JP7043753B2 - 監視装置、監視方法、及び、監視プログラム - Google Patents

Description

本発明は、情報処理システムを監視する監視装置等に関する。

特許文献１には、コンピュータがコンピュータウィルスに感染しているか否かを判定する監視装置が開示されている。該監視装置は、該コンピュータが外部装置に通信する頻度を計測し、該頻度が所定の閾値よりも大きい場合に、該コンピュータがコンピュータウィルスに感染していると判定する。

特許文献２には、コンピュータウィルス等のマルウェアが増殖する活動を行っているか否かを判定する検知システムが開示されている。該検知システムは、複数の情報処理装置と、検知装置とを有する。複数の情報処理装置は、自装置において実行された処理と、自装置及び外部装置の間において実行された通信処理とを監視し、監視した結果を表す監視情報を作成し、該監視情報を検知装置に送信する。検知装置は、該監視情報を受信し、受信した該監視情報が２つの所定のポリシー情報に符合しているか否かを判定する。該監視情報が該２つの所定のポリシー情報に符合している場合に、該検知装置は、該監視情報が作成された情報処理装置が不審情報処理装置であると判定する。該不審情報処理装置が複数である場合に、該検知装置は、該複数の不審情報処理装置の間の関連性に基づき、マルウェアが増殖する活動を行っているか否かを判定する。

特開２００４－３０２６５６号公報 特開２０１６－０６６２８２号公報

しかし、特許文献１、及び、特許文献２に開示された装置を用いたとしても、マルウェアが活動している範囲を正確に特定することは難しい。この理由は、マルウェアの処理負荷が高い場合には、該マルウェアが実行する処理によって、該マルウェアを通知する（または、監視情報を通知する）処理自体が遅延することがあるからである。

そこで、本発明の目的の１つは、監視対象が実行している処理負荷が高い場合であっても、イベントに関するイベント情報を通知することが可能な監視装置等を提供することである。

本発明の１つの態様として、監視装置は、
情報処理装置にて生じたイベントに関するイベント情報を作成する作成手段と、
前記イベント情報を送信する送信基準を表す第１送信基準が成立した場合に、前記イベント情報を管理装置に送信する送信手段と、
前記送信基準を設定する制御手段と、
前記イベント情報のうち、所定の負荷判定基準を満たしている対象イベント情報を特定する特定手段と
を備え、
前記制御手段は、前記対象イベント情報に関する前記送信基準に、前記第１送信基準よりも緩い基準である第２送信基準を設定する。

また、本発明の他の態様として、監視方法は、情報処理装置にて生じたイベントに関するイベント情報を作成し、前記イベント情報を送信する送信基準を表す第１送信基準が成立した場合に、前記イベント情報を管理装置に送信する監視装置にて、前記イベント情報のうち、所定の負荷判定基準を満たしている対象イベント情報を特定し、前記対象イベント情報に関する前記送信基準に、前記第１送信基準よりも緩い基準である第２送信基準を設定する。

また、本発明の他の態様として、監視プログラムは、
情報処理装置にて生じたイベントに関するイベント情報を作成する作成機能と、
前記イベント情報を送信する送信基準を表す第１送信基準が成立した場合に、前記イベント情報を管理装置に送信する送信機能と、
前記送信基準を設定する制御機能と、
前記イベント情報のうち、所定の負荷判定基準を満たしている対象イベント情報を特定する特定機能と
をコンピュータに実現させ、
前記制御機能においては、前記対象イベント情報に関する前記送信基準に、前記第１送信基準よりも緩い基準である第２送信基準を設定する。

さらに、同目的は、係るプログラムを記録するコンピュータが読み取り可能な記録媒体によっても実現される。

本発明に係る監視装置等によれば、監視対象が実行している処理負荷が高い場合であっても、イベントに関するイベント情報を通知することができる。

本発明の第１の実施形態に係る監視装置が有する構成を示すブロック図である。 第１の実施形態に係る監視装置における処理の流れを示すフローチャートである。 本発明の第２の実施形態に係る監視装置が有する構成を示すブロック図である。 第２の実施形態に係る監視装置における処理の流れを示すフローチャートである。 本発明の第３の実施形態に係る監視装置が有する構成を示すブロック図である。 第３の実施形態に係る監視装置における処理の流れを示すフローチャートである。 本発明の第４の実施形態に係る監視装置が有する構成を示すブロック図である。 第４の実施形態に係る監視装置における処理のうち、イベント情報記憶部、または、対象イベント情報記憶部にイベント情報を格納するまでの処理の流れを示すフローチャートである。 第４の実施形態に係る監視装置における処理のうち、対象イベント情報を管理装置に送信する処理の流れを示すフローチャートである。 本発明の各実施形態に係る監視装置を実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。

次に、本発明を実施する実施形態について図面を参照しながら詳細に説明する。

＜第１の実施形態＞
図１を参照しながら、本発明の第１の実施形態に係る監視装置１０１が有する構成について詳細に説明する。図１は、本発明の第１の実施形態に係る監視装置１０１が有する構成を示すブロック図である。

監視システム１５１は、１つ以上の情報処理装置１５２と、管理装置１５５とを有する。情報処理装置１５２と、管理装置１５５とは、通信ネットワーク１５４を介して通信可能に接続されている。監視システム１５１において、情報処理装置１５２は、複数であってもよい。

第１の実施形態に係る監視装置１０１は、作成部１０２と、特定部１０３と、送信部１０４と、制御部１０５とを有する。

作成部１０２は、情報処理装置１５２において生じるイベントを監視し、該イベントに関するイベント情報を作成する。イベント情報は、たとえば、以下に例示された第１イベント情報乃至第５イベント情報である。

（第１イベント情報）情報処理装置１５２に対して実施されたログインを表す情報、
（第２イベント情報）情報処理装置１５２におけるファイルシステムが使用されている使用量を表す情報、
（第３イベント情報）情報処理装置１５２において動作しているタスク（プロセス、または、スレッド）の個数を表す情報、及び、該タスクを識別する情報（たとえば、タスク名等）、
（第４イベント情報）情報処理装置１５２に接続されているデバイスの状態を表す情報、
（第５イベント情報）情報処理装置１５２が通信ネットワーク１５４を介して実行した通信に関する通信量を表す情報、及び、該通信における通信先を表す情報。

作成部１０２が監視しているイベントは、たとえば、情報処理装置１５２におけるタスクが実行する処理、または、情報処理装置１５２において実行された処理を表すログが作成される処理等の情報処理装置１５２における処理である。

監視装置１０１は、情報処理装置１５２において負荷が高いイベントが生じる等の注目するイベントが生じた場合に、図２を参照しながら後述するような処理を実行する。

管理装置１５５は、情報処理装置１５２における送信部１０４が送信したイベント情報を受信する。管理装置１５５は、たとえば、情報処理装置１５２における障害の有無、通信ネットワーク１５４における障害の有無、または、情報処理装置１５２における異常動作の有無等を、該イベント情報に基づき判定し、判定した結果を、たとえば、表示装置（不図示）に表示（報知）する。

監視装置１０１のうち、送信部１０４における処理について説明する。

送信部１０４は、イベント情報を管理装置１５５に送信するか否かを判定する基準である送信基準が成立している場合に、イベント情報を管理装置１５５に送信する。該送信基準は、たとえば、情報処理装置１５２における全体の処理の負荷（以降、処理の負荷を「処理負荷」と表す）が負荷基準を満たしているという条件である。該負荷基準は、たとえば、情報処理装置１５２における処理負荷が負荷閾値よりも低いという条件である。該負荷閾値には、たとえば、情報処理装置１５２における処理負荷が低い状態であるか否かを判別する値が設定されることが多い。該処理負荷が低い状態は、たとえば、中央演算処理装置（ＣＰＵ）の使用率が５％以下であるという状態である。以降においては、説明の便宜上、処理負荷が低い状態であるか否かを判定する送信基準を、「第１送信基準」と表す。

言い換えると、送信部１０４は、作成部１０２が作成したイベント情報を送信する処理において、該第１送信基準が成立している場合に、イベント情報を送信する。送信部１０４は、該第１送信基準が成立していない場合に第１送信基準が成立するタイミングまで該イベント情報を送信する処理を停止し、該第１送信基準が成立するのに応じて該イベント情報を送信する。すなわち、監視装置１０１において、送信部１０４は、第１送信基準に従いイベント情報を管理装置１５５に送信する処理を実行している。

次に、図２を参照しながら、本発明の第１の実施形態に係る監視装置１０１における処理について詳細に説明する。図２は、第１の実施形態に係る監視装置１０１における処理の流れを示すフローチャートである。

特定部１０３は、情報処理装置１５２において生じたイベントのうち、該イベントに関する処理負荷が所定の負荷判定基準を満たしているイベント（以降、「対象イベント」と表す）を特定する（ステップＳ１０１）。

該所定の負荷判定基準は、たとえば、イベントに関する処理負荷が所定の負荷閾値以上であるという条件である。所定の負荷判定基準は、たとえば、情報処理装置１５２において実行されている処理負荷の合計に対する、該イベントに関する該処理負荷の割合が、所定の閾値以上であるという条件であってもよい。該所定の負荷判定基準は、たとえば、該イベントに関する入出力速度が所定の閾値以上であるという条件であってもよい。または、所定の負荷判定基準は、入出力速度に関する基準と、処理負荷に関する基準とが組み合わされている基準であってもよい。この場合に、特定部１０３は、処理負荷に関する所定の負荷判定基準を満たしているイベントであって、入出力速度に関する所定の負荷判定基準を満たしているイベントを特定する。

該所定の負荷閾値、及び、該所定の閾値は、たとえば、マルウェアにより生じたイベントに関する処理負荷と、マルウェアでないソフトウェアにより生じたイベントに関する処理負荷とに基づき決定される。該ソフトウェアは、情報処理装置１５２に格納されているソフトウェアであってもよい。該所定の負荷閾値、及び、該所定の閾値は、該マルウェアである可能性が高い処理負荷と、マルウェアでない可能性が高い処理負荷とを分類する境界値を決定することにより求められる。

制御部１０５は、特定部１０３が特定した対象イベントに関するイベント情報（以降、「対象イベント情報」と表す）を送信する場合における送信基準を、第１送信基準よりも緩い基準を表す第２送信基準に設定する（ステップＳ１０２）。送信基準が第２送信基準に設定された場合には、該送信基準が第１送信基準に設定されている場合に比べて、送信部１０４が管理装置１５５にイベント情報を送信する可能性は高い。

該第２送信基準は、たとえば、ＣＰＵの使用率が第２閾値以下であるという条件である。該第２閾値は、たとえば、ＣＰＵの使用率が５０％よりも大きな値である。使用率が５０％である状態は、たとえば、情報処理装置１５２におけるＣＰＵが有している処理能力に対する、情報処理装置１５２にて生じるイベントに関する処理負荷の割合が５０％であるという状態を表す。該第２送信基準は、情報処理装置１５２におけるＣＰＵの使用率によらずに、イベント情報を送信するという基準であってもよい。

第２送信基準が成立した場合に、送信部１０４は、対象イベントに関するイベント情報を管理装置１５５に送信する（ステップＳ１０３）。

その後、図９を参照しながら後述するように、制御部１０５は、送信基準を第１送信基準に設定してもよい。この場合に、送信部１０４は、第１送信基準が成立している期間に、第１イベント情報乃至第５イベント情報に例示されているようなイベント情報を、管理装置１５５に送信する。

尚、監視装置１０１は、処理負荷が所定の負荷判定基準を満たしているイベントが生じたか否かを監視し、該イベントが生じるのに応じて、図２を参照しながら上述したような処理と同様な処理を実行してもよい。

次に、本発明の第１の実施形態に係る監視装置１０１に関する効果について説明する。

第１の実施形態に係る監視装置１０１によれば、監視対象が実行している処理負荷が高い場合であっても、イベントに関するイベント情報を通知することができる。この理由は、情報処理装置１５２にて処理負荷が大きなイベント（すなわち、対象イベント）がある場合であっても、監視装置１０１が、該対象イベント情報に関する送信基準を、第１送信基準よりも緩い第２送信基準に設定するからである。この結果、監視装置１０１は、情報処理装置１５２における処理負荷が高い場合であっても、該対象イベント情報を管理装置１５５に送信する。

＜第２の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第２の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図３を参照しながら、本発明の第２の実施形態に係る監視装置２０１が有する構成について詳細に説明する。図３は、本発明の第２の実施形態に係る監視装置２０１が有する構成を示すブロック図である。

監視システム２５１は、１つ以上の情報処理装置２５２と、管理装置１５５とを有する。情報処理装置２５２と、管理装置１５５とは、通信ネットワーク１５４を介して通信可能に接続されている。情報処理装置２５２は、監視装置２０１を有する。

第２の実施形態に係る監視装置２０１は、作成部１０２と、特定部２０３と、送信部１０４と、制御部１０５とを有する。

次に、図４を参照しながら、本発明の第２の実施形態に係る監視装置２０１における処理について詳細に説明する。図４は、第２の実施形態に係る監視装置２０１における処理の流れを示すフローチャートである。

特定部２０３は、情報処理装置２５２において生じたイベントのうち、該処理負荷が所定の負荷判定基準を満たしているイベントを選択する（ステップＳ２０１）。特定部２０３は、さらに、選択した該イベントの該処理負荷が所定の負荷判定基準を満たしている時間（または、期間、以降、「継続時間」と表す）を測定する（ステップＳ２０２）。または、作成部１０２が作成するイベント情報がイベントの処理負荷、及び、該処理負荷を測定したタイミングを表す情報を含んでいる場合に、特定部２０３は、該処理負荷が所定の負荷判定基準を満たし始めたタイミングと、該処理負荷が所定の負荷判定基準を満たさなくなったタイミングとの差異を算出することにより、該継続時間を求めてもよい。特定部２０３は、該継続時間が所定の継続判定基準を満たしているイベントを対象イベントとして特定する（ステップＳ２０３）。

該所定の継続判定基準は、たとえば、該継続時間が所定の継続閾値以上であるという条件である。所定の継続閾値は、たとえば、マルウェアが実行したイベントに関して測定された該継続時間と、マルウェアでないソフトウェアが実行したイベントに関して測定された継続時間とに基づき決定される。該ソフトウェアに関する継続時間は、たとえば、情報処理装置２５２に格納されているソフトウェアが実行したイベントに関する継続時間の平均値である。該所定の継続閾値は、該マルウェアである可能性が高い継続時間と、マルウェアでない可能性が高い継続時間とを分類する境界値を決定することにより求められる。

以降、図２におけるステップＳ１０２乃至ステップＳ１０３に示された処理と同様な処理が実行される。

尚、監視装置２０１は、処理負荷が所定の負荷判定基準を満たしているイベントが生じたか否かを監視し、該イベントが生じるのに応じて、図４を参照しながら上述したような処理と同様な処理を実行してもよい。

次に、本発明の第２の実施形態に係る監視装置２０１に関する効果について説明する。

第２の実施形態に係る監視装置２０１によれば、監視対象が実行している処理負荷が高い場合であっても、イベントに関するイベント情報を通知することができる。この理由は、第１の実施形態にて説明した理由と同様である。

さらに、第２の実施形態に係る監視装置２０１によれば、イベントがマルウェアにより生じたか否かを、より正確に判定することができる。この理由は、イベントの処理負荷が所定の負荷判定基準を満たしている継続時間が、所定の継続判定基準を満たしている場合には、該継続時間が該所定の継続判定基準を満たしていない場合に比べて、該イベントがマルウェアにより生じた可能性が高いからである。上述したように、所定の継続判定基準が、たとえば、マルウェアに関する継続時間と、マルウェアではないソフトウェアに関する継続時間との差異に基づき決定されるので、監視装置２０１によれば、イベントがマルウェアにより生じたか否かを、より正確に判定することができる。

＜第３の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第３の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図５を参照しながら、本発明の第３の実施形態に係る監視装置３０１が有する構成について詳細に説明する。図５は、本発明の第３の実施形態に係る監視装置３０１が有する構成を示すブロック図である。

監視システム３５１は、１つ以上の情報処理装置３５２と、管理装置１５５とを有する。情報処理装置３５２と、管理装置１５５とは、通信ネットワーク１５４を介して通信可能に接続されている。情報処理装置３５２は、監視装置３０１を有する。

第３の実施形態に係る監視装置３０１は、作成部１０２と、特定部３０３と、送信部１０４と、制御部１０５とを有する。

次に、図６を参照しながら、本発明の第３の実施形態に係る監視装置３０１における処理について詳細に説明する。図６は、第３の実施形態に係る監視装置３０１における処理の流れを示すフローチャートである。

特定部３０３は、情報処理装置３５２における処理負荷（以降、「装置処理負荷」と表す）を求め、求めた装置処理負荷が、所定の処理負荷基準を満たしているか否かを判定する（ステップＳ３０１）。

該所定の処理負荷基準は、たとえば、該装置処理負荷が所定の装置負荷閾値以上であるという条件である。所定の処理負荷基準は、たとえば、情報処理装置３５２が有する処理能力に対する該装置処理負荷の割合が、所定の閾値以上であるという条件であってもよい。該所定の装置負荷閾値（または、該所定の閾値）は、たとえば、マルウェアでないソフトウェアを格納している情報処理装置に関して測定された装置処理負荷の平均値であってもよい。または、所定の装置負荷閾値は、たとえば、該装置処理負荷が出現する頻度に基づき、大きい装置処理負荷から順に所定の順位である装置処理負荷に基づき決定されてもよい。たとえば、所定の順位は、装置処理負荷の全体個数に対する割合（５％である位置、３２％である位置等）に基づき決定されてもよい。

該装置処理負荷が所定の処理負荷基準を満たしている場合には（ステップＳ３０１にてＹＥＳ）、ステップＳ１０１乃至ステップＳ１０３に示された処理が実行される。

ステップＳ３０１にてＮＯの場合に監視装置３０１において、送信部１０４は、第１送信基準に従いイベント情報を管理装置１５５に送信する処理を実行している。

次に、本発明の第３の実施形態に係る監視装置３０１に関する効果について説明する。

第３の実施形態に係る監視装置３０１によれば、監視対象が実行している処理負荷が高い場合であっても、イベントに関するイベント情報を通知することができる。この理由は、第１の実施形態にて説明した理由と同様である。

さらに、第３の実施形態に係る監視装置３０１によれば、情報処理装置３５２における処理を低減することができる。この理由は、情報処理装置３５２に関する装置処理負荷が所定の処理負荷基準を満たしている場合のみ、ステップＳ１０１乃至ステップＳ１０３に示された処理を実行するからである。たとえば、情報処理装置３５２に関する装置処理負荷が所定の処理負荷基準を満たしている場合には、該装置処理負荷が所定の処理負荷基準を満たしていない場合に比べて、情報処理装置３５２においてマルウェアが活動している可能性は高い。監視装置３０１は、該装置処理負荷が所定の処理負荷基準を満たしていない場合には、図６におけるステップＳ１０１乃至ステップＳ１０３に示された処理を実行しない。したがって、監視装置３０１によれば、情報処理装置３５２における処理を低減することができる。

＜第４の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第４の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図７を参照しながら、本発明の第４の実施形態に係る監視装置４０１が有する構成について詳細に説明する。図７は、本発明の第４の実施形態に係る監視装置４０１が有する構成を示すブロック図である。

監視システム４５１は、１つ以上の情報処理装置と、管理装置１５５とを有する。図７に例示された監視システム４５１において、監視システム４５１は、３台の情報処理装置（情報処理装置４５２、情報処理装置１５６、及び、情報処理装置１５７）を有する。情報処理装置１５６、及び、情報処理装置１５７は、情報処理装置４５２が有している構成と同様な構成を有する。情報処理装置４５２と、情報処理装置１５６と、情報処理装置１５７と、管理装置１５５とは、通信ネットワーク１５４を介して通信可能に接続されている。情報処理装置４５２は、監視装置４０１を有する。監視システム４５１は、さらに、多くの情報処理装置を有していてもよい。

第４の実施形態に係る監視装置４０１は、作成部１０２と、特定部４０３と、送信部４０４と、制御部４０５と、対象イベント情報記憶部４０６と、イベント情報記憶部４０７とを有する。

対象イベント情報記憶部４０６には、特定部４０３が特定した対象イベントに関するイベント情報（すなわち、対象イベント情報）が格納される。イベント情報記憶部４０７には、情報処理装置４５２において生じたイベントのうち、対象イベントと異なるイベントに関するイベント情報が格納される。対象イベント情報記憶部４０６、及び、イベント情報記憶部４０７は、先に格納されたイベント情報を、先に読み取ることができるキュー構造を有していてもよい。

送信部４０４は、対象イベント情報記憶部４０６にイベント情報が格納されている場合に、対象イベント情報記憶部４０６からイベント情報を読み取り、読み取ったイベント情報を対象イベント情報記憶部４０６から削除する。送信基準が成立した場合に、送信部４０４は、読み取ったイベント情報を管理装置１５５に送信する。

対象イベント情報記憶部４０６にイベント情報が格納されていない場合に、送信部４０４は、イベント情報記憶部４０７にイベント情報が格納されているか否かを判定する。イベント情報記憶部４０７にイベント情報が格納されている場合に、イベント情報記憶部４０７からイベント情報を読み取り、読み取ったイベント情報をイベント情報記憶部４０７から削除する。送信基準が成立した場合に、送信部４０４は、読み取ったイベント情報を管理装置１５５に送信する。

したがって、送信部４０４は、イベント情報記憶部４０７に格納されているイベント情報よりも、対象イベント情報記憶部４０６に格納されているイベント情報（すなわち、対象イベント情報）を先に管理装置１５５に送信する。

次に、図８を参照しながら、本発明の第４の実施形態に係る監視装置４０１における処理のうち、イベント情報記憶部４０７、または、対象イベント情報記憶部４０６にイベント情報を格納するまでの処理について説明する。図８は、第４の実施形態に係る監視装置４０１における処理のうち、イベント情報記憶部４０７、または、対象イベント情報記憶部４０６にイベント情報を格納するまでの処理の流れを示すフローチャートである。

作成部１０２は、情報処理装置４５２にてイベントが生じるのに応じて、該イベントに関するイベント情報を作成する（ステップＳ４０７）。作成部１０２は、作成したイベント情報を特定部４０３に対して入力する。

特定部４０３は、情報処理装置４５２に関する装置処理負荷を求め、求めた装置処理負荷が、所定の処理負荷基準を満たしているか否かを判定する（ステップＳ３０１）。

装置処理負荷が所定の処理負荷基準を満たしていない場合に（ステップＳ３０１にてＮＯ）、特定部４０３は、受け取った該イベント情報をイベント情報記憶部４０７に格納する（ステップＳ４０８）。

装置処理負荷が所定の処理負荷基準を満たしている場合に（ステップＳ３０１にてＹＥＳ）、特定部４０３は、情報処理装置４５２にて動作している各タスクに関する処理負荷を取得する（ステップＳ４０２）。特定部４０３は、該処理負荷を測定してもよい。特定部４０３は、該装置処理負荷に対する各タスクに関する処理負荷の程度（または、割合）を算出し、算出した程度が所定の程度を超えているタスクを特定する（ステップＳ４０３）。所定の程度は、たとえば、５０％以上のいずれかの値であり、６０％、７０％、または、９０％等の値である。特定部４０３は、該程度を、該装置処理負荷と、該タスクに関する処理負荷の程度との差異に基づき算出してもよい。この場合に、所定の程度は、たとえば、情報処理装置４５２におけるＣＰＵの使用率と、該タスクに関するＣＰＵの使用率との差異が、５０％未満のいずれかの値であり、たとえば、１０％、２０％、または、３０％等の値である。

処理負荷がタスクに関する入出力速度を用いて測定される場合に、特定部４０３は、各タスクが実行している入出力処理に関する速度を測定する。特定部４０３は、測定した該速度が所定の程度を超えているタスクを特定する。該所定の程度は、たとえば、毎秒３０メガバイトである。この場合に、特定部４０３は、測定した該速度が毎秒３０メガバイトを超えているタスクを特定する。特定部４０３は、処理負荷が所定の程度を超えているタスクであって、入出力速度が所定の程度を超えているタスクを特定してもよい。

特定部４０３は、特定した該タスクの個数が１つであるか否かを判定する（ステップＳ４０４）。したがって、ステップＳ４０２乃至ステップＳ４０４に示された処理によって、特定部４０３は、装置処理負荷が所定の処理負荷基準を満たしている要因が、１つのタスクであるか否かを判定する。

タスクの個数が複数である場合に（ステップＳ４０４にてＮＯ）、特定部４０３は、受け取った該イベント情報をイベント情報記憶部４０７に格納する（ステップＳ４０８）。

タスクの個数が１つである場合に（ステップＳ４０４にてＹＥＳ）、特定部４０３は、選択した該タスクの処理負荷が所定の負荷判定基準を満たしている継続時間を測定する（ステップＳ４０５）。ステップＳ４０５における処理は、図４におけるステップＳ２０２と同様な処理である。特定部４０３は、該継続時間が所定の継続判定基準を満たしているか否かを判定する（ステップＳ４０６）。

特定部４０３は、該継続時間が所定の継続判定基準を満たしている場合に、（ステップＳ４０６にてＹＥＳ）、特定部４０３は、さらに、ステップＳ４０３、または、ステップＳ４０５にて測定した処理負荷を表す情報、継続時間を表す情報を、イベント情報として作成してもよい。または、特定部４０３は、該タスクがアクセスしたファイルに関するハッシュ値を記憶装置（不図示）から読み取り、読み取ったハッシュ値を表すイベント情報を作成してもよい。または、特定部４０３は、該タスクが使用しているメモリの大きさを取得し、取得した大きさを表すイベント情報を作成してもよい。

特定部４０３は、作成部１０２が作成したイベント情報、または、自部が作成したイベント情報を対象イベント情報記憶部４０６に格納する（ステップＳ４０９）。すなわち、対象イベント情報記憶部４０６に格納される情報は、対象イベント情報である。

イベント情報は、上述した例に限定されない。

次に、図９を参照しながら、本発明の第４の実施形態に係る監視装置４０１における処理のうち、対象イベント情報を管理装置１５５に送信する処理について説明する。図９は、第４の実施形態に係る監視装置４０１における処理のうち、対象イベント情報を管理装置１５５に送信する処理の流れを示すフローチャートである。

送信部４０４は、対象イベント情報記憶部４０６に格納されている対象イベント情報を読み取る。制御部４０５は、該対象イベント情報を送信する場合における送信基準を、第１送信基準よりも緩い基準を表す第２送信基準に設定する（ステップＳ１０２）。制御部４０５は、特定部４０３が特定した対象イベントに関するイベント情報のみを送信するよう送信部４０４を制御してもよい。

図７を参照しながら上述したような処理に従い、送信部４０４は、該対象イベント情報を管理装置１５５に送信する（ステップＳ４１０）。

その後、制御部４０５は、対象イベント情報記憶部４０６に対象イベント情報が格納されていない場合に、イベント情報を送信する場合における送信基準を第１送信基準に設定する（ステップＳ４１１）。すなわち、制御部４０５は、送信部４０４が対象イベント情報記憶部４０６に格納されている対象イベント情報を管理装置１５５に送信する処理が完了した後に、送信基準を第１送信基準に設定する。

対象イベント情報記憶部４０６に対象イベント情報が格納されていない場合に、送信部４０４は、イベント情報記憶部４０７に格納されているイベント情報を読み取り、読み取った該イベント情報を管理装置１５５に送信する。

次に、本発明の第４の実施形態に係る監視装置４０１に関する効果について説明する。

第４の実施形態に係る監視装置４０１によれば、監視対象が実行している処理負荷が高い場合であっても、イベントに関するイベント情報を通知することができる。この理由は、第１の実施形態にて説明した理由と同様である。

また、第４の実施形態に係る監視装置４０１によれば、情報処理装置４５２に異常が生じていることを、管理装置１５５にて容易に識別することができる。この理由は、監視装置４０１が対象イベントに関する対象イベント情報のみを送信するよう、送信部４０４を制御するからである。送信部４０４が、該対象イベント情報のみを管理装置１５５に送信するので、管理装置１５５は、複数の情報処理装置４５２のうち、情報処理装置４５２に異常が生じていることを検知することができる。

また、第４の実施形態に係る監視装置４０１によれば、対象イベントがマルウェアにより生じたか否かを、より正確に判定することができる。この理由は、情報処理装置４５２が高負荷である状態を意図的に生じるよう制御するマルウェアが、複数のタスクによって構成されている場合であっても、１つのタスクのみが高負荷な状態を生み出していることが多いからである。監視装置４０１は、情報処理装置４５２が高負荷である場合に、該高負荷な状態の要因が１つのタスクのみであるか否かに基づき、イベント情報が対象イベント情報であるか否かを判定する。この結果、監視装置４０１によれば、対象イベントがマルウェアにより生じたか否かを、より正確に判定することができる。

また、第４の実施形態に係る監視装置４０１によれば、情報処理装置４５２の有用性を保つことができる。この理由は、送信部４０４が管理装置１５５に対象イベント情報を送信した後に、送信部４０４に関する送信基準を第１送信基準に設定するからである。この結果、送信部４０４に関する送信基準が、情報処理装置４５２において動作している他のイベントの送信基準と同様な送信基準に設定されるので、第４の実施形態に係る監視装置４０１によれば、情報処理装置４５２の有用性を保つことができる。

（ハードウェア構成例）
上述した本発明の各実施形態に係る監視装置を、１つの計算処理装置（コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、係る監視装置は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現されてもよい。また、係る監視装置は、専用の装置として実現されてもよい。

図１０は、本発明の各実施形態に係る監視装置を実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。計算処理装置２０は、中央処理演算装置（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ、以降「ＣＰＵ」と表す）２１、メモリ２２、ディスク２３、不揮発性記録媒体２４、及び、通信インターフェース（以降、「通信ＩＦ」と表す）２７を有する。計算処理装置２０は、入力装置２５、出力装置２６に接続可能であってもよい。計算処理装置２０は、通信ＩＦ２７を介して、他の計算処理装置、及び、通信装置と、情報を送受信することができる。

不揮発性記録媒体２４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ）、デジタルバーサタイルディスク（Ｄｉｇｉｔａｌ＿Ｖｅｒｓａｔｉｌｅ＿Ｄｉｓｃ）である。また、不揮発性記録媒体２４は、ユニバーサルシリアルバスメモリ（ＵＳＢメモリ）、ソリッドステートドライブ（Ｓｏｌｉｄ＿Ｓｔａｔｅ＿Ｄｒｉｖｅ）等であってもよい。不揮発性記録媒体２４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。不揮発性記録媒体２４は、上述した媒体に限定されない。また、不揮発性記録媒体２４の代わりに、通信ＩＦ２７、及び、通信ネットワークを介して、係るプログラムを持ち運びしてもよい。

すなわち、ＣＰＵ２１は、ディスク２３に格納されているソフトウェア・プログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際にメモリ２２にコピーし、演算処理を実行する。ＣＰＵ２１は、プログラム実行に必要なデータをメモリ２２から読み取る。表示が必要な場合に、ＣＰＵ２１は、出力装置２６に出力結果を表示する。外部からプログラムを入力する場合に、ＣＰＵ２１は、入力装置２５からプログラムを読み取る。ＣＰＵ２１は、上述した図１、図３、図５、または、図７に示す各部が表す機能（処理）に対応するところのメモリ２２にある監視プログラム（図２、図４、図６、図８、または、図９）を解釈し実行する。ＣＰＵ２１は、上述した本発明の各実施形態において説明した処理を順次実行する。

すなわち、このような場合に、本発明の各実施形態は、係る監視プログラムによっても成し得ると捉えることができる。さらに、係る監視プログラムが記録されたコンピュータが読み取り可能な不揮発性の記録媒体によっても、本発明の各実施形態は成し得ると捉えることができる。

以上、上述した実施形態を模範的な例として本発明を説明した。しかし、本発明は、上述した実施形態には限定されない。すなわち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。

１０１ 監視装置
１０２ 作成部
１０３ 特定部
１０４ 送信部
１０５ 制御部
１５１ 監視システム
１５２ 情報処理装置
１５４ 通信ネットワーク
１５５ 管理装置
２０１ 監視装置
２０３ 特定部
２５１ 監視システム
２５２ 情報処理装置
３０１ 監視装置
３０３ 特定部
３５１ 監視システム
３５２ 情報処理装置
１５６ 情報処理装置
１５７ 情報処理装置
１５６ 情報処理装置
１５７ 情報処理装置
４０１ 監視装置
４０３ 特定部
４０４ 送信部
４０５ 制御部
４０６ 対象イベント情報記憶部
４０７ イベント情報記憶部
４５１ 監視システム
４５２ 情報処理装置
２０ 計算処理装置
２１ ＣＰＵ
２２ メモリ
２３ ディスク
２４ 不揮発性記録媒体
２５ 入力装置
２６ 出力装置
２７ 通信ＩＦ

Claims (8)

1. 情報処理装置にて生じたイベントに関するイベント情報を作成する作成手段と、
   前記イベント情報を送信する送信基準を表す第１送信基準が成立した場合に、前記イベント情報を管理装置に送信する送信手段と、
   前記送信基準を設定する制御手段と、
   前記情報処理装置における処理負荷を表す装置処理負荷が所定の処理負荷基準を満たしている場合には、前記イベント情報のうち、所定の負荷判定基準を満たしている対象イベント情報を特定し、前記情報処理装置において動作しているタスクのうち、前記タスクの負荷が所定の程度を超えているタスクを特定し、特定した前記タスクの個数が１つであるか否かを判定する特定手段と
   を備え、
   前記制御手段は、前記対象イベント情報に関する前記送信基準に、前記第１送信基準よりも緩い基準である第２送信基準を設定し、前記個数が１つである場合に、前記送信基準を前記第２送信基準に設定する
   監視装置。
2. 前記特定手段は、前記イベント情報のうち、前記イベントに関する処理負荷が前記所定の負荷判定基準を満たしている時間が所定の継続判定基準を満たしているイベント情報を前記対象イベント情報であると特定する
   請求項１に記載の監視装置。
3. 前記送信手段は、前記対象イベント情報を、前記イベント情報よりも先に送信する
   請求項１または請求項２に記載の監視装置。
4. 前記制御手段は、前記送信手段が前記対象イベント情報を前記管理装置に送信した後に、前記送信基準を前記第１送信基準に設定する
   請求項１乃至請求項３のいずれかに記載の監視装置。
5. 前記対象イベント情報のみが格納される対象イベント情報記憶手段と、
   前記イベント情報のうち、前記対象イベント情報と異なるイベント情報が格納されるイベント情報記憶手段と
   をさらに備え、
   前記送信手段は、前記対象イベント情報記憶手段に格納されている前記イベント情報を前記管理装置に送信した後に、前記イベント情報記憶手段に格納されている前記イベント情報を前記管理装置に送信する
   請求項１乃至請求項４のいずれかに記載の監視装置。
6. 請求項１乃至請求項５のいずれかに記載の監視装置と、
   前記監視装置が送信した前記イベント情報を管理している前記管理装置と
   を備える監視システム。
7. 情報処理装置にて生じたイベントに関するイベント情報を作成し、前記イベント情報を送信する送信基準を表す第１送信基準が成立した場合に、前記イベント情報を管理装置に送信する監視装置にて、前記情報処理装置における処理負荷を表す装置処理負荷が所定の処理負荷基準を満たしている場合には、前記イベント情報のうち、所定の負荷判定基準を満たしている対象イベント情報を特定し、前記情報処理装置において動作しているタスクのうち、前記タスクの負荷が所定の程度を超えているタスクを特定し、特定した前記タスクの個数が１つであるか否かを判定し、前記対象イベント情報に関する前記送信基準
   に、前記第１送信基準よりも緩い基準である第２送信基準を設定し、前記個数が１つである場合に、前記送信基準を前記第２送信基準に設定する監視方法。
8. 情報処理装置にて生じたイベントに関するイベント情報を作成する作成機能と、
   前記イベント情報を送信する送信基準を表す第１送信基準が成立した場合に、前記イベント情報を管理装置に送信する送信機能と、
   前記送信基準を設定する制御機能と、
   前記情報処理装置における処理負荷を表す装置処理負荷が所定の処理負荷基準を満たしている場合には、前記イベント情報のうち、所定の負荷判定基準を満たしている対象イベント情報を特定し、前記情報処理装置において動作しているタスクのうち、前記タスクの負荷が所定の程度を超えているタスクを特定し、特定した前記タスクの個数が１つであるか否かを判定する特定機能と
   をコンピュータに実現させ、
   前記制御機能においては、前記対象イベント情報に関する前記送信基準に、前記第１送信基準よりも緩い基準である第２送信基準を設定し、前記個数が１つである場合に、前記送信基準を前記第２送信基準に設定する
   監視プログラム。

Images