JP2019175045A - Information processing device, information processing method, information processing program, and storage device - Google Patents
Information processing device, information processing method, information processing program, and storage device Download PDFInfo
- Publication number
- JP2019175045A JP2019175045A JP2018061357A JP2018061357A JP2019175045A JP 2019175045 A JP2019175045 A JP 2019175045A JP 2018061357 A JP2018061357 A JP 2018061357A JP 2018061357 A JP2018061357 A JP 2018061357A JP 2019175045 A JP2019175045 A JP 2019175045A
- Authority
- JP
- Japan
- Prior art keywords
- data
- current data
- information processing
- reference data
- threshold
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Retry When Errors Occur (AREA)
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
Abstract
Description
本発明は、情報処理装置、情報処理方法、情報処理プログラム、及び記憶装置に関する。特に、異常データを検出する情報処理装置、情報処理方法、情報処理プログラム、及びこの情報処理を適用した記憶装置に関する。 The present invention relates to an information processing device, an information processing method, an information processing program, and a storage device. In particular, the present invention relates to an information processing device that detects abnormal data, an information processing method, an information processing program, and a storage device to which this information processing is applied.
重複排除機能を有する記憶装置、いわゆるコンテンツアドレスストレージが開発されている。このコンテンツアドレスストレージをバックアップに利用する場合には、更新前のデータと更新後のデータ(すなわち、バックアップ対象データ)の間で重複するブロックを排除することでデータ量の削減を行っている。そのため、コンテンツアドレスストレージでは、バックアップ対象データに関しては、バックアップ対象データ全体を保存する場合と比べて利用する記憶容量が少量で済み、複数世代に渡ってデータを保存することができる。 A storage device having a deduplication function, so-called content address storage, has been developed. When this content address storage is used for backup, the amount of data is reduced by eliminating duplicate blocks between pre-update data and post-update data (that is, backup target data). Therefore, in the content address storage, the backup target data requires less storage capacity than the case where the entire backup target data is stored, and the data can be stored for a plurality of generations.
複数世代に渡ってデータを保存することにより、異常データを検出した際の高い復元力がもたらされる。例えば、バックアップ対象データにウィルス感染を検出した場合であっても、感染前の世代のデータを正常なデータとして復元することができる。 By storing data for multiple generations, high resilience when abnormal data is detected is provided. For example, even when a virus infection is detected in the backup target data, the generation data before the infection can be restored as normal data.
ウィルス感染を検出するための技術としては、例えば、特許文献1に開示されるものがある。具体的には、特許文献1では、更新前のデータとバックアップ対象データの間の差分量が所定の閾値を上回った場合に、バックアップ対象データがウィルスに感染していると判定している。
As a technique for detecting virus infection, for example, there is one disclosed in
以下の分析は、本発明の観点からなされたものである。なお、上記先行技術文献の開示を、本書に引用をもって繰り込むものとする。 The following analysis has been made from the viewpoint of the present invention. The disclosure of the above prior art document is incorporated herein by reference.
コンテンツアドレスストレージを用いたバックアップ機構であっても、正常なデータを復元できないことがある。すなわち、特許文献1に記載の技術では、ウィルスによる閾値未満のデータの改ざんを検出できない。つまり、日々少しずつデータを改ざんするタイプのウィルスに感染していたとしても、ウィルス感染が見過ごされてしまう。
Even with a backup mechanism using content address storage, normal data may not be restored. In other words, the technique described in
このようなタイプのウィルスに感染した状態では、コンテンツアドレスストレージには、ウィルスによる改ざんブロック、すなわち異常データが蓄積される。コンテンツアドレスストレージであっても記憶容量には限度があるため、例えば、古いデータから削除するなどの処理が行われる。ここで、感染前の世代のデータが全て削除された時には、コンテンツアドレスストレージであっても正常なデータを復元できない。 In a state of being infected with such a type of virus, tampered blocks due to viruses, that is, abnormal data are accumulated in the content address storage. Even in the case of content address storage, since the storage capacity is limited, for example, processing such as deletion from old data is performed. Here, when all data of the generation before infection is deleted, normal data cannot be restored even in the content address storage.
そこで、本発明では、異常データを検出するのに貢献する情報処理装置、情報処理方法、情報処理プログラム、及びこの情報処理を適用した記憶装置を提供することを目的とする。 Therefore, an object of the present invention is to provide an information processing device, an information processing method, an information processing program, and a storage device to which this information processing is applied, which contribute to detecting abnormal data.
本発明の第1の視点によれば、
バックアップの対象となる現行データを取得する現行データ取得部と、
複数世代のバックアップデータを記憶する記憶装置から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得部と、
前記現行データと前記基準データとの間の差分値を算出する算出部と、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定部と、
を含む情報処理装置が提供される。
According to the first aspect of the present invention,
A current data acquisition unit for acquiring current data to be backed up;
A reference data acquisition unit that acquires, as reference data, backup data of a generation that is backed by a plurality of generations from the current data from a storage device that stores backup data of multiple generations;
A calculation unit for calculating a difference value between the current data and the reference data;
A determination unit that determines that the current data is abnormal when the difference value is equal to or greater than a first threshold;
Is provided.
本発明の第2の視点によれば、
バックアップの対象となる現行データを取得する現行データ取得ステップと、
複数世代のバックアップデータを記憶する記憶装置から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得ステップと、
前記現行データと前記基準データとの間の差分値を算出する算出ステップと、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定ステップと、
を含む情報処理方法が提供される。
According to a second aspect of the present invention,
A current data acquisition step for acquiring current data to be backed up;
A reference data acquisition step for acquiring, as reference data, backup data of a generation that is backed by multiple generations from the current data from a storage device that stores the backup data of a plurality of generations;
A calculation step of calculating a difference value between the current data and the reference data;
A determination step for determining that the current data is abnormal when the difference value is equal to or greater than a first threshold;
An information processing method is provided.
本発明の第3の視点によれば、
バックアップの対象となる現行データを取得する現行データ取得工程と、
複数世代のバックアップデータを記憶する記憶装置から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得工程と、
前記現行データと前記基準データとの間の差分値を算出する算出工程と、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定工程と、
をコンピュータに実行させる情報処理プログラムが提供される。
According to a third aspect of the present invention,
Current data acquisition process to acquire current data to be backed up,
A reference data acquisition process for acquiring, as reference data, backup data of a generation that is backed by multiple generations from the current data from a storage device that stores multiple generations of backup data;
A calculation step of calculating a difference value between the current data and the reference data;
A determination step of determining that the current data is abnormal when the difference value is equal to or greater than a first threshold;
An information processing program for causing a computer to execute is provided.
本発明の第4の視点によれば、
複数世代のバックアップデータを記憶する記憶部と、
バックアップの対象となる現行データを取得する現行データ取得部と、
前記記憶部から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得部と、
前記現行データと前記基準データとの間の差分値を算出する算出部と、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定部と、
を含む記憶装置が提供される。
According to a fourth aspect of the present invention,
A storage unit for storing multiple generations of backup data;
A current data acquisition unit for acquiring current data to be backed up;
A reference data acquisition unit for acquiring, as reference data, backup data of a generation that is backed by a plurality of generations from the current data, from the storage unit;
A calculation unit for calculating a difference value between the current data and the reference data;
A determination unit that determines that the current data is abnormal when the difference value is equal to or greater than a first threshold;
A storage device is provided.
本発明の各視点によれば、異常データを検出するのに貢献する情報処理装置、情報処理方法、情報処理プログラム、及びこの情報処理を適用した記憶装置が提供される。 According to each aspect of the present invention, an information processing device, an information processing method, an information processing program, and a storage device to which this information processing is applied are provided that contribute to detecting abnormal data.
本発明のとり得る好適な実施形態について図面を参照して詳細に説明する。なお、以下の記載に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。 DESCRIPTION OF EXEMPLARY EMBODIMENTS Preferred embodiments of the invention will be described in detail with reference to the drawings. Note that the reference numerals of the drawings attached to the following description are added for convenience to each element as an example for facilitating understanding, and are not intended to limit the present invention to the illustrated embodiment. In addition, the connection lines between the blocks in each drawing include both bidirectional and unidirectional directions.
先ず、図1に示すモデルを用いて本発明の1つの実施形態について説明する。図1に示すように、本発明の情報処理装置100は、記憶装置200及び端末装置(例えば、PC:personal computer)300と接続される。端末装置300においてデータの作成及び更新が行われ、バックアップデータが記憶装置200に格納される。記憶装置200は、複数世代のバックアップデータを記憶する。図1に示すモデルでは、記憶装置200には、第0世代〜第n−1世代のバックアップデータが既に格納されているものとする。そして、端末装置300において、第n−1世代データに改変を加えた第n世代データが現行データとして作成されたものとする。
First, one embodiment of the present invention will be described using the model shown in FIG. As shown in FIG. 1, the
このようなモデルにおいて、本発明の情報処理装置100は、現行データにウィルスによるデータの改ざんなどの異常が有るか否かを判定する。具体的には、情報処理装置100は、現行データ取得部121、基準データ取得部122、算出部123、判定部124を含む。現行データ取得部121は、端末装置300からバックアップの対象となる現行データを取得する。基準データ取得部122は、記憶装置200から現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する。算出部123は、現行データと基準データとの間の差分値を算出する。そして判定部124は、差分値が第1閾値以上である場合に、現行データに異常が有ると判定する。ここで差分値とは、例えば、現行データと基準データとの間で相違する更新ブロック数、現行データの全体サイズと基準データの全体サイズの差、及び/又は、基準データの全体ブロック数に対する更新ブロック数の比率などである。
In such a model, the
このような情報処理装置100によれば、日々少しずつデータを改ざんするタイプのウィルスの感染を検出することができる。すなわち、上記の特許文献1に記載の技術では、1世代前のデータと現行データの間の差分値に基づいてウィルス感染を判定しており、仮にウィルスに感染していたとしても差分値が閾値未満であればウィルス感染が見過ごされてしまう。これに対して、本発明では数世代遡った世代のバックアップデータと現行データの間の差分値に基づいてウィルス感染を検出している。つまり、本発明では、ウィルスによるデータ改ざんの蓄積が差分値として現れるため、日々少しずつデータを改ざんするタイプのウィルスの感染を検出することができる。
According to such an
以下では本発明のとり得る好適な実施形態について図面を参照して詳細に説明する。 Hereinafter, preferred embodiments of the present invention will be described in detail with reference to the drawings.
[第1の実施形態]
第1の実施形態は図1に示した情報処理装置100について具体的に説明する。
[First Embodiment]
In the first embodiment, the
情報処理装置100は、図1と同様に記憶装置200及び端末装置300と接続される。ここで記憶装置200は、重複排除機能を有するコンテンツアドレスストレージであることが好ましいが、複数世代のバックアップデータを保存することが可能な大容量のストレージであっても良い。端末装置300は、PCなどデータの作成及び更新を行うための装置であれば良い。
The
情報処理装置100は、図2に示すように、記憶部110、処理部120、及び送受信部130を含む。各構成要素は、バス等を介して互いに接続される。
As illustrated in FIG. 2, the
記憶部110は、情報処理装置100全体を制御するためのプログラムなどを記憶するROM(read only memory)、RAM(random access memory)、キャッシュメモリなどである。
The
処理部120は、記憶部110に記憶されたプログラムを読み出して実行するCPU(Central Processing Unit)やチップを含んで構成される。特に、処理部120は、現行データ取得部121、基準データ取得部122、算出部123、判定部124、報知部125、及び格納部126を含む。
The
現行データ取得部121は、バックアップの対象となる現行データを取得する。ここで、現行データは、例えば1日に1回など定期的に端末装置300から取得してもよいし、サーバ(図示しない)からのバックアップ指令と共に受け付けるようにしても良い。
The current
基準データ取得部122は、記憶装置200から、現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する。ここで、基準データは、記憶装置200に記憶されるバックアップデータの内で最古のものであっても良いし、管理者によって指定された世代のものであっても良いし、例えば、10世代前など現行データからの世代数で決定しても良い。
The reference
算出部123は、現行データと基準データとの間の差分値を算出し、判定部124は、差分値が第1閾値以上である場合に、現行データに異常が有ると判定する。
The
ここで差分値とは、異常の検出に有用なものであれば良い。例えば、現行データと基準データとの間で相違するブロックの数、つまり更新ブロック数であっても良い。このケースに関して、ヒトによるデータ更新であれば、現行データと基準データとの間の世代数が多くても、同一箇所を何度も書き換える(つまり更新したブロックを再更新する)など更新ブロック数が蓄積しにくい傾向がある。一方で、データを書き換えるタイプのウィルスは、データを徐々に浸食するなど、更新ブロック数は世代を重ねるごとに蓄積する傾向がある。そのため、更新ブロック数に基づいて、すなわち、質的差分を量的差分に変換、あるいは代表させて差分値とすることで、ヒトによる正常なデータ更新とウィルスによるデータの改ざんとを判別することが可能である。 Here, the difference value may be any value that is useful for detecting an abnormality. For example, the number of blocks that differ between the current data and the reference data, that is, the number of update blocks may be used. In this case, if the data is updated by humans, even if there are many generations between the current data and the reference data, the number of update blocks such as rewriting the same part many times (that is, re-updating the updated block) It tends to be difficult to accumulate. On the other hand, viruses that rewrite data tend to accumulate the number of updated blocks with each generation, such as gradually eroding data. Therefore, based on the number of update blocks, that is, by converting a qualitative difference into a quantitative difference or representing it as a difference value, it is possible to distinguish between normal data update by a human and data falsification by a virus. Is possible.
また、差分値は、現行データの全体サイズと、基準データの全体サイズの差(すなわち、量的差分)であっても良い。このケースに関して、上記のようにヒトによるデータ更新では同一箇所を何度も書き換える作業(つまり、データの全体サイズは不変である)も行われるため、データの全体サイズは増加しにくい傾向がある。一方で、データを追加するタイプのウィルスは、世代を重ねるごとにデータの全体サイズを増加させる。そのため、データの全体サイズの差に基づいて、ヒトによる正常なデータ更新とウィルスによるデータの改ざんとを判別することが可能である。 Further, the difference value may be a difference (that is, a quantitative difference) between the entire size of the current data and the entire size of the reference data. In this case, as described above, the data update by a human also involves the work of rewriting the same portion many times (that is, the total size of the data is unchanged), so that the total size of the data tends not to increase. On the other hand, the type of virus that adds data increases the overall size of the data with each successive generation. Therefore, it is possible to discriminate between normal data update by a human and data alteration by a virus based on the difference in the overall data size.
また、差分値は、基準データの全体ブロック数に対する更新ブロック数の比率であっても良い。一般的にバックアップデータは、数世代に渡ってデータの更新が行われた場合であっても、一定の比率のブロックは未更新である傾向が高い。つまり、ヒトによるデータ更新であれば、基準データの全体ブロック数に対する更新ブロック数の比率は、閾値未満に抑えられる傾向がある。これに対して、ウィルスは、データの内容を考慮せずに浸食を行うため更新ブロック数の比率が閾値以上になる傾向がある。そのため、基準データの全体ブロック数に対する更新ブロック数の比率に基づいて、ヒトによる正常なデータ更新とウィルスによるデータの改ざんとを判別することが可能である。 The difference value may be a ratio of the number of update blocks to the total number of blocks of the reference data. In general, backup data tends to be unupdated in a certain ratio of blocks even when the data has been updated over several generations. In other words, in the case of data updating by humans, the ratio of the number of update blocks to the total number of blocks in the reference data tends to be kept below a threshold value. On the other hand, since virus erodes without considering the contents of data, the ratio of the number of update blocks tends to be equal to or greater than a threshold value. Therefore, it is possible to discriminate between normal data update by a human and data alteration by a virus based on the ratio of the number of update blocks to the total number of blocks in the reference data.
閾値に関しては、データの種類、データの重要度、バックアップの頻度、基準データのプロファイル、ヒトによるデータ更新の傾向など、種々の質的及び/又は量的な要素を勘案して任意に設定することができる。好ましくは、量的差分(増加値)に変換することが好ましい。 The threshold value is arbitrarily set in consideration of various qualitative and / or quantitative factors such as data type, data importance, backup frequency, reference data profile, human data update tendency, etc. Can do. Preferably, it is preferable to convert to a quantitative difference (increase value).
報知部125は、判定部124によって現行データに異常が有ると判定された場合に、例えば、情報処理装置100の管理者、端末装置300のユーザなどにその旨を報知する。報知は、例えば、ディスプレイ上での表示、アラームランプの点灯、メールの送信など、種々の仕様を適用することができる。
When the
格納部126は、判定部124によって現行データに異常が無いと判定された場合に、現行データをバックアップデータとして記憶装置200に格納する。なお、格納部126は、自身が現行データを記憶装置200に格納するのではなく、端末装置300に対して現行データの格納を許容する旨を通知するようにして、端末装置300に現行データの格納を実行させても良い。
When the
送受信部130は、端末装置300などとの間で通信を行うためのインターフェイスである。
The transmission /
以下では、図3を参照しつつ情報処理装置100による一連の処理の流れについて説明する。情報処理装置100は、現行データ及び基準データを取得し(ステップS11)、現行データと基準データとの間の差分値を算出する(ステップS12)。ここで、差分値が第1閾値以上である場合には(ステップS13、Yes)、情報処理装置100は、現行データに異常が有ると判定して情報処理装置100の管理者に対して異常を報知する(ステップS14)。一方で、差分値が第1閾値未満である場合には(ステップS13、No)、情報処理装置100は、現行データを記憶装置200に格納する(ステップS15)。
Hereinafter, a flow of a series of processes performed by the
このように、第1の実施形態の情報処理装置100は、日々少しずつデータを改ざんするタイプのウィルスの感染を検出することができる。
As described above, the
なお、第1の実施形態は、図4に示すように、情報処理装置100と記憶装置200とを統合した、ストレージ装置1000としても実現することが可能である。ここで、記憶部1100は記憶装置200としての機能を有し、処理部1200は情報処理装置100による処理を実行する。
Note that the first embodiment can also be realized as a
また、第1の実施形態は、本発明のプログラムを既存のストレージ装置にインストールして実行させることで実現することが可能である。本発明のプログラムは、ストレージ装置の記憶部に格納され、ストレージ装置のCPUが当プログラムを読み出すことで、現行データ取得部121などの機能部がソフトウェアによって構築される。その結果、本発明のプログラムをインストールしたストレージ装置は、図4と同様の構成を有することになる。
Further, the first embodiment can be realized by installing and executing the program of the present invention in an existing storage apparatus. The program of the present invention is stored in the storage unit of the storage device, and the functional unit such as the current
[第2の実施形態]
第1の実施形態の情報処理装置100において現行データに異常が有ることが検出された時は、記憶装置200には少なくとも1世代の異常データがバックアップデータとして保存されていることになる。そこで第2の実施形態では、記憶装置200に保存された複数世代のバックアップデータの中から異常を有するバックアップデータを特定する機能を備えた情報処理装置100について説明する。なお以下では、第1の実施形態と異なる点について説明する。
[Second Embodiment]
When the
図5に示すように、第2の実施形態の記憶部110は、基準データからの世代数に対応付けて、各世代のバックアップデータが記憶装置200に格納される際に算出部123によって算出された差分値をログとして記憶するログ記憶部111を有する。また、処理部120は、現行データ取得部121、基準データ取得部122、算出部123、判定部124、報知部125、格納部126に加えて、特定部127を更に有する。
As illustrated in FIG. 5, the
特定部127は、判定部124によって現行データに異常が有ると判定された場合に、ログ記憶部111を参照して、第2閾値以上の差分値の増加が連続して表れる世代のバックアップデータを、異常を有するバックアップデータとして特定する。報知部125は、特定部127によって特定された世代のバックアップデータを異常を有するバックアップデータとして情報処理装置100の管理者、端末装置300のユーザなどに報知する。
The identifying
以下では、図6〜8に示すモデルを用いて第2の実施形態について説明する。図6に示すモデルでは、現行データと基準データとの間の更新ブロック数に基づいて異常データを検出するパターンを説明する。図7に示すモデルでは、現行データの全体サイズと、基準データの全体サイズの差(すなわち、データサイズの差)に基づいて異常データを検出するパターンを説明する。そして、図8に示すモデルでは、現行データの全体サイズと、基準データの全体ブロック数に対する更新ブロック数の比率に基づいて異常データを検出するパターンを説明する。 Below, 2nd Embodiment is described using the model shown to FIGS. In the model shown in FIG. 6, a pattern in which abnormal data is detected based on the number of update blocks between current data and reference data will be described. In the model shown in FIG. 7, a pattern for detecting abnormal data based on the difference between the overall size of the current data and the overall size of the reference data (that is, the difference in data size) will be described. In the model shown in FIG. 8, a pattern for detecting abnormal data based on the overall size of the current data and the ratio of the number of updated blocks to the number of blocks of the reference data will be described.
<更新ブロック数によるパターン>
ログ記憶部111は、図6に示すように、基準データからの世代数と、基準データと各世代のバックアップデータとの間の差分値、すなわち更新ブロック数とを対応付けたログデータを記憶する。図6に示すモデルでは、基準データの世代数を「0」とし、現行データの世代数を「n」とする。世代数「1」〜「m−1」ではヒトによる100ブロックの正常なデータ更新が行われ、世代数「m」〜「n」ではウィルスによる100ブロックデータの改ざんが行われたものとする。なお、世代数「0」、「1」、「n」のログは、本来であればログデータに含まれないが、説明の容易化のために追加している。
<Pattern by number of update blocks>
As illustrated in FIG. 6, the
基本的には、ヒトによる正常なデータ更新又はウィルスによるデータの改ざんが行われると、更新ブロック数が蓄積する。つまり、基準データからの世代数が多ければ、更新ブロック数も多くなる。しかしながら、ヒトによるデータ更新であれば同一箇所を何度も書き換える(つまり更新したブロックを再更新する)など更新ブロック数が蓄積しにくい傾向がある(世代数「2」〜「4」を参照)。例えば、世代数「1」と世代数「2」の間では50ブロックが増加しており、ヒトによる100ブロックのデータ更新において、50ブロックの新規更新と50ブロックの再更新が行われたことを意味する。 Basically, when normal data update by a human or data alteration by a virus is performed, the number of update blocks is accumulated. In other words, the greater the number of generations from the reference data, the greater the number of update blocks. However, if the data is updated by humans, the number of updated blocks tends to be difficult to accumulate, such as rewriting the same part many times (that is, re-updating the updated block) (see generation numbers “2” to “4”). . For example, the number of generations “1” and the number of generations “2” are increased by 50 blocks, and in the data update of 100 blocks by humans, 50 blocks are newly updated and 50 blocks are re-updated. means.
これに対し、ウィルスによるデータの改ざんでは、データを徐々に浸食するなど、一定値以上の更新ブロック数の増加が連続する傾向がある(世代数「m」〜「m+2」を参照)。なお、ウィルスがヒトによる更新ブロックを改ざんした場合には更新ブロックの増加には表れないが、ヒトによるデータ更新では一定の比率のブロックが未更新であるため、ウィルスは未更新のブロックを高確率で改ざんする。例えば、世代数「m+1」と世代数「m+2」の間では、90ブロックの未更新ブロックの改ざんと10ブロックの更新ブロックの改ざんとが行われたことを意味するが、これは、更新ブロックの比率が10%程度の時に生じ得る。 On the other hand, when data is altered by a virus, the number of update blocks exceeding a certain value tends to continue, such as eroding data gradually (see generation numbers “m” to “m + 2”). If a virus alters an updated block by a human, it does not appear as an increase in the number of updated blocks. However, since a certain percentage of blocks have not been updated in a human data update, the virus has a high probability of an unupdated block. Tamper with. For example, between the generation number “m + 1” and the generation number “m + 2”, it means that 90 blocks of unupdated blocks and 10 blocks of update blocks have been tampered with. This can occur when the ratio is about 10%.
そして、例えば、判定部124は、基準データ(すなわち、世代数「0」)と現行データ(すなわち、世代数「n」)の間の差分値(すなわち、更新ブロック数)が、第1閾値(例えば、2000)以上であるため、現行データに異常が有ると判定する。ここで、特定部127は、ログデータを参照して、第2閾値(例えば、70)以上の差分値の増加が連続して表れる世代のバックアップデータを、異常を有するバックアップデータとして特定する。上述のように、世代数「m」〜「n−1」のバックアップデータは、ウィルスによる改ざんが行われた異常データであり、第2閾値以上の差分値の増加が連続して表れるため、異常を有するバックアップデータとして特定される。報知部125は、特定部127によって特定された世代のバックアップデータ(すなわち、世代数「m」〜「n−1」のバックアップデータ)を情報処理装置100の管理者、端末装置300のユーザなどに報知する。
For example, the
<データサイズの差によるパターン>
ログ記憶部111は、図7に示すように、基準データからの世代数と、基準データと各世代のバックアップデータとの間の差分値、すなわち、データサイズの差とを対応付けたログデータを記憶する。なお、データ更新などの条件については図6に示すパターンと同様のものとするが、図7のパターンでは、ウィルスは改ざんデータを100ブロックずつ追加するものとする。
<Pattern due to difference in data size>
As shown in FIG. 7, the
ヒトによるデータの入力であってもデータの全体サイズは増大するが、上記のようにヒトによるデータ更新では同一箇所を何度も書き換える作業(つまり、データの全体サイズは不変である)も行われる。そのため、例えば、図7に示す、世代数「2」と世代数「3」の間のように、データサイズの差が不変な更新も行われる。これに対し、ウィルスによるデータの改ざんでは、データの全体サイズは一律的に増加する。 Even if data is input by humans, the overall size of the data increases. However, as described above, updating the data by humans also involves rewriting the same part over and over (that is, the overall size of the data is unchanged). . For this reason, for example, an update in which the difference in data size is unchanged is performed as shown in FIG. 7 between the generation number “2” and the generation number “3”. On the other hand, when the data is altered by a virus, the overall size of the data increases uniformly.
ここで、例えば、判定部124は、基準データ(すなわち、世代数「0」)と現行データ(すなわち、世代数「n」)の間の差分値(すなわち、データサイズの差)が、第1閾値(例えば、1000)以上であるため、現行データに異常が有ると判定する。そして、特定部127は、ログデータを参照して、第2閾値(例えば、50)以上の差分値の増加が連続して表れる世代のバックアップデータを、異常を有するバックアップデータとして特定する。上述のように、世代数「m」〜「n−1」のバックアップデータは、ウィルスによる改ざんが行われた異常データであるが、第2閾値以上の差分値の増加が連続して表れるため、異常を有するバックアップデータとして特定される。報知部125は、特定部127によって特定された世代のバックアップデータ(すなわち、世代数「m」〜「n−1」のバックアップデータ)を情報処理装置100の管理者、端末装置300のユーザなどに報知する。
Here, for example, the
<更新ブロック数の比率によるパターン>
ログ記憶部111は、図8に示すように、基準データからの世代数と、基準データと各世代のバックアップデータとの間の差分値、すなわち、更新ブロック数の比率とを対応付けたログデータを記憶する。なお、データ更新などの条件については図6に示すパターンと同様のものとする。
<Pattern by ratio of number of update blocks>
As shown in FIG. 8, the
ヒトによる正常なデータ更新では、数世代に渡ってデータの更新が行われた場合であっても、一定のブロックは未更新である傾向が高い。例えば、出納を管理するデータでは、出入金額等の値については更新されるが、項目名や出入金額に基づいて利益率などを算出する計算式については更新される傾向が少ない。そのため、ヒトによるデータ更新であれば、基準データの全体ブロック数に対する更新ブロック数の比率は、閾値未満に抑えられる傾向がある。これに対して、ウィルスは、データの内容を考慮せずに浸食を行うため、ウィルスによるデータの改ざんでは、更新ブロック数が一律に増加した結果、更新ブロック数の比率が閾値以上になる傾向がある。 In normal data updating by humans, even when data is updated for several generations, certain blocks tend to be unupdated. For example, in the data for managing the deposit and withdrawal, the value such as the deposit and withdrawal amount is updated, but the calculation formula for calculating the profit rate and the like based on the item name and the deposit and withdrawal amount is less likely to be updated. For this reason, if the data is updated by a human, the ratio of the number of update blocks to the total number of blocks of the reference data tends to be kept below a threshold value. On the other hand, since virus erodes without considering the contents of the data, when the data is altered by the virus, the number of update blocks increases uniformly, and as a result, the ratio of the number of update blocks tends to exceed the threshold. is there.
例えば、図8に示すように、世代数「0」と世代数「1」の間で、出入金額の値がヒトによって更新された場合には、更新ブロック数の比率は増加する。しかしながら、世代数「1」以降の世代で出入金額の値を再更新する場合には、更新したブロックを再更新することになるため、更新ブロック数の比率は増加しない。これに対し、ウィルスによるデータの改ざんでは、出入金額の値以外のデータも改ざんするため、世代数「m」以降では、更新ブロック数の比率が連続して増加する。 For example, as shown in FIG. 8, when the value of the amount of money is updated by a human between the generation number “0” and the generation number “1”, the ratio of the update block number increases. However, when the value of the deposit / withdrawal value is re-updated in the generations after the generation number “1”, the updated block is re-updated, so the ratio of the update block number does not increase. On the other hand, since the data other than the value of the deposit / withdrawal value is altered when the data is altered by the virus, the ratio of the number of update blocks continuously increases after the generation number “m”.
ここで、例えば、判定部124は、基準データ(すなわち、世代数「0」)と現行データ(すなわち、世代数「n」)の間の差分値(すなわち、更新ブロック数の比率)が、第1閾値(例えば、20%)以上であるため、現行データに異常が有ると判定する。そして、特定部127は、ログデータを参照して、第2閾値(例えば、1%)以上の差分値の増加が連続して表れる世代のバックアップデータを、異常を有するバックアップデータとして特定する。報知部125は、特定部127によって特定された世代のバックアップデータ(すなわち、世代数「m」〜「n−1」のバックアップデータ)を情報処理装置100の管理者、端末装置300のユーザなどに報知する。
Here, for example, the
以下では、図9を参照しつつ情報処理装置100による一連の処理の流れについて説明する。情報処理装置100は、現行データ及び基準データを取得し(ステップS21)、現行データと基準データとの間の差分値を算出する(ステップS22)。ここで、差分値が第1閾値以上である場合には(ステップS23、Yes)、情報処理装置100は、異常を有するバックアップデータを特定し(ステップS24)、現行データの異常と、異常を有するバックアップデータを報知する(ステップS25)。一方で、差分値が第1閾値未満である場合には(ステップS23、No)、情報処理装置100は、現行データを記憶装置200に格納する(ステップS26)。
Hereinafter, a flow of a series of processes performed by the
このように、第2の実施形態の情報処理装置100は、記憶装置200に記憶された複数世代のバックアップデータの中から異常を有するバックアップデータを特定することができる。
As described above, the
[第3の実施形態]
第1、第2の実施形態の情報処理装置100では、ヒトによる正常なデータ更新であっても、更新データが蓄積した結果、現行データに異常が有ると判定するエラーが生じる場合がある。そこで、第3の実施形態ではこのようなエラーを排除する機能を有する情報処理装置100について説明する。なお以下では、第1の実施形態と異なる点について説明する。
[Third Embodiment]
In the
図10に示すように、第3の実施形態の記憶部110は、第1閾値を算出する際に用いられる所定の係数を記憶する係数記憶部112を有する。また、処理部120は、現行データ取得部121、基準データ取得部122、算出部123、判定部124、報知部125、格納部126に加えて、閾値設定部128を更に有する。
As illustrated in FIG. 10, the
閾値設定部128は、現行データの時期情報と基準データの時期情報とを取得し、現行データの時期情報と基準データの時期情報との間の差に基づいて算出される値を前記第1閾値として設定する。具体的に一例を挙げると、閾値設定部128は、現行データと基準データの間の世代数差に対して、係数記憶部112に記憶された係数を乗算して得られる乗算値と基礎閾値との合計値を第1閾値として設定する。ここで、現行データと基準データの間の世代数差は、例えば、基準データ以降のバックアップデータの世代数を記憶装置200から通知してもらうことで取得できる。
The
基礎閾値及び係数に関しては、図6に示したモデルを参照しつつ説明する。図6に示したモデルでは、ヒトによる正常なデータ更新が行われた世代(すなわち、世代数「1」〜「m−1」)であっても、1世代あたりに少しずつ更新ブロック数が増加する傾向がある。このような場合に、第1閾値が固定の値であれば、いずれかの世代において更新ブロック数が第1閾値に到達することになる。そのため、閾値設定部128は、第1閾値を現行データと基準データの間の世代数差を考慮した値に設定する。
The basic threshold and coefficient will be described with reference to the model shown in FIG. In the model shown in FIG. 6, the number of update blocks gradually increases per generation even in the generation in which normal data update is performed by humans (that is, the number of generations “1” to “m−1”). Tend to. In such a case, if the first threshold value is a fixed value, the number of update blocks reaches the first threshold value in any generation. Therefore, the
具体的な一例を挙げて説明すると、現行データと基準データとの世代数差が200(つまり、現行データは世代数「200」)であるとする。この場合に、閾値設定部128は、世代数差(200)に対して、1世代あたりに増加するであろう更新ブロック数(10ブロック)を係数として乗算して乗算値(2000)を得る。そして閾値設定部128は、乗算値に対して基礎閾値(例えば、500)を加算して第1閾値(2500)を得る。世代数「200」の現行データは、2100程度の更新ブロック数を有することが推定されるが、第1閾値が2000で固定の第1の実施形態とは異なり、第3の実施形態では第1閾値が2500に設定されるので、現行データは正常であると判定される。
To explain with a specific example, it is assumed that the difference in generation number between the current data and the reference data is 200 (that is, the current data is the generation number “200”). In this case, the
なお、基礎閾値は、ヒトによる1世代あたりのデータ更新の増減の変化を許容する緩衝値である。基礎閾値が高ければデータ更新の増減に対するキャパシティが高くなるが、ウィルスによる改ざんが多数世代に渡るまでウィルス感染を検出できない。一方で、基礎閾値が低ければ現行データに異常が有ると誤って判定するエラーが生じる可能性が高くなる。そのため、基礎閾値は、データの種類、データの重要度などを考慮して設定される。 The basic threshold value is a buffer value that allows a change in increase / decrease in data update per generation by a human. If the basic threshold is high, the capacity for increase / decrease in data update is high, but virus infection cannot be detected until many generations of virus tampering. On the other hand, if the basic threshold value is low, there is a high possibility that an error that erroneously determines that there is an abnormality in the current data will occur. Therefore, the basic threshold is set in consideration of the type of data, the importance of data, and the like.
また、係数は、ヒトによる1世代あたりのデータ更新の増減の変化を考慮した値であることが望ましい。このようなヒトによる1世代あたりのデータ更新の増減の変化は、例えば、一定期間、データ更新に関する情報を収集し、統計的に割り出すことで決定することができる。データ更新に関する情報については、図6〜8に示すログデータを利用することもできる。 The coefficient is preferably a value that takes into account changes in the data update per generation by humans. Such a change in increase / decrease in data update per generation by a human can be determined, for example, by collecting information regarding data update for a certain period and statistically determining it. Log data shown in FIGS. 6 to 8 can be used for information related to data update.
以下では、図11を参照しつつ情報処理装置100による一連の処理の流れについて説明する。情報処理装置100は、現行データ及び基準データを取得し(ステップS31)、現行データと基準データとの間の差分値を算出する(ステップS32)。そして、情報処理装置100は、現行データの時期情報と基準データの時期情報とを取得し、現行データの時期情報と基準データの時期情報との間の差に基づいて算出される値を前記第1閾値として設定する(ステップS33)。ここで、差分値が第1閾値以上である場合には(ステップS34、Yes)、情報処理装置100は、現行データに異常が有ると判定して情報処理装置100の管理者に対して異常を報知する(ステップS35)。一方で、差分値が第1閾値未満である場合には(ステップS34、No)、情報処理装置100は、現行データを記憶装置200に格納する(ステップS36)。
Hereinafter, a flow of a series of processes performed by the
[第3の実施形態の変形例]
上述の第3の実施形態では、現行データと基準データの間の世代数差に対して係数を乗算して得られる乗算値と基礎閾値との合計値を第1閾値として設定する場合について説明した。しかしながら、基準データが格納された時刻と現行データが格納される時刻との間の期間に対して所定の係数を乗算して得られる乗算値と基礎閾値との合計値を前記第1閾値として設定しても良い。
[Modification of Third Embodiment]
In the third embodiment described above, the case has been described in which the sum of the multiplication value obtained by multiplying the generation number difference between the current data and the reference data by the coefficient and the basic threshold is set as the first threshold. . However, the sum of a multiplication value obtained by multiplying a period between the time when the reference data is stored and the time when the current data is stored by a predetermined coefficient and the basic threshold is set as the first threshold. You may do it.
具体的に説明すると、閾値設定部128は、基準データが格納された時刻と現行データが格納される時刻との間の期間に対して、係数記憶部112に記憶された係数を乗算して得られる乗算値と基礎閾値との合計値を第1閾値として設定する。なお、基準データが格納された時刻については、基準データが記憶装置200に格納される際にログとして記憶しておいても良いし、記憶装置200から取得するようにしても良い。また、現行データが格納される時刻については、本発明の処理が行われる時刻が一例として挙げられる。
More specifically, the threshold
このような実施形態では、定期的に表れるデータ更新の増減の変化を考慮した第1閾値を設定することもできる。具体的な一例を挙げると、出納を管理するデータなどは月末に翌月分のデータシートが作成されるなど、1カ月に1度更新ブロック数やデータサイズが増加する定期更新処理が行われる。このような場合には、基準データと現行データの間に月末のバックアップデータを含むか否かによって、更新ブロック数やデータサイズの差が顕著に異なることになる。 In such an embodiment, it is possible to set a first threshold value that takes into account a change in data update that appears periodically. As a specific example, the data for managing the deposit and withdrawal is subjected to a periodic update process in which the number of update blocks and the data size are increased once a month, such as a data sheet for the next month is created at the end of the month. In such a case, the difference in the number of update blocks and the data size differs significantly depending on whether or not the end-of-month backup data is included between the reference data and the current data.
そのため、閾値設定部128は、基準データが格納された時刻と現行データが格納される時刻との間の期間に対して係数記憶部112に記憶された係数を乗算して得られる乗算値と基礎閾値との合計値を第1閾値として設定する。なお、基礎閾値とは、ヒトによる1世代あたりのデータ更新の増減の変化を許容する緩衝値である。ここで、基準データが格納された時刻と現行データが格納される時刻との間の期間に所定イベント(すなわち、月末更新)が含まれていれば、所定イベントによる差分値の増加に相当する所定増加値が基礎閾値に更に加算される。なお、所定イベントとは、例えば定期更新処理であり、所定増加値は、例えば、定期更新処理による更新ブロック数やデータサイズの増加に関する情報を収集して割り出すことができる。
Therefore, the threshold
また、この実施形態では、バックアップが不定期に行われる場合であっても対応することができる。すなわち、バックアップが不定期に行われる場合には、世代数差が同一であっても、更新ブロック数やデータサイズの増加が顕著に異なることがある。このような状況であっても、第1閾値は基準データが格納された時刻と現行データが格納される時刻との間の期間に応じた値に設定されるため、現行データに異常が有ると誤って判定するエラーを抑制することができる。 In this embodiment, it is possible to cope with a case where backup is performed irregularly. That is, when backups are performed irregularly, the number of update blocks and the increase in data size may be significantly different even if the number of generations is the same. Even in such a situation, the first threshold value is set to a value corresponding to the period between the time when the reference data is stored and the time when the current data is stored. It is possible to suppress erroneous determination errors.
上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。 A part or all of the above embodiments can be described as in the following supplementary notes, but is not limited thereto.
(付記1)
バックアップの対象となる現行データを取得する現行データ取得部と、
複数世代のバックアップデータを記憶する記憶装置から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得部と、
前記現行データと前記基準データとの間の差分値を算出する算出部と、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定部と、
を含む情報処理装置。
(付記2)
前記判定部によって異常が無いと判定された現行データをバックアップデータとして前記記憶装置に格納する格納部と、
前記基準データからの世代数に対応付けて、各世代のバックアップデータが前記記憶装置に格納される際に前記算出部によって算出された差分値をログとして記憶するログ記憶部と、
前記判定部によって現行データに異常が有ると判定された場合に、前記ログ記憶部を参照して、第2閾値以上の差分値の増加が連続して表れる世代のバックアップデータを、異常を有するバックアップデータとして特定する特定部と、
を更に含む付記1に記載の情報処理装置。
(付記3)
前記現行データの時期情報と前記基準データの時期情報とを取得し、前記現行データの時期情報と前記基準データの時期情報との間の差に基づいて算出される値を前記第1閾値として設定する閾値設定部、
を更に含む付記1又は2に記載の情報処理装置。
(付記4)
前記閾値設定部は、前記現行データと前記基準データの間の世代数差に対して所定の係数を乗算して得られる乗算値と基礎閾値との合計値を前記第1閾値として設定する、付記3に記載の情報処理装置。
(付記5)
前記基準データが格納された時刻と前記現行データが格納される時刻との間の期間に対して所定の係数を乗算して得られる乗算値と基礎閾値との合計値を前記第1閾値として設定する、付記3に記載の情報処理装置。
(付記6)
前記基準データが格納された時刻と前記現行データが格納される時刻との間の期間に、前記現行データと前記基準データとの間の差分値が増加する所定イベントが含まれる場合には、前記基礎閾値に、前記所定イベントによる差分値の増加に相当する所定増加値を加算する、付記5に記載の情報処理装置。
(付記7)
前記差分値が、前記現行データと前記基準データとの間で相違する更新ブロック数、前記現行データの全体サイズと、前記基準データの全体サイズの差、及び/又は、前記基準データの全体ブロック数に対する更新ブロック数の比率である、
付記1〜6のいずれか1つに記載の情報処理装置。
(付記8)
バックアップの対象となる現行データを取得する現行データ取得ステップと、
複数世代のバックアップデータを記憶する記憶装置から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得ステップと、
前記現行データと前記基準データとの間の差分値を算出する算出ステップと、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定ステップと、
を含む情報処理方法。
(付記9)
バックアップの対象となる現行データを取得する現行データ取得工程と、
複数世代のバックアップデータを記憶する記憶装置から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得工程と、
前記現行データと前記基準データとの間の差分値を算出する算出工程と、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定工程と、
をコンピュータに実行させる情報処理プログラム。
(付記10)
複数世代のバックアップデータを記憶する記憶部と、
バックアップの対象となる現行データを取得する現行データ取得部と、
前記記憶部から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得部と、
前記現行データと前記基準データとの間の差分値を算出する算出部と、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定部と、
を含む記憶装置。
(Appendix 1)
A current data acquisition unit for acquiring current data to be backed up;
A reference data acquisition unit that acquires, as reference data, backup data of a generation that is backed by a plurality of generations from the current data from a storage device that stores backup data of multiple generations;
A calculation unit for calculating a difference value between the current data and the reference data;
A determination unit that determines that the current data is abnormal when the difference value is equal to or greater than a first threshold;
An information processing apparatus including:
(Appendix 2)
A storage unit that stores the current data determined to be normal by the determination unit in the storage device as backup data;
In association with the number of generations from the reference data, a log storage unit that stores, as a log, a difference value calculated by the calculation unit when backup data of each generation is stored in the storage device;
When the determination unit determines that there is an abnormality in the current data, referring to the log storage unit, backup data of a generation in which an increase in the difference value equal to or greater than the second threshold continuously appears is abnormal A specific part identified as data,
The information processing apparatus according to
(Appendix 3)
The time information of the current data and the time information of the reference data are acquired, and a value calculated based on a difference between the time information of the current data and the time information of the reference data is set as the first threshold value A threshold setting unit,
The information processing apparatus according to
(Appendix 4)
The threshold value setting unit sets a total value of a multiplication value obtained by multiplying a generation coefficient difference between the current data and the reference data by a predetermined coefficient and a basic threshold value as the first threshold value. 3. The information processing apparatus according to 3.
(Appendix 5)
A sum of a multiplication value obtained by multiplying a period between the time when the reference data is stored and the time when the current data is stored by a predetermined coefficient and the basic threshold is set as the first threshold. The information processing apparatus according to
(Appendix 6)
When a predetermined event in which a difference value between the current data and the reference data increases is included in a period between the time when the reference data is stored and the time when the current data is stored, The information processing apparatus according to
(Appendix 7)
The difference value is the number of update blocks that differ between the current data and the reference data, the difference between the overall size of the current data and the overall size of the reference data, and / or the total number of blocks of the reference data Is the ratio of the number of update blocks to
The information processing apparatus according to any one of
(Appendix 8)
A current data acquisition step for acquiring current data to be backed up;
A reference data acquisition step for acquiring, as reference data, backup data of a generation that is backed by multiple generations from the current data from a storage device that stores the backup data of a plurality of generations;
A calculation step of calculating a difference value between the current data and the reference data;
A determination step for determining that the current data is abnormal when the difference value is equal to or greater than a first threshold;
An information processing method including:
(Appendix 9)
Current data acquisition process to acquire current data to be backed up,
A reference data acquisition step of acquiring, as reference data, backup data of a generation that is backed by multiple generations from the current data, from a storage device that stores backup data of multiple generations;
A calculation step of calculating a difference value between the current data and the reference data;
A determination step of determining that the current data is abnormal when the difference value is equal to or greater than a first threshold;
An information processing program that causes a computer to execute.
(Appendix 10)
A storage unit for storing multiple generations of backup data;
A current data acquisition unit for acquiring current data to be backed up;
A reference data acquisition unit for acquiring, as reference data, backup data of a generation that is backed by a plurality of generations from the current data, from the storage unit;
A calculation unit for calculating a difference value between the current data and the reference data;
A determination unit that determines that the current data is abnormal when the difference value is equal to or greater than a first threshold;
Including a storage device.
なお、上記の特許文献の開示を、本書に引用をもって繰り込むものとする。本発明の全開示(請求の範囲を含む)の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素(各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む)の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。 The disclosure of the above patent document is incorporated herein by reference. Within the scope of the entire disclosure (including claims) of the present invention, the embodiments and examples can be changed and adjusted based on the basic technical concept. Further, various combinations or selections of various disclosed elements (including each element of each claim, each element of each embodiment or example, each element of each drawing, etc.) within the scope of the claims of the present invention. Is possible. That is, the present invention of course includes various variations and modifications that could be made by those skilled in the art according to the entire disclosure including the claims and the technical idea.
100 情報処理装置
110 記憶部
111 ログ記憶部
112 係数記憶部
120 処理部
121 現行データ取得部
122 基準データ取得部
123 算出部
124 判定部
125 報知部
126 格納部
127 特定部
128 閾値設定部
200 記憶装置
300 端末装置
1000 ストレージ装置
1100 記憶部
1200 処理部
DESCRIPTION OF
Claims (10)
複数世代のバックアップデータを記憶する記憶装置から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得部と、
前記現行データと前記基準データとの間の差分値を算出する算出部と、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定部と、
を含む情報処理装置。 A current data acquisition unit for acquiring current data to be backed up;
A reference data acquisition unit that acquires, as reference data, backup data of a generation that is backed by a plurality of generations from the current data from a storage device that stores backup data of multiple generations;
A calculation unit for calculating a difference value between the current data and the reference data;
A determination unit that determines that the current data is abnormal when the difference value is equal to or greater than a first threshold;
An information processing apparatus including:
前記基準データからの世代数に対応付けて、各世代のバックアップデータが前記記憶装置に格納される際に前記算出部によって算出された差分値をログとして記憶するログ記憶部と、
前記判定部によって現行データに異常が有ると判定された場合に、前記ログ記憶部を参照して、第2閾値以上の差分値の増加が連続して表れる世代のバックアップデータを、異常を有するバックアップデータとして特定する特定部と、
を更に含む請求項1に記載の情報処理装置。 A storage unit that stores the current data determined to be normal by the determination unit in the storage device as backup data;
In association with the number of generations from the reference data, a log storage unit that stores, as a log, a difference value calculated by the calculation unit when backup data of each generation is stored in the storage device;
When the determination unit determines that there is an abnormality in the current data, referring to the log storage unit, backup data of a generation in which an increase in the difference value equal to or greater than the second threshold continuously appears is abnormal A specific part identified as data,
The information processing apparatus according to claim 1, further comprising:
を更に含む請求項1又は2に記載の情報処理装置。 The time information of the current data and the time information of the reference data are acquired, and a value calculated based on a difference between the time information of the current data and the time information of the reference data is set as the first threshold value A threshold setting unit,
The information processing apparatus according to claim 1, further comprising:
請求項1〜6のいずれか1項に記載の情報処理装置。 The difference value is the number of update blocks that differ between the current data and the reference data, the difference between the overall size of the current data and the overall size of the reference data, and / or the total number of blocks of the reference data Is the ratio of the number of update blocks to
The information processing apparatus according to claim 1.
複数世代のバックアップデータを記憶する記憶装置から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得ステップと、
前記現行データと前記基準データとの間の差分値を算出する算出ステップと、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定ステップと、
を含む情報処理方法。 A current data acquisition step for acquiring current data to be backed up;
A reference data acquisition step for acquiring, as reference data, backup data of a generation that is backed by multiple generations from the current data from a storage device that stores the backup data of a plurality of generations;
A calculation step of calculating a difference value between the current data and the reference data;
A determination step for determining that the current data is abnormal when the difference value is equal to or greater than a first threshold;
An information processing method including:
複数世代のバックアップデータを記憶する記憶装置から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得工程と、
前記現行データと前記基準データとの間の差分値を算出する算出工程と、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定工程と、
をコンピュータに実行させる情報処理プログラム。 Current data acquisition process to acquire current data to be backed up,
A reference data acquisition process for acquiring, as reference data, backup data of a generation that is backed by multiple generations from the current data from a storage device that stores multiple generations of backup data;
A calculation step of calculating a difference value between the current data and the reference data;
A determination step of determining that the current data is abnormal when the difference value is equal to or greater than a first threshold;
An information processing program that causes a computer to execute.
バックアップの対象となる現行データを取得する現行データ取得部と、
前記記憶部から、前記現行データよりも複数世代遡った世代のバックアップデータを基準データとして取得する基準データ取得部と、
前記現行データと前記基準データとの間の差分値を算出する算出部と、
前記差分値が第1閾値以上である場合に、現行データに異常が有ると判定する判定部と、
を含む記憶装置。 A storage unit for storing multiple generations of backup data;
A current data acquisition unit for acquiring current data to be backed up;
A reference data acquisition unit for acquiring, as reference data, backup data of a generation that is backed by a plurality of generations from the current data, from the storage unit;
A calculation unit for calculating a difference value between the current data and the reference data;
A determination unit that determines that the current data is abnormal when the difference value is equal to or greater than a first threshold;
Including a storage device.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2018061357A JP7087544B2 (en) | 2018-03-28 | 2018-03-28 | Information processing device, information processing method, information processing program, and storage device |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2018061357A JP7087544B2 (en) | 2018-03-28 | 2018-03-28 | Information processing device, information processing method, information processing program, and storage device |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2019175045A true JP2019175045A (en) | 2019-10-10 |
JP7087544B2 JP7087544B2 (en) | 2022-06-21 |
Family
ID=68168887
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2018061357A Active JP7087544B2 (en) | 2018-03-28 | 2018-03-28 | Information processing device, information processing method, information processing program, and storage device |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP7087544B2 (en) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN112527566A (en) * | 2020-12-24 | 2021-03-19 | 广东芬尼科技股份有限公司 | Equipment power-down operation parameter read-write abnormity protection method, system and storage medium |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2009048557A (en) * | 2007-08-22 | 2009-03-05 | Mitsubishi Electric Corp | Data update device, data update method, and data update program |
JP2009116773A (en) * | 2007-11-09 | 2009-05-28 | Hitachi Ltd | Backup executability judging system |
-
2018
- 2018-03-28 JP JP2018061357A patent/JP7087544B2/en active Active
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2009048557A (en) * | 2007-08-22 | 2009-03-05 | Mitsubishi Electric Corp | Data update device, data update method, and data update program |
JP2009116773A (en) * | 2007-11-09 | 2009-05-28 | Hitachi Ltd | Backup executability judging system |
Non-Patent Citations (1)
Title |
---|
木田将: "ウィンドウズXP極楽講座 XPインターフェース探訪記 ウィンドウズXP時代の「ブリーフケース」活用法", WINDOWS START, vol. 第10巻 第5号, JPN6022000538, 29 March 2005 (2005-03-29), JP, pages 178 - 179, ISSN: 0004679007 * |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN112527566A (en) * | 2020-12-24 | 2021-03-19 | 广东芬尼科技股份有限公司 | Equipment power-down operation parameter read-write abnormity protection method, system and storage medium |
CN112527566B (en) * | 2020-12-24 | 2023-11-21 | 广东芬尼科技股份有限公司 | Method, system and storage medium for protecting read-write abnormality of equipment power-down operation parameters |
Also Published As
Publication number | Publication date |
---|---|
JP7087544B2 (en) | 2022-06-21 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP6048038B2 (en) | Information processing apparatus, program, and information processing method | |
US20120089572A1 (en) | Automated and self-adjusting data protection driven by business and data activity events | |
JP4573179B2 (en) | Performance load abnormality detection system, performance load abnormality detection method, and program | |
US8918606B1 (en) | Techniques for providing incremental backups | |
CN105573859A (en) | Data recovery method and device of database | |
US9569313B1 (en) | Method and apparatus for optimizing a backup chain using synthetic backups | |
JPWO2008012903A1 (en) | System management program, system management apparatus, and system management method | |
EP3779701B1 (en) | Data monitoring method, electronic device, and computer readable storage medium | |
CN110222039B (en) | Data storage and garbage data cleaning method, device, equipment and storage medium | |
CN107832403B (en) | Directory file management method and device, electronic terminal and readable storage medium | |
CN110046505B (en) | Container security reinforcement method, system and storage medium | |
JP5623557B2 (en) | Method, apparatus, and computer program in a multi-threaded computing environment for collecting diagnostic data | |
JP2019175045A (en) | Information processing device, information processing method, information processing program, and storage device | |
US20170213142A1 (en) | System and method for incident root cause analysis | |
CN110457953B (en) | Method and device for detecting integrity of file | |
JP2008033778A (en) | Computer system, database restoration method, and database restoration program | |
KR101595936B1 (en) | Optimization method, optimization server and computer readable recording medium for providing service with vaccine and optimization functions | |
US11949710B2 (en) | System and method for efficient early indication of ransomware attack for damage prevention and control | |
US9183388B2 (en) | Injustice detecting system, injustice detecting device and injustice detecting method | |
US8478954B2 (en) | Prioritizing subgroups in a consistency group | |
JP5487914B2 (en) | Operation information management system, operation information management method, operation information management program | |
JP5231035B2 (en) | Job processing system and job processing method | |
CN113485872A (en) | Fault processing method and device and distributed storage system | |
JP2019086880A (en) | Log file control program, log file control device and log file control method | |
JP2013235408A (en) | Log management system, log management server, and program |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20210202 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20211213 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20220111 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20220308 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220510 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220523 |
|
R151 | Written notification of patent or utility model registration |
Ref document number: 7087544 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |