JP5310075B2 - ログ収集システム、情報処理装置、ログ収集方法およびプログラム - Google Patents

Description

本発明は、ログ収集システム、情報処理装置、ログ収集方法およびプログラムに関し、特に、オフラインの装置についても有効なログ収集システム、情報処理装置、ログ収集方法およびプログラムに関する。

情報漏洩の防止などのために、ファイルの入出力、アプリケーション実行、外部媒体利用あるいは印刷などの端末の操作の一部を制限したり、端末の操作ログを取得して管理サーバに収集して管理者による分析、監視、追跡などの管理を可能としたりするシステムが提供されている。

このようなログファイルの送信システムの一例が特許文献１に記載されている。特許文献１のログファイルの送信システムは、クライアントがネットワークを介してログ収集サーバへ予め与えられたログ送信間隔に基づいてログファイルを送信し、ログ収集サーバがこのログファイルを受信する構成を有している。しかし、このログファイルの送信システムにおいては、クライアントとログ収集サーバとがネットワークで接続されていない場合にはログファイルを収集することができず、利用者が問題となる操作を行った場合も発見できなくなる可能性があるという問題があった。

この問題を回避するログ収集システムの一例が特許文献２に記載されている。特許文献２のログ収集システムは、クライアント装置において何らかの操作が行われる度に履歴情報を作成し、オンライン状態においてはログ収集サーバに履歴情報を適時送信し、オフライン状態においてはひとまずクライアント装置内部の記録装置に履歴情報を蓄積しておき、オンライン状態になった時点でログ収集サーバに履歴情報を送信する構成を有している。特許文献２にはさらに、オフライン端末が操作ログを外部記録媒体（フロッピー（登録商標）ディスク、ＣＤ／Ｒ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅｃｏｒｄａｂｌｅ）等）に出力する構成とし、この外部記録媒体を管理サーバに読込ませる方法や他の中継端末に読込ませて管理サーバに送信する方法などが記載されている。

また、関連する技術としてクライアント端末監視システムの一例が特許文献３に記載されている。特許文献３のクライアント端末監視システムは、クライアント端末からログサーバへのログ送信ができない場合にクライアント端末内にログを蓄積し、クライアント端末のメモリーの空き容量が規定値に達するとこれを知らせるメッセージを表示したり、データの持ち出しを禁止する縮退運転モードへの切り換えをしたりする構成を有している。

さらに、関連する技術として特許文献４には、機密情報を外部で使用する際に、機密情報が格納された媒体に一緒に格納されたこの機密情報に対するオフラインライセンスと操作履歴情報とに基づいて、機密情報を管理する技術が記載されている。

特開２００７−３２３３２０号公報 特開２００７−２９９２８４号公報 特開２００８−１１２３５７号公報 特開２００８−２２５８３０号公報

しかしながら、上述した特許文献に記載された技術では、オフラインの装置の操作ログ収集が適切にできない場合があるという問題点がある。

即ち、操作ログを収集する管理サーバは、ネットワーク上隔離されている端末やネットワークに接続されていないオフライン端末の操作ログをタイムリーに収集することができない。これらの端末から操作ログを収集するには、ネットワークを介して管理サーバに端末を接続して端末から管理サーバに操作ログを転送させるか、端末上で可搬媒体に操作ログを出力させ、その可搬媒体を管理サーバに持ってきて操作ログを取り込ませるかの作業が必要となる。従って、利用者の故意または過失などにより操作ログが収集されない場合がある。

本発明の目的は、上述した問題を解決するログ収集システム、情報処理装置、ログ収集方法およびプログラムを提供することにある。

本発明のログ収集システムは、認証情報と操作ログとを記憶する可搬型記憶装置と、
第１の情報処理装置と
を備え、
前記第１の情報処理装置は、
当該第１の情報処理装置への前記可搬型記憶装置の接続を検出し、当該可搬型記憶装置に記憶されている認証情報に基づいて当該第１の情報処理装置に対する操作の可否を判定する認証部と、
当該第１の情報処理装置に対する操作が可である場合には、当該第１の情報処理装置に対する操作の内容を示す操作ログを生成し、当該可搬型記憶装置に記憶させる操作ログ生成部と、を含む。

本発明の情報処理装置は、情報処理装置への可搬型記憶装置の接続を検出し、当該可搬型記憶装置に記憶されている認証情報に基づいて当該情報処理装置に対する操作の可否を判定する認証部と、
当該情報処理装置に対する操作が可である場合には、当該情報処理装置に対する操作の内容を示す操作ログを生成し、当該可搬型記憶装置に記憶させる操作ログ生成部と、を含む。

本発明のログ収集方法は、情報処理装置への可搬型記憶装置の接続を検出し、
当該可搬型記憶装置に記憶されている認証情報に基づいて当該情報処理装置の操作の可否を判定し、
当該情報処理装置に対する操作が可である場合には、当該情報処理装置に対する操作の内容を示す操作ログを生成し、当該可搬型記憶装置に記憶させる。

本発明のプログラムは、情報処理装置への可搬型記憶装置の接続を検出し、
当該可搬型記憶装置に記憶されている認証情報に基づいて当該情報処理装置の操作の可否を判定し、
当該情報処理装置に対する操作が可である場合には、当該情報処理装置に対する操作の内容を示す操作ログを生成し、当該可搬型記憶装置に記憶させる処理をコンピュータに実行させる。

本発明によれば、利用者の故意または過失などによりオフラインの装置の操作ログが適切に収集されないというような事態を回避し、操作ログ収集の確度を向上することができる。

本発明の第１の実施形態の構成を示すブロック図である。 本発明の第１の実施形態の認証情報ＤＢ（Ｄａｔａ Ｂａｓｅ）の構造を示す図である。 本発明の第１の実施形態のログ監視ポリシーＤＢの構造を示す図である。 本発明の第１の実施形態の操作ポリシーＤＢの構造を示す図である。 本発明の第１の実施形態の操作ログＤＢの構造を示す図である。 本発明の第１および第２の実施形態の認証情報ファイルの構造を示す図である。 本発明の第１の実施形態のログ監視ポリシーファイルの構造を示す図である。 本発明の第１の実施形態の操作許可ポリシーファイルの構造を示す図である。 本発明の第１の実施形態の操作禁止ポリシーファイルの構造を示す図である。 本発明の第１および第２の実施形態の操作ログファイルの構造を示す図である。 本発明の第１の実施形態の管理サーバによる認証装置への認証情報ファイル、ログ監視ポリシーファイルおよび操作許可ポリシーファイルの出力の動作を示すフローチャートである。 本発明の第１の実施形態のユーザ端末２００の動作を示すフローチャートである。 本発明の第１の実施形態の利用者が管理サーバに認証装置が記憶する操作ログファイルの操作ログを登録する場合の管理サーバ１００の動作を示すフローチャートである。 本発明の第１の実施形態の構成を示すブロック図である。 本発明の第２の実施形態のユーザ端末２００の動作を示すフローチャートである。

次に、本発明の実施形態について図面を参照して詳細に説明する。

図１は、本発明の第１の実施形態の構成を示すブロック図である。図１を参照すると、本発明の第１の実施形態に係るログ収集システム９００は、管理サーバ１００（「第２の情報処理装置」とも呼ばれる）、ユーザ端末２００（「第１の情報処理装置」とも呼ばれる）および認証装置３００（「可搬型記憶装置」とも呼ばれる）から構成される。

管理サーバ１００は、例えば、入出力装置を備えた一般的なコンピュータやワークステーションなどの情報処理機器から構成される。

管理サーバ１００は、認証情報ＤＢ１１０、ログ監視ポリシーＤＢ１２０、操作ポリシーＤＢ１３０、操作ログＤＢ１９０、認証情報作成部１４０、ロギングポリシー作成部１５０、操作ポリシー作成部１６０、操作ログ収集部１７０および操作ログ削除部１８０を含む。

認証情報ＤＢ１１０は、例えば、図２に示すように「ユーザ名」および「パスワード」を含むユーザ認証情報を格納する。

ログ監視ポリシーＤＢ１２０は、例えば、図３に示すように「ユーザ名」、「監視するログメッセージ」および「出力後経過日上限閾値」、または、「ユーザ名」および「ファイルサイズ上限閾値」を含むログ監視ポリシーを記憶する。

操作ポリシーＤＢ１３０は、例えば、図４に示すように「ユーザ名」、「適用ポリシーファイル種別」、「カテゴリ」および「内容」を含む操作ポリシーを記憶する。

操作ログＤＢ１９０は、例えば、図５に示すように「日時」、「ユーザ名」、「カテゴリ」、「メッセージ」を含む操作ログを記憶する。

認証情報作成部１４０は、図示しない手段により入力（例えば、管理者によるマニュアル入力や、ネットワーク経由の入力など）された情報に基づいて、認証情報ＤＢ１１０を生成および更新する。また、認証情報作成部１４０は、認証情報ＤＢ１１０に格納された情報に基づいて図６に示すような認証情報ファイル３１０を生成し、出力する。

ロギングポリシー作成部１５０は、図示しない手段により入力（例えば、管理者によるマニュアル入力や、ネットワーク経由の入力など）された情報に基づいて、ログ監視ポリシーＤＢ１２０を生成および更新する。また、ロギングポリシー作成部１５０は、ログ監視ポリシーＤＢ１２０に格納された情報に基づいて図７に示すようなログ監視ポリシーファイル３２０を生成し、出力する。

操作ポリシー作成部１６０は、図示しない手段により入力（例えば、管理者によるマニュアル入力や、ネットワーク経由の入力など）された情報に基づいて、操作ポリシーＤＢ１３０を生成および更新する。また、操作ポリシー作成部１６０は、操作ポリシーＤＢ１３０に格納された情報に基づいて図８に示すような操作許可ポリシーファイル３３０と図９に示すような操作禁止ポリシーファイル２２１とを生成し、出力する。

操作ログ収集部１７０は、認証装置３００から図１０に示すような操作ログファイル３４０を読み出し、これに基づいて図５に示すような構造で操作ログＤＢ１９０に操作ログを格納する。

操作ログ削除部１８０は、操作ログＤＢ１９０に格納した操作ログに対応する認証装置３００内の操作ログファイル３４０を削除する。

ユーザ端末２００は、例えば、入出力装置を備えた一般的なコンピュータやワークステーションなどの情報処理機器から構成される。

ユーザ端末２００は、認証部２１０、操作制御部２２０、操作ログ監視部２３０および操作ログ生成部２４０を含む。

認証部２１０は、認証装置３００に格納された認証情報ファイル３１０を参照してユーザ認証を行う。

操作制御部２２０は、操作禁止ポリシーファイル２２１を格納する。また、操作制御部２２０は、操作禁止ポリシーファイル２２１または認証装置３００に格納された操作許可ポリシーファイル３３０を参照して、ユーザ端末２００に操作ポリシーを適用（例えば、ユーザ端末２００の図示しないオペレーション・システムに操作可否の内容を指示）する。

操作ログ監視部２３０は、認証装置３００に格納されたログ監視ポリシーファイル３２０に基づいて操作ログファイル３４０の操作ログ３４１の状態を監視する。

操作ログ生成部２４０は、ユーザ端末２００の操作に係る操作ログを生成し、認証装置３００の操作ログファイル３４０に出力する。

認証装置３００は、例えば、携帯端末、携帯電話あるいはＵＳＢ（Ｕｎｉｖｅｒｓａｌ
Ｓｅｒｉａｌ
Ｂｕｓ）メモリーなど、持ち運びが可能であって、管理サーバ１００およびユーザ端末２００に接続されるインタフェース手段（図示しない）と記憶手段（図示しない）とを有する情報処理機器から構成される。

認証装置３００は、図示しない記憶手段を備え、該記憶手段は通常のＯＳやアプリケーションからはアクセスすることのできない不可視領域３９０を有している。そして、不可視領域３９０には、認証情報ファイル３１０、ログ監視ポリシーファイル３２０、操作許可ポリシーファイル３３０および操作ログファイル３４０を格納する領域が確保されている。

不可視領域３９０の認証情報ファイル３１０の領域は、認証情報作成部１４０からの読込み／書出し動作と、ロギングポリシー作成部１５０、操作ポリシー作成部１６０および認証部２１０からの読込み動作とのみが可能なように構成されている。

不可視領域３９０のログ監視ポリシーファイル３２０の領域は、ロギングポリシー作成部１５０からの読込み／書出し動作と操作制御部２２０からの読込み動作とのみが可能なように構成されている。

不可視領域３９０の操作許可ポリシーファイル３３０の領域は、操作ポリシー作成部１６０からの読込み／書出し動作と操作制御部２２０から読込み動作とのみが可能なように構成されている。

不可視領域３９０の操作ログファイル３４０の領域は、操作ログ生成部２４０からの書出し動作と操作ログ収集部１７０からの読込み動作と操作ログ削除部１８０からのファイルの読込み／書込み動作のみが可能なように構成されている。

以上のような特定のアクセスのみを可能なように構成するための不可視領域３９０の具体的な実現方法は、例えば、認証装置３００の記憶領域の一部をパーティションとして割り当てず物理的なアドレスを直接指定してアクセスする方法、秘密情報と照合する方法、あるいは暗号化による方法などであってよく、いずれも周知技術であるため詳細な説明は省略する。

次に、本実施形態の動作について、図１から図１３を参照して詳細に説明する。

まず、本実施形態では、後述する図１１から図１３に示す動作以前に（すなわち、これら動作とは非同期に）、管理者により以下の準備段階の動作が少なくとも1回実施されるものとする。

すなわち、認証情報作成部１４０は、例えば、管理者による各利用者のユーザ情報の入力に基づいて、認証情報ＤＢ１１０を生成する。認証情報ＤＢ１１０は、例えば図２に示すように、ユーザ端末を使用する利用者毎の「ユーザ名」および「パスワード情報」が記憶される。

ロギングポリシー作成部１５０は、例えば、管理者による各利用者のユーザ情報の入力に基づいて、ログ監視ポリシーＤＢ１２０を生成する。ログ監視ポリシーＤＢ１２０は、例えば図３に示すように、監視対象とする操作ログファイル３４０の「監視ログメッセージ」、「出力後経過日数上限」および操作ログの「ファイルサイズ上限」が「ユーザ名」に対応させて記憶される。

操作ポリシー作成部１６０は、例えば、管理者による各利用者のユーザ情報の入力に基づいて、操作ポリシーＤＢ１３０を生成する。操作ポリシーＤＢ１３０は、例えば図４に示すように、端末の使用を許可する場合の可能な操作内容を定義した「許可ポリシー」と操作禁止にする場合の「不許可ポリシー」が「ユーザ名」に対応させて記憶される。

さらに、操作ポリシー作成部１６０は、操作ポリシーＤＢ１３０を参照して「ｕｓｅｒＡ」に対応する操作ポリシーのうち適用ポリシーファイル種別が「禁止」のものを取得し、操作禁止ポリシーを取得し、これを操作禁止ポリシー２２２として図９に示すような操作禁止ポリシーファイル２２１を作成し、図示しない手段（例えば、管理サーバ１００とユーザ端末２００を一時的にデータ通信可能なインタフェースを利用して接続する）によって、ユーザ端末２００の操作制御部２２０の対応する領域に格納する。

以上が、本実施形態の準備段階の説明である。

図１１は、本実施形態の管理サーバ１００による認証装置３００への認証情報ファイル３１０、ログ監視ポリシーファイル３２０および操作許可ポリシーファイル３３０の出力の動作を示すフローチャートである。

管理サーバ１００は、管理者による「ユーザ名」の入力がなされたことと認証装置３００が接続されたこととにより動作を開始する（ステップＳ４１０）。以下の説明では「ユーザ名」として、例えば「ｕｓｅｒＡ」が入力されたものとして説明する。

まず、認証情報作成部１４０は、認証情報ＤＢ１１０を参照して「ｕｓｅｒＡ」に対応する認証情報を取得し、これを認証情報３１１として図６に示すような認証情報ファイル３１０を生成し、認証装置３００に出力する（ステップＳ４１２）。

次に、ロギングポリシー作成部１５０は、ログ監視ポリシーＤＢ１２０を参照して「ｕｓｅｒＡ」に対応するログ監視ポリシーを取得し、これをログ監視ポリシー３２１として図７に示すようなログ監視ポリシーファイル３２０を生成し、認証装置３００に出力する（ステップＳ４１４）。

次に、操作ポリシー作成部１６０は、操作ポリシーＤＢ１３０を参照して「ｕｓｅｒＡ」に対応する操作ポリシーのうち適用ポリシーファイル種別が「許可」のものを取得し、これを操作許可ポリシー３３１として図８に示すような操作許可ポリシーファイル３３０を生成し、認証装置３００に出力する（ステップＳ４１６）。

以上が、図１１のフローチャートの説明である。

図１２は、ユーザ端末２００の動作を示すフローチャートである。尚、図１２および以下の説明では、図１に示す本実施形態の構成要素の動作を中心に記載し、その他の動作についての説明は省略している。

ユーザ端末２００は、起動（例えばパワーオン）されることにより動作を開始する（ステップＳ４２０）。

まず、操作制御部２２０は、操作禁止ポリシーファイル２２１の操作禁止ポリシー２２２を適用する（ステップＳ４２２）。

次に、認証部２１０は、認証装置３００の接続を確認する（ステップＳ４２４）。認証装置３００が接続されていない場合（ステップＳ４２４でＮＯ）、ユーザ端末２００はステップＳ４２４の処理を繰り返す。認証装置３００が接続されている場合（ステップＳ４２４でＹＥＳ）、ユーザ端末２００はステップＳ４２６の処理に進む。

ステップＳ４２６において、認証部２１０は認証装置３００に格納された認証情報ファイル３１０を参照し、ユーザ認証を実行する（ステップＳ４２６）。尚、具体的なユーザ認証の動作およびユーザ認証が失敗した場合の動作は周知技術であるため説明を省略し、ここではユーザ認証が成功したものとして説明する。

次に、操作ログ生成部２４０は、ユーザ端末２００上でのユーザの操作の有無を監視する（ステップＳ４３０）。操作を検出しなかった場合（ステップＳ４３０でＮＯ）、ユーザ端末２００はステップＳ４３４の処理に進む。操作を検出した場合（ステップＳ４３０でＹＥＳ）、操作ログ生成部２４０はユーザ端末２００の操作に係る操作ログを生成し、認証装置３００の操作ログファイル３４０へ出力する（ステップＳ４３２）。そして、ユーザ端末２００はステップＳ４３６の処理に進む。

ステップＳ４３４において、操作ログ監視部２３０は、内蔵する計時カウンタ（図示しない）が所定の値に達したか否かを確認する（ステップＳ４３４）。所定の時間に達していない場合（ステップＳ４３４でＮＯ）、ユーザ端末２００はステップＳ４３０の処理に進む。所定の時間に達している場合（ステップＳ４３４でＹＥＳ）、ユーザ端末２００はステップＳ４３６の処理に進む。

ステップＳ４３６において、操作ログ監視部２３０は、ログ監視ポリシーファイル３２０に定義された操作ログの「出力後経過日上限」または「ファイルサイズ上限」の「警告通知」の閾値を操作ログファイル３４０の状態が超えているか否かを確認する（ステップＡ８）。閾値を超えていない場合（ステップＳ４３６でＮＯ）、ユーザ端末２００はステップＳ４４０の処理に進む。閾値を超えている場合（ステップＳ４３６でＹＥＳ）、または操作ログ監視部２３０がログ監視ポリシーファイル３２０を参照できない場合、操作制御部２２０は、ユーザ端末２００の画面（図示せず）に警告を表示する（ステップＳ４３８）。ユーザ端末２００はステップＳ４４０の処理に進む。

ステップＳ４４０において、操作制御部２２０は、認証装置３００に格納されている操作許可ポリシーファイル３３０の操作許可ポリシー３３１を適用する（ステップＳ４４０）。

次に、操作ログ監視部２３０は、ログ監視ポリシーファイル３２０に定義された操作ログの「出力後経過日上限」または「ファイルサイズ上限」の「操作制御切替」の閾値を操作ログファイル３４０の状態が超えているか否かを確認する（ステップＳ４４２）。閾値を超えていない場合（ステップＳ４４２でＮＯ）、ユーザ端末２００はステップＳ４３０の処理に進む。閾値を超えている場合（ステップＳ４４２でＹＥＳ）、または操作ログ監視部２３０がログ監視ポリシーファイル３２０を参照できない場合、操作制御部２２０は、操作禁止ポリシーファイル２２１の操作禁止ポリシー２２２を適用する（ステップＳ４４４）。そして、ユーザ端末２００はステップＳ４３０の処理に進む。

以上が、図１２のフローチャートの説明である。

図１３は、利用者が管理サーバ１００に認証装置３００が記憶する操作ログファイル３４０の操作ログ３４１を登録する場合の管理サーバ１００の動作を示すフローチャートである。

管理サーバ１００は、起動（例えばパワーオン）されることにより動作を開始する（ステップＳ４６０）。

管理サーバ１００は、認証装置３００の接続を確認する（ステップＳ４６２）。認証装置３００が接続されていない場合（ステップＳ４６２でＮＯ）、管理サーバ１００はステップＳ４６２の処理を繰り返す。認証装置３００が接続されている場合（ステップＳ４６２でＹＥＳ）、管理サーバ１００はステップＳ４６４の処理に進む。

ステップＳ４６４において、操作ログ収集部１７０は、認証装置３００内の操作ログファイル３４０を管理サーバ１００に取り込み、操作ログＤＢ１９０に格納する（ステップＳ４６４）。

次に、操作ログ削除部１８０は、認証装置３００内の操作ログファイル３４０から操作ログＤＢ１９０への格納が完了した操作ログを削除する（ステップＳ４６６）。これにより、次に認証装置３００がユーザ端末２００に接続された際には、ログ監視ポリシーファイル３２０に定義されている閾値条件を満たす状態となるため、操作制御部２２０により操作許可ポリシーファイル３３０がユーザ端末２００に提供され、ユーザは再びユーザ端末２００の操作が可能となる。

次に、認証情報作成部１４０は、認証情報ＤＢ１１０を参照して認証装置３００内の認証情報ファイル３１０の「ユーザ名」に対応する認証情報を取得し、これを認証情報３１１として認証情報ファイル３１０を生成し、認証装置３００に出力する（ステップＳ４６８）。

次に、ロギングポリシー作成部１５０は、ログ監視ポリシーＤＢ１２０を参照して認証装置３００内の認証情報ファイル３１０の「ユーザ名」に対応するログ監視ポリシーを取得し、これをログ監視ポリシー３２１としてログ監視ポリシーファイル３２０を生成し、認証装置３００に出力する（ステップＳ４７０）。

次に、操作ポリシー作成部１６０は、操作ポリシーＤＢ１３０を参照して認証装置３００内の認証情報ファイル３１０の「ユーザ名」に対応する操作ポリシーのうち適用ポリシーファイル種別が「許可」のものを取得し、これを操作許可ポリシー３３１として操作許可ポリシーファイル３３０を生成し、認証装置３００に出力する（ステップＳ４７２）。

即ち、ステップＳ４６８からステップＳ４７２の動作により、管理サーバ１００は、認証装置３００内の認証情報ファイル３１０、ログ監視ポリシーファイル３２０および操作許可ポリシーファイル３３０を更新する。

以上が、図１３のフローチャートの説明である。

上述した本実施形態における第１の効果は、利用者の故意または過失などによりオフラインの装置から操作ログが適切に収集されないという事態を回避し、操作ログ収集の確度を向上することが可能になる点である。

その理由は、ユーザ端末に接続された認証装置内に記憶された情報に基づいてユーザ端末の操作を可能とし、生成した操作ログをこの接続されている認証装置に記憶するようにしたからである。

上述した本実施形態における第２の効果は、操作ログ収集の確度をさらに向上することが可能になる点である。

その理由は、認証装置に記憶されているログ監視ポリシーに基づいて、認証装置に記憶されている操作ログの状態を監視し、ログ監視ポリシーの条件を満たす場合に操作ログを管理サーバ１００へ登録するように利用者に警告するようにしたからである。

上述した本実施形態における第３の効果は、操作ログ収集の確度をさらに向上することが可能になる点である。

その理由は、認証装置に記憶されているログ監視ポリシーに基づいて、認証装置に記憶されている操作ログの状態を監視し、ログ監視ポリシーの条件を満たす場合にユーザ端末上での可能な操作を制限するようにしたからである。

上述した本実施形態における第４の効果は、操作ログの収集のタイミングや重要度を任意に設定することが可能になる点である。これは、例えば、操作ログのファイルサイズが上限を超えて記録できなくなったり、不正なプログラムが起動されたり、重要なファイルが外に持ち出された等の緊急で管理者に報告が必要な操作が行われた場合には、端末の操作を制限し、直ちに操作ログの収集作業を実行させるようにすることができることを示している。また、例えば、管理者が緊急で把握する必要がある重要な操作が行われない場合は、操作ログの収集間隔を長くし、利用者に負担を掛けないようにすることができることを示している。

その理由は、管理者が予め生成・更新したログ監視ポリシーデータベースを参照して認証装置に記憶するログ監視ポリシーを生成するようにしたからである。

上述した本実施形態における第５の効果は、操作ログのサイズが大きくなりすぎて複数の可搬型記憶装置や記憶媒体に分割して保存する手間が発生しないようにできる点である。その理由は認証装置に記憶されているログ監視ポリシーに基づいて、認証装置に記憶されている操作ログの状態を監視し、ログ監視ポリシーの条件を満たす場合に操作ログを管理サーバ１００へ登録するように利用者に警告する、あるいは、ユーザ端末上での可能な操作を制限するようにしたからである。

上述した本実施形態における第６の効果は、悪意を持つ第３者に対しても操作ログ収集の確度の向上を達成できる点である。

その理由は、認証情報ファイル、ログ監視ポリシーファイル、操作許可ポリシーファイルおよび操作ログファイルを認証装置の不可視領域に記憶するようにしたからである。

次に、本発明の第２の実施形態について、図面を参照して詳細に説明する。

図１４は、本発明の第２の実施形態の構成を示すブロック図である。図１４を参照すると、本発明の第２の実施形態に係るログ収集システム９０１は、ユーザ端末２０１（「第１の情報処理装置」とも呼ばれる）および認証装置３０１（「可搬型記憶装置」とも呼ばれる）から構成される。

ログ収集システム９０１は、第１の実施形態で説明したログ収集システム９００の基本的な部分からなるシステムである。

ユーザ端末２０１は、例えば、入出力装置を備えた一般的なコンピュータやワークステーションなどの情報処理機器から構成される。

ユーザ端末２０１は、認証部２１０および操作ログ生成部２４５を含む。

認証部２１０は、第１の実施形態の認証部２１０と同じものである。

認証装置３０１は、例えば、携帯端末、携帯電話あるいはＵＳＢメモリーなど、持ち運びが可能であって、ユーザ端末２０１に接続されるインタフェース手段（図示しない）と、記憶手段（図示しない）とを有する情報処理機器から構成される。

認証装置３０１は、図示しない記憶手段に認証情報ファイル３１０および操作ログファイル３４０を記憶する。

図１５は、本発明の第２の実施形態のユーザ端末２０１の動作を示すフローチャートである。尚、図１５および以下の説明では、図１４に示す本実施形態の構成要素の動作を中心に記載し、その他の動作についての説明は省略している。

ユーザ端末２０１は、起動（例えばパワーオン）されることにより動作を開始する（ステップＳ４８０）。

認証部２１０は、認証装置３０１の接続を確認する（ステップＳ４８４）。認証装置３０１が接続されていない場合（ステップＳ４８４でＮＯ）、ユーザ端末２０１はステップＳ４８４の処理を繰り返す。認証装置３０１が接続されている場合（ステップＳ４８４でＹＥＳ）、ユーザ端末２０１はステップＳ４８６の処理に進む。

ステップＳ４８６において、認証部２１０は認証装置３０１に格納された認証情報ファイル３１０を参照し、ユーザ認証を実行する（ステップＳ４８６）。尚、具体的なユーザ認証の動作は周知技術であるため説明を省略する。

続けて、認証部２１０は、認証が成功したか否かを確認する（ステップＳ４８８）。認証が失敗した場合（ステップＳ４８８でＮＯ）、ユーザ端末２０１はステップＳ４８４の処理に進む。認証が成功した場合（ステップＳ４８８でＹＥＳ）、ユーザ端末２０１はステップＳ４９２の処理に進む。

ステップＳ４９２において、操作ログ生成部２４５は、ユーザ端末２０１上でのユーザの操作に基づいて操作ログを生成し、認証装置３０１の操作ログファイル３４０に出力する（ステップＳ４９２）。

上述した本実施形態における効果は、利用者の故意または過失などによりオフラインの装置から操作ログが適切に収集されないという事態を回避し、操作ログ収集の確度を向上することが可能になる点である。

その理由は、ユーザ端末に接続された認証装置内に記憶された情報に基づいてユーザ端末の操作を可能とし、生成した操作ログをこの接続されている認証装置に記憶するようにしたからである。

以上説明した各実施形態でユーザ名に対応するパスワードを認証情報としたが、例えば、ユーザ端末の不可視領域に記憶された端末識別情報を用いてもよい。こうした場合は、ユーザ端末に対応する認証装置を複数の利用者が共用することができる。

また、ログ監視ポリシーは、「操作ログの組み合わせ」や、「操作時間帯」あるいはこれらの組み合わせを「警告表示」および「操作制御切替」の条件としてもよい。

また、操作禁止ポリシーは、操作ポリシーＤＢに基づいて生成したものを使用するのではなく、予めユーザ端末に保持するようにしてもよい。

また、認証装置から操作ログファイルを取り込む装置は、管理サーバではなく管理サーバと通信可能な中継サーバ等をであってもよい。

また、以上説明した各実施形態は、オフライン端末に限らず、オンライン端末に同様の構成を適用してもよい。

以上の各実施形態で説明した各構成要素は、例えば、プログラムにより所定の処理をコンピュータに実行させてもよい。

以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はなく、複数の構成要素が１個のモジュールとして実現されたり、一つの構成要素が複数のモジュールで実現されたり、ある構成要素が他の構成要素の一部であったり、ある構成要素の一部と他の構成要素の一部とが重複していたり、といったような構成であってもよい。

また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障しない範囲で変更することができる。

さらに、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生したり、ある動作の実行タイミングと他の動作の実行タイミングとの一部乃至全部が重複していたりしていてもよい。

さらに、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作の全ての関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障をきたさない範囲内で変更されて良い。

尚、以上説明した各実施形態における各構成要素は、必要に応じ可能であれば、ハードウェアで実現されても良いし、ソフトウェアで実現されても良いし、ハードウェアとソフトウェアの混在により実現されても良い。

また、各構成要素の物理的な構成は、以上の各実施形態の記載に限定されることはなく、独立して存在しても良いし、組み合わされて存在しても良いしまたは分離して構成されても良い

本発明は、利用者による操作が行われる情報処理装置に適用できる。

１００ 管理サーバ
１１０ 認証情報ＤＢ
１２０ ログ監視ポリシーＤＢ
１３０ 操作ポリシーＤＢ
１４０ 認証情報作成部
１５０ ロギングポリシー作成部
１６０ 操作ポリシー作成部
１７０ 操作ログ収集部
１８０ 操作ログ削除部
１９０ 操作ログＤＢ
２００ ユーザ端末
２０１ ユーザ端末
２１０ 認証部
２２０ 操作制御部
２２１ 操作禁止ポリシーファイル
２２２ 操作禁止ポリシー
２３０ 操作ログ監視部
２４０ 操作ログ生成部
３００ 認証装置
３０１ 認証装置
３１０ 認証情報ファイル
３１１ 認証情報
３２０ ログ監視ポリシーファイル
３２１ ログ監視ポリシー
３３０ 操作許可ポリシーファイル
３３１ 操作許可ポリシー
３４０ 操作ログファイル
３４１ 操作ログ
３９０ 不可視領域
９００ ログ収集システム
９０１ ログ収集システム

Claims (19)

1. 認証情報と操作ログとを記憶する可搬型記憶装置と、
   第１の情報処理装置と
   を備え、
   前記可搬型記憶装置は、ログを登録する基準を示すログ監視ポリシーを記憶し、
   前記第１の情報処理装置は、
   当該第１の情報処理装置への前記可搬型記憶装置の接続を検出し、当該可搬型記憶装置に記憶されている認証情報に基づいて当該第１の情報処理装置に対する操作の可否を判定する認証部と、
   当該第１の情報処理装置に対する操作が可である場合には、当該第１の情報処理装置に対する操作の内容を示す操作ログを生成し、当該可搬型記憶装置に記憶させる操作ログ生成部と、当該第１の情報処理装置に対する操作の可否を、当該第１の情報処理装置に接続された可搬型記憶装置に記憶されている前記ログ監視ポリシーと前記操作ログとに基づいてさらに判定する操作ログ監視部と、
   を含む、
   ことを特徴とするログ収集システム。
2. 前記可搬型記憶装置に格納されている操作ログを読み出す操作ログ収集部と、
   当該読み出した操作ログに対応する前記可搬型記憶装置に格納されている操作ログの領域を開放する操作ログ削除部と、
   を含む第２の情報処理装置をさらに備える、
   ことを特徴とする請求項１記載のログ収集システム。
3. 前記可搬型記憶装置は、
   前記第１の情報処理装置に対する操作の可否が可と判定された場合に当該第１の情報処理装置に対して許可する操作内容を示す操作許可ポリシーを記憶し、
   前記第１の情報処理装置の操作制御部は、
   当該第１の情報処理装置に接続されている可搬型記憶装置に記憶されている操作許可ポリシーに基づいて、前記操作の可否を可とする当該第１の情報処理装置に対する操作を決定する
   ことを特徴とする請求項２記載のログ収集システム。
4. 前記第１の情報処理装置は操作制御部を備え、
   該操作制御部は、
   当該第１の情報処理装置に対する操作の可否が可と判定されていない場合に当該第１の情報処理装置に対して許可する操作内容を示す予め与えられた操作禁止ポリシーに基づいて、前記操作の可否を可とする当該第１の情報処理装置に対する操作を決定する
   ことを特徴とする請求項３記載のログ収集システム。
5. 前記可搬型記憶装置は、
   前記認証情報および前記操作ログの内のいずれか一方または両方を改竄不可能な状態で記憶する
   ことを特徴とする請求項４記載のログ収集システム。
6. 前記可搬型記憶装置は、
   前記ログ監視ポリシーを改竄不可能な状態で記憶する
   ことを特徴とする請求項５記載のログ収集システム。
7. 前記可搬型記憶装置は、
   前記操作許可ポリシーを改竄不可能な状態で記憶する
   ことを特徴とする請求項５または６記載のログ収集システム。
8. 前記第２の情報処理装置は、
   予め与えられた認証情報データベースに基づいて前記認証情報を作成する認証情報作成部、
   を含むことを特徴とする請求項２乃至７のいずれかに記載のログ収集システム。
9. 前記第２の情報処理装置は、
   予め与えられたログ監視ポリシーデータベースを参照して前記認証情報に対応するログ監視ポリシーを作成するロギングポリシー作成部、
   を含むことを特徴とする請求項２乃至８のいずれかに記載のログ収集システム。
10. 前記第２の情報処理装置は、
    予め与えられた操作ポリシーデータベースを参照して前記認証情報に対応する操作許可ポリシーおよび操作禁止ポリシーを作成する操作ポリシー作成部、
    を含むことを特徴とする請求項２乃至９のいずれかに記載のログ収集システム。
11. 情報処理装置への可搬型記憶装置の接続を検出し、当該可搬型記憶装置に記憶されている認証情報に基づいて当該情報処理装置に対する操作の可否を判定する認証部と、
    当該情報処理装置に対する操作が可である場合には、当該第１の情報処理装置に対する操作の内容を示す操作ログを生成し、当該可搬型記憶装置に記憶させる操作ログ生成部と、
    前記情報処理装置に対する操作の可否を、当該情報処理装置に接続された可搬型記憶装置に記憶されているログを登録する基準を示すログ監視ポリシーと前記操作ログとに基づいてさらに判定する操作ログ監視部と、
    を含む、
    ことを特徴とする情報処理装置。
12. 前記情報処理装置の操作制御部は、当該情報処理装置に接続されている可搬型記憶装置に記憶されている前記情報処理装置に対する操作の可否が可と判定された場合に当該情報処理装置に対して許可する操作内容を示す操作許可ポリシーに基づいて、前記操作の可否を可とする当該情報処理装置に対する操作を決定する
    ことを特徴とする請求項１１記載の情報処理装置。
13. 前記情報処理装置は操作制御部を備え、
    該操作制御部は、
    当該情報処理装置に対する操作の可否が可と判定されていない場合に当該情報処理装置に対して許可する操作内容を示す予め与えられた操作禁止ポリシーに基づいて、前記操作の可否を可とする当該情報処理装置に対する操作を決定する
    ことを特徴とする請求項１１または１２記載の情報処理装置。
14. 情報処理装置への可搬型記憶装置の接続を検出し、
    当該可搬型記憶装置に記憶されている認証情報に基づいて当該情報処理装置の操作の可否を判定し、
    当該情報処理装置に対する操作が可である場合には、当該第１の情報処理装置に対する操作の内容を示す操作ログを生成し、当該可搬型記憶装置に記憶させ、
    前記情報処理装置に対する操作の可否を、当該情報処理装置に接続された可搬型記憶装置に記憶されているログを登録する基準を示すログ監視ポリシーと前記操作ログとに基づいてさらに判定する
    ことを特徴とするログ収集方法。
15. 前記情報処理装置に接続されている可搬型記憶装置に記憶されている前記情報処理装置に対する操作の可否が可と判定された場合に当該情報処理装置に対して許可する操作内容を示す操作許可ポリシーに基づいて、前記操作の可否を可とする当該情報処理装置に対する操作を決定する
    ことを特徴とする請求項１４記載のログ収集方法。
16. 前記情報処理装置に対する操作の可否が可と判定されていない場合に当該情報処理装置に対して許可する操作内容を示す予め与えられた操作禁止ポリシーに基づいて、前記操作の可否を可とする前記情報処理装置に対する操作を決定する
    ことを特徴とする請求項１４または１５記載のログ収集方法。
17. 情報処理装置への可搬型記憶装置の接続を検出し、
    当該可搬型記憶装置に記憶されている認証情報に基づいて当該情報処理装置の操作の可否を判定し、
    当該情報処理装置に対する操作が可である場合には、当該第１の情報処理装置に対する操作の内容を示す操作ログを生成し、当該可搬型記憶装置に記憶させ、
    前記情報処理装置に対する操作の可否を、当該情報処理装置に接続された可搬型記憶装置に記憶されているログを登録する基準を示すログ監視ポリシーと前記操作ログとに基づいてさらに判定する処理
    をコンピュータに実行させることを特徴とするプログラム。
18. 前記情報処理装置に接続されている可搬型記憶装置に記憶されている前記情報処理装置に対する操作の可否が可と判定された場合に当該情報処理装置に対して許可する操作内容を示す操作許可ポリシーに基づいて、前記操作の可否を可とする当該情報処理装置に対する操作を決定する処理
    をコンピュータに実行させることを特徴とする請求項１７記載のプログラム。
19. 前記情報処理装置に対する操作の可否が可と判定されていない場合に当該情報処理装置に対して許可する操作内容を示す予め与えられた操作禁止ポリシーに基づいて、前記操作の可否を可とする前記情報処理装置に対する操作を決定する処理
    をコンピュータに実行させることを特徴とする請求項１７または１８記載のプログラム。

Images