JP6330280B2 - アラート出力装置、アラート出力方法、及び、アラート出力プログラム - Google Patents

Description

本願発明は、複数のログメッセージを基に、アラート出力する条件に合致する事象が発生していることを検知するアラート出力装置等に関する。

企業等におけるコンピュータシステムは、内部統制、システム監査、あるいは、インシデント発生時における事後調査の対応を可能とするために、ログ管理装置を備えている。ログ管理装置は、企業内の通信ネットワークに接続されているクライアント端末装置、サーバ装置、それらの装置に搭載されているアプリケーションソフトウェア、及び、ネットワーク機器などの様々なデバイスを対象として、ログを収集して解析する。ログ管理装置は、法令で規定されている監査証跡、ログ収集対象電子機器に係る状態監視、及び、セキュリティインシデントの検出と事後調査等に係る管理レベルを向上することができる。

ログ管理装置は、通常、セキュリティインシデントあるいは障害が発生したことを警告するために、アラート出力検知機能を備えている。アラート出力検知機能は、収集されたログを都度確認して、発生した事象がアラート出力する条件に合致しているかどうかを判定する。アラート出力する条件としては、「ログメッセージＡが出力された場合にアラート出力する」という単純な条件もあるが、「ログメッセージＡが出力されたのち、５分以内にログメッセージＢが出力された場合にアラート出力する」というような、複数のログメッセージが出力された順序関係を用いた複雑な条件もある。

例えば、上述におけるログメッセージＡが、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）により１時間ごとにログ収集される電子機器から出力され、ログメッセージＢが、Ｓｙｓｌｏｇとして、ほぼリアルタイムにログ収集される電子機器から出力される場合がある。この場合、実際にはログメッセージＡの方がログメッセージＢよりも早く出力されていたとしても、ログ管理装置によりログ収集されるタイミングとしては、ログメッセージＢの方がログメッセージＡよりも早くなることが多い。アラート出力検知機能は、通常、ログ収集されるタイミングを基に、アラート出力する条件に合致した事象が発生しているか否かを判定する。したがって、上述の場合、アラート出力検知機能は、アラート出力する条件に合致した事象が発生してことを検知できない。

また、例えば、ログメッセージＡ及びログメッセージＢが、いずれも１時間ごとにログ収集される同一の電子機器から出力される場合において、ログメッセージＡが出力された後に、ログ収集が行われ、その後ログメッセージＢが出力される場合がある。この場合、実際には、ログメッセージＡが出力されてから５分以内にログメッセージＢが出力されていたとしても、ログ管理装置によりログメッセージＢが収集されるタイミングは、ログメッセージＡが出力されてから約１時間後となる。したがって、この場合おいても、アラート出力検知機能は、アラート出力する条件に合致した事象が発生していることを検知できない。

したがって、ログ収集対象電子機器からログが収集されるタイミングにかかわらず、アラート出力する条件に合致した事象が発生していることを、漏らさず正確に検知する技術が求められている。

上述した技術に関連する技術として、特許文献１には、分散したノードからデータを収集する際に、実際の順序とは異なる順序でデータが管理サーバに受信される場合があることを回避する技術が開示されている。この技術では、各ノードにエージェントを設置し、かつ、エージェントを管理する管理部と備えることにより、シーケンス番号を付与して、
管理サーバが本来の順序通りにデータを受信することができるようにしている。

特開2008-533930号公報

上述した特許文献１に開示された技術は、複数のデータセットが出力された順番を正しく検知することはできるが、個々のデータが出力されたタイミングが、所定の時間内に収まっていることを検知することは困難である。したがって、特許文献１に開示された技術は、アラート出力する条件に合致した事象が発生していることを、漏らさず正確に検知するという課題を解決するためには不十分である。

本願発明の主たる目的は、この課題を解決した、アラート出力装置、アラート出力方法、及び、アラート出力プログラムを提供することである。

本願発明に係るアラート出力装置は、ログメッセージが出力元機器から出力された時刻である出力時刻と、前記出力元機器において発生した事象内容と、を示すログ情報を格納するログ情報格納手段と、前記ログ情報を包含する前記ログメッセージを受信した際に、当該ログ情報と、前記ログ情報格納手段に格納されている少なくとも１つの前記ログ情報との組み合わせが所定の条件を満たす場合、アラートを出力すべきと判断し、外部に対してアラート出力するアラート出力手段と、を備えることを特徴とする。

上記目的を達成する他の見地において、本願発明のアラート出力方法は、情報処理装置によって、ログメッセージが出力元機器から出力された時刻である出力時刻と、前記出力元機器において発生した事象内容と、を示すログ情報を記憶域に格納し、前記ログ情報を包含する前記ログメッセージを受信した際に、当該ログ情報と、前記記憶域に格納されている少なくとも１つの前記ログ情報との組み合わせが所定の条件を満たす場合、アラートを出力すべきと判断し、外部に対してアラート出力することを特徴とする。

また、上記目的を達成する更なる見地において、本願発明に係るアラート出力プログラムは、ログメッセージが出力元機器から出力された時刻である出力時刻と、前記出力元機器において発生した事象内容と、を示すログ情報を記憶域に格納するログ情報格納処理と、前記ログ情報を包含する前記ログメッセージを受信した際に、当該ログ情報と、前記記憶域に格納されている少なくとも１つの前記ログ情報との組み合わせが所定の条件を満たす場合、アラートを出力すべきと判断し、外部に対してアラート出力するアラート出力処理と、をコンピュータに実行させることを特徴とする。

更に、本発明は、係る情報読取プログラム（コンピュータプログラム）が格納された、コンピュータ読み取り可能な、不揮発性の記憶媒体によっても実現可能である。

本願発明は、アラート出力する条件に合致した事象が発生していることを、漏らさず正確に検知することを可能とする。

本願発明の第１の実施形態に係るアラート出力システムの構成を示すブロック図である。 本願発明の第１の実施形態に係るアラート出力装置の動作を示すフローチャートである。 本願発明の第１の実施形態に係るアラート出力装置の順走査処理を示すフローチャートである。 本願発明の第１の実施形態に係るアラート出力装置の逆走査処理を示すフローチャートである。 本願発明の第１の実施形態に係るログ情報の構成例を示す図である。 本願発明の第１の実施形態に係るアラート定義情報の構成例を示す図である。 本願発明の第２の実施形態に係るアラート出力装置の構成を示すブロック図である。 本願発明の各実施形態のアラート出力装置を実行可能な情報処理装置の構成を示すブロック図である。

以下、本願発明の実施の形態について図面を参照して詳細に説明する。

＜第１の実施形態＞
図１は第１の実施形態のアラート出力システム１の構成を概念的に示すブロック図である。本実施形態のアラート出力システム１は、アラート出力装置１０、ログ収集対象電子機器２０−１乃至ｎ（ｎは１以上の整数）、及び、通信ネットワーク４０を有している。アラート出力装置１０、及び、ログ収集対象電子機器２０−１乃至ｎは、通信ネットワーク４０により通信可能に接続されている。

ログ収集対象電子機器２０−１乃至ｎは、サーバ装置、クライアント端末装置、あるいは、ネットワーク機器等の電子機器であり、動作状態等に係る情報を、テキスト形式データであるログメッセージとして出力する。ログメッセージは、ログ収集対象電子機器２０−１乃至ｎから出力された時刻を包含している。

アラート出力装置１０は、ログ収集対象電子機器２０−１乃至ｎから出力されたログメッセージを基に、アラート出力システム１において、アラート出力する条件に合致した事象が発生していることを検出する装置である。アラート出力装置１０は、ログ収集対象電子機器２０−１乃至ｎから出力されたログメッセージを収集して管理するログ管理装置（図示無し）の中に実装されている。

アラート出力装置１０は、アラート出力部１１、ログ情報格納部１２、及び、アラート定義情報格納部１３を備えている。アラート出力部１１は、電子回路の場合もあれば、コンピュータプログラムとそのコンピュータプログラムに従って動作するプロセッサによって実現される場合もある。ログ情報格納部１２、及び、アラート定義情報格納部１３は、電子回路、あるいは、コンピュータプログラムとそのコンピュータプログラムに従って動作するプロセッサによりアクセス制御される、磁気ディスクや電子メモリ等の記憶デバイスである。

アラート出力部１１は、ログメッセージ受信回路１１０、トリガ判定回路１１１、順走査回路１１２、逆走査回路１１３、及び、アラート出力判定回路１１４を備えている。

ログメッセージ受信回路１１０は、ログ収集対象電子機器２０−１乃至ｎのいずれかから出力されたログメッセージを受信した後、受信したログメッセージの書式を、メッセージ定義情報（図示無し）と照合することにより正規化する。そして、ログメッセージ受信回路１１０は、正規化したログメッセージを、ログ情報として、ログ情報格納部１２に格納する。ログ情報格納部１２は、１つのログメッセージを基に生成されたログ情報を、１つのレコードとして、過去にログ収集対象電子機器２０−１乃至ｎから出力されたログメッセージを基に生成されたログ情報を蓄積して格納している。ログメッセージ受信回路１１０は、ログ情報を照合対象ログ情報として、トリガ判定回路１１１へ入力する。

ログメッセージ受信回路１１０により正規化されたログ情報の構成例を図５に示す。ログ情報１１００は、「Ｍｅｓｓａｇｅ ＩＤ」、「Ｏｕｔｐｕｔ Ｔｉｍｅ」、「Ｕｓｅｒ」、「ＩＰ Ａｄｄｒｅｓｓ」、「Ａｃｔｉｏｎ」、及び、「Ｍｅｓｓａｇｅ」等の項目を含んでいる。

ログ情報１１００における「Ｍｅｓｓａｇｅ ＩＤ」（以下、メッセージＩＤと称する）の項目は、ログメッセージが包含するパラメータの組み合わせにより、ログメッセージに係る種別を識別する識別情報である。メッセージ定義情報は、ログメッセージが包含するパラメータの組み合わせとメッセージＩＤとを関連付ける情報を包含している。ログ情報格納部１２は、ログメッセージを正規化する際に、ログメッセージが包含するパラメータの組み合わせをメッセージ定義情報と照合することにより、当該ログメッセージを識別するメッセージＩＤを特定する。

ログ情報１１００における「Ｏｕｔｐｕｔ Ｔｉｍｅ」は、ログメッセージがログ収集対象電子機器２０−１乃至ｎから出力された時刻である。「Ｕｓｅｒ」は、ログメッセージを出力したログ収集対象電子機器２０−１乃至ｎにおけるログインユーザ情報である。「ＩＰ Ａｄｄｒｅｓｓ」は、ログメッセージを出力したログ収集対象電子機器２０−１乃至ｎのＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスである。「Ａｃｔｉｏｎ」はログメッセージが出力されたときに、ログ収集対象電子機器２０−１乃至ｎが処理していた情報処理内容を示すアクション情報である。ログメッセージ受信回路１１０は、これらの項目に係る情報を、メッセージ定義情報に従って、ログメッセージから抽出する。ログ情報１１００における「Ｍｅｓｓａｇｅ」の項目は、ログ収集対象電子機器２０−１乃至ｎから出力されたログメッセージそのものである。尚、図５に示すログ情報１１００の構成例は一例であり、ログ情報１１００が、上述した項目とは異なる項目を包含してもよい。

トリガ判定回路１１１は、照合対象ログ情報に係るログメッセージが、アラート出力システム１において、アラート出力する条件として設定されているメッセージ（以降、トリガメッセージと称する）であるか否かを判定する。アラート出力する条件は、アラート定義情報１３０として、アラート定義情報格納部１３に格納されている。アラート定義情報１３０は、アラート出力システム１を管理するシステム管理者により入力された情報である。トリガ判定回路１１１は、ログメッセージ受信回路１１０から入力された照合対象ログ情報を、アラート定義情報１３０と照合する。

アラート定義情報１３０の構成例を図６に示す。アラート定義情報１３０におけるアラートＩＤにより識別されるレコードは、１つのアラート出力条件を定義している。アラート定義情報１３０における「トリガメッセージ１乃至３」は、アラート出力条件が複数のトリガメッセージに関して出力された順序関係を規定する場合に、１乃至３番目のトリガメッセージであることを示している。すなわち、アラート定義情報１３０は、「トリガメッセージ１」が出力された後、「トリガメッセージ２」が出力され、さらにその後「トリガメッセージ３」出力されることを、アラート出力条件として定義している。尚、以降、特定のトリガメッセージに先行するトリガメッセージを「先行トリガメッセージ」と称し、特定のトリガメッセージに後続するトリガメッセージを「後続トリガメッセージ」と称する。また、図６に示す例では、アラート定義情報１３０は、1つのアラートＩＤにつき、３つまでのトリガメッセージを定義しているが、４つ以上のトリガメッセージを定義してもよい。

アラート定義情報１３０における「フィルタ情報」は、ログ情報における各項目が満たすべき条件を示している。「監視時間」は、後続トリガメッセージが出力されるまでの最大監視時間を示す。当該トリガメッセージが出力された時刻から「監視時間」が示す時間内に後続トリガメッセージが出力された場合に、アラート出力条件が満たされることになる。

図６に示す例におけるアラートＩＤが００１であるレコードは、「メッセージＩＤが“ＭＳＧ＿００１”であり、かつ、ログインユーザ情報が“ａｄｍｉｎ”であるログメッセージが発行された後、３００秒以内にメッセージＩＤが“ＭＳＧ＿１０１”であるログメッセージが発行される」ことを示している。図６に示す例におけるアラートＩＤが００２であるレコードは、「メッセージＩＤが“ＭＳＧ＿０１０”であるログメッセージが発行された後、６００秒以内にメッセージＩＤが“ＭＳＧ＿０１１”であり、かつ、アクション情報が“ｄｅｌｅｔｅ”であるログメッセージが発行され、さらにその後３０００秒以内にメッセージＩＤが“ＭＳＧ＿０１２”であるログメッセージが発行される」ことを示している。

トリガ判定回路１１１は、照合対象ログ情報が、アラート定義情報１３０における、何れかのレコードにおける何れかのトリガメッセージに関する「メッセージＩＤ」及び「フィルタ情報」が示す条件と合致する場合、照合対象ログ情報に係るログメッセージがトリガメッセージであると判定する。例えば、ログ情報１１００及びアラート定義情報１３０が、図５乃至６に示す例の場合、ログ情報１１００は、アラート定義情報１３０におけるアラートＩＤが“００１”に係るトリガメッセージ１が示す条件と合致する。トリガ判定回路１１１は、照合対象ログ情報に係るログメッセージがトリガメッセージであると判定した場合、判定結果、照合対象ログ情報、及び、アラート定義情報１３０を、順走査回路１１２及び逆走査回路１１３へ入力する。

順走査回路１１２は、照合対象ログ情報とアラート定義情報１３０とを基に、ログ情報格納部１２に格納されたログ情報を検索して、照合対象ログ情報に係るトリガメッセージについて、後続トリガメッセージが存在するか否かを確認する。アラート定義情報１３０が、アラート出力条件として、複数の後続トリガメッセージを定義している場合、順走査回路１１２は、定義された全ての後続トリガメッセージが存在するか否かを確認する。

例えば、アラート定義情報１３０が図６に示す例の通りで、照合対象ログ情報におけるメッセージＩＤが“ＭＳＧ＿０１０”である場合、順走査回路１１２は、“ＭＳＧ＿０１０”を、トリガメッセージ１に係るメッセージＩＤとして持つ、アラートＩＤが“００２”であるレコードが示すアラート出力条件に従い、後続トリガメッセージを検索する。この場合、照合対象ログ情報に係るトリガメッセージが出力された時刻から６００秒後以内に出力された、メッセージＩＤが“ＭＳＧ＿０１１”であり、かつ、アクション情報が“ｄｅｌｅｔｅ”であるログメッセージが、１番目の後続トリガメッセージとなる。さらに、その１番目の後続トリガメッセージが出力された時刻から３０００秒後以内に出力された、メッセージＩＤが“ＭＳＧ＿０１２”であるログメッセージが、２番目の後続トリガメッセージとなる。

順走査回路１１２は、後続トリガメッセージが存在するか否かを検索する際、現在時刻が、当該トリガメッセージが出力された時刻に当該トリガメッセージに係る監視期間を加算した時刻を過ぎている場合は、当該トリガメッセージが出力された時刻から監視期間後までの時間帯に出力されたログメッセージに係るログ情報を検索する。順走査回路１１２は、当該トリガメッセージが出力された時刻に当該トリガメッセージに係る監視期間を加算した時刻を過ぎていない場合は、当該トリガメッセージが出力された時刻から現在時刻までの時間帯に出力されたログメッセージに係るログ情報を検索する。順走査回路１１２は、アラート出力システム１がシステム情報として記憶する現在時刻が示す値を使用する。順走査回路１１２は、検索結果、照合対象ログ情報、及び、アラート定義情報１３０を、アラート出力判定回路１１４へ入力する。

逆走査回路１１３は、照合対象ログ情報とアラート定義情報１３０とを基に、ログ情報格納部１２に格納されたログ情報を検索して、照合対象ログ情報に係るトリガメッセージについて、先行トリガメッセージが存在するか否かを確認する。アラート定義情報１３０が、アラート出力条件として、複数の先行トリガメッセージを定義している場合、逆走査回路１１３は、定義された全ての先行トリガメッセージが存在するか否かを確認する。

例えば、アラート定義情報１３０が図６に示す例の通りで、入力されたログ情報におけるメッセージＩＤが“ＭＳＧ＿１０１”である場合、逆走査回路１１３は、“ＭＳＧ＿１０１”を、トリガメッセージ２に係るメッセージＩＤとして持つ、アラートＩＤが“００１”であるレコードが示すアラート出力条件に従い、先行トリガメッセージを検索する。この場合、入力されたログ情報に係るトリガメッセージが出力された時刻から３００秒前以内に出力された、メッセージＩＤが“ＭＳＧ＿００１”であり、かつ、ユーザ情報が“ａｄｍｉｎ”であるログメッセージが、先行トリガメッセージとなる。尚、先行トリガメッセージは１個である。

逆走査回路１１３は、先行トリガメッセージが存在するか否かを検索する際、当該トリガメッセージが出力された時刻から、先行トリガメッセージに係る監視期間前までの時間帯に出力されたログメッセージに係るログ情報を検索する。逆走査回路１１３は、検索結果、照合対象ログ情報、及び、アラート定義情報１３０を、アラート出力判定回路１１４へ入力する。

アラート出力判定回路１１４は、順走査回路１１２及び逆走査回路１１３から入力された、検索結果、照合対象ログ情報、及び、アラート定義情報１３０を基に、アラート出力を行うか否かを判定する。アラート出力判定回路１１４は、照合対象ログ情報と、順走査回路１１２及び逆走査回路１１３がログ情報格納部１２に格納されたログ情報を検索した結果ヒットした後続トリガメッセージ及び先行トリガメッセージに係るログ情報との組み合わせが、アラート定義情報１３０における、何れかのレコードが示すアラート出力条件を満たす場合に、アラート出力する。

アラート出力部１１がアラート出力する手段としては、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）による管理サーバ（図示無し）への通報、あるいは、メールによるシステム管理者への通報、あるいは、ログ管理装置が有するユーザインタフェースへの表示などがある。

次に図２のフローチャートを参照して、本実施形態に係るアラート出力装置１０の動作（処理）について詳細に説明する。

ログメッセージ受信回路１１０は、ログ収集対象電子機器２０−１乃至ｎのいずれかから、ログメッセージを受信し、ログ情報として正規化し、ログ情報格納部１２へ格納するとともに、照合対象ログ情報として、トリガ判定回路１１１へ入力する（ステップＳ１０１）。トリガ判定回路１１１は、照合対象ログ情報をアラート定義情報１３０と照合し、照合対象ログ情報がトリガメッセージであるかどうか確認する（ステップＳ１０２）。

照合対象ログ情報が、後続トリガメッセージが存在するトリガメッセージである場合（ステップＳ１０３でＹｅｓ）、順走査回路１１２は、トリガ判定回路１１１が出力した判定結果に従い、順走査処理を実行し（ステップＳ１０４）、処理はステップＳ１０５へ進む。照合対象ログ情報が、後続トリガメッセージが存在するトリガメッセージでない場合（ステップＳ１０３でＮｏ）、処理はステップＳ１０５へ進む。

照合対象ログ情報が、先行続トリガメッセージが存在するトリガメッセージである場合（ステップＳ１０５でＹｅｓ）、逆走査回路１１３は、トリガ判定回路１１１が出力した判定結果に従い、逆走査処理を実行し（ステップＳ１０６）、処理はステップＳ１０７へ進む。照合対象ログ情報が、先行続トリガメッセージが存在するトリガメッセージでない場合（ステップＳ１０５でＮｏ）、処理はステップＳ１０７へ進む。

アラート出力判定回路１１４は、順走査処理結果及び逆走査処理結果を基に、アラート出力するか否かを判定する（ステップＳ１０７）。順走査処理結果及び逆走査処理結果が、
アラート出力条件を満たす場合（ステップＳ１０８でＹｅｓ）、アラート出力判定回路１１４はアラート出力して（ステップＳ１０９）、全体の処理は終了する。順走査処理結果及び逆走査処理結果が、アラート出力条件を満たさない場合（ステップＳ１０８でＮｏ）、全体の処理は終了する。

次に図３のフローチャートを参照して、本実施形態に係るアラート出力装置１０の順走査処理（ステップＳ１０４）について詳細に説明する。

順走査回路１１２は、現在時刻、照合対象ログ情報における出力時刻、及び、アラート定義情報１３０における照合対象ログ情報に係る監視期間を確認する（ステップＳ２０１）。現在時刻が、出力時刻に監視期間を加算した時刻を過ぎている場合（ステップＳ２０２でＹｅｓ）、順走査回路１１２は、ログ情報格納部１２を参照し、出力時刻を基準として、監視期間後までの時間帯に出力されたログ情報の中に、アラート定義情報１３０が示す後続トリガメッセージと合致するログ情報があるかどうか検索し（ステップＳ２０３）、処理はステップＳ２０５へ進む。現在時刻が、出力時刻に監視期間を加算した時刻を過ぎていない場合（ステップＳ２０２でＮｏ）、順走査回路１１２は、ログ情報格納部１２を参照し、出力時刻を基準として、現在時刻までの時間帯に出力されたログ情報の中に、アラート定義情報１３０が示す後続トリガメッセージと合致するログ情報があるかどうか検索し（ステップＳ２０４）、処理はステップＳ２０５へ進む。

ログ情報格納部１２における何れのログ情報ともヒットしなかった場合（ステップＳ２０５でＮｏ）、順走査回路１１２は、検索結果、照合対象ログ情報、及び、アラート定義情報１３０を、アラート出力判定回路１１４へ入力し（ステップＳ２０６）、ステップＳ１０４の処理は終了する。ログ情報格納部１２における何れかのログ情報がヒットし（ステップＳ２０５でＹｅｓ）、かつ、アラート定義情報１３０における、照合対象ログ情報に関連するレコードにおいて、さらなる後続トリガメッセージが存在しない場合（ステップＳ２０７でＮｏ）、処理はステップＳ２０６へ進む。アラート定義情報１３０における、照合対象ログ情報に関連するレコードにおいて、さらに後続トリガメッセージが存在する場合（ステップＳ２０７でＹｅｓ）、順走査回路１１２は、照合対象ログ情報を、検索した結果ヒットした、ログ情報格納部１２におけるログ情報に置き換え（ステップＳ２０８）、処理はステップＳ２０１へ戻る。

次に図４のフローチャートを参照して、本実施形態に係るアラート出力装置１０の逆走査処理（ステップＳ１０６）について詳細に説明する。

逆走査回路１１３は、照合対象ログ情報における出力時刻、及び、アラート定義情報１３０における、先行トリガメッセージに係る監視期間を確認する（ステップＳ３０１）。逆走査回路１１３は、ログ情報格納部１２を参照し、出力時刻を基準として、監視期間前までの時間帯に出力されたログ情報の中に、アラート定義情報１３０が示す先行トリガメッセージと合致するログ情報があるかどうか検索する（ステップＳ３０２）。

ログ情報格納部１２における何れのログ情報ともヒットしなかった場合（ステップＳ３０３でＮｏ）、逆走査回路１１３は、検索結果、照合対象ログ情報、及び、アラート定義情報１３０を、アラート出力判定回路１１４へ入力し（ステップＳ３０４）、ステップＳ１０６の処理は終了する。ログ情報格納部１２における何れかのログ情報がヒットし（ステップＳ３０３でＹｅｓ）、かつ、アラート定義情報１３０における、照合対象ログ情報に関連するレコードにおいて、さらなる先行トリガメッセージが存在しない場合（ステップＳ３０５でＮｏ）、処理はステップＳ３０４へ進む。アラート定義情報１３０における、照合対象ログ情報に関連するレコードにおいて、さらに先行トリガメッセージが存在する場合（ステップＳ３０５でＹｅｓ）、逆走査回路１１３は、照合対象ログ情報を、検索した結果ヒットした、ログ情報格納部１２におけるログ情報に置き換え（ステップＳ３０６）、処理はＳ３０１へ戻る。

本実施形態に係るアラート出力装置１０は、アラート出力する条件に合致した事象が発生していることを、漏らさず正確に検知することができる。その理由は、アラート出力部１１が、受信したログメッセージ及びログ情報格納部１２に格納されている少なくともいずれかの過去のログメッセージが、ログメッセージ出力時刻及び事象内容に関して、アラート定義情報１３０が示すアラート出力条件に合致しているか否かを判定してアラート出力するからである。

コンピュータシステムにおけるアラート出力は、通常、各電子機器から出力されたログメッセージが示す事象内容が所定のアラート出力条件を満たす場合に行われる。そして、所定の事象内容を示すログメッセージＡが出力された後、所定の時間内に、所定の事象内容を示すログメッセージＢが出力されたことが、アラート出力条件として設定されることも多い。

様々な種類の電子機器を包含するコンピュータシステムにおいては、各電子機器から出力されたログメッセージが収集されるタイミングも様々であり、例えば、リアルタイムでログメッセージが収集される機器もあれば、所定の時間ごとにログメッセージが収集される機器もある。このようなシステムでは、ログメッセージが電子機器から出力された時刻と、そのログメッセージがログ管理装置によって収集される時刻とが大きくずれることがある。ログ管理装置は、通常、ログメッセージを収集した時刻を基に、アラート出力条件を満たした事象が発生していることを検知する。このような場合、上述したログメッセージＡ及びＢが出力された時刻が、実際にはアラート出力条件を満たしているのにもかかわらず、ログ管理装置が、アラート出力条件を満たした事象が発生していることを検知できないため、本来出力されるべきアラートが出力されないことになる。

本実施形態に係るアラート出力装置１０は、受信したログメッセージがトリガメッセージである場合、当該ログメッセージが出力された時刻を基準として、アラート定義情報３０における監視期間が示す時間帯に、後続トリガメッセージ及び先行トリガメッセージが存在するか否かを、ログ情報格納部１２を検索して確認する。アラート出力装置１０は、ログ情報格納部１２を検索した結果、アラート定義情報３０が示すいずれかのアラート出力条件を満たす事象が発生している場合、アラート出力を行う。したがって、アラート出力装置１０は、アラート出力する条件に合致した事象が発生していることを、漏らさず正確に検知することができる。

また、ログ管理装置は、通常、トリガメッセージを受信した後、監視リソースを立ち上げて、後続トリガメッセージを監視する。したがって、トリガメッセージが大量に出力されるようなケースでは、アラート出力条件が示す監視期間中において、膨大な監視リソースが消費される虞がある。

アラート出力装置１０は、監視期間の終了まで監視を継続するようなことは行わずに、トリガメッセージを受信したタイミングで、ログ情報格納部１２を検索してアラート出力条件を満たす事象が発生しているか否かを判定する。したがって、アラート出力装置１０は、上述のような、監視期間中において膨大な監視リソースが消費されるという問題を回避することができる。

尚、本実施形態では、アラート出力装置１０は、ログ管理装置内に実装されているが、ログ管理装置の外に配置してもよい。大規模なコンピュータシステムにおいては、複数のログ管理装置を備える場合も多い。アラート出力装置１０をログ管理装置の外に配置することにより、他のログ管理装置に、アラート出力検知機能を追加、あるいは転用することが可能となる。

＜第２の実施形態＞
図７は第２の実施形態のアラート出力装置３０の構成を概念的に示すブロック図である。

本実施形態のアラート出力装置３０は、アラート出力部３１、及び、ログ情報格納部３２を備えている。

ログ情報格納手段３２は、ログメッセージが出力元機器から出力された時刻である出力時刻と、出力元機器において発生した事象内容と、を示すログ情報を格納する。

アラート出力部３１は、ログ情報を包含するログメッセージを受信した際に、当該ログ情報と、ログ情報格納部３２に格納されている少なくとも１つのログ情報との組み合わせが所定の条件を満たす場合、アラートを出力すべきと判断し、外部に対してアラート出力する。

本実施形態に係るアラート出力装置３０は、アラート出力する条件に合致した事象が発生していることを、漏らさず正確に検知することができる。その理由は、アラート出力部３１が、受信したログメッセージ及びログ情報格納部３２に格納されている少なくともいずれかの過去のログメッセージが、ログメッセージ出力時刻及び事象内容に関して、所定の条件に合致しているか否かを判定してアラート出力するからである。

＜ハードウェア構成例＞
上述した各実施形態において図１、及び、図７に示した各部は、ソフトウェアプログラムの機能（処理）単位（ソフトウェアモジュール）と捉えることができる。但し、これらの図面に示した各部の区分けは、説明の便宜上の構成であり、実装に際しては、様々な構成が想定され得る。この場合のハードウェア環境の一例を、図８を参照して説明する。

図８は、本発明の模範的な実施形態に係るアラート出力装置を実行可能な情報処理装置９００（コンピュータ）の構成を例示的に説明する図である。即ち、図８は、図１、及び、図７に示したアラート出力装置を実現可能なコンピュータ（情報処理装置）の構成であって、上述した実施形態における各機能を実現可能なハードウェア環境を表す。

図８に示した情報処理装置９００は、ＣＰＵ９０１（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ）、ＲＯＭ９０２（Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）、ＲＡＭ９０３（Ｒａｎｄｏｍ＿Ａｃｃｅｓｓ＿Ｍｅｍｏｒｙ）、ハードディスク９０４（記憶装置）、外部装置との通信インタフェース９０５（Ｉｎｔｅｒｆａｃｅ：以降、「Ｉ／Ｆ」と称する）、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ＿Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）等の記憶媒体９０７に格納されたデータを読み書き可能なリーダライタ９０８、及び、入出力インタフェース９０９を備え、これらの構成がバス９０６（通信線）を介して接続された一般的なコンピュータである。

そして、上述した実施形態を例に説明した本発明は、図８に示した情報処理装置９００に対して、その実施形態の説明において参照したブロック構成図（図１、及び、図７）或いはフローチャート（図２乃至４）の機能を実現可能なコンピュータプログラムを供給した後、そのコンピュータプログラムを、当該ハードウェアのＣＰＵ９０１に読み出して解釈し実行することによって達成される。また、当該装置内に供給されたコンピュータプログラムは、読み書き可能な揮発性の記憶メモリ（ＲＡＭ９０３）またはハードディスク９０４等の不揮発性の記憶デバイスに格納すれば良い。

また、前記の場合において、当該ハードウェア内へのコンピュータプログラムの供給方法は、ＣＤ−ＲＯＭ等の各種記憶媒体９０７を介して当該装置内にインストールする方法や、インターネット等の通信回線を介して外部よりダウンロードする方法等のように、現在では一般的な手順を採用することができる。そして、このような場合において、本発明は、係るコンピュータプログラムを構成するコード或いは、そのコードが格納された記憶媒体９０７によって構成されると捉えることができる。

以上、上述した実施形態を模範的な例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。

１ アラート出力システム
１０ アラート出力装置
１１ アラート出力部
１１０ ログメッセージ受信回路
１１００ ログ情報
１１１ トリガ判定回路
１１２ 順走査回路
１１３ 逆走査回路
１１４ アラート出力判定回路
１２ ログ情報格納部
１３ アラート定義情報格納部
１３０ アラート定義情報
２０−１乃至ｎ ログ収集対象電子機器
３０ アラート出力装置
３１ アラート出力部
３２ ログ情報格納部
４０ 通信ネットワーク
９００ 情報処理装置
９０１ ＣＰＵ
９０２ ＲＯＭ
９０３ ＲＡＭ
９０４ ハードディスク
９０５ 通信インタフェース
９０６ バス
９０７ 記憶媒体
９０８ リーダライタ
９０９ 入出力インタフェース

Claims (7)

1. ログメッセージが出力元機器から出力された時刻である出力時刻と、前記出力元機器において発生した事象内容と、を示すログ情報を格納するログ情報格納手段と、
   前記ログ情報を包含する前記ログメッセージを受信した際に、当該ログメッセージに関する前記出力時刻を基準として所定の時間が経過した時刻と現在時刻とのうちの古い時刻を判定し、前記出力時刻から前記古い時刻までの時間帯に前記出力元機器から出力された、前記ログ情報格納手段に格納されている少なくとも１つの前記ログ情報が示す前記事象内容と、受信した前記ログメッセージに包含される前記事象内容と、の組み合わせが所定の条件を満たす場合、アラートを出力すべきと判断し、外部に対してアラート出力するアラート出力手段と、
   を備えるアラート出力装置。
2. 前記アラート出力手段は、受信した前記ログメッセージに包含される前記事象内容と、当該ログメッセージに関する前記出力時刻を基準として、所定の時間前までの時間帯に前記出力元機器から出力された、前記ログ情報格納手段に格納されている少なくとも１つの前記ログ情報が示す前記事象内容との組み合わせが所定の条件を満たす場合、アラート出力する、
   請求項１に記載のアラート出力装置。
3. 前記所定の条件を示す情報を格納するアラート定義情報格納手段をさらに備え、
   前記アラート出力手段は、受信した前記ログメッセージに包含される前記ログ情報に基づき、前記ログ情報格納手段、及び、前記アラート定義情報格納手段を参照して、アラート出力するか否かを判定する、
   請求項１または２に記載のアラート出力装置。
4. 情報処理装置によって、
   ログメッセージが出力元機器から出力された時刻である出力時刻と、前記出力元機器において発生した事象内容と、を示すログ情報を記憶域に格納し、
   前記ログ情報を包含する前記ログメッセージを受信した際に、当該ログメッセージに関する前記出力時刻を基準として所定の時間が経過した時刻と現在時刻とのうちの古い時刻を判定し、前記出力時刻から前記古い時刻までの時間帯に前記出力元機器から出力された、前記記憶域に格納されている少なくとも１つの前記ログ情報が示す前記事象内容と、受信した前記ログメッセージに包含される前記事象内容と、の組み合わせが所定の条件を満たす場合、アラートを出力すべきと判断し、外部に対してアラート出力する、
   アラート出力方法。
5. 情報処理装置によって、
   受信した前記ログメッセージに包含される前記事象内容と、当該ログメッセージに関する前記出力時刻を基準として、所定の時間前までの時間帯に前記出力元機器から出力された、前記記憶域に格納されている少なくとも１つの前記ログ情報が示す前記事象内容との組み合わせが所定の条件を満たす場合、アラート出力する、
   請求項４に記載のアラート出力方法。
6. ログメッセージが出力元機器から出力された時刻である出力時刻と、前記出力元機器において発生した事象内容と、を示すログ情報を記憶域に格納するログ情報格納処理と、
   前記ログ情報を包含する前記ログメッセージを受信した際に、当該ログメッセージに関する前記出力時刻を基準として所定の時間が経過した時刻と現在時刻とのうちの古い時刻を判定し、前記出力時刻から前記古い時刻までの時間帯に前記出力元機器から出力された、前記記憶域に格納されている少なくとも１つの前記ログ情報が示す前記事象内容と、受信した前記ログメッセージに包含される前記事象内容と、の組み合わせが所定の条件を満たす場合、アラートを出力すべきと判断し、外部に対してアラート出力するアラート出力処理と、
   をコンピュータに実行させるアラート出力プログラム。
7. 受信した前記ログメッセージに包含される前記事象内容と、当該ログメッセージに関する前記出力時刻を基準として、所定の時間前までの時間帯に前記出力元機器から出力された、前記記憶域に格納されている少なくとも１つの前記ログ情報が示す前記事象内容との組み合わせが所定の条件を満たす場合、アラート出力する前記アラート出力処理
   をコンピュータに実行させる請求項６に記載のアラート出力プログラム。

Images