１０３をプロセッサ１１０で実行することで実現するようにしたが、それ以外に、各機能を集積回路化するなどしてハードウェアで実現することもできる。

また、記憶装置１１１は、収集対象情報１１２（図７参照）、正規化ルール情報１１３（図８参照）、評価監査ログテーブル１１４（図１３参照）、累計テーブル１１５（図１１参照）、ログレベル情報１１６（図１２参照）などを格納する。

図２は、監査ログ収集・評価システムＳの各コンピュータで行う処理の全体のフローを表した図の一例である。以下、処理の流れについて説明する。

監査ログ収集・評価システムが処理を開始すると、収集・評価コンピュータ１０１は、収集対象コンピュータ１１８に対してログ収集指示を実施する（ステップ２０１）。このログ収集指示処理では、ログ収集指示部１０８が記憶装置１１１に格納されている収集対象情報１１２および正規化ルール情報１１３を取得し、収集対象コンピュータ１１８に収集指示情報として送信する。

収集・評価コンピュータ１０１が収集指示情報を送信すると、収集対象コンピュータ１１８は、ログ収集指示受付を実施する（ステップ２０２）。このログ収集指示受付処理では、送信された収集指示情報を受信し、記憶装置１２６に収集対象情報１２９および正規化ルール情報１３０として格納する。

収集指示を受け付けた後、収集対象コンピュータ１１８は、ログ取得を実施する（ステップ２０３）。このログ取得では、ログ取得部１２３が記憶装置１２６に収集対象情報１２９を参照し、対象であるログを取得する。

ログを取得した後、収集対象コンピュータ１１８は、正規化を実施する（ステップ２０４）。この正規化では、ログ正規化部１２２が記憶装置１２６に格納されている収集対象情報１２９に従い対応する正規化ルール情報１３０を参照し、ソフトウェアが出力したログを監査ログフォーマットに合わせて変換する。前記したように、ログを監査ログフォーマットに合わせたものを、監査ログと呼ぶ。

ログを正規化して監査ログとした後、収集対象コンピュータ１１８は、監査ログ送信を実施する（ステップ２０５）。この監査ログ送信では、ログ取得部１２３が記憶装置１２６に格納されている収集対象情報１２９に従い対応する収集・評価コンピュータ１０１へ、変換した監査ログ情報を送信する。

収集対象コンピュータ１１８が監査ログ情報を送信すると、収集・評価コンピュータ１０１は、監査ログ受信を実施する（ステップ２０６）。この監査ログ受信では、ログ収集部１０９が収集対象コンピュータ１１８から送信された監査ログ情報を受信し、次の処理へ引き渡す。

監査ログ情報を受信した後、収集・評価コンピュータ１０１は、監査ログ累計を実施する（ステップ２０７）。この監査ログ累計では、累計処理部１０７が受信した監査ログ情報を累計処理し、累計結果を記憶装置１１１上にある累計テーブル１１５へ格納する。

監査ログ情報を累計した後、収集・評価コンピュータ１０１は、監査ログ評価を実施する（ステップ２０８）。この監査ログ評価では、評価処理部１０６が受信した監査ログ情報および記憶装置１１１上にある累計テーブル１１５を参照し、評価処理を実施し、監査ログ情報に評価結果を付加し、評価監査ログテーブル１１４へ評価監査ログとして格納する。この監査ログ情報の評価を実施すると、監査ログ収集・評価システムＳは一連の処理を終了する。

図３は、収集・評価コンピュータ１０１おけるログ収集指示部１０８、収集対象コンピュータ１１８におけるログ収集指示受付部１２４の処理のフローを表した図の一例である（図２のフローチャートのステップ２０１，２０２に相当）。以下、収集・評価コンピュータ１０１と収集対象コンピュータ１１８におけるログ収集指示の処理の流れを説明する。

収集・評価コンピュータ１０１上でプログラム１０３の動作が開始されると、ログ収集指示部１０８が収集対象コンピュータ１１８に関する収集対象情報１１２を取得する（ステップ３０１）。収集対象情報１１２とは、監査ログとして収集する収集対象コンピュータ１１８のソフトウェアが出力するログ情報を対象として収集方法を示す情報である。この収集対象情報１１２に従って、ログが収集される。

ここで、図７に示すように、収集対象情報１１２は、収集対象コンピュータ１１８を識別するＩＰ（Internet Protocol）アドレスもしくはホスト名を示す収集対象コンピュータ７０１、収集の対象となるログを出力するソフトウェアを識別するプログラム７０２、収集の対象となるログが出力されるファイルを識別するログファイル７０３、収集のタイミングとして定期的に収集するのか即時的に収集するのか収集の方法を示す収集方法７０４、定期的に収集する際にその時刻と時間間隔を示す収集タイミング７０５を含む情報である。

図３に戻って、収集対象情報１１２を取得した後、ログ収集指示部１０８が収集対象コンピュータ１１８に関する正規化ルール情報１１３を取得する（ステップ３０２）。正規化ルール情報１１３とは、収集対象コンピュータ１１８のソフトウェアが出力するログを監査ログへ変換するためのルールを示す情報である。この正規化ルール情報１１３に従って、ログがを変換される。

ここで、図８に示すように、正規化ルール情報１１３は、収集対象コンピュータ１１８に導入されているソフトウェアに対応するプログラム８０１、プログラムが出力するログ情報の区切り文字列を示す区切り８０２、また、ログの情報を監査ログへ対応づける順番を示すマップ情報８０３を含む情報である。なお、例外８０４としてログＩＤ８０５ごとに区切り８０２ａ（８０２）、マップ情報８０３ａ（８０３）を定義することを可能とする。また、正規化ルール情報１１３には、複数のプログラムに対する正規化ルール情報を定義することができる。さらに、各プログラムについて、例外情報を複数個定義できる。

図３に戻って、正規化ルール情報１１３を取得した後、ログ収集指示部１０８は収集対象情報１１２および正規化ルール情報１１３を合わせて収集指示情報として、収集対象情報１１２の収集対象コンピュータで示される収集対象コンピュータ１１８へ送信する（収集指示する）（ステップ３０３）。

収集・評価コンピュータ１０１が収集指示情報を送信した後、収集対象コンピュータ１１８のログ収集指示受付部１２４が収集指示情報として収集対象情報１１２および正規化ルール情報１１３を受信する（受け付ける）（ステップ３０４）。

収集指示情報を受信した後、ログ収集指示受付部１２４は収集指示情報を収集対象コンピュータ１１８上の記憶装置１２６に収集対象情報１２９および正規化ルール情報１３０として格納する（ステップ３０５）。

収集対象情報１２９および正規化ルール情報１３０に各情報を格納した後、ログ収集指示受付部１２４は、収集対象情報１２９の収集方法を参照し、即時収集または定期収集の指示に従い即時的な収集を実施するのか定期的な収集を実施するのかを判定する（ステップ３０６）。

即時的な収集が指示されている場合は、ログ取得部１２３に対してログ取得要求を発行する（ステップ３０７）。定期的な収集が指示されている場合は、すぐにログ取得を行う必要がないのでステップ３０７をスキップし、処理を終了する。

図４は、収集対象コンピュータ１１８におけるログ送信部１２１、ログ正規化部１２２およびログ取得部１２３の処理のフローを表した図の一例である。以下、収集対象コンピュータ１１８におけるログ取得および監査ログ送信の処理の流れについて説明する。

収集・評価コンピュータ１０１から収集対象コンピュータ１１８へ収集指示が行われると、プログラム１２０の処理が開始される。プログラム１２０の処理が開始されると、ログ取得部１２３が収集対象コンピュータ１１８に関する収集対象情報１２９を取得する（ステップ４０１）。

ログ取得部１２３は収集対象情報１２９を取得した後、収集対象情報に定義されている収集方法を参照し、現在が収集タイミングであるか否か判断する（ステップ４０２）。具体的には、まず、収集方法が即時収集、定期収集のいずれであるかを判定する。収集方法が即時収集の場合は現在が収集タイミングであるので（ステップ４０２でＹｅｓ）ステップ４０３に進む。

収集方法が定期収集の場合、ログ取得部１２３は収集タイミング判定を実施する。この収集タイミング判定では、収集対象情報１２９の収集タイミングを参照し、収集するタイミングに合致するか否かを判定する。収集するタイミングに合致しない場合は現在が収集タイミングではないので（ステップ４０２でＮｏ）、処理を終了する。

ステップ４０３において、ログ取得部１２３はログ取得状況情報１２８が存在するか否かを判定する。ログ取得状況情報１２８が存在しない場合（ステップ４０３でＮｏ）、ログ取得部１２３は、ログ取得状況情報１２８を新たに生成する（ステップ４０５）。

ログ取得状況情報１２８が存在する場合（ステップ４０３でＹｅｓ）、ログ取得部１２３は、既存のログ取得状況情報１２８を取得する（ステップ４０４）。ログ取得状況情報１２８とは、収集対象コンピュータ１１８に導入されているソフトウェアが出力するログをどれだけ取得しているかを示す情報である。このログ取得状況情報１２８を利用することでログをどこから取得すれば良いかが判断できる。

ここで、図９に示すように、ログ取得状況情報１２８は、取得する対象のソフトウェアを表すプログラム９０１、取得する対象のソフトウェアがログを出力しているファイルを示すログファイル９０２、ログを既にどこまで取得しているかを示す取得済みバイト数９０３を含む情報である。また、ログ取得状況情報１２８は、収集対象コンピュータ１１８に導入されているソフトウェアごとに対応して生成することを可能とする。

ログ取得状況情報１２８を生成（ステップ４０５）もしくは取得（ステップ４０４）した後、ログ取得部１２３は、収集対象情報１２９およびログ取得状況情報１２８に従って、取得する対象ソフトウェアが出力するログをログファイルから取得する（ステップ４０６）。

ログを取得した後、ログ取得部１２３は処理をログ正規化部１２２へと引き渡す。処理を引き渡されたログ正規化部１２２は、収集対象コンピュータ１１８上の記憶装置１２６に格納されている正規化ルール情報１３０を取得する（ステップ４０７）。
ここで、正規化ルール情報１３０の取得の際には、収集対象情報１２９の正規化ルールＩＤ（不図示）に従って、ログを取得するソフウェアに対応した正規化ルール情報１３０を取得することを可能とする。つまり、収集対象コンピュータ１１８上の複数のソフトウェアに対して正規化ルール情報１３０を対応づけることを可能とする。

正規化ルール情報１３０を取得した後、ログ正規化部１２２は、取得したログを正規化ルール情報１３０に従って監査ログへ変換する正規化を実施する（ステップ４０８）。
正規化では、取得したログおよび正規化ルール情報１３０を入力とし、正規化ルール情報１３０ではプログラム８０１（図８参照）に対応するプログラムが出力するログごとに処理を実施する。また、正規化ルール情報１３０の区切り８０２（図８参照）の文字列によってログを区切り、マップ情報８０３（図８参照）の番号順に区切られたそれぞれのログ情報を対応づけ、監査ログフォーマット１０００（図１０参照）の形式へ変換し、監査ログフォーマットに従った監査ログを出力する。

図４に戻って、正規化を実施した後、ログ正規化部１２２は処理をログ取得部１２３に戻して、ログ取得部１２３がログ取得が完了したか否かを判定する（ステップ４０９）。このログ取得完了判定では、取得すべきソフトウェアのログをすべて取得したか否かを判定する。ログ取得が完了した場合（ステップ４０９でＹｅｓ）、ステップ４１０に進む。ログ取得が完了していない場合（ステップ４０９でＮｏ）、ステップ４０６に戻る、つまり、ログ取得を完了するまで、ログ取得（ステップ４０６）、正規化ルール情報取得（ステップ４０７）および正規化（ステップ４０８）の処理を繰り返す。

なお、ログを取得する対象のソフトウェアが出力するログファイルについても、収集対象情報１２９のログファイルを参照し、確認を行う。これにより、ログを取得する対象のソフトウェアが複数のログファイルにログを出力する場合についても対応することを可能とする。

ログ取得が完了した後、ログ取得部１２３は、取得したバイト数を算出し、ログ取得状況情報１２８のログ取得済みバイト数９０３（図９参照）を更新する（ステップ４１０）。これにより、次回ログを取得する際にどこからログを取得すればよいか判断することを可能とする。

ログ取得状況情報１２８を更新した後、ログ取得部１２３は、収集対象情報１２９を参照して収集方法が即時収集であるか定期収集であるかを判定する（ステップ４１１）。収集方法が定期収集である場合、ログ取得部１２３は、定期収集タイマをセット（設定）する（ステップ４１２）。これにより、次回の定期収集を実施することを可能とする。収集方法が即時収集の場合、ログ取得部１２３は、ステップ４１２をスキップする。

最後に、ログ取得部１２３は、処理をログ送信部１２１に引き渡す。処理を引き渡されたログ送信部１２１は、取得および正規化を実施した監査ログを収集・評価コンピュータ１０１へ送信する（ステップ４１３）。監査ログを送信すると、ログ取得およびログ送信の一連の処理を終了する。

図５は、収集・評価コンピュータ１０１におけるログ収集部１０９、累計処理部１０７および評価処理部１０６の処理のフローを表した図の一例である。以下、収集・評価コンピュータ１０１における収集、累計および評価の処理の流れについて説明する。

収集・評価コンピュータ１０１上のプログラム１０３が収集対象コンピュータ１１８から送信される監査ログを受信することによって処理が開始する。収集対象コンピュータ１１８から送信された監査ログは収集・評価コンピュータ１０１のログ収集部１０９が受信する（ステップ５０１）。ログ収集部１０９が監査ログを受信すると、処理および監査ログ情報を累計処理部１０７に引き渡す。

収集対象コンピュータ１１８の監査ログを受信した後、累計処理部１０７は、累計情報が存在するか否かを判定する（ステップ５０２）。この累計情報の存在判定では、収集・評価コンピュータ１０１上の記憶装置１１１にある累計テーブル１１５に、監査ログ情報に示されるユーザに対応する累計情報が存在するか否かを判定する。累計テーブル１１５とは、収集した監査ログをユーザごとに監査ログの結果に基づいて成功・失敗・その他に区別して累計した結果を示す情報を格納しているテーブルである。なお、成功・失敗（成功または失敗に関する情報）とは、監査ログを出力したソフトウェアの動作結果（例えば遠隔のユーザからのアクセスに対する応答結果）についての所定の指標の一例である。

ここで、図１１に示すように、累計テーブル１１５は、各累計情報を識別する累計ＩＤ１１０１、累計情報の種別を示す分類１１０２、累計の対象を示す対象１１０３、監査ログの結果が成功である監査ログ数を示す成功１１０４、監査ログの結果が失敗である監査ログ数を示す失敗１１０５、監査ログの結果が成功でも失敗でもない監査ログ数を示すその他１１０６、累計の対象に合致する監査ログの総数を示す総ログ数１１０７を含む情報である。

図５に戻って、対応する累計情報が既に存在している場合（ステップ５０２でＹｅｓ）、累計処理部１０７はステップ５０４に進む。対応する累計情報が存在しない場合（ステップ５０２でＮｏ）、累計処理部１０７は対応する累計情報を生成する（ステップ５０３）。この累計情報の生成では、累計テーブル１１５に監査ログ情報に示されるユーザに対応する累計情報を追加する。新たに累計情報を生成した場合、累計テーブル１１５の分類１１０２（図１１参照）には監査ログのユーザを格納し、成功１１０４、失敗１１０５、その他１１０６、総ログ数１１０７には「０」を格納する。

既に累計情報が存在する場合（ステップ５０２でＹｅｓ）、もしくは新たに累計情報を生成した（ステップ５０３）後、累計処理部１０７は、累計処理を実施する（ステップ５０４）。この累計処理では、監査ログの結果を参照し、成功、失敗もしくはその他に対応した累計テーブル１１５の成功１１０４、失敗１１０５もしくはその他１１０６および総ログ数１１０７に格納されている数値をカウントアップした数値を算出する。

累計情報をカウントアップした後、累計処理部１０７は、その算出結果を累計テーブル１１５の対応する各累計情報に格納し、更新する（ステップ５０５）。累計情報を更新した後、累計処理部１０７は、評価処理部１０６に処理および監査ログ情報を引き渡す。

評価処理部１０６は、累計処理部１０７から処理および監査ログ情報を引き渡されると、評価監査ログテーブル１１４から監査ログに示されるユーザの前回の評価監査ログを取得する（ステップ５０６）。この前回の評価監査ログ取得では、評価監査ログテーブル１１４に格納されている監査ログに示されるユーザを検索し、その評価監査ログ情報を取得する。評価監査ログテーブル１１４とは、監査ログにその監査ログを評価した結果を付加した情報を格納しているテーブルである。

ここで、図１３に示されるように、評価監査ログテーブル１１４は、評価監査ログ情報を識別するための評価監査ログＩＤ１３０１、監査ログを識別するためのログＩＤ１３０２、監査ログの発生した日時を示す日時１３０３、監査ログを出力したソフトウェアを示すプログラム１３０４、監査ログを出力した収集対象コンピュータ１１８を識別するＩＰアドレスもしくはホスト名を示す場所１３０５、監査ログを出力したユーザを示すユーザ１３０６、監査ログを出力したソフトウェアの動作の種別を示す種別１３０７、監査ログを出力したソフトウェアの動作の結果を示す結果１３０８、監査ログを出力したソフトウェアの動作を説明するメッセージ１３０９、監査ログを出力したソフトウェアの付加的な情報を示す付加情報１３１０、評価結果のひとつであるユーザ成功／失敗率（成功率か失敗率のいずれか。以下同様）１３１１、評価結果のひとつであるシステム成功／失敗率１３１２、評価結果のひとつであるログ影響度１３１３（影響度）、評価結果としてログ影響度に対応して付与されるログレベル１３１４を含む情報を格納しているテーブルである。

なお、ユーザ成功／失敗率１３１１とは、監査ログを出力したユーザごとに、成功および失敗の監査ログ数を示したものである。これにより、各ユーザの操作結果として成功および失敗の監査ログの割合を把握することができる。システム成功／失敗率１３１２とは、収集対象とするコンピュータ全体で出力された監査ログの成功および失敗の監査ログ数を示したものである。これにより、システム内の成功および失敗の監査ログの割合を把握することができる。

また、ログ影響度１３１３とは、ユーザ成功／失敗率およびシステム成功／失敗率から算出された評価値（指標）を示したものである。これにより、出力されたある監査ログがシステムに対してどの程度影響したのかを把握することができる。さらに、ログレベル１３１４とは、ログ影響度の範囲をレベル分けした文字列を示す。これにより、ログ影響度を段階的なレベルとして表すことができる。

図５に戻って、ステップ５０６において監査ログに示されるユーザの前回の評価監査ログが存在しない場合は、ユーザ成功／失敗率、システム成功／失敗率およびログ影響度を「０」として扱うようにして処理を進める。
前回評価監査ログを取得した後、評価処理部１０６は、前回の評価監査ログを含めて監査ログの評価を実施する（ステップ５０７）。

この評価処理では、（１）監査ログに示されるユーザおよび全ユーザに対応する累計テーブル１１５（図１１参照）の成功１１０４、失敗１１０５、その他１１０６、総ログ数１１０７と、（２）前回の評価監査ログと、（３）取得した監査ログと、を入力とし、２つの観点から評価を実施する。まず、初めに監査ログの絶対評価として、ユーザ成功／失敗率を算出し、システム成功／失敗率を算出する。絶対評価では、累計テーブル１１５から監査ログのユーザに対応する累計情報を取得し、そのユーザの「成功もしくは失敗／総ログ数（％）」によりユーザ成功率もしくは失敗率を出力する。また、全ユーザに対応する累計情報を取得し、全ユーザの「成功もしくは失敗／総ログ数（％）」によりシステム成功率もしくは失敗率を出力する。

続いて、監査ログの相対評価として、ログ影響度を算出する。相対評価では、前回の評価監査ログのユーザ成功率もしくは失敗率と、絶対評価として算出した今回のユーザ成功率もしくは失敗率の差分を「前回のユーザ成功率／失敗率−今回のユーザ成功率／失敗率（ユーザ成功率／失敗率差分）」として算出する。

また、前回の評価監査ログのシステム成功率もしくは失敗率と絶対評価として算出した今回のシステム成功率もしくは失敗率の差分を「前回のシステム成功率／失敗率−今回のシステム成功率／失敗率（システム成功率／失敗率差分）」として算出する。
その後、ユーザ成功率／失敗率差分に対するシステム成功率／失敗率差分の比率を「システム成功率もしくは失敗率差分／ユーザ成功率もしくは失敗率差分」として算出し、ログ影響度として出力する。

絶対評価および相対評価の評価処理を実施した後、評価処理部１０６は、監査ログに評価結果を付加した情報を評価監査ログとして生成する（ステップ５０８）。

評価監査ログを生成した後、評価処理部１０６は、ログレベル情報が存在するか否かを判定する（ステップ５０９）。このログレベル情報の判定では、収集・評価コンピュータ１０１上の記憶装置１１１にあるログレベル情報１１６が存在するか否かを判定する。ログレベル情報１１６が存在しない場合（ステップ５０９でＮｏ）、ステップ５１０をスキップしてステップ５１１に進む。

ログレベル情報１１６が存在する場合（ステップ５０９でＹｅｓ）、評価処理部１０６は、評価監査ログ情報にログレベル情報を付与する（ステップ５１０）。このログレベル情報付与では、評価処理により算出したログ影響度に対応するログレベルを評価監査ログ情報にログレベルとして付与する。ログレベル情報１１６とは、ログ影響度の区分をレベルとして示す情報である。

ここで、図１２に示すように、ログレベル情報１１６は、ログの影響度の区分を示すレベル１２０１、および、各レベルに対応するログ影響度の範囲を示す影響度範囲１２０２を含む情報である。
ログレベル情報１１６が存在しない場合（ステップ５０９でＮｏ）、もしくはログレベル情報が存在して付与した（ステップ５１０）後、評価処理部１０６は、評価監査ログを記憶装置１１１の評価監査ログテーブル１１４に格納する（ステップ５１１）。評価監査ログを格納した後、評価処理部１０６は、処理をログ収集部１０９に引き渡す。

ログ収集部１０９は、評価処理部１０６から処理を引き渡された後、収集が完了したか否かを判定する（ステップ５１２）。この収集完了判定では、受信した監査ログがすべて処理されたか否かを判定する。収集が完了していない場合（ステップ５１２でＮｏ）、ログ収集部１０９は、ステップ５０２に戻り、処理を累計処理部１０７に引渡し繰り返し処理を実施する。収集が完了した場合（ステップ５１２でＹｅｓ）、収集・評価コンピュータ１０１における収集、累計および評価の処理を終了する。

入力部１８０を用いたユーザからのデータ入力については、例えば図１４に示すようなＧＵＩ(Graphical User Interface）を利用して入力が行われる。図１４は、ユーザからのデータ入力を行うためのＧＵＩを示した一例である。この表示例では、表示部１８１において、入力データの各項目が表示されており、表示ボタン１４０９を押下することで入力データに従ったグラフを表示することができる。以下、図１４の入力データの各項目について説明する。

図１４の入力データの各項目として、表示種別１４０１では、プロットグラフ、棒グラフ、線グラフなどのグラフの種類を選択することができる。期間１４０２では、表示対象とする評価監査ログの日時の範囲を指定することができる。条件１４０３では、監査ログフォーマット１０００の各項目で条件が指定できる。このとき、追加ボタン１４０８を押下することにより、条件入力項目を追加し、絞り込むことが可能である。結果１４０４では、表示する結果となるデータを指定することができる。
単位（縦）１４０５では、縦軸の単位を指定することができる。単位（横）１４０６では、横軸の単位を指定することができる。ログレベル１４０７では、表示対象とするログレベルを指定することができる。

図６は、収集・評価コンピュータ１０１における表示処理部１０４および分析処理部１０５の処理のフローを表した図の一例である。以下、収集・評価コンピュータ１０１における分析および表示の処理の流れについて説明する。

収集・評価コンピュータ１０１上のプログラム１０３に対して入力部１８０からのデータ入力が行われることによって開始する。処理が開始すると、表示処理部１０４は、入力部１８０から入力されたデータを受け付ける（ステップ６０１）。この入力受付では、入力されたデータを収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。入力されるデータには、前記したように、表示種別、条件、結果、単位がある（図１４参照）。

入力を受け付けた後、表示処理部１０４は、入力された表示種別情報を設定する（ステップ６０２）。この表示種別設定では、入力された表示種別データを収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。表示処理部１０４が表示種別を設定すると、処理および入力データを分析処理部１０５に引き渡す。

表示種別を設定した後、処理を引き渡された分析処理部１０５は、入力された条件情報を設定する（ステップ６０３）。この条件設定では、入力された条件データを収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。

条件を設定した後、分析処理部１０５は、入力された結果情報を設定する（ステップ６０４）。この結果設定では、入力された結果データを収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。

結果を設定した後、分析処理部１０５は、単位の一覧情報を取得する（ステップ６０５）。この単位一覧取得では、収集・評価コンピュータ１０１上の記憶装置１１１に格納されている評価監査ログテーブル１１４のレコードを単位情報に従って検索し、単位一覧情報を取得し、収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。

単位一覧を取得した後、分析処理部１０５は、取得した単位情報一覧から単位情報を設定する（ステップ６０６）。この単位設定では、入力された単位データを収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。また、単位データに従って、検索クエリを生成し、単位情報一覧を取得する。単位情報一覧を取得すると、分析処理部１０５は、単位情報一覧を収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。さらに、最初の単位情報を収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。

単位を設定した後、分析処理部１０５は、収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持している条件、結果、単位のデータから集計条件を生成する（ステップ６０７）。この集計条件生成では、集計処理を行うための条件を検索クエリとして生成する。生成した検索クエリを収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。

集計条件を生成した後、分析処理部１０５は、収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持している検索クエリを発行し、集計処理を実施する（ステップ６０８）。この集計処理では、発行した検索クエリに従って、収集・評価コンピュータ１０１上の記憶装置１１１に格納されている評価監査ログテーブル１１４のレコードを集計する。

集計を実施した後、分析処理部１０５は、集計結果を取得する（ステップ６０９）。この集計結果取得では、集計結果データを収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。

集計結果を取得した後、分析処理部１０５は、集計が完了したか否かを判定する（ステップ６１０）。この集計完了判定では、収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持している単位情報一覧を参照し、集計を実施していない単位情報が存在する（つまり、集計未完了の）場合（ステップ６１０でＮｏ）、次の単位情報を収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持する。

集計を実施していない単位情報が存在しない（つまり、集計完了の）場合（ステップ６１０でＹｅｓ）、分析処理部１０５は、収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持している集計結果情報を取得し、表示処理部１０４に処理および集計結果情報を分析処理部１０５に引き渡す。

処理を引き渡された表示処理部１０４は、引き渡された集計結果情報と収集・評価コンピュータ１０１上のメモリ１０２の作業領域に一時的に保持している表示種別情報に従って、表示部１８１に集計結果を表示する（ステップ６１１）。この集計結果表示では、表示種別情報によって、グラフに集計結果を表示する。集計結果を表示すると、分析および表示の一覧の処理を終了する。

図１５は、収集・評価コンピュータ１０１上の記憶装置１１１に格納されている評価監査ログテーブル１１４および累計テーブル１１５の情報を分析した結果を表示部１８１に表示した一例である。この表示例では、縦軸をプログラム１５０１、横軸を場所１５０３として軸を取っている。

横棒グラフ１０５２では、各プログラムにおけるログ件数を示している。評価監査ログテーブル１１４（図１３参照）のプログラム１３０４を入力とし、プログラムごとのレコード数の合計を算出し、各プログラムにおけるログ件数として出力とする。
縦棒グラフ１５０４では、各場所におけるログ件数を示している。評価監査ログテーブル１１４（図１３参照）の場所１３０５を入力とし、場所ごとのレコード数の合計を算出し、各場所におけるログ件数として出力する。

プロットグラフ１５０５では、各プログラム１５０１および各場所１５０３について点をプロットし（符号１５０６）、ログレベル（Ａ〜Ｄ。図１２参照）ごとに円マークの色でログレベルを区分し、ログレベルを付加している。評価監査ログテーブル１１４（図１３参照）において、各プログラム１３０４かつ各場所１３０５に一致するログ影響度１３１３を入力とし、その平均を算出しログ影響度とし、ログレベル情報１１６（図１２参照）に従ってそのログ影響度に対応するログレベルを出力する。また、各ログレベルについて、円マークの大きさでプロットされたプログラムかつ場所についての、ユーザの密度を表す。これには、評価監査ログテーブル１１４（図１３参照）において、各プログラム１３０４かつ各場所１３０５について、そのユーザの全ユーザに対する割合を算出し、出力とすればよい。

プロットされた点を選択する（画面上のポインタ（矢印）を近づける）と、円グラフが表示される。円グラフ１５０７では、プロットされた各プログラムおよび各場所について、各ユーザのログ件数の割合を示している。これには、評価監査ログテーブル１１４（図１３参照）において、各プログラムかつ各場所に一致する各ユーザのログ件数を入力とし、各ユーザの割合を算出し、出力とすればよい。

このような、分析の表示により、どのプログラムやどの場所にどのログレベルのログがどの程度出力されているのかを視覚的に把握することを可能とする。また、ユーザごとにどの程度のログが出力されているのかも視覚的に把握できる。さらに、各プログラムおよび各場所について、ログ影響度でソートすれば、どのプログラムのどの場所がシステムに対する影響が高いかを容易に把握することができる。これにより、システム内で問題となっている対象を容易に発見することができる。このような、表示例は、例えば図１４の表示を押下することにより表示することが可能である。

図１６は、収集・評価コンピュータ１０１上の記憶装置１１１に格納されている評価監査ログテーブル１１４および累計テーブル１１５の情報を分析した結果を表示部１８１に表示した一例である。この表示例では、縦軸をユーザ１６０１、横軸をログ件数１６０２として軸を取っている。なお、縦軸について、ここではユーザを軸としているが、ログＩＤ、プログラム、場所、種別などの情報を軸とすることも可能である。

横棒グラフ１６０３では、ユーザの成功もしくは失敗のログ件数を各ログレベル（Ａ〜Ｄ。図１２参照）の割合として示している。これには、評価監査ログテーブル１１４（図１３参照）において、ユーザ１３０６および結果１３０８を入力として、各ユーザの各結果のレコード数を合計し、その割合を算出し、出力とすればよい。
これにより、どのユーザがどのログレベルのログをどのくらい出力しているのかを把握することが可能となる。このような表示例は、例えば図１５のユーザ割合からリンクすることが可能である。

図１７は、収集・評価コンピュータ１０１上の記憶装置１１１に格納されている評価監査ログテーブル１１４および累計テーブル１１５の情報を分析した結果を表示部１８１に表示した一例である。この表示例では、縦軸をログ影響度１７０１および成功率／失敗率、横軸を時間１７０２として軸を取っている。なお、横軸の時間に関しては、時刻、日、月、年など様々な単位で示すことを可能とする。また、縦軸のログ影響度および成功率／失敗率に関しては、プラス方向に成功についてのグラフ、マイナス方向に失敗についてのグラフを表示することを可能とする。

横棒グラフ１７０３は、ログ影響度の範囲で区分し、各区分に含まれるログ数を示している。これには、評価監査ログテーブル１１４（図１３参照）において、ログ影響度１３１３を入力とし、一定の範囲ごとに区分し、その区分ごとのレコード数の合計を算出し、各区分のログ数として出力すればよい。
縦棒グラフ１７０４は、対象とするユーザに関する時間単位ごとのログ影響度を示している。これには、評価監査ログテーブル１１４（図１３参照）において、ユーザ１３０６を入力とし、対象とするユーザについて設定された時間単位ごとにログ影響度の平均を算出し、出力とすればよい。

実線グラフ１７０５は、対象とするユーザに関する時間単位ごとのユーザ成功率／失敗率を示している。これには、評価監査ログテーブル１１４（図１３参照）において、ユーザ１３０６を入力とし、対象とするユーザについて設定された時間単位ごとにユーザ成功率／失敗率１３１１の平均を算出し、出力とすればよい。

点線グラフ１７０６は、システムとして全ユーザに関する時間単位ごとのシステム成功率／失敗率を示している。評価監査ログテーブル１１４（図１３参照）において、ユーザ１３０６を入力とし、全ユーザについて設定された時間単位ごとにシステム成功率／失敗率１３１２の平均を算出し、出力とすればよい。

なお、ここではユーザを対象としているが、ログＩＤ、プログラム、場所、種別などの情報を対象とすることも可能である。
また、この表示例では示していないが、時間単位について周期的な時間単位を設定することにより、定期的な期間についての累積表示を可能とする。例えば、１年の範囲で１ヶ月周期の累積表示の場合では、横棒グラフ１７０３では、１２ヶ月分の積上げグラフとして各ログ影響度区分のログ数を表示する。縦棒グラフ１７０４では、１２ヶ月分の積上げグラフとしてログ影響度を表示する。実線グラフ１７０５では、１２ヶ月分の色分けされた実線グラフとしてユーザ成功率／失敗率を表示する。点線グラフ１７０６では、１２ヶ月分の色分けされた点線グラフとしてシステム成功率／失敗率を表示する。

このような、分析の表示により、成功率や失敗率に加えて、ログ影響度によってシステムとユーザごとのログ出力状況が把握できる。また、システム成功率／失敗率を超えるユーザ成功率／失敗率が発生した時間を把握することを可能とする。このような、表示例は、例えば図１６のユーザからリンクすることが可能である。

このように、本実施形態の監査ログ収集・評価システムＳによれば、ログを正規化および評価して評価監査ログとして蓄積することで、システムの評価を効率的に行うことができる。
また、ソフトウェアの動作結果に関する成功または失敗に関する情報を使用してログ影響度を算出し、そのログ影響度を評価結果とすることで、システムの評価をより適切に行うことができる。
さらに、蓄積した評価監査ログを集計して表示部１８１に表示することで、ユーザはシステムの状況を迅速かつ容易に把握することができる。

以上で実施形態の説明を終えるが、本発明の態様はこれらに限定されるものではない。
例えば、ハードウェア、プログラム、表示画面などの具体的な構成について、本発明の主旨を逸脱しない範囲で適宜変更が可能である。

本実施形態の監査ログ収集・評価システムのハードウェア構成を表した図である。 本実施形態の監査ログ収集・評価システムの全体の処理フローを示した図である。 収集・評価コンピュータおけるログ収集指示部と、収集対象コンピュータにおけるログ収集指示受付部の処理フローを示した図である。 収集対象コンピュータの処理フローを示した図である。 収集・評価コンピュータの処理フローを示した図である。 収集・評価コンピュータの処理フローを示した図である。 収集対象情報の一例を示した図である。 正規化ルール情報の一例を示した図である。 ログ取得状況情報の一例を示した図である。 監査ログフォーマットの一例を示した図である。 累計テーブルの一例を示した図である。 ログレベル情報の一例を示した図である。 評価監査ログテーブルの一例を示した図である。 データ入力画面の表示例を示した図である。 分析結果プロットグラフの表示例を示した図である。 分析結果棒グラフの表示例を示した図である。 分析結果線・棒グラフの表示例を示した図である。

符号の説明

１０１ 収集・評価コンピュータ
１０４ 表示処理部
１０５ 分析処理部
１０６ 評価処理部
１０７ 累計処理部
１１１ 記憶装置（記憶部）
１１８ 収集対象コンピュータ
１２１ ログ送信部
１２２ ログ正規化部（監査ログ生成部）
１２３ ログ取得部
１２６ 記憶装置

Claims (12)

1. ソフトウェアの動作結果であるログの収集対象となる収集対象コンピュータと、前記収集対象コンピュータのログを収集してその評価とともに当該ログを記憶部に記憶する収集・評価コンピュータと、を有する監査ログ収集・評価システムであって、
   前記収集対象コンピュータは、
   前記ログを取得するログ取得部と、
   前記取得したログを所定の規則にしたがってフォーマットを統一して監査ログとする監査ログ生成部と、
   前記監査ログを前記収集・評価コンピュータに送信する送信部と、を備え、
   前記収集・評価コンピュータは、
   前記収集対象コンピュータから受信した監査ログに基づいてそのログを出力したソフトウェアの動作結果に関する所定の指標を累計してその累計結果を前記記憶部に格納する累計処理部と、
   前記記憶部に格納された累計結果及び当該監査ログに関連する１つ前の監査ログの評価結果に基づいて当該監査ログに関して評価し、その評価結果と前記監査ログを合わせて評価監査ログとして前記記憶部に格納する評価処理部と、を備える
   ことを特徴とする監査ログ収集・評価システム。
2. 前記所定の指標は、前記ソフトウェアの動作結果に関する成功または失敗に関する情報であることを特徴とする請求項１に記載の監査ログ収集・評価システム。
3. 前記評価処理部は、
   所定のソフトウェアに関して、前記収集対象コンピュータの評価・分析観点ごとの前記成功または失敗に関する情報の統計値と、全てのログの前記成功または失敗に関する情報の統計値と、当該監査ログに関連する１つ前の監査ログの評価結果に基づいて、プログラムの動作などを表す情報ごとの影響の度合いを示す影響度を算出し、その影響度を前記評価結果とする
   ことを特徴とする請求項２に記載の監査ログ収集・評価システム。
4. 前記収集・評価コンピュータは、さらに、
   情報を表示する表示部と、
   前記記憶部に格納された評価監査ログの情報を集計する分析処理部と、
   前記分析処理部が集計した結果を前記表示部に表示する表示処理部と、
   を備えることを特徴とする請求項１から請求項３のいずれか一項に記載の監査ログ収集・評価システム。
5. ソフトウェアの動作結果であるログの収集対象となる収集対象コンピュータと、前記収集対象コンピュータのログを収集してその評価とともに当該ログを記憶部に記憶する収集・評価コンピュータと、を有する監査ログ収集・評価システムによる監査ログ収集・評価方法であって、
   前記収集対象コンピュータは、
   ログ取得部が、前記ログを取得し、
   監査ログ生成部が、前記取得したログを所定の規則にしたがってフォーマットを統一して監査ログとし、
   送信部が、前記監査ログを前記収集・評価コンピュータに送信し、
   前記収集・評価コンピュータは、
   累計処理部が、前記収集対象コンピュータから受信した監査ログに基づいてそのログを出力したソフトウェアの動作結果に関する所定の指標を累計してその累計結果を前記記憶部に格納し、
   評価処理部が、前記記憶部に格納された累計結果及び当該監査ログに関連する１つ前の監査ログの評価結果に基づいて当該監査ログに関して評価し、その評価結果と前記監査ログを合わせて評価監査ログとして前記記憶部に格納する
   ことを特徴とする監査ログ収集・評価方法。
6. 前記所定の指標は、前記ソフトウェアの動作結果に関する成功または失敗に関する情報であることを特徴とする請求項５に記載の監査ログ収集・評価方法。
7. 前記評価処理部は、
   所定のソフトウェアに関して、前記収集対象コンピュータの評価・分析観点ごとの前記成功または失敗に関する情報の統計値と、全てのログの前記成功または失敗に関する情報の統計値と、当該監査ログに関連する１つ前の監査ログの評価結果に基づいて、プログラムの動作などを表す情報ごとの影響の度合いを示す影響度を算出し、その影響度を前記評価結果とする
   ことを特徴とする請求項６に記載の監査ログ収集・評価方法。
8. 前記収集・評価コンピュータは、さらに、情報を表示する表示部を備え、
   分析処理部が、前記記憶部に格納された評価監査ログの情報を集計し、
   表示処理部が、前記分析処理部が集計した結果を前記表示部に表示する
   ことを特徴とする請求項５から請求項７のいずれか一項に記載の監査ログ収集・評価方法。
9. ソフトウェアの動作結果であるログの収集対象となる収集対象コンピュータから、ログを所定の規則にしたがってフォーマットを統一した監査ログを収集してその評価とともに当該監査ログを記憶部に記憶する収集・評価コンピュータであって、
   前記収集対象コンピュータから受信した監査ログに基づいてそのログを出力したソフトウェアの動作結果に関する所定の指標を累計してその累計結果を前記記憶部に格納する累計処理部と、
   前記記憶部に格納された累計結果及び当該監査ログに関連する１つ前の監査ログの評価結果に基づいて当該監査ログに関して評価し、その評価結果と前記監査ログを合わせて評価監査ログとして前記記憶部に格納する評価処理部と、を備える
   ことを特徴とする収集・評価コンピュータ。
10. 前記所定の指標は、前記ソフトウェアの動作結果に関する成功または失敗に関する情報であることを特徴とする請求項９に記載の収集・評価コンピュータ。
11. 前記評価処理部は、
    所定のソフトウェアに関して、前記収集対象コンピュータの評価・分析観点ごとの前記成功または失敗に関する情報の統計値と、全ユーザの前記成功または失敗に関する情報の統計値と、当該監査ログに関連する１つ前の監査ログの評価結果に基づいて、プログラムの動作などを表す情報ごとの影響の度合いを示す影響度を算出し、その影響度を前記評価結果とする
    ことを特徴とする請求項１０に記載の収集・評価コンピュータ。
12. 情報を表示する表示部と、
    前記記憶部に格納された評価監査ログの情報を集計する分析処理部と、
    前記分析処理部が集計した結果を前記表示部に表示する表示処理部と、
    をさらに備えることを特徴とする請求項９から請求項１１のいずれか一項に記載の収集・評価コンピュータ。

Images