JP6386415B2 - ログ管理方法、および、ログ管理システム - Google Patents

Description

本発明は、ログ管理方法、および、ログ管理システムに関する。

近年、インターネットやＵＳＢ（Universal Serial Bus）メモリ等を経由して、業務で使用するプログラム（業務プログラム）だけでなく業務で利用しないプログラム（業務外プログラム）を端末等で実行する機会が増えている。業務外プログラムの悪質なものとしてはマルウェアが存在し、端末から外部へ情報を送信する等、情報漏えいを引き起こす原因となっている。そのため、業務外プログラムが行った処理を確認する技術が必要となっている。

業務外プログラムが行った処理を確認する方法として、ファイル操作に関するログを取得し確認する方法がある。例えば、Process Monitor（非特許文献１参照）等のファイル操作を確認する技術を利用することで未知のプログラムや人が行ったファイル操作に関するログを確認することができる。

Process Monitor、［平成27年4月10日検索］、インターネット＜URL：https://technet.microsoft.com/ja-jp/sysinternals/bb896645.aspx＞

しかし、上記の技術により業務外プログラムが行った処理に関するログを確認できるようにするためには、業務外プログラムを判別できないため、すべてのプログラムのファイル操作ログを取得する必要があり、ログの量が膨大になるという問題がある。そこで、定型業務で利用する端末を対象とすることで業務外プログラムを判別できるようにして、業務外プログラムのファイル操作ログだけを取得しつつ、取得するログの量を低減することを課題として、本発明ではこの課題を解決する。

前記した課題を解決するため、本発明は、定型業務で利用される端末におけるファイル操作に関するログのうち、ホワイトリストに設定された実行プログラム、または、前記実行プログラムとファイルの記憶領域との組み合わせに関するログを除外して出力するログ管理方法であって、前記ホワイトリストに設定された実行プログラムは、実環境から取得した前記端末のファイル操作に関するログのうち、業務で使用されるプログラムの動作に伴うログである第一のログに含まれる実行プログラムであることを特徴とする。

本発明によれば、定型業務で利用する端末をログ取得対象として、業務外プログラムが行ったファイル操作のログを取得しつつ、ログの量を低減することができる。

図１は、第１の実施形態のシステムの構成例を示す図である。 図２は、図１のホワイトリストの一例を示す図である。 図３は、図１のファイル操作イベントを表すログの一例を示す図である。 図４は、第１の実施形態におけるログ種別を示す図である。 図５は、第２の実施形態におけるログ種別を示す図である。 図６は、第３の実施形態におけるログ種別を示す図である。 図７は、第３の実施形態におけるログ種別を示す図である。 図８は、第４の実施形態のシステムの構成例を示す図である。 図９は、ログ管理プログラムを実行するコンピュータを示す図である。

以下、図面を参照しながら、本発明を実施するための形態（実施形態）を第１の実施形態〜第４の実施形態に分けて説明する。本発明は、各実施形態に限定されない。

（第１の実施形態）
まず、第１の実施形態のシステム（ログ管理システム）の全体構成を説明する。例えば、図１に示すようにシステムは、クライアント１０と、サーバ２０とを備える。クライアント（端末）１０は、定型業務を行う端末であり、例えば、クライアント１０内の実行プログラム１２により様々な処理を実行し、その処理内容（例えば、ファイル操作等のイベント）を表すログ（以下、適宜「ログ」と略す）のうち、ホワイトリスト１５に合致するログを除外してサーバ２０へ出力する。サーバ２０は、クライアント１０から取得したログを保存部２２に記憶する。

クライアント１０は、データファイル１１と、実行プログラム１２と、監視ドライバ１３と、エージェント１４と、ホワイトリスト１５とを備える。データファイル１１は、実行プログラム１２による実行対象ファイルであり、クライアント１０の記憶部（図示省略）に記憶される。実行プログラム１２は、クライアント１０にインストールされ、実行されるプログラムであり、WORD（登録商標）等のoffice（登録商標）のプログラムや、インターネットエクスプローラ（登録商標）等のブラウザプログラム、ウイルスバスター（登録商標）等のウイルススキャンプログラム等である。

監視ドライバ１３は、実行プログラム１２（以下、適宜「プログラム」と略す）によるデータファイル１１のファイルＩ／Ｏを監視し、その監視結果をログとしてエージェント１４に出力する。

エージェント１４は、ホワイトリスト１５に示される内容（実行プログラム情報、ファイルの記憶領域等）を除外フィルタに設定し、監視ドライバ１３により出力されたログのうち、ホワイトリスト１５に示される内容（条件）に合致するログを除外してサーバ２０へ出力する。例えば、エージェント１４は、監視ドライバ１３により出力されたログのうちホワイトリスト１５に設定されていないファイル操作イベントを表すログをサーバ２０へ出力する。

ホワイトリスト１５は、エージェント１４がどのようなログを取得対象から除外すべきかを示したリストである。このホワイトリスト１５には、例えば、図２に示すように、除外対象とする実行プログラム情報（例えば、除外対象外とする実行プログラムの名称や識別子等）と、実行プログラムがＩ／Ｏの対象とするファイルの記憶領域との組み合わせが設定される。ホワイトリスト１５の詳細は後記する。

サーバ２０は、受信部２１と、保存部２２とを備える。受信部２１は、クライアント１０から出力されたログを受信すると、このログを保存部２２に登録する。例えば、受信部２１は、クライアント１０から出力されたファイル操作イベントを表すログを保存部２２に登録する。保存部２２は、クライアント１０から出力されたログ（例えば、ファイル操作イベントを表すログ）を記憶する。

なお、ファイル操作イベントを表すログ（ファイル操作イベントログ）は、例えば、図３に示すようにイベント発生時刻、ファイル操作したプログラムの名前、ファイル操作したプログラムのＩＤ、ファイル操作したプログラムのハッシュ値、操作の種類、操作対象のファイルの名前、操作対象のファイルのパス等を示した情報である。

（ホワイトリストの詳細）
ホワイトリスト１５には、実環境のクライアント１０から取得したファイル操作に関するログのうち、業務で使用されるプログラム（業務プログラム）の動作に伴うログに含まれる実行プログラム（実行プログラム情報）が設定される。例えば、システムの管理者等は、実環境のクライアント１０から取得したファイル操作イベントログをログ種別１（業務プログラムのログ）と、ログ種別２（業務外プログラムのログ）とに分け、ログ種別１のログ（第一のログ）に含まれる実行プログラム（実行プログラム情報）を抽出し、ホワイトリスト１５に設定する（図４参照）。なお、業務プログラムの動作に伴うログは、例えば、WORD（登録商標）等のoffice（登録商標）のプログラムや、インターネットエクスプローラ（登録商標）等のブラウザプログラムや、ウイルスバスター（登録商標）等のウイルススキャンプログラム等の動作に伴うログである。また、ホワイトリスト１５に設定される実行プログラム情報（図２参照）は、例えば、業務プログラムのファイル操作イベントを表すログ（図３参照）に含まれるファイル操作したプログラムの名前等を用いる。

クライアント１０が上記のようにして設定されたホワイトリスト１５を用いることにより、監視ドライバ１３により出力されたログのうち、業務プログラムの動作に伴うログを除外してサーバ２０へ出力することができる。つまり、クライアント１０は、実行プログラム１２のうち業務外プログラムの動作に伴うログをサーバ２０に出力することができる。これによりシステムは、定型業務で利用するクライアント１０をログ取得対象として、業務外プログラムが行ったログを取得しつつ、ログの量を低減することができる。

（第２の実施形態）
なお、ホワイトリスト１５に、実環境で取得したファイル操作イベントログにおけるログ種別１のログ（業務プログラムのログ）のうち、ユーザの操作に関わらないログ（ログ種別１−２のログ。第二のログ）に含まれる実行プログラム（実行プログラム情報）を抽出し、設定してもよい（図５参照）。

例えば、システムの管理者等は、まず、ログ種別１（業務プログラムのログ）をログ種別１−１のログ（ユーザの操作に関わるログ）とログ種別１−２（ユーザの操作に関わらないログ）とに分け、ログ種別２のログ（業務外プログラムのログ）をログ種別２−１（ユーザの操作に関わるログ）とログ種別２−２のログ（ユーザの操作に関わらないログ）とに分ける。そして、ログ種別１−２のログ（業務プログラムのログのうちユーザの操作に関わらないログ）に含まれる実行プログラム（実行プログラム情報）を抽出し、ホワイトリスト１５に設定する（図５参照）。また、システムの管理者等は、当該実行プログラムがＩ／Ｏの対象とするファイルの記憶領域についてもホワイトリスト１５に設定する。

なお、ログ種別１−２のログ（業務プログラムのログのうちユーザの操作に関わらないログ）は、例えば、office（登録商標）プログラムがバックアップのために自動的に行うファイル作成のログ、ブラウザプログラムが画像等の一時保存用フォルダ内で行うファイル作成のログ、ウイルススキャンプログラムがファイルを解析するために行うファイル参照のログ等である。

クライアント１０が上記のようにして設定されたホワイトリスト１５を用いることで、例えば、クライアント１０において業務外プログラムに関連するファイルを業務プログラムで操作した場合においても、当該操作に関するログをサーバ２０へ出力することができる。一例を挙げると、クライアント１０において業務プログラムを利用してマルウェアを複製、移動する操作をした場合や、マルウェアが生成したファイルを業務プログラムで複製、移動する操作をした場合においても当該操作に関するログをサーバ２０へ出力することができる。これによりシステムは、サーバ２０においてマルウェア等の業務外プログラムにより引き起こされた情報漏えい等について、その原因や影響を特定しやすくなる。

（第３の実施形態）
なお、ホワイトリスト１５に、ログ種別１−２のログ（業務プログラムのログのうちユーザの操作に関わらないログ）に含まれる実行プログラムのうち、ログ種別１−２におけるログ数（登場数）が多い実行プログラム（実行プログラム情報）を抽出し、設定してもよい（図６参照）。

例えば、システムの管理者等は、ログ種別１−２（業務プログラムのログのうちユーザの操作に関わらないログ）のログにおけるログ数（登場数）が所定値以上の実行プログラムを抽出し、ホワイトリスト１５に設定する。また、システムの管理者等は、当該実行プログラムがＩ／Ｏの対象とするファイルの記憶領域についてもホワイトリスト１５に設定する。

また、ホワイトリスト１５に、ログ種別１−２のログ（業務プログラムのログのうちユーザの操作に関わらないログ）に含まれる実行プログラムのうち、ログ種別１−２におけるログ数（登場数）が多い上位の実行プログラム（実行プログラム情報）を抽出し、設定してもよい（図７参照）。

例えば、システムの管理者等は、ログ種別１−２のログ（業務プログラムのログのうちユーザの操作に関わらないログ）におけるログ数（登場数）が多い実行プログラムのうち上位所定数の実行プログラム（実行プログラム情報）を抽出し、ホワイトリスト１５に設定する。つまり、システムの管理者等は、ログ種別１−２のログに含まれる実行プログラムごとに、当該ログにおける登場数を集計し、集計した登場数が多い順に実行プログラムをソートし、ソートしたときの順位の高さに応じて選択された実行プログラムをホワイトリスト１５に設定する。また、当該実行プログラムがＩ／Ｏの対象とするファイルの記憶領域についてもホワイトリスト１５に設定する。

これによりシステムは、サーバ２０においてマルウェア等の業務外プログラムが行ったファイル操作のログを取得しつつ、ログの量を低減することができる。

なお、第３の実施形態において、ホワイトリスト１５に、ログ種別１−２のログ（業務プログラムのログのうちユーザの操作に関わらないログ）に含まれる実行プログラムのうち、ログ種別１−２におけるログ数（登場数）が多い実行プログラムがＩ／Ｏの対象とするファイルの記憶領域を設定することとしたが、これに限定されない。例えば、当該実行プログラムがＩ／Ｏの対象とするファイルの記憶領域のうち、ログ種別１−２のログ（業務プログラムのログのうちユーザの操作に関わらないログ）における登場回数が所定値以上、または、登場回数が上位所定数の記憶領域をホワイトリスト１５に設定してもよい。

（第４の実施形態）
なお、図８に示すように、システム内にホワイトリスト設定装置３０を設け、このホワイトリスト設定装置３０によりクライアント１０に第１の実施形態〜第３の実施形態で述べたホワイトリスト１５を設定してもよい。このホワイトリスト設定装置３０は、入出力部３１と、制御部３２と、記憶部３３とを備える。入出力部３１は、他の装置（例えば、クライアント１０）とのデータ入出力を司るインタフェースである。例えば、入出力部３１はクライアント１０へホワイトリスト１５の設定情報を出力する。

記憶部３３は、実環境で取得したファイル操作イベントログ（ログ）を記憶する。例えば、記憶部３３は、クライアント１０の実行プログラム１２により行われたファイル操作を示すファイル操作イベントログを記憶する。

制御部３２は、記憶部３３に記憶されたログを分類し、分類されたログから実行プログラムを抽出することで、前記した第１の実施形態〜第３の実施形態のいずれかのホワイトリスト１５を設定する。

このようにすることでホワイトリスト１５を自動で設定することができる。

なお、ホワイトリスト設定装置３０は、クライアント１０やサーバ２０と別箇の装置として説明したが、これに限定されない。例えば、ホワイトリスト設定装置３０の機能をクライアント１０に組み込んでもよいし、サーバ２０に組み込んでもよい。

（プログラム）
また、上記実施形態に係るシステムが実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成し、実行することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータに読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、システムと同様の機能を実現するログ管理プログラムを実行するコンピュータの一例を説明する。

図９は、ログ管理プログラムを実行するコンピュータを示す図である。図９に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

ここで、図９に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した情報等は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。

また、ログ管理プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明したシステムが実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。

また、ログ管理プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、ログ管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、ログ管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ クライアント
１１ データファイル
１２ 実行プログラム
１３ 監視ドライバ
１４ エージェント
１５ ホワイトリスト
２０ サーバ
２１ 受信部
２２ 保存部
３０ ホワイトリスト設定装置
３１ 入出力部
３２ 制御部
３３ 記憶部

Claims (5)

1. 定型業務で利用される端末におけるファイル操作に関するログのうち、ホワイトリストに設定された実行プログラム、または、前記実行プログラムとファイルの記憶領域との組み合わせに関するログを除外して出力する前記端末とホワイトリスト設定装置とを備えるログ管理システムにより実行されるログ管理方法であって、
   前記ホワイトリスト設定装置は、
   実環境から取得した前記端末のファイル操作に関するログのうち、業務で使用されるプログラムの動作に伴い動作する実行プログラムのログであり、かつ、前記端末のユーザのファイル操作に関わらないログを分類する分類ステップと、
   前記分類したログに含まれる実行プログラムの情報を、前記ホワイトリストに設定するホワイトリスト設定ステップと
   を含んだことを特徴とするログ管理方法。
2. 前記ホワイトリスト設定ステップにおいて、
   前記分類したログに含まれる実行プログラムのうち、前記ログにおける登場数の多さに応じて選択された実行プログラムの情報を、前記ホワイトリストに設定することを特徴とする請求項１に記載のログ管理方法。
3. 前記ホワイトリスト設定ステップにおいて、
   前記分類したログに含まれる実行プログラムが用いるファイルの記憶領域のうち、前記ログにおける登場数が所定値以上の記憶領域と、前記実行プログラムの情報との組み合わせを、前記ホワイトリストに設定することを特徴とする請求項１に記載のログ管理方法。
4. 前記ホワイトリスト設定ステップにおいて、
   前記分類したログに含まれる実行プログラムごとに、前記ログにおける登場数を集計し、集計した登場数が多い順に前記実行プログラムをソートし、ソート後の順位が所定値以上の実行プログラムの情報を、前記ホワイトリストに設定することを特徴とする請求項２に記載のログ管理方法。
5. 定型業務で利用される端末におけるファイル操作に関するログのうち、ホワイトリストに設定された実行プログラム、または、前記実行プログラムとファイルの記憶領域との組み合わせに関するログを除外して出力する前記端末とホワイトリスト設定装置とを備えるログ管理システムであって、
   前記ホワイトリスト設定装置は、
   実環境から取得した前記端末のファイル操作に関するログのうち、業務で使用されるプログラムの動作に伴い動作する実行プログラムのログであり、かつ、前記端末のユーザのファイル操作に関わらないログを分類し、前記分類したログに含まれる実行プログラムの情報を、前記ホワイトリストに設定する
   ことを特徴とするログ管理システム。

Images