データアクセス履歴収集方法及び履歴収集装置

トップ :: G 物理学 :: G06 計算;計数

【発明の名称】	データアクセス履歴収集方法及び履歴収集装置
【発明者】	【氏名】北山美貴
【要約】	【課題】ログの収集や管理における計算機や管理者の負担を軽減することを可能とし、解析に使用するデータとして、アクセスが発生したファイル情報に加え、同一計算機やネットワークで繋がった他の計算機におけるアクセス発生ファイルに関連のあるシステムやアプリケーションが出力するログデータをも含せる。【解決手段】定期的にログデータの収集を行うログ情報管理手段、指定された重要ファイルにアクセスが発生した時にデータ解析を実現する監視手段、収集データの選別を行い、指定された重要ファイルにアクセスが発生した場合に該当計算機とは別の計算機で前記機能を有する計算機も連動してアクセスされたファイルに関連するログデータを収集するように条件が切り替わるフィルタリング手段、指定された重要ファイルにアクセスが発生した場合にアクセスのあったファイルに適した解析条件に自動的に切り替える収集データの解析手段を備える。

【特許請求の範囲】
【請求項１】計算機システムのデータアクセス履歴収集方法において、計算機システムのファイル内のデータにアクセスがあったとき、履歴収集条件定義を参照し、該履歴収集条件定義に前記ファイルが定義されているか否かを判定し、定義されていれば前記データアクセスの履歴を収集し、かつ、前記データに関連する関連データのデータアクセス履歴を収集することを特徴とするデータアクセス履歴収集方法。
【請求項２】前記データに関連する関連データは、前記ファイル内のデータにアクセスがあった時間付近の時間帯における前記ファイルへのアクセスを発生させた計算機の使用状況を示す情報や前記ファイルへのアクセスを発生させた計算機と通信可能な複数の他の計算機の使用状況等を示す情報であることを特徴とする請求項１記載のデータアクセス履歴収集方法。
【請求項３】前記データは、ファイルに格納されており、ファイル単位でアクセス履歴が収集されることを特徴とする請求項１または２記載のデータアクセス履歴収集方法。
【請求項４】計算機システムのデータアクセス履歴収集装置において、計算機システムのファイル内のデータにアクセスがあったときにデータアクセス履歴を収集するファイルを定義した履歴収集条件を格納する記憶部と、計算機システムのファイルにアクセスがあったときに前記記憶部に格納された履歴収集条件を参照しファイルのデータアクセス履歴を収集するアクセス履歴収集部と、計算機の使用状況及びファイルにアクセスのあった計算機とは別の計算機の使用状況である前記データに関連する関連データのデータアクセス履歴を収集する手段とを備えることを特徴とするファイルアクセス履歴収集装置。
【請求項５】データをフィルタリングする手段と、フィルタリング条件を適切なタイミングで適切な条件に切り替える手段と、指定されたファイルにアクセスのあった計算機とは別計算機でセキュリティ監視機能を持つ他計算機のフィルタリング条件を適切なタイミングで適切な条件に切り替える手段と、データ解析の対象とするファイルを解析する条件を変更する手段とをさらに備えることを特徴とする請求項４記載のファイルアクセス履歴収集装置。

【発明の詳細な説明】【０００１】
【発明の属する技術分野】本発明は、データアクセスの履歴収集方法及び履歴収集装置に係り、特に、アクセスログを収集し、収集したログを解析するデータアクセスの履歴収集方法及び履歴収集装置に関する。
【０００２】
【従来の技術】データアクセスの履歴収集に関する従来技術として、例えば、特開平８－１０６４０８号公報等に記載された技術が知られている。この従来技術は、運用情報アクセスログを収集管理するものであり、アクセスログをリアルタイムで収集して指定の記憶域に蓄積し、その際、収集されたデータの検索が容易となるようにログ情報を分類、加工して蓄積するというものである。
【０００３】
【発明が解決しようとする課題】前述した従来技術は、アクセスログ情報の管理の負担について配慮されておらず、アクセスログの量が膨大である場合に、アクセスログ情報の管理の負担が増大してしまうという問題点を有している。
【０００４】また、前述の従来技術は、収集されたデータをデータ種別によって複数のファイルに蓄積することによる資源の使用量の増大や管理者の負担についても配慮されていない。このため、前述の従来技術は、収集データを解析するタイミングが不適切であると、データ蓄積形式がラップアラウンドするような場合等に、解析に有効なデータが消滅してしまうことによる解析の対象となるデータの不足、特に、近年のＥＣの分野等における不当アクセスによって情報が漏れてしまうような場合にＷｅｂ等のログデータがラップアラウンドしてしまって不当アクセスの解析に有効なデータが解析に有効でないデータに上書きされてしまい解析が不充分になってしまうという問題点を生じてしまう。
【０００５】また、前述の従来技術は、解析条件が一律であるために適切なタイミングで適切な解析条件を適用することが困難となり、より詳細な解析結果を取得することが不可能となってしまうという問題点を有している。すなわち、前述の従来技術は、解析対象とするデータに対して、金融機関の暗証番号管理ファイルのような重要ファイルにアクセスが発生した場合、アクセス時間付近の時間帯における計算機の使用状況を示す情報や重要ファイルのアクセスが発生した計算機と通信可能な他の複数の計算機の使用状況等を示す情報で解析に有効な情報のみを抽出して、アクセスのあった重要ファイルの情報と共に収集するなど解析対象データを多角的かつ広範囲に収集することにより、例えば、不当アクセスが発生した場合の不当アクセスユーザの経路追跡や行為の解析を行う等のデータ解析をより詳細に行うことができないという問題点を有している。
【０００６】本発明の目的は、前述した従来技術の問題点を解決し、ログの収集や管理における計算機や管理者の負担を軽減することができ、また、解析に使用するデータとして、アクセスが発生したファイルの情報に加え、同一計算機やネットワークで繋がった他の計算機におけるアクセス発生ファイルに関連のあるシステムやアプリケーションが出力するログデータの収集を行うことを可能として、より詳細で徹底したデータの解析可能としたデータアクセス履歴収集方法及び装置を提供することにある。
【０００７】
【課題を解決するための手段】本発明によれば前記目的は、計算機システムのデータアクセス履歴収集方法において、計算機システムのファイル内のデータにアクセスがあったとき、履歴収集条件定義を参照し、該履歴収集条件定義に前記ファイルが定義されているか否かを判定し、定義されていれば前記データアクセスの履歴を収集し、かつ、前記データに関連する関連データとして、前記ファイル内のデータにアクセスがあった時間付近の時間帯における前記ファイルへのアクセスを発生させた計算機の使用状況を示す情報や、前記ファイルへのアクセスを発生させた計算機と通信可能な複数の他の計算機の使用状況等を示す情報をを収集することをことにより達成される。
【０００８】また、前記目的は、計算機システムのデータアクセス履歴収集装置でにおいて、計算機システムのファイル内のデータにアクセスがあったときにデータアクセス履歴を収集するファイルを定義した履歴収集条件を格納する記憶部と、計算機システムのファイルにアクセスがあったときに前記記憶部に格納された履歴収集条件を参照しファイルのデータアクセス履歴を収集するアクセス履歴収集部と、計算機の使用状況及びファイルにアクセスのあった計算機とは別の計算機の使用状況である前記データに関連する関連データのデータアクセス履歴を収集する手段とを備えることにより、また、データをフィルタリングする手段と、フィルタリング条件を適切なタイミングで適切な条件に切り替える手段と、指定されたファイルにアクセスのあった計算機とは別計算機でセキュリティ監視機能を持つ他計算機のフィルタリング条件を適切なタイミングで適切な条件に切り替える手段と、データ解析の対象とするファイルを解析する条件を変更する手段とをさらに備えることにより達成される。
【０００９】
【発明の実施の形態】以下、本発明によるデータアクセスの履歴収集方法及び履歴収集装置の実施形態を図面により詳細に説明する。
【００１０】図１は本発明の一実施形態によるデータアクセスの履歴収集装置が適用されたシステムのネットワーク上での構成を示すブロック図、図２は本発明の一実施形態によるデータアクセスの履歴収集装置が適用されたシステムの構成を示すブロック図、図３は収集したデータをデータ解析用に編集したデータテーブルの構造を説明する図、図４は収集したデータを選別するための条件を格納した条件テーブルの構造を説明する図、図５はセキュリティ監視部管理テーブルの構造を説明する図である。図１、図２において、１０１、１０４、１０７はＯＳ、１０２はセキュリティ処理部、１０３、１０６はセキュリティ監視部、１０５、１０８はアプリケーション、２０１、２１４は端末、２０５は定期収集データ管理部、２０６は定期収集対象ファイル、２０７は指定ファイル監視部、２０８は指定ファイル、２０９はフィルタリング条件テーブル、２１０は収集データフィルタリング部、２１１は収集データ管理部、２１２は収集ファイル、２１３、２１８はデータ送信部、２１７はデータ受信部、２１９はセキュリティ情報ファイル格納部、２２０はセキュリティ情報ファイル、２２１はセキュリティ情報解析部、２２２はセキュリティ監視部管理テーブルである。
【００１１】ネットワーク上に構成される本発明の一実施形態による履歴収集装置が適用されるシステムは、図１に示すように、ＯＳ１０１、セキュリティ処理部１０２を有する計算機Ａと、ＯＳ１０４、アプリケーション１０５、セキュリティ監視部１０３を有する計算機Ｂと、計算機Ｂと同様に、ＯＳ１０７、アプリケーション１０８、セキュリティ監視部１０６を有する計算機Ｃとがネットワーク上に収容されて構成されている。なお、計算機Ａ、Ｂと同様な計算機は、さらに多数がネットワーク上に収容されていてよい。そして、計算機Ａのセキュリティ処理部１０２は、他の複数の計算機Ａ、Ｂ、……のセキュリティ監視部を管理することができる。
【００１２】本発明の一実施形態によるデータアクセスの履歴収集装置の最小構成は、図２に示すように、端末２０１、ＯＳ１０４、アプリケーション１０５と、セキュリティ監視部１０３を有する計算機Ｂと、端末２１４、ＯＳ１０１、セキュリティ処理部１０２を有する計算機Ａとにより構成することができ、計算機Ａと計算機Ｂとは互いに通信を行うものとする。そして、計算機Ａには、端末２１４、セキュリティ監視部管理テーブル２２２、セキュリティ情報ファイル２２０が接続されており、また、計算機Ｂには、端末２０１、定期収集ファイル２０６、指定ファイル２０８、フィルタリング条件テーブル２０９、収集データファイル２１２が接続されている。
【００１３】図２において、セキュリティ監視部１０３は、定期収集データ管理部２０５と、指定ファイル監視部２０７と、収集データフィルタリング部２１０と、収集データ管理部２１１と、セキュリティ処理部へのデータ送信部２１３とにより構成される。そして、端末２０１は、セキュリティ監視部１０３に対して、定期収集対象ファイル２０６のファイル名と、指定ファイル２０８のファイル名と、フィルタリング条件とを定義して入力する。定期収集対象ファイル２０６は、指定ファイル２０８にアクセスが発生し、それの解析を行う場合に必要となる収集データを格納するファイルであり、ＯＳ１０４やアプリケーション１０５が出力する関連データのログを格納するファイルである。ここで、関連データは、アクセス時間付近の時間帯における計算機の使用状況を示す情報や重要ファイルへのアクセスを発生させた計算機と通信可能な複数の他の計算機の使用状況等を示す情報である。また、前述のアクセス時間付近の時間帯における計算機の使用状況を示す情報は、その時間帯にどのようなユーザがその計算機にログインしていたかを示すユーザのログイン情報や指定ファイルのトレースログ情報、システム・ログ情報等である。重要ファイルへのアクセスを発生させた計算機と通信可能な複数の他の計算機の使用状況等を示す情報は、関連データである定期収集ファイルが重要ファイルにアクセスのあった計算機だけでなく、その計算機と通信可能な複数の他の計算機のものである。
【００１４】指定ファイル２０８は、アクセス状況を監視する対象となるファイルであり、例えば、金融機関の暗唱番号ファイル等の重要なデータが格納されたファイルである。また、フィルタリング条件は、収集データフィルタリング部２１０で使用される条件である。
【００１５】端末２０１から指定ファイルのファイル名が定義されると、セキュリティ処理部へのデータ送信部２１３は、指定ファイルのファイル名情報を計算機Ａのデータ受信部２１７に送信する。計算機Ａのデータ受信部２１７は、受信した指定ファイル名情報を送信元の計算機の情報と共にセキュリティ監視部管理テーブル２２２に格納する。なお、セキュリティ監視部管理テーブル２２２の構造については図５により後述する。また、フィルタリング条件の定義画面については図１２により後述し、フィルタリング条件の定義により作成されるフィルタリング条件テーブル２０９の構造については図４により後述する。
【００１６】定期収集データ管理部２０５は、定期収集対象ファイル２０６の収集を行い、収集したデータを編集して収集データフィルタリング部２１０に送信する。なお、この定期収集データ管理部２０５での処理動作は図７に示すフローにより後述する。
【００１７】指定ファイル監視部２０７は、指定ファイル２０８の監視を行い、指定ファイルにアクセスが発生した場合、そのアクセス情報を収集データフィルタリング部２１０に送信し、アクセス発生通知を収集データ管理部２１１、定期収集データ管理部２０５、計算機Ａのセキュリティ監視部へのデータ送信部２１８へ送信する。なお、この指定ファイル監視部２０７での処理動作は図６に示すフローにより後述する。
【００１８】計算機Ａのデータ送信部２１８は、計算機Ｂから指定ファイルアクセス発生通知を受信すると、セキュリティ監視部管理テーブル２２２を検索し、計算機Ｂにおいてアクセスが発生した指定ファイルに関連する関連データを収集している計算機を認識して、該当する全ての計算機の指定ファイル監視部２０７に、指定ファイルアクセス通知を行う。このため、図１に示す計算機Ｃのように計算機Ｂ以外で、計算機Ａと互いに通信可能であるセキュリティ監視部を有する計算機においても、計算機Ｂで指定ファイルアクセスが発生したときに通知を受けることができ、計算機Ｂと同様にアクセスの発生した指定ファイルの関連データの収集やアクセスの発生した指定ファイルへのアクセス発生時用のフィルタリング条件に切り替え、フィルタリング処理を行うことが可能である。計算機Ａは、計算機Ｂの指定ファイルアクセス発生時の解析データとして計算機Ｂからのデータのみではなく、他の計算機からの情報を利用することができる。
【００１９】収集データフィルタリング部２１０は、定期収集データ管理部２０５、指定ファイル監視部２０７から送られてくるデータをフィルタリングし、収集データ管理部２１１に送信する。収集データフィルタリング部２１０での処理動作は図８に示すフローにより後述する。収集データ管理部２１１は、収集データフィルタリング部２１０からデータを受け取り、収集データファイル２１２に格納する。また、収集データ管理部２１１は、指定ファイル監視部２０７から指定ファイル２０８へのアクセス発生通知を受信した場合、データ送信部２１３に対して収集データファイル２１２計算機Ａへの転送を依頼をする。なお、この収集データ管理部２１１での処理動作は図９に示すフローにより後述する。
【００２０】データ送信部２１３は、収集データ管理部２１１から転送依頼を受け取ると、計算機Ａのセキュリティ処理部１０２のデータ受信部２１７へ収集データファイル２１２の転送を行う。
【００２１】図２において、計算機Ａのセキュリティ処理部１０２は、セキュリティ情報解析部２２１と、セキュリティ情報ファイル格納部２１９と、データ受信部２１７と、データ送信部２１８とにより構成される。そして、端末２１４は、セキュリティ情報ファイル２２０を解析するための複数件の解析条件を定義して入力する。セキュリティ情報解析部２２１は、解析条件を認識してその解析条件を管理する。データ受信部２１７は、セキュリティ監視部１０３のデータ送信部２１３から受信したデータをセキュリティ情報ファイル格納部２１９に送信する。セキュリティ情報ファイル格納部２１９は、この受信データをセキュリティ情報ファイル２２０に格納する。
【００２２】前述した収集データファイル２１２及びセキュリティ情報ファイル２１９のレコードフォーマットを図３に示しており、図示レコードフォーマット３０１は、１つのレコードのフォーマットを示している。そして、このレコードは、指定ファイルか定期収集用ファイルかを示す収集対象ファイル識別フラグと、イベント発生時間と、イベント発生計算機名と、イベント発生計算機のアドレスと、ユーザ名と、ファイル名と、処理名と、処理詳細情報とにより構成される。
【００２３】図４（ａ）、図４（ｂ）には、指定ファイルアクセス時フィルタリング条件テーブル４０１、定期収集用関連ファイル別フィルタリング条件テーブル４０２のレコードフォーマットを示している。これらのテーブルは、図２の計算機Ｂのフィルタリング条件テーブル１０９に格納されて使用され、収集データを収集データファイル２１２に格納するものと格納しないものとに選別するための条件となる。
【００２４】指定ファイルアクセス時フィルタリング条件テーブル４０１は、指定ファイルにアクセスが発生した場合に、データ収集の対象となるファイル名と、収集したデータのフィルタリング条件とを保有している。フィルタリング条件は、関連ファイル名である。また、定期収集用関連ファイル別フィルタリング条件テーブル４０２は、定期収集対象ファイル２０６を指定ファイルアクセスの発生していない通常時に、ラップアラウンド格納形式等によりファイルに格納されているような、指定ファイルアクセス時の解析に有効であるが消滅する可能性のあるデータを保存する目的等で定期的にデータ収集を行う場合のフィルタリング条件を保有している。
【００２５】図５に示すセキュリティ処理部のセキュリティ監視部管理テーブル５０１は、図２に示すセキュリティ監視部管理テーブル２２２内に格納されるものであり、セキュリティ処理部１０２が管理するセキュリティ監視部１０３の管理テーブルである。このテーブルは、管理するセキュリティ監視部の指定ファイルの定義が設定または変更されたときに更新される。すなわち、管理するセキュリティ監視部の指定ファイルの定義が設定または変更されると、その情報がセキュリティ監視部１０３のデータ送信部２１３からデータ受信部２１７へ送信され、データ受信部２１７が受信したデータをもとに管理テーブル２２２内の情報を作成または更新する。
【００２６】図６は指定ファイル監視部での指定された重要ファイルである指定ファイルの監視を行う処理動作を説明するフローチャートであり、以下、これについて説明する。
【００２７】（１）指定ファイル監視部２０７は、終了要求を受信したか否かを判定し、終了要求を受信した場合、何もせずにここでの処理を終了し、終了要求を受信していない場合、指定ファイルのファイルに関する情報を認識しているか否かを判定する。ファイルに関する情報とは、ファイルの格納位置、ファイル名、ファイルの所有者、ファイルの所有者ＩＤ、ファイルの所有者の属するグループ名、ファイルの所有者の属するグループＩＤ、ファイル属性等のそのファイルに属するユニークな情報の集まりである（ステップ６０１、６０２）。
【００２８】（２）ステップ６０２の判定で、指定ファイルに関する情報を認識していない場合や今まで認識していた情報から変更されている場合、入力情報を認識して、認識した情報の中のファイル名を、セキュリティ処理部１０２のセキュリティ監視部管理テーブル２２２を作成または更新する情報としてデータ送信部２０３に送信する（ステップ６０３）。
【００２９】（３）ステップ６０３の処理後、あるいは、ステップ６０２の判定で、指定ファイルに関する情報を認識していた場合、指定ファイル監視部２０７は、指定ファイルの監視を行っているときに監視対象となっている指定ファイルにアクセスが発生したか否かを判定する。この判定で、アクセスが発生していない場合、終了要求を監視するステップ６０１からの処理に戻り、アクセスの発生を監視し続ける（ステップ６０４）。
【００３０】（４）ステップ６０４の判定で、指定ファイルにアクセスが発生した場合、指定ファイル監視部２０７は、指定ファイルのアクセス情報を収集し、アクセス情報を収集データファイル２１２のレコードフォーマット３０１に編集する（ステップ６０５）。
【００３１】（５）指定ファイル監視部２０７は、さらに、収集データフィルタリング部２１０と、定期収集データ管理部２０５と、データ送信部２１３とに、指定ファイルにアクセスが行われたことを通知し、編集した収集データを収集データフィルタリング部２１０に送信する。前述までの処理の後、終了要求の受信待ちまたはファイルアクセス待ち状態になる（ステップ６０６、６０７）。
【００３２】図７は定期収集データ管理部での定期に収集を行うファイルに対する管理を行う処理動作を説明するフローチャートであり、以下、これについて説明する。
【００３３】（１）定期収集データ管理部２０５は、終了要求を受信したか否かを判定し、終了要求を受信した場合、何もせずにここでの処理を終了し、終了要求を受信していない場合、定期収集ファイルに関する情報を認識しているか否かを判定する。定期収集ファイルに関する情報とは、ファイルに関する情報に、収集間隔の情報を加えた情報である（ステップ７０１、７０２）。
【００３４】（２）ステップ７０２の判定で、定期収集ファイルに関する情報を認識していない場合、定期収集データ管理部２０５は、定期収集ファイルに関する情報を認識する（ステップ７０３）
（３）ステップ７０３の処理後、あるいは、ステップ７０２の判定で、定期収集ファイルに関する情報を認識していた場合、指定ファイル監視部２０７からの通知があったか否かを判定する（ステップ７０４）。
【００３５】（４）ステップ７０４の判定で、指定ファイル監視部２０７からの通知がない場合、収集時間になったか否かの判定を行い、収集時間になっていない場合、終了要求の受信を監視するステップ７０１の処理に戻り、終了要求がない限り、収集時間になるまで待ち状態となる（ステップ７０５）。
【００３６】（５）ステップ７０４の判定で、指定ファイル監視部２０７からの通知があった場合、あるいは、ステップ７０５の判定で収集時間になった場合、定期収集対象ファイル２０６のデータを収集する（ステップ７０６）。
【００３７】（６）定期収集データ管理部２０５は、収集したデータを収集データファイルのレコードフォーマット３０１に編集し、編集済みの収集データを収集データフィルタリング部２１０へ送信する。データフィルタリング部２１０へデータを送信した後、終了要求の受信待ちまたは収集時間待ちとなる（ステップ７０７）。
【００３８】図８は収集データフィルタリング部２１０でのデータフィルタリング処理動作を説明するフローチャートであり、以下、これについて説明する。
【００３９】（１）収集データフィルタリング部２１０は、終了要求を受信したか否かを判定し、終了要求を受信した場合、何もせずにここでの処理を終了し、終了要求を受信していない場合、フィルタリングの条件情報を認識しているか否かを判定する。フィルタリングの条件情報とは、フィルタリング条件テーブル２０９に格納されている情報であり、図４によりすでに説明した情報である（ステップ８０１、８０２）。
【００４０】（２）ステップ８０２の判定で、フィルタリング条件の情報が認識されていない場合、収集データフィルタリング部２１０は、フィルタリング条件を認識する処理を行う（ステップ８０３）。
【００４１】（３）ステップ８０３の処理後、あるいは、ステップ８０２の判定で、フィルタリング条件の情報が認識されていた場合、続いて、指定ファイル監視部２０７から指定ファイル２０８に対するアクセスの通知があるか否かを判定する（ステップ８０４）。
【００４２】（４）ステップ８０４の判定で、ファイルアクセスの通知があった場合、そのとき機能しているフィルタリング条件から、アクセスのあった指定ファイル用に定義されているフィルタリング条件に切り替える。また、指定ファイル用に定義されているフィルタリング条件がない場合、収集データをフィルタリングしないこととする（ステップ８０５）。
【００４３】（５）ステップ８０４の判定で、指定ファイルへのアクセス通知がなかった場合、定期収集対象ファイル用に定義されているフィルタリング条件に切り替える（ステップ８０６）。
【００４４】（６）ステップ８０５、８０６の処理で、フィルタリング条件が設定された後、収集データフィルタリング部２１０は、設定されたフィルタリング条件に従って、データのフィルタリングを行い、フィルタリングにより抽出されたデータを収集データ管理部２１１に送信し、その後、再び終了要求受信待ち及び指定ファイル管理部２０７からの通知の待ち状態となる（ステップ８０７、８０８）。
【００４５】前述したように、データをフィルタリング条件によって選別することにより、収集データファイル２１２に格納するデータを必要最小限の数とすることが可能となり、計算機Ａと計算機Ｂとの間の通信の負荷を軽減することが可能となる。
【００４６】図９は収集データ管理部２１１での収集データの管理を行う処理動作を説明するフローチャートであり、以下、これについて説明する。
【００４７】（１）収集データ管理部２１１は、データ収集ファイルに関する設定を認識する。データ収集ファイルに関する設定とは、データ収集ファイルの最大許容量、格納位置、ファイル名、ファイル形式の設定である。ファイル形式とは、ファイル容量の規定が行われずに単調増加する形式と、ファイルの容量がある一定の容量である最大許容量に到達した場合に、そのデータを退避し、新たにファイルを作る形式と、最大許容量に到達した場合に、そのファイルの先頭から１レコードずつ上書きしていく形式等のファイルのデータ量が設定された限界量に到達するときのデータ格納手段の種別を意味する。ファイル名としては、固定名指定またはパラメータ指定が可能である（ステップ９０１）。
【００４８】（２）ステップ９０１でのデータ収集ファイルに関する設定の認識の後、終了要求を受信したかを判定し、終了要求を受信した場合、何もせずにここでの処理を終了する（ステップ９０２）。
【００４９】（３）ステップ９０２での判定で、終了要求を受信していない場合、収集データフィルタリング部２１０からのデータを受信したか否かを判定する。データを受信していない場合、ステップ９０２からの処理に戻り、終了要求の受信判定の処理を行う（ステップ９０３）（４）ステップ９０３での判定で、収集データフィルタリング部２１０からのデータを受信した場合、収集データを収集データファイル２１２に格納し、格納後、指定ファイル監視部からの通知を受信したかを判定する（ステップ９０４、９０５）。
【００５０】（５）ステップ９０５での判定で、指定ファイル監視部からの通知を受信していない場合、次にデータを格納する際に収集データファイルの容量が最大許容量を越えるか否かの確認を行い、この結果、収集データファイルの容量が最大許容量を越える場合、ファイルの切り替えや、ファイルの先頭の１レコード分を上書きするためのファイルディスクリプタの移動等の設定されたファイル形式にとって適切な処理を行った後、ステップ９０２の処理に戻り、終了要求を受信したか否かの判定を続ける。
【００５１】（６）ステップ９０５での判定で、指定ファイル監視部２０７から通知があった場合、データ送信部２１３にたいして送信の要求を行い、その後、ステップ９０２の処理に戻って、終了要求を受信したか否かの判定を続ける（ステップ９０６）。
【００５２】図１０はセキュリティ情報ファイル格納部２１９でのデータ解析の対象であるファイルの管理を行う処理動作を説明するフローチャートであり、以下、これについて説明する。
【００５３】（１）セキュリティ情報ファイル格納部２１９は、終了要求を受信したか否かを判定し、終了要求を受信した場合、何もせずにここでの処理を終了し、終了要求を受信していない場合、データ受信部２１７からデータ受信の通知を受信したか否かを判定し、通知を受信していない場合、終了要求を受信したか否かを判定する処理を続ける（ステップ１００１、１００２）。
【００５４】（２）ステップ１００２での判定で、データ受信の通知を受けていた場合、アクセスが発生したファイル名を認識し、現在機能している解析条件がアクセス発生ファイル名用の条件であるか否かを比較する。現在機能している解析条件がアクセス発生ファイル名用の条件でない場合、セキュリティ情報解析部２２１へアクセスのあった指定ファイルに対する解析用条件への切り替えを依頼する（ステップ１００３）。
【００５５】（３）その後、セキュリティ情報ファイル格納部２１９は、セキュリティ情報ファイル２２０へ受信したデータを格納する。そして、受信したデータを全て格納し終わった後、セキュリティ情報解析部２２１へデータの解析依頼を行う（ステップ１００４、１００５）。
【００５６】図１１はセキュリティ情報解析部２２１でのデータ解析を行う処理動作を説明するフローチャートであり、以下、これについて説明する。
【００５７】（１）セキュリティ情報解析部２２１は、終了要求を受信したか否かを判定し、終了要求を受信した場合、何もせずにここでの処理を終了し、終了要求を受信していない場合、データ解析条件を認識しているか否かを判定する。なお、データ解析条件については図１３により後述する（ステップ１１０１、１１０２）。
【００５８】（２）ステップ１１０２での判定で、データ解析条件が認識されていない場合、その解析条件を認識する処理を行う（ステップ１１０３）。
【００５９】（３）ステップ１１０３の処理後、あるいは、ステップ１１０２での判定で、データ解析条件が認識されていた場合、セキュリティ情報ファイル格納部２１９から解析条件の切り替え依頼があったか否かを判定し、解析条件の切り替え依頼があった場合、解析条件をセキュリティ情報ファイル格納部２１９の指示の通りの条件に切り替える（ステップ１１０４、１１０５）。
【００６０】（４）ステップ１１０５の処理後、あるいは、ステップ１１０４での判定で、解析条件の切り替え依頼がなかった場合、セキュリティ情報ファイル格納部２１９からの解析依頼を受信しているか否かを判定し、解析依頼を受信していない場合、ステップ１１０１の処理に戻り、終了要求を受信したか否かの判定の処理を続ける（ステップ１１０６）。
【００６１】（５）ステップ１１０３での判定で、解析依頼を受信している場合、設定された解析条件に従って解析を行い、その結果を出力する。なお、解析結果の出力のイメージは図１４により後述する。結果を出力した後、ステップ１１０１での終了要求を受信したか否かの判定の処理に戻る（ステップ１１０７、１１０８）。
【００６２】図１２は端末２０１がフィルタリング条件を設定するための定義画面の例を示す図であり、以下、これについて説明する。
【００６３】図１２に示す定義画面の例は、収集の対象とするファイル毎に作成される。この画面は、フィルタリング条件の種別１２０１、収集の対象となるファイル名１２０２、フィルタリング条件種別が指定ファイルアクセス発生時用条件の場合のみ設定する指定ファイルと関連があり、データ収集対象となるファイル名を指定するフィールド１２０３、プルダウンメニューで選択して設定するデータの時間枠１２０４、ユーザ名１２０５、処理名１２０６を指定することができるもので、この条件に一致するデータだけが収集データファイル２１２に格納される。
【００６４】図１３は端末２１４が解析条件を設定するための定義画面の例を示す図であり、以下、これについて説明する。
【００６５】図１３に示す定義画面は、指定ファイル毎に作成される。図示画面における解析ＩＤ１３０１は、解析条件を識別するＩＤを指定する。対象ファイル名１３０２は、指定ファイル名２０８を指定する。解析データ範囲指定１３０３は、指定ファイルアクセス時間または現時刻を基点として、基点以前の時刻と以降の時刻とを指定し、対象とするデータ中のイベント発生時間付近の時間帯のデータを抽出して解析することを可能とする。時刻の単位は、プルダウンメニューより選択することができる。解析のポイント指定１３０４は、解析の焦点としたい項目と抽出したいデータとの設定を行う。解析レベル１３０５は、解析のレベルを指定する。この指定レベルが高い場合、指定レベルが低い場合と比較してより詳細な情報を取得して報告することができる。
【００６６】図１４はセキュリティ情報解析部２２１での解析処理後の解析結果の出力画面例を示す図であり、以下、これについて説明する。
【００６７】この処理画面には、解析に使用した条件１４０１と解析結果１４０２とが表示出力される。解析レベルが高いと、解析結果１４０２もより詳細な内容が出力される。
【００６８】前述した本発明の実施形態は、アクセスを監視する対象の指定及び収集する関連データの選別が可能であり、特定データの検索や解析の容易な情報のみを蓄積することが可能である。また、データ解析の対象となるファイルは単数で解析方法を適宜変更することが可能である。
【００６９】
【発明の効果】以上説明したように本発明によれば、ログの収集や管理における計算機や管理者の負担を軽減することができる。また、解析に使用するデータとして、アクセスが発生したファイルの情報に加え、同一計算機やネットワークで繋がった他の計算機におけるアクセス発生ファイルに関連のあるシステムやアプリケーションが出力するログデータをも含せることができ、より詳細で徹底した解析を行うことができる。

【出願人】	【識別番号】０００００５１０８【氏名又は名称】株式会社日立製作所
【出願日】	平成１２年９月２９日（２０００．９．２９）
【代理人】	【識別番号】１０００７８１３４【弁理士】【氏名又は名称】武顕次郎
【公開番号】	特開２００２－１０８６５９（Ｐ２００２－１０８６５９Ａ）
【公開日】	平成１４年４月１２日（２００２．４．１２）
【出願番号】	特願２０００－３００３４７（Ｐ２０００－３００３４７）