JP7438915B2 - 情報処理装置、プログラムおよび情報処理システム - Google Patents

Description

本発明の実施形態は、情報処理装置、プログラムおよび情報処理システムに関する。

工場および発電所等の産業制御システムに対してサイバー攻撃があった場合、重大な損害が生じる。損害を最小限に抑えるために、産業制御システムは、サイバー攻撃の可能性のある異常な事象を早急に検知することが重要である。

異常な事象を検知する方法として、プロセスが操作したファイルを監視し、プロセスが正常時において操作していたファイルと比較する方法が知られている。このような方法は、正常時においてプロセスが操作していたファイルの種類が少ない場合、異常な処理がされたことを確実に検出することができる。

しかし、ユーザから指示を受けてコマンドを実行するプロセス等は、多数の種類の処理を選択的に実行する。このようなプロセスは、操作するファイルの種類が非常に多い。従って、このようなプロセスは、異常な処理がされた場合であっても、正常時において操作されていたファイルが操作される可能性があった。このため、上述の方法では、このようなプロセスの異常を十分に検知することが困難であった。例えば、上述の方法では、共有ライブラリに含まれる１つのプログラム部品が侵害された場合に、プロセスが、共有ライブラリから侵害されたプログラム部品を呼び出して実行したとしても、異常を検知することができなかった。

特開２０１０－１８２０１９号公報 特開２０１３－２４７６６４号公報

本発明が解決しようとする課題は、異常を確実に検知する情報処理装置、プログラムおよび情報処理システムを提供することにある。

実施形態に係る情報処理装置は、リスト記憶部と、プロセッサとを備える。前記リスト記憶部は、モジュール処理の種類毎に、実行を許可するシステム操作が記述されたホワイトリストを記憶する。前記プロセッサは、操作検出部と、プロセス特定部と、ログ特定部と、種類特定部と、出力部として機能する。前記操作検出部は、何れかの前記システム操作が実行されたことを検出する。前記プロセス特定部は、実行を検出した前記システム操作を実行したプロセスである対象プロセスを特定する。前記ログ特定部は、前記対象プロセスの処理内容の履歴を表す動作ログである対象動作ログを特定する。前記種類特定部は、前記対象動作ログを解析することにより、実行を検出した前記システム操作を実行した前記モジュール処理である対象モジュール処理の種類を特定する。前記出力部は、前記対象モジュール処理の種類についての前記ホワイトリストに、実行を検出した前記システム操作が含まれていない場合、異常が発生したことを示す異常情報を出力する。

実施形態に係る情報処理システムを示す図。 実施形態に係る情報処理装置の機能構成を示す図。 第１プロセスの処理の流れの一例を示すシーケンス図。 監視部の処理の流れを示すフローチャート。 対象モジュール処理の種類の特定処理の流れを示すフローチャート。 第１変形例に係る種類の特定処理の流れを示すフローチャート。 第２変形例に係る第２プロセスの処理の流れの一例を示すシーケンス図。 第２変形例に係る種類の特定処理の流れを示すフローチャート。 情報処理装置のハードウェア構成を示す図。

以下、図面を参照しながら実施形態に係る情報処理システム１０について説明する。

図１は、情報処理システム１０を示す図である。本実施形態において、情報処理システム１０は、ユーザからの指示に応じて、工場および発電所等に設置される設備を制御する。設備は、例えば、ポンプ、タービン、ボイラーおよびモータ等である。なお、情報処理システム１０は、このような設備の制御に限らず、他の制御システムまたは処理システムであってもよい。例えば、情報処理システム１０は、ユーザからの指示に応じてサーバから情報を取得するクライアントサーバシステム等であってもよい。

情報処理システム１０は、情報処理装置１２と、コントローラ１４と、１個または複数個の対象装置１６とを備える。

情報処理装置１２は、コンピュータである。情報処理装置１２は、ユーザからの指示を受け付けることができ、さらに、ユーザに対して情報を表示したり出力したりすることができる。例えば、情報処理装置１２は、キーボード、マウス、ディスプレイおよびタッチパネル等の入出力装置を有する。

情報処理装置１２は、ネットワーク１８を介してコントローラ１４と接続される。これにより、情報処理装置１２は、コントローラ１４と相互にデータを送受信することができる。なお、ネットワーク１８は、有線であっても無線であってもよい。また、ネットワーク１８は、ルータ、スイッチングハブおよび中継サーバ等の１個または複数個の装置を経由して接続されていてもよい。

コントローラ１４は、情報処理装置１２からの制御命令を受信し、制御命令に応じて１個または複数個の対象装置１６のそれぞれの動作を制御する。１個または複数個の対象装置１６のそれぞれは、コントローラ１４からの制御に応じて動作する装置または設備である。本実施形態において、１個または複数個の対象装置１６のそれぞれは、ポンプ、タービン、ボイラーまたはモータ等である。

ここで、情報処理装置１２は、コントローラ１４に指示を与えて１個または複数個の対象装置１６を制御する。例えば、情報処理装置１２は、ユーザからの制御要求に応じて、コントローラ１４に指示を与える。本実施形態において、情報処理装置１２は、メモリと、プロセッサとを備える。プロセッサは、オペレーティングシステムを実行する。さらに、プロセッサは、オペレーティングシステムの管理下で、１個または複数個の対象装置１６の動作を制御するためのアプリケーションプログラムを実行する。

プロセッサは、アプリケーションプログラムを実行することにより、１個または複数個の対象装置１６を制御する。また、プロセッサは、複数のアプリケーションプログラムを並行して実行してもよい。

さらに、本実施形態において、プロセッサは、プロセスに異常が発生したことを検出する監視プログラムを実行する。プロセスは、プロセッサが実行中のアプリケーションプログラムによる処理である。監視プログラムは、アプリケーションプログラムであってもよいし、オペレーティングシステムの一部に組み込まれたプログラムであってもよい。

さらに、本実施形態において、プロセッサは、異常に対する対処をする異常監視プログラムを実行する。異常監視プログラムは、アプリケーションプログラムであってもよいし、オペレーティングシステムの一部に組み込まれたプログラムであってもよい。

図２は、情報処理装置１２の機能構成を示す図である。情報処理装置１２は、ログ記憶部３２と、リスト記憶部３４と、監視部４０とを有する。

ログ記憶部３２は、メモリにより実現される。ログ記憶部３２は、プロセスの処理内容の履歴を表す動作ログを記憶する。それぞれのプロセスは、モジュール処理を実行した場合、実行したモジュール処理の内容を表す情報を、対応する動作ログに記録する。

モジュール処理は、例えば、オペレーティングシステムに管理されているプログラム部品による処理である。プログラム部品は、例えば、共有ライブラリに含まれるプログラムであり、アプリケーションプログラムに組み込んで実行される。プロセスは、プログラム部品を呼び出しまたはロードし、呼び出したまたはロードしたプログラム部品を実行することにより、対応するモジュール処理を実行することができる。

リスト記憶部３４は、メモリにより実現される。リスト記憶部３４は、モジュール処理の種類毎に、実行を許可するシステム操作が記述されたホワイトリストを記憶する。

システム操作は、プロセスにおいてオペレーティングシステムに組み込まれている機能を呼び出して処理を実行させる操作である。例えば、システム操作は、プロセスがオペレーティングシステムの機能を呼び出すシステムコールである。システム操作は、例えば、ファイルのオープン、ファイルの読み込み、ファイルへの書き込み、ファイルの実行、ネットワークソケットの生成、および、ネットワークソケットを通した通信の実行等である。

また、ホワイトリストは、実行を許可するシステム操作と、システム操作を許可する処理対象との組が記述されてもよい。例えば、実行を許可するシステム操作がファイルのオープンである場合、ホワイトリストは、ファイルのオープンを示す情報と、オープンする対象のファイルのパスとの組が記述される。

また、複数種類のアプリケーションプログラムが実行される場合、リスト記憶部３４は、アプリケーションプログラム毎且つモジュール処理の種類毎に、ホワイトリストを記憶する。

また、リスト記憶部３４は、実行可能な複数種類のモジュール処理の全てについてのホワイトリストを記憶しなくてもよい。この場合、リスト記憶部３４は、予め定められた１または複数の特定種類のモジュール処理のそれぞれについてのホワイトリストを記憶する。予め定められた１または複数の特定種類のモジュール処理は、実行可能な複数種類のモジュール処理のうちの一部である。

さらに、１または複数の特定種類のモジュール処理についてのホワイトリストを記憶している場合、リスト記憶部３４は、汎用種類のモジュール処理についてのホワイトリストを記憶してもよい。汎用種類は、１または複数の特定種類のモジュール処理に含まれない全ての種類を統一して表す種類である。

このようなホワイトリストは、アプリケーションプログラムの作成者またはシステム管理者等により予め生成される。また、ホワイトリストは、正常動作中におけるシステム操作を収集することにより作成されてもよい。

監視部４０は、プロセッサが監視プログラムを実行することにより実現される。すなわち、プロセッサは、監視プログラムを実行することにより監視部４０として機能する。

監視部４０は、プロセスにおける異常を検出する。監視部４０は、プロセスにおいて異常が検出された場合、異常情報を異常監視プロセスに出力する。異常監視プロセスは、プロセッサが実行中の異常監視プログラムの処理である。異常監視プロセスにおいて、プロセッサは、監視部４０から異常情報を受け取った場合、異常監視処理を実行する。プロセッサは、異常監視処理として、例えば、ポップアップウィンドウを表示することにより異常が発生したことをユーザに通知したり、異常が発生したプロセスを停止したり、バックアップ処理を実行したり、異常が発生したプロセスの制御対象となっている対象装置１６の動作を停止したりする。

監視部４０は、操作検出部４２と、プロセス特定部４４と、ログ特定部４６と、種類特定部４８と、比較部５０と、出力部５２とを有する。

操作検出部４２は、何れかのシステム操作が実行されたことを検出する。また、操作検出部４２は、予め定められたシステム操作である特定システム操作が実行されたことを検出してもよい。例えば、操作検出部４２は、ファイルのオープンが実行されたことを検出する。さらに、操作検出部４２は、実行を検出した特定システム操作による処理対象を特定してもよい。例えば、特定システム操作がファイルのオープンである場合、操作検出部４２は、特定システム操作による処理対象であるファイルのパスを特定する。

プロセス特定部４４は、実行を検出したシステム操作を実行したプロセスである対象プロセスを特定する。例えば、プロセス特定部４４は、対象プロセスを識別するプロセス識別子を特定する。プロセス識別子は、オペレーティングシステムが、現在実行中のプロセスを識別するために付ける情報である。

ログ特定部４６は、対象プロセスの処理内容の履歴を表す動作ログである対象動作ログを特定する。ログ特定部４６は、例えば、対象動作ログを含むファイル（ログファイル）のパスを特定する。

種類特定部４８は、対象動作ログを解析することにより、実行を検出したシステム操作を実行したモジュール処理である対象モジュール処理の種類を特定する。例えば、種類特定部４８は、特定したパスに記憶されたログファイルをオープンし、ログファイルに記録された情報を解析して対象モジュール処理の種類を特定する。例えば、種類特定部４８は、共有ライブラリに含まれるプログラム部品群のうちの、実行を検出したシステム操作を実行したプログラム部品を特定する。

なお、種類特定部４８は、リスト記憶部３４が、予め定められた１または複数の特定種類のモジュール処理のそれぞれについてのホワイトリスト、および、汎用種類についてのホワイトリストを記憶している場合には、対象モジュール処理の種類が、１または複数の特定種類の何れであるのかを特定する。また、種類特定部４８は、対象モジュール処理の種類が、１または複数の特定種類の何れにも一致しない場合、対象モジュール処理の種類を汎用種類と特定する。

比較部５０は、リスト記憶部３４に記憶されている複数のホワイトリストのうち、対象モジュール処理の種類についてのホワイトリストを特定する。そして、比較部５０は、対象モジュール処理の種類についてのホワイトリストに、実行を検出したシステム操作が含まれているか否かを判断する。

また、特定システム操作が実行されたこと検出した場合には、比較部５０は、対象モジュール処理の種類についてのホワイトリストに、実行を検出したシステム操作と、特定された処理対象との組が含まれているか否かを判断する。例えば、特定システム操作がファイルのオープンである場合、比較部５０は、実行を検出したシステム操作の処理対象のファイルのパスと、ホワイトリストに含まれるファイルのパスとが一致するか否かをさらに判断する。比較部５０は、判断結果を出力部５２に与える。

なお、複数種類のアプリケーションプログラムが実行される場合、比較部５０は、対象プロセスに対応するアプリケーションプログラムの対象モジュール処理の種類についてのホワイトリストを特定する。そして、この場合、比較部５０は、対象プロセスに対応するアプリケーションプログラムの対象モジュール処理の種類についてのホワイトリストに、実行を検出したシステム操作が含まれているか否かを判断する。

出力部５２は、比較部５０から判断結果を受け取る。出力部５２は、対象モジュール処理の種類についてのホワイトリストに、実行を検出したシステム操作が含まれていない場合、異常が発生したことを示す異常情報を出力する。例えば、出力部５２は、対象プロセスに対応するアプリケーションプログラムの対象モジュール処理の種類のホワイトリストに、実行を検出したシステム操作が含まれていない場合、異常情報を出力する。

図３は、第１プロセスの処理の流れの一例を示すシーケンス図である。

情報処理装置１２のプロセッサは、あるアプリケーションプログラムを実行することにより、プロセス実行部６０として機能する。プロセス実行部６０は、モジュール処理として、第１制御処理および第２制御処理を実行する。

プロセス実行部６０は、ユーザインターフェース部６２と、ログ出力部６４と、第１制御処理部６６と、第２制御処理部６８とを有する。このようなプロセス実行部６０は、図３に示すような流れで処理を実行する。

まず、ユーザは、第１制御処理の処理要求を情報処理装置１２に対して入力する（Ｓ１１）。例えば、ユーザは、第１制御処理に対応付けられたテキストボックスに制御値を入力したり、第１制御処理に対応付けられたボタンをクリックしたりすることにより、第１制御処理の処理要求を情報処理装置１２に対して入力する。

続いて、ユーザインターフェース部６２は、第１制御処理の処理要求を受け付ける（Ｓ１２）。続いて、ユーザインターフェース部６２は、第１制御処理部６６に第１制御処理の開始を指示する（Ｓ１３）。ここで、第１制御処理の開始時に、ログ出力部６４は、モジュール処理の種類およびモジュール処理を開始したことを示す開始情報を、第１プロセスの動作ログに記録する（Ｓ１４）。例えば、ログ出力部６４は、“第１制御処理の開始”という文字列および処理の開始時刻を示すタイムスタンプを動作ログに記録する。

続いて、第１制御処理部６６は、第１制御処理を実行する（Ｓ１５）。続いて、第１制御処理が終了した場合、第１制御処理部６６は、ユーザインターフェース部６２に対して、第１制御処理の処理終了を通知する（Ｓ１６）。例えば、第１制御処理部６６は、関数の戻り値等の第１制御処理の処理結果を通知する。

続いて、ユーザインターフェース部６２は、第１制御処理の処理終了を受信する（Ｓ１７）。続いて、ユーザインターフェース部６２は、第１制御処理の処理結果をユーザに通知する（Ｓ１８）。例えば、ユーザインターフェース部６２は、ディスプレイに表示されている第１制御処理に対応付けられた制御値を、最新の値に更新する。ここで、第１制御処理の終了時に、ログ出力部６４は、モジュール処理の種類およびモジュール処理を終了したことを示す終了情報を、第１プロセスの動作ログに記録する（Ｓ１９）。例えば、ログ出力部６４は、“第１制御処理の終了”という文字列および処理の終了時刻を示すタイムスタンプを動作ログに記録する。

続いて、ユーザは、第２制御処理の処理要求を情報処理装置１２に対して入力する（Ｓ２１）。続いて、ユーザインターフェース部６２は、第２制御処理の処理要求を受け付ける（Ｓ２２）。続いて、ユーザインターフェース部６２は、第２制御処理部６８に第２制御処理の開始を指示する（Ｓ２３）。ここで、第２制御処理の開始時に、ログ出力部６４は、モジュール処理の種類およびモジュール処理を開始したことを示す開始情報を、第２プロセスの動作ログに記録する（Ｓ２４）。

続いて、第２制御処理部６８は、第２制御処理を実行する（Ｓ２５）。続いて、第２制御処理が終了した場合、第２制御処理部６８は、ユーザインターフェース部６２に対して、第２制御処理の処理終了を通知する（Ｓ２６）。続いて、ユーザインターフェース部６２は、第２制御処理の処理終了を受信する（Ｓ２７）。続いて、ユーザインターフェース部６２は、第２制御処理の処理結果をユーザに通知する（Ｓ２８）。ここで、第２制御処理の終了時に、ログ出力部６４は、モジュール処理の種類およびモジュール処理を終了したことを示す終了情報を、第２プロセスの動作ログに記録する（Ｓ２９）。

以上のように、それぞれのプロセスにおいて、情報処理装置１２のプロセッサは、モジュール処理の開始時に、モジュール処理の種類およびモジュール処理を開始したことを示す開始情報を動作ログに記録する。また、情報処理装置１２のプロセッサは、モジュール処理の終了時に、モジュール処理の種類およびモジュール処理を終了したことを示す終了情報を動作ログに記録する。

図４は、監視部４０の処理の流れを示すフローチャートである。監視部４０は、図４に示す流れでプロレス監視処理を実行することにより、プロセスの異常を検出する。

まず、Ｓ５１において、監視部４０は、プロセスにおいて、何れかのシステム操作がされたか否かを判断する。本例においては、監視部４０は、予め定められた特定システム操作がされたか否かを判断する。例えば、監視部４０は、ファイルのオープンがされたか否かを判断する。

監視部４０は、何れかのシステム操作が実行された場合（Ｓ５１のＹｅｓ）、処理をＳ５２に進める。本例においては、監視部４０は、特定システム操作（例えばファイルのオープン）が実行された場合（Ｓ５１のＹｅｓ）、処理をＳ５２に進める。監視部４０は、何れかのシステム操作も実行されていない場合（Ｓ５１のＮｏ）、処理をＳ５１で待機する。本例においては、監視部４０は、特定システム操作（例えばファイルのオープン）が実行されていない場合（Ｓ５１のＮｏ）、処理をＳ５１で待機する。

Ｓ５２において、監視部４０は、実行を検出したシステム操作による処理対象を特定する。本例においては、監視部４０は、特定システム操作（例えば、ファイルのオープン）による処理対象であるファイルのパスを特定する。

続いて、Ｓ５３において、監視部４０は、対象プロセスを特定する。対象プロセスは、実行を検出したシステム操作を実行したプロセスである。例えば、監視部４０は、ファイルのオープンを実行したプロセスのプロセス識別子を特定する。

続いて、Ｓ５４において、監視部４０は、対象プロセスの処理内容の履歴を表す動作ログである対象動作ログを特定する。例えば、監視部４０は、対象動作ログを含むファイル（ログファイル）のパスを特定する。

続いて、Ｓ５５において、監視部４０は、対象動作ログを解析することにより、対象モジュール処理の種類を特定する。対象モジュール処理は、実行を検出したシステム操作を実行したモジュール処理である。例えば、監視部４０は、特定したパスに記憶されたログファイルをオープンし、ログファイルに記録された情報を解析して対象モジュール処理の種類を特定する。

続いて、Ｓ５６において、監視部４０は、リスト記憶部３４に記憶されている複数のホワイトリストのうち、対象モジュール処理の種類についてのホワイトリストを特定する。なお、リスト記憶部３４は、複数のアプリケーションプログラムのそれぞれについて、モジュール処理の種類毎のホワイトリストを記憶している場合がある。この場合、監視部４０は、対象プロセスに対応するアプリケーションプログラムの対象モジュール処理の種類についてのホワイトリストを特定する。

続いて、Ｓ５７において、監視部４０は、対象モジュール処理の種類についてのホワイトリストに、実行を検出したシステム操作が含まれているか否かを判断する。なお、特定システム操作が実行されたこと検出した場合には、監視部４０は、対象モジュール処理の種類についてのホワイトリストに、実行を検出したシステム操作と特定された処理対象との組が含まれているか否かを判断する。例えば、特定システム操作がファイルのオープンである場合、監視部４０は、実行を検出したシステム操作の処理対象であるファイルのパスと、ホワイトリストに含まれるファイルのパスとが一致するか否かをさらに判断する。

監視部４０は、ホワイトリストに、実行を検出したシステム操作が含まれている場合（Ｓ５７のＹｅｓ）、処理をＳ５８に進める。監視部４０は、特定したホワイトリストに、実行を検出したシステム操作が含まれていない場合（Ｓ５７のＮｏ）、処理をＳ５９に進める。

Ｓ５８において、監視部４０は、異常が発生していないことを示す正常情報を異常監視プロセスに出力する。異常監視プロセスは、正常情報を受け取った場合、何ら処理を実行しない。なお、監視部４０は、Ｓ５８において何ら処理を実行しなくてもよい。

Ｓ５９において、監視部４０は、異常が発生したことを示す異常情報を異常監視プロセスに出力する。異常監視プロセスは、異常情報を受け取った場合、例えばポップアップウィンドウを表示することにより異常が発生したことをユーザに通知する。また、異常監視プロセスは、異常情報を受け取った場合、異常が発生したプロセスを停止したり、バックアップ処理を実行したり、異常が発生したプロセスの制御対象となっている対象装置１６の動作を停止したりしてもよい。

そして、Ｓ５８またはＳ５９の処理を終了すると、監視部４０は、処理をＳ５１に戻して、処理をＳ５１から繰り返す。これにより、監視部４０は、プロセスの監視を継続することができる。

図５は、対象モジュール処理の種類の特定処理の流れを示すフローチャートである。監視部４０は、例えば、図４のＳ５５において、図５に示す流れで処理を実行することにより、対象モジュール処理の種類を特定する。

なお、本例において、リスト記憶部３４は、予め定められた１または複数の特定種類のモジュール処理のそれぞれについてのホワイトリスト、および、汎用種類についてのホワイトリストを記憶する。

まず、Ｓ６１において、監視部４０は、対象動作ログのファイルをオープンする。続いて、Ｓ６２において、監視部４０は、対象動作ログのファイルから、１または複数の特定種類のモジュール処理のうちの何れかの特定種類のモジュール処理の開始情報を最後に記録した箇所を探す。

続いて、Ｓ６３において、監視部４０は、何れかの特定種類のモジュール処理の開始情報を最後に記録した箇所が検出できたか否かを判断する。監視部４０は、検出できなかった場合（Ｓ６３のＮｏ）、処理をＳ６４に進める。Ｓ６４において、監視部４０は、対象モジュール処理の種類を、汎用種類と特定する。監視部４０は、Ｓ６４の処理を終了すると、本フローを終了する。

監視部４０は、検出できた場合（Ｓ６３のＹｅｓ）、処理をＳ６５に進める。Ｓ６５において、監視部４０は、対象動作ログのファイルから、検出した開始情報の後に、検出した開始情報に対応する特定種類のモジュール処理の終了情報を記録した箇所を探す。

続いて、Ｓ６６において、監視部４０は、検出した開始情報に対応する特定種類のモジュール処理の終了情報を記録した箇所が検出できたか否かを判断する。監視部４０は、検出できた場合（Ｓ６６のＹｅｓ）、処理をＳ６７に進める。Ｓ６７において、監視部４０は、対象モジュール処理の種類を、汎用種類と特定する。監視部４０は、Ｓ６７の処理を終了すると、本フローを終了する。

監視部４０は、検出できなかった場合（Ｓ６６のＮｏ）、処理をＳ６８に進める。Ｓ６８において、監視部４０は、対象モジュール処理の種類を、検出した開始情報に対応する特定種類と特定する。監視部４０は、Ｓ６８の処理を終了すると、本フローを終了する。

以上のように、監視部４０は、対象動作ログに記録された最後の開始情報である最終開始情報を検出する。そして、監視部４０は、最終開始情報に対応するモジュール処理の種類が１または複数の特定種類の何れかであり、且つ、最終開始情報の後に最終開始情報に対応するモジュール処理の終了情報が存在しない場合、対象モジュール処理の種類を、最終開始情報に対応するモジュール処理の種類と特定する。また、監視部４０は、最終開始情報に対応するモジュール処理の種類が１または複数の特定種類の何れでもない場合、または、最終開始情報の後に最終開始情報に対応するモジュール処理の終了情報が存在する場合、対象モジュール処理の種類を、汎用種類と特定する。

これにより、監視部４０は、対象モジュール処理の種類が、１または複数の特定種類の何れかに一致する場合、対象モジュール処理の種類を一致した特定種類と特定することができる。また、監視部４０は、対象モジュール処理の種類が、１または複数の特定種類の何れにも一致しない場合、対象モジュール処理の種類を汎用種類と特定することができる。

（第１変形例）
図６は、第１変形例に係る対象モジュール処理の種類の特定処理の流れを示すフローチャートである。

情報処理装置１２のプロセッサは、アプリケーションプログラムを実行した場合、図３とは異なる処理の流れで、動作ログへの記録を実行する場合がある。例えば、プロセスにおいて、プロセッサは、モジュール処理の開始時に動作ログに開始情報を記録するが、モジュール処理の終了時に動作ログに終了情報を記録しない場合もある。このような場合、監視部４０は、図６に示すような流れで、対象モジュール処理の種類を特定する。

まず、Ｓ７１において、監視部４０は、対象動作ログのファイルをオープンする。続いて、Ｓ７２において、監視部４０は、対象動作ログのファイルから、１または複数の特定種類のモジュール処理のうちの何れかの特定種類のモジュール処理の開始情報を最後に記録した箇所を探す。

続いて、Ｓ７３において、監視部４０は、何れかの特定種類のモジュール処理の開始情報を最後に記録した箇所が検出できたか否かを判断する。監視部４０は、検出できなかった場合（Ｓ７３のＮｏ）、処理をＳ７４に進める。Ｓ７４において、監視部４０は、対象モジュール処理の種類を、汎用種類と特定する。監視部４０は、Ｓ７４の処理を終了すると、本フローを終了する。

監視部４０は、検出できた場合（Ｓ７３のＹｅｓ）、処理をＳ７５に進める。Ｓ７５において、監視部４０は、対象モジュール処理の種類を、検出した開始情報に対応する特定種類と特定する。監視部４０は、Ｓ７５の処理を終了すると、本フローを終了する。

以上のように、監視部４０は、対象動作ログに記録された最後の開始情報である最終開始情報を検出する。そして、監視部４０は、最終開始情報に対応するモジュール処理の種類が１または複数の特定種類の何れかである場合、対象モジュール処理の種類を、最終開始情報に対応するモジュール処理の種類と特定する。また、監視部４０は、最終開始情報に対応するモジュール処理の種類が１または複数の特定種類の何れでもない場合、対象モジュール処理の種類を、汎用種類と特定する。

これにより、監視部４０は、対象モジュール処理の種類が、１または複数の特定種類の何れであるのかを特定することができる。また、監視部４０は、対象モジュール処理の種類が、１または複数の特定種類の何れにも一致しない場合、対象モジュール処理の種類を汎用種類と特定することができる。

（第２変形例）
図７は、第２変形例に係る第２プロセスの処理の流れの一例を示すシーケンス図である。情報処理装置１２のプロセス実行部６０は、図３に示す流れの処理に代えて、例えば、図７に示す流れで処理を実行してもよい。

まず、ユーザは、第１制御処理の処理要求を情報処理装置１２に対して入力する（Ｓ８１）。例えば、ユーザは、第１制御処理に対応付けられたテキストボックスに制御値を入力したり、第１制御処理に対応付けられたボタンをクリックしたりすることにより、第１制御処理の処理要求を情報処理装置１２に対して入力する。

続いて、ユーザインターフェース部６２は、第１制御処理の処理要求を受け付ける（Ｓ８２）。続いて、ログ出力部６４は、第１制御処理の開始時にプロセスが受け付けた処理要求の内容を、第１プロセスの動作ログに記録する（Ｓ８３）。例えば、ログ出力部６４は、制御値を入力したテキストボックスの識別子、クリックしたボタンの識別子およびテキストボックスに入力された制御値等と、開始時刻を示すタイムスタンプとを動作ログに記録する。

続いて、ユーザインターフェース部６２は、ユーザにより入力された処理要求を解釈し、第１制御処理に関する処理要求であることを特定する（Ｓ８４）。続いて、ユーザインターフェース部６２は、第１制御処理部６６に第１制御処理の開始を指示する（Ｓ８５）。

続いて、第１制御処理部６６は、第１制御処理を実行する（Ｓ８６）。続いて、第１制御処理が終了した場合、第１制御処理部６６は、ユーザインターフェース部６２に対して、第１制御処理の処理終了を通知する（Ｓ８７）。例えば、第１制御処理部６６は、関数の戻り値等の第１制御処理の処理結果を通知する。

続いて、ユーザインターフェース部６２は、第１制御処理の処理終了を受信する（Ｓ８８）。続いて、ユーザインターフェース部６２は、第１制御処理の処理結果をユーザに通知する（Ｓ８９）。例えば、ユーザインターフェース部６２は、ディスプレイに表示されている第１制御処理に対応付けられた制御値を、最新の値に更新する。

続いて、ユーザは、第２制御処理の処理要求を情報処理装置１２に対して入力する（Ｓ９１）。続いて、ユーザインターフェース部６２は、第２制御処理の処理要求を受け付ける（Ｓ９２）。続いて、ログ出力部６４は、第２制御処理の開始時にプロセスが受け付けた処理要求の内容を、第２プロセスの動作ログに記録する（Ｓ９３）。

続いて、ユーザインターフェース部６２は、ユーザにより入力された処理要求を解釈し、第２制御処理に関する処理要求であることを特定する（Ｓ９４）。続いて、ユーザインターフェース部６２は、第２制御処理部６８に第２制御処理の開始を指示する（Ｓ９５）。

続いて、第２制御処理部６８は、第２制御処理を実行する（Ｓ９６）。続いて、第２制御処理が終了した場合、第２制御処理部６８は、ユーザインターフェース部６２に対して、第２制御処理の処理終了を通知する（Ｓ９７）。続いて、ユーザインターフェース部６２は、第２制御処理の処理終了を受信する（Ｓ９８）。続いて、ユーザインターフェース部６２は、第２制御処理の処理結果をユーザに通知する（Ｓ９９）。

以上のように、第２変形例では、それぞれのプロセスにおいて、情報処理装置１２のプロセッサは、モジュール処理の開始時にプロセスが受け付けた処理要求の内容を動作ログに記録する。

図８は、第２変形例に係る対象モジュール処理の種類の特定処理の流れを示すフローチャートである。情報処理装置１２のプロセス実行部６０が、図７に示す流れで処理を実行する場合、監視部４０は、図８に示す流れで処理を実行することにより対象モジュール処理の種類を特定する。

まず、Ｓ１０１において、監視部４０は、対象動作ログのファイルをオープンする。続いて、Ｓ１０２において、監視部４０は、対象動作ログのファイルから、１または複数の特定種類のモジュール処理のうちの何れかの特定種類のモジュール処理についての、処理要求の内容を最後に記録した箇所を探す。

続いて、Ｓ１０３において、監視部４０は、何れかの特定種類のモジュール処理についての処理要求の内容を最後に記録した箇所が検出できたか否かを判断する。監視部４０は、検出できなかった場合（Ｓ１０３のＮｏ）、処理をＳ１０４に進める。Ｓ１０４において、監視部４０は、対象モジュール処理の種類を、汎用種類と特定する。監視部４０は、Ｓ１０４の処理を終了すると、本フローを終了する。

監視部４０は、検出できた場合（Ｓ１０３のＹｅｓ）、処理をＳ１０５に進める。Ｓ１０５において、監視部４０は、検出した処理要求の内容の記述に基づき、１または複数の特定種類のモジュール処理のうちの何れかのモジュール処理が実行されたのかを判断する。例えば、情報処理装置１２は、処理要求の開始を受け付けるボタンまたはテキストボックスに付けられた識別子と、モジュール処理の種類とを対応付けたテーブルを記憶する対応情報メモリを備えてもよい。この場合、監視部４０は、処理要求の内容に記述されたボタンまたはテキストボックス等の識別子と、テーブルの記述とに基づき、対応モジュール処理の種類を特定する。監視部４０は、Ｓ１０５の処理を終了すると、本フローを終了する。

以上のように、監視部４０は、対象動作ログに記録された最後の処理要求の内容である最終要求情報を検出する。そして、監視部４０は、最終要求情報に対応するモジュール処理の種類が１または複数の特定種類の何れかである場合、対象モジュール処理の種類を、最終要求情報に対応するモジュール処理の種類と特定する。また、監視部４０は、最終要求情報に対応するモジュール処理の種類が１または複数の特定種類の何れでもない場合、対象モジュール処理の種類を、汎用種類と特定する。

これにより、監視部４０は、対象モジュール処理の種類が、１または複数の特定種類の何れであるのかを特定することができる。また、監視部４０は、対象モジュール処理の種類が、１または複数の特定種類の何れにも一致しない場合、対象モジュール処理の種類を汎用種類と特定することができる。

以上のように、本実施形態に係る情報処理装置１２は、モジュール処理の種類毎に、実行を許可するシステム操作が記述されたホワイトリストを記憶する。情報処理装置１２は、何れかのシステム操作が実行されたことを検出し、実行を検出したシステム操作を実行した対象プロセスを特定し、対象プロセスの処理内容の履歴を表す対象動作ログを特定し、対象動作ログを解析することにより対象モジュール処理の種類を特定する。そして、そして、情報処理装置１２は、対象モジュール処理の種類についてのホワイトリストに、実行を検出したシステム操作が含まれていない場合、異常情報を出力する。これにより、情報処理装置１２は、多数の種類のモジュール処理を実行するようなプロセスであっても、異常を確実に検知することができる。

（ハードウェア構成）
図９は、実施形態に係る情報処理装置１２のハードウェア構成の一例を示す図である。情報処理装置１２は、例えば図９に示すようなハードウェア構成のコンピュータにより実現される。情報処理装置１２は、ＣＰＵ（Central Processing Unit）３０１と、ＲＡＭ（Random Access Memory）３０２と、ＲＯＭ（Read Only Memory）３０３と、操作入力装置３０４と、表示装置３０５と、記憶装置３０６と、通信装置３０７とを備える。そして、これらの各部は、バスにより接続される。

ＣＰＵ３０１は、プログラムに従って演算処理および制御処理等を実行するプロセッサである。ＣＰＵ３０１は、ＲＡＭ３０２の所定領域を作業領域として、ＲＯＭ３０３および記憶装置３０６等に記憶されたプログラムとの協働により各種処理を実行する。

ＲＡＭ３０２は、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）等のメモリである。ＲＡＭ３０２は、ＣＰＵ３０１の作業領域として機能する。ＲＯＭ３０３は、プログラムおよび各種情報を書き換え不可能に記憶するメモリである。

操作入力装置３０４は、マウスおよびキーボード等の入力デバイスである。操作入力装置３０４は、ユーザから操作入力された情報を指示信号として受け付け、指示信号をＣＰＵ３０１に出力する。

表示装置３０５は、ＬＣＤ（Liquid Crystal Display）等の表示デバイスである。表示装置３０５は、ＣＰＵ３０１からの表示信号に基づいて、各種情報を表示する。

記憶装置３０６は、フラッシュメモリ等の半導体による記憶媒体、または、磁気的若しくは光学的に記録可能な記憶媒体等にデータを書き込みおよび読み出しをする装置である。記憶装置３０６は、ＣＰＵ３０１からの制御に応じて、記憶媒体にデータの書き込みおよび読み出しをする。通信装置３０７は、ＣＰＵ３０１からの制御に応じて外部の機器とネットワークを介して通信する。

コンピュータで実行される監視プログラムは、操作検出モジュールと、プロセス特定モジュールと、ログ特定モジュールと、種類特定モジュールと、比較モジュールと、出力モジュールとを含むモジュール構成となっている。このプログラムは、ＣＰＵ３０１（プロセッサ）によりＲＡＭ３０２上に展開して実行されることにより、コンピュータを操作検出部４２、プロセス特定部４４、ログ特定部４６、種類特定部４８、比較部５０および出力部５２として機能させる。また、ＲＡＭ３０２および記憶装置３０６は、ログ記憶部３２およびリスト記憶部３４として機能する。

また、コンピュータで実行されるプログラムは、コンピュータにインストール可能な形式または実行可能な形式のファイルで、ＣＤ－ＲＯＭ、フレキシブルディスク、ＣＤ－Ｒ、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録されて提供される。

また、このプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、このプログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。また、情報処理装置１２で実行されるプログラムを、ＲＯＭ３０３等に予め組み込んで提供するように構成してもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１０ 情報処理システム
１２ 情報処理装置
１４ コントローラ
１６ 対象装置
１８ ネットワーク
３２ ログ記憶部
３４ リスト記憶部
４０ 監視部
４２ 操作検出部
４４ プロセス特定部
４６ ログ特定部
４８ 種類特定部
５０ 比較部
５２ 出力部
６０ プロセス実行部
６２ ユーザインターフェース部
６４ ログ出力部
６６ 第１制御処理部
６８ 第２制御処理部

Claims (10)

1. モジュール処理の種類毎に、実行を許可するシステム操作が記述されたホワイトリストを記憶するリスト記憶部と、
   プロセッサと、
   を備え、
   前記プロセッサは、
   何れかの前記システム操作が実行されたことを検出する操作検出部と、
   実行を検出した前記システム操作を実行したプロセスである対象プロセスを特定するプロセス特定部と、
   前記対象プロセスの処理内容の履歴を表す動作ログである対象動作ログを特定するログ特定部と、
   前記対象動作ログを解析することにより、実行を検出した前記システム操作を実行した前記モジュール処理である対象モジュール処理の種類を特定する種類特定部と、
   前記対象モジュール処理の種類についての前記ホワイトリストに、実行を検出した前記システム操作が含まれていない場合、異常が発生したことを示す異常情報を出力する出力部と
   して機能する情報処理装置。
2. 前記操作検出部は、予め定められた前記システム操作である特定システム操作が実行されたことを検出し、および、実行を検出した前記特定システム操作による処理対象を特定し、
   前記ホワイトリストは、実行を許可する前記システム操作と、前記システム操作を許可する処理対象との組が記述され、
   前記出力部は、前記対象モジュール処理の種類についての前記ホワイトリストに、実行を検出した前記システム操作と特定された処理対象との組が含まれていない場合、前記異常情報を出力する
   請求項１に記載の情報処理装置。
3. 前記プロセッサは、オペレーティングシステムを実行し、前記オペレーティングシステムの管理下でアプリケーションプログラムを実行し、
   前記プロセスは、実行中の前記アプリケーションプログラムによる処理であり、
   前記モジュール処理は、前記オペレーティングシステムに管理されているプログラム部品による処理であり、
   前記システム操作は、前記プロセスにおいて前記オペレーティングシステムに組み込まれている機能を呼び出して処理を実行させる操作である
   請求項１または２に記載の情報処理装置。
4. 前記リスト記憶部は、前記アプリケーションプログラム毎且つ前記モジュール処理の種類毎に、前記ホワイトリストを記憶し、
   前記出力部は、前記対象プロセスに対応する前記アプリケーションプログラムの前記対象モジュール処理の種類についての前記ホワイトリストに、実行を検出した前記システム操作が含まれていない場合、前記異常情報を出力する
   請求項３に記載の情報処理装置。
5. 前記リスト記憶部は、予め定められた１または複数の特定種類の前記モジュール処理のそれぞれについての前記ホワイトリスト、および、汎用種類についての前記ホワイトリストを記憶し、
   前記汎用種類は、前記１または複数の特定種類に含まれない全ての種類を統一して表す種類であり、
   前記種類特定部は、前記対象モジュール処理の種類が、前記１または複数の特定種類の何れにも一致しない場合、前記対象モジュール処理の種類を前記汎用種類と特定する
   請求項４に記載の情報処理装置。
6. 前記プロセスにおいて、前記プロセッサは、
   前記モジュール処理の開始時に、前記モジュール処理の種類および前記モジュール処理を開始したことを示す開始情報を前記動作ログに記録し、
   前記モジュール処理の終了時に、前記モジュール処理の種類および前記モジュール処理を終了したことを示す終了情報を前記動作ログに記録し、
   前記種類特定部は、
   前記対象動作ログに記録された最後の前記開始情報である最終開始情報を検出し、
   前記最終開始情報に対応する前記モジュール処理の種類が前記１または複数の特定種類の何れかであり、且つ、前記最終開始情報の後に前記最終開始情報に対応する前記モジュール処理の前記終了情報が存在しない場合、前記対象モジュール処理の種類を、前記最終開始情報に対応する前記モジュール処理の種類と特定し、
   前記最終開始情報に対応する前記モジュール処理の種類が前記１または複数の特定種類の何れでもない場合、または、前記最終開始情報の後に前記最終開始情報に対応する前記モジュール処理の前記終了情報が存在する場合、前記対象モジュール処理の種類を、前記汎用種類と特定する
   請求項５に記載の情報処理装置。
7. 前記プロセスにおいて、前記プロセッサは、前記モジュール処理の開始時に前記モジュール処理の種類および前記モジュール処理を開始したことを示す開始情報を前記動作ログに記録し、
   前記種類特定部は、
   前記対象動作ログに記録された最後の前記開始情報である最終開始情報を検出し、
   前記最終開始情報に対応する前記モジュール処理の種類が前記１または複数の特定種類の何れかである場合、前記対象モジュール処理の種類を、前記最終開始情報に対応する前記モジュール処理の種類と特定し、
   前記最終開始情報に対応する前記モジュール処理の種類が前記１または複数の特定種類の何れでもない場合、前記対象モジュール処理の種類を、前記汎用種類と特定する
   請求項５に記載の情報処理装置。
8. 前記プロセスにおいて、前記プロセッサは、前記モジュール処理の開始時に前記プロセスが受け付けた処理要求の内容を前記動作ログに記録し、
   前記種類特定部は、
   前記対象動作ログに記録された最後の前記処理要求の内容である最終要求情報を検出し、
   前記最終要求情報に対応する前記モジュール処理の種類が前記１または複数の特定種類の何れかである場合、前記対象モジュール処理の種類を、前記最終要求情報に対応する前記モジュール処理の種類と特定し、
   前記最終要求情報に対応する前記モジュール処理の種類が前記１または複数の特定種類の何れでもない場合、前記対象モジュール処理の種類を、前記汎用種類と特定する
   請求項５に記載の情報処理装置。
9. モジュール処理の種類毎に、実行を許可するシステム操作が記述されたホワイトリストを記憶するリスト記憶部と、
   プロセッサと、
   を備える情報処理装置において実行され、前記プロセッサを監視装置として機能させるためのプログラムであって、
   前記プロセッサを、
   何れかの前記システム操作が実行されたことを検出する操作検出部と、
   実行を検出した前記システム操作を実行したプロセスである対象プロセスを特定するプロセス特定部と、
   前記対象プロセスの処理内容の履歴を表す動作ログである対象動作ログを特定するログ特定部と、
   前記対象動作ログを解析することにより、実行を検出した前記システム操作を実行した前記モジュール処理である対象モジュール処理の種類を特定する種類特定部と、
   前記対象モジュール処理の種類についての前記ホワイトリストに、実行を検出した前記システム操作が含まれていない場合、異常が発生したことを示す異常情報を出力する出力部と
   して機能させるプログラム。
10. 情報処理装置と、
    １個または複数個の対象装置と、
    前記情報処理装置からの指示に応じて前記１個または複数個の対象装置を制御するコントローラと、
    を備える情報処理システムであって、
    前記情報処理装置は、
    モジュール処理の種類毎に、実行を許可するシステム操作が記述されたホワイトリストを記憶するリスト記憶部と、
    プロセッサと、
    を備え、
    前記プロセッサは、
    何れかの前記システム操作が実行されたことを検出する操作検出部と、
    実行を検出した前記システム操作を実行したプロセスである対象プロセスを特定するプロセス特定部と、
    前記対象プロセスの処理内容の履歴を表す動作ログである対象動作ログを特定するログ特定部と、
    前記対象動作ログを解析することにより、実行を検出した前記システム操作を実行した前記モジュール処理である対象モジュール処理の種類を特定する種類特定部と、
    前記対象モジュール処理の種類についての前記ホワイトリストに、実行を検出した前記システム操作が含まれていない場合、異常が発生したことを示す異常情報を出力する出力部と
    して機能する情報処理システム。

Images