JP4786392B2

JP4786392B2 - 事象情報管理システム

Info

Publication number: JP4786392B2
Application number: JP2006100312A
Authority: JP
Inventors: 晃金岡
Original assignee: Secom Co Ltd
Current assignee: Secom Co Ltd
Priority date: 2006-03-31
Filing date: 2006-03-31
Publication date: 2011-10-05
Anticipated expiration: 2026-03-31
Also published as: JP2007272774A

Description

本発明は、コンピュータシステムの運用に関し、機器の動作記録、或いはネットワーク間の通信記録である事象情報（ログ）の管理方法であって、ログの重要度に応じた適切な管理を行うものである。

従来、コンピュータシステムやネットワーク管理システムではシステム上のファイルやデータベースへのアクセス記録、或いはアクセス要求記録、機器同士の通信記録、通信エラー記録などさまざまな事象の記録をその出現時刻とともにログとして記録されているものが多い。

このログは、不正侵入の疑い、システム停止など不測の事態が出現した時に、原因究明の目的で過去の履歴を参照できるようにするために記録される。しかし、単に履歴を記録しているだけでは、故意にログの時刻や内容の書き換え、追加、削除等の改竄、或いは破損がされる恐れがある。

近年ではログ等の時刻と内容の非改竄性を保証する技術として電子署名技術を応用したタイムスタンプ技術が確立されてきている。タイムスタンプは、その発行要求者が自己の持つデジタルデータに対し、信頼できる第三者機関へネットワーク等を介して送信し、デジタルデータに機関側で正確な時刻とともに電子署名を付与して発行するものである。

このタイムスタンプ技術では、発行要求者が個々のログあるいは複数のログに対し、タイムスタンプを要求することで、当該ログに対する非改竄性を保証することはできるが、ログ自体が削除されたり、或いはログとログの間に不当な挿入が行われたりする危険性がある。

これに対し、特許文献１には、現在のログに対し、直前に出現したログを対にして保管データとして組み立て、この保管データに対し電子署名を行うことでデータの連続性を保証する技術が開示されている。
特開２００３−１４３１３９号公報

ログの出現時刻及び内容が改竄されていないこと、ログの連続性が保証されていることは上記に示した従来の技術を用いることにより実現することができる。

しかし、近年のコンピュータシステムは多くの計算機、通信機器を接続して構成されており、各機器が発生する要求、エラー、警告、実行記録のログは膨大な数となる。また、通常このようなコンピュータシステムで出現するログはシステムの運用上、実質的に問題がなく、敢えて時刻情報を厳密に保証する必要がないものが殆どであるにも係らず、個々のログに対しタイムスタンプの発行を要求するため、そのためのコストも無視できないものとなっている。

また、所定間隔ごとにまとめて複数のログに対し、タイムスタンプの発行を要求することによりコストを抑えることは可能であるが、所定間隔の間にシステムの運用上重要なログが出現し、そのログに対し改竄等が行われる危険性があるという問題点があった。

かかる課題を解決するために、第一の発明は、コンピュータシステム上で出現した事象情報の履歴を記憶して管理する事象履歴管理システムであって、コンピュータシステム上にて出現した事象情報を取得する事象情報監視部と、取得した事象情報の出現確率が低いものほど高く、出現確率が高いものほど低くなるように重要度を判定し設定する重要度判定手段と、前記事象情報を重要度判定手段により設定された重要度別に区分可能に保持する保持手段と、保持手段に保持された重要度別の事象情報に対して、重要度別に所定数蓄積されると重要度毎に電子署名を施す電子署名手段と、前記電子署名された事象情報を記憶する記憶部を具備し、電子署名手段は、重要度が高い事象情報ほど前記所定数を少なく設定する事象履歴管理システムを提供する。

かかる構成において、出現確率は、過去に出現した事象情報全体に対する出現確率としてもよいし、所定期間における出現確率としてもよい。また、電子署名の処理事態をネットワークを介して外部の第三者機関に依頼するようにしてもよい。この場合は、電子署名を要求する事象情報を送受信するための送受信部を設け、第三者機関で電子署名を施し、再び返信して署名済みの事情情報を記憶するようになる。また、送信先と受信先を分けて、第三者機関で電子署名を施された事象情報を異なる受信先にて、署名済みの事象情報を記憶するようにしてもよい。

かかる構成により、第一の発明は、出現確率が比較的少ない重要度が高い事象情報に対して頻繁に電子署名を施し、出現確率が比較的多い重要度の低い事象情報に対しては纏めてから電子署名を施すことができる。このため、重要度に応じて必要な数の事象情報に対して電子署名を施すことができ、処理の効率化を図ることが可能となる。

また、第二の発明は、コンピュータシステム上で出現した事象情報の履歴を記憶して管理する事象履歴管理システムであって、コンピュータシステム上にて出現した事象情報を取得する事象情報監視部と、取得した事象情報の出現確率が低いものほど高く、出現確率が高いものほど低くなるように重要度を判定し設定する重要度判定手段と、事象情報を重要度判定手段により設定された重要度別に区分可能に保持する保持手段と、保持手段に保持された重要度別の事象情報に対して、各重要度の最初の保持から所定時間が経過すると重要度毎に電子署名を施す電子署名手段と、電子署名された事象情報を記憶する記憶部を具備し、電子署名手段は、重要度が高い事象情報ほど所定時間を短く設定する事象履歴管理システムを提供する。

かかる構成により、第二の発明は、出現確率が少ない重要度の高い事象情報は事象出現から短時間で電子署名を施し、出現確率が多い重要度の低い事象情報は比較的長時間経過後での電子署名を施されるので、事象情報の重要度に応じた適切にタイミングにて電子署名を施すことが可能となる。このため、重要な事象情報ほど改竄できないようになり、処理の効率化を図ることが可能となる。

更に、第一又は第二の発明は、保持手段が電子署名を施していない事象情報である未署名情報と電子署名を施した署名済みの事象情報である署名済情報を保持し、電子署名手段が署名済情報の少なくとも一部と前記未署名情報とを、合わせて電子署名を施すのが好適である。

これにより、事象情報の連続性が保証され、個々の事象情報と事象情報が発生する間への悪意者による事象情報の挿入、或いは削除等の改竄を検知することが容易となる。

以上説明したように、本発明によれば、事象情報（ログ）を出現確率に基づき定められる重要度別に分類し、各重要度で電子署名（タイムスタンプ）を施す条件を異ならせることで、重要度に応じた適切な、事象情報の履歴管理が可能となる。

以下、図を参照して本発明にかかるログ管理装置について説明する。
図１０は、本ログ管理装置１を含んで成る全体システム構成を示す図である。同図において、ログ管理装置１は、例えばサーバ計算機１４上で稼動するプログラムの一部として実現され、サーバ計算機１４上で稼動するメールサーバ、ウェブサーバなど複数のアプリケーション１２に対し、パーソナルコンピュータ１６や携帯電話１７からインターネット１５を介してアクセス等がなされたときに発生するアクセス記録などをログとして記録する。記録されたログはさらにタイムスタンプ発行局１３により電子署名を施され、ログ管理装置１にて保管される。

はじめに、本発明で扱うログについて説明する。本発明で扱うログとは、コンピュータシステム上で発生した事象に対し、その事象が、いつ、どこで、何が発生したかを記録したものである。例えば、図１０のシステムにおいては、Ｗｅｂサーバに対してアクセスが行われた場合に、そのアクセス記録の情報が、アプリケーション名、時刻情報とともにログとしてログ管理装置１に記憶される。尚、図１０を用いて全体のシステム構成を説明したが、メールサーバ、ウェブサーバ等のアプリケーションは他のサーバ計算機内で実現されてもよい。

次に、本発明によるログ管理装置１の構成を図１を用いて説明する。
ログ管理装置１は各部を制御する制御部２、ログファイル等を記憶する記憶部３、ログ出現監視部４、送受信部１０、表示部１１により構成される。

制御部２は、記憶部３に記憶されている各種プログラムを読み出し実行処理する重要度判定部５、グループ化部６、ハッシュ値計算部７、出現確率算出部８、検証部９とを含む。

記憶部３には、出現したログを保存するログファイル３１、出現確率算出部８により算出されるログ出現確率情報３２、タイムスタンプ発行局１３が発行するタイムスタンプトークン３３、ログ管理装置１を実行させ、ログの重要度を判定してハッシュ値を計算するためのプラグラムやログの改竄等が行われていないかを検証する検証用プログラムなどの各種プログラム３４、接続されるアプリケーションが発生するログのデータ構造などログ管理情報３５が記憶されている。

ログ出現監視部４は、ネットワーク等を介して接続された機器が出現するイベントがログとして入力されたか否かをリアルタイムで監視する。図１におけるログ発生部１２は、メールサーバやウェブサーバ等のアプリケーションの出力である。

重要度判定部５は出現したログを予め定めた重要度判定基準に基づきログの重要度を判定し、各ログに重要度分類のラベルを付与する。重要度が付与されたログは、出現順に付与されるログIDとともに記憶部３のログファイル３１に記憶される。

グループ化部６は重要度判定部５で分類されたログを、まだタイムスタンプの発行を要求していないログのログＩＤを未署名ログとして重要度別に蓄積し、未署名ログの蓄積件数が各重要度別に設定した閾値に達したら、当該未署名ログを用いてタイムスタンプの発行要求を行うためのグループを作成する。

ハッシュ値計算部７はグループ化部６で作成されたグループに対し、ハッシュ値を計算する。ハッシュ値を計算するのは、ログの改竄を検知し易くするのと同時に、グループのサイズが異なるときでもハッシュ値のデータ長が一定になるため、計算・保管コストの面でメリットがあるためである。

出現確率計算部８は出現したログの種類別の出現確率を算出して、記憶部３に格納されるログ出現確率情報３２を更新する。

検証部９は、記憶されているログの改竄や破損の有無の検証を行う。保存されているログファイル３１から後述するグループ化部６にてグループ化した単位のログを読み出し、当該ログに対しハッシュ値を再計算し、記憶部３に記憶されているタイムスタンプトークン３３との比較を行い、検証結果を液晶ディスプレー等で実現される表示部１０に表示する。

送受信部１０はハッシュ値計算部７で算出されたハッシュ値に対し、タイムスタンプ発行局１３へタイムスタンプ発行要求を行うとともに、発行されたタイムスタンプトークン３３を、記憶部３のタイムスタンプトークン３３へ記憶する。かかるタイムスタンプトークンが、電子署名されたログ（事象情報）に相当する。

ログ管理装置１とタイムスタンプ発行局１３は、ネットワークを介して接続されている。このため、送受信部１０は、ネットワークを介してタイムスタンプ発行局１３と通信を行う送受信手段を具備している。なお、本実施例では、送受信部を一体化し、受信側をログ管理装置１とするようにしているが、送信手段とは別の場所に受信手段を置き、タイムスタンプトークン３３の保存場所を異ならせるようにしてもよい。

タイムスタンプ発行局１３は、厳正に信頼できる時刻を配信する時刻配信局より時刻の配信を受けた第三者機関であり、ログ管理装置１とはネットワーク等を介して接続される。

このように信頼できる時刻を保持するタイムスタンプ発行局１３でハッシュ値に対しデジタル署名を受けることで、送受信部１０から送ったハッシュ値がタイムスタンプトークン３３発行時に存在したことが証明され、悪意者による改竄や破損の有無の検証が可能となる。

次に記憶部３に記憶されているデータについて説明する。
記憶部３には、ログ管理装置１に接続された他の機器の動作記録やネットワーク等を介して接続される他の機器との通信記録として出現したログが記憶されている。個々のログには図６に示すように出現順に従ってログＩＤが付与され、重要度の判定結果とともにログファイル３１に順次記憶される。

個々のログの構成の例を図３に示す。図３に示す例では個々のログは時刻情報３０１とイベント内容３０２より構成される。
時刻情報３０１はログ管理装置１がもつ時計（不図示）によりログ取得時に付与される時刻情報である。イベント内容３０２は、どのアプリケーション或いは機器が、どのような種類の動作や通信が行なわれたかを示すものである。かかるイベント内容は、一般的にログにおいて種々のアプリケーションや接続機器が共通して使用している１つ以上の分類情報３０４と、個々のアプリケーション独自に使用される付加情報３０５から構成されている。なお、付加情報３０５は、必ずしも含まれているとは限らない。

分類情報３０４は、アプリケーション（機能）の種類を示す情報や、その機能による動作記録の分類（ログイン記録、作業記録、エラー情報など）、さらに動作記録の分類を細分化した情報（ログイン記録の成功、不成功）などの複数の情報である。ログ管理システムでは、得られたログより時刻情報３０１と付加情報３０５を除く複数の分類情報３０４を抽出して処理を行う。ログの構成及び、ログのどの部分の情報を分類情報として抽出して処理するかは予め記憶部３のログ管理情報３５に記憶している。
出現したログは記憶部３においてログファイル３１に順次追加記憶され、保存される。

次に記憶部３に記憶されるログ出現確率情報３２について説明する。
本発明では、出現確率により重要度の分類を行っている。具体的には、出現確率が低いログを重要度が高く、出現確率が高いログを重要度が低いとしている。

記憶部３には、ログ出現確率情報３２として図５に示すテーブルが記憶されている。
図５に示すテーブルには、図４に示すように予め記憶してあるログ管理情報３５に従ってイベント内容３０２からログ固有の付加情報３０５を除いた部分を抽出したイベント内容分類情報３０３がリスト化されている。

なお、本発明におけるログの出現確率は、本実施の形態におけるイベント内容分類情報３０３の出現確率に相当する。ログ出現確率情報３２には、出現したログ（イベント内容分類情報３０３）のリストと各ログの出現回数及び、過去に出現したログの総数に対する出現確率が記憶されている。例えば、図５に示す内容では、イベント内容分類情報３０３の「ＡＡＡ」は、出現した回数である出現回数情報が「１５」あり、出現確率は、出現数が全２０回（「ＡＡＡ」「ＢＢＢ」「ＣＣＣ」の出現回数の合計）の内、１５回であるから、７５％となっている。

具体的な重要度の判定基準は、重要度判定部５にて定めている。例えば、出現確率が０．００１（０．１％）以下のログを重要度が「高」、出現確率が０．００１より大きく０．００５（０．５％）以下のログを「中」、出現確率が０．００５より大きいログを「低」のようしておく。あるログが出現した場合、重要度判定部５は、記憶部３の出現確率情報３２を参照し、図５のテーブルに出現したログの過去は出現確率が１％と記憶されていれば、重要度が「低」と判定する。
このようにログの重要度はログ出現確率情報３２に応じて自動的に定まるように設定される。

ここで、ログの重要度を出現確率と結びつけている根拠について説明する。重要度が高いログは、システムの運用に影響を与える程度が高いログである。例えば、重要度の高いログには、機器等が提供する重要な機能の異常停止通知や、権限を持たない第三者の侵入情報、管理者が意図していない他の機能の開始通知などが相当する。

このような重要度が高い情報は、システムの運用管理が適切に行われている限り、出現する可能性が低い事象である。言い換えると、重要度の高い事象が頻発する状況は、システムの運用管理がそもそも適切に行なっていない状況である。このような状況は、通常、システム利用者からのクレーム等によって、かかる事象が頻発しないように、システムの管理者が適切に設定又は対処を行なわれ、放置されることは極めて稀である。
従って、運用期間の全般にわたり考慮した場合、管理者の適切な設定又は対処により、重要度が高い情報の出現確率は低くなる。

一方、一般の機器は実運用上問題のない場合でも警告、エラーの情報を頻繁に出現させるのが通常である。このように出現確率の高いログは、システムの実運用上は問題がなく、重要度が低い情報と言える。

上記のように出現したログを重要度ごとに分類し、各重要度に応じて適した処理を行うようにしている。具体的には、重要度が高いログの場合、悪意者による改竄等を防ぐため、電子署名の一態様であるタイムスタンプの発行を要求する頻度を多くし、一方重要度が低いログの場合は、タイムスタンプの発行に係るコストを低減させることを重視し、所定個数のログが蓄積されてからまとめてタイムスタンプの発行要求をおこなっている。

次に、図２のログ管理装置１における処理のフローチャートを参照して、出現したログに対し、ログ管理装置１がタイムスタンプの発行要求を行い、発行されたタイムスタンプトークンを保管する処理について説明する。

ログ管理装置１が稼動を開始すると、まずステップＳ１では、ログ管理装置１に直接或いはネットワーク等を介して接続される機器の動作或いは通信との通信により新たなログが出現したか否かの監視をログ出現監視部４が行う。

ログ出現監視部４にてログの出現が確認されると、ステップＳ２で予め設定された条件に基づき重要度判定部５が出現したログの重要度の判定を行う。

具体的には、重要度判定部５は出現したログが記憶部３のログ出現確率情報３２に記憶されたものであるか否かをまず判定し、記憶されているものであれば過去の出現確率に応じて、重要度を「高」「中」「低」の３段階に重要度の分類を付与し、記憶部３のログファイル３１へ当該ログを記憶する。本実施の形態では、重要度をその他の複数の段階に分類できることは言うまでもない。
過去に出現したログでなければ、過去の出現確率０％として重要度の判定を行い、同様に記憶部３のログファイル３１へ当該ログを記憶する。

ステップＳ３では、新たに出現したログの情報に基づき記憶部３のログ出現確率情報３２を更新する。具体的には、ログ出現確率情報３２に既に記憶されているものであれば、出現回数情報とログの総数情報Ｓを「１」増加させ、出現確率の値を更新する。ログ出現確率情報３２に記憶されていなければ、新たに該当イベント内容分類情報の行を追加し、その出現回数情報を「１」とし、出現確率を求め記憶する。

なお、本実施の形態の出現確率は、ログの総数に対する出現割合としたが、ログ出現確率情報３２として時間帯ごとに異なるテーブルを用いるなどしてもよい。このようにすることで時間帯により出現頻度が著しく異なるログに対しても適切な処理が可能となる。

また、システムが稼動し始めた初期の状態ではログの総数情報Ｓが小さいため、１つのログの入力により既存の出現確率が大きく変化し、たとえ同じログが２回続いた状態でも前後のログで重要度が「高」と「低」と極端に分離してしまうことがあり、定常に近い運用が困難であるため、実運用では十分に長い時間の試験運用を行い、ログ出現確率情報３２のデータを蓄積することが望ましい。

さらに、本実施の形態のようにログの出現に伴いログ出現確率情報３２を順次更新するようにしているが、十分なデータ蓄積がある場合、１つのログの入力では出現確率の変化が小さいために、所定間隔周期で、ログ出現確率情報３２を再計算させるようにしてもよい。

次にステップＳ４においてグループ化部６は、重要度別に定めたタイムスタンプ発行要求の条件が満たされているか否かを判定する。

具体的には、グループ化部６では、予め重要度別に、グループ化処理の開始数となる未処理のログ蓄積個数が設定されている。本実施の形態では、重要度「高」のログに対しては「１」個、重要度「中」のログに対しては「２」個、重要度「低」のログに対しては「４」個が設定されている。かかる蓄積個数については、システムに応じて適宜の数を設定すればよい。

新たなログが出現すると重要度別にログの蓄積個数が、予め重要度別に定めた閾値（所定蓄積数）に達したら署名発行要求を行うためのグループ情報を作成するステップＳ６に進む。
他方、未処理ログの個数が所定数蓄積されていない場合は、ステップＳ５にて、当該ログのＩＤを記憶し、ステップＳ１へ戻る。

ステップＳ６では、ステップＳ５にてグループ化されたログＩＤを用いて、記憶部３のログファイル３１からログ情報を読み出し電子署名の対象となるログ情報のグループを作成する。

ステップＳ７では、Ｓ６で作成したグループに属する未処理ログに対し、ハッシュ値算出部７がハッシュ値を計算する。前述のようにハッシュ値を計算するのは、ログの改竄を検知し易くするのと同時に、重要度に応じてグループのサイズが異なるときでもハッシュ値のデータ長が一定になるため、計算・保管コストの面でメリットがあるためである。

ステップＳ８では、ハッシュ値算出後、グループを解除するとともに、該当する重要度の未処理ログの蓄積数を初期化する。ステップＳ９では、計算されたハッシュ値よりタイムスタンプ発行要求を作成し、タイムスタンプ発行局１３へ発行要求を送受信部１０より送信する。

ステップＳ１０では、送受信部１０では、発行要求に従いタイムスタンプ発行局１３より発行されたタイムスタンプトークンの受信するまで待機する。

ステップＳ１１では、タイムスタンプトークンを受信し記憶部３のタイムスタンプトークン３３に保存する。

なお、ステップ１０およびステップ１１の処理は、タイムスタンプ発行要求の処理（Ｓ１〜Ｓ９）と独立して行ってもよい。
最後にステップＳ１２においてシステムが稼動中であればステップS１へ戻る。

次に、図７を用いてステップＳ４〜Ｓ６のグループ化部６の処理について、詳しく説明する。図７は、発生順にログを並べ、グループ化処理の動作を示す図である。同図は、ログの発生順を上下方向に示し、各重要度の各重要度のログ蓄積個数、およびグループ化処理の有無を左右方向に対応づけて示している。

先ず、総ての重要度について、未処理ログ蓄積数が「０」であったとする。
次に、ステップＳ２にて重要度「高」の判定が行われたログ（ＩＤ０００１：高）が入力されると、重要度「高」の未処理ログの蓄積数に「１」加える。具体的には、「０」だった重要度「高」の未処理の蓄積数を「１」とする。そして、重要度「高」のグループ化処理の開始数は「１」なので、ＩＤ０００１をグループ化の対象とし、ステップＳ６のグループ化処理へ進む。この際、他の重要度「中」、重要度「低」の未処理ログ蓄積数は現状のまま「０」である。なお、重要度「高」の未処理ログ蓄積数は、ステップ８のグループ解除処理によって、「０」に設定される。

続いて、ステップＳ２にて重要度「低」の判定が行われたログ（ＩＤ０００２：低）が入力されると、重要度「低」の未処理ログ蓄積数に「１」加える。具体的には、「０」だった重要度「低」の未処理ログ蓄積数を「１」とする。そして、重要度「低」のグループ化処理の開始数は「４」なので、ステップＳ５のグループ情報保持の処理へ進む。この際、他の重要度「中」、重要度「低」の未処理ログ蓄積数は現状のまま「０」である。

ＩＤ０００３、ＩＤ０００４に対しては、ＩＤ０００２と同様な処理が繰り返される。ＩＤ０００５に対しては、重要度が「中」であるので、重要度「中」の未処理ログ蓄積数を「１」とする点のみが異なる。

次に、ＩＤ０００６が入力されると、重要度「低」のログ蓄積数が「４」になるため、重要度「低」のグループ化処理の開始数は「４」なので、ＩＤ０００２、ＩＤ０００３、ＩＤ０００４、ＩＤ０００５をグループ化の対象とし、ステップＳ６のグループ化処理へ進む。この際、他の重要度「中」、重要度「低」の未処理ログ蓄積数は現状のままである。なお、重要度「低」の未処理ログの蓄積数は、ステップ８のグループ解除処理によって、「０」に設定される。

ＩＤ０００７が入力されると、前述と同様な処理が施され、重要度「低」の未処理ログ蓄積数を「１」に設定され、ステップ５の処理に進む。

ＩＤ０００８が入力されると、重要度「中」のログ蓄積数が「２」になるため、重要度「中」のグループ化処理の開始数は「２」なので、ＩＤ０００５、ＩＤ０００８をグループ化の対象とし、ステップＳ６のグループ化処理へ進む。この際、他の重要度「高」、重要度「低」の未処理ログ蓄積数は現状のままである。なお、重要度「中」の未処理ログの蓄積数は、ステップ８のグループ解除処理によって、「０」に設定される。
グループ化部６は、かかる処理を繰り返し、実行している。

本実施の形態では、グループ化の際に、未処理ログのみを対象としてグループ化しているが、これに限られるものではなく、例えば、重要度別に前回のグループ化に含まれたログを１つ以上含ませてグループを形成しても良い。すなわち、図７の例で言えば、重要度「低」で最初にグループ化されたＩＤ０００４、ＩＤ０００６を次回のグループ化される重要度「低」において一緒にグループ化することができる。

この場合、グループ化を条件とする閾値をｎとした場合、前回のグループ化時のｎ／２個のログを含ませるのが後述する検証部９にて検証する際に好適である。ただし、グループ化サイズが１の場合は、前回のグループ化時のログ１つを含ませる。

また、本実施の形態では、重要度に応じて設定された個数のログが蓄積されたことによりタイムスタンプ要求を発行するようにしているが、この方法に限られず、蓄積個数に替えて重要度に応じた時間経過によってタイムスタンプ要求を発行することができる。

時間経過による場合の動作について、図８を参照してグループ化部６の別の実施の形態について説明する。

前述の実施の形態と異なるのは、ステップＳ４の処理、ステップＳ６への移行がタイマーからの出力であること、必要の無くなった未処理ログ蓄積数の記憶および更新の処理、更に重要度ごとに最初の発生ログから計時を開始し所定時間を経過すると出力するタイマーを新たに設けた点である。このため、ステップＳ４の処理を中心に説明する。ここで、重要度「高」のタイマーは、起動から１分経過、重要度「中」のタイマーは起動から１０分経過、重要度「低」のタイマーは起動から６０分経過すると出力する。なお、この所定時間は、システムの設計時に適宜選択し、設定される。

先ず、図８では、重要度ごとに設けられているタイマーは、総てＯＦＦ状態となっているとする。

次に、ステップＳ２にて重要度「高」の判定が行われたログ（ＩＤ０００１：高）が入力されると、グループ化部６においてログＩＤに重要度を付与し、重要度「高」のタイマーが起動しているかを判断し、今回は起動していないので重要度「高」のタイマーを起動する。タイマーを起動すると、グループ情報保持処理であるステップＳ５に進む。

かかる重要度「高」タイマーは１分経過すると出力するので、１分経過するとステップＳ６の処理を開始する。ステップ６では、ステップＳ５において記憶されたグループ情報であるＩＤ０００１に基づき、ＩＤ０００１の記憶部３のログファイル３１からログを読み出し、グループ化情報を作成する。その後の処理は、前述の処理と基本的に同様である。但し、ステップＳ８におけるグループ解除ではタイマーをリセットする点が異なる。

続いて、ステップＳ２にて重要度「低」の判定が行われたログ（ＩＤ０００２：低）が入力されると、現在重要度「低」タイマーが未だ起動していないので、重要度「低」タイマー（６０分タイマー）を起動し、その後にステップＳ５に進む。

重要度「低」のログであるＩＤ０００３、ＩＤ０００４、ＩＤ０００６、ＩＤ０００７、ＩＤ０００９、ＩＤ００１２は、ＩＤ０００２の場合と異なり、重要度「低」タイマーが計時中なので、ステップＳ５でのグループ化情報としてのそれぞれのログＩＤを記憶させる。

そして、重要度「低」タイマーが６０分経過して出力すると、ステップＳ６の処理を開始する。ステップ６では、ステップＳ５において記憶されたグループ情報である、ＩＤ０００２、ＩＤ０００３、ＩＤ０００４、ＩＤ０００６、ＩＤ０００７、ＩＤ０００９、ＩＤ００１２に基づき、記憶部３のログファイル３１からログを読み出し、グループ化情報を作成する。その後の処理は、前述の処理と同様である。但し、ステップＳ８におけるグループ解除ではタイマーをリセットする点が異なる。

ＩＤ０００５に対しては、重要度が「中」であるので、重要度「中」タイマー（１０分タイマー）を起動する。その後、重要度「中」タイマーの出力があると、ステップＳ６の処理を開始する。ステップ６では、ＩＤ０００５に基づき、記憶部３のログファイル３１からログを読み出し、グループ化情報を作成する。その後の処理は、前述の処理と同様である。但し、ステップＳ８におけるグループ解除ではタイマーのリセットする点が異なる。
本実施の形態のグループ化部６は、かかる処理を繰り返し、実行している。

次に、検証部９におけるログ情報が改竄等されているかの検証について説明する。
検証部９は、検証の旨のコマンドを受けると記憶部３のログファイル３１に保存されているログに対し、タイムスタンプトークンを再計算し、ログ出現時に生成したタイムスタンプトークンとの比較結果を表示部１１に表示する。比較結果が異なる場合は、該当箇所を表示する。

検証部９による検証の結果、改竄や破損があったログが重なった部分であれば、前回のハッシュ値と今回のハッシュ値の双方のハッシュ値が異なることとなる。

具体的には、検証部９は、記憶部３に保存されているログファイル３１から検証対象となるグループ化部６にてグループ化されたログを抽出し、抽出したログからハッシュ値を再計算し、記憶部３に記憶されているタイムスタンプトークン３３に含まれるハッシュ値との比較を行い、同じであればログがタイムスタンプ発行時より改竄あるいは破損が起きていないことの確認ができ、異なる場合は当該ログに改竄あるいは破損があることが起きていることが確認できる。タイムスタンプトークン自体への改竄、削除等、タイムスタンプ局が発行したＩＤが付与されているため、検出することは可能となる。

図９（ａ）の例では重なる部分を１つとしており、改竄や破損があったログがこの重なった部分であれば確実に特定できる。しかし、改竄や破損があったログが重なっていない部分が3つあり、改竄等があったログがこの重なっていない部分であれば、位置特定精度が重なった部分と重ならない部分でばらつきが生じることになる。これに対し、図９（ｂ）のように重なる部分と重ならない部分の個数を同じすることで、改竄等があった場合の位置を完全に特定はできないが、どの部分においても同程度の確からしさを確保できる。
即ち、本実施例においては、重要度ごとに定めた所定の蓄積数ｎに直前に作成したグループからｎ／２個のログを含めてグループ化を行うことで上記のように改竄等があった場合の位置特定精度を均一化している。

本発明によるログ管理装置の構成とタイムスタンプ発行局１３との関連を示す図である。本発明の動作を説明するフローチャートである。ログの構成を示す図である。イベント内容分類情報の構成を示す図である。ログ出現確率情報の管理するテーブルである。ログファイルのデータ構造を示す図である。グループ化部６の処理動作を示す図である。グループ化部６の別の実施形態の動作を示す図である。グループ化を行うときのデータの重なりを説明する図である。ログ管理装置を含む全体システム構成を示す図である。

符号の説明

１ログ管理装置
２制御部
３記憶部
３１ログファイル
３２ログ出現確率情報
３３タイムスタンプトークン
３４各種プログラム
３５ログ管理情報
４ログ出現監視部
５重要度判定部
６グループ化部
７ハッシュ値計算部
８出現確率計算部
９検証部
１０送受信部
１１表示部
１２ログ発生部（アプリケーション）
１３タイムスタンプ発行局
１４サーバ計算機
１５インターネット
１６パーソナルコンピュータ
１７携帯電話

Claims

コンピュータシステム上で出現した事象情報の履歴を記憶して管理する事象履歴管理システムであって、
前記事象情報を取得する事象情報監視部と、
前記取得した事象情報の出現確率が低いものほど高く、出現確率が高いものほど低くなるように重要度を判定し設定する重要度判定手段と、
前記事象情報を前記重要度判定手段により設定された重要度別に区別可能に保持する保持手段と、
前記保持手段に保持された重要度別の事象情報に対して、重要度別に所定数蓄積されると電子署名を施す電子署名手段と、
前記電子署名された事象情報を記憶する記憶部を具備し、
前記電子署名手段は、重要度が高い事象情報ほど前記所定数を少なく設定することを特徴とした事象履歴管理システム。
コンピュータシステム上で出現した事象情報の履歴を記憶して管理する事象履歴管理システムであって、
前記事象情報を取得する事象情報監視部と、
前記取得した事象情報の出現確率が低いものほど高く、出現確率が高いものほど低くなるように重要度を判定し設定する重要度判定手段と、
前記事象情報を前記重要度判定手段により設定された重要度別に区分可能に保持する保持手段と、
前記保持手段に保持された重要度別の事象情報に対して、各重要度の最初の保持から所定時間が経過すると電子署名を施す電子署名手段と、
前記電子署名された事象情報を記憶する記憶部を具備し、
前記電子署名手段は、重要度が高い事象情報ほど前記所定時間を短く設定することを特徴とした事象履歴管理システム。
請求項1または請求項２に記載の事象履歴管理システムにおいて、
前記保持手段は、電子署名を施していない事象情報である未署名情報と電子署名を施した署名済みの事象情報である署名済情報を保持し、
前記電子署名手段は、前記署名済情報の少なくとも一部と前記未署名情報とを、合わせて電子署名を施す事象履歴管理システム。