JP2018005447A - ネットワーク監視システム、ネットワーク監視装置、ネットワーク監視方法及びプログラム - Google Patents

ネットワーク監視システム、ネットワーク監視装置、ネットワーク監視方法及びプログラム Download PDF

Info

Publication number
JP2018005447A
JP2018005447A JP2016129734A JP2016129734A JP2018005447A JP 2018005447 A JP2018005447 A JP 2018005447A JP 2016129734 A JP2016129734 A JP 2016129734A JP 2016129734 A JP2016129734 A JP 2016129734A JP 2018005447 A JP2018005447 A JP 2018005447A
Authority
JP
Japan
Prior art keywords
credential
unit
extracted
communication data
identification data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2016129734A
Other languages
English (en)
Other versions
JP6673057B2 (ja
Inventor
由紀 藤嶌
Yuki Fujishima
由紀 藤嶌
正信 森永
Masanobu Morinaga
正信 森永
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2016129734A priority Critical patent/JP6673057B2/ja
Priority to US15/594,926 priority patent/US10749851B2/en
Publication of JP2018005447A publication Critical patent/JP2018005447A/ja
Application granted granted Critical
Publication of JP6673057B2 publication Critical patent/JP6673057B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H04L67/025—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP] for remote control or remote monitoring of applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H04L67/306—User profiles

Abstract

【課題】クレデンシャル発行装置から発行されたクレデンシャルに基づくリモート操作を行ったユーザアカウントを特定する。【解決手段】ネットワーク監視システムは、第１監視装置と第２監視装置とを有する。そして、第１監視装置は、クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録する第１記録処理部５１１を有し、第２監視装置は、リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを第１監視装置から取得する取得部５１６と、第２通信データと同一の送信元からサービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得したユーザアカウントと対応付けて記録する第２記録処理部５１５とを有する。【選択図】図５

Description

本発明は、ネットワークにおけるリモート操作のロギング技術に関する。
ネットワークのリモート操作プロトコルに従うサーバコンピュータでは、クレデンシャルを用いてユーザ認証を行った上で、ユーザからのリモート操作を受け付ける。例えば、ユーザが指定したアカウント名とパスワードとが、クレデンシャルに相当する。
最近の情報処理システムでは、アカウントを一元的に管理するために、アカウント名とパスワードを平文でネットワークに送出する代わりに、チケット発行システムから発行されたサービスチケットによってサーバコンピュータにおけるユーザ認証を行うことがある。この場合には、チケット発行システムにおいて、アカウント名とパスワードとを用いた事前の認証を行うことが前提となる。
このような情報処理システムがサイバー攻撃を受けて、アカウント名とパスワードとが盗用されると、攻撃者がサービスチケットを取得し、サーバコンピュータに対して不正なリモート操作を行えるようになる。
例えば複数の拠点を有する情報処理システムでは、このようなサイバー攻撃が広い範囲に及ぶことも考えられる。このような広域の情報処理システムでは、拠点毎にチケット発行システムが設けられていることもある。
特開２０１４−１１００４６号公報 特開２００９−４８５４５号公報
本発明の目的は、一側面では、クレデンシャル発行装置から発行されたクレデンシャルに基づくリモート操作を行ったユーザアカウントを特定することである。
一態様に係るネットワーク監視システムは、第１監視装置と第２監視装置とを有する。そして、第１監視装置は、（Ａ）クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録する第１記録処理部を有し、第２監視装置は、（Ｂ）リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを第１監視装置から取得する取得部と、（Ｃ）第２通信データと同一の送信元から上記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得したユーザアカウントと対応付けて記録する第２記録処理部とを有する。
また、一態様に係るネットワーク監視装置は、（Ｄ）クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録する第１記録処理部と、（Ｅ）リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを他のネットワーク監視装置から取得する取得部と、（Ｆ）第２通信データと同一の送信元から上記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得したユーザアカウントと対応付けて記録する第２記録処理部とを有する。
一側面としては、クレデンシャル発行装置から発行されたクレデンシャルに基づくリモート操作を行ったユーザアカウントを特定できる。
図１は、ネットワーク構成例を示す図である。 図２は、第１拠点ＬＡＮ（Local Area Network）のトポロジー例を示す図である。 図３は、監視対象となるシーケンス例を示す図である。 図４Ａは、ネットワーク監視システムのシーケンス例を示す図である。 図４Ｂは、ネットワーク監視システムのシーケンス例を示す図である。 図４Ｃは、ネットワーク監視システムのシーケンス例を示す図である。 図５は、監視装置のモジュール構成例を示す図である。 図６は、監視装置のメイン処理フローを示す図である。 図７は、第１記録処理部のモジュール構成例を示す図である。 図８は、第１記録処理フローを示す図である。 図９は、発行ログの構成例を示す図である。 図１０は、ＳＭＢ（Server Message Block）パケットの構成を示す図である。 図１１は、ＳＭＢ認証のリクエストメッセージの例を示す図である。 図１２は、第２記録処理部のモジュール構成例を示す図である。 図１３Ａは、第２記録処理フローを示す図である。 図１３Ｂは、第２記録処理フローを示す図である。 図１４は、認証ログの構成例を示す図である。 図１５は、コネクション特定処理フローを示す図である。 図１６は、コネクションテーブルの構成例を示す図である。 図１７は、ファイルリードのリクエストメッセージの例を示す図である。 図１８は、第３記録処理部のモジュール構成例を示す図である。 図１９は、第３記録処理フローを示す図である。 図２０は、操作ログの構成例を示す図である。 図２１は、ユーザ登録のリクエストメッセージの例を示す図である。 図２２は、第４記録処理部のモジュール構成例を示す図である。 図２３は、第４記録処理フローを示す図である。 図２４は、応答処理フロー例を示す図である。 図２５は、管理装置のモジュール構成例を示す図である。 図２６は、所在テーブルの構成例を示す図である。 図２７Ａは、所在管理処理フローを示す図である。 図２７Ｂは、所在管理処理フローを示す図である。 図２８Ａは、実施の形態３に係るネットワーク監視システムのシーケンス例を示す図である。 図２８Ｂは、実施の形態３に係るネットワーク監視システムのシーケンス例を示す図である。 図２９は、実施の形態３に係る所在テーブルの構成例を示す図である。 図３０は、実施の形態３に係る監視装置のメイン処理フローを示す図である。 図３１は、実施の形態３に係る第２記録処理フローを示す図である。 図３２Ａは、実施の形態３に係る所在管理処理フローを示す図である。 図３２Ｂは、実施の形態３に係る所在管理処理フローを示す図である。 図３３は、コンピュータの機能ブロック図である。
［実施の形態１］
図１に、ネットワーク構成例を示す。この例における情報処理システムは、第１拠点ＬＡＮと第２拠点ＬＡＮとを有する。第１拠点ＬＡＮと第２拠点ＬＡＮとは、ＶＰＮ（Virtual Private Network）接続されている。更に、第１拠点ＬＡＮと第２拠点ＬＡＮとは、セキュリティセンターＬＡＮに接続している。各拠点ＬＡＮとセキュリティセンターＬＡＮとの間も、ＶＰＮ接続されている。この例では２つの拠点ＬＡＮを表しているが、３つ以上の拠点ＬＡＮが相互に接続している場合もある。第３拠点ＬＡＮ以降は、省略する。
各拠点ＬＡＮは、複数のサーバコンピュータ１０１及び複数のクライアントコンピュータ１０３を含んでいる。例えば、イントラネットによる情報処理システムを想定する。サーバコンピュータ１０１の機能は、任意である。サーバコンピュータ１０１は、例えばドメイン管理サーバ、Ｗｅｂサーバ、ファイルサーバ又はＷｉｎｄｏｗｓ（登録商標）サーバなどであってもよい。
各クライアントコンピュータ１０３は、各サーバコンピュータ１０１によるサービスを利用することがある。クライアントコンピュータ１０３は、サーバコンピュータ１０１で保持するデータを利用することがある。つまり、クライアントコンピュータ１０３は、所定の条件の下で、サーバコンピュータ１０１のリモート操作を行うことがあるものとする。そのために、サーバコンピュータ１０１とクライアントコンピュータ１０３との間でＳＭＢに基づく制御が行われる。ＳＭＢは、リモート操作の機能を提供するアプリケーション層のプロトコルの例である。リモート操作の機能を提供するアプリケーション層のプロトコルとして、更にＤＣＥ／ＲＰＣ（Distributed Computing Environment / Remote Procedure Calls）に基づく制御を行うようにしてもよい。
本実施の形態では、ケルベロス認証方式によってユーザを認証する。ケルベロス認証は、共通鍵暗号法を用いたネットワーク認証方式である。ケルベロス認証は、一度だけユーザ認証を受ければ、複数のサービスを利用できるシングルサインオンの仕組みを提供する。以下に示すシーケンスにおいて、サーバコンピュータ１０１とクライアントコンピュータ１０３とは、それぞれ自らの共通鍵でチケットを復号し、セッション鍵を取得することによって相互認証する。また、ケルベロス認証では、成りすましを防止するための時刻同期処理及びデータ秘匿化のための暗号化処理も行う。
チケット発行システム１０５は、ケルベロス認証方式に従ってユーザのアカウント及びアクセス権を一元的に管理する。また、チケット発行システム１０５は、サーバコンピュータ１０１の共通鍵とクライアントコンピュータ１０３の共通鍵とを保持する。チケット発行システム１０５は、これらの共通鍵によってサーバコンピュータ１０１とクライアントコンピュータ１０３との身元を確認する。チケット発行システム１０５は、ＫＤＣ（Key Distribution Center）又はドメインコントローラーと呼ばれることがある。チケット発行システム１０５は、認証サーバ１０７及びチケット発行サーバ１０９を含んでいる。認証サーバ１０７及びチケット発行サーバ１０９を、一体の装置に設けるようにしてもよい。
認証サーバ１０７は、ケルベロス認証方式におけるユーザ認証を行う。認証サーバ１０７は、ＡＳ（Authentication Server）と呼ばれることもある。
チケット発行サーバ１０９は、クライアントコンピュータ１０３がサーバコンピュータ１０１を利用するためのサービスチケットを発行する。サービスチケットは、クライアントコンピュータ１０３のＩＤ、タイムスタンプ及び有効期限を含んでいる。チケット発行サーバ１０９は、ＴＧＳ（Ticket Granting Server）と呼ばれることもある。
本実施の形態におけるサービスチケットは、クレデンシャルの例である。同じくチケット発行サーバ１０９は、クレデンシャル発行装置の例である。また、同じくチケット発行システム１０５は、クレデンシャル発行システムの例である。
尚、サーバコンピュータ１０１とクライアントコンピュータ１０３とをプリンシパルと呼ぶことがある。また、同一の認証ポリシーが適用されるコンピュータのグループをレルムと呼ぶことがある。この例では、レルムはドメインと一致するものとする。
また、各拠点ＬＡＮには、監視装置１１１が含まれる。監視装置１１１は、例えばポートミラーリング対応のスイッチ又はネットワークタップを介して、ネットワークに接続している。監視装置１１１は、ネットワークを流れるパケットをキャプチャし、パケットを分析することによって、アカウント名が対応付けられたリモート操作のログを生成する。セキュリティセンターＬＡＮには、管理装置１１３が含まれる。管理装置１１３は、所定データがいずれの監視装置１１１に保持されているかを管理する。
拠点ＬＡＮのトポロジーについて説明する。図２に、第１拠点ＬＡＮのトポロジー例を示す。第１拠点ＬＡＮは、ファイアウォール２０３を介して、ネットワークに接続されている。
この例における第１拠点ＬＡＮは、第１セグメントと第２セグメントとに分かれている。第１セグメントと第２セグメントとは、スイッチ２０１を介して接続している。各サーバコンピュータ１０１は、第１セグメントに含まれている。各クライアントコンピュータ１０３は、第２セグメントに含まれている。
認証サーバ１０７及びチケット発行サーバ１０９を含むチケット発行システム１０５は、第１セグメントに含まれる。また、監視装置１１１も、第１セグメントに含まれる。そして、監視装置１１１は、サーバコンピュータ１０１、認証サーバ１０７及びチケット発行サーバ１０９において受信するパケット及びサーバコンピュータ１０１、認証サーバ１０７及びチケット発行サーバ１０９が送信するパケットをキャプチャする。
尚、第２拠点ＬＡＮ以降も、第１拠点ＬＡＮと同様のトポロジーであるものとする。
このような情報処理システムにおいて、リモート操作アクセスの前提となっているアカウントを特定すれば、例えばマルウェアからのアクセスによる諜報活動を阻止することに役立つ。具体的には、諜報活動に係るリモート操作アクセスを検出した場合に、当該リモート操作アクセスの前提となっているアカウントを無効にするなどの対処をとることができる。また、サーバー攻撃を受けた範囲を特定することにも役立つ。以下、本実施の形態における監視について説明する。
図３に、監視対象となるシーケンス例を示す。この例で、クライアントコンピュータ１０３は、第２拠点ＬＡＮのサーバコンピュータ１０１にアクセスして、当該サーバコンピュータ１０１のサービスを利用するものと想定する。この例におけるクライアントコンピュータ１０３が属する拠点ＬＡＮは、任意である。また、クライアントコンピュータ１０３は、第１拠点ＬＡＮにおけるチケット発行システム１０５を用いるものとする。
クライアントコンピュータ１０３は、ケルベロス認証方式におけるユーザ認証（以下、最初の認証という。）のリクエストメッセージを第１拠点ＬＡＮの認証サーバ１０７へ送る（Ｓ３０１）。当該リクエストメッセージは、クライアントコンピュータ１０３のユーザに割り当てられているアカウント名及びパスワードを含んでいる。
第１拠点ＬＡＮの認証サーバ１０７は、当該リクエストメッセージに含まれるアカウント名及びパスワードに基づいて、最初の認証を行う。最初の認証が成功すると、第１拠点ＬＡＮの認証サーバ１０７は、ＴＧＴ（Ticket-granting Ticket）を生成し、ＴＧＴを含む成功のレスポンスメッセージをクライアントコンピュータ１０３へ送る（Ｓ３０３）。ＴＧＴは、サービスチケット発行のためのチケットである。
クライアントコンピュータ１０３は、成功のレスポンスメッセージに含まれるＴＧＴを保管する。クライアントコンピュータ１０３は、第２拠点ＬＡＮのサーバコンピュータ１０１を利用するためのサービスチケット発行のリクエストメッセージを第１拠点ＬＡＮのチケット発行サーバ１０９へ送る（Ｓ３０５）。当該リクエストメッセージには、ＴＧＴ及び第２拠点ＬＡＮのサーバコンピュータ１０１のサーバ名が含まれている。
第１拠点ＬＡＮのチケット発行サーバ１０９は、サービスチケット発行のリクエストメッセージに含まれるＴＧＴを検証する。具体的には、第１拠点ＬＡＮのチケット発行サーバ１０９は、ＴＧＴのタイムスタンプや有効期限を確認し、更に第２拠点ＬＡＮのサーバコンピュータ１０１へのアクセス権を有するユーザであることを確認する。検証が成功すると、Ｓ３０１で認証したユーザが第２拠点ＬＡＮのサーバコンピュータ１０１を利用するためのサービスチケットを生成する。そして、第１拠点ＬＡＮのチケット発行サーバ１０９は、サービスチケットを含むレスポンスメッセージをクライアントコンピュータ１０３へ送る（Ｓ３０７）。当該レスポンスメッセージは、最初の認証で用いられたアカウント名及びサービスチケットの送り先となるサーバ名を含んでいる。
クライアントコンピュータ１０３は、当該レスポンスメッセージを受信すると、ＳＭＢ認証のリクエストメッセージを第２拠点ＬＡＮのサーバコンピュータ１０１へ送る（Ｓ３０９）。当該リクエストメッセージは、サービスチケットを含んでいる。
第２拠点ＬＡＮのサーバコンピュータ１０１は、サービスチケットに基づいてＳＭＢにおけるユーザ認証（以下、ＳＭＢ認証という。）を行う。サービスチケットが正当である場合には、ＳＭＢ認証が成功する。ＳＭＢ認証が成功すると、第２拠点ＬＡＮのサーバコンピュータ１０１は、成功のレスポンスメッセージをクライアントコンピュータ１０３へ送る（Ｓ３１１）。
成功のレスポンスメッセージが送られると、クライアントコンピュータ１０３がリモート操作を行う準備が整う。この例では、クライアントコンピュータ１０３は、ファイルリードのリクエストメッセージを第２拠点ＬＡＮのサーバコンピュータ１０１へ送る（Ｓ３１３）。
第２拠点ＬＡＮのサーバコンピュータ１０１は、当該リクエストメッセージに従って、ファイルを含むレスポンスメッセージをクライアントコンピュータ１０３へ送る（Ｓ３１５）。図３に示したファイルリードは、リモート操作の例であって、他のリモート操作が行われることもある。このようなシーケンスを前提として、第１拠点ＬＡＮの監視装置１１１及び第２拠点ＬＡＮの監視装置１１１は、上述したメッセージに相当するパケットを分析する。
図４Ａに、ネットワーク監視システムのシーケンス例を示す。第１拠点ＬＡＮの監視装置１１１は、図３のＳ３０７に示したサービスチケット発行のレスポンスメッセージをキャプチャする（Ｓ４０１）。第１拠点ＬＡＮの監視装置１１１は、発行ログに発行レコードを登録する（Ｓ４０３）。発行レコードは、発行ログにおけるレコードであって、サービスチケット発行に対応する。発行レコードには、サービスチケット及びアカウント名他が設定される。発行ログについては、図９を用いて後述する。
次に、第１拠点ＬＡＮの監視装置１１１は、発行レコードの所在通知を管理装置１１３に送信する（Ｓ４０５）。発行レコードの所在通知には、要求元識別子、サービス識別子、監視装置識別子及び発行ログファイル名が含まれる。要求元識別子は、チケット発行サーバ１０９に対してサービスチケットを要求した装置の識別子である。本実施の形態における要求元識別子は、要求元のＩＰ（Internet Protocol）アドレスと要求元のポート番号との組である。サービス識別子は、サービスチケットに基づいて利用されるサービスを特定する。本実施の形態におけるサービス識別子は、サーバレルム名とサーバ名との組である。監視装置識別子は、当該サービスチケット発行に関する発行レコードを保持する監視装置１１１を特定する。つまり、当該監視装置識別子は、当該サービスチケット発行のレスポンスメッセージをキャプチャし、分析した監視装置１１１の識別子である。発行ログファイル名は、監視装置１１１で保持されている発行ログのファイル名である。
管理装置１１３は、発行レコードの所在通知を受信すると、当該通知の内容が設定されたレコードを所在テーブルに登録する（Ｓ４０７）。所在テーブルについては、図２６を用いて後述する。管理装置１１３は、所在テーブルにおいて、要求元識別子及びサービス識別子をキーとして、いずれの監視装置１１１に発行レコードが保持されているかを管理する。
次に、第２拠点ＬＡＮの監視装置１１１に関するシーケンスについて、図４Ｂ及び図４Ｃを用いて説明する。第２拠点ＬＡＮの監視装置１１１は、図３のＳ３０９に示したＳＭＢ認証のリクエストメッセージをキャプチャする（Ｓ４０９）。そして、第２拠点ＬＡＮの監視装置１１１は、認証ログにレコードを登録する（Ｓ４１１）。このとき、第２拠点ＬＡＮの監視装置１１１は、ＳＭＢ認証のリクエストメッセージからサービスチケットを抽出し、以下の手順によって、当該サービスチケットが設定されている発行レコードからアカウント名を取得する。
第２拠点ＬＡＮの監視装置１１１は、まず、発行レコードの所在を管理装置１１３に問い合わせる。その後、第２拠点ＬＡＮの監視装置１１１は、発行レコードを保持している監視装置１１１から、サービスチケットに対応するアカウント名を取得する。具体的なシーケンスについて補足する。
第２拠点ＬＡＮの監視装置１１１は、管理装置１１３へ発行レコードの所在問い合わせを送信する（Ｓ４１３）。発行レコードの所在問い合わせは、要求元識別子及びサービス識別子を含んでいる。
管理装置１１３は、発行レコードの所在問い合わせを受信すると、所在テーブルのレコードを探索する（Ｓ４１５）。具体的には、管理装置１１３は、所在テーブルにおいて、当該所在問い合わせに含まれる要求元識別子及びサービス識別子が設定されているレコードを探索する。管理装置１１３は、特定されたレコードに設定されている監視装置識別子及び発行ログファイル名を第２拠点ＬＡＮの監視装置１１１へ送信する（Ｓ４１７）。尚、発行ログファイルが一意に定まる場合には、発行ログファイル名を省くようにしてもよい。以降の処理においても同様である。
第２拠点ＬＡＮの監視装置１１１は、監視装置識別子及び発行ログファイル名を受信すると、監視装置識別子によって特定される第１拠点ＬＡＮの監視装置１１１へアカウント名の問い合わせを送信する（Ｓ４１９）。アカウント名の問い合わせは、サービスチケット及び発行ログファイル名を含んでいる。
第１拠点ＬＡＮの監視装置１１１は、アカウント名の問い合わせを受信すると、発行ログの発行レコードを探索する（Ｓ４２１）。具体的には、第１拠点ＬＡＮの監視装置１１１は、当該問い合わせに含まれる発行ログファイル名によって特定される発行ログにおいて、当該問い合わせに含まれるサービスチケットが設定されているレコードを探索する。第１拠点ＬＡＮの監視装置１１１は、特定されたレコードに設定されているアカウント名他を第２拠点ＬＡＮの監視装置１１１へ送信する（Ｓ４２３）。
認証ログのレコードでは、ＳＢＭ認証のリクエストメッセージにおける送信元（例えば、図３のクライアントコンピュータ１０３）と宛先（例えば、図３の第２拠点ＬＡＮのサーバコンピュータ１０１）とのコネクションにアカウント名を対応付ける。認証ログについては、図１４を用いて後述する。
端子Ａを介して、図４Ｃのシーケンスに移る。認証ログにレコードを登録した後、第２拠点ＬＡＮの監視装置１１１は、図３のＳ３１３に示したファイルリードのリクエストメッセージをキャプチャする（Ｓ４２５）。第２拠点ＬＡＮの監視装置１１１は、操作ログにレコードを登録する（Ｓ４２７）。このとき、第２拠点ＬＡＮの監視装置１１１は、認証ログに基づいて、ファイルリードのリクエストメッセージにおけるコネクションに対応するアカウント名を特定する。そして、操作ログのレコードは、リモート操作の内容と当該アカウント名とを対応付ける。このようにすれば、各リモート操作が如何なるアカウント名に基づいて実行されたかがわかるようになる。以上で、シーケンスについての説明を終える。
続いて、監視装置１１１の動作について説明する。図５に、監視装置１１１のモジュール構成例を示す。監視装置１１１は、第１受信部５０１、第１送信部５０３、キャプチャ部５０５、判別部５０７、第１特定部５０９、第１記録処理部５１１、通知部５１３、第２記録処理部５１５、取得部５１６、第３記録処理部５１７、第４記録処理部５１９、第１探索部５２３、時計部５２５、発行ログ記憶部５３１、コネクション記憶部５３３、認証ログ記憶部５３５、操作ログ記憶部５３７及びパケット格納部５３９を有する。
第１受信部５０１は、各種データを受信する。第１送信部５０３は、各種データを送信する。キャプチャ部５０５は、ネットワークを流れるパケットをキャプチャする。判別部５０７は、パケットの種類を判別する。第１特定部５０９は、コネクション特定処理を実行する。第１記録処理部５１１は、第１記録処理を実行する。第１記録処理では、サービスチケット発行に関するデータが発行ログに記録される。通知部５１３は、発行レコードの所在を通知する。第２記録処理部５１５は、第２記録処理を実行する。第２記録処理では、ＳＭＢ認証に関するデータが認証ログに記録される。取得部５１６は、管理装置１１３に対して、発行レコードの所在を問い合わせる。更に、取得部５１６は、監視装置１１１にアカウント名を問い合わせる。第３記録処理部５１７は、第３記録処理を実行する。第３記録処理では、リモートファイルアクセスに関するデータが操作ログに記録される。第４記録処理部５１９は、第４記録処理を実行する。第４記録処理では、リモートファイルアクセス以外のリモート操作に関するデータが操作ログに記録される。第１探索部５２３は、アカウント名の問い合わせに応じて、サービスチケットを探索する。時計部５２５は、日付及び時刻を計測する。
発行ログ記憶部５３１は、発行ログを記憶する。コネクション記憶部５３３は、コネクションテーブルを記憶する。認証ログ記憶部５３５は、認証ログを記憶する。操作ログ記憶部５３７は、操作ログを記憶する。パケット格納部５３９は、キャプチャしたパケットを格納する。各ログ及びテーブルの詳細については、後述する。
上述した第１受信部５０１、第１送信部５０３、キャプチャ部５０５、判別部５０７、第１特定部５０９、第１記録処理部５１１、通知部５１３、第２記録処理部５１５、取得部５１６、第３記録処理部５１７、第４記録処理部５１９、第１探索部５２３及び時計部５２５は、ハードウエア資源（例えば、図３３）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
上述した発行ログ記憶部５３１、コネクション記憶部５３３、認証ログ記憶部５３５、操作ログ記憶部５３７及びパケット格納部５３９は、ハードウエア資源（例えば、図３３）を用いて実現される。
続いて、監視装置１１１における処理について説明する。図６に、監視装置１１１のメイン処理フローを示す。キャプチャ部５０５は、キャプチャ処理を開始する（Ｓ６０１）。キャプチャ処理で、キャプチャ部５０５は、監視装置１１１とネットワーク（監視装置１１１が属するセグメント）との間に設けられたポートミラーリング対応のスイッチ又はネットワークタップを介して、ネットワークを流れるパケットを取り込む。取り込んだパケットは、パケット格納部５３９に格納される。キャプチャ部５０５は、格納したパケットに、キャプチャした日時を付する。日時は、時計部５２５から得られる。
判別部５０７は、キャプチャしたパケットのうち、未処理のパケットを１つ特定する（Ｓ６０３）。判別部５０７は、例えばキャプチャした順にパケットを特定する。判別部５０７は、処理済みのパケットを破棄するようにしてもよい。未処理のパケットが無い場合に、判別部５０７は、次のパケットがキャプチャされるまで待機する。
判別部５０７は、特定したパケットがケルベロス認証プロトコルのパケットであるか否かを判定する（Ｓ６０５）。具体的には、判別部５０７は、当該パケットに設定されている送信元ポート番号が、ケルベロス認証に割り当てられている番号「８８」である場合に、当該パケットがケルベロス認証プロトコルのパケットであると判定する。当該パケットがケルベロス認証プロトコルのパケットであると判定した場合には、第１記録処理部５１１は、第１記録処理を実行する（Ｓ６０７）。
第１記録処理について説明する前に、第１記録処理部５１１のモジュール構成例について説明する。図７に、第１記録処理部５１１のモジュール構成例を示す。第１記録処理部５１１は、第１設定部７０１及び第１抽出部７０３を有する。
第１設定部７０１は、発行ログの新たなレコードに各種データを設定する。第１抽出部７０３は、ケルベロス認証プロトコルのパケットから各種データを抽出する。
上述した第１設定部７０１及び第１抽出部７０３は、ハードウエア資源（例えば、図３３）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
図８に、第１記録処理フローを示す。第１記録処理部５１１は、発行ログに、新たなレコードを設ける（Ｓ８０１）。
図９に、発行ログの構成例を示す。この例における発行ログは、テーブル形式である。但し、発行ログは、テーブル形式以外の形式であってもよい。この例における発行ログは、サービスチケット発行のレスポンスメッセージに対応するレコードを有している。当該レコードは、日時を設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドと、クライアントレルム名とアカウント名とを設定するためのフィールドと、サーバレルム名とサーバ名とを設定するためのフィールドと、サービスチケットを設定するためのフィールドとを有している。
日時は、当該レスポンスメッセージのパケットをキャプチャした日時である。送信元ＩＰアドレス及び宛先ＩＰアドレスは、当該レスポンスメッセージのＩＰヘッダーから抽出される。送信元ポート番号及び宛先ポート番号は、当該レスポンスメッセージのＴＣＰ（Transmission Control Protocol）ヘッダー又はＵＤＰ（User Datagram Protocol）ヘッダー（以下、ＵＤＰ／ＴＣＰヘッダーと記す。）から抽出される。アカウント名は、サービスチケットを要求したアカウントを識別する。クライアントレルム名は、クライアントコンピュータ１０３が属するレルムを識別する。サーバ名は、サーバコンピュータ１０１を識別する。サーバレルム名は、サーバコンピュータ１０１が属するレルムを識別する。この例では、クライアントレルム名とアカウント名とを一体として記録しているが、クライアントレルム名とアカウント名とを別個に記録するようにしてもよい。同じくサーバレルム名とサーバ名とを一体として記録しているが、サーバレルム名とサーバ名とを別個に記録するようにしてもよい。
図８の説明に戻る。第１設定部７０１は、新たなレコードに、Ｓ６０３で特定したパケットがキャプチャされた日時を設定する（Ｓ８０３）。
第１抽出部７０３は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、第１設定部７０１は、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ８０５）。第１抽出部７０３は、当該パケットのＵＤＰ／ＴＣＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、第１抽出部７０３は、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ８０７）。
第１抽出部７０３は、当該パケットからアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を抽出し、第１設定部７０１は、抽出したアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を、新たなレコードに設定する（Ｓ８０９）。
第１抽出部７０３は、当該パケットからサービスチケットを抽出し、第１設定部７０１は、抽出したサービスチケットを、新たなレコードに設定する（Ｓ８１１）。第１記録処理を終えると、図６に示したメイン処理に復帰する。
図６の説明に戻る。通知部５１３は、発行レコードの所在通知（要求元識別子、サービス識別子、監視装置識別子及び発行ログファイル名を含む。）を生成する（Ｓ６０９）。通知部５１３は、第１送信部５０３を介して発行レコードの所在通知を、管理装置１１３へ送信する（Ｓ６１１）。そして、Ｓ６０３に示した処理に戻って、上述した処理を繰り返す。
Ｓ６０５において、Ｓ６０３で特定したパケットがケルベロス認証プロトコルのパケットではないと判定した場合には、判別部５０７は、当該パケットがＳＭＢプロトコルのパケットであるか否かを判定する（Ｓ６１３）。具体的には、判別部５０７は、当該パケットにプロトコルがＳＭＢであることを示すデータが設定されている場合に、当該パケットがＳＭＢパケットであると判定する。当該パケットがＳＭＢパケットではないと判定した場合には、Ｓ６０３に示した処理に戻って、上述した処理を繰り返す。ＳＭＢパケットとは、ＳＭＢプロトコルによる制御で用いられるパケットのことである。
図１０に、ＳＭＢパケットの構成を示す。図１０に示すように、ＭＡＣ（Media Access Control）ヘッダーには、宛先ＭＡＣアドレスが設定されるフィールドと、送信元ＭＡＣアドレスが設定されるフィールドとが含まれている。送信元ＭＡＣアドレスは、当該パケットを送ったコンピュータのＭＡＣアドレスである。宛先ＭＡＣアドレスは、当該パケットを受けるコンピュータのＭＡＣアドレスである。
また、ＩＰヘッダーには、送信元ＩＰアドレスが設定されるフィールドと、宛先ＩＰアドレスが設定されるフィールドとが含まれている。送信元ＩＰアドレスは、当該パケットを送ったコンピュータのＩＰアドレスである。宛先ＩＰアドレスは、当該パケットを受けるコンピュータのＩＰアドレスである。
ＳＭＢパケットがＴＣＰに従って送られる場合に、当該パケットは、ＴＣＰヘッダーを有する。ＳＭＢパケットがＵＤＰに従って送られる場合に、当該パケットは、ＵＤＰヘッダーを有する。ＴＣＰヘッダー又はＵＤＰヘッダーのいずれの場合であっても、当該ヘッダーには、送信元ポート番号が設定されるフィールドと、宛先ポート番号が設定されるフィールドとが含まれている。送信元ポート番号は、当該パケットを送り出したポートの番号である。宛先ポート番号は、当該パケットを受けるポートの番号である。
尚、この例で、ＮｅｔＢｉｏｓに関するヘッダーは省略する。
ＳＭＢパケットは、ＳＭＢヘッダー及びＳＭＢボディを有する。ＳＭＢヘッダーには、プロトコルが設定されるフィールドと、オペレーションコードが設定されるフィールドと、パイプ名が設定されるフィールドとが含まれている。プロトコルには、ＳＭＢの識別子が設定される。尚、ＳＭＢの識別子は、ＳＭＢのバージョンを含む。オペレーションコードは、ＳＭＢにおけるコマンド（リモート操作に相当する。）の識別子である。パイプ名は、データ伝送形態の一つであるパイプの名前である。パイプ名は、サービスに対して一意に定められている。従って、利用されるサービスは、パイプ名によって特定される。
ＳＭＢヘッダーには、各種の属性データが含まれる。但し、属性項目及び格納位置は、ＳＭＢパケットの種類によって異なる場合がある。ＳＭＢパケットの種類は、オペレーションコードとパイプ名との両方又は一方によって判別される。属性データの例は、後述する。
図６の説明に戻る。Ｓ６１３において、Ｓ６０３で特定したパケットがＳＭＢパケットであると判定した場合には、判別部５０７は、更に、Ｓ６０３で特定したパケットがＳＭＢ認証のリクエストメッセージに該当するか否かを判定する（Ｓ６１５）。具体的には、判別部５０７は、ＳＭＢヘッダーに、ＳＭＢ認証のオペレーションコード（Ｓｅｓｓｉｏｎ確立相当）が設定されている場合に、当該パケットがＳＭＢ認証のリクエストメッセージに該当すると判定する。
当該パケットがＳＭＢ認証のリクエストメッセージに該当すると判定した場合には、第２記録処理部５１５は、第２記録処理を実行する（Ｓ６１７）。
第２記録処理について説明する前に、ＳＭＢ認証のリクエストメッセージの構成及び第２記録処理部５１５のモジュール構成例について説明する。
図１１に、ＳＭＢ認証のリクエストメッセージの例を示す。この例では、ＩＰアドレスによってコンピュータを判別するので、ＭＡＣアドレスについては言及しない。但し、ＭＡＣアドレスによってコンピュータを判別するようにしてもよい。
図１１に示したＳＭＢ認証のリクエストメッセージは、ＩＰアドレス「Ａ10」のコンピュータから、ＩＰアドレス「Ａ30」のコンピュータへ送られたものと想定する。従って、送信元ＩＰアドレスのフィールドには「Ａ10」が設定され、宛先ＩＰアドレスのフィールドには「Ａ30」が設定されている。
当該リクエストメッセージは、宛先のコンピュータにおけるポート番号「Ｐ2」のポートに対して、送信元のコンピュータにおけるポート番号「Ｐ1」のポートから送られたものと想定する。従って、送信元ポート番号のフィールドには「Ｐ1」が設定され、宛先ポート番号のフィールドには「Ｐ2」が設定されている。
この例におけるＳＭＢ認証の手順は、ＳＭＢのバージョン２に準拠するものとする。従って、プロトコルのフィールドには「ＳＭＢ２」が設定されている。オペレーションコードの「ｃｏｄｅ０１」は、認証の要求に相当する。プロバイダーは、認証方式を特定する。プロバイダーは、セキュリティブロブと呼ばれることもある。この例では、「ケルベロス認証方式」が設定されている。尚、プロバイダーに「ＮＴＬＭ（NT LAN Manager）」が設定されていることもあるが、本実施の形態では、ＮＴＬＭによる認証の場合には、ロギングの対象としない。
キャプチャしたパケットに設定されているプロトコルが「ＳＭＢ２」であり、同じくオペレーションコードが「ｃｏｄｅ０１」であるという条件と合致する場合に、当該パケットは、ＳＭＢ認証のリクエストメッセージに該当すると判定される。
図１２に、第２記録処理部５１５のモジュール構成例を示す。第２記録処理部５１５は、第２設定部１２０１、第２抽出部１２０３及び第１判定部１２０５を有する。
第２設定部１２０１は、認証ログの新たなレコードに各種データを設定する。第２抽出部１２０３は、ＳＭＢ認証のリクエストメッセージに該当するパケットから各種データを抽出する。第１判定部１２０５は、ＳＭＢ認証のリクエストメッセージにおけるプロバイダーのフィールドに「ケルベロス認証方式」が設定されているか否かを判定する。
上述した第２設定部１２０１、第２抽出部１２０３及び第１判定部１２０５は、ハードウエア資源（例えば、図３３）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
続いて、第２記録処理について説明する。図１３Ａ及び図１３Ｂに、第２記録処理フローを示す。第１判定部１２０５は、プロバイダーのフィールドに「ケルベロス認証方式」が設定されているか否かを判定する（Ｓ１３０１）。プロバイダーのフィールドに「ケルベロス認証方式」が設定されていないと判定した場合には、第２記録処理を終え、図６に示したＳ６０３の処理に戻って、上述した処理を繰り返す。
Ｓ１３０１において、プロバイダーのフィールドに「ケルベロス認証方式」が設定されていると判定した場合には、第２抽出部１２０３は、要求元識別子及びサービス識別子を抽出する（Ｓ１３０３）。取得部５１６は、発行レコードの所在を問い合わせる（Ｓ１３０５）。具体的には、第１送信部５０３は、発行レコードの所在問い合わせ（要求元識別子及びサービス識別子を含む。）を管理装置１１３へ送信する。取得部５１６は、監視装置識別子及び発行ログファイル名を取得する（Ｓ１３０７）。具体的には、第１受信部５０１は、監視装置識別子及び発行ログファイル名を管理装置１１３から受信する。第２抽出部１２０３は、サービスチケットを抽出する（Ｓ１３０９）。取得部５１６は、アカウント名を問い合わせる（Ｓ１３１１）。具体的には、第１送信部５０３は、アカウント名の問い合わせ（サービスチケット及び発行ログファイル名を含む。）を監視装置識別子で特定される監視装置１１１へ送信する。取得部５１６は、アカウント名、クライアントレルム名、サーバ名及びサーバレルム名を取得する（Ｓ１３１３）。具体的には、第１受信部５０１は、アカウント名、クライアントレルム名、サーバ名及びサーバレルム名を監視装置１１１から受信する。そして、端子Ｂを介して、図１３Ｂに示したＳ１３１５の処理に移る。
図１３Ｂの説明に移る。第２記録処理部５１５は、認証ログに、新たなレコードを設ける（Ｓ１３１５）。
図１４に、認証ログの構成例を示す。この例における認証ログは、テーブル形式である。但し、認証ログは、テーブル形式以外の形式であってもよい。この例における認証ログは、ケルベロス認証方式によるＳＭＢ認証のリクエストメッセージに対応するレコードを有している。当該レコードは、日時を設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドと、コネクションＩＤを設定するためのフィールドと、クライアントレルム名とアカウント名とを設定するためのフィールドと、サーバレルム名とサーバ名とを設定するためのフィールドとを有している。
日時は、当該リクエストメッセージのパケットをキャプチャした日時である。送信元ＩＰアドレス及び宛先ＩＰアドレスは、当該リクエストメッセージのＩＰヘッダーから抽出される。送信元ポート番号及び宛先ポート番号は、当該リクエストメッセージのＴＣＰ／ＵＤＰヘッダーから抽出される。アカウント名は、サービスチケット発行を要求したアカウントを識別する。クライアントレルム名は、クライアントコンピュータ１０３が属するレルムを識別する。サーバ名は、サーバコンピュータ１０１を識別する。サーバレルム名は、サーバコンピュータ１０１が属するレルムを識別する。この例では、クライアントレルム名とアカウント名とを一体として記録しているが、クライアントレルム名とアカウント名とを別個に記録するようにしてもよい。同じくサーバレルム名とサーバ名とを一体として記録しているが、サーバレルム名とサーバ名とを別個に記録するようにしてもよい。
図１３Ｂの説明に戻る。第２設定部１２０１は、新たなレコードに、Ｓ６０３で特定したパケットがキャプチャされた日時を設定する（Ｓ１３１７）。
第２抽出部１２０３は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、第２設定部１２０１は、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ１３１９）。第２抽出部１２０３は、当該パケットのＵＤＰ／ＴＣＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、第２設定部１２０１は、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ１３２１）。
第１特定部５０９は、コネクション特定処理を実行する（Ｓ１３２３）。コネクション特定処理において、第１特定部５０９は、Ｓ６０３で特定したパケットが伝送されるコネクションを特定する。
図１５に、コネクション特定処理フローを示す。第１特定部５０９は、Ｓ１３１９で抽出した送信元ＩＰアドレス、Ｓ１３２１で抽出した送信元ポート番号、Ｓ１３１９で抽出した宛先ＩＰアドレス及びＳ１３２１で抽出した宛先ポート番号の組み合わせと同じ組み合わせが、コネクションテーブルに既に登録されているか否かを判定する（Ｓ１５０１）。
図１６に、コネクションテーブルの構成例を示す。この例におけるコネクションテーブルは、コネクションに対応するレコードを有している。当該レコードは、コネクションＩＤを設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドとを有している。
コネクションＩＤは、コネクションを識別する。コネクションは、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号の組み合わせによって特定される。
図１５の説明に戻る。Ｓ１５０１において、上記組み合わせが、コネクションテーブルに登録されていないと判定した場合には、第１特定部５０９は、コネクションテーブルに新たなレコードを設ける（Ｓ１５０３）。第１特定部５０９は、新たなレコードに新たなコネクションＩＤを割り当てる（Ｓ１５０５）。第１特定部５０９は、Ｓ１３１９で抽出した送信元ＩＰアドレス、Ｓ１３２１で抽出した送信元ポート番号、Ｓ１３１９で抽出した宛先ＩＰアドレス及びＳ１３２１で抽出した宛先ポート番号を、新たなレコードに設定する（Ｓ１５０７）。そして、図１３Ｂに示した第２記録処理に復帰する。この場合には、第２記録処理で、Ｓ１５０５で割り当てられたコネクションＩＤによってコネクションを特定する。
一方、Ｓ１５０１において、上記組み合わせが、コネクションテーブルに登録されていると判定した場合には、第１特定部５０９は、上記組み合わせに対応するコネクションＩＤを特定する（Ｓ１５０９）。そして、図１３Ｂに示した第２記録処理の処理に復帰する。
図１３Ｂの説明に戻る。第２設定部１２０１は、Ｓ１３２３の処理で特定されたコネクションＩＤを、Ｓ１３１５で設けた新たなレコードに設定する（Ｓ１３２５）。
第２設定部１２０１は、図１３ＡのＳ１３１３において取得したアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を新たなレコードに設定する（Ｓ１３２７）。第２記録処理を終えると、図６に示したＳ６０３の処理に戻って、上述した処理を繰り返す。
図６の説明に戻る。Ｓ６１５において、Ｓ６０３で特定したパケットがＳＭＢ認証のリクエストメッセージに該当しないと判定した場合には、判別部５０７は、当該パケットがリモートファイルアクセスのリクエストメッセージに該当するか否かを判定する（Ｓ６１９）。具体的には、判別部５０７は、ＳＭＢヘッダーに、リモートファイルアクセスのオペレーションコード（Ｏｐｅｎ相当）が設定されている場合に、当該パケットが、リモートファイルアクセスのリクエストメッセージに該当すると判定する。尚、リモートファイルアクセスは、複数のリクエストメッセージによって成立する。従って、リモートファイルアクセスの所定シーケンスに従って、「Ｏｐｅｎ相当」が設定されているパケット（以下では、１回目のリクエストメッセージという。）に続くパケット（以下では、２回目のリクエストメッセージという。）もリモートファイルアクセスのリクエストメッセージに該当すると判定する。
図１７に、ファイルリードのリクエストメッセージの例を示す。リモート操作の種類によって、リクエストメッセージの送出が１回で終わる場合と、リモート操作の処理が完了するまでにリクエストメッセージを複数回送出する場合とがある。図１７及び後述する図２１に示す例は、いずれもリクエストメッセージを複数回送出する場合に相当する。
上段に示したファイルリードにおける１回目のリクエストメッセージは、ＩＰアドレス「Ａ10」のコンピュータから、ＩＰアドレス「Ａ30」のコンピュータへ送られたものと想定する。従って、送信元ＩＰアドレスのフィールドには「Ａ10」が設定され、宛先ＩＰアドレスのフィールドには「Ａ30」が設定されている。尚、下段に示したファイルリードにおける２回目のリクエストメッセージの場合も、同様である。
上段に示したファイルリードにおける１回目のリクエストメッセージは、宛先のコンピュータにおけるポート番号「Ｐ2」のポートに対して、送信元のコンピュータにおけるポート番号「Ｐ1」のポートから送られたものと想定する。従って、送信元ポート番号のフィールドには「Ｐ1」が設定され、宛先ポート番号のフィールドには「Ｐ2」が設定されている。尚、下段に示したファイルリードにおける２回目のリクエストメッセージの場合も、同様である。
この例におけるファイルリードの手順は、ＳＭＢのバージョン１に準拠するものとする。従って、プロトコルのフィールドには「ＳＭＢ」が設定されている。
１回目のリクエストメッセージにおけるオペレーションコードの「ｃｏｄｅ０２」は、Ｏｐｅｎ相当を表す。バージョン１のＳＭＢの場合におけるオペレーションコードは、１ｂｙｔｅである。１回目のリクエストメッセージにおけるオペレーションコード「ｃｏｄｅ０２」である場合には、ファイルアクセスの要求であること意味する。２回目のリクエストメッセージにおけるオペレーションコードの「ｃｏｄｅ０３」は、ファイルアクセスの種類がファイルリードであることを示している。
１回目のリクエストメッセージに設定されているオペレーションコードが「ｃｏｄｅ０２」であり、２回目のリクエストメッセージ（１回目のリクエストメッセージと、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号が共通する。）に設定されているオペレーションコードが「ｃｏｄｅ０３」である場合に、これらのリクエストメッセージは、ファイルリードを要求するものであると判定される。尚、ファイルパスは、１回目のリクエストメッセージに設定されている。
図６の説明に戻る。当該パケットがリモートファイルアクセスのリクエストメッセージに該当すると判定した場合には、第３記録処理部５１７は、第３記録処理を実行する（Ｓ６２１）。
第３記録処理について説明する前に、第３記録処理部５１７のモジュール構成について説明する。図１８に、第３記録処理部５１７のモジュール構成例を示す。第３記録処理部５１７は、第３設定部１８０１、第３抽出部１８０３、第２判定部１８０５、第２特定部１８０７及び第２探索部１８０９を有する。
第３設定部１８０１は、操作ログの新たなレコードに各種データを設定する。第３抽出部１８０３は、リモートファイルアクセスのリクエストメッセージに該当するパケットから各種データを抽出する。第２判定部１８０５は、処理対象のパケットが、１回目のリクエストメッセージであるか否かを判定する。第２特定部１８０７は、コマンド名を特定する。第２探索部１８０９は、認証ログにおいて、特定のコネクションＩＤを含むレコードを探索する。
上述した第３設定部１８０１、第３抽出部１８０３、第２判定部１８０５、第２特定部１８０７及び第２探索部１８０９は、ハードウエア資源（例えば、図３３）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
図１９に、第３記録処理フローを示す。第３記録処理では、リモートファイルアクセスに係る１回目のリクエストメッセージ及び２回目のリクエストメッセージに基づくデータを、操作ログに設定する。第２判定部１８０５は、Ｓ６０３で特定したパケットが、オペレーションコードに「Ｏｐｅｎ相当」が設定されているパケット、つまり１回目のリクエストメッセージであるか否かを判定する（Ｓ１９０１）。
当該パケットが、１回目のリクエストメッセージであると判定した場合には、第３記録処理部５１７は、操作ログに新たなレコードを設ける（Ｓ１９０３）。
図２０に、操作ログの構成例を示す。この例における操作ログは、テーブル形式である。但し、操作ログは、テーブル形式以外の形式であってもよい。この例における操作ログは、リモート操作のリクエストメッセージに対応するレコードを有している。当該レコードは、日時を設定するためのフィールドと、送信元ＩＰアドレスを設定するためのフィールドと、送信元ポート番号を設定するためのフィールドと、宛先ＩＰアドレスを設定するためのフィールドと、宛先ポート番号を設定するためのフィールドと、コネクションＩＤを設定するためのフィールドと、コマンド名とオプションとを設定するためのフィールドと、属性データを設定するためのフィールドとを有している。
この例では、属性データを設定するためのフィールドが、クライアントレルム名とアカウント名とを設定するためのフィールドと、サーバレルム名とサーバ名とを設定するためのフィールドと、パス又はアカウント名を設定するためのフィールドに分かれている。但し、他の属性項目を設定するためのフィールドを有するようにしてもよい。また、属性データを設定するためのフィールドを一体として、一又は複数の任意の属性を設定するようにしてもよい。
日時は、当該リクエストメッセージのパケットをキャプチャした日時である。送信元ＩＰアドレス及び宛先ＩＰアドレスは、当該リクエストメッセージのＩＰヘッダーから抽出される。送信元ポート番号及び宛先ポート番号は、当該リクエストメッセージのＴＣＰヘッダーから抽出される。コネクションＩＤは、当該リクエストメッセージが伝送されたコネクションを識別する。コマンド名とオプションとは、リモート操作の内容を示す。オプションは、設定されない場合がある。クライアントレルム名は、クライアントコンピュータ１０３が属するレルムを識別する。サーバ名は、サーバコンピュータ１０１を識別する。サーバレルム名は、サーバコンピュータ１０１が属するレルムを識別する。この例では、クライアントレルム名とアカウント名とを一体として記録しているが、クライアントレルム名とアカウント名とを別個に記録するようにしてもよい。同じくサーバレルム名とサーバ名とを一体として記録しているが、サーバレルム名とサーバ名とを別個に記録するようにしてもよい。この例で、コマンド名が「ファイルリード」である場合には、パス又はアカウント名のフィールドにファイルパスが設定される。同じく、コマンド名が「ユーザ登録」である場合には、パス又はアカウント名のフィールドにアカウント名が設定される。
図１９の説明に戻る。第３設定部１８０１は、新たなレコードに、当該パケットがキャプチャされた日時を設定する（Ｓ１９０５）。
第３抽出部１８０３は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、第３設定部１８０１は、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ１９０７）。更に、第３抽出部１８０３は、当該パケットのＴＣＰヘッダー或いはＵＤＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、第３設定部１８０１は、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ１９０９）。
第１特定部５０９は、コネクションテーブルを参照して、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号の組み合わせに対応するコネクションＩＤを特定する（Ｓ１９１１）。第３設定部１８０１は、新たなレコードに、コネクションＩＤを設定する（Ｓ１９１３）。
第３抽出部１８０３は、当該パケットのＳＭＢヘッダーからファイルパスを抽出し、第３設定部１８０１は、抽出したファイルパスを、新たなレコードにおけるパス又はアカウント名のフィールドに設定する（Ｓ１９１５）。以上で、１回目のリクエストメッセージに基づくデータの設定を終える。そして、一旦図６に示したＳ６０３の処理に戻って、上述した処理を繰り返す。
一方、Ｓ１９０１において、当該パケットが、１回目のリクエストメッセージではないと判定した場合、つまり当該パケットが、２回目のリクエストメッセージである場合には、Ｓ１９１７に示した処理に移る。
第２特定部１８０７は、オペレーションコードに基づいてコマンド名を特定する（Ｓ１９１７）。例えば、オペレーションコードが「ｃｏｄｅ０３」であれば、ファイルリードのコマンドが特定される。第３設定部１８０１は、１回目のリクエストメッセージに基づきデータが設定されているレコードに、特定されたコマンド名を設定する（Ｓ１９１９）。
第２探索部１８０９は、認証ログにおいて、１回目のリクエストメッセージに対するＳ１９１１の処理で特定したコネクションＩＤと同じコネクションＩＤを含むレコードを探索する（Ｓ１９２１）。
第３抽出部１８０３は、探索されたレコードに設定されているアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を抽出し、第３設定部１８０１は、操作ログの新たなレコードに、抽出したアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を設定する（Ｓ１９２３）。第３記録処理を終えると、図６に示したＳ６０３の処理に戻って、上述した処理を繰り返す。
図６の説明に戻る。Ｓ６１９において、Ｓ６０３で特定したパケットがリモートファイルアクセスのリクエストメッセージに該当しないと判定した場合には、判別部５０７は、その他のリモート操作、つまりリモートファイルアクセスを除くリモート操作（以下の図６の説明において、その他のリモート操作という。）のリクエストメッセージに該当するか否かを判定する（Ｓ６２３）。具体的には、判別部５０７は、ＳＭＢヘッダーに設定されているオペレーションコード及びパイプ名の組み合わせ（或いは、オペレーションコード又はパイプ名の一方）が、その他のリモート操作として想定されるいずれかのパターンと一致する場合に、当該パケットがその他のリモート操作のリクエストメッセージに該当すると判定する。
当該パケットがその他のリモート操作のリクエストメッセージに該当すると判定した場合には、第４記録処理部５１９は、第４記録処理を実行する（Ｓ６２５）。
この図２３を用いて後述する第４記録処理の例は、１つのリクエストメッセージによって、その他のリモート操作が成立するものと想定する。但し、その他のリモート操作の中には、リモートファイルアクセスの場合と同様に、複数のリクエストメッセージによって成立するものもある。その場合には、リモートファイルアクセスの場合と同様に、処理を複数回に分ける。つまり、１回目のリクエストメッセージと２回目のリクエストメッセージ（３回目以降のリクエストメッセージを含む場合もある。）を、それぞれ当該その他のリモート操作のリクエストメッセージに該当するものとする。
以下では、ユーザ登録の例について説明する。第４記録処理について説明する前に、ユーザ登録のリクエストメッセージ及び第４記録処理部５１９のモジュール構成について説明する。
図２１に、ユーザ登録のリクエストメッセージの例を示す。上段に示したユーザ登録における１回目のリクエストメッセージは、ＩＰアドレス「Ａ13」のコンピュータから、ＩＰアドレス「Ａ25」のコンピュータへ送られたものと想定する。従って、送信元ＩＰアドレスのフィールドには「Ａ13」が設定され、宛先ＩＰアドレスのフィールドには「Ａ25」が設定されている。尚、下段に示したユーザ登録における２回目のリクエストメッセージの場合も、同様である。
この例におけるユーザ登録の手順は、ＳＭＢのバージョン２に準拠するものとする。従って、プロトコルのフィールドには「ＳＭＢ２」が設定されている。
１回目のリクエストメッセージに設定されているオペレーションコードが「ｃｏｄｅ０４」であり、同じパケットに設定されているパイプ名が「アカウントマネージャパイプ名」であり、且つ２回目のリクエストメッセージ（１回目のリクエストメッセージと、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号が共通する。）に設定されているオペレーションコードが「ｃｏｄｅ０５」である場合に、これらのリクエストメッセージは、ユーザ登録を要求するものであると判定される。尚、バージョン２のＳＭＢの場合におけるオペレーションコードは、２ｂｙｔｅｓである。アカウント名は、２回目のリクエストメッセージに設定されている。
図２２に、第４記録処理部５１９のモジュール構成例を示す。第４記録処理部５１９は、第４設定部２２０１、第４抽出部２２０３、第３特定部２２０５及び第３探索部２２０７を有する。
第４設定部２２０１は、操作ログの新たなレコードに各種データを設定する。第４抽出部２２０３は、リモートファイルアクセス以外のリモート操作のリクエストメッセージに該当するパケットから各種データを抽出する。第３特定部２２０５は、コマンド名を特定する。第３探索部２２０７は、認証ログにおいて、特定のコネクションＩＤを含むレコードを探索する
上述した第４設定部２２０１、第４抽出部２２０３、第３特定部２２０５及び第３探索部２２０７は、ハードウエア資源（例えば、図３３）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
続いて、第４記録処理について説明する。図２３に、第４記録処理フローを示す。第４記録処理部５１９は、操作ログに新たなレコードを設ける（Ｓ２３０１）。第４設定部２２０１は、新たなレコードに、リモートファイルアクセス以外のリモート操作のリクエストメッセージに相当するパケットがキャプチャされた日時を設定する（Ｓ２３０３）。
第４抽出部２２０３は、当該パケットのＩＰヘッダーから送信元ＩＰアドレス及び宛先ＩＰアドレスを抽出し、第４設定部２２０１は、抽出した送信元ＩＰアドレス及び宛先ＩＰアドレスを、新たなレコードに設定する（Ｓ２３０５）。更に、第４抽出部２２０３は、当該パケットのＵＤＰ／ＴＣＰヘッダーから送信元ポート番号及び宛先ポート番号を抽出し、第４設定部２２０１は、抽出した送信元ポート番号及び宛先ポート番号を、新たなレコードに設定する（Ｓ２３０７）。
第１特定部５０９は、コネクションテーブルを参照して、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号の組み合わせに対応するコネクションＩＤを特定する（Ｓ２３０９）。第４設定部２２０１は、新たなレコードに、コネクションＩＤを設定する（Ｓ２３１１）。
第３特定部２２０５は、オペレーションコード及び／又はサービス識別子に基づいてコマンド名を特定する（Ｓ２３１３）。具体的には、第３特定部２２０５は、所定のルールに従って、オペレーションコード及びパイプ名の組み合わせ（或いは、オペレーションコード又はパイプ名の一方）に対応するリモート操作のコマンド名（又は、コマンド名とオプションの組み合わせ）を特定する。
第４設定部２２０１は、特定したコマンド名（又は、コマンド名とオプションの組み合わせ）を、新たなレコードに設定する（Ｓ２３１５）。
尚、１回目のリクエストメッセージと２回目のリクエストメッセージ（３回目以降のリクエストメッセージを含む場合もある。）によって、コマンド名（又は、コマンド名とオプションの組み合わせ）を特定する場合には、第３記録処理の場合と同様に、後続のリクエストメッセージに対する処理を行う段階で、コマンド名（又は、コマンド名とオプションの組み合わせ）を特定する。
第３探索部２２０７は、認証ログにおいて、Ｓ２３０９の処理で特定したコネクションＩＤと同じコネクションＩＤを含むレコードを探索する（Ｓ２３１７）。
第４抽出部２２０３は、探索されたレコードに設定されているアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を抽出し、第４設定部２２０１は、操作ログの新たなレコードに、抽出したアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を設定する（Ｓ２３１９）。
第４抽出部２２０３は、Ｓ２３１３で特定したコマンド名（又は、コマンド名とオプションの組み合わせ）に応じた所定のルールに従って、アカウント名以外の属性データを抽出する。そして、第４設定部２２０１は、抽出した属性データを、新たなレコードの属性データのフィールドに設定する（Ｓ２３２１）。
第４抽出部２２０３は、ＳＭＢボディから属性データを取得するようにしてもよい。また、抽出すべき属性データが無い場合には、Ｓ２３２１の処理を省略するようにしてもよい。
２回目のリクエストメッセージ（３回目以降のリクエストメッセージを含む場合もある。）に抽出すべき属性データが含まれる場合には、後続のリクエストメッセージに対する処理を行う段階で、Ｓ２３２１の処理を行うようにしてもよい。
尚、後続のリクエストメッセージに対しても分析を行う場合には、リクエストメッセージの順位を判別して、各順位に応じた処理を行うようにしてもよい。第４記録処理を終えると、図６に示したＳ６０３の処理に戻って、上述した処理を繰り返す。
図６の説明に戻る。Ｓ６２３において、Ｓ６０３で特定したパケットが、その他のリモート操作のリクエストメッセージに該当しないと判定した場合には、当該パケットはログ対象に該当しないと看做す。従って、そのままＳ６０３に示した処理に戻って、上述した処理を繰り返す。
監視装置１１１は、上述したメイン処理のほかに、他の監視装置１１１からの問い合わせに応じて、アカウント名を探索して回答する処理も行う。この処理を、応答処理という。
図２４に、応答処理フロー例を示す。第１受信部５０１は、アカウント名の問い合わせを受信したか否かを判定する（Ｓ２４０１）。アカウント名の問い合わせを受信していないと判定した場合には、Ｓ２４０１の処理を繰り返す。
一方、アカウント名の問い合わせを受信したと判定した場合には、第１探索部５２３は、発行ログにおいて、アカウント名の問い合わせに含まれるサービスチケットを探索する（Ｓ２４０３）。具体的には、第１探索部５２３は、アカウント名の問い合わせに含まれる発行ログファイル名に基づいて発行ログを特定する。このとき、第１探索部５２３は、所定ファイル名に基づいて発行ログを特定するようにしてもよい。
第１送信部５０３は、探索した結果特定されたレコードのアカウント名、クライアントレルム名、サーバ名及びサーバレルム名を、アカウント名の問い合わせの送信元である監視装置１１１へ送信する（Ｓ２４０５）。そして、Ｓ２４０１に示した処理に戻って、上述した処理を繰り返す。以上で、監視装置１１１の動作についての説明を終える。
続いて、管理装置１１３の動作について説明する。図２５に、管理装置１１３のモジュール構成例を示す。管理装置１１３は、第２受信部２５５１、第２送信部２５５３及び所在管理部２５５５を有する。
第２受信部２５５１は、各種データを受信する。第２送信部２５５３は、各種データを送信する。所在管理部２５５５は、発行レコードの所在を管理する。所在管理部２５５５は、第５設定部２５５７、第４探索部２５５９及び所在テーブル記憶部２５６１を含んでいる。第５設定部２５５７は、所在テーブルのレコードに各種データを設定する。第４探索部２５５９は、所在テーブルにおいて、所在問い合わせに含まれる要求元識別子及びサービス識別子と一致するレコードを探索する。所在テーブル記憶部２５６１は、所在テーブルを記憶する。
上述した第２受信部２５５１、第２送信部２５５３、所在管理部２５５５、第５設定部２５５７、第４探索部２５５９及び所在テーブル記憶部２５６１は、ハードウエア資源（例えば、図３３）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
図２６に、所在テーブルの構成例を示す。この例における所在テーブルは、発行レコードの所在に関するレコードを有している。当該レコードは、日時を設定するためのフィールドと、要求元ＩＰアドレスを設定するためのフィールドと、要求元ポート番号を設定するためのフィールドと、サーバレルム名とサーバ名を設定するためのフィールドと、監視装置ＩＰアドレスを設定するためのフィールドと、発行ログファイル名を設定するためのフィールドとを有している。
要求元ＩＰアドレスは、サービスチケットの発行を要求した装置を識別する。要求元ポート番号は、サービスチケットの発行要求を送出したポートを識別する。サーバレルム名とサーバ名は、サービスチケットが供されるサービスを提供する装置及び当該装置が属するレルムを識別する。監視装置ＩＰアドレスは、発行レコードを保持している監視装置１１１を特定する。発行ログファイル名は、発行レコードを保持しているファイルを識別する。
図２７Ａ及び図２７Ｂに、所在管理処理フローを示す。図２７Ａに示したフローは、発行レコードの所在を受け付ける処理に相当する。まず、第２受信部２５５１は、発行レコードの所在通知を受信したか否かを判定する（Ｓ２７０１）。
発行レコードの所在通知を受信したと判定した場合には、第５設定部２５５７は、所在テーブルに、発行レコードの所在通知に含まれる要求元識別子及びサービス識別子と一致するレコードがあるか否かを判定する（Ｓ２７０３）。
発行レコードの所在通知に含まれる要求元識別子及びサービス識別子と一致するレコードがないと判定した場合には、第５設定部２５５７は、所在テーブルに新たなレコードを設ける（Ｓ２７０５）。そして、第５設定部２５５７は、新たなレコードに、要求元識別子である要求元ＩＰアドレス及び要求元ポート番号を設定する（Ｓ２７０７）。また、第５設定部２５５７は、新たなレコードに、サービス識別子であるサーバレルム名とサーバ名を設定する（Ｓ２７０９）。
更に、第５設定部２５５７は、新たなレコードに、当該所在通知に含まれる監視装置ＩＰアドレスを設定する（Ｓ２７１１）。また、第５設定部２５５７は、新たなレコードに、当該所在通知に含まれる発行ログファイル名を設定する（Ｓ２７１３）。発行ログのファイル名が一意に定まる場合には、Ｓ２７１３の処理を省略するようにしてもよい。そして、端子Ｃを介して、図２７Ｂに示したＳ２７１７の処理に移る。
一方、Ｓ２７０３において、発行レコードの所在通知に含まれる要求元識別子及びサービス識別子と一致するレコードがあると判定した場合には、第５設定部２５５７は、当該レコードを更新対象とする（Ｓ２７１５）。
そして、第５設定部２５５７は、更新対象のレコードに、当該所在通知に含まれる監視装置ＩＰアドレスを設定する（Ｓ２７１１）。また、第５設定部２５５７は、更新対象のレコードに、当該所在通知に含まれる発行ログファイル名を設定する（Ｓ２７１３）。発行ログのファイル名が一意に定まる場合には、Ｓ２７１３の処理を省略するようにしてもよい。その後、端子Ｃを介して、図２７Ｂに示したＳ２７１７の処理に移る。このように、キーが一致する場合に元のレコードに新たなデータを上書きすることによって、レコード数の増加を抑制することができる。
Ｓ２７０１において、発行レコードの所在通知を受信していないと判定した場合にも、端子Ｃを介して、図２７Ｂに示したＳ２７１７の処理に移る。
図２７Ｂの説明に移る。図２７Ｂに示したフローは、発行レコードの所在問合せに応答する処理に相当する。第２受信部２５５１は、発行レコードの所在問い合わせを受信したか否かを判定する（Ｓ２７１７）。
発行レコードの所在問い合わせを受信したと判定した場合には、第４探索部２５５９は、所在テーブルにおいて、当該所在問い合わせに含まれる要求元識別子及びサービス識別子と一致するレコードを探索する（Ｓ２７１９）。つまり、要求元識別子及びサービス識別子の組がキーに相当する。第２送信部２５５３は、探索した結果特定されたレコードに設定されている監視装置識別子及び発行ログファイル名を、当該所在問い合わせの送信元である監視装置１１１へ送信する（Ｓ２７２１）。そして、端子Ｄを介して、図２７ＡのＳ２７０１に示した処理に戻って、上述した処理を繰り返す。
Ｓ２７１７において、発行レコードの所在問い合わせを受信していないと判定した場合にも、端子Ｄを介して、図２７ＡのＳ２７０１に示した処理に戻って、上述した処理を繰り返す。以上で、管理装置１１３の動作についての説明を終える。
本実施の形態によれば、チケット発行サーバ１０９から発行されたサービスチケットに基づくリモート操作を行ったユーザアカウントを特定することができる。例えば、チケット発行サーバ１０９と、サービスチケットが供されるサーバコンピュータ１０１とが別個のネットワークに属する形態においても、サーバコンピュータ１０１に対するリモート操作を行ったユーザアカウントを特定できる面がある。つまり、広い範囲に亘って、ユーザアカウントの特定に役立つ。
また、発行レコードの所在が管理されているので、複数の監視装置１１１からサービスチケットに対応するユーザアカウントを探し出す処理負担が軽くなる。
［実施の形態２］
上述した実施の形態では、要求元識別子が要求元ＩＰアドレス及び要求元ポート番号の組である例について説明したが、要求元識別子において要求元ポート番号を省くようにしても構わない。つまり、要求元識別子は、要求元ＩＰアドレスであってもよい。
本実施の形態の場合、図４ＡのＳ４０５において送信される所在通知に含まれる要求元識別子は、要求元ＩＰアドレスである。同じく、図４ＢのＳ４１３において送信される所在問い合わせに含まれる要求元識別子は、要求元ＩＰアドレスである。
従って、図６のＳ６０９において、発行レコードの所在通知に、要求元識別子として要求元ＩＰアドレスが含められる。そして、図６のＳ６１１において、要求元識別子である要求元ＩＰアドレスを含む発行レコードの所在通知が送信される。
また、図１３ＡのＳ１３０３において、要求元識別子として要求元ＩＰアドレスを抽出する。図１３ＡのＳ１３０５において、要求元識別子として要求元ＩＰアドレスを含む発行レコードの所在問い合わせが送信される。
この場合、図２６に示した所在テーブルのレコードにおいて、要求元ポート番号を設定するためのフィールドを省くようにしてもよい。
図２７ＡのＳ２７０３において、第５設定部２５５７は、発行レコードの所在通知から要求元識別子として要求元ＩＰアドレスを抽出する。そして、第５設定部２５５７は、所在テーブルに、要求元ＩＰアドレス及びサービス識別子と一致するレコードがあるか否かを判定する。また、図２７ＡのＳ２７０７で、要求元ＩＰアドレスが設定され、要求元ポート番号の設定は省かれる。
図２７ＢのＳ２７１９において、第４探索部２５５９は、発行レコードの所在問い合わせから要求元識別子として要求元ＩＰアドレスを抽出する。そして、第４探索部２５５９は、所在テーブルにおいて、抽出された要求元ＩＰアドレス及びサービス識別子と一致するレコードを探索する。
本実施の形態によれば、所在テーブルにおけるレコード数が減るので、所在テーブルにおける探索の処理が速くなる。
［実施の形態３］
上述した実施の形態では、要求元識別子及びサービス識別子の組をキーとして、発行レコードの所在を管理する例について説明したが、キーに発行元識別子を加えるようにしてもよい。本実施の形態では、発行元識別子、要求元識別子及びサービス識別子の組をキーとして、発行レコードの所在を管理する例について説明する。
発行元識別子は、サービスチケットの発行元であるチケット発行サーバ１０９を特定するデータである。発行元識別子は、例えばホスト名であってもよいし、或いはＩＰアドレス又はＭＡＣアドレスであってもよい。本実施の形態は、実施の形態１又は実施の形態２のいずれを基礎としてもよい。つまり、要求元識別子は、要求元ＩＰアドレス及び要求元ポート番号の組であってもよいし、或いは要求元ＩＰアドレスであってもよい。
図２８Ａ及び図２８Ｂに、実施の形態３に係るネットワーク監視システムのシーケンス例を示す。Ｓ４０１及びＳ４０３のステップは、図４Ａの場合と同様である。
本実施の形態では、Ｓ２８０１において送信される所在通知に、発行元識別子、要求元識別子、サービス識別子、監視装置識別子及び発行ログファイル名が含まれる。
そして、Ｓ４０７において、管理装置１１３は、発行元識別子、要求元識別子及びサービス識別子をキーとして、所在テーブルにレコードを登録する。
図２８Ｂの説明に移る。Ｓ４０９のステップは、図４Ｂの場合と同様である。
Ｓ２８０３において送信される所在問い合わせには、発行元識別子、要求元識別子及びサービス識別子が含まれる。
そして、Ｓ４１５において、管理装置１１３は、所在テーブルにおいて、当該所在問い合わせに含まれる発行元識別子、要求元識別子及びサービス識別子が設定されているレコードを探索する。尚、Ｓ４１７乃至Ｓ４２３のステップは、図４Ｂの場合と同様である。また、この後のシーケンスは、実施の形態１の場合（図４Ｃ）と同様である。
図２９に、実施の形態３に係る所在テーブルの構成例を示す。実施の形態３に係る所在テーブルのレコードは、図２６に示した所在テーブルのレコードに含まれるフィールドの他に、発行元識別子を設定するためのフィールドを有している。
図３０に、実施の形態３に係る監視装置１１１のメイン処理フローを示す。Ｓ６０１乃至Ｓ６０７の処理は、実施の形態１の場合（図６）と同様である。
Ｓ３００１において生成される発行レコードの所在通知は、発行元識別子、要求元識別子、サービス識別子、監視装置識別子及び発行ログファイル名を含む。
Ｓ６１１では、発行元識別子、要求元識別子、サービス識別子、監視装置識別子及び発行ログファイル名を含む所在通知が送信される。また、Ｓ６１７では、以下に示す第２記録処理が実行される。
図３１に、実施の形態３に係る第２記録処理フローを示す。Ｓ１３０１の処理は、実施の形態１の場合（図１３Ａ）と同様である。
Ｓ３１０１において、第２抽出部１２０３は、発行元識別子、要求元識別子及びサービス識別子を抽出する。
Ｓ１３０５において、第１送信部５０３は、発行レコードの所在問い合わせ（発行元識別子、要求元識別子及びサービス識別子を含む。）を管理装置１１３へ送信する。
Ｓ１３０７以降の処理は、実施の形態１の場合（図１３Ａ及び図１３Ｂ）と同様である。
図３０に示したその他の処理は、実施の形態１の場合（図６）と同様である。
図３２Ａに、実施の形態３に係る所在管理処理フローを示す。Ｓ２７０１の処理は、実施の形態１の場合（図２７Ａ）と同様である。
Ｓ３２０１において、第５設定部２５５７は、発行レコードの所在通知から発行元識別子、要求元識別子及びサービス識別子を抽出し、当該発行元識別子、要求元識別子及びサービス識別子と一致するレコードがあるか否かを判定する。
当該発行元識別子、要求元識別子及びサービス識別子と一致するレコードがないと判定した場合には、Ｓ２７０５の処理に移る。Ｓ２７０５の処理は、実施の形態１の場合（図２７Ａ）と同様である。一方、当該発行元識別子、要求元識別子及びサービス識別子と一致するレコードがあると判定した場合には、Ｓ２７１５の処理に移る。Ｓ２７１５の処理は、実施の形態１の場合（図２７Ａ）と同様である。
Ｓ２７０５の処理に続いて、第５設定部２５５７は、新たなレコードに、発行レコードの所在通知から抽出された発行元識別子を設定する（Ｓ３２０３）。
Ｓ２７０７乃至Ｓ２７１３の処理は、実施の形態１の場合（図２７Ａ）と同様である。端子Ｅを介して、図３２Ｂに示したＳ２７１７の処理に移る。
図３２Ｂに示したＳ２７１７の処理は、実施の形態１の場合（図２７Ｂ）と同様である。
Ｓ２７１７において発行レコードの所在問い合わせを受信したと判定した場合には、第４探索部２５５９は、所在テーブルにおいて、当該所在問い合わせに含まれる発行元識別子、要求元識別子及びサービス識別子と一致するレコードを探索する（Ｓ３２０５）。
図３２Ｂに示したＳ２７２１の処理は、実施の形態１の場合（図２７Ｂ）と同様である。そして、端子Ｆを介して、図３２Ａに示したＳ２７０１の処理に移る。
一方、Ｓ２７１７において発行レコードの所在問い合わせを受信していないと判定した場合には、そのまま端子Ｆを介して、図３２Ａに示したＳ２７０１の処理に移る。
本実施の形態によれば、例えば１の要求元であるクライアントコンピュータ１０３から複数のチケット発行サーバ１０９に対してサービスチケットの発行が要求される場合でも、ユーザアカウントを問い合わせるべき監視装置１１１を、より正しく特定することができる。
以上本発明の実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上述の機能ブロック構成はプログラムモジュール構成に一致しない場合もある。
また、上で説明した各記憶領域の構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ、処理の順番を入れ替えることや複数の処理を並列に実行させるようにしても良い。
なお、上で述べた監視装置１１１及び管理装置１１３は、コンピュータ装置であって、図３３に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。ネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。
以上述べた本発明の実施の形態をまとめると、以下のようになる。
本実施の形態に係るネットワーク監視システムは、第１監視装置と第２監視装置とを有する。そして、第１監視装置は、（Ａ）クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録する第１記録処理部を有し、第２監視装置は、（Ｂ）リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを第１監視装置から取得する取得部と、（Ｃ）第２通信データと同一の送信元から上記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得したユーザアカウントと対応付けて記録する第２記録処理部とを有する。
このようにすれば、クレデンシャル発行装置から発行されたクレデンシャルに基づくリモート操作を行ったユーザアカウントを特定することができる。例えば、クレデンシャル発行装置とサービス提供装置とが別個のネットワークに属する形態においても、サービス提供装置に対するリモート操作を行ったユーザアカウントを特定できる面がある。
また、ネットワーク監視システムは、第１監視装置を複数有し、更に管理装置を有してもよい。複数の第１監視装置の各々は、第１通信データから抽出された要求元識別データ及びクレデンシャル適用対象を特定するサービス識別データを、当該第１監視装置自身の装置識別データと共に、管理装置に通知する通知部を有するようにしてもよい。管理装置は、通知された要求元識別データ、サービス識別データ及び装置識別データを対応付けて記憶する記憶部を有するようにしてもよい。上記取得部は、第２通信データから抽出された要求元識別データ及びサービス識別データに対応する装置識別データを管理装置から取得し、取得した当該装置識別データに基づいてユーザアカウントの問い合わせ先となる第１監視装置を特定するようにしてもよい。
このようにすれば、複数の第１監視装置から、クレデンシャルに対応するユーザアカウントを探し出す処理負担が軽くなる。
また、ネットワーク監視システムは、第１監視装置を複数有し、更に管理装置を有してもよい。複数の第１監視装置の各々は、第１通信データから抽出されたクレデンシャル発行元の識別データ、要求元識別データ及びクレデンシャル適用対象を特定するサービス識別データを、当該第１監視装置自身の装置識別データと共に、管理装置に通知する通知部を有するようにしてもよい。管理装置は、通知されたクレデンシャル発行元の識別データ、要求元識別データ、サービス識別データ及び装置識別データを対応付けて記憶する記憶部を有するようにしてもよい。上記取得部は、第２通信データから抽出されたクレデンシャル発行元の識別データ、要求元識別データ及びサービス識別データに対応する装置識別データを管理装置から取得し、取得した当該装置識別データに基づいてユーザアカウントの問い合わせ先となる第１監視装置を特定するようにしてもよい。
このようにすれば、例えば１の要求元から複数のクレデンシャル発行装置に対してクレデンシャルの発行が要求される場合でも、第２監視装置においてユーザアカウントを問い合わせるべき第１監視装置を、より正しく特定することができる。
本実施の形態に係るネットワーク監視装置は、（Ｄ）クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録する第１記録処理部と、（Ｅ）リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを他のネットワーク監視装置から取得する取得部と、（Ｆ）第２通信データと同一の送信元から上記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得したユーザアカウントと対応付けて記録する第２記録処理部とを有する。
なお、上で述べた第１監視装置、第２監視装置及びネットワーク監視装置の処理をコンピュータに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納されるようにしてもよい。尚、中間的な処理結果は、一般的にメインメモリ等の記憶装置に一時保管される。
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
（付記１）
第１監視装置と第２監視装置とを有するネットワーク監視システムであって、
前記第１監視装置は、
クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録する第１記録処理部
を有し、
前記第２監視装置は、
リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを前記第１監視装置から取得する取得部と、
前記第２通信データと同一の送信元から前記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得した前記ユーザアカウントと対応付けて記録する第２記録処理部と
を有するネットワーク監視システム。
（付記２）
前記ネットワーク監視システムは、前記第１監視装置を複数有し、更に管理装置を有し、
複数の前記第１監視装置の各々は、
前記第１通信データから抽出された要求元識別データ及びクレデンシャル適用対象を特定するサービス識別データを、当該第１監視装置自身の装置識別データと共に、前記管理装置に通知する通知部
を有し、
前記管理装置は、
通知された前記要求元識別データ、前記サービス識別データ及び前記装置識別データを対応付けて記憶する記憶部
を有し、
前記取得部は、
前記第２通信データから抽出された要求元識別データ及びサービス識別データに対応する装置識別データを前記管理装置から取得し、取得した当該装置識別データに基づいて前記ユーザアカウントの問い合わせ先となる前記第１監視装置を特定する
付記１記載のネットワーク監視システム。
（付記３）
前記ネットワーク監視システムは、前記第１監視装置を複数有し、更に管理装置を有し、
複数の前記第１監視装置の各々は、
前記第１通信データから抽出されたクレデンシャル発行元の識別データ、要求元識別データ及びクレデンシャル適用対象を特定するサービス識別データを、当該第１監視装置自身の装置識別データと共に、前記管理装置に通知する通知部
を有し、
前記管理装置は、
通知された前記クレデンシャル発行元の識別データ、前記要求元識別データ、前記サービス識別データ及び前記装置識別データを対応付けて記憶する記憶部
を有し、
前記取得部は、
前記第２通信データから抽出されたクレデンシャル発行元の識別データ、要求元識別データ及びサービス識別データに対応する装置識別データを前記管理装置から取得し、取得した当該装置識別データに基づいて前記ユーザアカウントの問い合わせ先となる前記第１監視装置を特定する
付記１記載のネットワーク監視システム。
（付記４）
クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録する第１記録処理部と、
リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを他のネットワーク監視装置から取得する取得部と、
前記第２通信データと同一の送信元から前記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得した前記ユーザアカウントと対応付けて記録する第２記録処理部と
を有するネットワーク監視装置。
（付記５）
クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録し、
リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを他のネットワーク監視装置から取得し、
前記第２通信データと同一の送信元から前記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得した前記ユーザアカウントと対応付けて記録する
処理を含み、コンピュータにより実行されるネットワーク監視方法。
（付記６）
クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録し、
リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを他のネットワーク監視装置から取得し、
前記第２通信データと同一の送信元から前記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得した前記ユーザアカウントと対応付けて記録する
処理をコンピュータに実行させるネットワーク監視プログラム。
１０１ サーバコンピュータ １０３ クライアントコンピュータ
１０５ チケット発行システム １０７ 認証サーバ
１０９ チケット発行サーバ １１１ 監視装置
１１３ 管理装置 ２０１ スイッチ
２０３ ファイアウォール ５０１ 第１受信部
５０３ 第１送信部 ５０５ キャプチャ部
５０７ 判別部 ５０９ 第１特定部
５１１ 第１記録処理部 ５１３ 通知部
５１５ 第２記録処理部 ５１６ 取得部
５１７ 第３記録処理部 ５１９ 第４記録処理部
５２３ 第１探索部 ５２５ 時計部
５３１ 発行ログ記憶部 ５３３ コネクション記憶部
５３５ 認証ログ記憶部 ５３７ 操作ログ記憶部
５３９ パケット格納部 ７０１ 第１設定部
７０３ 第１抽出部 １２０１ 第２設定部
１２０３ 第２抽出部 １２０５ 第１判定部
１８０１ 第３設定部 １８０３ 第３抽出部
１８０５ 第２判定部 １８０７ 第２特定部
１８０９ 第２探索部 ２２０１ 第４設定部
２２０３ 第４抽出部 ２２０５ 第３特定部
２２０７ 第３探索部 ２５５１ 第２受信部
２５５３ 第２送信部 ２５５５ 所在管理部
２５５７ 第５設定部 ２５５９ 第４探索部
２５６１ 所在テーブル記憶部

Claims (6)

  1. 第１監視装置と第２監視装置とを有するネットワーク監視システムであって、
    前記第１監視装置は、
    クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録する第１記録処理部
    を有し、
    前記第２監視装置は、
    リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを前記第１監視装置から取得する取得部と、
    前記第２通信データと同一の送信元から前記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得した前記ユーザアカウントと対応付けて記録する第２記録処理部と
    を有するネットワーク監視システム。
  2. 前記ネットワーク監視システムは、前記第１監視装置を複数有し、更に管理装置を有し、
    複数の前記第１監視装置の各々は、
    前記第１通信データから抽出された要求元識別データ及びクレデンシャル適用対象を特定するサービス識別データを、当該第１監視装置自身の装置識別データと共に、前記管理装置に通知する通知部
    を有し、
    前記管理装置は、
    通知された前記要求元識別データ、前記サービス識別データ及び前記装置識別データを対応付けて記憶する記憶部
    を有し、
    前記取得部は、
    前記第２通信データから抽出された要求元識別データ及びサービス識別データに対応する装置識別データを前記管理装置から取得し、取得した当該装置識別データに基づいて前記ユーザアカウントの問い合わせ先となる前記第１監視装置を特定する
    請求項１記載のネットワーク監視システム。
  3. 前記ネットワーク監視システムは、前記第１監視装置を複数有し、更に管理装置を有し、
    複数の前記第１監視装置の各々は、
    前記第１通信データから抽出されたクレデンシャル発行元の識別データ、要求元識別データ及びクレデンシャル適用対象を特定するサービス識別データを、当該第１監視装置自身の装置識別データと共に、前記管理装置に通知する通知部
    を有し、
    前記管理装置は、
    通知された前記クレデンシャル発行元の識別データ、前記要求元識別データ、前記サービス識別データ及び前記装置識別データを対応付けて記憶する記憶部
    を有し、
    前記取得部は、
    前記第２通信データから抽出されたクレデンシャル発行元の識別データ、要求元識別データ及びサービス識別データに対応する装置識別データを前記管理装置から取得し、取得した当該装置識別データに基づいて前記ユーザアカウントの問い合わせ先となる前記第１監視装置を特定する
    請求項１記載のネットワーク監視システム。
  4. クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録する第１記録処理部と、
    リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを他のネットワーク監視装置から取得する取得部と、
    前記第２通信データと同一の送信元から前記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得した前記ユーザアカウントと対応付けて記録する第２記録処理部と
    を有するネットワーク監視装置。
  5. クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録し、
    リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを他のネットワーク監視装置から取得し、
    前記第２通信データと同一の送信元から前記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得した前記ユーザアカウントと対応付けて記録する
    処理を含み、コンピュータにより実行されるネットワーク監視方法。
  6. クレデンシャル発行装置の第１通信データから抽出されたクレデンシャル及び当該クレデンシャルのユーザアカウントを対応付けて記録し、
    リモート操作に応じるサービス提供装置への認証要求に係る第２通信データから抽出されたクレデンシャルに対応するユーザアカウントを他のネットワーク監視装置から取得し、
    前記第２通信データと同一の送信元から前記サービス提供装置へ送られた第３通信データから抽出されたリモート操作データを、取得した前記ユーザアカウントと対応付けて記録する
    処理をコンピュータに実行させるネットワーク監視プログラム。
JP2016129734A 2016-06-30 2016-06-30 ネットワーク監視システム、ネットワーク監視装置、ネットワーク監視方法及びプログラム Active JP6673057B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2016129734A JP6673057B2 (ja) 2016-06-30 2016-06-30 ネットワーク監視システム、ネットワーク監視装置、ネットワーク監視方法及びプログラム
US15/594,926 US10749851B2 (en) 2016-06-30 2017-05-15 Network monitoring method and device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016129734A JP6673057B2 (ja) 2016-06-30 2016-06-30 ネットワーク監視システム、ネットワーク監視装置、ネットワーク監視方法及びプログラム

Publications (2)

Publication Number Publication Date
JP2018005447A true JP2018005447A (ja) 2018-01-11
JP6673057B2 JP6673057B2 (ja) 2020-03-25

Family

ID=60808070

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016129734A Active JP6673057B2 (ja) 2016-06-30 2016-06-30 ネットワーク監視システム、ネットワーク監視装置、ネットワーク監視方法及びプログラム

Country Status (2)

Country Link
US (1) US10749851B2 (ja)
JP (1) JP6673057B2 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021516800A (ja) * 2018-03-27 2021-07-08 オラクル・インターナショナル・コーポレイション マルチテナントアイデンティティクラウドサービスのための地域間信頼
US11652685B2 (en) 2018-04-02 2023-05-16 Oracle International Corporation Data replication conflict detection and resolution for a multi-tenant identity cloud service
US11669321B2 (en) 2019-02-20 2023-06-06 Oracle International Corporation Automated database upgrade for a multi-tenant identity cloud service
JP7395938B2 (ja) 2019-10-09 2023-12-12 富士フイルムビジネスイノベーション株式会社 情報処理装置、情報処理システム及びプログラム

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10979453B2 (en) * 2017-08-31 2021-04-13 International Business Machines Corporation Cyber-deception using network port projection
CN111294375B (zh) * 2018-12-07 2022-11-25 浙江宇视科技有限公司 监控设备连接方法及装置

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7865584B2 (en) * 2006-06-20 2011-01-04 Alcatel Lucent Network service performance monitoring apparatus and methods
US20070294209A1 (en) * 2006-06-20 2007-12-20 Lyle Strub Communication network application activity monitoring and control
US8925052B2 (en) 2006-07-26 2014-12-30 At&T Intellectual Property I, L.P. Application integration
US8239520B2 (en) * 2007-04-05 2012-08-07 Alcatel Lucent Network service operational status monitoring
JP4979127B2 (ja) 2007-08-22 2012-07-18 株式会社日立ソリューションズ アカウント情報漏洩防止サービスシステム
JP5344560B2 (ja) 2008-11-27 2013-11-20 キヤノン株式会社 画像形成装置、ログ記録方法、及びプログラム
US8458323B1 (en) 2009-08-24 2013-06-04 Sprint Communications Company L.P. Associating problem tickets based on an integrated network and customer database
US8595058B2 (en) * 2009-10-15 2013-11-26 Visa U.S.A. Systems and methods to match identifiers
JP5382819B2 (ja) 2011-04-11 2014-01-08 Ｎｅｃエンジニアリング株式会社 ネットワークマネジメントシステム及びサーバ
KR101576632B1 (ko) 2012-11-30 2015-12-10 네이버비즈니스플랫폼 주식회사 불법 접속 탐지 및 처리 시스템, 장치, 방법 및 컴퓨터 판독 가능한 기록 매체
KR101468601B1 (ko) 2014-03-13 2014-12-03 한국전자통신연구원 웹 서버/웹 어플리케이션 서버 보안 관리 장치 및 방법
US9319407B1 (en) 2014-04-18 2016-04-19 Sprint Communications Company L.P. Authentication extension to untrusted devices on an untrusted network
US9967260B1 (en) 2015-01-26 2018-05-08 Microstrategy Incorporated Enhanced authentication security
WO2016178088A2 (en) * 2015-05-07 2016-11-10 Cyber-Ark Software Ltd. Systems and methods for detecting and reacting to malicious activity in computer networks

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021516800A (ja) * 2018-03-27 2021-07-08 オラクル・インターナショナル・コーポレイション マルチテナントアイデンティティクラウドサービスのための地域間信頼
US11652685B2 (en) 2018-04-02 2023-05-16 Oracle International Corporation Data replication conflict detection and resolution for a multi-tenant identity cloud service
US11669321B2 (en) 2019-02-20 2023-06-06 Oracle International Corporation Automated database upgrade for a multi-tenant identity cloud service
JP7395938B2 (ja) 2019-10-09 2023-12-12 富士フイルムビジネスイノベーション株式会社 情報処理装置、情報処理システム及びプログラム

Also Published As

Publication number Publication date
US20180007026A1 (en) 2018-01-04
US10749851B2 (en) 2020-08-18
JP6673057B2 (ja) 2020-03-25

Similar Documents

Publication Publication Date Title
JP6673057B2 (ja) ネットワーク監視システム、ネットワーク監視装置、ネットワーク監視方法及びプログラム
JP6643373B2 (ja) 情報処理システムと、その制御方法とプログラム
JP5614340B2 (ja) システム、認証情報管理方法、およびプログラム
JP5978759B2 (ja) サービス要求装置、サービス提供システム、サービス要求方法およびサービス要求プログラム
US20170257375A1 (en) Systems and Methods for Detecting and Reacting to Malicious Activity in Computer Networks
JP6929181B2 (ja) デバイスと、その制御方法とプログラム
US9185102B2 (en) Server system and control method
US11792008B2 (en) Actively monitoring encrypted traffic by inspecting logs
WO2019062666A1 (zh) 一种实现安全访问内部网络的系统、方法和装置
US8402511B2 (en) LDAPI communication across OS instances
JP6524789B2 (ja) ネットワーク監視方法、ネットワーク監視プログラム及びネットワーク監視装置
WO2009129753A1 (zh) 提高网络身份认证安全性的方法和装置
WO2023065969A1 (zh) 访问控制方法、装置及系统
US11451517B2 (en) Secure and auditable proxy technology using trusted execution environments
JP6565636B2 (ja) ネットワーク監視プログラム、ネットワーク監視方法及びネットワーク監視装置
JP6185934B2 (ja) サーバー・アプリケーションと多数の認証プロバイダーとの統合
JP6266170B2 (ja) ３層セキュリティおよび算出アーキテクチャ
US11177958B2 (en) Protection of authentication tokens
JP7043480B2 (ja) 情報処理システムと、その制御方法とプログラム
JP2014142732A (ja) 権限委譲システム
JP2017027247A (ja) 認証システム及び認証方法
CN117061140A (zh) 一种渗透防御方法和相关装置
Buchmüller et al. Extending an Open-Source Federated Identity Management System for Enhanced HPC Security
JP2015049646A (ja) 情報処理装置、情報処理方法
Rogers Kerberos and SAS® 9.4: A Three-Headed Solution for Authentication

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190311

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20191226

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200114

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200120

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200204

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200217

R150 Certificate of patent or registration of utility model

Ref document number: 6673057

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150