JP5768448B2 - ログ管理システム、ログ解析装置、ログ解析方法、およびログ解析プログラム - Google Patents

Description

本発明は、ログ管理システム、ログ解析装置、ログ解析方法、およびログ解析プログラムに関し、特に複数機器間での時系列を正しく保持してログ解析を行うことを可能とするログ管理システム等に関する。

コンピュータ装置に対して行われた操作や動作の状況、あるいはデータ通信の状況などについて記録を取ること、もしくはその記録を通常「ログ」という。ログには、その記録の対象となる操作や動作などの内容と、それらが行われた時刻が記録される。以後、ログの記録対象となる操作や動作などが発生した時刻のことを「ログ発生時刻」という。

特に最近は、企業内の内部統制やシステム監査への対応として、統合ログ管理システムが注目されている。統合ログ管理システムとは、企業内のネットワークに接続されているクライアント端末やサーバなどの各種コンピュータ装置と、それらの上で動作するアプリケーション、さらにはスイッチやルータといったネットワーク機器など、さまざまな種類の機器やソフトウェアを対象としてログを収集、管理、解析する装置である。

統合ログ管理システムで企業内での各々のログを収集、管理することで、法令で規定されている監査への証跡や、収集対象機器の状態の監視、セキュリティインシデント発生時の事後調査など、セキュリティ面、システム運用面での管理レベルを向上させることが可能である。

統合ログ管理システムでログ解析を行う際には、ログ発生時刻としてログ内に記録された時刻を利用することが一般的である。このログ発生時刻は、ログを記録する各々の機器の内蔵時計の時刻（以後「システム時刻」という）に基づいて記録される。

たとえば、１つのコマンドの送受信でも、送信側機器と受信側機器のシステム時刻が異なっていると、このコマンドの送受信に要した時刻を正確に算出することができない。特にネットワーク上での動作に関するログ解析では、各々の動作に対する時系列の保持が重要であり、そのためにはネットワーク上の全ての機器のシステム時刻が正確でなければならない。

ネットワークに接続されている各々の機器のシステム時刻を正確に修正するための技術として、ＮＴＰ（Network Time Protocol、ＲＦＣ１３０５）が開発され、国際規格となっている。この規格を利用する機器は、たとえば１日１回などのような適切な周期で特定のＮＴＰサーバに接続してシステム時刻を修正するように設定される。

これに関連して、次のような各々の技術文献がある。その中でも特許文献１には、ログ収集対象機器がログを送信する際に、同時にログ送信時刻をログ管理サーバに送信するという技術が記載されている。特許文献２には、ログ管理システムからログ収集対象機器に対してダミージョブを２つ送信し、ダミージョブを受信したログ収集対象機器はログとしてダミージョブを出力するという技術が記載されている。特許文献３には、複数のログ収集対象機器から出力されるログに対して、時刻補正ログと整合性ルールによって、記録されたログ発生時刻を修正するという技術が記載されている。

特開２００５−３２７０５３号公報 特開２００７−２７９７８１号公報 特開２００８−２６９０８４号公報

ログ収集対象機器に関して、通常、サーバやネットワーク機器など、管理者によって適切に管理されている機器からログを収集する場合、それらの機器は管理者によって適切なＮＴＰサーバに適切な周期で接続してシステム時刻を修正するように設定され、それによって適切なシステム時刻で運用されていることが期待される。

しかしながら、クライアント端末のように管理が個々のユーザにゆだねられている機器では、ＮＴＰを用いていない場合や、その設定が適切でない場合などがあり、そのためシステム時刻が機器ごとに異なっている場合があり得る。そのような場合では、ネットワーク上での動作に関するログ解析で、正常な時系列を保持してログ解析を行うことが困難である。

また、ＮＴＰを利用する場合には、正常に上位サーバと同期するよう設定されたＮＴＰサーバに対して、適切な接続設定が必要となる。ネットワーク環境などによっては、ＮＴＰサーバに対する接続がそもそも不可能な場合もある。

さらに、ログ管理サーバがログを収集した時刻をログ発生時刻として解析に利用するという既存手法もある。この手法は、ｓｙｓｌｏｇなどのように、ログの記録対象となる操作や動作などが発生するたびに各機器が管理サーバに対してメッセージを送信するという環境では有効ではある。しかしながら、ＦＴＰ（File Transfer Protocol）などのプロトコルを利用して、各機器が定期的に管理サーバに対してログを送信するという環境では、本来のログ発生時刻と収集時刻の間の差異が大きいので、有効な解析を行うことができない。

前述の特許文献１〜３には、この問題を解決して複数機器間での時系列を保持したログ解析を行おうとする技術が記載されている。しかしながら、特許文献１の技術では、ログ収集対象機器側に、ログ送信と同時にログの送信時刻をログ管理サーバに通知する仕組み（エージェントソフトウェアなど）が必要となる。特許文献２の技術では、ログ収集対象機器側に、ダミージョブを受け付けてログを出力する仕組みが必要となる。

特許文献３の技術は、ＮＴＰなどでシステム時刻が修正されている環境を前提としており、その時刻の修正を行った際に出力されるログを元にして時刻の再修正を行っている。即ち、ログ収集対象機器側に特別なソフトウェアもしくはハードウェアを必要とせずに、ＮＴＰなどによるシステム時刻の補正ができない環境でも複数機器間での時系列を正しく保持してログ解析を行うことを可能とする技術は、特許文献１〜３には記載されていない。

本発明の目的は、ログ収集対象機器側に特別なソフトウェアもしくはハードウェアを必要とせずに、複数機器間でシステム時刻が各々異なっている場合にも時系列を正しく保持してログ解析を行うことを可能とするログ管理システム、ログ解析装置、ログ解析方法、およびログ解析プログラムを提供することにある。

上記目的を達成するため、本発明に係るログ管理システムは、ログ解析装置と複数のクライアント端末とが相互に接続されて構成されるログ管理システムであって、ログ解析装置が、クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信するログ収集部と、ログデータを受信するたびに、クライアント端末にＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能に基づくタイムスタンプ要求通知を送信し、タイムスタンプ要求通知に対応するタイムスタンプ応答通知をクライアント端末から受信して該タイムスタンプ応答通知から時刻差分情報を算出する時刻取得部と、時刻差分情報に基づいてログデータ内の発生時刻を補正した補正後時刻をログデータに付加して補正後時刻付ログデータを作成するログ時刻補正部と、補正後時刻付ログデータを予め備えられた記憶手段に保存するログ管理部とを有することを特徴とする。

上記目的を達成するため、本発明に係るログ解析装置は、複数のクライアント端末と相互に接続されてログ管理システムを構成するログ解析装置であって、クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信するログ収集部と、ログデータを受信するたびに、クライアント端末にＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能に基づくタイムスタンプ要求通知を送信し、タイムスタンプ要求通知に対応するタイムスタンプ応答通知をクライアント端末から受信して該タイムスタンプ応答通知から時刻差分情報を算出する時刻取得部と、時刻差分情報に基づいてログデータ内の発生時刻を補正した補正後時刻をログデータに付加して補正後時刻付ログデータを作成するログ時刻補正部と、補正後時刻付ログデータを予め備えられた記憶手段に保存するログ管理部と、ユーザからの要求に応じて補正後時刻を利用してログデータを解析してその解析結果を出力するログ解析部とを有することを特徴とする。

上記目的を達成するため、本発明に係るログ解析方法は、ログ解析装置と複数のクライアント端末とが相互に接続されて構成されるログ管理システムにあって、クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末のログ出力部が送信し、ログデータをログ解析装置のログ収集部が受信し、当該ログデータを受信するたびに、クライアント端末にログ解析装置の時刻取得部がＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能に基づくタイムスタンプ要求通知を送信し、タイムスタンプ要求通知に対応してクライアント端末のタイムスタンプ応答部がログ解析装置にタイムスタンプ応答通知を送信し、タイムスタンプ応答通知からログ解析装置の時刻取得部が時刻差分情報を算出し、時刻差分情報に基づいてログデータ内の発生時刻を補正した補正後時刻をログ解析装置のログ時刻補正部がログデータに付加して補正後時刻付ログデータを作成し、補正後時刻付ログデータをログ解析装置のログ管理部が予め備えられた記憶手段に保存することを特徴とする。

上記目的を達成するため、本発明に係るログ解析プログラムは、ログ解析装置と複数のクライアント端末とが相互に接続されて構成されるログ管理システムにあって、ログ解析装置が備えるコンピュータに、クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信する手順、当該ログデータを受信するたびに、クライアント端末にＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能に基づくタイムスタンプ要求通知を送信する手順、タイムスタンプ要求通知に対応するタイムスタンプ応答通知をクライアント端末から受信する手順、タイムスタンプ応答通知から時刻差分情報を算出する手順、時刻差分情報に基づいてログデータ内の発生時刻を補正した補正後時刻をログデータに付加して補正後時刻付ログデータを作成する手順、および補正後時刻付ログデータを予め備えられた記憶手段に保存する手順を実行させることを特徴とする。

本発明は、上記したようにログ解析装置がクライアント端末にタイムスタンプ要求通知を送信して、それに対応して受信したタイムスタンプ応答通知から時刻差分情報を算出するように構成したので、ＮＴＰなどによるシステム時刻の補正を必要としない。これによって、ログ収集対象機器（クライアント端末）の側に特別なソフトウェアもしくはハードウェアを必要とせずに、複数機器間でシステム時刻が各々異なっている場合にも時系列を正しく保持してログ解析を行うことが可能であるという優れた特徴を持つログ管理システム、ログ解析装置、ログ解析方法、およびログ解析プログラムを提供することにある。

本発明の実施形態に係るログ管理システムの構成について示す説明図である。 図１で示したログ解析装置およびクライアント端末の各動作部による処理の流れを、観念的に示した説明図である。 図１〜２に示した時刻取得部とタイムスタンプ応答部との間で交換されるタイムスタンプ要求通知およびタイムスタンプ応答通知のデータ形式について示す説明図である。 図１〜２に示したログ管理システムで行われるログ取得および解析の動作を示すシーケンス図である。 図１〜２に示したログデータおよび補正後時刻付ログデータの形式の一例を示す説明図である。 図１〜２に示したシステムログのデータ形式の一例について示す説明図である。

（実施形態）
以下、本発明の実施形態の構成について添付図１〜２に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係るログ管理システム１は、ログ解析装置１０と複数のクライアント端末２０とが相互に接続されて構成されるログ管理システムである。ログ解析装置１０は、クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信するログ収集部５１と、クライアント端末にタイムスタンプ要求通知を送信し、タイムスタンプ要求通知に対応するタイムスタンプ応答通知をクライアント端末から受信して該タイムスタンプ応答通知から時刻差分情報を算出する時刻取得部５２と、時刻差分情報に基づいてログデータ内の発生時刻を補正した補正後時刻をログデータに付加して補正後時刻付ログデータを作成するログ時刻補正部５３と、補正後時刻付ログデータを予め備えられた記憶手段に保存するログ管理部５４とを有する。

また、ログ解析装置１０は、ユーザからの要求に応じて補正後時刻を利用してログデータを解析してその解析結果を出力するログ解析部５５を有する。そして、時刻取得部５２は、タイムスタンプ要求通知の発信時刻と受信時刻との間の差分を時刻差分情報として算出する。ここでいうタイムスタンプ要求通知およびタイムスタンプ応答通知は、ＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能を利用したものである。

この構成を備えることにより、ログ管理システム１は、ログ収集対象機器（クライアント端末）の側に特別なソフトウェアもしくはハードウェアを必要とせずに、複数機器間で時系列を正しく保持してログ解析を行うことが可能となる。
以下、これをより詳細に説明する。

図１は、本発明の実施形態に係るログ管理システム１の構成について示す説明図である。ログ管理システム１は、ログ解析装置１０と、クライアント端末２０ａ，２０ｂ，２０ｃ…とがネットワーク３０を介して相互に接続されて構成される。クライアント端末２０ａ，２０ｂ，２０ｃ…の台数は任意であり、またいずれのクライアント端末２０ａ，２０ｂ，２０ｃ…も同一の構成を有するので、総称してクライアント端末２０という。図１ではその中の１台であるクライアント端末２０ａについてのみ、詳しい構成を示す。

ログ解析装置１０は、一般的なコンピュータとしての構成を備えている。即ち、ログ解析装置１０は、コンピュータプログラムとして記述された各種処理を実行する主体である主演算制御手段（ＣＰＵ: Central Processing Unit）１１と、データを記憶する記憶手段１２と、ネットワーク３０に接続して他のコンピュータとの間でデータ通信を行う通信手段１３と、ユーザ（ネットワーク管理者）からの入力操作を受け付け、また処理結果をユーザに提示する入出力手段１４とを備える。

主演算制御手段１１は、ログ解析プログラムが動作することにより、ログ収集部５１、時刻取得部５２、ログ時刻補正部５３、ログ管理部５４、およびログ解析部５５の各々として機能する。また、記憶手段１２には、システムログ５６が、主演算制御手段１１の動作に応じて記憶される。これらについては後述する。

クライアント端末２０もまた、一般的なコンピュータとしての構成を備えている。即ち、クライアント端末２０は、ログ解析装置１０と同様の主演算制御手段２１と、ネットワーク３０に接続して他のコンピュータとの間でデータ通信を行う通信手段２２とを備える。主演算制御手段２１は、ログ管理プログラムが動作することにより、ログ出力部６１、およびタイムスタンプ応答部６２として機能する。これらについても後述する。

図２は、図１で示したログ解析装置１０およびクライアント端末２０の各動作部による処理の流れを、観念的に示した説明図である。ログ解析装置１０のログ収集部５１は、ログ収集対象機器から送信されるログを受信し、このログデータ７１を時刻取得部５２に渡す機能を持つ。その際、ログを送受信する通信方式としては、ＦＴＰ（File Transfer Protocol）、ｓｙｓｌｏｇ、ＯＤＢＣ（Open Database Connectivity）などのような、公知の方式を利用することができる。

時刻取得部５２は、ログ収集部５１からログデータ７１の入力を受けて、ログ収集対象機器（クライアント端末２０）のタイムスタンプ応答部６２にタイムスタンプ要求通知７４を送信し、これに対して送信されてきたタイムスタンプ応答通知７５から取得した時刻データとログ解析装置１０のシステム時刻の差分を算出する。そして、算出された時刻差分情報７２を、ログ収集部５１から入力されたログデータ７１と共に、ログ時刻補正部５３に渡す。

ログ時刻補正部５３は、時刻取得部５２から入力されるログデータ７１に、各ログデータのログ発生時刻を同じく時刻取得部５２から入力される時刻差分情報７２によって補正した補正後時刻を付加して、補正後時刻付ログデータ７３を作成し、これをログ管理部５４に渡す。

ログ管理部５４は、ログ時刻補正部５３から入力される補正後時刻付ログデータ７３を、システムログ５６として記憶手段１２内に保存する。

ログ解析部５５は、入出力手段１４を介してユーザ（ネットワーク管理者）から入力された解析リクエストに応じて、解析に必要なデータを補正後時刻付ログデータ７３の中からログ管理部５４を介して取得して、解析を行う。この解析の際、ログ発生時刻ではなく、補正後時刻を利用する。そして、その解析結果を入出力手段１４を介してユーザに提示する。

一方のクライアント端末２０で、ログ出力部６１は、ＯＳやアプリケーションなどの動作をログデータとして出力し、通信手段２２を介してログ解析装置１０に送信する。その際、これらのログデータには出力された時刻（ログ発生時刻）が記録されており、このログ発生時刻はログを出力したクライアント端末２０のシステム時刻で、記録対象の発生時刻が記録される。

タイムスタンプ応答部６２は、ログ管理サーバ１０の時刻取得部５２からのタイムスタンプ要求通知７４に応答して、タイムスタンプ応答通知７５を返信する。本実施形態では、このタイムスタンプ要求通知７４およびタイムスタンプ応答通知７５は、ＩＣＭＰ（Internet Control Message Protocol、ＲＦＣ７９２／１８１２）として国際標準化され、ＩＰ（Internet Protocol）が実装される全ての機器が標準的に備えている機能を利用する。

なお、ＩＣＭＰに限らず、たとえばウィンドウズ（登録商標）に標準的に装備されているｎｅｔ ｔｉｍｅコマンドやｗ３２ｔｍコマンドなどを、本実施形態におけるタイムスタンプ要求通知７４およびタイムスタンプ応答通知７５として利用することも可能である。

図３は、図１〜２に示した時刻取得部５２とタイムスタンプ応答部６２との間で交換されるタイムスタンプ要求通知７４およびタイムスタンプ応答通知７５のデータ形式について示す説明図である。これらの通知はＩＣＭＰで標準化されているデータ形式であり、ＩＰパケットの中に含まれるデータの中にタイプ７４ａ（７５ａ）、コード７４ｂ（７５ｂ）、チェックサム７４ｃ（７５ｃ）、識別子７４ｄ（７５ｄ）、シーケンス番号７４ｅ（７５ｅ）、起点タイムスタンプ７４ｆ（７５ｆ）、受信タイムスタンプ７４ｇ（７５ｇ）、送信タイムスタンプ７４ｈ（７５ｈ）の各データが含まれる。

時刻取得部５２が発するタイムスタンプ要求通知７４では、タイプ７４ａ＝「１３」、コード７４ｂ＝固定値「０」である。チェックサム７４ｃは誤り検出用の符号である。識別子７４ｄは送信元によって決定された値、たとえばプロセスＩＤなどである。シーケンス番号７４ｅは、同一の識別子で通信が繰り返される場合の通し番号である。

起点タイムスタンプ７４ｆは、このタイムスタンプ要求通知７４を発した日時である。通常はＵＴＣ（Universal Time, Coordinated、協定標準時）１９５８年１月１日０時０分０秒を００：００として、そこからの経過時間をミリ秒単位で示した数字が日時として用いられる。受信タイムスタンプ７４ｇおよび送信タイムスタンプ７４ｈは空欄である。

これを受けたタイムスタンプ応答部６２が返信するタイムスタンプ応答通知７５では、タイプ７５ａ＝「１４」、コード７５ｂ＝固定値「０」である。チェックサム７５ｃは誤り検出用の符号である。識別子７５ｄは、タイムスタンプ要求通知７４に含まれていた識別子７４ｄの値をそのまま使用する。シーケンス番号７５ｅは、タイムスタンプ要求通知７４に含まれていたシーケンス番号７４ｅの値に＋１して使用する。

起点タイムスタンプ７５ｆは、タイムスタンプ要求通知７４に含まれていた起点タイムスタンプ７４ｆの値をそのまま使用する。そして、受信タイムスタンプ７５ｇはタイムスタンプ要求通知７４を受信した時点の日時であり、送信タイムスタンプ７５ｈはタイムスタンプ応答通知７５を送信する時点の日時である。

図４は、図１〜２に示したログ管理システム１で行われるログ取得および解析の動作を示すシーケンス図である。まずクライアント端末２０で、ログ出力部６１が通信手段２２を介してログデータ７１を送信する。ログ解析装置１０では、ログ収集部５１がこれを受信する（ステップＳ１０１）。ログデータ７１を送信する動作は、たとえば予め定められた周期ごとに行ってもよいし、またイベント発生ごとに行うようにしてもよい。また、前述したように、ログを収集するための通信方式としては、ＦＴＰ、ｓｙｓｌｏｇ、ＯＤＢＣなどのような、公知の方式を利用することができる。

ログ収集部５１は、受信したログデータ７１を時刻取得部５２に渡す（ステップＳ１０２）。その際、ログ収集部５１は、いずれの収集対象機器から受信したログデータ７１であるかを示す収集対象機器情報を同時に時刻取得部５２に渡す。たとえば、通信方式がｓｙｓｌｏｇである場合、ｓｙｓｌｏｇヘッダ内にログ送信元のホスト名が含まれるので、このホスト名が収集対象機器情報である。

ログ収集部５１からログデータ７１と収集対象機器情報の入力を受けた時刻取得部５２は、該当収集対象機器（クライアント端末２０）に対して図３に示したタイムスタンプ要求通知７４を送信する（ステップＳ１０３）。図３で説明したように、タイムスタンプ要求７４は、クライアント端末２０が標準で備えているＩＣＭＰプロトコルを利用したものである。

タイムスタンプ要求通知７４を受け取ったクライアント端末２０では、タイムスタンプ応答部６２が、ログ管理サーバ１０に対して図３に示したタイムスタンプ応答通知７５を返信する（ステップＳ１０４）。

クライアント端末２０からタイムスタンプ応答通知７５を受け取った時刻取得部５２は、タイムスタンプ応答通知７５の応答パケットの中の起点タイムスタンプ７５ｆと受信タイムスタンプ７５ｇを比較することで、ログ解析装置１０とクライアント端末２０との時刻差分を算出する（ステップＳ１０５）。

時刻差分情報７２（ΔＴ）は、起点タイムスタンプ７５ｆをＴ、受信タイムスタンプ７５ｇをｔとすると、以下の数１で算出される。そして時刻取得部５２は、算出した時刻差分情報７２（ΔＴ）と、ログ収集部５１から入力されたログデータ７１とを、ログ時刻補正部５３に渡す（ステップＳ１０６）。

時刻差分情報７２（ΔＴ）とログデータ７１とを時刻取得部５２から入力されたログ時刻補正部５３は、ログデータからログ発生時刻を抽出し、これを時刻差分情報によって補正する（ステップＳ１０７）。ログデータの形式、またその中のどの部分にログ発生時刻が含まれているかは任意に決定できる。

図５は、図１〜２に示したログデータ７１および補正後時刻付ログデータ７３の形式の一例を示す説明図である。ログデータ７１は、ログ発生時刻７１ａと、その時刻に発生した操作や動作などの内容を示すメッセージ７１ｂとを含む。

ログ時刻補正部５３は、時刻取得部５２より入力されたログデータ７１内のログ発生時刻７１ａを特定のフォーマットに変換する。ここでは、たとえばログ発生時刻７１ａが「西暦２０１１年２月１０日１３時２４分５６秒１２３」である場合、これを「２０１１−２−１０ １３：２４：５６．１２３」と表記するフォーマットに変換する。

このフォーマット変換の後、ログ時刻補正部５３は、ログ発生時刻７１ａに時刻差分情報７２（ΔＴ）を加算して、補正後時刻７３ａを算出する。この補正を行うことで、ログ収集対象であるクライアント端末２０のシステム時刻情報を、ログ解析装置１０のシステム時刻情報を基準にして補正することが可能となる。

ログ時刻補正部５３は、ログデータ７１の各行の末尾に算出した補正後時刻７３ａを付加して、これを補正後時刻付ログデータ７３とする。そしてログ時刻補正部５３は、この補正後時刻付ログデータ７３をログ管理部５４に渡す。ログ管理部５４は、渡された補正後時刻付ログデータ７３を、システムログ５６として記憶手段１２内に保存する（図４・ステップＳ１０８）。以上の動作を、ログ解析装置１０が複数のクライアント端末２０からログデータ７１を受信するたびに行う。

図６は、図１〜２に示したシステムログ５６のデータ形式の一例について示す説明図である。システムログ５６は、クライアント端末２０で出力されたログデータ７１に含まれる各データ、即ちログ発生時刻７１ａおよびメッセージ７１ｂ、および補正後時刻７３ａが含まれる。また、クライアント端末２０のユーザ名５６ａ、マシン名５６ｂ、ＩＰアドレス５６ｃなどのような情報も、解析に使用可能なように、適宜付加される。

ログ解析部５５は、入出力手段１４を介してユーザから解析リクエストを入力された場合に、ログ管理部５４に取得要求を送信する（図４・ステップＳ１０９）。この取得要求を受け取ったログ管理部５４は、要求されたデータをログ解析部５５に返却する。そしてログ解析部５５は、受け取ったデータを解析して、その分析結果を入出力手段１４を介してユーザに提示する（図４・ステップＳ１１０）。その際、ログ解析部５５は、ログ発生時刻７１ａではなく、補正後時刻７３ａを解析に利用する。

（全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。本実施形態に係るログ解析方法は、ログ解析装置１０と複数のクライアント端末２０とが相互に接続されて構成されるログ管理システム１にあって、クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末のログ出力部が送信し、ログデータをログ解析装置のログ収集部が受信し（図４・ステップＳ１０１）、クライアント端末にログ解析装置の時刻取得部がタイムスタンプ要求通知を送信し（図４・ステップＳ１０３）、タイムスタンプ要求通知に対応してクライアント端末のタイムスタンプ応答部がログ解析装置にタイムスタンプ応答通知を送信し（図４・ステップＳ１０４）、タイムスタンプ応答通知からログ解析装置の時刻取得部が時刻差分情報を算出し（図４・ステップＳ１０５）、時刻差分情報に基づいてログデータ内の発生時刻を補正した補正後時刻をログ解析装置のログ時刻補正部がログデータに付加して補正後時刻付ログデータを作成し（図４・ステップＳ１０７）、補正後時刻付ログデータをログ解析装置のログ管理部が予め備えられた記憶手段に保存する（図４・ステップＳ１０８）。

ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するコンピュータであるログ解析装置１０に実行させるようにしてもよい。本プログラムは、非一時的な記録媒体、例えば、ＤＶＤ、ＣＤ、フラッシュメモリ等に記録されてもよい。その場合、本プログラムは、記録媒体からコンピュータによって読み出され、実行される。
この動作により、本実施形態は以下のような効果を奏する。

本実施形態によれば、ログ収集対象機器である複数のクライアント端末２０のログを収集するログ解析装置１０において、それぞれのクライアント端末２０のシステム時刻が異なっていたとしても、各々のログ発生時刻をログ解析装置１０の時刻を基準として補正することができるので、複数機器間でシステム時刻が各々異なっている場合であっても、これらのログ発生時刻の時系列における前後関係を正しく保持したログ解析が可能となる。

その際、ＮＴＰは使用しないので、ＮＴＰによるシステム時刻の補正ができない環境に対しても本実施形態を適用することができる。また、クライアント端末２０が標準で備えているＩＣＭＰプロトコルを利用しているので、クライアント端末２０に特別なソフトウェアもしくはハードウェアを導入する必要はない。ただ、上記した通りの構成のログ解析装置１０をネットワーク３０に接続すればよく、またログ解析装置１０も特別なハードウェアを必要とはせず、ただプログラムを新規に導入するだけでよい。従って、本実施形態は安価かつ少ない手間で実施可能である。

これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。

上述した実施形態について、その新規な技術内容の要点をまとめると、以下のようになる。なお、上記実施形態の一部または全部は、新規な技術として以下のようにまとめられるが、本発明は必ずしもこれに限定されるものではない。

（付記１） ログ解析装置と複数のクライアント端末とが相互に接続されて構成されるログ管理システムであって、
前記ログ解析装置が、
前記クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信するログ収集部と、
前記クライアント端末にタイムスタンプ要求通知を送信し、前記タイムスタンプ要求通知に対応するタイムスタンプ応答通知を前記クライアント端末から受信して該タイムスタンプ応答通知から時刻差分情報を算出する時刻取得部と、
前記時刻差分情報に基づいて前記ログデータ内の前記発生時刻を補正した補正後時刻を前記ログデータに付加して補正後時刻付ログデータを作成するログ時刻補正部と、
前記補正後時刻付ログデータを予め備えられた記憶手段に保存するログ管理部と
を有することを特徴とするログ管理システム。

（付記２） 前記ログ解析装置が、ユーザからの要求に応じて前記補正後時刻を利用して前記ログデータを解析してその解析結果を出力するログ解析部を有することを特徴とする、付記１に記載のログ管理システム。

（付記３） 前記時刻取得部が、前記タイムスタンプ要求通知の発信時刻と受信時刻との間の差分を前記時刻差分情報として算出することを特徴とする、付記１に記載のログ管理システム。

（付記４） 前記タイムスタンプ要求通知および前記タイムスタンプ応答通知が、ＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能を利用したものであることを特徴とする、付記１に記載のログ管理システム。

（付記５） 複数のクライアント端末と相互に接続されてログ管理システムを構成するログ解析装置であって、
前記クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信するログ収集部と、
前記クライアント端末にタイムスタンプ要求通知を送信し、前記タイムスタンプ要求通知に対応するタイムスタンプ応答通知を前記クライアント端末から受信して該タイムスタンプ応答通知から時刻差分情報を算出する時刻取得部と、
前記時刻差分情報に基づいて前記ログデータ内の前記発生時刻を補正した補正後時刻を前記ログデータに付加して補正後時刻付ログデータを作成するログ時刻補正部と、
前記補正後時刻付ログデータを予め備えられた記憶手段に保存するログ管理部と、
ユーザからの要求に応じて前記補正後時刻を利用して前記ログデータを解析してその解析結果を出力するログ解析部と
を有することを特徴とするログ解析装置。

（付記６） ログ解析装置と複数のクライアント端末とが相互に接続されて構成されるログ管理システムにあって、
前記クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末のログ出力部が送信し、
前記ログデータを前記ログ解析装置のログ収集部が受信し、
前記クライアント端末に前記ログ解析装置の時刻取得部がタイムスタンプ要求通知を送信し、
前記タイムスタンプ要求通知に対応して前記クライアント端末のタイムスタンプ応答部が前記ログ解析装置にタイムスタンプ応答通知を送信し、
前記タイムスタンプ応答通知から前記ログ解析装置の前記時刻取得部が時刻差分情報を算出し、
前記時刻差分情報に基づいて前記ログデータ内の前記発生時刻を補正した補正後時刻を前記ログ解析装置のログ時刻補正部が前記ログデータに付加して補正後時刻付ログデータを作成し、
前記補正後時刻付ログデータを前記ログ解析装置のログ管理部が予め備えられた記憶手段に保存する
ことを特徴とするログ解析方法。

（付記７） ログ解析装置と複数のクライアント端末とが相互に接続されて構成されるログ管理システムにあって、
前記ログ解析装置が備えるコンピュータに、
前記クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信する手順、
前記クライアント端末にタイムスタンプ要求通知を送信する手順、
前記タイムスタンプ要求通知に対応するタイムスタンプ応答通知を前記クライアント端末から受信する手順、
前記タイムスタンプ応答通知から時刻差分情報を算出する手順、
前記時刻差分情報に基づいて前記ログデータ内の前記発生時刻を補正した補正後時刻を前記ログデータに付加して補正後時刻付ログデータを作成する手順、
および前記補正後時刻付ログデータを予め備えられた記憶手段に保存する手順
を実行させることを特徴とするログ解析プログラム。

コンピュータネットワークにおいて幅広く適用できる。特に統合ログ管理システムに適する。

１ ログ管理システム
１０ ログ解析装置
１１、２１ 主演算制御手段
１２ 記憶手段
１３、２２ 通信手段
１４ 入出力手段
２０、２０ａ、２０ｂ、２０ｃ クライアント端末
３０ ネットワーク
５１ ログ収集部
５２ 時刻取得部
５３ ログ時刻補正部
５４ ログ管理部
５５ ログ解析部
５６ システムログ
５６ａ ユーザ名
５６ｂ マシン名
５６ｃ ＩＰアドレス
６１ ログ出力部
６２ タイムスタンプ応答部
７１ ログデータ
７１ａ ログ発生時刻
７１ｂ メッセージ
７２ 時刻差分情報
７３ 補正後時刻付ログデータ
７３ａ 補正後時刻
７４ タイムスタンプ要求通知
７４ａ，７５ａ タイプ
７４ｂ，７５ｂ コード
７４ｃ，７５ｃ チェックサム
７４ｄ，７５ｄ 識別子
７４ｅ，７５ｅ シーケンス番号
７４ｆ，７５ｆ 起点タイムスタンプ
７４ｇ，７５ｇ 受信タイムスタンプ
７４ｈ，７５ｈ 送信タイムスタンプ
７５ タイムスタンプ応答通知

Claims (6)

1. ログ解析装置と複数のクライアント端末とが相互に接続されて構成されるログ管理システムであって、
   前記ログ解析装置が、
   前記クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信するログ収集部と、
   前記ログデータを受信するたびに、前記クライアント端末にＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能に基づくタイムスタンプ要求通知を送信し、このタイムスタンプ要求通知に対応するタイムスタンプ応答通知を前記クライアント端末から受信して該タイムスタンプ応答通知から時刻差分情報を算出する時刻取得部と、
   前記時刻差分情報に基づいて前記ログデータ内の前記発生時刻を補正した補正後時刻を前記ログデータに付加して補正後時刻付ログデータを作成するログ時刻補正部と、
   前記補正後時刻付ログデータを予め備えられた記憶手段に保存するログ管理部と
   を有することを特徴とするログ管理システム。
2. 前記ログ解析装置が、ユーザからの要求に応じて前記補正後時刻を利用して前記ログデータを解析してその解析結果を出力するログ解析部を有することを特徴とする、請求項１に記載のログ管理システム。
3. 前記時刻取得部が、前記タイムスタンプ要求通知の発信時刻と受信時刻との間の差分を前記時刻差分情報として算出することを特徴とする、請求項１に記載のログ管理システム。
4. 複数のクライアント端末と相互に接続されてログ管理システムを構成するログ解析装置であって、
   前記クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信するログ収集部と、
   前記ログデータを受信するたびに、前記クライアント端末にＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能に基づくタイムスタンプ要求通知を送信し、このタイムスタンプ要求通知に対応するタイムスタンプ応答通知を前記クライアント端末から受信して該タイムスタンプ応答通知から時刻差分情報を算出する時刻取得部と、
   前記時刻差分情報に基づいて前記ログデータ内の前記発生時刻を補正した補正後時刻を前記ログデータに付加して補正後時刻付ログデータを作成するログ時刻補正部と、
   前記補正後時刻付ログデータを予め備えられた記憶手段に保存するログ管理部と、
   ユーザからの要求に応じて前記補正後時刻を利用して前記ログデータを解析してその解析結果を出力するログ解析部と
   を有することを特徴とするログ解析装置。
5. ログ解析装置と複数のクライアント端末とが相互に接続されて構成されるログ管理システムにあって、
   前記クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末のログ出力部が送信し、
   前記ログデータを前記ログ解析装置のログ収集部が受信し、
   当該ログデータを受信するたびに、前記クライアント端末に前記ログ解析装置の時刻取得部がＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能に基づくタイムスタンプ要求通知を送信し、
   前記タイムスタンプ要求通知に対応して前記クライアント端末のタイムスタンプ応答部が前記ログ解析装置にタイムスタンプ応答通知を送信し、
   前記タイムスタンプ応答通知から前記ログ解析装置の前記時刻取得部が時刻差分情報を算出し、
   前記時刻差分情報に基づいて前記ログデータ内の前記発生時刻を補正した補正後時刻を前記ログ解析装置のログ時刻補正部が前記ログデータに付加して補正後時刻付ログデータを作成し、
   前記補正後時刻付ログデータを前記ログ解析装置のログ管理部が予め備えられた記憶手段に保存する
   ことを特徴とするログ解析方法。
6. ログ解析装置と複数のクライアント端末とが相互に接続されて構成されるログ管理システムにあって、
   前記ログ解析装置が備えるコンピュータに、
   前記クライアント端末の動作と当該動作の発生時刻を記録したログデータを当該クライアント端末から受信する手順、
   当該ログデータを受信するたびに、前記クライアント端末にＩＣＭＰ（Internet Control Message Protocol）として国際標準化された機能に基づくタイムスタンプ要求通知を送信する手順、
   前記タイムスタンプ要求通知に対応するタイムスタンプ応答通知を前記クライアント端末から受信する手順、
   前記タイムスタンプ応答通知から時刻差分情報を算出する手順、
   前記時刻差分情報に基づいて前記ログデータ内の前記発生時刻を補正した補正後時刻を前記ログデータに付加して補正後時刻付ログデータを作成する手順、
   および前記補正後時刻付ログデータを予め備えられた記憶手段に保存する手順
   を実行させることを特徴とするログ解析プログラム。

Images