JP4434457B2 - アクセスログの監視支援方法およびそのシステム、並びに統合監視装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、コンピュータに記録されるアクセスログの監視を支援するアクセスログの監視支援方法およびそのシステム、並びに統合監視装置に関する。
【０００２】
【従来の技術】
一般に、インターネットに接続したローカルネットワークシステムを不正アクセスから防御してセキュリティを維持管理するためには、ネットワークシステムを構成する各コンピュータにおいて送信、受信あるいは転送される情報のログ（アクセスログ）をコンピュータ自身に記憶しておき、ネットワーク管理者などがコンピュータに適宜接続し、記憶されたアクセスログを読み出して監視する。
【０００３】
【発明が解決しようとする課題】
しかしながら、従来におけるアクセスログの監視方法にあっては、アクセスログが、監視対象のコンピュータごとに記録されているので、アクセスログの監視にあたりネットワーク管理者がアクセスログを見ようとした場合、監視対象装置であるコンピュータに逐一接続しなければならない。したがって、例えば、大企業などにおいて、多数のコンピュータによって構成されるネットワークシステムの管理者の負担は計り知れない。つまり、従来のアクセスログの監視方法は、アクセスログの適切な監視が困難であるという問題点を有している。
【０００４】
そこで本発明は、上記の従来の課題に鑑みてなされたものであり、その目的とするところは、コンピュータごとに記録されるアクセスログの適切な監視を支援するアクセスログの監視支援方法およびそのシステム、並びに統合監視装置を提供することにある。
【０００５】
【課題を解決するための手段】
上記従来の課題を解決するために、本発明の請求項１に係るアクセスログの監視支援方法は、統合監視装置が、監視対象装置において記録される当該監視対象装置へのアクセスログから、ネットワーク上のアドレスを含め予め定めた項目を取り出して得られたログを、当該監視対象装置から収集し、前記統合監視装置が、当該収集されたログを記憶手段に記憶し、前記統合監視装置が、当該記憶手段からログを読み出し、当該ログにおけるネットワーク上のアドレスを基に求めた各アクセス毎の通信経路が、予め登録された経路に該当しない場合、当該アクセスを不正アクセスとして通知することを特徴とする。
【０００８】
本発明にあっては、ネットワーク上のアドレスを基に求めた各アクセス毎の通信経路が、予め登録された経路に該当しない場合、そのアクセスを不正アクセスとして通知するので、ネットワーク管理者などは、不正アクセスか否かの調査を逐一行わなくとも済むようになり、アクセスログ監視の作業性が向上する。
【００１３】
本発明の請求項２に係る統合監視装置は、監視対象装置において記録される当該監視対象装置へのアクセスログから、ネットワーク上のアドレスを含め予め定めた項目を取り出して得られたログを、当該監視対象装置から収集する手段と、当該収集されたログを記憶する記憶手段と、当該記憶手段からログを読み出し、当該ログにおけるネットワーク上のアドレスを基に求めた各アクセス毎の通信経路が、予め登録された経路に該当しない場合、当該アクセスを不正アクセスとして通知する手段とを有することを特徴とする。
【００１４】
本発明にあっては、ネットワーク上のアドレスを基に求めた各アクセス毎の通信経路が、予め登録された経路に該当しない場合、そのアクセスを不正アクセスとして通知するので、不正アクセスが自動的に発見され、このため、アクセスログ監視の作業性が向上する。
【００１５】
【発明の実施の形態】
以下、本発明の実施の形態を図面を参照して詳細に説明する。
【００１６】
図１は、本発明の実施の形態に係るネットワークシステムの構成および接続形態を示す図である。
【００１７】
本図に示すように、ネットワークシステムは、アクセスログの監視対象である１以上の監視対象装置と当該各監視対象装置に通信回線を介して接続された統合監視装置とから構成される。図１では、終端ノードに設けられた２台の監視対象装置１と、通信の中継が必要な中継ノードに設けられることから中継機能を有している監視対象装置２と、これら監視対象装置１，２から送信されるアクセスログを取得し統合することにより監視を支援する統合監視装置３とが通信回線を介して相互に接続されている。
【００１８】
各監視対象装置１は、ＩＰアドレスを含め予め定めた項目をアクセスログから取り出して統合監視用の形式に編集するログ編集部１１と、編集されたアクセスログ（以下「統一ログ」という）を統合監視装置３に送信するログ送信部１２と、編集前のアクセスログが一旦記憶されるログ記憶部１３と、この監視対象装置１から送信される通信データ（パケットなど）についてのアクセスログを生成してログ記憶部１３に記憶させるアプリケーション１４を有している。
【００１９】
一方、監視対象装置２に構成されるログ編集部２１およびログ送信部２２は、それぞれログ編集部１１およびログ送信部１２と同様の機能を備えるが、監視対象装置２に搭載されたアプリケーション２４が、この監視対象装置２に設けられたログ記憶部２３に格納するアクセスログには、送信元アドレスと送信先アドレスの双方が含まれるため、ログ編集部２１は、この送信元アドレスと送信先アドレスの双方を含む統一ログを編集し、ログ送信部２２は、この統一ログを送信できるようになっている。
【００２０】
統合監視装置３は、監視対象装置１または２から送信されてきた統一ログを受信して蓄積処理するログ収集部３１と、統一ログが蓄積されるログ蓄積部３２と、ログ蓄積部３２から統一ログを読み出して経路を分析するとともに分析結果を「統合ログ」として生成する経路分析部３３と、生成された統合ログを表示する経路表示部３４と、予め、通常使用される経路（正規経路という）が登録されるとともに、正規経路に対して異なる経路が統合ログ内にあった場合に不正アクセスとしての通知を行う不正アクセス検知部３５を有している。
【００２１】
監視対象装置１、監視対象装置２および統合監視装置３が有するこれら各ブロックは、ハードディスク装置等の記憶装置に記憶された処理プログラムをＣＰＵが逐次実行することにより実現されるものである。また、図示していないが、これらコンピュータには、上記処理プログラムの起動や指示入力を行うための入力装置（例えば、キーボード）や、処理結果の表示を行うための表示装置（例えば、ＣＲＴディスプレイ装置）が必要に応じて接続される。
【００２２】
次に、この実施の形態の作用を説明する。
図２（ａ）、（ｂ）は、監視対象装置１および監視対象装置２でそれぞれ編集された統一ログの内容を例示する図である。
【００２３】
図２（ａ）に示すように、監視対象装置１で編集された統一ログには、監視対象装置１が中継機能を有しないことから、アクセスのあった時間とそのときの送信元アドレスとが対応づけられている。一方、図２（ｂ）に示すように、監視対象装置２で編集された統一ログには、監視対象装置２が中継機能を有していることから、アクセスのあった時間とそのときの送信元アドレスおよび送信先アドレスとが対応づけられて記憶される。なお、統一ログには、これらのデータ以外に予め定められた項目、例えば、監視対象装置１や監視対象装置２に割り当てられたＩＰアドレスや通信ポートの番号なども含まれる。
【００２４】
図３（ａ）、（ｂ）は、ログ収集フェーズにおいて監視対象装置１、統合監視装置３がそれぞれ行う処理のフローチャートである。なお、ログ収集フェーズでは監視対象装置２も図３（ａ）と同様の処理を行う。
【００２５】
図３（ａ）のステップＳ１でログ編集部１１は、所定の収集タイミングを契機に、アプリケーション１４が保存したアクセスログをログ記憶部１３から読み込む。続くステップＳ２では、ログ編集部１１がログ形式を変換して、図２（ａ）に示すような統一ログを生成する。続くステップＳ３では、生成された統一ログをログ送信部１２が統合監視装置３に送信する。そして、ステップＳ４では、次回の収集タイミングまで待機する。そして、収集タイミングが訪れたときにはステップＳ１へと進んで上記した処理を行う。
【００２６】
図３（ｂ）のステップＳ１１では、統合監視装置３のログ収集部３１が監視対象装置１から送信された統一ログを受信する。続くステップＳ１２では、ログ収集部３１が、受信した統一ログをログ蓄積部３２に格納する。
【００２７】
上述した処理は、ネットワークシステムを構成する監視対象装置１、監視対象装置２および統合監視装置３において定期的に、すなわち、収集タイミングが訪れる度に行われるので、ログ蓄積部３２には、監視対象装置１および監視対象装置２から送信された統一ログが蓄積されることとなる。なお、上記処理は、必要時において統合監視装置３から指令を送出し、これを契機にして開始してもよいのは勿論である。
【００２８】
図４は、ログ分析フェーズにおいて統合監視装置３が行う処理のフローチャートである。なお、この処理についても定期的あるいは必要時に行うことができる。
【００２９】
ステップＳ３１では、統合監視装置３の経路分析部３３が、ログ蓄積部３２に蓄積された統一ログを読み込む。例えば、ＩＰアドレスによって予め監視対象装置をグループ化しておき、このグループに属する監視対象装置から送信された統一ログを選択することにより複数の統一ログを読み込むことができる。続くステップＳ３２では経路分析部３３が、読み込んだ複数の統一ログを統合して統合ログを生成する。続くステップＳ３３では経路表示部３４が、生成された統合ログを表示装置に表示する。
【００３０】
図５（ａ）、（ｂ）は、生成された統合ログを示す図である。
図５（ａ）に示すように、統合ログには、監視対象装置１や監視対象装置２のＩＰアドレスや通信プロトコルに対応するポート番号とともに、アクセス（通信）の経路と、この経路に対応づけたアクセス処理数と、その数の内で正常に完了したアクセス数と異常があって完了できなかったアクセス数の内訳を含ませることができる。また、図５（ｂ）に示すように、個々の通信アクセスにつき、その経路と、正常に完了したか否かと、コマンド等の詳細情報とを対応づけて表示することもできる。
【００３１】
したがって、ネットワーク管理者などは、通常ではあり得ない経路で行われた通信アクセスを発見することができる、また、定期的に行われるべき通信アクセスの経路が表示されないときには、ネットワークが故障している可能性があるので適宜対処することができる。
【００３２】
図４に戻り、ログ分析フェーズにおける処理の説明を続ける。
ステップＳ３３で統合ログを表示した後は、ステップＳ３４へと進む。ステップＳ３４では不正アクセス検知部３５が、統合ログに含まれる経路に、正規経路と異なる経路があるか否かを検知し、あった場合に不正アクセスとしての通知を行う。この不正アクセスとしての通知は、例えば表示装置への表示、または音声、アラーム音を送出することにより行われる。
【００３３】
したがって、ネットワーク管理者などは、不正アクセスか否かの調査を逐一行わなくとも済むようになり、アクセスログ監視の作業性が向上する。
【００３４】
なお、この実施の形態では、統合ログの表示および不正アクセスの通知をログ分析フェーズのにおいて共に実行したが、それぞれを単独で行ってもよいのは勿論である。
【００３５】
また、上記説明した処理を行うための処理プログラムは、半導体メモリ、磁気ディスク、光ディスク、光磁気ディスク、磁気テープなどのコンピュータ読み取り可能な記録媒体に格納することで流通可能になる。従って、任意のコンピュータに、この記録媒体をセットし、処理プログラムを読み込ませて実行することにより、本発明と同様の作用が得られ、その結果、そのコンピュータ上で本発明と同様の効果を得ることができる。
【００３６】
【発明の効果】
以上説明したように、本発明によれば、コンピュータごとに記録されるアクセスログの適切な監視が行えるようになり、このため、アクセスログ監視に関するネットワーク管理者などの負担を軽減させることができる。
【図面の簡単な説明】
【図１】本発明の実施の形態に係るネットワークシステムの構成および接続形態を示す図である。
【図２】図２（ａ）、（ｂ）は、監視対象装置１および監視対象装置２でそれぞれ編集された統一ログの内容を例示する図である。
【図３】図３（ａ）、（ｂ）は、ログ収集フェーズにおいて監視対象装置１、統合監視装置３がそれぞれ行う処理のフローチャートである。
【図４】ログ分析フェーズにおいて統合監視装置３が行う処理のフローチャートである。
【図５】統合監視装置３が生成した統合ログを示す図である。
【符号の説明】
１，２ 監視対象装置
３ 統合監視装置
１１，２１ ログ編集部
１２，２２ ログ送信部
１３ ログ記憶部
１４ アプリケーション
３１ ログ収集部
３２ ログ蓄積部
３３ 経路分析部
３４ 経路表示部
３５ 不正アクセス検知部

Claims (2)

1. 統合監視装置が、監視対象装置において記録される当該監視対象装置へのアクセスログから、ネットワーク上のアドレスを含め予め定めた項目を取り出して得られたログを、当該監視対象装置から収集し、
   前記統合監視装置が、当該収集されたログを記憶手段に記憶し、
   前記統合監視装置が、当該記憶手段からログを読み出し、当該ログにおけるネットワーク上のアドレスを基に求めた各アクセス毎の通信経路が、予め登録された経路に該当しない場合、当該アクセスを不正アクセスとして通知することを特徴とするアクセスログの監視支援方法。
2. 監視対象装置において記録される当該監視対象装置へのアクセスログから、ネットワーク上のアドレスを含め予め定めた項目を取り出して得られたログを、当該監視対象装置から収集する手段と、
   当該収集されたログを記憶する記憶手段と、
   当該記憶手段からログを読み出し、当該ログにおけるネットワーク上のアドレスを基に求めた各アクセス毎の通信経路が、予め登録された経路に該当しない場合、当該アクセスを不正アクセスとして通知する手段とを有することを特徴とする統合監視装置。

Images