JP2022553498A - イベント・ログの改竄耐性 - Google Patents

Abstract

【課題】 イベント・ログの改竄耐性【解決手段】 実施例は、プロセッサにより、コンピュータにより実行されたイベントに応答して第１のイベント・レコードを生成すること、及びプロセッサにより、生成された第１のイベント・レコードに応答して第１の改竄耐性レコードを生成することについて記載する。改竄耐性レコードは、第１のイベント・レコードに少なくとも部分的に基づいて生成される第１の署名と、第１のイベント・レコードに少なくとも部分的に基づいて生成される第２の署名とを含む。側面は、また、第１のイベント・レコードの改竄を検出するための要求に応じて、第１の改竄耐性レコード内の第１の署名及び第２の署名に基づいて第１のイベント・レコードを確認することを含む。【選択図】

Description

本発明は、イベント・ロガーにより生成された記録を保護することに関し、より具体的には、イベント・ログ処理のインフラ基盤に影響を与えることなく、既存のイベント・ロガーにより生成された記録を保護することに関する。

サーバと言ったシステムにおいては、イベント・ロガーは、サーバの操作に関連するシステム・イベントといったイベントに対応するイベント・レコードを記録する。企業は、規制コンプライアンスの部分として、ログされたイベント・レコードを監査することができる。コンプライアンスに対し、監査は、イベント・レコードの内容が未修正で残されていること、若しくは如何なる変更でも追跡されたことを確認しなければならない可能性がある。

本出願を通じて実施例は、既存のイベント・ロギング・システムにおける改竄耐性に関する技術的問題に対する技術的なソリューションを提供し、イベント・レコードを含む既存のログ・データを使用する既存のワークフロー及びシステムを企業が維持し易くする。提供される技術的なソリューションは、イベント・ロギング・システムの機能を改善する。

本発明は、請求項１において方法を提供し、対応するシステム及びコンピュータ・プログラムは、それぞれ請求項９及び１０において請求される。

実施例は、以下の図面及び説明を参照してより理解されるであろう。図面のコンポーネントは、スケール通りである必要はない。さらに図面において、類似の参照符号は、図面の全体を通して対応する部分を指定する。

図１は、本明細書の教示の実施において使用するシステムを示す。 図２は、実施形態による改竄耐性のある記録を含むイベント・ログを示す。 図３Ａは、実施形態による多数の署名を有する改竄耐性の記録を含むイベント・ログを示す。 図３Ｂは、もう１つの実施形態による多数の署名を有する改竄耐性のレコードを含むイベント・ログを示す。 図４は、例示的実施形態による改竄耐性のレコードを生成するための方法を示す。 図５は、実施形態による多数の署名を有する改竄耐性のレコードのイネーブル化することを示す。 図６は、実施形態による多数の署名を有する改竄耐性のレコードのディセーブル化することを示す。

追加的な特徴及び効果は、技術的ソリューションの技術、実施例、及び本明細書で説明される側面を通じて実現される。

イベント・ロギング・システムにより生成されたログ・データを使用する既存のワークフローを維持しながら、改竄耐性の追加的機能により、既存のイベント・ロギング・システムを増強する技術が記載される。本明細書を通じて説明される実施例は、生成されたログ・データを修正することなくログ・データの改竄耐性を容易にする。イベント・レコードのために生成された改竄耐性データは、もう１つのイベント・レコードとして格納され、かつ改竄耐性のデータは、多数の署名を含む。イベント・レコードが改竄されたか否かを監査するために、イベント・レコードは、他の記録と比較することができる。この他の記録は、他の操作の間には迂回させることができる。したがって、既存のイベント・ロギング・システムが既存のワークフローが使用するワークフローを修正するコストを要求すること無しに、規制コンプライアンスのための改竄耐性を提供するように改善することができる。加えて、イベント・ロギング・システムの安全レベルは、改竄耐性の記録において多数の異なる署名を使用することにより、改善することができる。例示的な実施形態においては、イベント・ロギング・システムは、署名データを管理するように構成され、それぞれの署名に伴う追加のメタデータ及びそれぞれの署名内に含まれる異なるペイロードを含む。追加的に、イベント・ロギング・システムは、影響を受けていない署名を使用して署名データを確認する能力を維持しながら、イベント・ログに追加されたデータについて個別的な署名を動的にイネーブル又はディセーブルするように構成することができる。

図１は、実施例のシステム１００を示す。システム１００は、サーバ・コンピュータなどといったコンピュータとすることができる。システム１００は、他のコンポーネントの中でも、プロセッサ１１０、メモリ１２０、ユーザ・インタフェース１５０及び通信インタフェース１７０を含むことができる。

プロセッサ１１０は、システム１００にインストールされたオペレーティング・システム、制御命令及びアプリケーションの実行のための責任のある中央プロセッサとすることができる。プロセッサ１１０は、論理を実行するために操作可能な１つ又はそれ以上のデバイスとすることができる。論理は、プロセッサ１１０により実行された場合にプロセッサ１１０をしてロジックにより実装された特徴を実行するため、メモリ１２０又はその他のメモリ内に実体化されたコンピュータ実行可能な命令又はコンピュータ・コードを含むことができる。コンピュータ・コードは、プロセッサ１１０で実行可能な命令を含むことができる。コンピュータ・コードは、埋め込まれた論理を含むことができる。コンピュータ・コードは、現在知られ、又は今後発見される、Ｃ＋＋、Ｃ＃、ＪＡＶＡ（登録商標）、Ｐａｓｃａｌ、Ｖｉｓｕａ Ｂａｓｉｃ、Ｐｅｒｌ、Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｕｐ Ｌｕｎｇｕａｇｅ（ＨＴＭＬ）、Ｊａｖａ（登録商標）Ｓｃｒｉｐｔ、アセンブラ語、シェル・シュクリプト、又はこれらの如何なる組み合わせといった、如何なるコンピュータ言語においても記述することができる。コンピュータ・コードは、ソース・コード又はコンパイル済みコードを含むことができる。プロセッサ１１０は、汎用プロセッサ、中央処理ユニット、サーバ、特定用途集積回路（ＡＳＩＣ）、デジタル信号プロセッサ、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、デジタル回路、アナログ回路、又はこれらの組み合わせとすることができる。プロセッサ１１０は、システム１００のメモリ１２０及び他のコンポーネントと通信することができる。１実施例においては、プロセッサ１１０は、また、ユーザ・インタフェース１５０及び通信インタフェース１７０といった追加的な要素と通信することができる。

メモリ１２０は、非過渡的なコンピュータ記録媒体である。メモリ１２０は、ＤＲＡＭ、ＳＲＡＭ、フラッシュ、又は如何なる他のタイプのメモリ、又はこれらの組み合わせとすることができる。メモリ１２０は、プロセッサ１１０により実行可能なオペレーティング・システム１２２及びアプリケーション１２５を格納することができる。オペレーティング・システム１２２及びアプリケーション１２５は、システム１００の製造者、プロバイダ、又はエンド・ユーザによりメモリ１２０上に格納することができる。メモリ１２０は、イメージ、ビデオ、ドキュメント、スプレッドシート、オーディオ・ファイル及びシステム１００の操作に関連する可能性のある他のデータを含むことができる。例えば、メモリ１２０は、イベント・レコード・ログ１２７を格納するために使用することができる。

ユーザ・インタフェース１５０は、ディスプレイ、スピーカ、キーボード、マウス、又はユーザ相互作用を容易にする如何なる他のコンポーネントでも含むことができる。ユーザ・インタフェース１５０は、代替的に又は追加的にユーザ相互作用を容易にすることができるマイクロホン、又は如何なる他のコンポーネントとすることができる。ユーザ・インタフェース１５０は、プロセッサ、メモリ、通信インタフェース、集積回路、アンテナ、抵抗、キャパシタ、及び如何なる他のハードウェア・コンポーネントといった回路とすることができる。ユーザ・インタフェース１５０は、また、ソフトウェアを含む。例えば、ユーザ・インタフェース１３０は、メモリ上に格納することができる命令又はデータ又はそれら両方を含むことができる。命令又はデータ又はそれらの両方は、ユーザ・インタフェース１５０の操作を制御することができる。命令は、コンピュータ実行可能である。データは、ユーザ・インタフェース１５０に関連するパラメータ又は事前設定の状態を含むことができる。

イベント・レコード・ログ１２７は、１つ又はそれ以上のイベント・レコード１３０ａ－１３０ｘを含む。イベント・レコードは、システム１００の操作を記述するデータ記録である。オペレーティング・システム１２２は、プロセッサ１１０を使用して操作が開始され、又は完了され、又はそれらの両方に応答して、イベント・レコードを記録する。例えば、イベントは、システム１００のスタートアップ・イベント、ファイル生成イベント、ファイル・コピー・イベント、ユーザ・ログイン・イベント、又はオペレーティング・システム１２２が検出できる如何なる他のイベントとすることができる。オペレーティング・システム１２２は、事前決定されたタイプのイベントを検出するように構成することができる。例えば、オペレーティング・システム１２２は、ファイル生成イベント、ファイル・コピー・イベント、ファイル移動イベント、ファイル削除イベント、ファイル修正イベント、又は如何なる他のファイル・イベントといった、“ファイル”・タイプ・イベントを検出するように構成することができる。追加的に又は代替的に、オペレーティング・システム１２２は、ユーザ・ログイン・イベント、ユーザ・ログアウト・イベント、ユーザ・プロファイル変更イベント、及び他のユーザ・イベントといった“ユーザ”・タイプ・イベントを検出するように構成することができる。他のイベント・タイプも可能であり、上記のものは、まさしく数少ない実施例である。

イベント・レコードは、事前決定されたフォーマットを使用して格納される。例えば、イベント・レコードは、ヘッダ及びペイロードを含むことができる。ペイロードは、対応するイベントの記述を含む。例えば、対応するイベントがファイル・イベントの場合、ペイロードは、ファイル識別、ファイル・ロケーション、実行された操作の表示及びイベントを記述する他の情報を含む。例示的な実施形態においては、ヘッダは、ペイロード長、タイムスタンプなど、ペイロードを記述するメタデータを含む。イベント・レコードは、ファイルとすることができる。代替的にイベント・レコードは、ログ・ストリームといったファイル又はストリーム内のエントリとすることができる。

イベント・レコード・ログ１２７は、システム１００の操作を確認するために使用される。例えば、オペレーティング・システム１２２は、システム管理機能（System Management Facilities:SMF)を含むことができる。ＳＭＦエンタープライズは、イベント・レコード・ログ１２７を使用して、規制コンプライアンスを表示する。例えば、コンプライアンスのため、システム１００は、事前決定されたやり方で操作を実行することができる。ＳＭＦは、アプリケーション・プログラミング・インタフェース（ＡＰＩ）を介してというように、イベント・ログ１２７への問合せを容易にして、システム１００が操作の事前決定されたやり方を遵守したことを保証する。この点において、ＳＭＦ又はシステム監査は、事前決定されたイベント・レコードのフォーマットに従って操作する。このため、事前決定されたフォーマットの修正は、システム監査及びＳＭＦをして、現在の操作をできなくする。

規制コンプライアンスは、ＳＭＦがイベント・レコード・ログ１２７内のイベント・レコードが改竄されていないことを保証することにおいて重要なものとする。そのような改竄耐性のレコードの追加は、本明細書において説明するように、ＳＭＦ及びシステム監査の修正を引き起こすので、追加的なコストをもたらす。本明細書にわたって説明する実施例は、この技術的問題に対する技術的ソリューションを提供する。

図２は、改竄耐性レコード２００を含むイベント・レコード・ログ１２７の実施例を示す。例えば、プロセッサ１１０は、イベント・レコード１３０ａを生成することができる。これに応答してオペレーティング・システム１２２は、追加的に、イベント・レコード１３０ａについて改竄耐性情報を含むメタデータを生成することができる。オペレーティング・システム１２２は、本明細書において改竄耐性レコード２００として参照される別のイベント・レコードとして、改竄耐性情報を記録するか、又はフォーマット化する。オペレーティング・システム１２２は、続いてイベント・レコード・ログ１２７に改竄耐性レコード２００を記録することができる。したがって、プロセッサは、イベント・レコードに、イベント・レコード１３０ａの改竄耐性情報を含む別のレコードを挿入することができる。改竄耐性レコード２００は、イベント・レコードと同一の、事前決定されたフォーマットを使用することができる。

例えば、図２に示されるように、改竄耐性レコード２００は、ヘッダ２１０、メタデータ２１５、及びペイロード２２０を含む。例示的な実施形態においては、ペイロード２２０は、対応するイベント・レコード１３０ａについての少なくとも２つのデジタル的な署名を含む。デジタル的な署名は、対応するイベント・レコード１３０ａの信頼性を表す。実施例においては、デジタル的な署名は、非対称暗号化又は如何なる他のタイプの暗号化技術を使用するといったように、暗号化される。例えば、それぞれのデジタル的な署名は、イベント・レコード１３０ａのコンテンツ、秘密鍵、公開鍵、タイムスタンプ、又はイベント・レコード１３０ａに関連するイベントの他の情報に基づくことができる。実施例においては、イベント・レコード１３０ａのコンテンツは、暗号化前にハッシュ・スキームを使用してハッシュ化することができる。イベント・レコード１３０ａを確認するため、オペレーティング・システム１２２は、ペイロード２２０内のデジタル的な署名を復号して、抽出されたデータをイベント・レコード１３０ａのコンテンツと比較する。ヘッダ２１０は、ペイロード２２０の長さ又はタイムスタンプを含む。メタデータ２１５は、ペイロード２２０が典型的なイベント・レコードの場合のようなイベントの記述ではなく、改竄耐性情報を含むことを示す識別子を含む。追加的に、メタデータ２１５は、デジタル的な署名が用いた暗号化タイプといったペイロード２２０を生成する際に使用されたデジタル的な署名に関する情報を含む。

実施例においては、オペレーティング・システム１２２は、イベント・レコード１３０ａといった単一のイベント・レコードに改竄耐性レコード２００を関連付けることができる。例えば、ヘッダ２１０は、イベント・レコード１３０ａの空間的参照を含むことができる。空間的参照は、イベント・レコード１３０ａのメモリ・ロケーションとすることができる。代替的に、又は追加的に、空間的参照は、改竄耐性レコード２００と、対応するイベント・レコード１３０ａとの間の空間的関係とすることができる。例えば、空間的関係は、複数のレコードのメモリ・ロケーションに基づいて事前決定することができる。このような場合において、第１のイベント・レコードの空間的参照は、事前決定された関係に基づいて暗黙的に識別され、第２のイベント・レコードのメモリ・ロケーションは、このために改竄耐性レコードにおける空間的参照を明示的に保存することを避けることはない。

したがって、空間的参照は、明示的に格納されるか、又は暗黙的にするかの何れかである。これが明示的である場合、第１のイベント・レコード１３０ａのロケーションは、改竄耐性レコード２００内に格納される。ロケーションは、メモリ又はファイル内の第１のイベント・レコードのロケーションとすることができる。空間的参照が暗黙的である場合、これはメモリ又はファイル内のデータに関連する。システム１００は、第１のイベント・レコード１３０ａと、改竄耐性レコード２００との間の事前決定された空間的関係を使用することができる。例えば、事前決定された空間的関係にしたがって、第１のイベント・レコード１３０ａは、その間に他のレコードを有することなく改竄耐性レコード２００に先行することができる。代替的に、事前決定された空間的関係は、第１のイベント・レコード１３０ａと、改竄耐性レコード２００との間において第１のイベント・レコード１３０ａと同一のタイプの他のイベント・レコードを許容する。実施例においては、他のイベント・レコードは、改竄耐性レコード２００のペイロード２２０である改竄耐性データに含まれていない。

実施例においては、オペレーティング・システム１２２は、改竄耐性レコード２００を、イベント・レコード１３０ａ～１３０ｘというように、イベント・レコード・ログ１２７内の１つ以上のイベント・レコードと関連付けることができる。このため、ヘッダ２１０は、改竄耐性レコード２００に関連するそれぞれのイベント・レコードの空間的参照を含むことができる。追加的に、ヘッダ２１０又はメタデータ２１５は、改竄耐性レコード２００が関連づけられた多数のイベント・レコード及びペイロード２２０内に含まれるそれぞれのデジタル的な署名の各々の長さを含むことができる。実施例においては、オペレーティング・システム１２２は、改竄耐性レコード２００をイベント・ログ１２７内の事前決定された数の連続するイベント・レコードに関連付けることができる。例えば、改竄耐性レコード２００は、イベント・ログ１２７内の５つの連続するレコード、又は１０の連続するイベント・レコード、又は事前決定された如何なる他の数のイベント・レコードにでも関連付けることができる。代替的に、又は追加的に、改竄耐性レコード２００に関連付けられるイベント・レコードの数は、改竄耐性レコード２００が関連付けられる事前決定されたメモリ領域内に格納されるイベント・レコードの数に基づいて、動的に決定することができる。ヘッダ２１０内の空間参照は、改竄耐性レコード２００に関連づけられる事前決定されたメモリ領域を識別することができる。

他の実施例では、オペレーティング・システム１２２は、改竄耐性レコード２００を、ファイル・タイプ・イベント、ユーザ・タイプ・イベント、又は如何なる他のイベント・タイプといった、選択されたタイプのイベントに関連付けることができる。例えば、改竄耐性レコード２００が、ファイル・タイプ・イベントに関連付けられることを想定すると、オペレーティング・システム１２２は、オペレーティング・システム１２２は、イベント・レコード１３０ａを改竄耐性レコード２００に関連付けることができる。改竄耐性レコード２００のヘッダ２１０は、そのような場合、改竄耐性レコード２００に関連付けられたイベント・レコードのタイプの識別子を含むことができる。上記の実施例においては、ヘッダ２１０は、ファイル・タイプ・イベントの識別子を含むことができる。オペレーティング・システム１２２は、それぞれのファイル・タイプ・イベントのレコードを、改竄耐性レコード２００に関連付けることができる。

さらにもう１つの実施例においては、オペレーティング・システム１２２は、改竄耐性レコード２００を、同一タイプの連続するイベント・レコードのセットに関連付けることができる。連続的なイベント・レコードのセット内のイベント・レコードのメモリ・ロケーションは、改竄耐性レコード２００に先行することができ、また逆も可能である。例えば、同一タイプの１つ又はそれ以上の連続するイベントが検出されることに応答して、オペレーティング・システム１２２は、改竄耐性レコード２００を生成すると共に対応するイベントについて生成されたイベント・レコードに関連付ける。例えば、オペレーティング・システム１２２は、同一タイプの第１のイベント・レコード１３０ａ及び第２のイベント・レコード１３０ｂを生成することができる。この場合、オペレーティング・システム１２２は、第１のイベント・レコード１３０ａ及び第２のイベント・レコード１３０ｂに関連する改竄耐性レコード２００を生成することができる。他の実施形態では、改竄耐性レコード２００は、同一タイプの２つ以上のイベント・レコードに関連付けることができる。

例示的な実施形態においては、改竄耐性レコード内のデジタル的な署名は、イベント・レコード・データのみをカバーするように、又は改竄耐性レコード内のメタデータ又はヘッダといったデータをカバーするように構成することができる。本明細書において使用するように、用語、カバーは、デジタル的な署名を生成するために使用されるデータを意味する。言い換えれば、署名を生成するために使用されるデータが、カバーされ、かつ署名生成処理に使用されないデータは、カバーされず、又は未カバーである。改竄耐性レコード内に格納される第２のデジタル的な署名を生成する場合、データについて、両方の署名又は１つの署名だけでカバーされるデータについて考慮されなければならない。

図３Ａに示す実施形態のような１つの実施形態においては、改竄耐性レコード内のデジタル的な署名は、イベント・レコード・データをカバーするのみであり（すなわち、署名によって改竄耐性情報はカバーされない。）、２つのデジタル的な署名によりデータをカバーすることと、署名が独立して生成されることとの間には、矛盾はない。そのような実施形態においては、イベント・レコード１～ｘが改竄耐性レコード３１０内の両方の署名を生成するために使用され、改竄耐性レコード３３０については、同様にレコードｘ＋２～ｘ＋ｙである。

図３Ｂに示した実施形態といった他の実施形態においては、改竄耐性レコード内のデジタル的な署名は、現在の改竄耐性レコード内のデータをカバーし、問題はさらに複雑である。署名の部分としてカバーされる必要があるメタデータは、改竄耐性レコード３１０として示されるように、しばしば存在する（例えば、署名を生成するために使用される暗号化方法）。

例示的な実施形態においては、連続する改竄耐性レコードは、しばしばそれらのデジタル的な署名内に以前の改竄耐性レコードからの情報を含むので、デジタル的な署名は、レコードが追加又は削除されないことを保証するため、互いにチェインとされる（改竄耐性レコード３３０というように）。以前の改竄耐性レコード３３０から使用されたデータ片の例は、図３Ｂに示されるように新たな署名として含まれる。これらの実施形態においては、レコードの確認の間、第１の署名を確認することは、それが第２の署名により要求される情報をカバーしないので、イベント・ログについて改竄がなされていないことを保証することはできない。署名は、個別的に確認することはできるが、改竄が発生していないことを確認するためには、イベント・ログに関連する全部の署名を確認することが必要である。

ここで、図３Ａを参照すると、実施形態により多数の署名を有する改竄耐性レコードを含むイベント・レコード・ログ３００が示される。図示されるように、イベント・ログ３００は、複数のイベント・レコード３０２、第１の改竄耐性（Ｔ－Ｒ）レコード３１０、及び第２の改竄耐性（Ｔ－Ｒ）レコード３３０を含む。図示されるように、第１のＴ－Ｒレコード３１０は、ヘッダ３１２、メタデータ３１４、第１の署名３１６、メタデータ３１８及び第２の署名３２０を含む。ヘッダ３１２は、Ｔ－Ｒレコード３１０についてのタイムスタンプを含む。メタデータ３１４は、使用した暗号化のタイプ及びイベント・レコード３０２について使用された空間情報といった、第１の署名３１６を生成するために使用した情報を含む。第１の署名３１６は、デジタル的な署名が、イベント・レコード３０２のために生成されたことを含む。同様に、メタデータ３１８は、使用された暗号化のタイプ、イベント・レコード３０２のために使用された空間情報などといった、第２の署名３２０を生成するために使用した情報を含む。第２の署名３２０は、デジタル的な署名がイベント・レコード３０２のために生成されたことを含む。例示的な実施形態では、第１の署名３１６及び第２の署名３２０を生成するために使用された暗号化タイプは異なる。

第２のＴ－Ｒレコード３３０は、ヘッダ３３２，メタデータ３３４、第１の署名３３６、メタデータ３３８、及び第２の署名３４０を含む。ヘッダ３３２は、Ｔ－Ｒレコード３３０のためのタイムスタンプを含む。メタデータ３３４は、第１の署名３３６を生成するために使用された、用いられた暗号化のタイプ、イベント・レコード３０２について使用された空間情報などといった情報を含む。第１の署名３１６は、デジタル的な署名がイベント・レコード３０２のために生成されたことを含む。同様に、メタデータ３３８は、第２の署名３４０を生成するために使用された、用いられた暗号化のタイプ、イベント・レコード３０２について使用された空間情報などといった情報を含む。第２の署名３４０は、デジタル的な署名がイベント・レコード３０２のために生成されたことを含む。例示的な実施形態においては、第１の署名３１６及第３の署名３３６を生成するために使用した暗号化のタイプは、同一であり、かつ第２の署名３２０及び第４の署名３４０を生成するために使用された暗号化のタイプは、同一である。

ここで、図３Ｂを参照すると、実施形態により多数の署名を有する改竄耐性レコードを含むイベント・レコード・ログ３００が示される。図３Ａに示されたイベント・ログ３００と同様に、イベント・ログ３００は、複数のイベント・レコード３０２，第１の改竄耐性（Ｔ－Ｒ）レコード３１０、及び第２の改竄耐性（Ｔ－Ｒ）レコード３３０を含む。図３Ａに示した実施形態とは対照的に、第１のＴ－Ｒレコード３１０及び第２のＴ－Ｒレコード３３０内の署名３１６，３２０，３３６，及び３４０は、イベント・レコード３０２以外のデータをカバーする。例えば、図示するように、署名３１６は、イベント・レコード１～ｘのデータ、ヘッダ３１２、及びメタデータ３１４をカバーする。同様に、署名３２０は、イベント・レコード１～ｘのデータ、ヘッダ３１２，メタデータ３１４、署名３１６及びメタデータ３１８をカバーする。当業者により理解されるであろう様に、どのデータ・フィールドがそれぞれの署名によりカバーされるかについては、種々の組み合わせが使用できる。

図４は、例示的な実施形態による改竄耐性レコードを生成するための方法を示す。プロセッサが、本方法を実装する。本方法は、ブロック４０５に示されるように、プロセッサにより、イベントに応答してイベント・レコードを生成することを含む。プロセッサは、イベントの発生を検出する。例えば、プロセッサは、事前決定されたイベント・タイプの発生を検出するように構成することができる。事前決定されたタイプのイベントの発生に応答して、プロセッサは、イベント・レコードを生成する。ブロック４１０に示されるように、プロセッサは、改竄耐性レコードを、イベント・レコードの生成に応答して生成する。次いで、ブロック４１５に示されるように、プロセッサは、第１の署名及び第２の署名を改竄耐性レコードに追加する。例示的な実施形態では、第１の署名及び第２の署名は、イベント・レコードに少なくとも部分的に基づいて生成され、第１の証明及び第２の署名は、異なる暗号化関数を使用して生成される。

例示的な実施形態においては、改竄耐性レコードは、また、イベント・レコードの空間参照を含み、空間参照は、第１のイベント・レコードのメモリ・ロケーションを識別する。これらの実施形態においては、第１の署名は、イベント・レコード及びイベント・レコードの空間参照に少なくとも部分的に基づいて生成される。例示的な実施形態においては、第２の署名は、イベント・レコード、第１の署名及びイベント・レコードの空間参照に基づいて生成される。一度プロセッサが改竄耐性レコードに署名を追加すると、改竄耐性レコードは、ブロック４２０に示されるように、イベント・レコード・ログ内に格納される。第１のイベント・レコードの改竄の検出の要求に応答して、プロセッサは、ブロック４２５に示されるように、第１の改竄耐性レコード内の第１の署名及び第２の署名に基づいて第１のイベント・レコードを確認する。

例示的な実施形態においては、第１の改竄耐性レコードは、第１の署名及び第２の署名を生成することにおいて使用された暗号化関数のタイプの指定を含む。プロセッサはさらに、コンピュータにより実行され、第１の改竄耐性レコードの生成の後に発生する第２のイベントに応答して、第２のイベント・レコードを生成するように構成される。プロセッサは、その後、生成された第２のイベント・レコードに応答して第２の改竄耐性レコードを生成する。第２の改竄耐性レコードは、第２のイベント・レコードに少なくとも部分的に基づいて生成される第３の署名及び第２のイベント・レコードに少なくとも部分的に基づいて生成される第４の署名を含み、ここで、第１の署名及び第３の署名は、同一の暗号化関数を使用して生成され、第２の署名及び第４の署名は、同一の暗号化関数を使用して生成される。例示的な実施形態では、第３の署名は、第２のイベント・レコード及び第１の改竄耐性レコードに少なくとも部分的に基づいて生成される。第４の署名は、第２のイベント・レコード、第３の署名、及び第１の改竄耐性レコードの少なくとも部分に、少なくとも部分的に基づいて生成される。

例示的な実施形態においては、イベント・ロギング・システムは、第２又は第３のデジタル的な署名の使用が選択的にイネーブル又はディセーブル、すなわち、オン及びオフすることができるように構成される。例示的な実施形態においては、イネーブル化及びディセーブル化は、改竄耐性レコードが記述されるまで、イネーブル化又はディセーブル化の何れかかが遅延されるか、若しくは、イネーブル化又はディセーブル化の要求を受領するやいなや、改竄耐性レコードを直ちに生成することによって、改竄耐性レコードの境界上で発生する。

図５は、本実施形態による多数の署名を有する改竄耐性レコードのイネーブル化を示す。例示的な実施形態においては、追加の署名を使用することをイネーブルするための要求は、ヘッダ５１２、メタデータ５１４、及び署名５１６を含む改竄耐性レコード５１０が生成された後に受領される。第２の署名の追加を示す識別子が、改竄耐性レコード５２０の署名の変更が発生することを示すメタデータ・フィールド５２４に記述される。メタデータ５２４は、識別子を含み、署名５２６及び任意的に署名５３０によってカバーされる。それぞれのデジタル的な署名のメタデータ５２４，５２８は、改竄耐性レコード５２０に格納され、第１の署名から開始して改竄耐性レコード５２０が構築されるまで、それぞれの署名５２６，５３０が生成される。イネーブル化の場合、第２の署名は、以前の改竄耐性レコード（すなわち以前のレコードをチェインしない）をカバーしないか、又は以前のレコードのいくつかの部分をカバーする（例えば、全レコード又は第１の署名のカバーと同一のカバー）かの何れかとすることができる。以前のレコードのいくつかの部分をカバーする場合、第１の署名がすでに以前のレコードをカバーしているので、追加の署名で以前のレコードをカバーしなくても十分である。

図６は、本実施形態による多数の署名を有する改竄耐性レコードのディセーブル化を示す。例示的な実施形態では、追加の署名の使用をディセーブルするための要求は、ヘッダ、６１２、メタデータ６１４、署名６１６、メタデータ６１８及び署名６２０を含む改竄耐性レコード６１０が生成された後に受領される。第２の署名を削除することを示し、改竄耐性レコード６３０が単一の署名６３６を有することを示す識別子が、改竄耐性レコード６３０の署名の変更が発生することを示す、メタデータ・フィールド６３４に記入される。例示的な実施形態では、連続する改竄耐性レコードのレコードをチェインすることは、署名オプションがイネーブル、ディセーブル、又は交代された場合、現在の改竄耐性レコードを含んでいるか、又は含まないかの何れかによるものとすることができる。

改竄耐性レコードの確認は、また、署名変化の識別子がセットされていない限り、それぞれの署名についてのメタデータが矛盾しないか（すなわち、以前のレコード及び現在のレコードが、同一のメタデータを有する）を確認するべきである。イネーブル化に応答して、レコード生成の間と同一のカバーを用いるデジタル的な署名が使用される（すなわち、以前のレコードが第２の署名を使用してカバーされていない場合、確認は、ランニング時にハッシュを計算するものと仮定する）。これは、確認の間に行われる如何なる他のテストに対しても追加される（時間計算、レコードのカウントなど）。

例示的な実施形態においては、プロセッサ１１０は、イベント・レコードが改竄耐性レコードであるか、又は典型的なイベント・レコードであるかを、イベント・レコードのヘッダ２１０を使用して識別することができる。プロセッサ１１０は、プロセッサ１１０がイベント・レコード・ログ１２７の規制コンプライアンス監査を実行していない限り、改竄耐性レコード２００を迂回するか又は無視する。監査の間、プロセッサ１１０は、分析されるべきそれぞれのイベント・レコードの各々について改竄耐性レコード２００を識別する。プロセッサ１１０は、イベント・レコードのコンテンツと、改竄耐性レコード２００のペイロード内のデジタル的な署名とを比較することにより、イベント・レコードのコンテンツが修正、又は改竄されているか否かを決定する。イベント・レコードのコンテンツが比較に基づいて承認できない場合、プロセッサ１１０は、監査レポート内で、又はエラーを表示する、監査ノート、又は如何なる他のユーザ通知といった如何なる他の仕方によって、イベント・レコードにフラグを付する。代替的に、比較がイベント・レコードの改竄フリーとの確認を承認する場合、プロセッサ１１０は、次のイベント・レコードを分析し続け、監査報告を完成させる。

本明細書を通して説明された実施例において、プロセッサ１１０は、改竄耐性レコード２００を、対応するイベント・レコードにイベント・レコードを修正することなく関連付ける。イベント・レコードは、事前決定されたイベント・レコードのフォーマットを使用し続けることができるので、イベント・レコード・ログを読み出し、かつ分析するための如何なる既存のインフラ基盤又はアプリケーソン又はそれらの両方は、如何なる変更もなく操作を続けることができる。したがって、規制コンプライアンスのための改竄耐性は、効率的なやり方で、既存プロセスを修正するためのコストを招くことなく、既存のインフラ基盤に追加することができる。

したがって、本出願を通じて説明された実施例により解決される問題は、既存のログ・データを使用する既存のワークフロー及びソフトウェアを維持しながら既存のイベント・ロギング・システムに改竄耐性を挿入する能力である。実施例は、デジタル的な署名を、既存のログＡＰＩｓを使用して提供されるデータを修正することなく追加的なログ・データとしてログ・データ内に導入することを容易にする。したがって、改竄耐性のメタデータは、他のログされたイベント・レコードと同一のフォーマットにおける改竄耐性のメタデータの提供により直接既存のレコード・ログに一体化することができる。これは、ログされたイベント・レコードを移行させる場合の移行性に加え、既存のツールとの互換性のある使用の容易性を提供する。改竄耐性の情報は、ログされたイベント・レコードと共に透過的に移行される。本出願を通して説明された技術的ソリューションを使用することにより、ロギング・プラットホームは、元のプラットホームのコア機能に影響を与えることなく、改竄耐性を含むことができる。

本明細書において使用する用語は、特定の実施形態を記述する目的のためのものであり、本開示を限定することを意図するものではない。本明細書で使用するように、単数形、“ａ”、“an”及び“the”は、文脈が明らかにそれ以外を示さない限り、同様に複数形態を含むことを意図する。さらに、用語、含む“comprise”、含んでいる“comprising”、又はこれらの両方が本明細書において使用される場合、宣言された特徴、整数、ステップ、操作、要素、又はコンポーネント又はこれらの組み合わせの存在を特定するが、１つ又はそれ以上の他の特徴、整数、ステップ、操作、要素、コンポーネント又はグループ又はそれらの組み合わせの存在又は追加を除外するものでないことについて理解されるべきである。

以下の請求項内の対応する構造、材料、活動、及びすべての手段又はステップ・プラス・ファンクションの均等物は、特に請求項のように、請求項の他の要素との組み合わせにおける機能をもたらすための如何なる構造、材料、又は活動を含むことを意図する。本明細書の実施例は、例示及び設営の目的で提示され、かつ開示された形態のものに尽きる又は限定されることを意図しない。多くの修正及び変形は、本明細書の範囲及び精神から逸脱すること無しに、当業者において明らかであろう。

技術的ソリューションは、システム、方法、又はコンピュータ・プログラム製品又はこれらの組み合わせとすることができる。コンピュータ・プログラム製品は、プロセッサに対して本発明の特徴を遂行させるためのコンピュータ可読なプログラム命令をそれ上に有する記録媒体（又は複数の媒体）を含むことができる。

コンピュータ可読な記録媒体は、命令実行デバイスが使用するための複数の命令を保持し格納することができる有形のデバイスとすることができる、コンピュータ可読な媒体は、例えば、これらに限定されないが、電気的記録デバイス、磁気的記録デバイス、光学的記録デバイス、電気磁気的記録デバイス、半導体記録デバイス又はこれらのいかなる好ましい組み合わせとすることができる。コンピュータ可読な記録媒体のより具体的な実施例は、次のポータブル・コンピュータ・ディスク、ハードディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリー・メモリ（ＲＯＭ）、消去可能なプログラマブル・リード・オンリー・メモリ（ＥＰＲＯＭ又はフラッシュ・メモリ（登録商標））、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク・リード・イオンリー・メモリ（ＣＤ－ＲＯＭ）、デジタル多目的ディスク（ＤＶＤ）、メモリ・スティック、フロッピー・ディスク（登録商標）、パンチ・カード又は命令を記録した溝内に突出する構造を有する機械的にエンコードされたデバイス、及びこれらの好ましい如何なる組合せを含む。本明細書で使用するように、コンピュータ可読な記録媒体は、ラジオ波又は他の自由に伝搬する電磁波、導波路又は他の通信媒体（例えば、光ファイバ・ケーブルを通過する光パルス）といった電磁波、又はワイヤを通して通信される電気信号といったそれ自体が一時的な信号として解釈されることはない。

本明細書において説明されるコンピュータ・プログラムは、コンピュータ可読な記録媒体からそれぞれのコンピューティング／プロセッシング・デバイスにダウンロードでき、又は例えばインターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク又はワイヤレス・ネットワーク及びそれからの組み合わせといったネットワークを介して外部コンピュータ又は外部記録デバイスにダウンロードすることができる。ネットワークは、銅通信ケーブル、光通信ファイバ、ワイヤレス通信ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ及びエッジ・サーバ又はこれらの組み合わせを含むことができる。それぞれのコンピューティング／プロセッシング・デバイスにおけるネットワーク・アダプタ・カード又はネットワーク・インタフェースは、ネットワークからコンピュータ可読なプログラム命令を受領し、このコンピュータ可読なプログラム命令を格納するためにそれぞれのコンピューティング／プロセッシング・デバイス内のコンピュータ可読な記録媒体内に転送する。

本発明の操作を遂行するためのコンピュータ可読なプログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、機械語命令、マシン依存命令、マイクロ・コード、ファームウェア命令、状態設定データ、集積回路のための構成データ、又は１つ又はそれ以上の、Ｓｍａｌｌｔａｌｋ（登録商標）、Ｃ＋＋などのオブジェクト指向プログラミング言語、“Ｃ”プログラミング言語又は類似のプログラム言語といった手続き型プログラミング言語を含むプログラミング言語のいかなる組合せにおいて記述されたソース・コード又はオブジェクト・コードのいずれかとすることができる。コンピュータ可読なプログラム命令は、全体がユーザ・コンピュータ上で、部分的にユーザ・コンピュータ上でスタンドアローン・ソフトウェア・パッケージとして、部分的にユーザ・コンピュータ上で、かつ部分的にリモート・コンピュータ上で、又は全体がリモート・コンピュータ又はサーバ上で実行することができる。後者のシナリオにおいて、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）を含むいかなるタイプのネットワークを通してユーザ・コンピュータに接続することができ、又は接続は、外部コンピュータ（例えばインターネット・サービス・プロバイダを通じて）へと行うことができる。いくつかの実施形態では、例えばプログラマブル論理回路、フィールド・プログラマブル・ゲートアレイ（ＦＰＧＡ）、又はプログラマブル論理アレイ（ＰＬＡ）を含む電気回路がコンピュータ可読なプログラム命令を、コンピュータ可読なプログラム命令の状態情報を使用して、本発明の特徴を実行するために電気回路をパーソナライズして実行することができる。

本出願の祖鬼面を、本発明の実施形態にしたがい、フローチャート命令及び方法のブロック図、又はそれらの両方、装置（システム）、及びコンピュータ可読な記録媒体及びコンピュータ・プログラムを参照して説明した。フローチャートの図示及びブロック図又はそれら両方及びフローチャートの図示におけるブロック及びブロック図、又はそれらの両方のいかなる組合せでもコンピュータ可読なプログラム命令により実装することができることを理解されたい。

これらのコンピュータ可読なプログラム命令は、汎用目的のコンピュータ、特定目的のコンピュータ、または他のプロセッサ又は機械を生成するための他のプログラマブル・データ・プロセッシング装置に提供することができ、コンピュータのプロセッサ又は他のプログラマブル・データ・プロセッシング装置による実行がフローチャート及びブロック図のブロック又は複数のブロック又はこれらの組み合わせで特定される機能／動作を実装するための手段を生成する。コンピュータ、プログラマブル・データ・プロセッシング装置及び他の装置又はこれらの組み合わせが特定の仕方で機能するように指令するこれらのコンピュータ可読なプログラム命令は、またコンピュータ可読な記録媒体に格納することができ、その内に命令を格納したコンピュータ可読な記録媒体は、フローチャート及びブロック図のブロック又は複数のブロック又はこれらの組み合わせで特定される機能／動作の特徴を実装する命令を含む製造品を構成する。

コンピュータ可読なプログラム命令は、またコンピュータ、他のプログラマブル・データ・プロセッシング装置、又は他のデバイス上にロードされ、コンピュータ、他のプログラマブル装置、又は他のデバイス上で操作ステップのシリーズに対してコンピュータ実装プロセスを生じさせることで、コンピュータ、他のプログラマブル装置又は他のデバイス上でフローチャート及びブロック図のブロック又は複数のブロック又はこれらの組み合わせで特定される機能／動作を実装させる。

図のフローチャート及びブロック図は、本発明の種々の実施形態にしたがったシステム、方法及びコンピュータ・プログラム製品のアーキテクチャ、機能、及び可能な実装操作を示す。この観点において、フローチャート又はブロック図は、モジュール、セグメント又は命令の部分を表すことかでき、これらは、特定の論理的機能（又は複数の機能）を実装するための１つ又はそれ以上の実行可能な命令を含む。いくつかの代替的な実装においては、ブロックにおいて記述された機能は、図示した以外で実行することができる。例えば、連続して示された２つのブロックは、含まれる機能に応じて、実際上１つのステップとして遂行され、同時的、実質的に同時的に、部分的又は完全に一時的に重ね合わされた仕方で実行することができ、又は複数のブロックは、時として逆の順番で実行することができる。またブロック図及びフローチャートの図示、又はこれらの両方及びブロック図中のブロック及びフローチャートの図示又はこれらの組み合わせは、特定の機能又は動作を実行するか又は特定の目的のハードウェア及びコンピュータ命令を遂行する特定目的のハードウェアに基づいたシステムにより実装することができることを指摘する。

Claims (10)

1. ログに対して改竄耐性を追加することにより１つ又はそれ以上のイベントのログを安全にするためのコンピュータ実装方法であって、前記方法は、
   プロセッサにより、前記コンピュータにより実行されたイベントに応答して第１のイベント・レコードを生成するステップと、
   前記プロセッサにより、生成された前記第１のイベント・レコードに応答して第１の改竄耐性レコードを生成するステップであって、前記第１の改竄耐性レコードが、
   前記第１のイベント・レコードに少なくとも部分的に基づいて生成される第１の署名と、
   前記第１のイベント・レコードに少なくとも部分的に基づいて生成される第２の署名と
   を含むステップと、
   前記第１のイベント・レコードの改竄を検出するための要求に応じて、前記第１の改竄耐性レコード内の前記第１の署名及び前記第２の署名に基づいて前記第１のイベント・レコードを確認するステップと
   を含む、コンピュータ実装方法。
2. 前記第１の改竄耐性レコードは、さらに、前記第１の署名及び前記第２の署名の生成において使用された暗号化関数のタイプの識別子を含む、請求項１に記載のコンピュータ実装方法。
3. 前記第１の改竄耐性レコードは、さらに、前記第１のイベント・レコードの空間的参照を含み、前記空間的参照が前記第１のイベント・レコードを識別する、請求項１に記載のコンピュータ実装方法。
4. 前記第２の署名は、前記第１のイベント・レコード、前記第１のイベント・レコードの前記空間的参照及び前記第１の署名に少なくとも部分的に基づいて生成される、請求項３に記載のコンピュータ実装方法。
5. さらに、
   前記プロセッサにより、前記コンピュータによって実行され、前記第１の改竄耐性レコードが生成された後に発生する第２のイベントに応答して第２のイベント・レコードを生成することと、
   前記プロセッサにより、生成された前記第２のイベント・レコードに応答して第２の改竄耐性レコードを生成することと
   を含み、前記第２の改竄耐性レコードが、
   前記第２のイベント・レコードに少なくとも部分的に基づいて生成される第３の署名と、
   前記第２のイベント・レコードに少なくとも部分的に基づいて生成される第４の署名であって、前記第１の署名及び前記第３の署名は、同一の暗号化関数を使用して生成され、前記第２の署名と前記第４の署名が同一の暗号化関数を使用して生成され、かつ
   前記第２のイベント・レコードの改竄を検出するための要求に応答して、前記第２の改竄耐性レコード内の前記第３の署名及び前記第４の署名に基づいて前記第２のイベント・レコードを確認する、請求項１に記載のコンピュータ実装方法。
6. 前記第３の署名は、前記第２のイベント・レコード及び前記第１の改竄耐性レコードの少なくとも部分に少なくとも基づいて生成される、請求項５に記載のコンピュータ実装方法。
7. 前記第４の署名は、前記第２のイベント・レコード、前記第３の署名及び前記第１の改竄耐性レコードの少なくとも部分に少なくとも基づいて生成される、請求項５に記載のコンピュータ実装方法。
8. 前記第１の署名及び前記第２の署名は、異なる暗号化関数を使用して生成される、請求項１に記載のコンピュータ実装方法。
9. 前記の方法クレームの何れかによる方法の全ステップを実行するために適応された手段を含むシステム。
10. 前記の方法クレームの何れかによる方法の全ステップを実行するための命令を含むコンピュータ・プログラム。
    

Images