JP6811639B2 - ファイル監視装置およびファイル監視プログラム - Google Patents

Description

本発明は、ファイルサーバで管理されているファイルを監視するための技術に関するものである。

ファイルサーバはネットワークに置かれることが多く、ファイルサーバとクライアントとの間でファイルがやり取りされる。
従来、やり取りされたファイルの名称およびやり取りされたファイルに対する操作といった情報が、ネットワークを流れるパケットから取得されている。

特許文献１には、クライアント装置から外部のサーバ装置へ送信されたパケットを解析するための技術が開示されている。

特許第６０２３７３８号公報

ファイルサーバに保存されているファイルは、クライアントから容易に参照することが可能である。ファイルに必要な権限が設定されている場合、必要な権限を有する者のみがファイルを参照することが可能である。
従来、ファイル名および操作といった情報を取得することは可能であったが、操作が行われた時のファイルの内容を取得することはできなかった。
そのため、どのような内容のファイルに対して操作が行われたか知ることはできなかった。つまり、ファイルサーバに保存されているファイルの内容が変更されてしまうと、操作が行われた時のファイルの内容を知ることができなかった。したがって、操作が行われた時のファイルの内容を検査することもできなかった。

本発明は、操作が行われた時のファイルの内容を取得できるようにすることを目的とする。

本発明のファイル監視装置は、
ファイルサーバを有するネットワークに接続された機器であるスイッチから、前記スイッチによって中継されたパケットを受信する通信部と、
受信されたパケットがファイル共有プロトコルに従って通信されたファイル共有パケットであるか判定する解析部と、
前記ファイルサーバで管理されている管理ファイルを１つ以上のファイル共有パケットを用いて復元する復元部とを備える。

前記ファイル監視装置は、
復元された管理ファイルからテキストを抽出し、抽出されたテキストから監視情報を抽出する検査部を備える。

前記検査部は、抽出された監視情報がアラート条件を満たすか判定し、抽出された監視情報がアラート条件を満たす場合にアラートを通知する。

前記ファイル監視装置は、復元された管理ファイルをファイル名とアクセス時刻と抽出された監視情報とに対応付けて記憶する記憶部を備える。

前記ファイル監視装置は、
指定ファイル名と指定期間とを受け付ける受付部と、
前記指定ファイル名と同じファイル名に対応付けられ、且つ、前記指定期間に対応するアクセス時刻に対応付けられた管理ファイルを前記記憶部から見つける検索部と、
見つかった管理ファイルの一覧を出力する出力部とを備える。

前記ファイル監視装置は、復元された管理ファイルを記憶する記憶部を備える。
前記解析部は、いずれかのファイル共有パケットからユーザ名を取得する。
前記記憶部は、前記復元された管理ファイルをファイル名と前記ユーザ名とに対応付けて記憶する。

前記ファイル監視装置は、
指定ファイル名を受け付ける受付部と、
前記指定ファイル名と同じファイル名に対応付けられたユーザ名を前記記憶部から見つける検索部と、
見つかったユーザ名を出力する出力部とを備える。

前記ファイル監視装置は、
指定ユーザ名を受け付ける受付部と、
前記指定ユーザ名と同じユーザ名に対応付けられたファイル名を前記記憶部から見つける検索部と、
見つかったファイル名を出力する出力部とを備える。

本発明のファイル監視プログラムは、
ファイルサーバを有するネットワークに接続された機器であるスイッチから、前記スイッチによって中継されたパケットを受信する通信部と、
受信されたパケットがファイル共有プロトコルに従って通信されたファイル共有パケットであるか判定する解析部と、
前記ファイルサーバで管理されている管理ファイルを１つ以上のファイル共有パケットを用いて復元する復元部としてコンピュータを機能させる。

本発明のファイル監視装置は、
保存装置に保存されたパケットがファイル共有プロトコルに従って通信されたファイル共有パケットであるか判定する解析部と、
ファイルサーバで管理されている管理ファイルを１つ以上のファイル共有パケットを用いて復元する復元部とを備える。

本発明のファイル監視プログラムは、
保存装置に保存されたパケットがファイル共有プロトコルに従って通信されたファイル共有パケットであるか判定する解析部と、
ファイルサーバで管理されている管理ファイルを１つ以上のファイル共有パケットを用いて復元する復元部としてコンピュータを機能させる。

本発明によれば、中継される１つ以上のパケットを用いてファイルが復元されるため、操作が行われた時のファイルの内容を取得することが可能である。

実施の形態１におけるファイル監視システム１００の構成図。 実施の形態１におけるファイル監視装置２００の構成図。 実施の形態１におけるファイル監視方法のフローチャート。 実施の形態１におけるアラート処理（Ｓ１６０）のフローチャート。 実施の形態１における管理情報検索（Ｓ１７０）のフローチャート。

実施の形態および図面において、同じ要素および対応する要素には同じ符号を付している。同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。

実施の形態１．
ファイルサーバで管理されているファイルを監視する形態について、図１から図５に基づいて説明する。

＊＊＊構成の説明＊＊＊
図１に基づいて、ファイル監視システム１００の構成を説明する。
ファイル監視システム１００は、ファイルサーバ１１０と、複数のクライアント端末１２０とスイッチ１３０とファイル監視装置２００とを備える。

ファイルサーバ１１０は、ファイルを管理するサーバである。サーバは、コンピュータである。ファイルサーバ１１０で管理されるファイルを管理ファイルという。
管理ファイルは、共有ファイルと個人ファイルとの総称である。
共有ファイルは、複数のユーザによって共有されるファイルである。
個人ファイルは、特定の個人のみが操作できるファイルである。

ファイルサーバ１１０は、第１ネットワーク１０１に接続されている。
第１ネットワーク１０１は、ファイルサーバ１１０を有するネットワークである。
具体的には、第１ネットワーク１０１はインターネットもしくはイントラネットである。言い換えると、第１ネットワーク１０１はＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）もしくはＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）である。

複数のクライアント端末１２０は、複数のユーザによって操作されるコンピュータである。
ユーザは、クライアント端末１２０を操作することによって、管理ファイルにアクセスする。具体的には、ユーザは、管理ファイルのアップロード、管理ファイルの参照、管理ファイルの更新、または管理ファイルのダウンロードを行う。

それぞれのクライアント端末１２０は、第２ネットワーク１０２に接続されている。
第２ネットワーク１０２は、複数のクライアント端末１２０を有するネットワークである。
具体的には、第２ネットワーク１０２はインターネットもしくはイントラネットである。言い換えると、第２ネットワーク１０２はＷＡＮもしくはＬＡＮである。

ファイルサーバ１１０とクライアント端末１２０との間では、ファイル共有プロトコルに従って、管理ファイルが通信される。
具体的なファイル共有プロトコルは、ＳＭＢ（Ｓｅｖｅｒ Ｍｅｓｓａｇｅ Ｂｌｏｃｋ）またはＣＩＦＳ（Ｃｏｍｍｏｎ Ｉｎｔｅｒｎｅｔ Ｓｙｓｔｅｍ）である。

スイッチ１３０は、ネットワーク間でパケットを中継するネットワーク機器である。
具体的には、スイッチ１３０は、第１ネットワーク１０１と第２ネットワーク１０２との間で通信されるパケットを中継する。
例えば、スイッチ１３０は、クライアント端末１２０とファイルサーバ１１０との間で通信されるファイル共有パケットを中継する。
ファイル共有パケットは、ファイル共有プロトコルに従って通信されるパケットである。

スイッチ１３０は、ミラーポート１３１を有し、ポートミラーリングを行う。
つまり、スイッチ１３０は、中継されるパケットをミラーポート１３１から出力する。

ファイル監視装置２００は、ミラーポート１３１に接続され、スイッチ１３０を中継するパケットをキャプチャし、管理ファイルを監視する。

図２に基づいて、ファイル監視装置２００の構成を説明する。
ファイル監視装置２００は、プロセッサ９０１とメモリ９０２と補助記憶装置９０３と通信装置９０４と入出力インタフェース９０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ９０１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、他のハードウェアを制御する。例えば、プロセッサ９０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、またはＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
メモリ９０２は揮発性の記憶装置である。メモリ９０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ９０２はＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。メモリ９０２に記憶されたデータは必要に応じて補助記憶装置９０３に保存される。
補助記憶装置９０３は不揮発性の記憶装置である。例えば、補助記憶装置９０３は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、またはフラッシュメモリである。補助記憶装置９０３に記憶されたデータは必要に応じてメモリ９０２にロードされる。

通信装置９０４は通信を行う装置、すなわち、レシーバ及びトランスミッタである。例えば、通信装置９０４は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ
Ｃａｒｄ）である。
入出力インタフェース９０５は入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース９０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。ＵＳＢはＵｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。

ファイル監視装置２００は、解析部２１０と復元部２２０と検査部２３０と検索部２４０といったソフトウェア要素を備える。ソフトウェア要素はソフトウェアで実現される要素である。

補助記憶装置９０３には、解析部２１０と復元部２２０と検査部２３０と検索部２４０としてコンピュータを機能させるためのファイル監視プログラムが記憶されている。ファイル監視プログラムは、メモリ９０２にロードされて、プロセッサ９０１によって実行される。
さらに、補助記憶装置９０３にはＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が記憶されている。ＯＳの少なくとも一部は、メモリ９０２にロードされて、プロセッサ９０１によって実行される。
つまり、プロセッサ９０１は、ＯＳを実行しながら、ファイル監視プログラムを実行する。
ファイル監視プログラムを実行して得られるデータは、メモリ９０２、補助記憶装置９０３、プロセッサ９０１内のレジスタまたはプロセッサ９０１内のキャッシュメモリといった記憶装置に記憶される。

補助記憶装置９０３はデータを記憶する記憶部２９１として機能する。但し、他の記憶装置が、補助記憶装置９０３の代わりに、又は、補助記憶装置９０３と共に、記憶部２９１として機能してもよい。
通信装置９０４はデータを通信する通信部２９２として機能する。
入出力インタフェース９０５は、入力を受け付ける受付部２９３として機能すると共に、データを出力する出力部２９４として機能する。

ファイル監視装置２００は、プロセッサ９０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ９０１の役割を分担する。

ファイル監視プログラムは、磁気ディスク、光ディスクまたはフラッシュメモリ等の不揮発性の記憶媒体にコンピュータ読み取り可能に記憶することができる。不揮発性の記憶媒体は、一時的でない有形の媒体である。

＊＊＊動作の説明＊＊＊
ファイル監視装置２００の動作はファイル監視方法に相当する。また、ファイル監視方法の手順はファイル監視プログラムの手順に相当する。

図３に基づいて、ファイル監視方法を説明する。
ステップＳ１１０において、スイッチ１３０のミラーポート１３１からパケットが出力された場合、通信部２９２は、スイッチ１３０のミラーポート１３１から出力されたパケットを受信する。

ステップＳ１２０において、解析部２１０は、受信されたパケットがファイル共有パケットであるか判定する。
具体的には、解析部２１０は、受信されたパケットの中の特定箇所を参照する。そして、解析部２１０は、特定箇所にファイル共有パケットの識別子が設定されているか判定する。特定箇所にファイル共有パケットの識別子が設定されている場合、受信されたパケットはファイル共有パケットである。

ファイル共有プロトコルがＳＭＢである場合、解析部２１０は以下のように判定を行う。
まず、解析部２１０は、受信されたパケットからトランスポート層のペイロードを抽出する。トランスポート層のペイロードには、データ長フィールドとＳＭＢデータとが含まれる。
次に、解析部２１０は、抽出されたペイロードからＳＭＢデータの先頭の４バイトを抽出する。
そして、解析部２１０は、抽出された４バイトに「ＳＭＢ」という識別子が設定されているか判定する。
抽出された４バイトに「ＳＭＢ」という識別子が設定されている場合、受信されたパケットはファイル共有パケットである。

受信されたパケットがファイル共有パケットである場合、解析部２１０は受信されたファイルを記憶部２９１に記憶し、処理はステップＳ１３０に進む。
受信されたパケットがファイル共有パケットでない場合、解析部２１０は受信されたパケットを破棄し、処理はステップＳ１１０に進む。

ステップＳ１３０からステップＳ１６０までの説明において、ファイル共有パケットは受信されたパケットを意味する。

ステップＳ１３０において、解析部２１０は、ファイル共有パケットから管理情報とファイルデータとを取得する。具体的な管理情報は、セッション情報、ファイル名、ファイルサイズ、アクセス時刻（操作時刻）、アクセス種別（操作種別）およびユーザ名である。ファイルデータは管理ファイルの一部である。
そして、解析部２１０は、セッション情報毎に管理情報とファイルデータとを互いに対応付けて記憶部２９１に記憶する。

ファイル共有プロトコルがＳＭＢである場合、解析部２１０は、セッション情報を以下のように取得する。
解析部２１０は、ファイル共有パケットからイーサネットヘッダを抽出し、イーサネットヘッダから送信元ＭＡＣアドレスと宛先ＭＡＣアドレスとを取得する。イーサネットは登録商標である。ＭＡＣはＭｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌの略称である。
解析部２１０は、ファイル共有パケットからＩＰヘッダを抽出し、ＩＰヘッダから送信元ＩＰアドレスと宛先ＩＰアドレスとを取得する。ＩＰはＩｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌの略称である。
解析部２１０は、ファイル共有パケットからＴＣＰヘッダを抽出し、ＴＣＰヘッダから送信元ポート番号と宛先ポート番号とを取得する。ＴＣＰはＴｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌの略称である。
送信元ＭＡＣアドレスと宛先ＭＡＣアドレスと送信元ＩＰアドレスと宛先ＩＰアドレスと送信元ポート番号と宛先ポート番号との組がセッション情報である。

ファイル共有プロトコルがＳＭＢである場合、解析部２１０は、ファイル名を以下のように取得する。
まず、解析部２１０は、ファイル共有パケットからＳＭＢデータを抽出する。
次に、解析部２１０は、ＳＭＢデータがファイル操作データであるか判定する。ファイル操作データはファイル操作に関するＳＭＢデータである。具体的には、ファイル操作データは、ファイル操作のコマンド番号が設定されたコマンドフィールドを有するＳＭＢデータである。例えば、ファイル操作は読み出し又は書き込みである。
ＳＭＢデータがファイル操作データである場合、解析部２１０は、ＳＭＢデータの中のデータフィールドからファイル名を取得する。

ファイル共有プロトコルがＳＭＢである場合、解析部２１０は、ファイルサイズを以下のように取得する。
まず、解析部２１０は、ファイル共有パケットからＳＭＢデータを抽出する。
次に、解析部２１０は、ＳＭＢデータが先頭のファイル操作データであるか判定する。
ＳＭＢデータが先頭のファイル操作データである場合、解析部２１０は、ＳＭＢデータの中のカウントフィールドからファイルサイズを取得する。

ファイル共有プロトコルがＳＭＢである場合、解析部２１０は、アクセス時刻（操作時刻）を以下のように取得する。アクセス時刻は、管理ファイルに対するアクセス（操作）があった年月日および時刻を意味する。
まず、解析部２１０は、ファイル共有パケットからＳＭＢデータを抽出する。
次に、解析部２１０は、ＳＭＢデータが先頭のファイル操作データであるか判定する。
ＳＭＢデータが先頭のファイル操作データである場合、解析部２１０は、ファイル共有パケットが受信された時刻を取得する。取得される時刻がアクセス時刻である。

ファイル共有プロトコルがＳＭＢである場合、解析部２１０は、アクセス種別（操作種別）を以下のように取得する。アクセス種別は、管理ファイルに対するアクセス（操作）の種類を示す。
まず、解析部２１０は、ファイル共有パケットからＳＭＢデータを抽出する。
次に、解析部２１０は、ＳＭＢデータが先頭のファイル操作データであるか判定する。
ＳＭＢデータが先頭のファイル操作データである場合、解析部２１０は、ＳＭＢデータの中のコマンドフィールドからコマンド番号を取得する。取得されるコマンド番号がアクセス種別である。

ファイル共有プロトコルがＳＭＢである場合、解析部２１０は、ユーザ名を以下のように取得する。
まず、解析部２１０は、ファイル共有パケットからＳＭＢデータを抽出する。
次に、解析部２１０は、ＳＭＢデータがログインデータであるか判定する。ログインデータはユーザのログインに関するＳＭＢデータである。具体的には、ログインデータは、セッションセットアップのコマンド番号が設定されているコマンドフィールドを有するＳＭＢデータである。
ＳＭＢデータがログインデータである場合、解析部２１０は、ＳＭＢデータの中のデータフィールドからユーザ名を取得する。

ファイル共有プロトコルがＳＭＢである場合、解析部２１０は、ファイルデータを以下のように取得する。
まず、解析部２１０は、ファイル共有パケットからＳＭＢデータを抽出する。
次に、解析部２１０は、ＳＭＢデータがファイル操作データであるか判定する。
ＳＭＢデータがファイル操作データである場合、解析部２１０は、ＳＭＢデータの中のデータフィールドからファイルデータを取得する。

ファイル共有パケットが受信される度にステップＳ１３０が実行されることにより、セッション情報毎に管理情報と１つ以上のファイルデータとが互いに対応付けて記憶部２９１に記憶される。

ステップＳ１４０において、復元部２２０は、管理ファイルを復元可能であるか判定する。
具体的には、復元部２２０は以下のように判定を行う。
まず、復元部２２０は、ファイル共有パケットと一致するセッション情報に対応付けられたファイルサイズおよび１つ以上のファイルデータを記憶部２９１から取得する。
次に、復元部２２０は、１つ以上のファイルデータの合計サイズを算出する。
そして、復元部２２０は、算出された合計サイズをファイルサイズと比較する。
算出された合計サイズがファイルサイズと一致する場合、管理ファイルを復元可能である。
管理ファイルを復元可能である場合、処理はステップＳ１５０に進む。
管理ファイルを復元可能でない場合、処理はステップＳ１１０に進む。

ステップＳ１５０において、復元部２２０は管理ファイルを復元し、復元された管理ファイルを該当の管理情報に対応付けて記憶部２９１に記憶する。該当の管理情報とは、管理ファイルと一致するセッション情報に対応付けられた管理情報である。
具体的には、復元部２２０は、ファイル共有パケットと一致するセッション情報に対応付けられた１つ以上のファイルデータを記憶部２９１から取得し、取得された１つ以上のファイルデータを結合する。これにより、管理ファイルが復元される。

ステップＳ１６０において、検査部２３０は、管理ファイルがアラート条件を満たす場合にアラートを通知する。
ステップＳ１６０の後、処理はステップＳ１１０に進む。

図４に基づいて、アラート処理（Ｓ１６０）を説明する。
ステップＳ１６１において、検査部２３０は、管理ファイルからテキストを抽出する。
例えば、管理ファイルがＰＤＦファイルである場合、検査部２３０はＰＤＦファイルに含まれるテキストを抽出する。管理ファイルの種類がオフィスファイルまたは他の形式のファイルであっても同様である。

ステップＳ１６２において、検査部２３０は、テキストから監視情報を抽出する。
具体的には、検査部２３０は、監視情報パターンと一致する部分をテキストから抽出する。抽出される部分が監視情報である。
監視情報パターンは、監視情報の書式を示すパターンである。監視情報パターンは予め決められている。
監視情報パターンと一致する部分とは、監視情報パターンと同じ書式で記載されている部分である。
具体的な監視情報は、任意に設定することができる。主な監視情報は、氏名、住所、電話番号、クレジットカード番号、マイナンバー（個人番号）およびＥメールアドレスである。監視情報のパターンは任意に定義することができる。
検査部２３０は、抽出された監視情報の有無に関わらず、抽出の結果を記憶部２９１に記憶する。

ステップＳ１６３において、検査部２３０は、抽出された監視情報がアラート条件を満たすか判定する。
具体的には、アラート条件は、監視情報の種類と監視情報の個数とによって定義される。例えば、「監視情報が１０個以上」、「氏名が５つ以上」または「氏名が３つ以上、且つ、クレジット番号またはマイナンバーが３つ以上」などのアラート条件が予め定義される。アラート条件は任意に定義することができる。
抽出された監視情報がアラート条件を満たす場合、処理はステップＳ１６４に進む。
抽出された監視情報がアラート条件を満たさない場合、アラート処理（Ｓ１６０）は終了する。

ステップＳ１６４において、検査部２３０はアラートを通知する。
具体的には、検査部２３０は、通信部２９２を介してアラートメールを通知先へ送信する。アラートメールは、アラートメッセージが記載されたＥメールである。アラートメッセージは、アラート条件を満たすテキストを含んだ管理ファイルに対してアクセス（操作）があった旨を知らせるメッセージである。アラートメッセージには、ファイル名、アクセス時刻、アクセス種別およびユーザ名などを含めることができる。
検査部２３０は、ディスプレイへの表示またはシステムログへの書き込みなど、Ｅメールとは異なる方法でアラートを通知してもよい。

図５に基づいて、管理情報検索（Ｓ１７０）を説明する。管理情報検索（Ｓ１７０）はファイル監視方法の一部である。
ステップＳ１７１において、受付部２９３は、検索を要求する検索要求を受け付ける。
具体的には、要求される検索は、ファイル内容検索、アクセスユーザ検索、アクセスファイル検索またはアクセス期間検索である。
検索要求は、検索の種類を示す検索種類識別子を含んでいる。

ステップＳ１７２において、検索部２４０は、検索要求に基づいて、要求された検索の種類を判定する。
具体的には、検索部２４０は、検索要求に含まれる検索種類識別子を参照し、検索種類識別子によって識別される検索の種類を判定する。
要求された検索がファイル内容検索である場合、処理はステップＳ１７３に進む。
要求された検索がアクセスユーザ検索である場合、処理はステップＳ１７４に進む。
要求された検索がアクセスファイル検索である場合、処理はステップＳ１７５に進む。
要求された検索がアクセス期間検索である場合、処理はステップＳ１７６に進む。

ファイル内容検索を要求する検索要求は、ファイル名とファイル内容と期間とを含んでいる。
検索要求に含まれるファイル名を指定ファイル名といい、検索要求に含まれる期間を指定期間という。検索要求に含まれるファイル内容を指定内容という。

ステップＳ１７３において、検索部２４０は検索要求に従って記憶部２９１を検索し、出力部２９４は指定期間における指定ファイルの一覧を出力する。指定ファイル名で識別される管理ファイルが指定ファイルである。一覧の中の指定ファイルが選択されると、出力部２９４は指定ファイルを出力する。

具体的には、検索部２４０は以下のように動作する。
まず、検索部２４０は、検索要求から指定ファイル名と指定内容と指定期間とを抽出する。
そして、検索部２４０は、指定ファイル名と指定期間と指定期間とを検索キーとして用いて、記憶部２９１を検索する。
これにより、指定ファイル名と同じファイル名に対応付けられ（または指定内容と同じ内容に対応付けられ）、且つ、指定期間に含まれるアクセス時刻に対応付けられた管理ファイルが見つかる。見つかった管理ファイルが指定期間における指定ファイルである。

具体的には、出力部２９４は、指定時刻における指定ファイルをディスプレイに表示する。但し、出力部２９４は、指定ファイルを通信部２９２を介してクライアント端末１２０に送信することによって、クライアント端末１２０のディスプレイに指定ファイルを表示してもよい。

アクセスユーザ検索を要求する検索要求は、ファイル名を含んでいる。
検索要求に含まれるファイル名を指定ファイル名という。

ステップＳ１７４において、検索部２４０は検索要求に従って記憶部２９１を検索し、出力部２９４は指定ファイルにアクセスしたユーザの一覧を出力する。指定ファイル名で識別される管理ファイルが指定ファイルである。
指定ファイルにアクセスしたユーザの一覧をアクセスユーザ一覧という。

具体的には、検索部２４０は以下のように動作する。
まず、検索部２４０は、検索要求から指定ファイル名を抽出する。
そして、検索部２４０は、指定ファイル名を検索キーとして用いて、記憶部２９１を検索する。
これにより、指定ファイル名と同じファイル名に対応付けられた１つ以上のユーザ名が見つかる。見つかった１つ以上のユーザ名がアクセスユーザ一覧である。

具体的には、出力部２９４は、アクセスユーザ一覧をディスプレイに表示する。但し、出力部２９４は、アクセスユーザ一覧を通信部２９２を介してクライアント端末１２０に送信することによって、クライアント端末１２０のディスプレイにアクセスユーザ一覧を表示してもよい。

アクセスファイル検索を要求する検索要求は、ユーザ名を含んでいる。
検索要求に含まれるユーザ名を指定ユーザ名という。

ステップＳ１７５において、検索部２４０は検索要求に従って記憶部２９１を検索し、出力部２９４は指定ユーザがアクセスしたファイルの一覧を出力する。指定ユーザ名で識別されるユーザが指定ユーザである。
指定ユーザがアクセスしたファイルの一覧をアクセスファイル一覧という。

具体的には、検索部２４０は以下のように動作する。
まず、検索部２４０は、検索要求から指定ユーザ名を抽出する。
そして、検索部２４０は、指定ユーザ名を検索キーとして用いて、記憶部２９１を検索する。
これにより、指定ユーザ名と同じユーザ名に対応付けられた１つ以上のファイル名が見つかる。見つかった１つ以上のファイル名がアクセスファイル一覧である。

具体的には、出力部２９４は、アクセスファイル一覧をディスプレイに表示する。但し、出力部２９４は、アクセスファイル一覧を通信部２９２を介してクライアント端末１２０に送信することによって、クライアント端末１２０のディスプレイにアクセスファイル一覧を表示してもよい。

アクセス期間検索を要求する検索要求は、期間を含んでいる。
検索要求に含まれる期間を指定期間という。

ステップＳ１７６において、検索部２４０は検索要求に従って記憶部２９１を検索し、出力部２９４は指定期間にアクセスされた管理ファイルの一覧を出力する。
指定期間にアクセスされた管理ファイルの一覧をアクセスファイル一覧という。

具体的には、検索部２４０は以下のように動作する。
まず、検索部２４０は、検索要求から指定期間を抽出する。
そして、検索部２４０は、指定期間を検索キーとして用いて、記憶部２９１を検索する。
これにより、指定期間に含まれるアクセス時刻に対応付けられた１つ以上の管理ファイルが見つかる。見つかった１つ以上の管理ファイルがアクセスファイル一覧である。

具体的には、出力部２９４は、アクセスファイル一覧をディスプレイに表示する。但し、出力部２９４は、アクセスファイル一覧を通信部２９２を介してクライアント端末１２０に送信することによって、クライアント端末１２０のディスプレイにアクセスファイル一覧を表示してもよい。

＊＊＊実施の形態１の効果＊＊＊
ファイルサーバで操作された管理ファイルの内容を取得し、任意の条件に合致した操作を通知し、また、事故が起きた場合に過去に遡って管理ファイルの内容を確認することが可能となる。
ファイルサーバ１１０で管理されている管理ファイルを、ネットワークからキャプチャした１つ以上のファイル共有パケットを用いて復元することができる。そのため、操作が行われた時の管理ファイルの内容を知ることができる。
アラート処理（Ｓ１６０）により、個人情報または秘匿情報といった重要な情報を含んだ管理ファイルが操作されたことをリアルタイムに知ることができる。そのため、故意または事故による情報流出に迅速に対応することが可能となる。
管理情報検索（Ｓ１７０）により、指定期間における管理ファイルの内容を確認することができる。

＊＊＊別の構成＊＊＊
ファイル監視システム１００は、ファイル監視装置２００の代わりにミラーポート１３１に接続される保存装置を備えてもよい。
保存装置は、ファイル監視装置２００の代わりにパケットを受信し、受信されたパケットを保存する。
ファイル監視装置２００は、保存装置と通信し、保存装置に保存されたパケットを用いてファイル監視および管理情報検索を行う。

＊＊＊実施の形態の補足＊＊＊
実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。

１００ ファイル監視システム、１０１ 第１ネットワーク、１０２ 第２ネットワーク、１１０ ファイルサーバ、１２０ クライアント端末、１３０ スイッチ、１３１ ミラーポート、２００ ファイル監視装置、２１０ 解析部、２２０ 復元部、２３０ 検査部、２４０ 検索部、２９１ 記憶部、２９２ 通信部、２９３ 受付部、２９４ 出力部、９０１ プロセッサ、９０２ メモリ、９０３ 補助記憶装置、９０４ 通信装置、９０５ 入出力インタフェース。

Claims (12)

1. ファイルサーバを有するネットワークに接続された機器であるスイッチから、前記スイッチによって中継されたパケットを受信する通信部と、
   受信されたパケットがファイル共有プロトコルに従って通信されたファイル共有パケットであるか判定する解析部と、
   前記ファイルサーバで管理されている管理ファイルを１つ以上のファイル共有パケットを用いて復元する復元部と
   を備えるファイル監視装置。
2. 復元された管理ファイルからテキストを抽出し、抽出されたテキストから監視情報を抽出する検査部
   を備える請求項１に記載のファイル監視装置。
3. 前記検査部は、抽出された監視情報がアラート条件を満たすか判定し、抽出された監視情報がアラート条件を満たす場合にアラートを通知する
   請求項２に記載のファイル監視装置。
4. 復元された管理ファイルをファイル名とアクセス時刻とに対応付けて記憶する記憶部
   を備える請求項１に記載のファイル監視装置。
5. 指定ファイル名と指定期間とを受け付ける受付部と、
   前記指定ファイル名と同じファイル名に対応付けられ、且つ、前記指定期間に含まれるアクセス時刻に対応付けられた管理ファイルを前記記憶部から見つける検索部と、
   見つかった管理ファイルを出力する出力部と
   を備える請求項４に記載のファイル監視装置。
6. 指定期間を受け付ける受付部と、
   指定期間に含まれるアクセス時刻に対応付けられた管理ファイルを前記記憶部から見つける検索部と、
   見つかった管理ファイルを出力する出力部と
   を備える請求項４に記載のファイル監視装置。
7. 前記ファイル監視装置は、復元された管理ファイルを記憶する記憶部を備え、
   前記解析部は、いずれかのファイル共有パケットからユーザ名を取得し、
   前記記憶部は、前記復元された管理ファイルをファイル名と前記ユーザ名とに対応付けて記憶する
   請求項１に記載のファイル監視装置。
8. 指定ファイル名を受け付ける受付部と、
   前記指定ファイル名と同じファイル名に対応付けられたユーザ名を前記記憶部から見つける検索部と、
   見つかったユーザ名を出力する出力部と
   を備える請求項７に記載のファイル監視装置。
9. 指定ユーザ名を受け付ける受付部と、
   前記指定ユーザ名と同じユーザ名に対応付けられたファイル名を前記記憶部から見つける検索部と、
   見つかったファイル名を出力する出力部と
   を備える請求項７に記載のファイル監視装置。
10. ファイルサーバを有するネットワークに接続された機器であるスイッチから、前記スイッチによって中継されたパケットを受信する通信部と、
    受信されたパケットがファイル共有プロトコルに従って通信されたファイル共有パケットであるか判定する解析部と、
    前記ファイルサーバで管理されている管理ファイルを１つ以上のファイル共有パケットを用いて復元する復元部
    としてコンピュータを機能させるためのファイル監視プログラム。
11. 保存装置に保存されたパケットがファイル共有プロトコルに従って通信されたファイル共有パケットであるか判定する解析部と、
    ファイルサーバで管理されている管理ファイルを１つ以上のファイル共有パケットを用いて復元する復元部と
    を備えるファイル監視装置。
12. 保存装置に保存されたパケットがファイル共有プロトコルに従って通信されたファイル共有パケットであるか判定する解析部と、
    ファイルサーバで管理されている管理ファイルを１つ以上のファイル共有パケットを用いて復元する復元部
    としてコンピュータを機能させるためのファイル監視プログラム。

Images