JP5156663B2 - 情報処理装置およびプログラム - Google Patents

情報処理装置およびプログラム Download PDF

Info

Publication number
JP5156663B2
JP5156663B2 JP2009031530A JP2009031530A JP5156663B2 JP 5156663 B2 JP5156663 B2 JP 5156663B2 JP 2009031530 A JP2009031530 A JP 2009031530A JP 2009031530 A JP2009031530 A JP 2009031530A JP 5156663 B2 JP5156663 B2 JP 5156663B2
Authority
JP
Japan
Prior art keywords
file
management unit
unit
system call
address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2009031530A
Other languages
English (en)
Other versions
JP2010186426A (ja
Inventor
剛義 飯塚
敬祐 竹森
俊哉 佐山
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
KDDI Corp
Original Assignee
KDDI Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by KDDI Corp filed Critical KDDI Corp
Priority to JP2009031530A priority Critical patent/JP5156663B2/ja
Publication of JP2010186426A publication Critical patent/JP2010186426A/ja
Application granted granted Critical
Publication of JP5156663B2 publication Critical patent/JP5156663B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Storage Device Security (AREA)

Description

本発明は、リモートアクセスに係る処理を行う情報処理装置に関する。また、本発明は、本情報処理装置としてコンピュータを機能させるためのプログラムにも関する。
リモートアクセスによりサーバなどのネットワーク機器に侵入するリモート侵入者の挙動を監視するために、わざと侵入しやすいように設定したハニーポット（例えば、非特許文献１参照）が注目されている。多くのリモート侵入者は、ハニーポットから情報を奪取したり、悪意のコードを仕込んで踏み台にしたりするために、ハニーポット内でファイルに対するアクセスを行う。
一般的なハニーポット上の挙動監視ツールとしてファイル変更検知システムが利用されている（例えば、非特許文献２参照）。このファイル変更検知システムは、正しいファイルの状態をデータベースに記録して、このデータベースに記録されているファイルの状態と実際のファイルの状態を定期的に比較することで、前回の検査時点から追加／変更／削除されたファイルを検知する。
また、重要なファイルにアクセスしたプロセスの情報（プロセスID）を記録するシステムも提案されている（例えば、非特許文献３参照）。このシステムは、重要なファイルにアクセスしたプロセスに注目して、どのプロセスがどのファイルを外部に漏洩したのかを追跡する。
田原祐介、"ハニーポットを利用したネットワークの危機管理"、[online]、２００２年１月１９日、[２００９年１月３０日検索]、インターネット＜URL: http://www.atmarkit.co.jp/fsecurity/special/13honey/honey01.html＞ "IT全般統制ソリューションを実現へ トリップワイヤ・ジャパン"、[online]、２００８年、 [２００９年１月２９日検索]、インターネット＜URL:http://www.tripwire.co.jp/＞ 植村 晋一郎、田端 利宏、谷口 秀夫、"機密情報の拡散追跡機能のソケット通信への適用手法"、情報処理学会、ＤＩＣＯＭＯ２００８シンポジウム、ｐｐ．７６８−７７５、２００８年７月
しかし、ファイル変更検知システムでは、検査を行った瞬間のファイルの状態を検知することができるものの、定期的な検査の間に追加／変更／削除された記録は残らない。例えば、検査と検査の間において、新たなファイルが追加され、そのファイルが削除された場合、そのファイルの状態を検知することができない。また、ファイル操作を行ったプロセスや、リモートアクセスしているユーザのIPアドレスを把握することもできない。
一方、重要なファイルにアクセスしたプロセスを記録するシステムでは、事前に定義された重要なファイル以外のファイルにアクセスが行われた場合や新たなファイルが追加された場合には、その記録が残らない。また、リモートアクセスしているユーザのIPアドレスを把握することもできない。
本発明は、上述した課題に鑑みてなされたものであって、リモートアクセスに関するファイル名、プロセスID、および外部の通信装置のIPアドレスをリアルタイムに記録することができる情報処理装置およびプログラムを提供することを目的とする。
本発明は、上記の課題を解決するためになされたもので、リモートでアクセスしてきた通信装置のIPアドレスと、当該アクセスに用いられたプロセスを識別するプロセスIDとを関連付けて記憶する第１の記憶手段と、プロセスがファイルにアクセスする際にOSのカーネルに発行するシステムコールを検出した場合に、前記プロセスからファイル名およびプロセスIDを取得して処理手段に渡すシステムコール管理手段と、前記システムコール管理手段から渡されたプロセスIDと一致するプロセスIDと関連付けられたIPアドレスを前記第１の記憶手段から取得し、前記ファイル名、前記プロセスID、前記IPアドレスを第２の記憶手段に格納する前記処理手段と、前記処理手段によって格納された前記ファイル名、前記プロセスID、前記IPアドレスを記憶する前記第２の記憶手段と、を備えることを特徴とする情報処理装置である。
また、本発明は、リモートでアクセスしてきた通信装置のIPアドレスと、当該アクセスに用いられたプロセスを識別するプロセスIDとを関連付けて記憶する第１の記憶手段と、第１のプロセスが第２のプロセスを生成する際にOSのカーネルに発行する第１のシステムコールを検出した場合に、前記第１のプロセスから第１のプロセスIDを取得して処理手段に渡す第１のシステムコール管理手段と、前記第２のプロセスがファイルにアクセスする際にOSのカーネルに発行する第２のシステムコールを検出した場合に、前記第２のプロセスからファイル名および第２のプロセスIDを取得して前記処理手段に渡す第２のシステムコール管理手段と、前記第１のシステムコール管理手段から渡された前記第１のプロセスIDと一致するプロセスIDと関連付けられたIPアドレスを前記第１の記憶手段から取得し、前記ファイル名、前記第１のプロセスID、前記第２のプロセスID、前記IPアドレスを第２の記憶手段に格納する前記処理手段と、前記処理手段によって格納された前記ファイル名、前記プロセスID、前記IPアドレスを記憶する前記第２の記憶手段と、を備えることを特徴とする情報処理装置である。
また、本発明の情報処理装置は、第３の記憶手段をさらに備え、前記処理手段はさらに、前記ファイル名に対応するファイルを前記第３の記憶手段に格納し、前記第３の記憶手段は、前記処理手段によって格納されたファイルを記憶することを特徴とする。
また、本発明は、上記の情報処理装置としてコンピュータを機能させるためのプログラムである。
本発明によれば、リモートアクセスに関するファイル名、プロセスID、および外部の通信装置のIPアドレスをリアルタイムに記録することができる。
本発明の一実施形態による情報処理装置の構成を示すブロック図である。 本発明の一実施形態による情報処理装置において、ファイルに書き込みを行う場合の処理の様子を示す参考図である。 本発明の一実施形態による情報処理装置が実行する処理の手順を示すフローチャートである。 本発明の一実施形態による情報処理装置において、子プロセスを生成する場合の処理の様子を示す参考図である。 本発明の一実施形態において、親プロセスと子プロセスによるファイルへのアクセスの様子を示す参考図である。
以下、図面を参照し、本発明の実施形態を説明する。図１は、本発明の一実施形態による情報処理装置の構成を示している。カーネル１０は、情報処理装置上で動作するオペレーティングシステム（OS）の根幹をなしており、システムコール管理部１００、管理テーブル１１０、処理部１２０、ファイル書き込み部１３０、およびプロセス生成部１４０を備える。
これらの構成を備えるカーネル１０は、CPUがOS用のプログラムをメモリ（RAM）に読み込んで実行することによって起動するものであり、CPUおよびメモリのリソースを含んで構成されている。すなわち、図１に示すカーネル１０は、カーネルとしての機能を実現するための処理を実行するCPUのリソースと、その処理を実行するためにメモリに割り当てられた領域とを含んでいる。
システムコール管理部１００は、情報処理装置上で生成されたプロセスがカーネル１０に対して各種要求を行う際に発行するシステムコールを管理する。管理テーブル１１０は、一般的にはsys_call_table[]と呼ばれるテーブルであり、システムコールによってプロセスから要求を受けた際に呼び出す処理プログラム（カーネル関数）を指す情報が記録されている。
処理部１２０はファイル書き込み管理部１２１とプロセス生成管理部１２２を備える。ファイル書き込み管理部１２１は、本実施形態で定義するカーネル関数であるhook_write()関数の機能を備えており、プロセスからカーネル１０に対してファイルへの書き込みが要求された場合に、後述する処理を実行する。プロセス生成管理部１２２は、本実施形態で定義するカーネル関数であるhook_fork()関数の機能を備えており、プロセスからカーネル１０に対してプロセスの生成が要求された場合に、後述する処理を実行する。
ファイル書き込み部１３０は、一般的にはsys_write()関数と呼ばれるカーネル関数であり、ファイルへの書き込みを行う。プロセス生成部１４０は、一般的にはsys_fork()関数と呼ばれるカーネル関数であり、プロセスの生成を行う。
記憶装置２０は、HDD（ハードディスクドライブ）やフラッシュメモリ等であり、各種ファイル等を記憶する。
次に、本実施形態による情報処理装置の動作を説明する。以下では、２つの動作例を挙げて説明する。
＜第１の動作例＞
図２は、SSH（Secure SHell）等のプログラムを利用してPC等の通信装置（リモート侵入者）がリモートで情報処置装置にログインし、ファイルに書き込みを行う場合の処理の様子を示している。リモートログインによって情報処理装置上で生成されたプロセスであるリモートログインプロセス３０は、ファイルに書き込みを行うため、カーネル１０に対してファイルへの書き込み要求を出す。カーネル１０のシステムコール管理部１００は、ファイルへの書き込み要求を受けると管理テーブル１１０を参照し、管理テーブル１１０が示す処理プログラムに処理を受け渡す。
管理テーブル１１０には、要求毎に、その要求に対応する処理プログラムを指す情報が記録されている。従来の動作では、ファイルへの書き込み要求にはファイル書き込み部１３０が対応しているため、ファイル書き込み部１３０に処理が受け渡される。しかし、本実施形態では、管理テーブル１１０が予め書き換えられており、ファイルへの書き込み要求にはファイル書き込み管理部１２１が対応している。このため、カーネル１０がファイルへの書き込み要求を受けた場合、ファイル書き込み管理部１２１に処理が受け渡される。
ファイル書き込み管理部１２１は、本実施形態で定義する処理を実行した後、ファイル書き込み部１３０に処理を受け渡す。ファイル書き込み部１３０は、ファイルに対する書き込みを実行した後、処理結果をファイル書き込み管理部１２１に返す。ファイル書き込み管理部１２１は処理結果をリモートログインプロセス３０に返す。
図３は、ファイル書き込み管理部１２１が、システムコール管理部１００から処理を受け渡されてからファイル書き込み部１３０に処理を受け渡すまでに実行する処理の詳細な手順を示している。リモートログインプロセス３０が、カーネル１０に対して、ファイルへの書き込み要求を示すシステムコールを発行すると、そのシステムコールを検出したシステムコール管理部１００は管理テーブル１１０を参照し、ファイル書き込み管理部１２１に処理を受け渡す。これによって、ファイル書き込み管理部１２１へ処理が移行する（ステップＳ１００）。
ファイル書き込み管理部１２１は、システムコール管理部１００にファイル名の取得を要求する。システムコール管理部１００はリモートログインプロセス３０からファイル名を取得し、ファイル書き込み管理部１２１に渡す（ステップＳ１０５）。ファイル書き込み管理部１２１は、そのファイル名が、記憶装置２０に保存されているアクセスログのファイル名（アクセスログ名）と一致するか否かを判定する（ステップＳ１１０）。ログイン時には、アクセスログに対する書き込み要求が行われる。取得したファイル名がアクセスログ名と一致した場合、ファイル書き込み管理部１２１は、システムコール管理部１００にファイル名、プロセスID、およびリモート侵入者のIPアドレスの取得を要求する。システムコール管理部１００はリモートログインプロセス３０からファイル名、プロセスID、およびIPアドレスを取得し、ファイル書き込み管理部１２１に渡す（ステップＳ１２０）。
続いて、ファイル書き込み管理部１２１は、取得したファイル名、プロセスID、およびIPアドレスをファイル書き込み部１３０に渡すと共に、ファイル書き込み部１３０に処理を受け渡す。これによって、ファイル書き込み部１３０へ処理が移行する（ステップＳ１４５）。ファイル書き込み部１３０は、記憶装置２０に保存されているアクセスログに対して、ファイル名、プロセスID、およびIPアドレスを関連付けて記録する。
一方、リモートログインプロセス３０がアクセスログ以外のファイルに対する書き込み要求を行った場合、ステップＳ１１０において、取得したファイル名はアクセスログ名と一致しない。すると、ファイル書き込み管理部１２１は、システムコール管理部１００にファイル名とプロセスIDの取得を要求する。システムコール管理部１００はリモートログインプロセス３０からファイル名とプロセスIDを取得し、ファイル書き込み管理部１２１に渡す（ステップＳ１１５）。ファイル書き込み管理部１２１は、記憶装置２０からアクセスログを読み出し、ステップＳ１１５で取得したプロセスIDと、アクセスログに記録されているプロセスIDとが一致するか否かを判定する（ステップＳ１２５）。
ステップＳ１１５で取得したプロセスIDが、アクセスログに記録されているどのプロセスIDとも一致しない場合、ファイル書き込み管理部１２１は、システムコール管理部１００から取得したファイル名をファイル書き込み部１３０に渡すと共に、ファイル書き込み部１３０に処理を受け渡す。これによって、ファイル書き込み部１３０へ処理が移行する（ステップＳ１４５）。ファイル書き込み部１３０は、記憶装置２０に保存されているファイルのうち、取得したファイル名を有するファイルに書き込みを行う。
一方、ステップＳ１１５で取得したプロセスIDが、アクセスログに記録されているいずれかのプロセスIDと一致した場合、ファイル書き込み管理部１２１は、そのプロセスIDと関連付けられているIPアドレスをアクセスログから取得する（ステップＳ１３０）。続いて、ファイル書き込み管理部１２１は、記憶装置２０に保存されているファイル操作ログに対して、取得したファイル名、プロセスID、およびIPアドレスを関連付けて記録する（ステップＳ１３５）。
続いて、ファイル書き込み管理部１２１は、記憶装置２０に保存されているファイルのうち、取得したファイル名を有するファイルを読み出し、そのコピーを証拠ファイルとして記憶装置２０に記録する（ステップＳ１４０）。証拠ファイルを記録した後、ファイル書き込み管理部１２１は、リモートログインプロセス３０から取得したファイル名をファイル書き込み部１３０に渡すと共に、ファイル書き込み部１３０に処理を受け渡す。これによって、ファイル書き込み部１３０へ処理が移行する（ステップＳ１４５）。ファイル書き込み部１３０は、記憶装置２０に保存されているファイルのうち、取得したファイル名を有するファイルに書き込みを行う。
上記の処理によれば、ファイルへの書き込み要求が発生した際に、ファイル名、プロセスID、およびリモート侵入者のIPアドレスを記録することができる（ステップＳ１３５に対応）。また、リモートログインプロセス３０から要求されたファイルへの書き込みを行う前にファイルを証拠として記録することができる（ステップＳ１４０に対応）。
＜第２の動作例＞
第２の動作例では、リモートログインプロセス３０によって生成された、リモートログインプロセス３０を親プロセスとする子プロセスがファイルへの書き込み要求を発生する場合に、ファイル名、親プロセスID、子プロセスID、およびIPアドレスを関連付けて記録する。図４は、リモートログインプロセス３０が子プロセスを生成する場合の処理の様子を示している。
リモートログインプロセス３０は、子プロセスを生成するため、カーネル１０に対してプロセスの生成要求を出す。カーネル１０のシステムコール管理部１００は、プロセスの生成要求を受けると管理テーブル１１０を参照し、管理テーブル１１０が示す処理プログラムに処理を受け渡す。
従来の動作では、プロセスの生成要求にはプロセス生成部１４０が対応しているため、プロセス生成部１４０に処理が受け渡される。しかし、本実施形態では、管理テーブル１１０が予め書き換えられており、プロセスの生成要求にはプロセス生成管理部１２２が対応している。このため、カーネル１０がプロセスの生成要求を受けた場合、プロセス生成管理部１２２に処理が受け渡される。
プロセス生成管理部１２２は、本実施形態で定義する処理を実行する。このとき、プロセス生成管理部１２２は、システムコール管理部１００を介してリモートログインプロセス３０からプロセスIDを取得し、保持する。その後、プロセス生成管理部１２２はプロセス生成部１４０に処理を受け渡す。プロセス生成部１４０は、プロセスの生成を実行した後、処理結果をプロセス生成管理部１２２に返す。プロセス生成管理部１２２は処理結果をリモートログインプロセス３０に返す。
この後、生成された子プロセスがファイルへの書き込み要求を発生する。このときの動作は図２および図３に示した通りである。なお、図３のステップＳ１２５では、ファイル書き込み管理部１２１は、プロセス生成管理部１２２から、保持していた親プロセス（リモートログインプロセス３０）のプロセスIDを取得し、その親プロセスIDと、アクセスログに記録されているプロセスIDとが一致するか否かを判定する。また、ステップＳ１３０では、ファイル書き込み管理部１２１は、一致したプロセスIDと関連付けられているIPアドレスをアクセスログから取得する。さらに、ステップＳ１３５では、ファイル書き込み管理部１２１は、記憶装置２０に保存されているファイル操作ログに対して、取得したファイル名、親プロセスID、子プロセスID、およびIPアドレスを関連付けて記録する。
この結果、リモートアクセスに関係する親プロセスと子プロセスをグループ化し、これらのプロセスがアクセスするファイルを把握することができる。図５は、リモートアクセスに関係する親プロセスと子プロセスによるファイルへのアクセスの様子を示している。リモートログインプロセスである親プロセス３１がログイン時にアクセスログ４０への書き込み要求を発生すると、管理テーブル１１０を介してファイル書き込み管理部１２１へ処理が受け渡され、その後、ファイル書き込み部１３０へ処理が受け渡される。ファイル書き込み部１３０はアクセスログ４０に所定の情報を書き込む。
また、親プロセス３１が、ファイル４１への書き込みを行うため、子プロセスの生成要求を発生した場合、管理テーブル１１０を介してプロセス生成管理部１２２へ処理が受け渡され、その後、プロセス生成部１４０へ処理が受け渡される。プロセス生成部１４０が子プロセス３２を生成すると、子プロセス３２はファイル４１への書き込み要求を発生する。この書き込み要求によって、管理テーブル１１０を介してファイル書き込み管理部１２１へ処理が受け渡され、その後、ファイル書き込み部１３０へ処理が受け渡される。ファイル書き込み部１３０はファイル４１に所定の情報を書き込む。親プロセス３１が、ファイル４２への書き込みを行うため、子プロセスの生成要求を発生した場合も上記と同様であり、子プロセス３３が生成され、ファイル４２への書き込みが行われる。
ファイル操作ログには、親プロセスIDと子プロセスIDが記録されているので、それらの情報から、ファイル操作に関わった親子のプロセスの関係を把握することができる。また、ファイル操作ログにはファイル名も記録されているので、親子のプロセスがファイル操作を行ったファイルを把握することができる。
上記において、プロセスがファイルへの書き込み要求を発生した場合の動作を説明したが、プロセスがファイルの消去要求を発生した場合にも、ファイルの消去を実行するカーネル関数であるsys_unlink()関数に処理を受け渡す前に、ファイル書き込み管理部１２１と同様の機能を有する処理部が処理を行うことによって、同様の情報を記録することができる。
上述したように、本実施形態による情報処理装置は、プロセスがファイルアクセスのためのシステムコールを発行した際に、そのプロセスのプロセスIDまたはそのプロセスの親プロセスのプロセスIDと一致するプロセスIDと関連付けられたIPアドレスをアクセスログから取得し、ファイル名、プロセスID（または親子のプロセスID）、IPアドレスをファイル操作ログに記録する。これによって、リモートアクセスに関するファイル名、プロセスID、および侵入者のIPアドレスをリアルタイムに記録することができる。さらに、親子のプロセスのプロセスIDを関連付けてファイル操作ログに記録することによって、それらのプロセスIDから親子のプロセスの関係を把握することができる。
また、上述したように、本実施形態による情報処理装置は、ファイルへの書き込み要求が発生した際に、ファイルへの書き込みを行うファイル書き込み部１３０に処理が受け渡される前に書き込み対象のファイルのコピーをファイル記憶装置２０に記録する。一般に、リモート侵入者は、悪意のプログラムの挿入や痕跡の消去を試みるので、これらが行われる前のファイルを証拠として記録することができる。
本実施形態による情報処理装置をハニーポットに適用することで、リモート侵入者の挙動を監視することが可能となる。また、公開サーバのファイルの追加／変更／削除に関するログを詳細に収集するロギングシステムに対して、本実施形態による情報処理装置を適用することも可能である。
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上記の情報処理装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。
ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
１０・・・カーネル、２０・・・記憶装置（記憶手段）、１００・・・システムコール管理部（システムコール管理手段）、１１０・・・管理テーブル、１２０・・・処理部（処理手段）、１２１・・・ファイル書き込み管理部、１２２・・・プロセス生成管理部、１３０・・・ファイル書き込み部、１４０・・・プロセス生成部

Claims (4)

  1. リモートでアクセスしてきた通信装置のIPアドレスと、当該アクセスに用いられたプロセスを識別するプロセスIDとを関連付けて記憶する第１の記憶手段と、
    プロセスがファイルにアクセスする際にOSのカーネルに発行するシステムコールを検出した場合に、前記プロセスからファイル名およびプロセスIDを取得して処理手段に渡すシステムコール管理手段と、
    前記システムコール管理手段から渡されたプロセスIDと一致するプロセスIDと関連付けられたIPアドレスを前記第１の記憶手段から取得し、前記ファイル名、前記プロセスID、前記IPアドレスを第２の記憶手段に格納する前記処理手段と、
    前記処理手段によって格納された前記ファイル名、前記プロセスID、前記IPアドレスを記憶する前記第２の記憶手段と、
    を備えることを特徴とする情報処理装置。
  2. リモートでアクセスしてきた通信装置のIPアドレスと、当該アクセスに用いられたプロセスを識別するプロセスIDとを関連付けて記憶する第１の記憶手段と、
    第１のプロセスが第２のプロセスを生成する際にOSのカーネルに発行する第１のシステムコールを検出した場合に、前記第１のプロセスから第１のプロセスIDを取得して処理手段に渡す第１のシステムコール管理手段と、
    前記第２のプロセスがファイルにアクセスする際にOSのカーネルに発行する第２のシステムコールを検出した場合に、前記第２のプロセスからファイル名および第２のプロセスIDを取得して前記処理手段に渡す第２のシステムコール管理手段と、
    前記第１のシステムコール管理手段から渡された前記第１のプロセスIDと一致するプロセスIDと関連付けられたIPアドレスを前記第１の記憶手段から取得し、前記ファイル名、前記第１のプロセスID、前記第２のプロセスID、前記IPアドレスを第２の記憶手段に格納する前記処理手段と、
    前記処理手段によって格納された前記ファイル名、前記プロセスID、前記IPアドレスを記憶する前記第２の記憶手段と、
    を備えることを特徴とする情報処理装置。
  3. 第３の記憶手段をさらに備え、
    前記処理手段はさらに、前記ファイル名に対応するファイルを前記第３の記憶手段に格納し、
    前記第３の記憶手段は、前記処理手段によって格納されたファイルを記憶する
    ことを特徴とする請求項１または請求項２に記載の情報処理装置。
  4. 請求項１〜請求項３のいずれかに記載の情報処理装置としてコンピュータを機能させるためのプログラム。
JP2009031530A 2009-02-13 2009-02-13 情報処理装置およびプログラム Expired - Fee Related JP5156663B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2009031530A JP5156663B2 (ja) 2009-02-13 2009-02-13 情報処理装置およびプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2009031530A JP5156663B2 (ja) 2009-02-13 2009-02-13 情報処理装置およびプログラム

Publications (2)

Publication Number Publication Date
JP2010186426A JP2010186426A (ja) 2010-08-26
JP5156663B2 true JP5156663B2 (ja) 2013-03-06

Family

ID=42767027

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2009031530A Expired - Fee Related JP5156663B2 (ja) 2009-02-13 2009-02-13 情報処理装置およびプログラム

Country Status (1)

Country Link
JP (1) JP5156663B2 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016224506A (ja) * 2015-05-27 2016-12-28 西日本電信電話株式会社 情報流出検出装置、情報流出検出システム、及び情報流出検出プログラム

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4376587B2 (ja) * 2003-10-21 2009-12-02 株式会社エヌ・ティ・ティ・データ アクセス履歴記録装置及びアクセス制御装置
JP2005227982A (ja) * 2004-02-12 2005-08-25 Nippon Telegr & Teleph Corp <Ntt> セキュリティ監視機能を備えたネットワークシステム、ログデータ解析端末及び情報端末
JP4995170B2 (ja) * 2008-10-06 2012-08-08 日本電信電話株式会社 不正検知方法、不正検知装置、不正検知プログラムおよび情報処理システム

Also Published As

Publication number Publication date
JP2010186426A (ja) 2010-08-26

Similar Documents

Publication Publication Date Title
CN108881211B (zh) 一种违规外联检测方法及装置
Kent et al. Guide to integrating forensic techniques into incident
JP6280146B2 (ja) 分散型キャッシング（ｃａｃｈｉｎｇ）オブジェクトを除去する方法、システム、およびサーバ
US7647631B2 (en) Automated user interaction in application assessment
JP6388882B2 (ja) 複数デバイスに基づく演算のセンサ関連データ
JP5144488B2 (ja) 情報処理システムおよびプログラム
US20120222110A1 (en) Data leakage protection in cloud applications
WO2012065551A1 (zh) 一种云安全下载方法
JP2010182019A (ja) 異常検知装置およびプログラム
US9727394B2 (en) Establishing causality order of computer trace records
CN103095530A (zh) 一种基于前置网关的敏感信息监测及防泄漏方法及系统
JP5478390B2 (ja) ログ抽出システムおよびプログラム
US9239907B1 (en) Techniques for identifying misleading applications
JP5274227B2 (ja) ウェブページ検査装置、コンピュータシステム、ウェブページ検査方法、及びプログラム
JP5156663B2 (ja) 情報処理装置およびプログラム
JP4429229B2 (ja) ディレクトリ情報提供方法、ディレクトリ情報提供装置、ディレクトリ情報提供システム、及びプログラム
Kent et al. Sp 800-86. guide to integrating forensic techniques into incident response
JP2009093508A (ja) ファイル制御システム
Grance et al. Guide to computer and network data analysis: Applying forensic techniques to incident response
CN115051867A (zh) 一种非法外联行为的检测方法、装置、电子设备及介质
US11747966B2 (en) Detecting paste and other types of user activities in computer environment
JP6333763B2 (ja) マルウェア解析装置およびマルウェア解析方法
JP2002312205A (ja) アクセスログ情報の保存処理方法とその保存処理装置およびその処理プログラム
EP3906475A1 (en) Context based authorized external device copy detection
JP2007199813A (ja) ログ収集システム及びログ収集方法

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20110819

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20110823

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20120830

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20120904

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20121018

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20121019

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20121113

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20121210

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20151214

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees