JP2017102508A - ネットワーク監視プログラム、ネットワーク監視方法及びネットワーク監視装置 - Google Patents

Abstract

【課題】クレデンシャル発行装置から発行されたクレデンシャルに基づくリモート操作を行ったアカウントを特定するネットワーク監視方法を提供する。【解決手段】ネットワーク監視方法は、チケット発行サーバの通信データから、発行されたサービスチケットを抽出しＳ１１０３、抽出したサービスチケットを含むレコードを探索しＳ１１０５、抽出したサービスチケットを含むリモート操作プロトコルの認証要求が伝送された送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出しＳ１１３、送信元ポート番号及び宛先ポート番号を抽出しＳ１１１５、コネクションを特定しＳ１１１７、コネクションにおけるリモート操作の記録にコネクションＩＤを設定する処理を含む。【選択図】図１１

Description

本発明は、ネットワークにおけるリモート操作のロギング技術に関する。

ネットワークのリモート操作プロトコルに従うサーバコンピュータでは、クレデンシャルを用いてユーザ認証を行った上で、ユーザからのリモート操作を受け付ける。例えば、ユーザが指定したアカウント名とパスワードとが、クレデンシャルに相当する。

最近の情報処理システムでは、アカウントを一元的に管理するために、アカウント名とパスワードを平文でネットワークに送出する代わりに、チケット発行システムから発行されたサービスチケットによってサーバコンピュータにおけるユーザ認証を行うことがある。この場合には、チケット発行システムにおいて、アカウント名とパスワードとを用いた事前の認証を行うことが前提となる。

このような情報処理システムがサイバー攻撃を受けて、アカウント名とパスワードとが盗用されると、攻撃者がサービスチケットを取得し、サーバコンピュータに対して不正なリモート操作を行えるようになる。

また、各種の目的で情報処理システムにおける通信データをキャプチャして、システム内の挙動を監視する装置が知られている。

特開２０１０−１３０３４９号公報 特開２０１２−２２１２７４号公報

本発明の目的は、一側面では、クレデンシャル発行装置から発行されたクレデンシャルに基づくリモート操作を行ったアカウントを特定することである。

一態様に係るネットワーク監視方法は、（Ａ）クレデンシャル発行装置の通信データから、発行されたクレデンシャルと、当該クレデンシャルを要求したアカウントの識別データとを抽出し、（Ｂ）上記クレデンシャルを含むリモート操作プロトコルの認証要求が伝送されたコネクションを特定し、（Ｃ）上記コネクションにおけるリモート操作の記録に上記識別データを対応付ける処理を含む。

一側面としては、クレデンシャル発行装置から発行されたクレデンシャルに基づくリモート操作を行ったアカウントを特定できる。

図１は、情報処理システムの例を示す図である。 図２は、シーケンスの例を示す図である。 図３は、監視装置のモジュール構成例を示す図である。 図４は、メイン処理フローを示す図である。 図５は、第１記録処理部のモジュール構成例を示す図である。 図６は、第１記録処理フローを示す図である。 図７は、発行ログの構成例を示す図である。 図８は、ＳＭＢ（Server Message Block）パケットの構成を示す図である。 図９は、ＳＭＢ認証のリクエストメッセージの例を示す図である。 図１０は、第２記録処理部のモジュール構成例を示す図である。 図１１は、第２記録処理（Ａ）フローを示す図である。 図１２は、認証ログの構成例を示す図である。 図１３は、コネクション特定処理フローを示す図である。 図１４は、コネクションテーブルの構成例を示す図である。 図１５は、ファイルリードのリクエストメッセージの例を示す図である。 図１６は、第３記録処理部のモジュール構成例を示す図である。 図１７は、第３記録処理フローを示す図である。 図１８は、第３記録処理フローを示す図である。 図１９は、操作ログの構成例を示す図である。 図２０は、ユーザ登録のリクエストメッセージの例を示す図である。 図２１は、第４記録処理部のモジュール構成例を示す図である。 図２２は、第４記録処理フローを示す図である。 図２３は、第２記録処理（Ｂ）フローを示す図である。 図２４は、コンピュータの機能ブロック図である。

［実施の形態１］
図１に、情報処理システムの例を示す。複数のコンピュータ１０１がネットワーク（例えば、ＬＡＮ（Local Area Network））を介して接続している。ネットワークは、ファイアウォール１０５を介してインターネットと接続している。例えば、イントラネットによる情報処理システムを想定する。コンピュータ１０１は、例えばサーバコンピュータ又はクライアントコンピュータである。サーバコンピュータの機能は、任意である。サーバコンピュータは、例えばドメイン管理サーバ、Ｗｅｂサーバ、ファイルサーバ、Ｗｉｎｄｏｗｓ（登録商標）サーバ又はＳａｍｂａサーバなどであってもよい。

各クライアントコンピュータは、各サーバコンピュータによるサービスを利用することがある。各クライアントコンピュータは、各サーバコンピュータで保持するデータを利用することがある。また、複数のサーバコンピュータが連携する場合もある。クライアントコンピュータ同士が、データを共有することもある。クライアントコンピュータが、他のクライアントコンピュータによるサービスを利用することもある。

つまり、コンピュータ１０１同士は、所定の条件の下で、任意にリモート操作を行うことがあるものとする。そのために、複数のコンピュータ１０１の間でＳＭＢに基づく制御が行われる。ＳＭＢは、リモート操作の機能を提供するアプリケーション層のプロトコルの例である。リモート操作の機能を提供するアプリケーション層のプロトコルとして、更にＤＣＥ／ＲＰＣ（Distributed Computing Environment / Remote Procedure Calls）に基づく制御を行うようにしてもよい。

本実施の形態では、ケルベロス認証方式によってユーザを認証する。ケルベロス認証は、共通鍵暗号法を用いたネットワーク認証方式である。ケルベロス認証は、一度だけユーザ認証を受ければ、複数のサービスを利用できるシングルサインオンの仕組みを提供する。以下に示すシーケンスにおいて、クライアントコンピュータとサーバコンピュータは、それぞれ自らの共通鍵でチケットを復号し、セッション鍵を取得することによって相互認証する。また、ケルベロス認証では、成りすましを防止するための時刻同期処理及びデータ秘匿化のための暗号化処理も行う。

チケット発行システム１０７は、ケルベロス認証方式に従ってユーザのアカウント及びアクセス権を一元的に管理する。また、チケット発行システム１０７は、クライアントコンピュータの共通鍵とサーバコンピュータの共通鍵とを保持する。チケット発行システム１０７は、これらの共通鍵によってクライアントコンピュータとサーバコンピュータとの身元を確認する。チケット発行システム１０７は、ＫＤＣ（Key Distribution Center）又はドメインコントローラーと呼ばれることがある。チケット発行システム１０７は、認証サーバ１０９及びチケット発行サーバ１１１を含んでいる。認証サーバ１０９及びチケット発行サーバ１１１を、一体の装置に設けるようにしてもよい。

認証サーバ１０９は、ケルベロス認証方式におけるユーザ認証を行う。認証サーバ１０９は、ＡＳ（Authentication Server）と呼ばれることもある。

チケット発行サーバ１１１は、クライアントコンピュータがサーバコンピュータを利用するためのサービスチケットを発行する。サービスチケットは、クライアントコンピュータのＩＤ、タイムスタンプ及び有効期限を含んでいる。チケット発行サーバ１１１は、ＴＧＳ（Ticket Granting Server）と呼ばれることもある。

本実施の形態におけるサービスチケットは、クレデンシャルの例である。同じくチケット発行サーバ１１１は、クレデンシャル発行装置の例である。また、同じくチケット発行システム１０７は、クレデンシャル発行システムの例である。

尚、クライアントコンピュータとサーバコンピュータとをプリンシパルと呼ぶことがある。また、同一の認証ポリシーが適用されるクライアントコンピュータとサーバコンピュータとのグループをレルムと呼ぶことがある。この例では、レルムはドメインと一致するものとする。

監視装置１０３は、例えばポートミラーリング対応のスイッチ又はネットワークタップを介して、ネットワークに接続している。監視装置１０３は、ネットワークを流れるパケットをキャプチャし、パケットを分析することによって、アカウント名が対応付けられたリモート操作のログを生成する。

図２に、シーケンスの例を示す。この例で、クライアントコンピュータ２０１は、サーバコンピュータ２０３にアクセスして、サーバコンピュータ２０３のサービスを利用するものと想定する。

クライアントコンピュータ２０１は、ケルベロス認証方式におけるユーザ認証（以下、最初の認証という。）のリクエストメッセージを認証サーバ１０９へ送る（Ｓ２１１）。当該リクエストメッセージは、クライアントコンピュータ２０１のユーザに割り当てられているアカウント名及びパスワードを含んでいる。

認証サーバ１０９は、当該リクエストメッセージに含まれるアカウント名及びパスワードに基づいて、最初の認証を行う。最初の認証が成功すると、認証サーバ１０９は、ＴＧＴ（Ticket-granting Ticket）を生成し、ＴＧＴを含む成功のレスポンスメッセージをクライアントコンピュータ２０１へ送る（Ｓ２１３）。ＴＧＴは、サービスチケット発行を許可するチケットである。

クライアントコンピュータ２０１は、成功のレスポンスメッセージに含まれるＴＧＴを保管する。クライアントコンピュータ２０１は、サーバコンピュータ２０３を利用するためのサービスチケット発行のリクエストメッセージをチケット発行サーバ１１１へ送る（Ｓ２１５）。当該リクエストメッセージには、ＴＧＴ及びサーバコンピュータ２０３のサービス名が含まれている。

チケット発行サーバ１１１は、サービスチケット発行のリクエストメッセージに含まれるＴＧＴを検証する。具体的には、チケット発行サーバ１１１は、ＴＧＴのタイムスタンプや有効期限を確認し、更にサーバコンピュータ２０３へのアクセス権を有するユーザであることを確認する。検証が成功すると、Ｓ２１１で認証したユーザがサーバコンピュータ２０３を利用するためのサービスチケットを生成する。そして、チケット発行サーバ１１１は、サービスチケットを含むレスポンスメッセージをクライアントコンピュータ２０１へ送る（Ｓ２１７）。当該レスポンスメッセージは、最初の認証で用いられたアカウント名を含んでいる。

クライアントコンピュータ２０１は、当該レスポンスメッセージを受信すると、ＳＭＢ認証のリクエストメッセージをサーバコンピュータ２０３へ送る（Ｓ２１９）。当該リクエストメッセージは、サービスチケットを含んでいる。

サーバコンピュータ２０３は、サービスチケットに基づいてＳＭＢにおけるユーザ認証（以下、ＳＭＢ認証という。）を行う。サービスチケットが正当である場合には、ＳＭＢ認証が成功する。ＳＭＢ認証が成功すると、サーバコンピュータ２０３は、成功のレスポンスメッセージをクライアントコンピュータ２０１へ送る（Ｓ２２１）。

成功のレスポンスメッセージが送られると、クライアントコンピュータ２０１がリモート操作を行う準備が整う。この例では、クライアントコンピュータ２０１は、ファイルリードのリクエストメッセージをサーバコンピュータ２０３へ送る。（Ｓ２２３）。

サーバコンピュータ２０３は、当該リクエストメッセージに従って、ファイルを含むレスポンスメッセージをクライアントコンピュータ２０１へ送る（Ｓ２２５）。図２に示したファイルリードは、リモート操作の例であって、他のリモート操作が行われることもある。このようなシーケンスを前提として、監視装置１０３は、上述したメッセージに相当するパケットを分析する。

続いて、監視装置１０３の動作について説明する。図３に、監視装置１０３のモジュール構成例を示す。監視装置１０３は、キャプチャ部３０１、判別部３０３、第１特定部３０５、第１記録処理部３０７、第２記録処理部３０９、第３記録処理部３１１、第４記録処理部３１３、削除部３１５、時計部３１７、発行ログ記憶部３２１、コネクション記憶部３２３、認証ログ記憶部３２５、操作ログ記憶部３２７及びパケット格納部３２９を有する。

キャプチャ部３０１は、ネットワークを流れるパケットをキャプチャする。判別部３０３は、パケットの種類を判別する。第１特定部３０５は、コネクション特定処理を実行する。第１記録処理部３０７は、第１記録処理を実行する。第１記録処理では、クレデンシャル発行に関するデータが発行ログに記録される。第２記録処理部３０９は、第２記録処理を実行する。第２記録処理では、ＳＭＢ認証に関するデータが認証ログに記録される。本実施の形態では、第２記録処理（Ａ）が実行される。後述する実施の形態では、第２記録処理（Ｂ）が実行される。第３記録処理部３１１は、第３記録処理を実行する。第３記録処理では、リモートファイルアクセスに関するデータが操作ログに記録される。第４記録処理部３１３は、第４記録処理を実行する。第４記録処理では、リモートファイルアクセス以外のリモート操作に関するデータが操作ログに記録される。削除部３１５は、発行ログのデータを削除する。時計部３１７は、日付及び時刻を計測する。

発行ログ記憶部３２１は、発行ログを記憶する。コネクション記憶部３２３は、コネクションテーブルを記憶する。認証ログ記憶部３２５は、認証ログを記憶する。操作ログ記憶部３２７は、操作ログを記憶する。パケット格納部３２９は、キャプチャしたパケットを格納する。各ログ及びテーブルについては、後述する。

上述したキャプチャ部３０１、判別部３０３、第１特定部３０５、第１記録処理部３０７、第２記録処理部３０９、第３記録処理部３１１、第４記録処理部３１３、削除部３１５及び時計部３１７は、ハードウエア資源（例えば、図２４）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。

上述した発行ログ記憶部３２１、コネクション記憶部３２３、認証ログ記憶部３２５、操作ログ記憶部３２７及びパケット格納部３２９は、ハードウエア資源（例えば、図２４）を用いて実現される。

続いて、監視装置１０３における処理について説明する。図４に、メイン処理フローを示す。キャプチャ部３０１は、キャプチャ処理を開始する（Ｓ４０１）。キャプチャ処理で、キャプチャ部３０１は、監視装置１０３とネットワークとの間に設けられたポートミラーリング対応のスイッチ又はネットワークタップを介して、ネットワークを流れるパケットを取り込む。取り込んだパケットは、パケット格納部３２９に格納される。キャプチャ部３０１は、格納したパケットに、キャプチャした日時を付する。日時は、時計部３１７から得られる。

判別部３０３は、キャプチャしたパケットのうち、未処理のパケットを１つ特定する（Ｓ４０３）。判別部３０３は、例えばキャプチャした順にパケットを特定する。判別部３０３は、処理済みのパケットを破棄するようにしてもよい。未処理のパケットが無い場合に、判別部３０３は、次のパケットがキャプチャされるまで待機する。

判別部３０３は、特定したパケットがケルベロス認証プロトコルのパケットであるか否かを判定する（Ｓ４０５）。具体的には、判別部３０３は、当該パケットに設定されている送信元ポート番号が、ケルベロス認証に割り当てられている番号「８８」である場合に、当該パケットがケルベロス認証プロトコルのパケットであると判定する。当該パケットがケルベロス認証プロトコルのパケットであると判定した場合には、第１記録処理部３０７は、第１記録処理を実行する（Ｓ４０７）。

第１記録処理について説明する前に、第１記録処理部３０７のモジュール構成例について説明する。図５に、第１記録処理部３０７のモジュール構成例を示す。第１記録処理部３０７は、第１設定部５０１及び第１抽出部５０３を有する。

第１設定部５０１は、発行ログの新たなレコードに各種データを設定する。第１抽出部５０３は、ケルベロス認証プロトコルのパケットから各種データを抽出する。

上述した第１設定部５０１及び第１抽出部５０３は、ハードウエア資源（例えば、図２４）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。

図６に、第１記録処理フローを示す。第１記録処理部３０７は、発行ログに、新たなレコードを設ける（Ｓ６０１）。

図７に、発行ログの構成例を示す。この例における発行ログは、テーブル形式である。但し、発行ログは、テーブル形式以外の形式であってもよい。この例における発行ログは、サービスチケット発行のレスポンスメッセージに対応するレコードを有している。当該レコードは、日時を設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドと、クライアントレルム名とアカウント名とを設定するためのフィールドと、サーバレルム名とサーバ名とを設定するためのフィールドと、サービスチケットを設定するためのフィールドとを有している。

日時は、当該レスポンスメッセージのパケットをキャプチャした日時である。送信元ＩＰアドレス及び宛先ＩＰアドレスは、当該レスポンスメッセージのＩＰヘッダーから抽出される。送信元ポート番号及び宛先ポート番号は、当該レスポンスメッセージのＴＣＰ（Transmission Control Protocol）ヘッダー又はＵＤＰ（User Datagram Protocol）ヘッダー（以下、ＵＤＰ／ＴＣＰヘッダーと記す。）から抽出される。アカウント名は、サービスチケットを要求したアカウントを識別する。クライアントレルム名は、クライアントコンピュータ２０１が属するレルムを識別する。サーバ名は、サーバコンピュータ２０３を識別する。サーバレルム名は、サーバコンピュータ２０３が属するレルムを識別する。この例では、クライアントレルム名とアカウント名とを一体として記録しているが、クライアントレルム名とアカウント名とを別個に記録するようにしてもよい。同じくサーバレルム名とサーバ名とを一体として記録しているが、サーバレルム名とサーバ名とを別個に記録するようにしてもよい。

図６の説明に戻る。第１設定部５０１は、新たなレコードに、Ｓ４０３で特定したパケットがキャプチャされた日時を設定する（Ｓ６０３）。

第１抽出部５０３は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、第１設定部５０１は、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ６０５）。第１抽出部５０３は、当該パケットのＵＤＰ／ＴＣＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、第１抽出部５０３は、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ６０７）。

第１抽出部５０３は、当該パケットからアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を抽出し、第１設定部５０１は、抽出したアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を、新たなレコードに設定する（Ｓ６０９）。

第１抽出部５０３は、当該パケットからサービスチケットを抽出し、第１設定部５０１は、抽出したサービスチケットを、新たなレコードに設定する（Ｓ６１１）。第１記録処理を終えると、図４に示したＳ４０３の処理に戻って、上述した処理を繰り返す。

図４の説明に戻る。Ｓ４０５において、Ｓ４０３で特定したパケットがケルベロス認証プロトコルのパケットではないと判定した場合には、判別部３０３は、当該パケットがＳＭＢプロトコルのパケットであるか否かを判定する（Ｓ４０９）。具体的には、判別部３０３は、当該パケットにプロトコルがＳＭＢであることを示すデータが設定されている場合に、当該パケットがＳＭＢパケットであると判定する。当該パケットがＳＭＢパケットではないと判定した場合には、Ｓ４０３に示した処理に戻って、上述した処理を繰り返す。ＳＭＢパケットとは、ＳＭＢプロトコルによる制御で用いられるパケットのことである。

図８に、ＳＭＢパケットの構成を示す。図８に示すように、ＭＡＣ（Media Access Control）ヘッダーには、宛先ＭＡＣアドレスが設定されるフィールドと、送信元ＭＡＣアドレスが設定されるフィールドとが含まれている。送信元ＭＡＣアドレスは、当該パケットを送ったコンピュータ１０１のＭＡＣアドレスである。宛先ＭＡＣアドレスは、当該パケットを受けるコンピュータ１０１のＭＡＣアドレスである。

また、ＩＰヘッダーには、送信元ＩＰアドレスが設定されるフィールドと、宛先ＩＰアドレスが設定されるフィールドとが含まれている。送信元ＩＰアドレスは、当該パケットを送ったコンピュータ１０１のＩＰアドレスである。宛先ＩＰアドレスは、当該パケットを受けるコンピュータ１０１のＩＰアドレスである。

ＳＭＢパケットがＴＣＰに従って送られる場合に、当該パケットは、ＴＣＰヘッダーを有する。ＳＭＢパケットがＵＤＰに従って送られる場合に、当該パケットは、ＵＤＰヘッダーを有する。ＴＣＰヘッダー又はＵＤＰヘッダーのいずれの場合であっても、当該ヘッダーには、送信元ポート番号が設定されるフィールドと、宛先ポート番号が設定されるフィールドとが含まれている。送信元ポート番号は、当該パケットを送り出したポートの番号である。宛先ポート番号は、当該パケットを受けるポートの番号である。

尚、この例で、ＮｅｔＢｉｏｓに関するヘッダーは省略する。

ＳＭＢパケットは、ＳＭＢヘッダー及びＳＭＢボディを有する。ＳＭＢヘッダーには、プロトコルが設定されるフィールドと、オペレーションコードが設定されるフィールドと、パイプ名が設定されるフィールドとが含まれている。プロトコルには、ＳＭＢの識別子が設定される。尚、ＳＭＢの識別子は、ＳＭＢのバージョンを含む。オペレーションコードは、ＳＭＢにおけるコマンド（リモート操作に相当する。）の識別子である。パイプ名は、データ伝送形態の一つであるパイプの名前である。パイプ名は、サービスに対して一意に定められている。従って、利用されるサービスは、パイプ名によって特定される。

ＳＭＢヘッダーには、各種の属性データが含まれる。但し、属性項目及び格納位置は、ＳＭＢパケットの種類によって異なる場合がある。ＳＭＢパケットの種類は、オペレーションコードとパイプ名との両方又は一方によって判別される。属性データの例は、後述する。

図４の説明に戻る。Ｓ４０９において、Ｓ４０３で特定したパケットがＳＭＢパケットであると判定した場合には、判別部３０３は、更に、Ｓ４０３で特定したパケットがＳＭＢ認証のリクエストメッセージに該当するか否かを判定する（Ｓ４１１）。具体的には、判別部３０３は、ＳＭＢヘッダーに、ＳＭＢ認証のオペレーションコード（ＳｅｓｓｉｏｎＳｅｔｕｐ）が設定されている場合に、当該パケットがＳＭＢ認証のリクエストメッセージに該当すると判定する。

当該パケットがＳＭＢ認証のリクエストメッセージに該当すると判定した場合には、第２記録処理部３０９は、第２記録処理を実行する（Ｓ４１３）。

第２記録処理について説明する前に、ＳＭＢ認証のリクエストメッセージの構成及び第２記録処理部３０９のモジュール構成例について説明する。

図９に、ＳＭＢ認証のリクエストメッセージの例を示す。この例では、ＩＰアドレスによってコンピュータ１０１を判別するので、ＭＡＣアドレスについては言及しない。但し、ＭＡＣアドレスによってコンピュータ１０１を判別するようにしてもよい。

図９に示したＳＭＢ認証のリクエストメッセージは、ＩＰアドレス「ｘ．ｘ．ｘ．１０」のコンピュータ１０１から、ＩＰアドレス「ｘ．ｘ．ｘ．３０」のコンピュータ１０１へ送られたものと想定する。従って、送信元ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．１０」が設定され、宛先ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．３０」が設定されている。

当該リクエストメッセージは、宛先のコンピュータ１０１におけるポート番号「Ｐ₂」のポートに対して、送信元のコンピュータ１０１におけるポート番号「Ｐ₁」のポートから送られたものと想定する。従って、送信元ポート番号のフィールドには「Ｐ₁」が設定され、宛先ポート番号のフィールドには「Ｐ₂」が設定されている。

この例におけるＳＭＢ認証の手順は、ＳＭＢのバージョン２に準拠するものとする。従って、プロトコルのフィールドには「ＳＭＢ２」が設定されている。オペレーションコードの「０ｘ０１」は、認証の要求に相当する。プロバイダーは、認証方式を特定する。プロバイダーは、セキュリティブロブと呼ばれることもある。この例では、「ケルベロス認証方式」が設定されている。尚、プロバイダーに「ＮＴＬＭ（NT LAN Manager）」が設定されていることもあるが、本実施の形態では、ＮＴＬＭによる認証の場合には、ロギングの対象としない。

キャプチャしたパケットに設定されているプロトコルが「ＳＭＢ２」であり、同じくオペレーションコードが「０ｘ０１」であるという条件と合致する場合に、当該パケットは、ＳＭＢ認証のリクエストメッセージに該当すると判定される。

図１０に、第２記録処理部３０９のモジュール構成例を示す。第２記録処理部３０９は、第２設定部１００１、第２抽出部１００３、第１判定部１００５及び第１探索部１００７を有する。

第２設定部１００１は、認証ログの新たなレコードに各種データを設定する。第２抽出部１００３は、ＳＭＢ認証のリクエストメッセージに該当するパケットから各種データを抽出する。第１判定部１００５は、ＳＭＢ認証のリクエストメッセージにおけるプロバイダーのフィールドに「ケルベロス認証方式」が設定されているか否かを判定する。第１探索部１００７は、発行ログにおいて、特定のサービスチケットを含むレコードを探索する。

上述した第２設定部１００１、第２抽出部１００３、第１判定部１００５及び第１探索部１００７は、ハードウエア資源（例えば、図２４）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。

続いて、第２記録処理（Ａ）について説明する。図１１に、第２記録処理（Ａ）フローを示す。第１判定部１００５は、プロバイダーのフィールドに「ケルベロス認証方式」が設定されているか否かを判定する（Ｓ１１０１）。プロバイダーのフィールドに「ケルベロス認証方式」が設定されていないと判定した場合には、第２記録処理（Ａ）を終え、図４に示したＳ４０３の処理に戻って、上述した処理を繰り返す。

一方、プロバイダーのフィールドに「ケルベロス認証方式」が設定されていると判定した場合には、第２抽出部１００３は、Ｓ４０３で特定したパケットからサービスチケットを抽出する（Ｓ１１０３）。第１探索部１００７は、発行ログにおいて、抽出したサービスチケットと同じサービスチケットを含むレコードを探索する（Ｓ１１０５）。

第１判定部１００５は、上記サービスチケットを含むレコードが有ったか否かを判定する（Ｓ１１０７）。上記サービスチケットを含むレコードが無かったと判定した場合には、第２記録処理（Ａ）を終え、図４に示したＳ４０３の処理に戻って、上述した処理を繰り返す。

一方、上記サービスチケットを含むレコードが有ったと判定した場合には、第２記録処理部３０９は、認証ログに、新たなレコードを設ける（Ｓ１１０９）。

図１２に、認証ログの構成例を示す。この例における認証ログは、テーブル形式である。但し、認証ログは、テーブル形式以外の形式であってもよい。この例における認証ログは、ケルベロス認証方式によるＳＭＢ認証のリクエストメッセージに対応するレコードを有している。当該レコードは、日時を設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドと、コネクションＩＤを設定するためのフィールドと、クライアントレルム名とアカウント名とを設定するためのフィールドと、サーバレルム名とサーバ名とを設定するためのフィールドとを有している。

日時は、当該リクエストメッセージのパケットをキャプチャした日時である。送信元ＩＰアドレス及び宛先ＩＰアドレスは、当該リクエストメッセージのＩＰヘッダーから抽出される。送信元ポート番号及び宛先ポート番号は、当該リクエストメッセージのＴＣＰ／ＵＤＰヘッダーから抽出される。アカウント名は、サービスチケット発行を要求したアカウントを識別する。クライアントレルム名は、クライアントコンピュータ２０１が属するレルムを識別する。サーバ名は、サーバコンピュータ２０３を識別する。サーバレルム名は、サーバコンピュータ２０３が属するレルムを識別する。この例では、クライアントレルム名とアカウント名とを一体として記録しているが、クライアントレルム名とアカウント名とを別個に記録するようにしてもよい。同じくサーバレルム名とサーバ名とを一体として記録しているが、サーバレルム名とサーバ名とを別個に記録するようにしてもよい。

図１１の説明に戻る。第２設定部１００１は、新たなレコードに、Ｓ４０３で特定したパケットがキャプチャされた日時を設定する（Ｓ１１１１）。

第２抽出部１００３は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、第２設定部１００１は、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ１１１３）。第２抽出部１００３は、当該パケットのＵＤＰ／ＴＣＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、第２設定部１００１は、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ１１１５）。

第１特定部３０５は、コネクション特定処理を実行する（Ｓ１１１７）。コネクション特定処理において、第１特定部３０５は、Ｓ４０３で特定したパケットが伝送されるコネクションを特定する。

図１３に、コネクション特定処理フローを示す。第１特定部３０５は、Ｓ１１１３で抽出した送信元ＩＰアドレス、Ｓ１１１５で抽出した送信元ポート番号、Ｓ１１１３で抽出した宛先ＩＰアドレス及びＳ１１１５で抽出した宛先ポート番号の組み合わせと同じ組み合わせが、コネクションテーブルに既に登録されているか否かを判定する（Ｓ１３０１）。

図１４に、コネクションテーブルの構成例を示す。この例におけるコネクションテーブルは、コネクションに対応するレコードを有している。当該レコードは、コネクションＩＤを設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドとを有している。

コネクションＩＤは、コネクションを識別する。コネクションは、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号の組み合わせによって特定される。

図１３の説明に戻る。Ｓ１３０１において、上記組み合わせが、コネクションテーブルに登録されていないと判定した場合には、第１特定部３０５は、コネクションテーブルに新たなレコードを設ける（Ｓ１３０３）。第１特定部３０５は、新たなレコードに新たなコネクションＩＤを割り当てる（Ｓ１３０５）。第１特定部３０５は、Ｓ１１１３で抽出した送信元ＩＰアドレス、Ｓ１１１５で抽出した送信元ポート番号、Ｓ１１１３で抽出した宛先ＩＰアドレス及びＳ１１１５で抽出した宛先ポート番号を、新たなレコードに設定する（Ｓ１３０７）。そして、図１１に示した第２記録処理（Ａ）に復帰する。この場合には、第２記録処理（Ａ）で、Ｓ１３０５で割り当てられたコネクションＩＤによってコネクションを特定する。

一方、Ｓ１３０１において、上記組み合わせが、コネクションテーブルが登録されていると判定した場合には、第１特定部３０５は、上記組み合わせに対応するコネクションＩＤを特定する（Ｓ１３０９）。そして、図１１に示した第２記録処理（Ａ）の処理に復帰する。

図１１の説明に戻る。第２設定部１００１は、Ｓ１１１７の処理で特定されたコネクションＩＤを、Ｓ１１０９で設けた新たなレコードに設定する（Ｓ１１１９）。

第２抽出部１００３は、Ｓ１１０５で探索されたレコードに設定されているアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を抽出し、第２設定部１００１は、抽出したアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を、新たなレコードに設定する（Ｓ１１２１）。第２記録処理（Ａ）を終えると、図４に示したＳ４０３の処理に戻って、上述した処理を繰り返す。

図４の説明に戻る。Ｓ４１１において、Ｓ４０３で特定したパケットがＳＭＢ認証のリクエストメッセージに該当しないと判定した場合には、判別部３０３は、当該パケットがリモートファイルアクセスのリクエストメッセージに該当するか否かを判定する（Ｓ４１５）。具体的には、判別部３０３は、ＳＭＢヘッダーに、リモートファイルアクセスのオペレーションコード（ＮＴＣｒｅａｔｅ）が設定されている場合に、当該パケットが、リモートファイルアクセスのリクエストメッセージに該当すると判定する。尚、リモートファイルアクセスは、複数のリクエストメッセージによって成立する。従って、リモートファイルアクセスの所定シーケンスに従って、「ＮＴＣｒｅａｔｅ」が設定されているパケット（以下では、１回目のリクエストメッセージという。）に続くパケット（以下では、２回目のリクエストメッセージという。）もリモートファイルアクセスのリクエストメッセージに該当すると判定する。

図１５に、ファイルリードのリクエストメッセージの例を示す。リモート操作の種類によって、リクエストメッセージの送出が１回で終わる場合と、リモート操作の処理が完了するまでにリクエストメッセージを複数回送出する場合とがある。図１５及び後述する図２０に示す例は、いずれもリクエストメッセージを複数回送出する場合に相当する。

上段に示したファイルリードにおける１回目のリクエストメッセージは、ＩＰアドレス「ｘ．ｘ．ｘ．１０」のコンピュータ１０１から、ＩＰアドレス「ｘ．ｘ．ｘ．３０」のコンピュータ１０１へ送られたものと想定する。従って、送信元ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．１０」が設定され、宛先ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．３０」が設定されている。尚、下段に示したファイルリードにおける２回目のリクエストメッセージの場合も、同様である。

上段に示したファイルリードにおける１回目のリクエストメッセージは、宛先のコンピュータ１０１におけるポート番号「Ｐ₂」のポートに対して、送信元のコンピュータ１０１におけるポート番号「Ｐ₁」のポートから送られたものと想定する。従って、送信元ポート番号のフィールドには「Ｐ₁」が設定され、宛先ポート番号のフィールドには「Ｐ₂」が設定されている。尚、下段に示したファイルリードにおける２回目のリクエストメッセージの場合も、同様である。

この例におけるファイルリードの手順は、ＳＭＢのバージョン１に準拠するものとする。従って、プロトコルのフィールドには「ＳＭＢ」が設定されている。

１回目のリクエストメッセージにおけるオペレーションコードの「０ｘａ２」は、ＮＴＣｒｅａｔｅを表す。バージョン１のＳＭＢの場合におけるオペレーションコードは、１ｂｙｔｅである。１回目のリクエストメッセージにおけるオペレーションコード「０ｘ０１」である場合には、ファイルアクセスの要求であること意味する。２回目のリクエストメッセージにおけるオペレーションコードの「０ｘ２ｅ」は、ファイルアクセスの種類がファイルリードであることを示している。

１回目のリクエストメッセージに設定されているオペレーションコードが「０ｘａ２」であり、２回目のリクエストメッセージ（１回目のリクエストメッセージと、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号が共通する。）に設定されているオペレーションコードが「０ｘ２ｅ」である場合に、これらのリクエストメッセージは、ファイルリードを要求するものであると判定される。尚、ファイルパスは、１回目のリクエストメッセージに設定されている。

図４の説明に戻る。当該パケットがリモートファイルアクセスのリクエストメッセージに該当すると判定した場合には、第３記録処理部３１１は、第３記録処理を実行する（Ｓ４１７）。

第３記録処理について説明する前に、第３記録処理部３１１のモジュール構成について説明する。図１６に、第３記録処理部３１１のモジュール構成例を示す。第３記録処理部３１１は、第３設定部１６０１、第３抽出部１６０３、第２判定部１６０５、第２特定部１６０７及び第２探索部１６０９を有する。

第３設定部１６０１は、操作ログの新たなレコードに各種データを設定する。第３抽出部１６０３は、リモートファイルアクセスのリクエストメッセージに該当するパケットから各種データを抽出する。第２判定部１６０５は、処理対象のパケットが、１回目のリクエストメッセージであるか否かを判定する。第２特定部１６０７は、コマンド名を特定する。第２探索部１６０９は、認証ログにおいて、特定のコネクションＩＤを含むレコードを探索する。

上述した第３設定部１６０１、第３抽出部１６０３、第２判定部１６０５、第２特定部１６０７及び第２探索部１６０９は、ハードウエア資源（例えば、図２４）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。

図１７に、第３記録処理フローを示す。第３記録処理では、リモートファイルアクセスに係る１回目のリクエストメッセージ及び２回目のリクエストメッセージに基づくデータを、操作ログに設定する。第２判定部１６０５は、Ｓ４０３で特定したパケットが、オペレーションコードに「ＮＴＣｒｅａｔｅ」が設定されているパケット、つまり１回目のリクエストメッセージであるか否かを判定する（Ｓ１７０１）。

当該パケットが、１回目のリクエストメッセージであると判定した場合には、第３記録処理部３１１は、操作ログに新たなレコードを設ける（Ｓ１７０３）。

図１９に、操作ログの構成例を示す。この例における操作ログは、テーブル形式である。但し、操作ログは、テーブル形式以外の形式であってもよい。この例における操作ログは、リモート操作のリクエストメッセージに対応するレコードを有している。当該レコードは、日時を設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドと、コネクションＩＤを設定するためのフィールドと、コマンド名とオプションとを設定するためのフィールドと、属性データを設定するためのフィールドとを有している。

この例では、属性データを設定するためのフィールドが、クライアントレルム名とアカウント名とを設定するためのフィールドと、サーバレルム名とサーバ名とを設定するためのフィールドと、パス又はアカウント名を設定するためのフィールドに分かれている。但し、他の属性項目を設定するためのフィールドを有するようにしてもよい。また、属性データを設定するためのフィールドを一体として、一又は複数の任意の属性を設定するようにしてもよい。

日時は、当該リクエストメッセージのパケットをキャプチャした日時である。送信元ＩＰアドレスは、送信元ＩＰアドレス及び宛先ＩＰアドレスは、当該リクエストメッセージのＩＰヘッダーから抽出される。送信元ポート番号及び宛先ポート番号は、当該リクエストメッセージのＴＣＰ／ＵＤＰヘッダーから抽出される。コネクションＩＤは、当該リクエストメッセージが伝送されたコネクションを識別する。コマンド名とオプションとは、リモート操作の内容を示す。オプションは、設定されない場合がある。クライアントレルム名は、クライアントコンピュータ２０１が属するレルムを識別する。サーバ名は、サーバコンピュータ２０３を識別する。サーバレルム名は、サーバコンピュータ２０３が属するレルムを識別する。この例では、クライアントレルム名とアカウント名とを一体として記録しているが、クライアントレルム名とアカウント名とを別個に記録するようにしてもよい。同じくサーバレルム名とサーバ名とを一体として記録しているが、サーバレルム名とサーバ名とを別個に記録するようにしてもよい。この例で、コマンド名が「ファイルリード」である場合には、パス又はアカウント名のフィールドにファイルパスが設定される。同じく、コマンド名が「ユーザ登録」である場合には、パス又はアカウント名のフィールドにアカウント名が設定される。

図１７の説明に戻る。第３設定部１６０１は、新たなレコードに、当該パケットがキャプチャされた日時を設定する（Ｓ１７０５）。

第３抽出部１６０３は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、第３設定部１６０１は、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ１７０７）。更に、第３抽出部１６０３は、当該パケットのＴＣＰヘッダー或いはＵＤＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、第３設定部１６０１は、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ１７０９）。

第１特定部３０５は、コネクションテーブルを参照して、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号の組み合わせに対応するコネクションＩＤを特定する（Ｓ１７１１）。第３設定部１６０１は、新たなレコードに、コネクションＩＤを設定する（Ｓ１７１３）。

第３抽出部１６０３は、当該パケットのＳＭＢヘッダーからファイルパスを抽出し、第３設定部１６０１は、抽出したファイルパスを、新たなレコードにおけるパス又はアカウント名のフィールドに設定する（Ｓ１７１５）。以上で、１回目のリクエストメッセージに基づくデータの設定を終える。そして、一旦図４に示したＳ４０３の処理に戻って、上述した処理を繰り返す。

一方、Ｓ１７０１において、当該パケットが、１回目のリクエストメッセージではないと判定した場合、つまり当該パケットが、２回目のリクエストメッセージである場合には、端子Ａを介して図１８のＳ１８０１に示した処理に移る。

第２特定部１６０７は、オペレーションコードに基づいてコマンド名を特定する（Ｓ１８０１）。例えば、オペレーションコードが「０ｘ２ｅ」であれば、ファイルリードのコマンドが特定される。第３設定部１６０１は、１回目のリクエストメッセージに基づきデータが設定されているレコードに、特定されたコマンド名を設定する（Ｓ１８０３）。

第２探索部１６０９は、認証ログにおいて、１回目のリクエストメッセージに対するＳ１７１１の処理で特定したコネクションＩＤと同じコネクションＩＤを含むレコードを探索する（Ｓ１８０５）。

第３抽出部１６０３は、探索されたレコードに設定されているアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を抽出し、第３設定部１６０１は、操作ログの新たなレコードに、抽出したアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を設定する（Ｓ１８０７）。端子Ｂを介して、図１７に示した処理に戻る。第３記録処理を終えると、図４に示したＳ４０３の処理に戻って、上述した処理を繰り返す。

図４の説明に戻る。Ｓ４１５において、Ｓ４０３で特定したパケットがリモートファイルアクセスのリクエストメッセージに該当しないと判定した場合には、判別部３０３は、その他のリモート操作、つまりリモートファイルアクセスを除くリモート操作（以下の図４の説明において、その他のリモート操作という。）のリクエストメッセージに該当するか否かを判定する（Ｓ４１９）。具体的には、判別部３０３は、ＳＭＢヘッダーに設定されているオペレーションコード及びパイプ名の組み合わせ（或いは、オペレーションコード又はパイプ名の一方）が、その他のリモート操作として想定されるいずれかのパターンと一致する場合に、当該パケットがその他のリモート操作のリクエストメッセージに該当すると判定する。

当該パケットがその他のリモート操作のリクエストメッセージに該当すると判定した場合には、第４記録処理部３１３は、第４記録処理を実行する（Ｓ４２１）。

この処理例では、１つのリクエストメッセージによって、その他のリモート操作が成立するものと想定する。但し、その他のリモート操作の中には、リモートファイルアクセスの場合と同様に、複数のリクエストメッセージによって成立するものもある。その場合には、リモートファイルアクセスの場合と同様に、処理を複数回に分ける。つまり、１回目のリクエストメッセージと２回目のリクエストメッセージ（３回目以降のリクエストメッセージを含む場合もある。）を、それぞれ当該その他のリモート操作のリクエストメッセージに該当するものとする。

以下では、ユーザ登録の例について説明する。第４記録処理について説明する前に、ユーザ登録のリクエストメッセージ及び第４記録処理部３１３のモジュール構成について説明する。

図２０に、ユーザ登録のリクエストメッセージの例を示す。上段に示したユーザ登録における１回目のリクエストメッセージは、ＩＰアドレス「ｘ．ｘ．ｘ．１３」のコンピュータ１０１から、ＩＰアドレス「ｘ．ｘ．ｘ．２５」のコンピュータ１０１へ送られたものと想定する。従って、送信元ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．１３」が設定され、宛先ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．２５」が設定されている。尚、下段に示したファイルリードにおける２回目のリクエストメッセージの場合も、同様である。

この例におけるユーザ登録の手順は、ＳＭＢのバージョン２に準拠するものとする。従って、プロトコルのフィールドには「ＳＭＢ２」が設定されている。

１回目のリクエストメッセージに設定されているオペレーションコードが「０ｘ０００５」であり、同じパケットに設定されているパイプ名が「ｓａｍｒ」であり、且つ２回目のリクエストメッセージ（１回目のリクエストメッセージと、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号が共通する。）に設定されているオペレーションコードが「０ｘ００３２」である場合に、これらのリクエストメッセージは、ユーザ登録を要求するものであると判定される。尚、バージョン２のＳＭＢの場合におけるオペレーションコードは、２ｂｙｔｅｓである。アカウント名は、２回目のリクエストメッセージに設定されている。

図２１に、第４記録処理部３１３のモジュール構成例を示す。第４記録処理部３１３は、第４設定部２１０１、第４抽出部２１０３、第３特定部２１０５及び第３探索部２１０７を有する。

第４設定部２１０１は、操作ログの新たなレコードに各種データを設定する。第４抽出部２１０３は、リモートファイルアクセス以外のリモート操作のリクエストメッセージに該当するパケットから各種データを抽出する。第３特定部２１０５は、コマンド名を特定する。第３探索部２１０７は、認証ログにおいて、特定のコネクションＩＤを含むレコードを探索する

上述した第４設定部２１０１、第４抽出部２１０３、第３特定部２１０５及び第３探索部２１０７は、ハードウエア資源（例えば、図２４）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。

続いて、第４記録処理について説明する。図２２に、第４記録処理フローを示す。第４記録処理部３１３は、操作ログに新たなレコードを設ける（Ｓ２２０１）。第４設定部２１０１は、新たなレコードに、リモートファイルアクセス以外のリモート操作のリクエストメッセージに相当するパケットがキャプチャされた日時を設定する（Ｓ２２０３）。

第４抽出部２１０３は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、第４設定部２１０１は、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ２２０５）。更に、第４抽出部２１０３は、当該パケットのＵＤＰ／ＴＣＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、第４設定部２１０１は、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ２２０７）。

第１特定部３０５は、コネクションテーブルを参照して、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号の組み合わせに対応するコネクションＩＤを特定する（Ｓ２２０９）。第４設定部２１０１は、新たなレコードに、コネクションＩＤを設定する（Ｓ２２１１）。

第３特定部２１０５は、オペレーションコード及び／又はサービス識別子に基づいてコマンド名を特定する（Ｓ２２１３）。具体的には、第３特定部２１０５は、所定のルールに従って、オペレーションコード及びパイプ名の組み合わせ（或いは、オペレーションコード又はパイプ名の一方）に対応するリモート操作のコマンド名（又は、コマンド名とオプションの組み合わせ）を特定する。

第４設定部２１０１は、特定したコマンド名（又は、コマンド名とオプションの組み合わせ）を、新たなレコードに設定する（Ｓ２２１５）。

尚、１回目のリクエストメッセージと２回目のリクエストメッセージ（３回目以降のリクエストメッセージを含む場合もある。）によって、コマンド名（又は、コマンド名とオプションの組み合わせ）を特定する場合には、第３記録処理の場合と同様に、後続のリクエストメッセージに対する処理を行う段階で、コマンド名（又は、コマンド名とオプションの組み合わせ）を特定する。

第３探索部２１０７は、認証ログにおいて、Ｓ２２０９の処理で特定したコネクションＩＤと同じコネクションＩＤを含むレコードを探索する（Ｓ２２１７）。

第４抽出部２１０３は、探索されたレコードに設定されているアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を抽出し、第４設定部２１０１は、操作ログの新たなレコードに、抽出したアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を設定する（Ｓ２２１９）。

第４抽出部２１０３は、Ｓ２２１３で特定したコマンド名（又は、コマンド名とオプションの組み合わせ）に応じた所定のルールに従って、アカウント名以外の属性データを抽出する。そして、第４設定部２１０１は、抽出した属性データを、新たなレコードの属性データのフィールドに設定する（Ｓ２２２１）。

第４抽出部２１０３は、ＳＭＢボディから属性データを取得するようにしてもよい。また、抽出すべき属性データが無い場合には、Ｓ２２２１の処理を省略するようにしてもよい。

２回目のリクエストメッセージ（３回目以降のリクエストメッセージを含む場合もある。）に抽出すべき属性データが含まれる場合には、後続のリクエストメッセージに対する処理を行う段階で、Ｓ２２２１の処理を行うようにしてもよい。

尚、後続のリクエストメッセージに対しても分析を行う場合には、リクエストメッセージの順位を判別して、各順位に応じた処理を行うようにしてもよい。第４記録処理を終えると、図４に示したＳ４０３の処理に戻って、上述した処理を繰り返す。

図４の説明に戻る。Ｓ４１９において、Ｓ４０３で特定したパケットが、その他のリモート操作のリクエストメッセージに該当しないと判定した場合には、当該パケットはログ対象に該当しないと看做す。従って、そのままＳ４０３に示した処理に戻って、上述した処理を繰り返す。

本実施の形態によれば、チケット発行サーバ１１１から発行されたサービスチケットをに基づくリモート操作を行ったアカウントを特定できる。また、リモート操作の記録に、認証サーバ１０９で認証したアカウントを対応付けておけば、不正なリモート操作を特定することに役立つという面がある。

［実施の形態２］
本実施の形態では、処理を終えたサービスチケットを削除する例について説明する。図４のＳ４１３において、図１１に示した第２記録処理（Ａ）に代えて、第２記録処理（Ｂ）を実行する。図２３に、第２記録処理（Ｂ）フローを示す。Ｓ１１０１乃至Ｓ１１２１の処理は、第２記録処理（Ａ）の場合と同様である。

Ｓ１１２１の処理に続いて、削除部３１５は、Ｓ１１０５において探索された発行ログのレコードを削除する（Ｓ２３０１）。

本実施の形態によれば、記録するデータ量を抑えられる。

以上本発明の実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上述の機能ブロック構成はプログラムモジュール構成に一致しない場合もある。

また、上で説明した各記憶領域の構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ、処理の順番を入れ替えることや複数の処理を並列に実行させるようにしても良い。

なお、上で述べた監視装置１０３は、コンピュータ装置であって、図２４に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

以上述べた本発明の実施の形態をまとめると、以下のようになる。

本実施の形態に係るネットワーク監視方法は、（Ａ）クレデンシャル発行装置の通信データから、発行されたクレデンシャルと、当該クレデンシャルを要求したアカウントの識別データとを抽出し、（Ｂ）上記クレデンシャルを含むリモート操作プロトコルの認証要求が伝送されたコネクションを特定し、（Ｃ）上記コネクションにおけるリモート操作の記録に上記識別データを対応付ける処理を含む。

このようにすれば、クレデンシャル発行装置から発行されたクレデンシャルに基づくリモート操作を行ったアカウントを特定できる。

更に、抽出された上記クレデンシャルと上記識別データとを対応付けて記録し、上記コネクションを特定した場合に、上記コネクションと上記識別データとを対応付けて記録し、上記クレデンシャルを削除するようにしてもよい。

このようにすれば、記録するデータ量を抑えられる。

なお、上記方法による処理をコンピュータに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納されるようにしてもよい。尚、中間的な処理結果は、一般的にメインメモリ等の記憶装置に一時保管される。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
クレデンシャル発行装置の通信データから、発行されたクレデンシャルと、当該クレデンシャルを要求したアカウントの識別データとを抽出し、
前記クレデンシャルを含むリモート操作プロトコルの認証要求が伝送されたコネクションを特定し、
前記コネクションにおけるリモート操作の記録に前記識別データを対応付ける
処理を、コンピュータに実行させるネットワーク監視プログラム。

（付記２）
更に、
抽出された前記クレデンシャルと前記識別データとを対応付けて記録し、
前記コネクションを特定した場合に、前記コネクションと前記識別データとを対応付けて記録し、前記クレデンシャルを削除する
処理を、コンピュータに実行させる付記１記載のネットワーク監視プログラム。

（付記３）
クレデンシャル発行装置の通信データから、発行されたクレデンシャルと、当該クレデンシャルを要求したアカウントの識別データとを抽出し、
前記クレデンシャルを含むリモート操作プロトコルの認証要求が伝送されたコネクションを特定し、
前記コネクションにおけるリモート操作の記録に前記識別データを対応付ける
処理を含み、コンピュータにより実行されるネットワーク監視方法。

（付記４）
クレデンシャル発行装置の通信データから、発行されたクレデンシャルと、当該クレデンシャルを要求したアカウントの識別データとを抽出する抽出部と、
前記クレデンシャルを含むリモート操作プロトコルの認証要求が伝送されたコネクションを特定する特定部と、
前記コネクションにおけるリモート操作の記録に前記識別データを対応付ける対応付け部と
を有するネットワーク監視装置。

１０１ コンピュータ １０３ 監視装置
１０５ ファイアウォール １０７ チケット発行システム
１０９ 認証サーバ １１１ チケット発行サーバ
２０１ クライアントコンピュータ ２０３ サーバコンピュータ
３０１ キャプチャ部 ３０３ 判別部
３０５ 第１特定部 ３０７ 第１記録処理部
３０９ 第２記録処理部 ３１１ 第３記録処理部
３１３ 第４記録処理部 ３１５ 削除部
３１７ 時計部 ３２１ 発行ログ記憶部
３２３ コネクション記憶部 ３２５ 認証ログ記憶部
３２７ 操作ログ記憶部 ３２９ パケット格納部
５０１ 第１設定部 ５０３ 第１抽出部
１００１ 第２設定部 １００３ 第２抽出部
１００５ 第１判定部 １００７ 第１探索部
１６０１ 第３設定部 １６０３ 第３抽出部
１６０５ 第２判定部 １６０７ 第２特定部
１６０９ 第２探索部 ２１０１ 第４設定部
２１０３ 第４抽出部 ２１０５ 第３特定部
２１０７ 第３探索部

Claims (4)

1. クレデンシャル発行装置の通信データから、発行されたクレデンシャルと、当該クレデンシャルを要求したアカウントの識別データとを抽出し、
   前記クレデンシャルを含むリモート操作プロトコルの認証要求が伝送されたコネクションを特定し、
   前記コネクションにおけるリモート操作の記録に前記識別データを対応付ける
   処理を、コンピュータに実行させるネットワーク監視プログラム。
2. 更に、
   抽出された前記クレデンシャルと前記識別データとを対応付けて記録し、
   前記コネクションを特定した場合に、前記コネクションと前記識別データとを対応付けて記録し、前記クレデンシャルを削除する
   処理を、コンピュータに実行させる請求項１記載のネットワーク監視プログラム。
3. クレデンシャル発行装置の通信データから、発行されたクレデンシャルと、当該クレデンシャルを要求したアカウントの識別データとを抽出し、
   前記クレデンシャルを含むリモート操作プロトコルの認証要求が伝送されたコネクションを特定し、
   前記コネクションにおけるリモート操作の記録に前記識別データを対応付ける
   処理を含み、コンピュータにより実行されるネットワーク監視方法。
4. クレデンシャル発行装置の通信データから、発行されたクレデンシャルと、当該クレデンシャルを要求したアカウントの識別データとを抽出する抽出部と、
   前記クレデンシャルを含むリモート操作プロトコルの認証要求が伝送されたコネクションを特定する特定部と、
   前記コネクションにおけるリモート操作の記録に前記識別データを対応付ける対応付け部と
   を有するネットワーク監視装置。

Images