JP2009175868A - ログ監査装置及びログ監査プログラム - Google Patents

Abstract

【課題】信頼性の高い監査を行うことができるログ監査装置及びログ監査プログラムを提供すること。
【解決手段】監査対象システム１０のログ監査処理を行う統合ログ監査サーバ４０であって、ワークフローシステム３０に対して行われた監査対象システム１０の利用申請の申請内容と当該利用申請が承認された時のワークフローシステム３０内部の承認時刻とを格納する変更管理テーブル４３ｂと、承認時刻と利用申請に対応する利用が行われた時の監査対象システム１０内部の利用時刻との相互の差分を特定するための差分特定情報を格納する時刻証明テーブル４３ｃと、申請内容と承認時刻とを変更管理テーブル４３ｂに格納する承認処理部４２ａと、利用時刻と承認時刻との相互の差分を特定するための情報を時刻証明テーブル４３ｃに格納する差分処理部４２ｂと、ログ情報と承認情報との照合を、時刻証明テーブル４３ｃの情報に基づいて行う監査レポート出力処理部４２ｄとを備える。
【選択図】図１

Description

この発明は、各種の監査対象装置に対するログ監査に関する処理を行うログ監査装置及びログ監査プログラムに関する。

今日の各企業では、企業内部において違法行為が行われることを防止して健全な組織運営を行うため、当該企業の各業務に対する内部規則を定め、この内部規則に基づいて業務が実行されているか否かを管理するための内部統制システムが設けられている。この内部統制システムでは、企業で利用されるサーバや端末の如き情報処理装置の種類やアプリケーションのバージョン情報を構成管理記録として記録すると共に、これら情報処理装置の利用権限の変更履歴に関する情報を変更管理記録として記録し、これら構成管理記録や変更管理記録を内部規則に照らし合わせることで、ソフトウェアの利用方法が内部規則に準じているか否かを監査することが行われる。

しかしながら、このような監査の作業量は、企業の規模が大きくなるに伴って膨大な量になるこのため、情報処理装置やソフトウェアに対する不正アクセス検知を自動化するための様々なシステムが提案されている。

例えば、特許文献１には、データベースに対するアクセスログ及び不正と判断する不正アクセスパターンを記憶装置に記憶しておき、不正アクセスパターンに対応するアクセスログを抽出することで、不正アクセスを自動的に検知する不正アクセス検知方法が開示されている。

また、特許文献２には、保護対象サーバへの不正アクセスが検知された場合には不正アクセス通知を出力すると共に、保護対象サーバへのアクセスに応じて出力される応答パケットが予め設定したパターンであるか否かに基づいて不正アクセスによる被害の有無を判定する不正アクセス検証装置が開示されている。

あるいは、特許文献３には、監査ログに示されたＵＲＬへのアクセスを行った利用者に関する当該アクセス時点の部署や役職を特定し、当該特定した部署や役職に基づいてアクセスの認否を判定する監査ログ分析装置が開示されている。

特開２００７−１４８９４６号公報 特開２００４−２０６５６４号公報 特開２００６−２３５８９５号公報

これら従来の方法や装置は、不正アクセス検知の自動化に関して一見有用であるが、実際のシステムにこれら方法や装置を適用することには依然として問題があった。

すなわち、監査の対象になる情報処理装置と、利用者のアクセス権限の変更承認を行うサーバや端末とは、別個に設けられる場合が多い。例えば、多くの企業ネットワークでは、利用者がアクセスするアプリケーションサーバと、利用者のアクセス権限の変更承認を行うワークフローサーバとの各々が、利用者の端末に対してネットワーク回線を介して通信可能に接続されている。このような場合、アプリケーションサーバでは当該アプリケーションサーバに対する利用者のアクセスについてのログ情報が蓄積され、ワークフローサーバでは利用者からのリクエストに基づいて当該ワークフローサーバで実行されたアクセス権限の変更に関する履歴情報が蓄積される。そして、これら蓄積したログ情報と履歴情報とを相互に照合することで、アプリケーションサーバに対する不正アクセスの有無を判定することができる。

しかしながら実際には、アプリケーションサーバの内部時刻とワークフローサーバの内部時刻とは同一ではなく相互にずれていることが多いため、アプリケーションサーバにおけるログ情報の蓄積時に当該ログ情報の内部に付与される時刻情報（タイムスタンプ）と、ワークフローサーバにおける履歴情報の蓄積時に当該履歴情報の内部に付与される時刻情報とを、同一の時間軸上に対応付けることができない場合が多い。このため、実際にはワークフローサーバでアクセス権限が付与された後に利用者がアプリケーションサーバにアクセスした場合であっても、当該アクセス権限の履歴情報に含まれる内部時刻の方が、当該アプリケーションサーバへのアクセスのログ情報に含まれる内部時刻より後になってしまっており、当該アクセスが不正なアクセスであると判定されてしまう可能性がある。同様の理由により、実際には不正アクセスであるにも関わらず、不正アクセスでないと判定される可能性もある。

このようにログ情報や履歴情報を蓄積する装置同士で時刻情報がずれる点は、上述した特許文献１〜３では全く考慮されていない。従って、これら各特許文献１〜３に記載の技術をそのまま実用化した場合には、信頼性の高い監査を行うことができないという問題がある。

この発明は、このような従来技術による問題点を解消するためになされたものであり、信頼性の高い監査を行うことができるログ監査装置及びログ監査プログラムを提供することを課題とする。

上述した課題を解決し、目的を達成するために、請求項１、６に記載の本発明は、監査対象装置のログ情報と利用申請承認装置の承認情報との照合を、承認時刻と利用時刻との相互の差分に基づいて行うことで、監査対象装置と利用申請承認装置との時刻同期が取れていない場合であっても、これらログ情報と承認情報とを同一の時間軸上に対応付けた上で照合することができるので、承認時刻と利用時刻の正確な照合を行うことができ、監査の信頼性を向上させることができる。また、監査人からすれば、監査対象装置と利用申請承認装置との時刻ずれを気にすることなく監査を行うことができるので、監査負荷を大幅に軽減することができる。

また、請求項２に記載の本発明は、監査対象装置内部の時刻が修正された時刻に基づいて照合を行うことで、この修正を反映しつつログ情報と承認情報とを同一の時間軸上に対応付けた上で照合することができ、承認時刻と利用時刻の正確な照合を行うことができる。

また、請求項３に記載の本発明は、ログ情報に含まれる利用時刻に対して差分を加えることで当該利用時刻を補正することにより、ログ情報と承認情報とを、利用申請承認装置の内部時刻の時間軸上に容易かつ正確に対応付けることができる。

また、請求項４に記載の本発明は、監査指定期間に対応する承認情報と差分特定情報とを相互に関連付けて出力できるので、承認情報を差分特定情報を参照しながら監査することができ、監査を容易に行なうことができる。また、承認情報を差分特定情報に基づいて補正した上で出力するのではなく、承認情報自体は変更せずに、差分特定情報を関連付けて出力することで、これら各情報の時刻の独立性を維持することができ、監査人に対して記録内容の確からしさを示すことができる。

また、請求項５に記載の本発明は、監査対象装置における最新の権限特定情報と権限特定情報格納手段に格納されている権限特定情報との一致を自動的に判定することで、権限特定情報の不正な改竄を検知することができる。特に、監査対象装置の権限特定情報を、監査対象装置とは個別のログ監査装置上で管理することで、監査対象装置に格納された権限特定情報が不正に改竄された場合であっても当該改竄を容易かつ確実に検知することができる。さらに、権限特定情報が一致していない場合には当該一致していない旨を示す不一致情報が申請内容に関連付けて格納されるので、この申請内容を監査時に出力することで、改竄された可能性がある権限特定情報を監査人が容易かつ正確に特定することができる。

以下に添付図面を参照して、この発明を実施するための最良の形態について説明する。ただし、本実施の形態によって本発明が限定されるものではない。最初に本実施の形態の構成と処理内容を順次説明した後、本実施の形態に対する変形例について説明する。

（構成）
最初に、ログ監査が実施される企業の情報処理ネットワークの構成について説明する。図１は情報処理ネットワークの全体構成を概念的に示す説明図である。この情報処理ネットワーク１は、複数の監査対象システム１０、ログサーバ２０、ワークフローシステム３０、統合ログ監査サーバ４０、利用者端末５０、ワークフロー端末６０、監査レポート端末７０、及びログ確認端末８０を、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）やＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の如きネットワーク回線９０を介して相互に通信可能に接続して構成されている。なお、統合ログ監査サーバ４０を除く各装置は、従来と同様に構成することができるのでその詳細な説明は省略するものとし、以下では特に本実施の形態と関連がある構成についてのみ説明する。また、図１には、各装置の相互間の通信経路を点線にて概念的に示す。

（構成−監査対象システム）
複数の監査対象システム１０の各々は、監査の対象になるシステムであり、特許請求の範囲における監査対象装置に対応する。これら各監査対象システム１０の機能や構成は任意であるが、例えば監査対象システム１０は、アプリケーションサーバ、ファイルサーバ、Ｗｅｂサーバ、あるいはデータベースサーバとして構成される。以下では、各監査対象システム１０がアプリケーションサーバである場合について説明する。この監査対象システム１０は、利用者端末５０を介して利用者が利用可能である各種のアプリケーション１１、当該アプリケーション１１が利用者に利用された際の履歴情報であるアクセスログ１２、及び当該アプリケーション１１に対する利用者の利用権限を特定するための権限テーブル１３を備える。この権限テーブル１３の具体的内容については後述する。この権限テーブル１３は特許請求の範囲における権限特定情報に対応し、この権限テーブル１３を格納するために監査対象システム１０に設けられた図示しないデータベースは特許請求の範囲における権限特定情報格納手段に対応する。

（構成−ログサーバ）
ログサーバ２０は、監査対象システム１０が利用者にアクセスされた際のアクセスログを蓄積するログ情報格納手段である。このログサーバ２０は、監査対象システム１０に格納されたものと同一のアクセスログを当該監査対象システム１０から受信し、当該受信したアクセスログをアクセスログデータベース（以下「アクセスログＤＢ」）２１に格納する。

（構成−ワークフローシステム）
ワークフローシステム３０は、監査対象システム１０に対する利用者からの利用申請の承認処理を行うもので、特許請求の範囲における利用申請承認装置に対応する。このワークフローシステム３０には、ワークフロー処理部３１が設けられており、このワークフロー処理部３１は、利用者端末５０から利用申請を受信すると、この利用申請の内容をワークフロー端末６０を介して利用権限設定者に提示し、この利用権限設定者からワークフロー端末６０に入力された承認可否の結果を、統合ログ監査サーバ４０に送信する。

（構成−統合ログ監査サーバ）
統合ログ監査サーバ４０は、監査対象システム１０に対するログ監査に関する処理を行うもので、特許請求の範囲におけるログ監査装置に対応する。この統合ログ監査サーバ４０は、機能概念的に、記憶部４１及び制御部４２をバスにて通信可能に接続して構成されている。

記憶部４１は、統合ログ監査サーバ４０の制御に必要な各種の情報を記憶する記憶手段であり、例えばハードディスクやその他の記録媒体によって構成されるもので、記録管理データベース（以下「記録管理ＤＢ」）４３を備える。この記録管理ＤＢ４３は、特許請求の範囲における承認情報格納手段及び差分特定情報格納手段に対応するものであって、具体的には、権限テーブル４３ａ、変更管理テーブル４３ｂ、及び時刻証明テーブル４３ｃを格納する。権限テーブル４３ａは、アプリケーション１１に対する利用者の利用権限を特定するためのもので、監査対象システム１０の権限テーブル１３と同様に構成することができる。変更管理テーブル４３ｂは、監査対象システム１０における権限テーブル１３の変更履歴を特定するための承認情報を格納したテーブルである。時刻証明テーブル４３ｃは、監査対象システム１０の内部時刻とワークフローシステム３０の内部時刻との相互の差分を特定するための差分特定情報を格納したテーブルである。これら、権限テーブル４３ａ、変更管理テーブル４３ｂ、及び時刻証明テーブル４３ｃの具体的内容については後述する。特に、記憶部４１には、本実施の形態に係る図示しないログ監査プログラムがインストールされている。このログ監査プログラムは、ＣＤ−ＲＯＭやＤＶＤを含む任意の記録媒体に記録され、図示しない読取り装置を介して記憶部４１にインストールされる。

制御部４２は、統合ログ監査サーバ４０の各部を制御する制御手段であり、機能概念的に、承認処理部４２ａ、差分処理部４２ｂ、変更管理記録出力処理部４２ｃ、及び監査レポート出力処理部４２ｄを備える。これらは、それぞれ、特許請求の範囲における承認処理手段、差分処理手段、記録出力処理手段、及び照合処理手段に対応する。これら各部の具体的処理内容については後述する。この制御部４２は、具体的には、ＣＰＵ（Central Processing Unit）や、このＣＰＵ上で解釈実行される各種のプログラム（ＯＳなどの制御プログラムや、各種の処理手順などを規定したプログラム）、及び、所要プログラムや所要データを格納するための内部メモリを備えて構成される。

（構成−利用者端末）
利用者端末５０は、利用者が監査対象システム１０にアクセスしてアプリケーション１１の利用を行ったり、ワークフローシステム３０にアクセスして利用申請を行うための端末である。この利用者端末５０は、公知のパーソナルコンピュータと同様に構成することができ、少なくともキーボードやマウスの如き図示しない入力手段と、モニタの如き表示手段又はプリンタの如き図示しない印刷手段を備える（ワークフロー端末６０、監査レポート端末７０、及びログ確認端末８０に関しても同様）。

（構成−ワークフロー端末）
ワークフロー端末６０は、利用権限設定者がワークフローシステム３０にアクセスして利用申請の承認作業を行うための端末である。

（構成−監査レポート端末）
監査レポート端末７０は、監査人が統合ログ監査サーバ４０を用いた監査作業を行うための端末であると共に統合ログ監査サーバ４０からの監査レポートを出力するための端末であり、特許請求の範囲における出力手段に対応する。

（構成−ログ確認端末）
ログ確認端末８０は、監査人がログサーバ２０に格納されたアクセスログを閲覧するための端末である。

（構成−テーブルの具体的内容）
次に、上述した権限テーブル１３、４３ａ、変更管理テーブル４３ｂ、及び時刻証明テーブル４３ｃの具体的内容について説明する。ただし、以下の内容はあくまで例示であり、以下に示す情報以外の情報を含むことができ、あるいは、以下に示す情報の一部を除外することもできる。

監査対象システム１０に格納される権限テーブル１３は、図２に例示するように、項目「利用者ＩＤ」、項目「アプリケーションＩＤ」、及び項目「権限情報」に対応する情報を相互に関連付けて構成されている。項目「利用者ＩＤ」に対応して格納される情報は、監査対象システム１０の利用者を一意に識別するための利用者識別情報である。項目「アプリケーションＩＤ」に対応して格納される情報は、監査対象システム１０から利用者に提供されるアプリケーション１１を一意に識別するためのアクセス対象識別情報である。項目「権限情報」に対応して格納される情報は、各アプリケーション１１に対する利用者のアクセス権限を特定するための情報であり、例えば、「Ｒｅａｄ」はアプリケーション１１の読み取り権限、「Ｗｒｉｔｅ」はアプリケーション１１への書込み権限、「Ｆｕｌｌ」はアプリケーション１１へのフルコントロール権限を示す。この権限テーブル１３に格納される各種の情報は、利用権限設定者によりワークフロー端末６０を介して入力され、当該監査対象システム１０に格納される。

統合ログ監査サーバ４０に格納される権限テーブル４３ａは、図３に例示するように、項目「システムＩＤ」、項目「利用者ＩＤ」、項目「アプリケーションＩＤ」、及び項目「権限情報」に対応する情報を相互に関連付けて構成されている。項目「システムＩＤ」に対応して格納される情報は、アクセス権限の変更が行われた監査対象システム１０を一意に識別するための監査対象装置識別情報である。その他の項目「利用者ＩＤ」、項目「アプリケーションＩＤ」、及び項目「権限情報」に対応して格納される情報は、監査対象システム１０に格納される権限テーブル１３の各情報と共通する。この権限テーブル４３ａに格納される各種の情報は、監査対象システム１０から必要に応じて取得され、当該統合ログ監査サーバ４０に格納される。

変更管理テーブル４３ｂは、図４に例示するように、項目「タイムスタンプ」、項目「利用者ＩＤ」、項目「システムＩＤ」、項目「アプリケーションＩＤ」、及び項目「権限情報」に対応する情報を相互に関連付けて構成されている。項目「タイムスタンプ」に対応して格納される情報は、アクセス権限が変更された時刻であり、そのフォーマットは任意であるが、ここでは「年（西暦）：月：日：時：分」となっている。項目「利用者ＩＤ」に対応して格納される情報は、アクセス権限の変更が行われた利用者を一意に識別するための利用者識別情報であり、権限テーブル１３の利用者ＩＤと共通の情報である。項目「システムＩＤ」に対応して格納される情報と項目「アプリケーションＩＤ」に対応して格納される情報は、監査対象システム１０に格納される権限テーブル１３のシステムＩＤやアプリケーションＩＤと共通する情報である。項目「権限情報」に対応して格納される情報は、各アプリケーション１１に対する利用者のアクセス権限を特定するための情報であり、権限テーブル１３の権限情報と共通の情報であるが、ここではアクセス権限の変更前の情報とアクセス権限の変更後の情報とが格納されている。例えば図４の例における最初のレコードは、２００８年１月２０日１３時１４分に、利用者ＩＤ＝ＵＩＤ００２３にて特定される利用者のアクセス権限であって、システムＩＤ＝ＳＹＳＩＤ０００２にて特定される監査対象システム１０においてアプリケーションＩＤ＝ＡＰＩＤ００２１にて特定されるアプリケーションを利用するためのアクセス権限を、「Ｒｅａｄ」から「Ｒｅａｄ，Ｗｒｉｔｅ」に変更したことを示す。この変更管理テーブル４３ｂに格納される各種の情報は、監査対象システム１０の権限テーブル１３における情報が当該統合ログ監査サーバ４０を介して変更される毎に、当該統合ログ監査サーバ４０によって格納され更新される。

時刻証明テーブル４３ｃは、図５に例示するように、項目「システムＩＤ」、項目「タイムスタンプ」、及び項目「差分」を相互に関連付けて構成されている。項目「システムＩＤ」に対応して格納される情報は、時刻差分が取得された監査対象システム１０を一意に識別するための監査対象装置識別情報であり、変更管理テーブル４３ｂのシステムＩＤと共通の情報である。項目「タイムスタンプ」に対応して格納される情報は、時刻差分が取得された時刻であり、そのフォーマットは任意であるが、ここでは「年（西暦）：月：日：時：分」となっている。項目「差分」に対応して格納される情報は、監査対象システム１０の内部時刻とワークフローシステム３０の内部時刻との差分であり、そのフォーマットは任意であるが、ここでは「時：分」となっている。この時刻証明テーブル４３ｃに格納される各種の情報は、変更管理テーブル４３ｂが変更される毎に、あるいは、ワークフローシステム３０の内部時刻が修正される毎に、当該統合ログ監査サーバ４０によって格納され更新される。

（処理内容）
次に、図１の情報処理ネットワーク１にて行われる処理について説明する。なお、以下の説明においては、特記するタイミングを除いて任意のタイミングにて各処理が行われ、特記する処理主体を除いて任意の統合ログ監査サーバ４０の制御部４２にて処理が行われ、情報の取得元や取得経路を特記しない場合については、公知のタイミング及び公知の方法にて、利用者端末５０、ワークフロー端末６０、監査レポート端末７０、又はログ確認端末８０を介して入力されるものとする。ただし、前提として、監査対象システム１０には、初期の権限テーブル１３が格納されているものとする。

（処理内容−監査対象システムの利用処理）
最初に、監査対象システム１０の利用処理について説明する。この処理は、利用者が監査対象システム１０のアプリケーション１１を利用するための処理である。利用者は、監査対象システム１０のアプリケーション１１の中で、既に自己が取得している権限の範囲内でアプリケーション１１を利用したい場合には、利用者端末５０を介して監査対象システム１０にログインし、アプリケーション１１の利用要求を行なう。監査対象システム１０は、この利用要求の可否を、利用者端末５０からログイン時に送信された利用者ＩＤと権限テーブル１３の情報とを参照して判定し、利用要求を許可する場合にはアプリケーション１１を所定方法で利用させ、利用要求を許可しない場合には利用者端末５０に対してエラーメッセージ等を送信する。このようなログインやアプリケーション１１の利用に関する履歴は、その時点における監査対象システム１０の内部時刻（タイムスタンプ）と共に、アクセスログ１２として監査対象システム１０に蓄積されると共に所定間隔でログサーバ２０に送信されて格納される。このようにログサーバ２０に格納されたアクセスログ１２は、監査人がログ確認端末８０を介して閲覧することができる。

（処理内容−利用申請の承認処理）
次に、利用申請の承認処理について説明する。この処理は、利用者が監査対象システム１０のアプリケーション１１の利用を申請するための処理である。利用者は、監査対象システム１０のアプリケーション１１の中で、未だ自己が取得していない権限の範囲内でアプリケーション１１を利用したい場合には、利用者端末５０を介して所定フォーマットによる利用申請情報を入力してワークフローシステム３０に送信する。この利用申請情報には、当該利用者の利用者ＩＤ、利用申請の対象になる監査対象システム１０のシステムＩＤ、アプリケーション１１のアプリケーションＩＤ、変更前の権限情報、及び希望する変更後の権限情報が含まれる。この利用申請情報はワークフローシステム３０に格納される。

その後、利用権限設定者は、ワークフロー端末６０を介してワークフローシステム３０にアクセスし、利用申請情報の内容を閲覧して、利用申請の承認可否を所定基準に基づいて判定し、この判定結果をワークフローシステム３０に送信する。ワークフローシステム３０のワークフロー処理部３１は、ワークフロー端末６０から送信された利用申請の判定結果と、当該時点における当該ワークフローシステム３０の内部時刻であるタイムスタンプとを、当該ワークフローシステム３０の内部に格納した利用申請情報に関連付けて格納する。

次に、統合ログ監査サーバ４０における承認処理が実行される。この処理は、特許請求の範囲における承認処理ステップに対応する。図６は、統合ログ監査サーバ４０における承認処理のフローチャートである。上述のように利用申請が承認される毎に、ワークフローシステム３０のワークフロー処理部３１は、承認された利用申請に対応する利用申請情報を統合ログ監査サーバ４０に能動的に送信し、承認処理部４２ａは当該利用申請情報を取得する（ステップＳＡ−１）。あるいは、統合ログ監査サーバ４０の承認処理部４２ａが所定間隔でワークフローシステム３０にアクセスすることで、利用申請情報を取得するようにしてもよい。そして承認処理部４２ａは、利用申請情報の中から、タイムスタンプ、利用者ＩＤ、システムＩＤ、アプリケーションＩＤ、変更前の権限情報、及び変更後の権限情報を抽出し（ステップＳＡ−２）、これら各情報を相互に関連付けて記録管理ＤＢ４３の変更管理テーブル４３ｂに格納する（ステップＳＡ−３）。

このように変更管理テーブル４３ｂへの情報格納が実行される毎に、差分処理が実行される（ステップＳＡ−４）。この処理は、監査対象システム１０の内部時刻とワークフローシステム３０の内部時刻との差分を記録するための処理であり、特許請求の範囲における差分処理ステップに対応する。図７は、差分処理の概念を示すタイミングチャート、図８は、差分処理のフローチャートである。まず図７を参照して、差分処理の意義について説明する。この図７には複数の縦軸が記載されており、これら縦軸は、左から右に至る順に、実際の時刻（その地点における標準時刻）、監査対象システム１０の内部時刻（監査対象システム１０上のシステム時刻）、監査対象システム１０のアクセスログ１２に記録されたタイムスタンプ、ワークフローシステム３０の内部時刻（ワークフローシステム３０上のシステム時刻）、監査対象システム１０の変更管理テーブル４３ｂに記録されたタイムスタンプ、時刻証明テーブル４３ｃに記録される差分を示す。また各縦軸においては、上から下に至り時刻が経過することを示す。

監査対象システム１０の内部時刻は、外部のタイムサーバと連携しているような場合を除いて、通常は実際の時刻に対してずれており、当該ずれた内部時刻を基準として監査対象システム１０のアクセスログ１２にタイムスタンプが記録される。図７の例では、Ｐ１で示すタイムスタンプは０時００分となっているが、この時の実際の時刻は０時１５分であり、両者の差分（以下「ｄｔ」）が１５分発生している。同様に、ワークフローシステム３０の内部時刻は、外部のタイムサーバと連携しているような場合を除いて、通常は実際の時刻に対してずれており、当該ずれた内部時刻を基準として、承認時刻を示すタイムスタンプが記録される。このタイムスタンプは、統合ログ監査サーバ４０の変更管理テーブル４３ｂにそのまま反映されるので、この変更管理テーブル４３ｂも同様に実際の時刻に対してずれることになる。図７の例では、Ｐ２で示すタイムスタンプは０時００分となっているが、この時の実際の時刻は０時５５分であり、両者の差分（以下「Δｔ」）が５５分発生している。従って、監査対象システム１０のアクセスログ１２のタイムスタンプと、ワークフローシステム３０のタイムスタンプ（変更管理テーブル４３ｂのタイムスタンプ）との相互間には、ｄｔ−Δｔで示される差分（図７の例では０時５５分−０時１５分＝４０分）が生じている。

また、監査対象システム１０の内部時刻は、外部のタイムサーバからの時刻情報等に基づいて修正されることがある。図７の例では、Ｐ３で示す時点で監査対象システム１０の内部時刻が実際の時刻に修正されており（ｄｔ＝０となっており）、Ｐ４の時点のタイムスタンプは実際の時刻と同じ２時００分となっている。この例では、Ｐ５の時点のタイムスタンプとの間の差分が５５分（＝０時５５分−０時００分）に拡大している。

このように生じた差分を反映することなく、監査対象システム１０のアクセスログ１２とワークフローシステム３０のタイムスタンプとを照合した場合には、上述した従来技術の問題点が生じて好ましくないため、ここでは、変更記録が行われる毎に（図７の時点Ｐ６、時点Ｐ７、時点Ｐ８）、当該差分を時刻証明テーブル４３ｃに記録し、この情報を用いてその後の各種の処理を行う。

具体的には図８に示すように、差分処理部４２ｂは、権限情報が変更されて変更管理テーブル４３ｂへの情報格納が実行された時点で、監査対象システム１０のアクセスログ１２に含まれる当該権限情報変更時のタイムスタンプを取得すると共に（ステップＳＢ−１）、当該変更管理テーブル４３ｂへ格納した当該権限情報変更時のタイムスタンプとを取得する（ステップＳＢ−２）。そして、差分処理部４２ｂは、これらタイムスタンプの相互の差分（上述のｄｔ−Δｔ）を算定し（ステップＳＢ−３）、この差分と、当該権限情報の変更の対象になった監査対象システム１０のシステムＩＤとを相互に関連付けて時刻証明テーブル４３ｃに格納する（ステップＳＢ−４）。また同時に、差分処理部４２ｂは、これら各情報に関連付けて、当該時点の統合ログ監査サーバ４０の内部時刻をタイムスタンプとして時刻証明テーブル４３ｃに格納する。このことにより、変更管理テーブル４３ｂへの情報格納が実行された時点の時刻の差分を記録し、後述する記録出力処理や照合処理に利用することができる。これにて差分処理が終了する。

次いで、図６のフローチャートに戻り、承認処理部４２ａは、監査対象システム１０の権限テーブル１３の更新と、この権限テーブル１３の不正な改竄の有無を確認する。具体的には、承認処理部４２ａは、承認された利用申請に対応する監査対象システム１０を利用申請情報に含まれるシステムＩＤに基づいて特定し、この監査対象システム１０にアクセスして、当該監査対象システム１０に格納されているその時点の（最新の）権限テーブル１３を取得し、この権限テーブル１３を、記録管理ＤＢ４３に格納されている権限テーブル４３ａと照合する（ステップＳＡ−５）。

これら２つの権限テーブル１３、４３ａの内容が相互に不一致である場合には（ステップＳＡ−６，Ｎｏ）、監査対象システム１０の権限テーブル１３に対して不正な改竄が行われた可能性があると考えられるので、承認処理部４２ａは、当該監査対象システム１０のアクセスログ１２に対して、当該不一致が検出された旨を記録し（ステップＳＡ−７）、次のステップＳＡ−８に移行する。一方、これら２つの権限テーブル１３、４３ａの内容が相互に一致する場合には（ステップＳＡ−６，Ｙｅｓ）、監査対象システム１０の権限テーブル１３に対して不正な改竄は行われていないと考えられるので、承認処理部４２ａは、不一致が検出された旨を記録することなく、次のステップＳＡ−８に移行する。

このステップＳＡ−８において、承認処理部４２ａは、利用申請情報の中から抽出した情報に基づいて、監査対象システム１０の権限テーブル１３を更新する（ステップＳＡ−８）。具体的には、抽出したシステムＩＤにて特定される監査対象システム１０にアクセスし、当該監査対象システム１０の権限テーブル１３の情報の中で、抽出した利用者ＩＤ及びアプリケーションＩＤに対応する権限情報を、変更後の権限情報にて上書きする。また同時に、記録管理ＤＢ４３の権限テーブル４３ａについても同様の更新を行うことで、監査対象システム１０の権限テーブル１３の最新の状態を統合ログ監査サーバ４０の内部に保持する。これにて統合ログ監査サーバ４０における承認処理が終了する。

（処理内容−変更管理記録の出力処理）
次に、変更管理記録の出力処理について説明する。この処理は、統合ログ監査サーバ４０に格納された変更管理テーブル４３ｂの情報を監査人の指示に応じて出力するための処理である。図９は、統合ログ監査サーバ４０における変更管理記録の出力処理のフローチャートである。監査人は、監査レポート端末７０を介して、監査を行いたい監査対象システム１０のシステムＩＤ及び監査指定期間を入力し、変更管理記録の出力を指示すると、これら入力された情報が統合ログ監査サーバ４０に送信される。

統合ログ監査サーバ４０の変更管理記録出力処理部４２ｃは、変更管理テーブル４３ｂに格納されている各レコードの中から、送信されたシステムＩＤに対応するレコードであって、送信された監査指定期間に対応するタイムスタンプに対応するレコードを読み込む（ステップＳＣ−１）。また、変更管理記録出力処理部４２ｃは、時刻証明テーブル４３ｃに格納されている各レコードの中から、変更管理テーブル４３ｂから読み込んだレコードのタイムスタンプに対応するタイムスタンプを有するレコードを特定し、このレコードに含まれる差分を抽出する（ステップＳＣ−２）。そして、変更管理テーブル４３ｂから読込んだレコードに対して、時刻証明テーブル４３ｃから抽出した差分を付加することで、所定フォーマットの変更管理記録表を生成し、この変更管理記録表を監査レポート端末７０に出力する（ステップＳＣ−３）。そして、この監査レポート端末７０の出力部にて変更管理記録表が表示又は印刷されることで、監査人が変更管理記録表を閲覧等して監査を行うことができる。なお、変更管理テーブル４３ｂのレコードと差分との相互の関連付けは、変更管理テーブル４３ｂと時刻証明テーブル４３ｃのタイムスタンプに基づいて行うことができる。これにて変更管理記録の出力処理が終了する。

図１０は、この変更管理記録表の表示例を示す図である。ここでは、システムＩＤ＝ＳＹＳＩＤ０００２が指定された例を示しており、各レコードには差分が関連付けて表示されているので、監査人は、この差分を考慮して監査を行うことで、監査を正確かつ容易に行なうことができる。この例では単に各レコードに差分を関連付けて出力しているが、各レコードのタイムスタンプに対して差分を差し引くことにより、タイムスタンプを監査対象システム１０と同一の時間軸上のタイムスタンプに補正した上で出力するようにしてもよい。ただし、上述のように各レコードに差分を関連付けて出力することで、各情報の時刻の独立性を維持することができる。

（処理内容−監査レポートの出力処理）
最後に、監査レポートの出力処理について説明する。この処理は、監査対象システム１０に対する監査レポートを監査人の指示に応じて出力するための処理であり、特許請求の範囲における照合ステップに対応する。図１１は、統合ログ監査サーバ４０における監査レポートの出力処理のフローチャートである。監査人は、監査レポート端末７０を介して、監査を行いたい監査対象システム１０のシステムＩＤ及び監査指定期間を入力し、監査レポートの出力を指示すると、これら入力された情報が統合ログ監査サーバ４０に送信される。

統合ログ監査サーバ４０の監査レポート出力処理部４２ｄは、変更管理テーブル４３ｂに格納されている各レコードの中から、送信されたシステムＩＤに対応するレコードであって、送信された監査指定期間に対応するタイムスタンプに対応するレコードを抽出する（ステップＳＤ−１）。また、監査レポート出力処理部４２ｄは、時刻証明テーブル４３ｃに格納されている各レコードの中から、変更管理テーブル４３ｂから読み込んだレコードのタイムスタンプに対応するタイムスタンプを有するレコードを特定し、このレコードに含まれる差分を抽出する（ステップＳＤ−２）。

次いで、監査レポート出力処理部４２ｄは、ログサーバ２０のアクセスログの中から、送信されたシステムＩＤ及び監査指定期間に対応するログ情報を抽出する（ステップＳＤ−３）。そして、このログ情報に含まれるタイムスタンプに対して時刻証明テーブル４３ｃから抽出した差分を加えることにより、タイムスタンプをワークフローシステム３０と同一の時間軸上のタイムスタンプに補正する（ステップＳＤ−４）。例えば、ログ情報のタイムスタンプが「２００８：０１：２０：１２：４２」であり、時刻証明テーブル４３ｃから抽出した差分が「００：３２」である場合、補正後のタイムスタンプは「２００８：０１：２０：１３：１４」となる。

そして、監査レポート出力処理部４２ｄは、補正後のタイムスタンプを含んだログ情報と、変更管理テーブル４３ｂから読込んだレコードとに対して、利用者ＩＤ及び権限情報が相互に合致するか否かの照合を行う（ステップＳＤ−５）。そして、利用者ＩＤ又は権限情報が不一致なログ情報がある場合には（ステップＳＤ−５，Ｎｏ）、当該ログ情報に対して不一致である旨の情報を付加し（ステップＳＤ−６）、次のステップＳＤ−７に移行する。一方、利用者ＩＤ又は権限情報が不一致なログ情報がない場合には（ステップＳＤ−５，Ｙｅｓ）、不一致である旨の情報を付加することなく、次のステップＳＤ−７に移行する。このＳＤ−７において、監査レポート出力処理部４２ｄは、このログ情報を含んだ所定フォーマットの監査レポートを生成し、この監査レポートを監査レポート端末７０に送信する（ステップＳＤ−７）。そして、この監査レポート端末７０の出力部にて監査レポートが表示又は印刷されることで、監査人が監査レポートを閲覧等して監査の確認等を行うことができる。これにて監査レポートの出力処理が終了する。

図１２は、この監査レポートの表示例を示す図である。この監査レポートにおいて、監査レポート出力処理で不一致と判断されたレコードには、不一致を示す情報が星印として関連付けて表示されているので、監査人は、この不一致情報を考慮して監査を行うことで、例えば不一致情報があるレコードのみをログサーバ２０から取得して精査する等、監査を正確かつ容易に行なうことができる。特に、監査対象装置と利用申請承認装置との時刻ずれが自動的に補正され解消された上でステップＳＤ−５の照合が行われるので、監査人からすれば、この時刻ずれを気にすることなく監査を行うことができ、監査負荷を大幅に軽減することができる。

（変形例）
以上、本発明の実施の形態について説明したが、本発明の具体的な構成及び方法は、特許請求の範囲に記載した各発明の技術的思想の範囲内において、任意に改変及び改良できる。以下、このような変形例について説明する。

（変形例−解決しようとする課題や発明の効果について）
発明が解決しようとする課題や発明の効果は、前記した内容に限定されるものではなく、本発明によって、前記に記載されていない課題を解決したり、前記に記載されていない効果を奏することもでき、また、記載されている課題の一部のみを解決したり、記載されている効果の一部のみを奏することがある。

（変形例−分散や統合について）
また、上述した各電気的構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成できる。例えば、ワークフローシステム３０と統合ログ監査サーバ４０とを相互に統合してもよい。あるいは、統合ログ監査サーバ４０の機能のうち、利用申請の承認処理を行う機能と、変更管理記録や監査レポートの出力処理を行う機能とを、相互に分離してもよい。

（変形例−利用申請承認装置について）
ワークフローシステム３０と統合ログ監査サーバ４０とを相互に統合した場合には、当該統合ログ監査サーバ４０が特許請求の範囲における利用申請承認装置に対応する。この場合、利用申請の承認時刻は、当該統合ログ監査サーバ４０の内部時刻になるので、承認処理部４２ａは、当該内部時刻によるタイムスタンプを、変更管理テーブル４３ｂに格納すればよい。

（変形例−差分処理について）
図７の例では、監査対象システム１０の内部時刻が実際の時刻に修正された後、Ｐ８の時点で差分処理を行っている。しかしこの場合には、実際の時刻における２時００分から２時５５分までの間のログ情報に対しては、差分による補正が適用されず、このログ情報を監査する場合には従前と同様の問題が発生し得る。この問題を解消するためには、例えば、以下のような処理を行うようにしてもよい。すなわち、監査対象システム１０の内部時刻が実際の時刻に修正された際には、監査対象システム１０や、この修正基準時刻を出力するタイムサーバから、統合ログ監査サーバ４０に対して、当該時刻の修正が行われた旨のトリガ信号を出力させる。差分処理部４２ｂは、当該トリガ信号の出力を受けた時点における統合ログ監査サーバ４０の内部時刻を時刻証明テーブル４３ｃに格納する。そして、監査レポート出力処理部は、タイムスタンプの補正を行う際に、トリガ信号の出力を受けた時点の内部時刻から次に差分が記録された時点（図７の例では時点Ｐ８）まで間のログ情報のタイムスタンプについても、当該時点以降に記録された差分（図７の例では０：５５）を用いて補正する。

本発明の実施の形態に係る情報処理ネットワークの全体構成を概念的に示す説明図である。 監査対象システムに格納される権限テーブルの構成例を示す図である。 統合ログ監査サーバに格納される権限テーブルの構成例を示す図である。 統合ログ監査サーバに格納される変更管理テーブルの構成例を示す図である。 統合ログ監査サーバに格納される時刻証明テーブルの構成例を示す図である。 承認処理のフローチャートである。 差分処理の概念を示すタイミングチャートである。 差分処理のフローチャートである。 変更管理記録の出力処理のフローチャートである。 変更管理記録表の表示例を示す図である。 監査レポートの出力処理のフローチャートである。 監査レポートの表示例を示す図である。

符号の説明

１ 情報処理ネットワーク
１０ 監査対象システム
１１ アプリケーション
１２ アクセスログ
１３ 権限テーブル
２０ ログサーバ
３０ ワークフローシステム
３１ ワークフロー処理部
４０ 統合ログ監査サーバ
４１ 記憶部
４２ 制御部
４２ａ 承認処理部
４２ｂ 差分処理部
４２ｃ 変更管理記録出力処理部
４２ｄ 監査レポート出力処理部
４３ 記録管理ＤＢ
４３ａ 権限テーブル
４３ｂ 変更管理テーブル
４３ｃ 時刻証明テーブル
５０ 利用者端末
６０ ワークフロー端末
７０ 監査レポート端末
８０ ログ確認端末
９０ ネットワーク回線

Claims (6)

1. 監査対象装置に通信可能に接続されて当該監査対象装置に対するログ監査に関する処理を行うログ監査装置であって、
   所定の利用申請承認装置に対して行われた前記監査対象装置の利用申請の申請内容と、当該利用申請が当該利用申請承認装置を介して承認された時の当該利用申請承認装置内部の時刻である承認時刻とを、相互に関連付けて承認情報として格納する承認情報格納手段と、
   前記承認時刻と、前記監査対象装置にて前記利用申請に対応する利用が行われた時の当該監査対象装置内部の時刻である利用時刻との、相互の差分を特定するための差分特定情報を格納する差分特定情報格納手段と、
   前記利用申請承認装置から前記申請内容と前記承認時刻とを取得し、当該取得した申請内容と承認時刻とを相互に関連付けて承認情報として前記承認情報格納手段に格納する承認処理手段と、
   前記監査対象装置から前記利用時刻を取得すると共に前記承認情報格納手段から当該利用時刻に対応する前記承認時刻を取得し、これら取得した利用時刻と承認時刻との相互の差分を算定し、当該算定した差分を特定するための差分特定情報を前記差分特定情報格納手段に格納する差分処理手段と、
   前記監査対象装置に対する利用者による利用履歴を特定するために当該監査対象装置に格納されているログ情報を当該監査対象装置から取得し、当該取得したログ情報と前記承認情報格納手段から取得した前記承認情報との照合を、前記差分特定情報格納手段にて格納された差分特定情報に基づいて行う照合処理手段と、
   を備えることを特徴とするログ監査装置。
2. 前記差分処理手段は、前記利用時刻の基準になる前記監査対象装置内部の時刻が修正されたことを所定方法で検出した場合には、当該修正が行われた時点における当該ログ監査装置の内部の時刻を当該ログ監査装置の内部に記録し、
   前記照合処理手段は、前記差分処理手段にて記録された前記修正が行われた時点の時刻に基づいて前記照合を行うこと、
   を特徴とする請求項１に記載のログ監査装置。
3. 前記照合処理手段は、監査指定期間が所定方法で指定された場合に、当該監査指定期間に対応する承認情報を前記承認情報格納手段から取得すると共に、当該監査指定期間に対応する差分特定情報を前記差分特定情報格納手段から取得し、監査対象装置から取得したログ情報に含まれる利用時刻に対して、当該取得した差分特定情報にて特定される差分を加えることで、当該利用時刻を補正すること、
   を特徴とする請求項１又は２に記載のログ監査装置。
4. 監査指定期間が所定方法で指定された場合に、当該監査指定期間に対応する承認情報を前記承認情報格納手段から取得すると共に、当該監査指定期間に対応する差分特定情報を前記差分特定情報格納手段から取得し、これら取得した承認情報と差分特定情報とを相互に関連付けて出力手段を介して出力する記録出力処理手段、
   を備えることを特徴とする請求項１から３のいずれか一項に記載のログ監査装置。
5. 前記監査対象装置の利用権限を特定するために当該監査対象装置に格納されている権限特定情報を格納する権限特定情報格納手段を備え、
   前記承認情報格納手段は、前記利用申請承認装置から前記申請内容を取得する毎に、
   前記監査対象装置から最新の前記権限特定情報を取得し、当該取得した権限特定情報と前記権限特定情報格納手段に格納されている前記権限特定情報とが相互に一致しているか否かを判定し、一致していない場合には当該一致していない旨を示す不一致情報を当該申請内容に関連付けて前記承認情報格納手段に格納し、
   前記利用申請承認装置から取得した前記申請内容に基づいて、前記監査対象装置に格納されている前記権限特定情報を更新すること、
   を特徴とする請求項１から４のいずれか一項に記載のログ監査装置。
6. 監査対象装置に通信可能に接続されて当該監査対象装置に対するログ監査に関する処理を行うログ監査装置に実行させるためのログ監査プログラムであって、
   前記ログ監査装置は、
   所定の利用申請承認装置に対して行われた前記監査対象装置の利用申請の申請内容と、当該利用申請が当該利用申請承認装置を介して承認された時の当該利用申請承認装置内部の時刻である承認時刻とを、相互に関連付けて承認情報として格納する承認情報格納手段と、
   前記承認時刻と、前記監査対象装置にて前記利用申請に対応する利用が行われた時の当該監査対象装置内部の時刻である利用時刻との、相互の差分を特定するための差分特定情報を格納する差分特定情報格納手段とを備え、
   前記ログ監査装置に、
   前記利用申請承認装置から前記申請内容と前記承認時刻とを取得し、当該取得した申請内容と承認時刻とを相互に関連付けて承認情報として前記承認情報格納手段に格納する承認処理ステップと、
   前記監査対象装置から前記利用時刻を取得すると共に前記承認情報格納手段から当該利用時刻に対応する前記承認時刻を取得し、これら取得した利用時刻と承認時刻との相互の差分を算定し、当該算定した差分を特定するための差分特定情報を前記差分特定情報格納手段に格納する差分処理ステップと、
   前記監査対象装置に対する利用者による利用履歴を特定するために当該監査対象装置に格納されているログ情報を当該監査対象装置から取得し、当該取得したログ情報と前記承認情報格納手段から取得した前記承認情報との照合を、前記差分特定情報格納手段にて格納された差分特定情報に基づいて行う照合ステップと、
   を実行させることを特徴とするログ監査プログラム。

Images