JP7446142B2 - サイバーセキュリティ監査システム - Google Patents

Description

本願は、サイバーセキュリティ監査システムに関する。

例えば、電力システムなどにおいては、各種設備の健全性を確保するために、保守作業が適正に行われているかどうかを常に監査する必要がある。このような監査においては、業務手順が正しく行われているかを確認すること以外に、監査ログに記録されたエラーについて、何故そのようなエラーが発生したか、エラーの発生に問題があるのか、あるいは無いのかを確認する必要がある。

サイバーセキュリティの観点では、監査において、実施すべき作業が作業手順に沿って実施されているか否かを確認するだけではなく、エラーの発生原因についても、そのエラーが不正な行為の実行結果として発生しているのか否かを調査することが必要となる。

しかし、エラーは必ずしも不正な行為の結果として発生するだけではない。例えば、タイプミスにより存在しないコマンドを実行しようとした結果として発生することがある。あるいは、特定のディレクトリ下のファイルの全てに対してファイル情報を得るコマンドを実行する場合には、アクセス権が無いサブディレクトリについてコマンドがエラーになることがある。さらに、作業の途中で、作業には必須ではないディレクトリ情報を操作するコマンドを実行したり、実行中のプロセスを確認することがあり、その際には、コマンドの引数の指定ミスなどでエラーを発生することがある。

監査ログにこれらのエラーが見つかった場合、上記のように、必ずしも悪意のある操作の結果としてエラーが発生する訳ではない。したがって、このような各種のエラーが発見された場合、従来は、監査人がログを手動で調査して前後の作業状況を確認してエラーの内容を判断したり、関係者にヒアリングして確認したりするなどの手間と時間を要し、監査の効率が悪かった。

従来技術として、業務の承認にパターンがあることに着目し、承認処理の順番等の情報に基づいてログを収集して順番、処理時間等について検査する内容が提案されている（例えば、下記の特許文献１参照）。

特開２０１４－３８４７９号公報

しかしながら、特許文献１に開示された証跡情報監査システムでは、監査ログにおいてエラーが記録された場合、記録されたエラーについても、起こるべくして起こった軽微なエラーのか、単純なタイプミスに起因したエラーなのか、システム運営に支障を来すような重大なエラーなのか、といったエラーの重要度の観点からエラー発生の原因を確認することについては何ら言及されていない。

本願は、上記のような課題を解決するための技術を開示するものであり、プラント設備などの保守対象装置について、保守作業が正しく行われたかどうかの監査をエラー発生の是非を含めて効率的に実現することができるサイバーセキュリティ監査システムを提供することを目的とする。

本願に開示されるサイバーセキュリティ監査システムは、
検証環境の下で保守対象装置から出力される監査ログ、および警報装置から出力される警報ログを取り込んで保守作業の手順を定めた作業シナリオを生成する作業シナリオ生成装置、および本番環境の下で前記保守対象装置から出力される監査ログ、前記警報装置から出力される警報ログ、および前記作業シナリオ生成装置から出力される前記作業シナリオを取り込んで前記保守対象装置が前記作業シナリオに従った保守作業が実施できているかどうかを監査する作業監査装置を有し、
前記作業シナリオ生成装置は、
前記保守対象装置から前記検証環境の下で得られる前記監査ログを入力して監査ログデータを抽出する監査ログ入力部と、
前記警報装置から前記検証環境の下で得られる前記警報ログを入力して警報ログデータを抽出する警報ログ入力部と、
前記検証環境の下で得られた前記監査ログデータ、前記警報ログデータ、および前記保守対象装置に対する保守作業の開始日時ならびに終了日時に基づいて監査対象データを抽出する監査対象抽出部と、
前記監査対象データおよび保守作業に対して付された作業名に基づいて、前記監査ログに記録されたエラーを参照し、このエラーに関する情報も含めた作業プロファイルを生成する作業プロファイル生成部と、
前記作業プロファイルを時系列にまとめた作業シナリオを生成する作業シナリオ生成部と、を備え、
前記作業監査装置は、
前記保守対象装置から前記本番環境の下で得られる監査ログを入力して監査ログデータを抽出する監査ログ入力部と、
前記警報装置から前記本番環境の下で得られる警報ログを入力して警報ログデータを抽出する警報ログ入力部と、
前記作業シナリオ生成装置からの前記作業シナリオを入力して当該作業シナリオに含まれる作業プロファイルを抽出する作業シナリオ解析部と、
前記本番環境の下で得られた前記監査ログデータ、前記警報ログデータ、および前記保守対象装置に対する保守作業の開始日時および終了日時、ならびに前記作業プロファイルに基づいて、前記保守対象装置について、前記本番環境の下で前記作業シナリオに従った保守作業が実施できているかどうかを監査するとともに、エラーが発生していた場合にはそのエラーの是非を含めて監査する監査実行部と、前記監査実行部が生成した監査結果を出力する監査結果生成部と、を備える。

本願に開示されるサイバーセキュリティ監査システムによれば、プラント設備などの保守対象装置について、保守作業が正しく行われたかどうかの監査をエラー発生の是非を含めて効率的に実現することができる。

本願のサイバーセキュリティ監査システムにおける作業シナリオ生成装置の構成を示すブロック図である。 本願のサイバーセキュリティ監査システムにおける作業監査装置の構成を示すブロック図である。 図１の構成の作業シナリオ生成装置と図２の構成の作業監査装置の関係を示す説明図である。 図１の作業シナリオ生成装置の作業プロファイル生成部における処理手順を示すフローチャートである。 本願のエラータイプ判定情報の一例を示す説明図である。 図２の作業監査装置における監査実行部における処理手順を示すフローチャートである。

実施の形態１．
この実施の形態１では、プラント設備などの各種の保守対象となる装置(以下、保守対象装置という)についての健全性を担保するために保守作業を行う場合を一例として説明する。ただし、本願は、このような保守作業に限定されるものではなく、事前に装置に対する作業の検証（例：動作確認、テスト）を行ってから、本番の環境下で装置への作業を実施するような場合にも適用可能である。

なお、以降、保守対象装置を作業手順に従って実際に運用して保守作業を行う状況を本番環境と、また本番環境で保守を行う前に保守対象装置に対して動作の事前確認を行う状況を検証環境と称する。

保守作業では、保守対象装置に対して、検証環境の下で保守作業の事前確認を行った後に、本番環境の下で実際の保守作業を行う。保守対象装置は、同機種、同機能を備えたリファレンス装置であったり、本番環境の装置を一旦回収して検証環境に設置したりする場合がある。

保守対象装置に対する保守作業の具体例としては、ソフトウェアの更新、設定の変更などがある。その際、作業者は、検証環境において、保守対象装置に対して、作業手順書に従ってソフトウェアの更新を行う。その場合、手作業でコマンドを実行することもあれば、バッチファイルを使用して自動的に更新するなどの方法も採用される。

検証環境において、保守対象装置は、処理の実行結果を監査ログとして出力する。この監査ログは、ＯＳ（Ｏｐｅrａｔｉｎｇ Ｓｙｓｔｅｍ）が実装している場合、あるいはアプリケーションが実装している場合がある。また、この監査ログには、処理が実行されたタイミングを示すタイムスタンプ、実行したコマンド、ファイル等の処理対象の情報、実行したプログラムの情報、実行したユーザ名、および処理の結果（成功／失敗）等の情報が記録される。さらに、この監査ログには、それ以外に作業に伴うログイン、ログアウト等の一連の処理も記録される。つまり、何時、誰が、どのような処理を行い、その処理のプロセス、およびその処理によってどのような結果が得られたのかが記録される。監査ログによっては、ＯＳが自動的に実行した処理、ならびにエラー情報等が記録されることもある。

保守対象装置を用いる環境では、保守対象装置の動作を監視して、異常があれば警報を発する警報装置を備えることがある。本願では、このような警報装置を備えることを前提としており、保守対象装置に異常がある場合、警報装置は、警報ログを出力する。この警報ログにおいては、異常を検知したタイミングを示すタイムスタンプ、異常が発生した装置の情報、異常の内容などが記録される。

このような前提の下、本願のサイバーセキュリティ監査システムの構成について、次に説明する。

本願のサイバーセキュリティ監査システムは、検証環境において保守対象装置８から出力される監査ログＬ１１、および警報装置９から出力される警報ログＬ２１を取り込んで作業手順を定めた作業シナリオＳｃを生成する作業シナリオ生成装置１、および本番環境において保守対象装置８から出力される監査ログＬ１２、警報装置９から出力される警報ログＬ２２、および作業シナリオ生成装置１から出力される作業シナリオＳｃを取り込んで保守対象装置８に対して作業シナリオＳｃに従った保守作業が実施できているかどうかを監査するとともに、エラーが発生していた場合にはそのエラーの是非を含めて監査する作業監査装置２を備えている。

図１は、本願の実施の形態１のサイバーセキュリティ監査システムにおける作業シナリオ生成装置の構成を示すブロック図である。

作業シナリオ生成装置１は、監査ログ入力部１１、監査対象抽出部１２、作業プロファイル生成部１３、作業シナリオ生成部１４、警報ログ入力部１５、およびエラータイプ判定部１６で構成されている。

監査ログ入力部１１は、検証環境の下で保守対象装置８より出力される監査ログＬ１１からログの内容を抽出し、監査ログデータＤ１１として監査対象抽出部１２へ出力する。

警報ログ入力部１５は、検証環境の下で警報装置９より出力される警報ログＬ２１からログの内容を抽出し、警報ログデータＤ２１として監査対象抽出部１２へ出力する。

監査対象抽出部１２は、監査ログデータＤ１１および警報ログデータＤ２１について、保守対象装置８に対する保守作業の開始日時Ｔｓ１から終了日時Ｔｅ１までの期間に含まれるログの内容である監査対象データＤ３を抽出し、作業プロファイル生成部１３へ出力する。

作業プロファイル生成部１３は、保守作業に対して付された作業名ｉ、および監査対象抽出部１２で得られた監査対象データＤ３に基づいて、作業プロファイルＰｉを生成し、これを作業シナリオ生成部１４へ出力する。

この場合の作業プロファイルＰｉは、作業名ｉごとに、対応する開始日時Ｔｓ１から終了日時Ｔｅ１までの期間内の監査対象データＤ３に基づいて生成される。そのため、作業名ｉ、開始日時Ｔｓ１、および終了日時Ｔｅ１が順次入力された場合は、各々に対応する作業プロファイルＰｉが生成される。

このとき、監査対象データＤ３にエラーの記録がある場合、そのエラーが起き易いエラーか、必然的に起きるべくして起きたエラーか、といったエラータイプについて、エラータイプ判定部１６にエラーが発生した要因となるコマンド情報Ｄｃｏを出力し、これに応じてエラータイプ判定部１６から出力されるエラータイプＥｔｐの情報を入力する。このエラータイプＥｔｐは、作業プロファイル生成部１３が生成する作業プロファイルＰｉに反映される。

作業シナリオ生成部１４は、作業プロファイル生成部１３で生成される作業プロファイルＰｉを時系列にまとめた作業シナリオＳｃを生成し、作業シナリオ生成装置１の外部へ出力する。したがって、この場合の作業シナリオＳｃは、作業手順に沿った全ての作業プロファイルＰｉを含む。

図２は本願のサイバーセキュリティ監査システムにおける作業監査装置の構成を示すブロック図である。

作業監査装置２は、監査ログ入力部２１、警報ログ入力部２２、作業シナリオ解析部２３、監査実行部２４、および監査結果生成部２５で構成されている。

監査ログ入力部２１は、本番環境の下で保守対象装置８より出力される監査ログＬ１２からログの内容を抽出し、監査ログデータＤ１２として監査実行部２４へ出力する。

警報ログ入力部２２は、本番環境の下で警報装置９より出力される警報ログＬ２２からログの内容を抽出し、警報ログデータＤ２２として監査実行部２４へ出力する。

作業シナリオ解析部２３は、作業シナリオ生成装置１で得られた作業シナリオＳｃを入力し、この作業シナリオＳｃに含まれる作業プロファイルＰｉを抽出する。そして、この作業プロファイルＰｉを監査実行部２４へ出力する。

監査実行部２４は、監査ログデータＤ１２、警報ログデータＤ２２、作業プロファイルＰｉ、開始日時Ｔｓ２、および終了日時Ｔｅ２を入力とし、本番環境の下で作業シナリオに従った保守作業が実施できているかどうかを監査するとともに、エラーが発生していた場合にはそのエラーの是非を含めて監査する。

すなわち、監査実行部２４は、本番環境の下で得られる監査ログデータＤ１２および警報ログデータＤ２２に対する保守作業の開始日時Ｔｓ２から終了日時Ｔｅ２までの期間に含まれるログの内容を抽出し、作業プロファイルＰｉを参照して、監査を実行する。その結果、異常があった場合は、その異常内容を知らせるメッセージをアラートＡｒに含めて、監査結果生成部２５に出力する。また、異常がない場合は、異常発生のメッセージを含まないアラートＡｒを、監査結果生成部２５に出力する。

監査結果生成部２５は、監査実行部２４で得られるアラートＡｒから監査結果を生成して作業監査装置２の外部に出力する。したがって、この監査結果は、作業シナリオＳｃに基づいた作業が行われた際に問題があったか否かを、開始日時Ｔｓ２から終了日時Ｔｅ２の期間の監査ログＬ１２、および警報ログＬ２２に基づいて監査した結果を示すものである。

図３は、作業シナリオ生成装置１と作業監査装置２の相互の関係を示す説明図である。
検証環境において、保守対象装置８と警報装置９がＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）で接続される。保守対象装置８は、自身において実行されたコマンド、プログラム、操作、エラーなどの履歴を監査ログＬ１１として出力する。また、警報装置９は、保守対象装置８の特定の異常を検知して警報ログＬ２１を出力する。

作業者Ｍｏは、予め用意された作業手順書を参照して、保守対象装置８に対して保守作業を行う。この作業は、作業者Ｍｏが、保守対象装置８に備え付けられたキーボード、あるいはマウスなどの入力インタフェースを操作して実施する。この時、作業者Ｍｏは、作業の実施に合わせて、作業名ｉ、開始日時Ｔｓ１、および終了日時Ｔｅ１の情報を作業シナリオ生成装置１に入力する。

ここに、上記の作業名ｉは、１つの作業単位について付与された名称であり、例えば、「更新ファイルのインストール」、「ネットワーク設定の変更」、「アプリケーションの動作確認」等の作業単位である。これらの作業単位には、その作業に必要なコマンド実行、ファイル操作、設定変更、サービスの停止、再起動、ＯＳの再起動などのシステムの操作、ならびにアプリケーションの操作が含まれる。

そして、作業名ｉで識別される作業を開始する直前に、作業名ｉおよび開始日時Ｔｓ１を作業シナリオ生成装置１に入力する。その後、その作業名ｉに該当する作業が終了した時点で、終了日時Ｔｅ１を作業シナリオ生成装置１に入力する。

この作業の結果、保守対象装置８からは監査ログＬ１１が、また警報装置９からは警報ログＬ２１がそれぞれ出力され、作業シナリオ生成装置１に送られる。作業シナリオ生成装置１は、作業名ｉ、開始日時Ｔｓ１、および終了日時Ｔｅ１の情報、ならびに監査ログＬ１１および警報ログＬ２１の入力に基づいて作業シナリオＳｃを作成して出力する。このようにして作成される作業シナリオＳｃの詳細な内容については後述する。

なお、作業シナリオ生成装置１に対する監査ログＬ１１および警報ログＬ２１の入力方法としては、例えば、作業者Ｍｏが、これらのログを作業シナリオ生成装置１へのファイル読み込みとして実施したり、あるいは、作業シナリオ生成装置１へネットワーク経由で入力することができる。前者の場合は、作業シナリオ生成装置１における監査ログ入力部１１および警報ログ入力部１５は、ファイル読み込みの機能を持つ。また、後者の場合は、作業シナリオ生成装置１における監査ログ入力部１１および警報ログ入力部１５は、ネットワーク経由でこれらのログを受信する機能を持つ。

一方、本番環境においては、保守対象装置８と警報装置９がＬＡＮで接続される。作業者Ｍｏは、作業手順書に従い、保守対象装置８に対して保守の作業を実施する。その結果は、保守対象装置８に関する監査ログＬ１２として記録される。また、警報装置９は、作業における警報を警報ログＬ２２として記録する。

監査人Ｍｉは、作業監査装置２に対して、本番環境の下で保守対象装置８から得られた監査ログＬ１２、および警報装置９から得られた警報ログＬ２２、ならびに、先の検証環境の下で作業シナリオ生成装置１で得られた作業シナリオＳｃをそれぞれ入力するように指示する。さらに、監査人Ｍｉは、作業監査装置２に対して、作業者Ｍｏが本番環境の下で保守対象装置８に対して保守の作業を開始した開始日時Ｔｓ２および終了した終了日時Ｔｅ２を入力する。

作業監査装置２は、保守作業の開始日時Ｔｓ２、終了日時Ｔｅ２の情報、監査ログＬ１２、警報ログＬ２２、および作業シナリオＳｃの情報を用いて、作業者Ｍｏの作業内容を監査し、その監査結果を出力する。このようにして作成される監査結果の詳細な内容については後述する。

なお、本番環境での監査の開始日時Ｔｓ２および終了日時Ｔｅ２は、監査実行部２４の図示しない画面インタフェースによる日付を指定しての入力機能により、作業監査装置２に入力される。また、作業シナリオＳｃは、作業シナリオ解析部２３におけるファイル入力機能により作業監査装置２に入力される。また、監査ログＬ１２、および警報ログＬ２２の入力方法としては、例えば、監査人Ｍｉが、これらのログを作業監査装置２へのファイル読み込みとして実施したり、あるいは、作業監査装置２へネットワーク経由で入力することができる。前者の場合は、作業監査装置２における監査ログ入力部２１、および警報ログ入力部２２は、ファイル読み込みの機能を持つ。また、後者の場合は、作業監査装置２における監査ログ入力部２１、および警報ログ入力部２２は、ネットワーク経由で、監査ログＬ１２、および警報ログＬ２２を受信する機能を持つ。

次に、検証環境において作業者Ｍｏによる作業シナリオ生成装置１を用いた操作手順について説明する。

手順（１）作業者Ｍｏは、作業シナリオ生成装置１に作業名ｉ、作業名ｉの開始日時Ｔｓ１を手動で入力する。
手順（２）作業者Ｍｏは、作業手順書に従って作業名ｉに該当する保守作業を、装置に対して実施する。保守作業とは、例えば、保守対象装置にソフトウェアアップデート用のファイルを保存し、サービスを再起動して動作を確認するといった内容である。
手順（３）作業者Ｍｏは、保守作業が終了すると、作業シナリオ生成装置１に対して作業名ｉの終了日時Ｔｅ１を手動で入力する。
手順（４）また、作業シナリオ生成装置１は、保守対象装置８が出力する監査ログＬ１１を入力する。
手順（５）また、作業シナリオ生成装置１は、検証環境で警報装置が出力した警報ログＬ２１を入力する。
手順（６）さらに、作業シナリオ生成装置１は、上記（１）、（３）の情報から作業名ｉに対応する保守作業を実施した期間を特定し、その期間の監査ログＬ１１と警報ログＬ２１から、作業プロファイルＰｉを生成する。この作業プロファイルＰｉの作成処理については後に詳述する。
手順（７）上記の手順（１）～（６）および処理を作業名ｉに対応して繰り返して、各々の作業名ｉに対応した作業プロファイルＰｉを生成する。
手順（８）続いて、作業シナリオ生成装置１は、上記手順（７）で得られた作業プロファイルＰｉから作業シナリオＳｃを生成して外部に出力する。

次に、上記の手順（６）において、作業プロファイルＰｉを生成する場合の各部の処理動作について説明する。

監査ログ入力部１１は、監査ログＬ１１を入力し、記録されているログデータを監査ログデータＤ１１として抽出する。監査ログデータＤ１１は具体的には、例えばログの記録１行１行のまとまりであって、後述のコマンド情報Ｄｃｏが含まれている。

警報ログ入力部１５は、警報ログＬ２１を入力し、記録されているログデータを警報ログデータＤ２１として抽出する。警報ログデータＤ２１は具体的には、例えばログの記録１行１行のまとまりである。

監査対象抽出部１２は、開始日時Ｔｓ１、終了日時Ｔｅ１、監査ログデータＤ１１、警報ログデータＤ２１を入力する。そして、開始日時Ｔｓ１から終了日時Ｔｅ１までの期間（Ｔｓ１～Ｔｅ１）の監査ログＬ１１のエントリを、監査ログデータＤ１１から抽出する。同様に、監査対象抽出部１２は、開始日時Ｔｓ１から終了日時Ｔｅ１までの期間（Ｔｓ１～Ｔｅ１）の警報ログＬ２１のエントリを、警報ログデータＤ２１から抽出する。そして、監査対象抽出部１２は、抽出した、監査ログＬ１１のエントリと、警報ログＬ２１のエントリを、監査対象データＤ３として、作業プロファイル生成部１３へ出力する。

次に、作業プロファイル生成部１３が作業プロファイルＰｉを生成するにあたり、その前に監査対象抽出部１２で抽出された監査対象データＤ３に対して作業プロファイル生成部１３およびエラータイプ判定部１６が行う処理内容について、図４に示すフローチャートを用いて説明する。

作業プロファイル生成部１３は、監査対象データＤ３に含まれる監査ログＬ１１のエントリから、ある作業者Ｍｏについて、その対となるログインとログアウトの記録から、作業者Ｍｏの名前（以下、ユーザ名という）を特定する。例えば、図４には明示していないが、ユーザ名として、例えばｕｓｅｒ＿ｈｏｓｙｕが特定されたとする。

作業プロファイル生成部１３は、監査ログデータＤ１１から、ユーザ名ｕｓｅｒ＿ｈｏｓｙｕにより実行されたコマンド／プログラム、アクセスしたファイル等、実行結果（成功／失敗）を抽出する。この処理は、図４において、ユーザ名ｕｓｅｒ＿ｈｏｓｙｕによる実行の抽出を行う（ステップＳ４０１）。抽出できた場合は、ステップＳ４０３へ進み、抽出できなかった場合は処理を終る（ステップＳ４０２）。

次に、ユーザ名ｕｓｅｒ＿ｈｏｓｙｕにより実行された、コマンド／プログラムの実行の記録と、引数等のコマンド／プログラムが対象とした情報を抽出する（ステップＳ４０３）。

抽出できた場合は、ステップＳ４０５へ進み、抽出できなかった場合はステップＳ４０７へ進む（ステップＳ４０４）。ステップＳ４０５では、コマンド／プログラムの実行の記録において、その結果がエラーであるかを確認し、エラーが含まれている場合は、ステップＳ４０６へ進み、含まれない場合はステップＳ４０７へ進む。

ステップＳ４０６では、エラータイプ判定部１６により、エラータイプＥｔｐを判定する。エラータイプとは、そのコマンドを実行した場合に、タイプミスなどの人的な作業ミスによってエラーを起こし易いかどうかを示す情報である。なお、エラータイプ判定部１６によるエラータイプの判定処理の具体的な内容については後に詳述する。

ステップＳ４０７では、警報ログデータＤ２１があるかどうかを確認し、ある場合はステップＳ４０８へ進み、無い場合は処理を終る（ステップＳ４０７）。ステップＳ４０８では、保守対象装置８の健全性を維持できない場合は、「起こる警報」として判定する。

エラータイプ判定部１６は、作業プロファイル生成部１３から、コマンドの情報をコマンド情報Ｄｃｏとして入力する。このコマンド情報Ｄｃｏは、監査ログデータＤ１１の内部に記録されている。

上記のコマンド情報Ｄｃｏは、コマンド名、エラー情報、コマンドの引数（例：ファイルパス）、コンソールから打ち込んだ（手打ち）、ネットワーク経由で打ち込んだ（リモート接続）、他のプログラムから起動されたか（例：バッチにて起動）の実行方法である。

エラータイプ判定部１６は、コマンド情報Ｄｃｏについて、内部に保持しているエラータイプ判定情報（図５）を参照して、エラーの種類を判定し、エラータイプＥｔｐとして作業プロファイル生成部１３に出力する。

ここに、エラータイプ判定部１６が内部に保持しているエラータイプ判定情報としては、例えば、図５に示すような情報がある。

すなわち、エラータイプ１に対応するコマンドαは、そのコマンド名が、キーボードによりタイプミスを起こし易いものであり、タイプミスあるいは呼び出し時に引数指定などで誤りを起こし易いという情報である。そして、このコマンドαを実行したとしてもシステムに影響を与えないものとして登録されている。例えば、ファイルをリスト表示するリストコマンドがある。

エラータイプ２に対応するコマンドβは、タイプミスおよび呼び出し誤りを起こしにくく、コマンド実行によるシステムへの影響を与えないものとして登録されている。例えば、システム情報の表示コマンドがある。

また、エラータイプ３に対応するコマンドγは、タイプミスを起こしにくいが、呼び出し誤りを起こし易く、コマンド実行によるシステムへ影響を与えるものとして登録されている。例えば、ファイルの移動コマンドがある。

エラータイプ判定部１６へのこれらのエラータイプ判定情報の登録は、作業シナリオ生成装置１の管理者により、経験、もしくは検証環境で過去に同様の検証を行った知見に基づき、登録される。また、コマンドごとの、一般的な打ち間違え易さの統計データが公開されていれば、そのデータに基づいて登録してもよい。

なお、エラータイプ判定部１６には、図５に示したようなエラータイプ判定情報を必ずしも予め登録しておく必要性はなく、下記のようなエラータイプ判定基準に基づいてエラータイプＥｔｐを判定し、このエラータイプＥｔｐの情報を作業プロファイル生成部１３に出力するようにしてもよい。

この点につき、次に説明する。
（１）第１のエラータイプＥｔｐ１（起こり易いエラー）：
（ａ）実行方法から識別して手打ち入力であり、かつ、（ｂ）コマンド、またはプログラムを実行したエラー情報から識別して、コマンド実行の権限違反、コマンドが存在しない、あるいはファイルアクセス権限違反（ファイルの操作の場合）、もしくはファイルパスが存在しない場合（ファイルの操作の場合）には、タイプミスによる起こり易いエラー（第１のエラータイプＥｔｐ１）であるとして判定する。

または、（ｃ）ファイル名／パス名／コマンド名が存在するものと類似しているかどうか（すなわち、検証環境の保守対象装置について、ファイル名／パス名／コマンド名を予め情報として保持し、エラー情報と比較して、類似しているかどうか）を識別して、類似している場合には、タイプミスによる起こり易いエラー（第１のエラータイプＥｔｐ１）であるとして判定する。なお、類似の判断は、既存の文字列の類似判定技術により実施してもよい。

（２）第２のエラータイプＥｐｔ２（必然的に起こるべくして起こるエラー）：
（ａ）手打ち入力以外であり、かつ（ｂ）禁止コマンドあるいはアクセス禁止ファイルではない（明確に禁止されていない）場合には、エラーが発生することは妥当であり、必然的に起こるべくして起こるエラー（第２のエラータイプＥｔｐ２）であるとして判定する。なお、手打ち入力以外としては、手打ち入力して実行したバッチファイルの実行結果も含んでおり、このバッチファイルの場合、プロセスＩＤの親子関係でバッチファイルの結果実行されたコマンドを追跡することができる。

次に、作業プロファイル生成部１３による作業プロファイルＰｉの生成処理について説明する。

作業プロファイル生成部１３は、作業名ｉ、保守作業を実施したユーザ名、作業分析情報Ｉａ、および警報情報Ｉｋを時系列にまとめて作業プロファイルＰｉとして生成する。

ここに、上記の作業分析情報Ｉａは、次の情報が列挙される。
作業分析情報Ｉａ＝{作業名ｉの処理にかかった時間、コマンド名／プログラム名、コマンド／プログラムの引数（例：ファイルパス）、コンソールから打ち込んだかネットワーク経由で打ち込んだか、他のプログラムから起動されたかの入力（実行）方法、エラー内容、エラータイプＥｔｐ（エラーが発生した場合）}
また、上記の警報情報Ｉｋは、次の情報が列挙される。
警報情報Ｉｋ＝［警報内容、警報タイプ］。

そして、作業プロファイル生成部１３は、開始日時Ｔｓ１から終了日時Ｔｅ１までの間に実行されたコマンド、プログラム等の項目ごとに上記の作業分析情報Ｉａを生成して実施順に並べる。さらに、警報ログの内容を上記の警報情報Ｉｋの発生順に並べ、これらの情報全てを作業プロファイルＰｉとして生成する。

したがって、このように生成される作業プロファイルＰｉは、作業名ｉを実施する場合に、実行するコマンド、プログラム、およびその結果を時系列にまとめたものであり、本番環境で同じ作業を行った場合に、監査ログＬ１２および警報ログＬ２２にどのような内容の情報が記録されるかの基準となるリファレンス情報である。

保守対象装置８について複数の保守作業が必要となる場合、作業プロファイル生成部１３は、作業名ｉの数に対応する数の作業プロファイルＰｉを順次作成し、生成した作業プロファイルＰｉを作業シナリオ生成部１４に出力する。

例えば、作業名ｉがｉ＝１～４の４つの作業がある場合は、作業プロファイルＰｉも４つ生成される。そして、作業シナリオ生成部１４は、作業プロファイルＰｉを作業名ｉ＝１～４の順番に並べて全体を作業シナリオＳｃとして作業シナリオ生成装置１の外部へ出力する。

作業シナリオ生成部１４により作成される作業シナリオＳｃの具体的な一例を次に示す。なお、ここでは、説明を簡単にするために、作業名ｉはｉ＝１～４の４つあるとし、したがって、作業シナリオＳｃは、４つの作業プロファイルＰｉ（ｉ＝１～４）で構成される。また、ここでは各々の作業名ｉについて作業に要する時間を一律に３００秒とする。ただし、この値は作業名ｉごとに異なっていてもよい。

作業プロファイルＰ１：
作業名１、ユーザ名＝ｕｓｅｒ＿ｈｏｓｙｕ、作業分析情報Ｉａ＝｛３００秒、ｃｐ ｐＡｒｃｈ．ｚｉｐ， ｕｎｚｉｐ ｐＡｒｃｈ．ｚｉｐ，手打ち，｝、警報情報Ｉｋ＝［なし］
説明：ｐＡｒｃｈ．ｚｉｐを媒体等から装置にコピー（ｃｐ）し、解凍する（ｕｎｚｉｐ）。この実施には３００秒かかる。エラーは発生しない。警報は発生しない。

作業プロファイルＰ２：
作業名２、ユーザ名＝ｕｓｅｒ＿ｈｏｓｙｕ、作業分析情報Ｉａ＝｛３００秒、ｒｅｓｔａｒｔ ｓｅｒｖｉｃｅ＿ｘ、手打ち｝、警報情報Ｉｋ＝［作業対象の通信切断の警報、起こる警報］
説明：ｓｅｒｖｉｃｅ＿ｘを再起動（ｒｅｓｔａｒｔ）する。この実施には３００秒かかる。エラーは発生しない。ｒｅｓｔａｒｔの後に通信切断の警報が発生する。この警報は起こる警報であって、起こることが妥当な正しい警報である。

作業プロファイルＰ３：
作業名３、ユーザ名＝ｕｓｅｒ＿ｈｏｓｙｕ、作業分析情報Ｉａ＝｛３００秒、コマンドＸ ｘｘｘ．ｌｏｇ、手打ち、コマンドＸの実行でエラー、起こり易いエラー｝、警報情報Ｉｋ＝［なし］
説明：コマンドＸ ｘｘｘ．ｌｏｇを実行する（ｘｘｘ．ｌｏｇを引数としてコマンドＸを実行）。この実施には３００秒かかる。エラーが起こり易いコマンドである。警報は発生しない。

作業プロファイルＰ４：
作業名４、ｕｓｅｒ＿ｈｏｓｙｕ、作業分析情報Ｉａ＝｛３００秒、ｓａｇｙｏｕ．ｓｈ、手打ち、コマンドＹの実行でエラー、起こるエラー｝、警報情報Ｉｋ＝［なし］
説明：ｓａｇｙｏｕ．ｓｈを実行する。この実施には３００秒かかる。この時、ｓａｇｙｏｕ．ｓｈが呼び出すコマンドＹでエラーが発生する。また、起こるエラーは、発生することが妥当であり、必然的に起こるべくして起こるエラーであることを示している。警報は発生しない。

作業シナリオ生成装置１は、作業者Ｍｏが検証環境において作業シナリオＳｃを作成する上で必要となるＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）として、次のような操作手段を備えている。

（ａ）検証作業開始ボタン、および検証作業終了ボタン：
一連の検証作業の開始と終了を装置に伝える。作業名１～作業名４の４つの作業を実施する場合は、作業名１の開始時点で検証作業開始ボタンを押し、作業名４の終了時点で、検証作業終了ボタンを押す。
（ｂ）作業名入力テキストボックス：
作業名ｉを入力する。
（ｃ）開始日時入力ボタン：
押したときのタイムスタンプが装置に開始日時Ｔｓ１として入力する。
（ｄ）終了日時入力ボタン：
押したときのタイムスタンプが装置に終了日時Ｔｅ１として入力する。

次に、前述の一例として示した４つの作業プロファイルＰｉ（ｉ＝１～４）からなる作業シナリオＳｃを生成するために、作業者Ｍｏが検証環境において行う操作手順の具体例を以下に示す。

（１）作業者Ｍｏは、作業シナリオ生成装置１の検証作業開始ボタンを押す。
（２）作業者Ｍｏは、作業シナリオ生成装置１に作業名１を入力する。作業者Ｍｏは、開始日時入力ボタンを押して、開始日時１（例：２０２０／１／２０ １２：００：００）を入力する
（３）作業者Ｍｏは、保守対象装置８にユーザ名ｕｓｅｒ＿ｈｏｓｙでログインする。（４）作業者Ｍｏは、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリから装置にｐＡｒｃｈ．ｚｉｐをコピー（ｃｐ）する。次に、ｐＡｒｃｈ．ｚｉｐをｕｎｚｉｐで解凍する。これらは、開始日時１から３００秒後に行われる。
（５）作業者Ｍｏは、終了日時入力ボタンを押して、作業シナリオ生成装置１に終了日時１（例：２０２０／１／２０ １２：０５：００）を入力する。この結果、作業名１の作業にかかった時間は３００秒となる。
（６）作業者Ｍｏは、作業シナリオ生成装置１に作業名２を入力する。作業者Ｍｏは、開始日時入力ボタンを押して、開始日時２（例：２０２０／１／２０ １２：１０：００）を入力する。この例では、作業名２の作業を作業名１の作業の終了から５分後に実行している。
（７）作業者Ｍｏは、保守対象装置８においてｒｅｓｔａｒｔ ｓｅｒｖｉｃ＿ｘでｓｅｒｖｉｃｅ＿ｘを再起動する。
（８）ｒｅｓｔａｒｔ後、装置の通信が切断された警報が警報装置９において発生したとする。
（９）作業者Ｍｏは、終了日時入力ボタンを押して、作業シナリオ生成装置１に終了日時２（例：２０２０／１／２０ １２：１５：００）を入力する。この結果、作業名２の作業にかかった時間は３００秒となる。
（１０）作業者Ｍｏは、作業シナリオ生成装置１に作業名３を入力する。作業者Ｍｏは、開始日時入力ボタンを押して、開始日時３（例：２０２０／１／２０ １２：２０：００）を入力する。この例では、作業名３の作業を作業名２の作業の終了から５分後に実行している。
（１１）作業者Ｍｏは、保守対象装置８においてコマンドＸ ｘｘｘ．ｌｏｇを実行する（ｘｘｘ．ｌｏｇを引数としてコマンドＸを実行）。この時、タイプミスを行い、エラーが発生し、再度、正確にコマンドを入力して成功したとする。なお、このコマンドＸのエラーは、作業プロファイル生成部１３の処理により、そのエラーの記録から、「起こり易いエラー」として判断される。
（１２）作業者Ｍｏは、終了日時入力ボタンを押して、作業シナリオ生成装置１に終了日時３（例：２０２０／１／２０ １２：２５：００）を入力する。この結果、作業名３の作業にかかった時間は３００秒となる。
（１３）作業者Ｍｏは、作業シナリオ生成装置１に作業名ｉ＝４を入力する。作業者Ｍｏは、開始日時入力ボタンを押して、開始日時４（例：２０２０／１／２０ １２：３０：００）を入力する。この例では、作業名４の作業を作業名３の作業の終了から５分後に実行している。
（１４）作業者Ｍｏは、保守対象装置８においてｓａｇｙｏｕ．ｓｈを実行する。
（１５）ｓａｇｙｏｕ．ｓｈが呼び出したコマンドＹでエラーが発生したが、作業者Ｍｏは、作業を中断せずに作業を完了させた。なお、このコマンドＹのエラーは、作業プロファイル生成部１３の処理により、そのエラーの記録から、「起こるエラー」として判断される。
（１６）作業者Ｍｏは、装置からログアウトする（ｕｓｅｒ＿ｈｏｓｙｕのログアウト）。
（１７）作業者Ｍｏは、終了日時入力ボタンを押して、作業シナリオ生成装置１に終了日時４（例：２０２０／１／２０ １２：３５：００）を入力する。この結果、作業名４の作業にかかった時間は３００秒となる。
（１８）作業者Ｍｏは、検証作業終了ボタンを押す。

ここで、各開始日時、各終了日時は、作業者による作業の開始、終了のタイミングが反映され、作業の進捗によっては、作業開始あるいは終了を早めることもできるし、次の作業の準備を行うために、遅くなることもある。何れの場合でも、検証環境での各作業の所要時間が算出される。

次に、本番環境において、作業監査装置２を用いた保守対象装置８に対する保守作業の監査手順について説明する。

（１）作業者Ｍｏは、本番環境で保守対象装置８に対して作業手順書に従って保守作業を行う。ここで、作業者Ｍｏは、検証環境の作業者Ｍｏと同じ人物であってもよく、あるいは異なった者であってもよい。作業手順書は、検証環境で用いた内容のものを本番環境で使用する。作業手順は、検証環境と本番環境で同じである必要があるが、ドキュメントとしての体裁は異なっていてもよい。

（２）本番環境では、保守作業の結果、保守対象装置８から監査ログＬ１２が、また警報装置９からは警報ログＬ２２がそれぞれ出力される。

（３）監査人Ｍｉは、作業監査装置２に対して本番環境で出力された監査ログＬ１２および警報ログＬ２２の入力を許可する。

ここに、監査ログＬ１２は、作業監査装置２における監査ログ入力部２１に入力される。これに応じて、監査ログ入力部２１は、監査ログＬ１２から監査ログのエントリを抽出し、監査ログデータＤ１２として監査実行部２４へ出力する。

一方、警報ログＬ２２は、作業監査装置２における警報ログ入力部２２に入力される。これに応じて、警報ログ入力部２２は、警報ログＬ２２から警報ログのエントリを抽出し、警報ログデータＤ２２として監査実行部２４へ出力する。

（４）監査人Ｍｉは、作業監査装置２に対して作業シナリオＳｃの入力を許可する。この作業シナリオＳｃは、作業手順書と対応する保守作業を検証環境で実施した際に、作業シナリオ生成装置１により生成された作業シナリオＳｃである。そして、この作業シナリオＳｃは、作業シナリオ解析部２３に入力される。これに応じて、作業シナリオ解析部２３は、作業シナリオＳｃに含まれる作業プロファイルＰｉを抽出する。

（５）監査人Ｍｉは、作業監査装置２に対して、保守作業の開始日時Ｔｓ２、および終了日時Ｔｅ２をそれぞれ入力する。作業の開始日時Ｔｓ２と終了日時Ｔｅ２の情報は、監査実行部２４に入力される。
なお、以下において、保守作業の開始日時Ｔｓ２はＴａと、また、保守作業の終了日時Ｔｅ２はＴｂと表記するものとする。

（６）監査実行部２４は、作業シナリオＳｃを参照し、監査ログＬ１２、および警報ログＬ２２を分析して監査を行う。

（７）監査結果生成部２５は、監査結果を出力する。

次に、作業監査装置２の監査実行部２４による上記の（６）の手順における処理内容について、さらに詳しく説明する。

ここでは説明を簡単にするために、作業シナリオＳｃは、前述の検証環境において、作業シナリオ生成装置１が生成した作業シナリオＳｃの一例として挙げたものと同じであるとする。したがって、作業シナリオＳｃを構成する作業プロファイルＰｉは、ｉ＝１～４の４つ存在する。

（１）監査実行部２４は、入力された作業プロファイルＰｉ（ｉ＝１～４）のうち、先ず、ｉ＝１に該当する作業プロファイルＰ１を選択する。その内容は、次の通りである。
作業プロファイルＰ１：作業名１、ｕｓｅｒ＿ｈｏｓｙｕ、作業分析情報Ｉａ＝｛３００秒、ｃｐ ｐＡｒｃｈ．ｚｉｐ， ｕｎｚｉｐ ｐＡｒｃｈ．ｚｉｐ，手打ち｝、警報情報Ｉｋ＝［なし］

監査実行部２４は、監査ログデータＤ１２に次の記録があるかどうかを確認する。すなわち、ＴａからＴａ＋３００秒の期間において、ｕｓｅｒ＿ｈｏｓｙｕが、手打ちで、ｃｐ ｐＡｒｃｈ．ｚｉｐ， ｕｎｚｉｐ ｕｎｚｉｐを実行した記録があるかどうかを確認する。この時、（Ｔａ＋３００秒＜Ｔｂ）であるとする。なお、Ｔａ＋３００秒の期間は、作業名１に関し、その作業の開始日時Ｔａから起算して予想される作業終了までに要する期間である。

この確認は、作業プロファイルＰ１を以下のように解釈することで実現する。すなわち、ユーザ名ｕｓｅｒ＿ｈｏｓｙｕが、手打ちで、ｐＡｒｃｈ．ｚｉｐをｃｐし、さらに、ｐＡｒｃｈ．ｚｉｐをｕｎｚｉｐする。これらの作業時間は３００秒である。また、エラーは発生しない。

この処理は、監査実行部２４において、図６のフローチャートに示す処理に該当する。

すなわち、ステップＳ５０１で、開始時刻＝Ｔａ、終了時刻＝Ｔａ＋３００秒の監査ログデータＤ１２を抽出する。抽出できない場合はステップＳ５１６へ進む（ステップＳ５０２）。抽出できた場合はステップＳ５０３へ進む（ステップＳ５０２）。

ステップＳ５０３で、ユーザ名がｕｓｅｒ＿ｈｏｓｙｕであるログのエントリを抽出する。抽出できない場合はステップＳ５１６へ進む（ステップＳ５０４）。抽出できた場合はステップＳ５０５へ進む（ステップＳ５０４）。

ステップＳ５０５で、実行方法が手入力であるログのエントリを抽出する。抽出できない場合はステップＳ５１６へ進む。抽出できた場合は、ステップＳ５０７へ進む（ステップＳ５０６）。
次に、作業プロファイルＰ１について、ｃｐ ｐＡｒｃｈ．ｚｉｐ、ｕｎｚｉｐ ｐＡｒｃｈ．ｚｉｐの記録を抽出する（ステップＳ５０７）。抽出できない場合はステップＳ５１６へ進む（ステップＳ５０８）。抽出できた場合はステップＳ５０９へ進む（ステップＳ５０８）。

ステップＳ５０９で、作業プロファイルＰ１について、ｃｐ ｐＡｒｃｈ．ｚｉｐ、ｕｎｚｉｐ ｐＡｒｃｈ．ｚｉｐの実行のエラーを抽出する。そして、エラーに問題が無いか確認する（ステップＳ５１０）。ここでは、作業プロファイルＰ１によれば、エラーは発生しない。ここで、エラーが発生していた場合は「エラーに問題がある」と判定し（ステップＳ５１０）、ステップＳ５１６に進む。エラーが発生していなければ、ステップＳ５１１へ進む。

ステップＳ５１１で、開始日時＝Ｔａ、終了日時＝Ｔａ＋３００秒の警報ログデータＤ２２を抽出する。

抽出できない場合はステップＳ５１５へ進む（ステップＳ５１２）。この場合、作業プロファイルＰ１については、警報は発生しない。警報が発生した場合は、ステップＳ５１３へ進む（ステップＳ５１２）。ステップＳ５１３で、警報ログデータＤ２２から、警報を抽出する。

ステップＳ５１４で警報に問題が無いか確認する。作業プロファイルＰ１によれば、警報は発生しないため、警報が抽出されたために、「警報に問題がある」と判定し、ステップＳ５１６に進む。

ステップＳ５１５では、作業プロファイルＰ１の作業については監査結果に問題が無いため、アラートなしとする。ステップＳ５１６では、作業プロファイルＰ１の作業については監査結果に問題があるため、以下のアラートＡｒを監査結果生成部２５に入力する。

ここに、アラートＡｒは、「作業名１の実施が適切ではない：理由」というメッセージであり、その理由の箇所には、ステップＳ５１６に分岐した理由が記載される。例えば、監査ログが記録されていない（ステップＳ５０２）、エラーが発生している（ステップＳ５１０）、警報が発生している（ステップＳ５１４）等である。警報なしの場合は、アラートＡｒのメッセージは空とする。

監査結果生成部２５は、アラートＡｒにおいてメッセージが存在した場合は、アラートＡｒを含めて監査結果として作業監査装置２の外部へ出力する。

アラートＡｒにメッセージが含まれる場合は、その作業プロファイルＰ１の監査は失敗である。メッセージが含まれない場合（空である場合）は、その作業プロファイルＰ１の監査は成功である。

ここで、監査結果生成部２５が出力する監査結果は、ファイルとして出力する。または、監査結果生成部２５が通信機能を備えてネットワークに接続されている場合には、同じネットワークに接続されたＳＹＳＬＯＧサーバへ監査結果をＳＹＳＬＯＧメッセージとして通知してもよい。

以降、この実施の形態１では、この監査結果にアラートＡｒを含めて作業監査装置２の外部へ出力する処理を「アラートを発する」と称する。

（２）次に、監査実行部２４は、入力された作業プロファイルＰｉ（ｉ＝１～４）のうち、ｉ＝２に該当する作業プロファイルＰ２を選択する。その内容は、次の通りである。
作業プロファイルＰ２：作業名２、ユーザ名＝ｕｓｅｒ＿ｈｏｓｙｕ、作業分析情報Ｉａ＝｛３００秒、ｒｅｓｔａｒｔ ｓｅｒｖｉｃｅ＿ｘ、手打ち｝、警報情報Ｉｋ＝［作業対象の通信切断の警報、起こる警報］

監査実行部２４は、監査ログデータＤ１２に以下の(ａ)、かつ(ｂ)の記録があるかどうかを確認する。(ａ)Ｔａ＋３００からＴａ＋３００＋３００秒の期間において、ｕｓｅｒ＿ｈｏｓｙｕが、手打ちで、ｒｅｓｔａｒｔ ｓｅｒｖｉｃｅ＿ｘを実行した記録がある。この時、Ｔａ＋３００＋３００＜Ｔｂであるとする。(ｂ)ｒｅｓｔａｒｔ ｓｅｒｖｉｃｅ＿ｘの実行後からＴａ＋３００＋３００秒の期間において、警報ログデータＤ２２に保守対象装置８について、通信切断の警報の記録がある。なお、Ｔａ＋３００秒からＴａ＋３００＋３００秒の期間は、作業名２に関し、作業名１の作業終了日時から起算して予想される作業終了までに要する期間である。

具体的には、監査実行部２４は、図６に示すフローチャートの手順に従って作業プロファイルＰ１の処理と同様の処理を行うが、以下の点が異なる。

ステップＳ５１２において、抽出対象の警報が無い場合は、作業プロファイルＰ２と異なるため、ステップＳ５１６へ進む。その場合、例えば「作業名２の実施が適切ではない：警報が発生していない」といった内容のアラートＡｒを生成する。

（３）次に、監査実行部２４は、入力された作業プロファイルＰｉ（ｉ＝１～４）のうち、ｉ＝３に該当する作業プロファイルＰ３を選択する。その内容は、次の通りである。
作業プロファイルＰ３：作業名３、ユーザ名＝ｕｓｅｒ＿ｈｏｓｙｕ、作業分析情報Ｉａ＝｛３００秒、コマンドＸ ｘｘｘ．ｌｏｇ、手打ち、コマンドＸの実行でエラー、起こり易いエラー｝、警報情報Ｉｋ＝［なし］

監査実行部２４は、監査ログデータＤ１２に次の記録があるかどうかを確認する。すなわち、Ｔａ＋６００からＴａ＋６００＋３００秒の期間において、ｕｓｅｒ＿ｈｏｓｙｕが、手打ちで、コマンドＸ ｘｘｘ．ｌｏｇを実行した記録があるかどうかを確認する。この時、Ｔａ＋６００＋３００＜Ｔｂであるとする。なお、Ｔａ＋６００秒からＴａ＋６００＋３００秒の期間は、作業名３に関し、作業名２の作業終了日時から起算して予想される作業終了までに要する期間である。

図６に示すフローチャートの手順に従い、監査実行部２４は、作業プロファイルＰ１と同様の処理を行うが、以下の点が異なる。ステップＳ５１０において、エラーが記録されていた場合、以下の（ａ）、かつ（ｂ）を満たす場合は、エラーに問題が無いと判定する。（ａ）作業プロファイルＰ３では、第１のエラータイプＥｔｐ１＝起こり易いエラーとなっていること。（ｂ）コマンドＸの実行エラーの記録の後、コマンドＸを再試行して成功している記録があること。また、エラーが記録されていない場合も、エラーに問題が無いと判定する。
コマンドＸを再試行していない、再試行しても成功していない場合は、例えば「作業名３の実施が適切ではない：コマンドＸに成功していない」という内容のアラートＡｒを生成する。

（４）次に、監査実行部２４は、入力された作業プロファイルＰｉ（ｉ＝１～４）のうち、ｉ＝４に該当する作業プロファイルＰ４を選択する。その内容は、次の通りである。
作業プロファイルＰ４：作業名４、ユーザ名＝ｕｓｅｒ＿ｈｏｓｙｕ、作業分析情報Ｉａ＝｛３００秒、ｓａｇｙｏｕ．ｓｈ、手打ち、コマンドＹの実行でエラー、起こるエラー｝、警報情報Ｉｋ＝［なし］

監査実行部２４は、監査ログデータＤ１２に以下の(ａ)、かつ(ｂ)の記録があるかどうかを確認する。(ａ)Ｔａ＋９００からＴａ＋９００＋３００秒の期間において、ｕｓｅｒ＿ｈｏｓｙｕが、手打ちで、ｓａｇｙｏｕ．ｓｈを実行した記録がある。この時、Ｔａ＋９００＋３００＜Ｔｂであるとする。(ｂ)ｓａｇｙｏｕ．ｓｈの実行後、コマンドＹの実行でエラーの記録がある。なお、Ｔａ＋９００秒からＴａ＋９００＋３００秒の期間は、作業名４に関し、作業名３の作業終了から起算して予想される処理終了までに要する期間である。

図６に示すフローチャートの手順に従い、監査実行部２４は、作業プロファイルＰ１と同様の処理を行うが、以下の点が異なる。

ステップＳ５１０において、エラーが記録されていた場合、(ａ)作業プロファイルＰ４では第２のエラータイプＥｔｐ２＝必然的に起こるべくして起こるエラーとなっていること、かつ（ｂ）コマンドＹでエラーが発生していること、の条件を満たす場合は、エラーに問題が無いと判定する。

コマンドＹでエラーが発生していない場合は、エラーに問題があると判定する。例えば、ｓａｇｙｏｕ．ｓｈはバッチファイルであり、特定のディレクトリに対してまとめてファイル処理を行うコマンドを含む。ファイル処理の対象のフォルダの一部については、ｕｓｅｒ＿ｈｏｓｙの権限では参照できないディレクトリがある。そのようなディレクトリについては、エラーになるはずである。

したがって、エラーが発生していない状況は、アクセス権に何かしらの問題があり、異常と捉えるべきである。その場合は、例えば「作業名４の実施が適切ではない：エラーが発生していない」といった内容のアラートＡｒを生成する。

以上のように、作業監査装置２は、作業シナリオＳｃに含まれる作業プロファイルＰｉに従って監査ログＬ１２、警報ログＬ２２を用いて保守作業を監査する。その結果、保守作業が、作業シナリオＳｃに従っていないと判断した場合には、アラートＡｒに警報のメッセージが含まれる。成功している場合は、メッセージは発せられない。

このアラートＡｒは、監査結果生成部２５に入力される。監査結果生成部２５は、アラートＡｒのメッセージが空である場合は、作業シナリオＳｃの監査に成功した（問題なかった）ことを示すメッセージを監査結果に含めて出力する。アラートＡｒにメッセージが存在する場合は、そのメッセージを監査結果に含めて出力する。

なお、作業監査装置２は、監査実行部２４において、ある作業プロファイルＰｉに従って監査ログＬ１２、警報ログＬ２２を確認した結果、監査に成功しなかった場合、即座に、アラートＡｒに基づき監査結果を出力して処理を終了してもよい。または、作業プロファイルＰｉに従った監査において、監査の成功／失敗に関わらず、全ての作業プロファイルＰｉを処理して、作業プロファイルＰｉごとのアラートＡｒを全て含めた監査結果を出力して処理を終了してもよい。

このように、作業監査装置２は、作業シナリオＳｃに従い、予定通りの保守作業が実施されたかどうかを、発生したエラーの是非も含めて、監査ログＬ１２、警報ログＬ２２、および作業シナリオＳｃから判定することができる。

以上のように、この実施の形態１のサイバーセキュリティ監査システムによれば、作業シナリオ生成装置１は、検証環境の下で保守対象装置８から出力される監査ログ、および警報装置９から出力される警報ログを取り込んで保守作業の手順を定めた作業シナリオを生成し、作業監査装置２は、本番環境の下で保守対象装置から出力される監査ログ、警報装置から出力される警報ログ、および作業シナリオ生成装置で予め生成しておいた作業シナリオを取り込んで保守対象装置８が作業シナリオに従った保守作業が実施できているかどうかを監査するので、本番環境の下で保守作業が正しく行われたかどうかの監査をエラー発生の是非を含めて効率的に行うことができるという効果がある。

実施の形態２．
上記の実施の形態１では、作業シナリオ生成装置１は、ある作業の開始と終了の日時から、作業の実施にかかる時間を算出した。この実施の形態２では、作業シナリオ生成装置１は、検証環境における、ある作業の終了の日時から、次の作業の開始日時の間の期間を、「作業間隔」として算出して、作業シナリオＳｃに含めてもよい。

すなわち、作業手順書において、作業のタイミングが決められている場合は、作業間隔を考慮した作業シナリオＳｃを生成し、作業監査装置２を用いた監査時に、この「作業間隔」の情報を参照する。これにより、一層確実な監査が可能になる。

例えば、作業シナリオ生成装置１で作成される作業シナリオＳｃは、以下に示すようになる。
作業シナリオＳｃ＝［作業プロファイルＰ１、作業間隔ΔＴ１２、作業プロファイルＰ２、作業間隔ΔＴ２３、作業プロファイルＰ３、作業間隔ΔＴ３４、作業プロファイルＰ４］

ここに、作業間隔ΔＴ１２は、作業名１の終了時点から作業名２の開始時点までの間の秒数である。作業間隔ΔＴ２３は、作業名２の終了時点から作業名３の開始時点までの間の秒数である。作業間隔ΔＴ３４は、作業名３の終了時点から作業名４の開始時点までの間の秒数である。なお、この場合も各々の作業名ｉについて作業に要する時間を一律に３００秒とする。

作業監査装置２は、この作業シナリオＳｃが入力されると、監査実行部２４において、各々の作業間隔ΔＴ１２、ΔＴ２３、ΔＴ３４を加味して、監査ログデータＤ１２、警報ログデータＤ２２から、作業プロファイルＰｉ（ここではｉ＝１～４）に示されたコマンド／エラー／警報を抽出する。

そのため、作業シナリオ解析部２３から監査実行部２４へは、作業シナリオＳｃとして、上記の例では、作業プロファイルＰ１、作業間隔ΔＴ１２（３００秒）、作業プロファイルＰ２、作業間隔ΔＴ２３（３００秒）、作業プロファイルＰ３、作業間隔ΔＴ３４（３００秒）、作業プロファイルＰ４、という単位で入力される。

この情報をもとに、例えば、作業名２の監査ログデータＤ１２を抽出する場合には、以下の期間について抽出を行う。

すなわち、作業プロファイルＰ１、作業間隔ΔＴ１２の情報から、作業名１の３００秒後に作業プロファイルＰ２を実施する。したがって、［Ｔａ＋３００秒（作業名１の終了時点）］から、［Ｔａ＋３００＋作業間隔ΔＴ１２（３００秒）＋３００秒］までの期間が、作業名２の作業結果について確認すべき監査ログＬ１２、および警報ログＬ２２の期間である。

その他の作業シナリオ生成装置１と作業監査装置２の動作は、実施の形態１に同じであるので、ここでは詳しい説明は省略する。

以上のように、この実施の形態２のサイバーセキュリティ監査システムによれば、作業監査装置２は、作業シナリオＳｃに従い、予定通りの保守作業が実施されたかを、検証環境での作業間隔を考慮し、発生したエラーの是非も含めて、監査ログＬ１２と警報ログＬ２２と作業シナリオＳｃから判定できる効果がある。また、作業手順書に従う場合、検証環境での作業間隔は、本番環境での作業間隔に近しいものとなるため、正確に、監査が可能となる効果がある。

実施の形態３．
上記の実施の形態１および２では、作業監査装置２の監査ログ入力部２１で得られる監査ログデータＤ１２について、作業プロファイルＰｉに示されたコマンド／プログラムの実行の記録、エラーの記録に関してこれを抽出して確認するようにしている（図６のステップＳ５０７の処理参照）。

しかし、実際には、保守作業の途中で、作業プロファイルＰｉに示されたコマンド／プログラム以外の実行の記録が、監査ログデータＤ１２に記録されている場合がある。例えば、保守対象装置８に対する保守作業の途中で、作業手順書に記載されていないようなコマンドが必要上、入力される場合がある。

そこで、この実施の形態３では、作業プロファイルＰｉに示されたコマンド／プログラム以外の実行の記録が、監査ログデータＤ１２に記録されている場合、これに対する作業監査装置２の動作について次に説明する。

図２に示した作業監査装置２において、この実施の形態３では、図示していないが、監査実行部２４に対して、監査人Ｍｉが実施不可情報Ｉｉａ、および実施許可情報Ｉａｖを入力する。これらの入力は、実施の形態１および２において示した監査実行部２４への入力情報の他に、追加した情報として行われる。

ここに、実施不可情報Ｉｉａとは、作業において実施すべきではないコマンド、プログラム、あるいは、その対象となるファイルを示した情報である。この情報としては、例えば、ファイル削除コマンド、ファイル置換コマンド、装置シャットダウンコマンド、装置再起動コマンド、設定変更プログラムの実行、あるいは／ＡＡＡフォルダ以下のファイルへのアクセスなどがある。

また、実施許可情報Ｉａｖとは、作業において実施してもよいコマンドであり、作業シナリオＳｃに記載するまでもない、実行してもよいコマンド、あるいはプログラム、もしくはその対象となるファイルを示した情報である。この情報としては、例えば、ディレクトリ情報取得コマンド、ファイル表示コマンド、ネットワーク設定取得コマンド、テキストエディタの実行、あるいは／ＢＢＢフォルダ以下のファイルへのアクセスなどがある。

また、コマンドによって、エラーの理由が複数存在することがある。例えば、ここでは、一例として、コマンドＺは、エラーについて、エラーコード＝ｅ１、ｅ２の２種類を返すとする。作業において、コマンドＺを実行した際に、エラーの理由によっては許容できたり、できなかったりということがある。

例えば、エラーコードｅ１は、引数の指定が不適切であるというエラーコードであり、これはタイプミスによって発生する可能性がある。具体例としは、引数のオプションで、仕様に無いオプションを指定した場合などが該当する。

また、例えば、エラーコードｅ２は、実行権限が無いというエラーコードであり、作業者が悪意なく実行する場合もあれば、作業者が悪意をもって自身の権限を越えて処理を行おうとした場合に発生することがある。そのため、監査においてはエラー発生の確認を行う必要がある。

このように、コマンド／プログラム等の実行の記録に対して、さらに実施不可情報Ｉｉａ、および実施許可情報Ｉａｖを含めると監査結果の充実化を図ることができる。

そこで、この実施の形態３では、監査実行部２４は、作業プロファイルＰｉを参照して、監査ログデータＤ１２の処理を行うことに加えて、処理対象の期間の監査ログデータＤ１２において、実施不可情報Ｉｉａに記載されたコマンド、あるいはプログラムの実行、ファイルへのアクセスの記録を抽出する。これが抽出された場合、アラートＡｒとして、例えば「作業名ｉの実施が適切ではない：禁止作業の実施」といった内容の警報を発する。

または、監査実行部２４は、作業プロファイルＰｉを参照して、監査ログデータＤ１２の処理を行うことに加えて、処理対象の期間の監査ログデータＤ１２において、実施許可情報Ｉａｖに記載されたコマンド、あるいはプログラムの実行、ファイルへのアクセス「以外」の記録を抽出する。これが抽出された場合、アラートＡｒとして、例えば「作業名ｉの実施が適切ではない：許可外の作業の実施」といった内容の警報を発する。

または、監査実行部２４は、上記の実施不可情報Ｉｉａを参照しての記録の抽出の処理、および実施許可情報Ｉａｖを参照しての記録の抽出（すなわち、実施許可情報Ｉａｖに無いコマンド、あるいはプログラムの実行、ファイルへのアクセスの記録の抽出）の処理を併用してもよい。

同様に、図２に示す作業監査装置２の監査実行部２４に対して、監査人Ｍｉが作業において発生してはいけない発生不可警報Ａｉａ、発生を無視できる発生可警報Ａａｖを監査実行部２４に入力し、実施の形態１、２に示した警報ログデータＤ２２の処理に加えて、以下の処理を行うようにするのが好ましい。

すなわち、処理対象の期間の警報ログデータＤ２２において、発生不可警報Ａｉａに記載された警報の記録を抽出する。抽出された場合、アラートＡｒとして、例えば「作業名ｉの実施が適切ではない：不可警報の発砲」といった内容の警報を発する。

または、発生可警報Ａａｖに記載された警報「以外」の記録を抽出する。抽出された場合、アラートＡｒとして、例えば「作業名ｉの実施が適切ではない：許可外の警報の発砲」といった内容の警報を発する。

または、監査実行部２４は、上記の発生不可警報Ａｉａを参照しての記録の抽出の処理、および発生可警報Ａａｖを参照しての記録の抽出（発生可警報Ａａｖに無い警報の抽出）の処理を併用してもよい。

以上のように、この実施の形態３のサイバーセキュリティ監査システムによれば、作業プロファイルＰｉに含まれていないコマンド、あるいはプログラムの実行についても、禁止されたものであるか、許可されていなものであるかの情報を作業監査装置２が保有することで、作業シナリオＳｃによる監査に加えて、許容できない不適切な作業の検知が可能となる。

また、作業監査装置２は、作業シナリオＳｃに従い、予定通りの保守作業が実施されたかを、検証環境での作業間隔を考慮し、発生したエラーの是非も含めて、監査ログＬ１２と警報ログＬ２２と作業シナリオＳｃから判定することができる。

本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１ 作業シナリオ生成装置、１１ 監査ログ入力部、１２ 監査対象抽出部、
１３ 作業プロファイル生成部、１４ 作業シナリオ生成部、１５ 監査ログ入力部、
１６ エラータイプ判定部、２ 作業監査装置、２１ 監査ログ入力部、
２２ 警報ログ入力部、２３ 作業シナリオ解析部、２４ 監査実行部、
２５ 監査結果生成部、８ 保守対象装置、９ 警報装置。

Claims (3)

1. 検証環境の下で保守対象装置から出力される監査ログ、および警報装置から出力される警報ログを取り込んで保守作業の手順を定めた作業シナリオを生成する作業シナリオ生成装置、および本番環境の下で前記保守対象装置から出力される監査ログ、前記警報装置から出力される警報ログ、および前記作業シナリオ生成装置から出力される前記作業シナリオを取り込んで前記保守対象装置が前記作業シナリオに従った保守作業が実施できているかどうかを監査する作業監査装置を有し、
   前記作業シナリオ生成装置は、
   前記保守対象装置から前記検証環境の下で得られる前記監査ログを入力して監査ログデータを抽出する監査ログ入力部と、
   前記警報装置から前記検証環境の下で得られる前記警報ログを入力して警報ログデータを抽出する警報ログ入力部と、
   前記検証環境の下で得られた前記監査ログデータ、前記警報ログデータ、および前記保守対象装置に対する保守作業の開始日時ならびに終了日時に基づいて監査対象データを抽出する監査対象抽出部と、
   前記監査対象データおよび保守作業に対して付された作業名に基づいて、前記監査ログに記録されたエラーを参照し、このエラーに関する情報も含めた作業プロファイルを生成する作業プロファイル生成部と、
   前記作業プロファイルを時系列にまとめた作業シナリオを生成する作業シナリオ生成部と、を備え、
   前記作業監査装置は、
   前記保守対象装置から前記本番環境の下で得られる監査ログを入力して監査ログデータを抽出する監査ログ入力部と、
   前記警報装置から前記本番環境の下で得られる警報ログを入力して警報ログデータを抽出する警報ログ入力部と、
   前記作業シナリオ生成装置からの前記作業シナリオを入力して当該作業シナリオに含まれる作業プロファイルを抽出する作業シナリオ解析部と、
   前記本番環境の下で得られた前記監査ログデータ、前記警報ログデータ、および前記保守対象装置に対する保守作業の開始日時および終了日時、ならびに前記作業プロファイルに基づいて、前記保守対象装置について、前記本番環境の下で前記作業シナリオに従った保守作業が実施できているかどうかを監査するとともに、エラーが発生していた場合にはそのエラーの是非を含めて監査する監査実行部と、前記監査実行部が生成した監査結果を出力する監査結果生成部と、を備える、
   サイバーセキュリティ監査システム。
2. 前記作業シナリオ生成装置は、保守作業の手順に沿った終了日時から次の保守作業の開始日時までの作業間隔を含んだ作業シナリオを生成する請求項１に記載のサイバーセキュリティ監査システム。
3. 前記監査実行部は、禁止されたコマンドおよびプログラムの作業、あるいは許可されたコマンドおよびプログラムに基づく作業以外の作業の実施の有無を確認する、請求項１または請求項２に記載のサイバーセキュリティ監査システム。