JP2016218984A - ログ判定装置、ログ判定方法、およびログ判定プログラム - Google Patents

Abstract

【課題】端末内で動作するプロセスが業務で使用することを許可されたアプリケーションのプロセスであるか否かを判定する。【解決手段】記憶部１３０は、クライアント端末において使用が許可されているプログラムである業務内アプリケーションの実行ファイルのファイル識別情報を含む判定用アプリケーションリスト１３１を記憶する。アプリケーション判定部１１１は、クライアント端末で起動されたプロセスのファイル識別情報を含むプロセス起動ログを取得し、プロセスのファイル識別情報と判定用アプリケーションリストに登録された実行ファイルのファイル識別情報とが一致する場合に、プロセスが業務内アプリケーションのプロセスと判定する。【選択図】図５

Description

本発明は、ログ判定装置、ログ判定方法、およびログ判定プログラムに関する。

マルウェアと呼ばれる、コンピュータウィルス、スパイウェア、ボット等の不正かつ有害な動作を行う意図で作成された悪意のソフトウェアやプログラムコード等の不正なソフトウェアの存在が知られている。また、このような不正なソフトウェアへの対策技術が知られている。例えば、マルウェアに悪用される恐れがあるオペレーティングシステム（ＯＳ）やアプリケーションソフトウェアの脆弱性に対してプログラムの不具合を修正する更新プログラムを自動的に適用する技術や、ウィルス対策ソフトウェアが導入されている。

また、不正ソフトウェアへの対策技術において、ネットワークに接続された端末がマルウェアに感染することを防ぐために、端末内のソフトウェアやシグニチャパターンファイルを含むウィルス対策ソフトウェアを最新の状態に維持する技術も知られている（特許文献１参照）。

また、企業における情報漏洩対策や内部統制の必要性から、表示や入力等の最低限の機能のみを備え、ハードディスク装置等が省かれたシンクライアント端末を用いたＤａａＳ（Desktop as ａ Service）が普及し始めている。ＤａａＳとは、複数のユーザのそれぞれが使用するアプリケーションソフトウェアがインストールされた各デスクトップ環境をサーバ装置上に構築して一元的に管理し、ネットワーク経由で各ユーザの端末に各デスクトップ環境を提供するサービスである。

このようなＤａａＳでは、オペレーティングシステム（ＯＳ）やアプリケーションソフトウェアの環境をサーバ装置で一元的に管理する必要がある。そこで、企業内の部門単位や業務形態に応じた任意のグループ単位でデスクトップのマスタ環境を効率的に管理する技術も知られている（特許文献２参照）。

なお、大量のログの中から関連するファイルのトレースを高速に行うため、トレースするツリー（対象とするログの集合）を構成するログの両端エッジを抽出し、並行して根、枝、葉に分類してログのグルーピングを行う技術が知られている（特許文献３参照）。

特開２００７−２９９３４２号公報 特開２００９−２５９０４６号公報 特許第５４１１９５４号公報

従来の端末内のソフトウェアやウィルス対策ソフトウェアを最新の状態に維持する技術によれば、マルウェアに感染する可能性を低減させ、既知のマルウェアに感染したファイルを所有していた場合や端末がマルウェアに感染していた場合に、マルウェアが駆除される。しかしながら、未知のマルウェアや、マルウェア以外の業務目的外のアプリケーションソフトウェアを検出することはできなかった。

また、従来のＤａａＳにおけるマスタ環境を管理する技術によれば、アプリケーションソフトウェア（以下、アプリケーションと略記もする）を限定することができる。しかしながら、ユーザがインターネットのＷｅｂサイトから独自にダウンロードしたアプリケーションソフトウェアを動作させた場合や、標的型メール等によりユーザの端末に入り込んだ不正なソフトウェアが動作した場合には、それらのソフトウェアが動作したか否かやその入手経路をサーバ装置が把握することができなかった。

本発明は、上記に鑑みてなされたものであって、端末内で動作するプロセスが業務で使用することを許可されたアプリケーションのプロセスであるか否かを判定する技術を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係るログ判定装置は、ユーザが利用するクライアント端末において使用が許可されているプログラムである業務内アプリケーションの実行ファイルの識別情報を含む判定用アプリケーションリストを記憶する記憶部と、前記クライアント端末で起動されたプロセスの識別情報を含むプロセス起動ログを取得して、該プロセスの識別情報と前記判定用アプリケーションリストの実行ファイルの識別情報とが一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定する判定部と、を備えることを特徴とする。

本発明によれば、端末内で動作するプロセスが業務で使用することを許可されたアプリケーションのプロセスであるか否かを判定することができる。

図１は、本発明の一実施形態に係るログ判定装置を含むシステムの概略構成を示す模式図である。 図２は、本実施形態のクライアント端末の構成を例示する模式図である。 図３は、本実施形態のプロセス起動ログを例示する図である。 図４は、本実施形態の標準端末の構成を例示する模式図である。 図５は、本実施形態のログ判定装置の概略構成を示す模式図である。 図６は、本実施形態の選別値を説明するための説明図である。 図７は、他の実施形態のファイル操作ログを例示する図である。 図８は、本実施形態のログ判定処理手順を示すフローチャートである。 図９は、ログ判定プログラムを実行するコンピュータを示す図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［システム構成］
図１は、本実施形態に係るログ判定装置を含むシステムの概略構成を示す模式図である。図１に示すように、このシステムは、ログ判定装置１００と、標準端末２００と、ｎ台のクライアント端末３００（３００_１〜３００_ｎ）と、管理端末４００とが、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）やインターネットなどのネットワーク１に接続されて互いに通信可能に構成される。

クライアント端末３００は、ログ判定装置１００によるログ判定処理の対象となるユーザの端末である。標準端末２００は、ログ判定処理において、クライアント端末３００の標準として参照される端末である。この標準端末２００には、業務で使用することが許可された、業務に必要なプログラム（以下、業務内アプリケーションとも記載する）のみがインストールされている。そして、ログ判定装置１００は、判定用アプリケーションリストを参照し、クライアント端末３００で起動されたプロセスが業務内アプリケーションのプロセスか否かを判定するログ判定処理を行う。判定用アプリケーションリストは、予め標準端末２００の業務内アプリケーション等を参照して作成される。なお、管理端末４００は、ログ判定処理の判定結果をもとに管理者がログ判定装置１００の判定用アプリケーションリストを更新するために用いられる装置であり、パソコン等の汎用コンピュータで実現される。

［クライアント端末の構成］
クライアント端末３００は、後述するログ判定装置１００によるログ判定処理の対象となるユーザの端末であり、パソコン等の汎用コンピュータで実現される。図２に例示するように、クライアント端末３００は、Ｍｉｃｒｏｓｏｆｔ社のＷｉｎｄｏｗｓ（登録商標）等のＯＳ３２１と、アプリケーション／プログラム３０１と、ログ生成部３０２と、ログ記憶部３１１と、通信部３０３とを備える。

ログ生成部３０２は、ＣＰＵ（Central Processing Unit）等の演算処理装置がメモリに記憶された処理プログラムを実行することにより実現される。ログ生成部３０２は、アプリケーション／プログラム３０１が実行される際に、ＯＳ３２１内のプロセス起動の動作を監視して、起動されたプロセスの内容を示すプロセス起動ログを生成する。

ここで、アプリケーション／プログラム３０１は、クライアント端末３００内に実行形式のファイルとして存在している。ファイルが実行されると、メモリ上でプロセスとして動作する。ファイルには、ハッシュ値等の各ファイルを一意に識別できるファイル識別情報が付与されている。

ログ生成部３０２は、例えば、クライアント端末３００で常時動作しているエージョントプログラムにより、あるいはＯＳ３２１が提供するセキュリティログを参照して、起動されたプロセスに関する情報を取得して、プロセス起動ログを生成する。

図３は、プロセス起動ログを例示する説明図である。図３に示すように、プロセス起動ログには、日時、ホスト名、ユーザ名、実行プロセス名、コマンドライン、実行ファイルパス、実行ファイル識別情報、プロセスＩＤおよび親プロセスＩＤが含まれる。

日時とは、プロセスが起動された日時（YYYY-MM-DD hh:mm:ss.ttt）を意味し、図３には「2015-02-02 10:20:15.311」が例示されている。ここで、tttとはミリ秒を意味する。ホスト名とは、ホスト名またはコンピュータ名を意味し、図３には「PC_001」が例示されている。ユーザ名とは、プロセスを実行したユーザ名を意味し、図３には「USER_001」が例示されている。

実行プロセス名とは、実行されたプロセス(以下、実行ファイルとも記載する)のラベル名を意味し、図３には「notepad.exe」が例示されている。コマンドラインとは、プロセスの実行コマンドラインを意味し、図３には「C:\Windows\System32\notepad.exe C:\My Documents\説明資料.txt」が例示されている。実行ファイルパスとは、実行されたプロセスのファイルパスを意味し、図３には「C:\Windows\System32\notepad.exe」が例示されている。

実行ファイル識別情報とは、実行されたプロセスのファイル識別情報を意味し、例えばＭＤ５やＳＨＡ−１等のファイルのハッシュ値で表される。図３の実行ファイル識別情報には「4419dbd87bd8faed346272950a0f37c6」が例示されている。プロセスＩＤとは、実行されたプロセスのプロセスＩＤを意味し、図３には「2353」が例示されている。親プロセスＩＤとは、実行されたプロセスの親プロセスのプロセスＩＤを意味し、図３には「260」が例示される。

すなわち、図３に例示したプロセス起動ログは、2015年2月2日10時20分15.311秒に、ホスト名が「PC_001」であるいずれかのクライアント端末３００において、ユーザ名「User_001」のユーザが、実行ファイルパスが「C:\Windows\System32\notepad.exe」である実行プロセス名「notepad.exe」のプログラムを用いて、ファイルパス「C:\My Documents\説明資料.txt」をプログラムの引数として設定して起動したことを示している。実行されたプロセスのファイル識別情報、起動した際にＯＳ３２１が付与したプロセスＩＤと起動元となった親のプロセスＩＤとが同時に記録される。

ログ記憶部３１１は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、生成されたプロセス起動ログを蓄積する。

通信部３０３は、ＮＩＣ（Network Interface Card）等で実現され、ネットワーク１を介した外部の装置との通信を制御する。具体的に、通信部３０３は、ログ生成部３０２あるいはログ記憶部３１１から受け取ったプロセス起動ログを、ログ判定装置１００に送信する。

［標準端末の構成］
標準端末２００は、パソコン等の汎用コンピュータで実現され、業務内アプリケーションのみがインストールされた端末であり、業務に不必要なアプリケーションがインストールされたりマルウェアに感染したりすることがないように適切に管理されている。そして、標準端末２００は、後述するログ判定処理において、クライアント端末３００の標準として参照される。図４に例示するように、標準端末２００は、ＯＳ２０５と、業務内アプリケーション２０１と、通信部２０４と、ファイル識別情報検索部２０２と、ＦＰＬ更新部２０３とを備える。

業務内アプリケーション２０１とは、標準端末２００を構成する際に、ＯＳ２０５をインストールすることにより標準端末２００内に生成された全てのプログラムと、管理者により予めインストールすることが許可されたプログラムとを意味する。許可されたプログラムには、例えば、メールアプリケーション、文書処理アプリケーション、表計算アプリケーション、プレゼンテーションアプリケーション、ブラウザ、個別業務処理アプリケーション等が含まれる。

通信部２０４は、ＮＩＣ（Network Interface Card）等で実現され、ネットワーク１を介した外部の装置との通信を制御する。具体的に、通信部２０４は、ファイル識別情報検索部２０２またはＦＰＬ更新部２０３の要求に応じて、ログ判定装置１００との間の通信を制御する。

ファイル識別情報検索部２０２およびＦＰＬ更新部２０３は、ＣＰＵ（Central Processing Unit）等の演算処理装置がメモリに記憶された処理プログラムを実行することにより実現される。

ファイル識別情報検索部２０２は、後述するログ判定処理において、ログ判定装置１００から通信部２０４を介して実行ファイルのファイル識別情報を含むファイル識別情報検索要求を受信した場合に、標準端末２００内のファイルパス名に合致する実行ファイルを検索する。合致する実行ファイルがあった場合に、ファイル識別情報検索部２０２は、当該実行ファイルのファイル識別情報を抽出する。

ＦＰＬ更新部２０３は、標準端末２００内の業務内アプリケーション２０１が更新（追加・変更・削除）された場合に、後述するログ判定装置１００の判定用アプリケーションリスト（ＦＰＬ（Fair Program List））１３１に登録させる。また、ＦＰＬ更新部２０３は、標準端末２００内の業務内アプリケーション２０１に対して更新プログラムが適用された場合に、更新プログラム適用後のプログラムの情報を、後述するログ判定装置１００の判定用アプリケーションリスト１３１に登録させる。

具体的に、ＦＰＬ更新部２０３は、業務内アプリケーション２０１が更新（追加・変更・削除）された場合に、通信部２０４を介して判定用アプリケーションリスト１３１を参照し、当該プログラムとファイル名およびファイル識別情報が同一のプログラムのデータが存在しない場合には、当該プログラムの情報を判定用アプリケーションリスト１３１に追加させ、当該プログラムとファイル名とおよびファイル識別情報が同一のプログラムのデータがあれば、判定用アプリケーションリスト１３１の変更または削除を行わせる。また、ＦＰＬ更新部２０３は、更新プログラムが適用された場合に、通信部２０４を介して判定用アプリケーションリスト１３１を参照し、当該プログラムとファイル名が同一の更新プログラムが適用される前のプログラムのデータに対して、最新版ではなく旧バージョンであることを示す旧バージョンフラグを付加させる。また、ＦＰＬ更新部２０３は、更新プログラム適用後のプログラムのファイル識別情報を取得して、取得したファイル識別情報を用いて当該プログラムの情報を通信部２０４を介して判定用アプリケーションリスト１３１に登録させる。

［ログ判定装置の構成］
ログ判定装置１００は、ワークステーションやパソコン等の汎用コンピュータで実現され、図５に例示するように、入力部１０１、表示部１０２、通信部１０４、記憶部１３０、ＯＳ１４１、標準端末制御部１２３、外部参照部１２２、アプリケーション判定部１１１、判定用データ生成部１２４、個別判定部１２１、および判定用データ検索／集計部１０３を備える。

入力部１０１は、電源スイッチおよび入力キーなどの入力デバイスを用いて実現され、操作者による入力操作に対応して、アプリケーション判定部１１１等に対して各種指示情報を入力する。

表示部１０２は、液晶ディスプレイ等の表示装置によって実現され、後述するログ判定処理による判定結果等を操作者に対して提示する。

通信部１０４は、ＮＩＣ（Network Interface Card）等で実現され、ネットワーク１を介した外部の装置との通信を制御する。

記憶部１３０は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、判定用アプリケーションリスト１３１と判定結果１３２とを記憶する。なお、記憶部１３０は、ネットワーク１を介してアプリケーション判定部１１１等と通信する構成でもよい。また、判定用アプリケーションリスト１３１と判定結果１３２とが異なる記憶装置に記憶されてもよい。

判定用アプリケーションリスト１３１は、全ての業務内アプリケーション２０１について、各業務内アプリケーションのファイル名とファイルパスとファイル識別情報とを含んで構成される。また、判定用アプリケーションリスト１３１のデータには、後述する判定結果１３２に基づいて選別値（ＳＶ）が付与される。さらに、判定用アプリケーションリスト１３１の業務内アプリケーションのうち、更新プログラムが適用された際には、ファイル識別情報が変更される。既に判定用アプリケーションリスト１３１に登録されているデータのうち、ファイル名とファイルパスが同一であるが、ファイル識別情報が異なるデータに対しては、最新版ではないことを示す旧バージョンフラグが付与される。なお、このデータについては選別値がＣに変更され、更新プログラム適用後のファイル識別情報が変更された業務内アプリケーションのデータについては選別値がＡに設定される。選別値については後述する。

判定結果１３２は、後述するログ判定処理におけるプロセス起動ログの判定結果を意味し、入力された判定対象のプロセス起動ログ（図３参照）と選別値（ＳＶ）とを含む。

ここで、選別値（ＳＶ）とは、プロセス起動ログのプロセスが業務内アプリケーションのプロセスか否かの判定結果に応じて、図６に例示するように設定される値である。図６において、標準端末フェアプログラムとは、標準端末２００の業務内アプリケーション２０１を意味する。また、個別判定フェアプログラムとは、別途管理者等により判定された業務内アプリケーションを意味する。また、ウィルス情報の情報源参照結果とは、プロセス起動ログが業務内アプリケーションではない業務外アプリケーションのプロセスと判定された場合に、外部のウィルス情報の情報源を参照して判定された結果を意味する。

具体的に、図６の例では、プロセス起動ログが標準端末２００の業務内アプリケーションのプロセスと同一であって業務内アプリケーションのプロセスと判定された場合に、選別値にＡが設定される。また、プロセス起動ログのプロセスが、別途管理者等により業務内アプリケーションのプロセスと判定された場合に、選別値にＢが設定される。プロセス起動ログのプロセスが業務外アプリケーションのプロセスであって、ウィルスのリスクなしと判定された場合に、選別値にＣが設定される。プロセス起動ログのプロセスが業務外アプリケーションのプロセスであって、ファイル識別情報がウィルス情報の情報源に登録されておらずウィルスか否かが不明と判定された場合に、選別値にＤが設定される。プロセス起動ログのプロセスが業務外アプリケーションのプロセスであって、ウィルスのリスクありと判定された場合に、選別値にＥが設定される。

なお、ウィルスの情報源とは、インターネット上に存在する情報源であって、実行ファイルを受け取って、内部で複数のアンチウィルスソフトウェアによってウィルススキャンを行った結果を出力する。このような情報源では、過去のウィルススキャンの結果がデータベース化されており、ファイル識別情報としてのハッシュ値が入力されると、そのハッシュ値に対応するファイルのウィルススキャンの結果が得られる。

標準端末制御部１２３、外部参照部１２２、アプリケーション判定部１１１、判定用データ生成部１２４、個別判定部１２１、および判定用データ検索／集計部１０３は、ＣＰＵ等の演算処理装置がメモリに記憶された処理プログラムを実行することにより実現される。

標準端末制御部１２３は、通信部１０４を介した標準端末２００との情報送受を制御する。外部参照部１２２は、通信部１０４を介して外部の更新プログラムの情報源やウィルス情報の情報源等を参照する。

なお、外部の更新プログラムの情報源とは、インターネット上に存在し、例えばマイクロソフト社が運営するＷｉｎｄｏｗｓ（登録商標）の更新プログラムに関する情報を提供する情報源を意味する。

判定用データ生成部１２４は、プロセス起動ログの情報をもとに判定用アプリケーションリスト１３１に登録するデータを生成する。

アプリケーション判定部１１１は、クライアント端末３００で起動されたプロセスのファイル識別情報を含むプロセス起動ログを取得して、該プロセスのファイル識別情報と判定用アプリケーションリスト１３１に業務内アプリケーションとして登録された実行ファイルのファイル識別情報とが一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定する。

具体的に、アプリケーション判定部１１１は、クライアント端末３００で起動されたプロセスのファイル識別情報を含むプロセス起動ログを取得して、該プロセスのファイル識別情報と判定用アプリケーションリスト１３１の実行ファイルのファイル識別情報とが一致し、選別値がＡもしくはＢである場合に、該プロセスが業務内アプリケーションのプロセスと判定する。また、該プロセスのファイル識別情報と判定用アプリケーションリスト１３１の実行ファイルのファイル識別情報とが一致し、選別値がＣもしくはＤもしくはＥの場合に、該プロセスが業務外アプリケーションのプロセスと判定する。

すなわち、アプリケーション判定部１１１は、まず、クライアント端末３００からプロセス起動ログを受信した場合に、プロセス起動ログから抽出したファイル識別情報が、判定用アプリケーションリスト１３１に存在し、選別値がＡもしくはＢであれば、プロセス起動ログのプロセスが業務内アプリケーションのプロセスと判定し、選別値がＣもしくはＤもしくはＥであれば、プロセス起動ログのプロセスが業務外アプリケーションのプロセスと判定し、選別値とともに判定結果１３２に記録する。

また、アプリケーション判定部１１１は、プロセス起動ログのプロセスのファイル識別情報が、判定用アプリケーションリスト１３１の実行ファイルのファイル識別情報と一致せず、標準端末２００にインストールされている業務内アプリケーション２０１の実行ファイルのファイル識別情報と一致する場合に、該プロセスが業務内アプリケーションのプロセスと判定し、判定された該プロセスの識別情報を判定用アプリケーションリスト１３１に登録する。

すなわち、プロセス起動ログのファイル識別情報が判定用アプリケーションリスト１３１にない場合、アプリケーション判定部１１１は、標準端末２００にプロセス起動ログと同一の実行ファイルパスおよびファイル識別情報があるかを標準端末２００に問い合わせる。具体的に、アプリケーション判定部１１１は、標準端末２００に通信部１０４を介してファイル識別情報を含めたファイル識別情報検索要求を送信する。標準端末２００のファイル識別情報検索部２０２から、同一のファイル識別情報があった旨の通知を受領した場合、すなわち、同一の実行ファイルパスおよびファイル識別情報が標準端末２００にあった場合、アプリケーション判定部１１１は、プロセス起動ログのプロセスが業務内アプリケーションのプロセスと判定し、選別値Ａを付与して判定結果１３２に記録する。また、アプリケーション判定部１１１は、該プロセスの識別情報を、標準端末２００のファイル識別情報検索部２０２からのファイル識別情報等の通知内容を用いて判定用データ生成部１２４を介して判定用アプリケーションリスト１３１に登録する。

また、アプリケーション判定部１１１は、プロセス起動ログのプロセスの識別情報が、判定用アプリケーションリスト１３１の実行ファイルの識別情報と一致せず、標準端末２００に存在する実行ファイルの識別情報と一致せず、外部の情報源から取得した業務内アプリケーションの更新プログラムの実行ファイルの識別情報と一致する場合に、該プロセスが業務内アプリケーションのプロセスと判定し、判定された該プロセスの識別情報を判定用アプリケーションリスト１３１に登録する。

すなわち、同一のプロセス起動ログの実行ファイルパスおよびファイル識別情報が標準端末２００にない場合、アプリケーション判定部１１１は、外部参照部１２２を介して外部の更新プログラムの情報源を参照し、プロセス起動ログと同一のファイル名およびファイル識別情報があるかを検索する。同一のファイル名およびファイル識別情報があれば、アプリケーション判定部１１１は、プロセス起動ログのプロセスが業務内アプリケーションのプロセスと判定し、選別値Ａを付与して判定結果１３２に記録する。また、アプリケーション判定部１１１は、標準端末制御部１２３を介して標準端末２００に更新プログラムを適用させる。さらに、アプリケーション判定部１１１は、更新プログラムが適用された後のプロセスの情報を判定用データ生成部１２４を介して判定用アプリケーションリスト１３１に登録する。

また、アプリケーション判定部１１１は、プロセス起動ログのプロセスの識別情報が、判定用アプリケーションリスト１３１の実行ファイルの識別情報と一致せず、さらにプロセス起動ログのプロセスが業務内アプリケーション以外の業務外アプリケーションのプロセスと判定された場合に、外部の情報源から取得したウィルスの情報に基づいて、プロセスについてのウィルスのリスクの有無を判定する。

すなわち、プロセス起動ログの実行ファイルパスおよびファイル識別情報が、判定用アプリケーションリスト１３１および標準端末２００および外部の更新プログラムの情報源にない場合、アプリケーション判定部１１１は、プロセス起動ログのプロセスを業務外アプリケーションのプロセスと判定する。そして、アプリケーション判定部１１１は、外部参照部１２２を介して外部のウィルス情報の情報源を参照し、プロセス起動ログと同一のファイル識別情報があるかを検索することにより、当該実行ファイルの属性を判定して選別値を付与する。

具体的に、アプリケーション判定部１１１は、実行ファイルがウィルスであるとは判定されなかった場合に、実行ファイルの属性を「リスクなし」と判定し、選別値Ｃを付与する。また、アプリケーション判定部１１１は、実行ファイルのファイル識別情報がウィルス情報の情報源に登録されていなかった場合に、実行ファイルの属性を「不明」と判定し、選別値Ｄを付与する。また、アプリケーション判定部１１１は、１以上のアンチウィルスソフトウェアにより実行ファイルがウィルスであると判定された場合に、実行ファイルの属性を「リスクあり」と判定し、選別値Ｅを付与する。そして、アプリケーション判定部１１１は、プロセス起動ログと選別値とを判定結果１３２に記録する。

判定用データ検索／集計部１０３は、判定用アプリケーションリスト１３１のデータから指定された条件に合致したデータを抽出し集計し、表示部１０２に出力させる。これにより、管理者が管理端末４００および通信部１０４を介して表示部１０２に表示されたデータを参照することができる。すなわち、管理者は、表示部１０２に表示されたデータを参照することができる。また、判定用データ検索／集計部１０３が、通信部１０４を介して、管理端末４００からの検索／集計の要求を受信して、検索／集計結果を管理端末４００に送信する。これにより、管理者は管理端末４００に表示されるデータを参照することができる。

また、個別判定部１２１は、インタフェース部として、通信部１０４を介した管理端末４００との情報送受を制御して、判定用アプリケーションリスト１３１のデータの追加あるいは削除の管理者からの指示を受け付ける。すなわち、個別判定部１２１は、管理者による管理端末４００、通信部１０４および入力部１０１を介した入力操作に応じて、判定用アプリケーションリスト１３１のデータの追加あるいは削除を行う。つまり、個別判定部１２１は、管理者は、入力部１０１から管理者の追加／削除の指示を受け付けて、データの追加／削除を行う。また、個別判定部１２１は、管理端末４００からの追加／削除の指示を通信部１０４を介して受信して、データの追加／削除を行う。

具体的に、管理者によるデータの追加の指示入力があった場合、個別判定部１２１は、判定用データ生成部１２４を介して、選別値Ｂを付与して判定用アプリケーションリスト１３１にデータを追加する。また、管理者によるデータの削除の指示入力があった場合、個別判定部１２１は、判定用アプリケーションリスト１３１のデータを削除する。例えば、判定結果１３２の選別値がＢ，Ｃ，Ｄ，Ｅに設定されているプロセスに対応するファイルについて、判定用アプリケーションリスト１３１から削除する。

なお、判定用アプリケーションリスト１３１の選別値がＢ，Ｃ，Ｄ，Ｅに設定されているプロセスに対応するデータについて、判定用アプリケーションリスト１３１のデータの選別値のみの削除が指示された場合に、自動的に外部参照部１２２を介して外部のウィルス情報の情報源を参照するようにしてもよい。その場合、アプリケーション判定部１１１が、ファイルの属性を判定して選別値を付与し、判定用データ生成部１２４が、判定用アプリケーションリスト１３１の選別値を更新するようにしてもよい。

なお、アプリケーション判定部１１１は、クライアント端末３００から取得した図７に例示するファイル操作ログを用いて、業務外アプリケーションと判定されたファイルの混入経路や操作対象ファイルを特定することができる。

図７に例示するように、ファイル操作ログには、日時、ホスト名、ユーザ名、プロセス名、プロセスＩＤ、操作種別、操作元ファイル名、操作元ファイルパス、操作元ファイルサイズ、操作先ファイル名、操作先ファイルパス、および操作先ファイルサイズが含まれる。

ここで、日時とは、インシデントが発生した時刻（YYYY-MM-DD hh:mm:ss.ttt）を意味し、図７には「2015-02-02 11:35:05.335」が例示されている。ここで、tttとはミリ秒を意味する。ホスト名とは、ホスト名またはコンピュータ名を意味し、図７には「PC_001」が例示されている。ユーザ名とは、ファイル操作を行ったユーザ名を意味し、図７には「USER_001」が例示されている。

プロセス名とは、ファイル操作を行ったプロセスのプロセス名を意味し、図７には「explorer.exe」が例示されている。プロセスＩＤとは、ファイル操作を行ったプロセスのプロセスＩＤを意味し、図７には「2815」が例示されている。操作種別とは、 “Read”、“Create”、“Modify”、“Rename”、“SaveAs”、“Move”、“Copy”、“Delete”、“ToRecycler”、または“FromRecycler”のいずれかの更新内容を表す文字列を意味し、図７には「Copy」が例示されている。

操作元ファイル名とは、操作対象になったファイルの名前を意味し、図７には「解説資料.doc」が例示されている。なお、ファイルの名前が変更された（Rename）場合には、元の名前を意味する。操作元ファイルパスとは、操作対象になったファイルのファイルパスを意味し、図７には「\\10.10.1.5\File\解説資料.doc」が例示されている。操作元ファイルサイズとは、操作対象になったファイルのファイルサイズを意味し、図７には「32413」が例示されている。なお、ファイルサイズが変更された（Modify）場合には、元のファイルサイズを意味する。

操作先ファイル名とは、Copy時等の新ファイルの名前を意味し、図７には「解説資料.doc」が例示されている。操作先ファイルパスとは、Copy時等の新ファイルのファイルパスを意味し、図７には「C:\My Documents\解説資料.doc」が例示されている。操作先ファイルサイズとは、操作対象になった操作先ファイルのファイルサイズを意味し、図７には「32413」が例示されている。

すなわち、図７に例示したファイル操作ログは、2015年2月2日11時35分05.335秒に、ホスト名が「PC_001」であるいずれかのクライアント端末３００において、ユーザ名「User_001」のユーザが、プロセス名「explorer.exe」のアプリケーションを用いて、ファイルパス「\\10.10.1.5\File\解説資料.doc」のファイル名「解説資料.doc」のファイルを、ファイルパス「C:\My Documents\解説資料.doc」のファイル名「解説資料.doc」として複製（Copy）したことを示している。

操作種別が複製（Copy）、移動（Move）、変名（Rename）、もしくは別名保存（SaveAs）の場合には、ファイル操作の前後で操作対象のファイルのファイル名もしくはファイルパスが変更されるため、操作先ファイル名および操作先ファイルパスが設定される。

そこで、業務外アプリケーションであると判定されたプロセス起動ログに含まれる実行ファイルパスと、ファイル操作ログの操作対象ファイルの操作元ファイルパスまたは操作先ファイルパスが一致するものを、関連するファイル操作ログの集合として取得すればよい。これにより、当該ファイルがどこからコピーされたか等のファイルの混入経路や、操作対象ファイルや、他の端末にも存在するか否かを把握することが可能となる。

なお、アプリケーション判定部１１１がファイル操作ログを取得する際、例えば特許文献３に記載されている技術を利用すれば、大量のファイル操作ログの中から関連するファイル操作ログを高速に取得することが可能となる。すなわち、トレースするツリー（対象とするファイル操作ログの集合）を構成するログの両端エッジを抽出し、並行して根、枝、葉に分類してログのグーピングを行なってファミリーＩＤを付与することにより、大量のログの中から関連するファイルのトレース情報を高速に検索する。

［ログ判定処理］
次に、図８のフローチャートを参照して、ログ判定装置１００におけるログ判定処理手順について説明する。図８のフローチャートは、例えば、操作者が入力部１０１を操作して処理開始の指示入力を行ったタイミングで開始となる。

まず、アプリケーション判定部１１１が、クライアント端末３００から受信したプロセス起動ログから、実行ファイルパスと実行ファイルパスのファイル識別情報とを抽出する（ステップＳ１１０１）。

次に、アプリケーション判定部１１１は、抽出したファイル識別情報が、判定用アプリケーションリスト１３１に存在するか否かを検索する（ステップＳ１１０２）。同一のファイル識別情報が判定用アプリケーションリスト１３１に存在すれば（Ｙｅｓ）、選別値に応じて、プロセス起動ログのプロセスが業務内アプリケーションのプロセスであるか業務外アプリケーションのプロセスであるかを判定し、判定結果１３２に記録した後（ステップＳ１１０７）、ステップＳ１１２４に処理を進める。

プロセス起動ログのファイル識別情報が判定用アプリケーションリスト１３１にない場合（ステップＳ１１０２，Ｎｏ）、アプリケーション判定部１１１は、標準端末２００にプロセス起動ログと同一の実行ファイルパスおよびファイル識別情報があるかを検索する（ステップＳ１１０３）。同一の実行ファイルパスおよびファイル識別情報が標準端末２００にあれば（Ｙｅｓ）、アプリケーション判定部１１１は、プロセス起動ログのプロセスが業務内アプリケーションのプロセスと判定し、選別値Ａを付与し、判定用アプリケーションリスト１３１を更新し（ステップＳ１１０６）、判定結果１３２に記録する（ステップＳ１１０７）。その後、アプリケーション判定部１１１は、ステップＳ１１２４に処理を進める。

また、同一のプロセス起動ログの実行ファイルパスおよびファイル識別情報が標準端末２００にない場合（ステップＳ１１０３，Ｎｏ）、アプリケーション判定部１１１は、外部参照部１２２を介して外部の更新プログラムの情報源を参照し、プロセス起動ログと同一のファイル名およびファイル識別情報があるかを検索する（ステップＳ１１０４）。同一のファイル名およびファイル識別情報があれば（Ｙｅｓ）、アプリケーション判定部１１１は、標準端末制御部１２３を介して標準端末２００に更新プログラムを適用させる（ステップＳ１１０５）。さらに、アプリケーション判定部１１１は、プロセス起動ログのプロセスが業務内アプリケーションのプロセスと判定し、選別値Ａを付与し、判定用データ生成部１２４を介して更新プログラムが適用された後のプロセスの情報を判定用アプリケーションリスト１３１に登録させる（ステップＳ１１０６）。そして、アプリケーション判定部１１１は、判定結果１３２に記録した後（ステップＳ１１０７）、ステップＳ１１２４に処理を進める。

プロセス起動ログの実行プロセス名と同一のファイル名がない場合（ステップＳ１１０４，Ｎｏ）、アプリケーション判定部１１１は、プロセス起動ログを業務外アプリケーションのプロセスと判定する。また、アプリケーション判定部１１１は、外部参照部１２２を介して外部のウィルス情報の情報源を参照し、プロセス起動ログと同一のファイル識別情報があるかを検索する（ステップＳ１１２１）。

そして、アプリケーション判定部１１１は、当該実行ファイルの属性を判定して選別値を付与する（ステップＳ１１２２）。具体的に、アプリケーション判定部１１１は、実行ファイルがウィルスであるとは判定されなかった場合に、実行ファイルの属性を「リスクなし」と判定し、選別値Ｃを付与する。また、アプリケーション判定部１１１は、実行ファイルのファイル識別情報がウィルス情報の情報源に登録されていなかった場合に、実行ファイルの属性を「不明」と判定し、選別値Ｄを付与する。また、アプリケーション判定部１１１は、１以上のアンチウィルスソフトウェアにより実行ファイルがウィルスであると判定された場合に、実行ファイルの属性を「リスクあり」と判定し、選別値Ｅを付与する。その後、アプリケーション判定部１１１は、判定用データ生成部１２４を介して当該実行ファイルの情報を選別値とともに判定用アプリケーションリスト１３１に登録させる。

次に、アプリケーション判定部１１１は、プロセス起動ログと選別値とを判定結果１３２に記録する（ステップＳ１１２３）。

ステッップＳ１１２４の処理では、アプリケーション判定部１１１は、他に処理対象のプロセス起動ログの入力があるか否かを確認し、ある場合には（Ｙｅｓ）、ステップＳ１１０１に処理を戻し、ない場合には（Ｎｏ）一連のログ判定処理を終了させる。

以上、説明したように、本実施形態のログ判定装置１００では、記憶部１３０が、クライアント端末３００において使用が許可されているプログラムである業務内アプリケーションの実行ファイルのファイル識別情報を含む判定用アプリケーションリスト１３１を記憶する。また、アプリケーション判定部１１１が、クライアント端末３００で起動されたプロセスのファイル識別情報を含むプロセス起動ログを取得して、該プロセスのファイル識別情報と判定用アプリケーションリスト１３１に業務内アプリケーションとして登録された実行ファイルのファイル識別情報とが一致する場合に、該プロセスが業務内アプリケーションのプロセスと判定する。これにより、クライアント端末３００内で動作するプロセスが業務で使用することを許可されたアプリケーションのプロセスであるか否かを判定することができる。

また、アプリケーション判定部１１１は、プロセス起動ログのプロセスのファイル識別情報が、判定用アプリケーションリスト１３１の実行ファイルのファイル識別情報と一致せず、標準端末２００にインストールされている業務内アプリケーション２０１の実行ファイルのファイル識別情報とが一致する場合に、該プロセスが業務内アプリケーションのプロセスと判定し、判定された該プロセスの識別情報を判定用アプリケーションリスト１３１に登録する。これにより、標準端末２００の業務内アプリケーション２０１の実行ファイルのファイル識別情報を判定用アプリケーションリスト１３１に自動的に追加して、以降のログ判定処理に活用できる。

また、アプリケーション判定部１１１は、プロセス起動ログのプロセスの識別情報が、判定用アプリケーションリスト１３１の実行ファイルの識別情報と一致せず、標準端末２００にインストールされている業務内アプリケーション２０１の実行ファイルのファイル識別情報と一致せず、外部の情報源から取得した業務内アプリケーションの更新プログラムの実行ファイルの識別情報とが一致する場合に、該プロセスが業務内アプリケーションのプロセスと判定し、該更新プログラムが適用された業務内アプリケーションの識別情報を判定用アプリケーションリスト１３１に登録する。これにより、業務内アプリケーションの更新プログラムの実行ファイルのファイル識別情報を判定用アプリケーションリスト１３１に自動的に追加して、以降のログ判定処理に活用できる。

また、アプリケーション判定部１１１は、プロセス起動ログのプロセスが業務外アプリケーションのプロセスと判定された場合に、外部の情報源から取得したウィルスの情報に基づいて、プロセスについてのウィルスのリスクの有無を判定する。これにより、クライアント端末３００の稼働状態を把握することができる。

また、個別判定部１２１は、管理端末４００を介して管理者の指示入力を受け付けて判定用アプリケーションリスト１３１のデータを追加あるいは削除することができる。これにより、例えば判定結果１３２の選別値に応じて、判定用アプリケーションリスト１３１のデータを削除したり追加したりして最新の状態に保持することができる。

また、ログ判定装置１００の判定用アプリケーションリスト１３１には、更新プログラムが適用される前に業務内アプリケーションとして登録されていたデータについて、最新版ではないことを示す旧バージョンフラグが付与されている。これにより、以降のログ判定処理に活用し、他のクライアント端末３００の業務内アプリケーションの稼働状態を把握することできる。

さらに、アプリケーション判定部１１１は、プロセス起動ログのプロセスが業務外アプリケーションのプロセスと判定された場合に、ファイル操作ログに基づいて該プロセスの混入経路、操作対象ファイル、または他のクライアント端末での存在の有無を特定する。これにより、クライアント端末３００の稼働状態を把握することができる。

［他の実施形態］
［プログラム］
上記実施形態に係るログ判定装置１００が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、係るプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、ログ判定装置１００と同様の機能を実現するログ判定プログラムを実行するコンピュータの一例を説明する。

図９に示すように、ログ判定プログラムを実行するコンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。

ここで、図９に示すように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。

また、ログ判定プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明したログ判定装置１００が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０３１に記憶される。

また、ログ判定プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、ログ判定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、ログ判定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。

１ ネットワーク
１００ ログ判定装置
１０１ 入力部
１０２ 表示部
１０３ 判定用データ検索／集計部
１０４ 通信部
１１１ アプリケーション判定部
１２１ 個別判定部
１２２ 外部参照部
１２３ 標準端末制御部
１２４ 判定用データ生成部
１３０ 記憶部
１３１ 判定用アプリケーションリスト（ＦＰＬ）
１３２ 判定結果
１４１ ＯＳ
２００ 標準端末
２０１ 業務内アプリケーション
２０２ ファイル識別情報検索部
２０３ ＦＰＬ更新部
２０４ 通信部
２０５ ＯＳ
３００ クライアント端末
３０１ アプリケーション／プログラム
３０２ ログ生成部
３０３ 通信部
３１１ ログ記憶部
３２１ ＯＳ
４００ 管理端末

Claims (9)

1. ユーザが利用するクライアント端末において使用が許可されているプログラムである業務内アプリケーションの実行ファイルの識別情報を含む判定用アプリケーションリストを記憶する記憶部と、
   前記クライアント端末で起動されたプロセスの識別情報を含むプロセス起動ログを取得して、該プロセスの識別情報と前記判定用アプリケーションリストに業務内アプリケーションとして登録された実行ファイルの識別情報とが一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定する判定部と、
   を備えることを特徴とするログ判定装置。
2. 前記判定部は、前記プロセス起動ログのプロセスの識別情報が、前記判定用アプリケーションリストの実行ファイルの識別情報と一致せず、前記クライアント端末以外の標準端末にインストールされている業務内アプリケーションの実行ファイルの識別情報と一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定し、判定された該プロセスの識別情報を前記判定用アプリケーションリストに登録することを特徴とする請求項１に記載のログ判定装置。
3. 前記判定部は、前記プロセス起動ログのプロセスの識別情報が、前記判定用アプリケーションリストの実行ファイルの識別情報と一致せず、外部の情報源から取得した前記業務内アプリケーションの更新プログラムの実行ファイルの識別情報と一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定し、該更新プログラムが適用された前記業務内アプリケーションの識別情報を前記判定用アプリケーションリストに登録することを特徴とする請求項１または２に記載のログ判定装置。
4. 前記判定部は、前記プロセス起動ログのプロセスが前記判定用アプリケーションリストの実行ファイルの識別情報と一致せず、さらに前記業務内アプリケーション以外の業務外アプリケーションのプロセスと判定された場合に、外部の情報源から取得したウィルスの情報に基づいて、前記プロセスについてのウィルスのリスクの有無を判定することを特徴とする請求項１〜３のいずれか１項に記載のログ判定装置。
5. 前記判定用アプリケーションリストのデータの追加あるいは削除のユーザからの指示を受け付けるインタフェース手段をさらに備えることを特徴とする請求項１〜４のいずれか１項に記載のログ判定装置。
6. 前記判定用アプリケーションリストには、前記更新プログラムが適用される前に業務内アプリケーションとして登録されていたデータに対して、最新版ではないことを示す旧バージョンフラグが付与されていることを特徴とする請求項１〜５のいずれか１項に記載のログ判定装置。
7. 前記判定部は、前記プロセス起動ログのプロセスが前記業務内アプリケーションではない業務外アプリケーションのプロセスと判定された場合に、ファイル操作の履歴を示すファイル操作ログを取得し、該ファイル操作ログに基づいて該プロセスの混入経路、操作対象ファイル、または他のクライアント端末での存在の有無を特定することを特徴とする請求項１〜６のいずれか１項に記載のログ判定装置。
8. ログ判定装置で実行されるログ判定方法であって、
   前記ログ判定装置は、ユーザが利用するクライアント端末において使用が許可されているプログラムである業務内アプリケーションの実行ファイルの識別情報を含む判定用アプリケーションリストを記憶する記憶部を備え、
   前記クライアント端末で起動されたプロセスの識別情報を含むプロセス起動ログを取得して、該プロセスの識別情報と前記判定用アプリケーションリストに業務内アプリケーションとして登録されている実行ファイルの識別情報とが一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定し、
   前記プロセス起動ログのプロセスの識別情報が、前記判定用アプリケーションリストに業務内アプリケーションとして登録されている実行ファイルの識別情報と一致せず、前記クライアント端末以外の標準端末に存在する実行ファイルの識別情報と一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定し、
   前記プロセス起動ログのプロセスの識別情報が、前記判定用アプリケーションリストの実行ファイルの識別情報と一致せず、前記標準端末に存在する実行ファイルの識別情報と一致せず、外部の更新プログラムの情報源に存在する実行ファイル識別情報と一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定し、
   前記プロセス起動ログのプロセスの識別情報が、前記判定用アプリケーションリストの実行ファイルの識別情報と一致せず、前記標準端末に存在する実行ファイルの識別情報と一致せず、外部の更新プログラムの情報源に存在する実行ファイルの識別情報とが一致しない場合に、該プロセスが前記業務内アプリケーション以外の業務外アプリケーションのプロセスと判定する判定工程、
   を含んだことを特徴とするログ判定方法。
9. ユーザが利用するクライアント端末において使用が許可されているプログラムである業務内アプリケーションの実行ファイルの識別情報を含む判定用アプリケーションリストを記憶する記憶部を参照し、前記クライアント端末で起動されたプロセスの識別情報を含むプロセス起動ログを取得して、該プロセスの識別情報と前記判定用アプリケーションリストに業務内アプリケーションとして登録されている実行ファイルの識別情報とが一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定し、
   前記プロセス起動ログのプロセスの識別情報が、前記判定用アプリケーションリストに業務内アプリケーションとして登録されている実行ファイルの識別情報と一致せず、前記クライアント端末以外の標準端末に存在する実行ファイルの識別情報と一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定し、
   前記プロセス起動ログのプロセスの識別情報が、前記判定用アプリケーションリストの実行ファイルの識別情報と一致せず、前記標準端末に存在する実行ファイルの識別情報と一致せず、外部の更新プログラムの情報源に存在する実行ファイル識別情報と一致する場合に、該プロセスが前記業務内アプリケーションのプロセスと判定し、
   前記プロセス起動ログのプロセスの識別情報が、前記判定用アプリケーションリストの実行ファイルの識別情報と一致せず、前記標準端末に存在する実行ファイルの識別情報と一致せず、外部の更新プログラムの情報源に存在する実行ファイルの識別情報とが一致しない場合に、該プロセスが前記業務内アプリケーション以外の業務外アプリケーションのプロセスと判定する判定ステップ、
   をコンピュータに実行させるためのログ判定プログラム。

Images