特開 2024-77149 ログ管理装置、ログ管理方法、及びログ管理プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024077149

(43)【公開日】2024-06-07

(54)【発明の名称】ログ管理装置、ログ管理方法、及びログ管理プログラム

(51)【国際特許分類】

   G06F 11/34 20060101AFI20240531BHJP

   G06F 21/64 20130101ALI20240531BHJP

【ＦＩ】

G06F11/34 176

G06F21/64

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2022189023

(22)【出願日】2022-11-28

(71)【出願人】

【識別番号】000005234

【氏名又は名称】富士電機株式会社

(74)【代理人】

【識別番号】110004185

【氏名又は名称】インフォート弁理士法人

(74)【代理人】

【識別番号】100121083

【弁理士】

【氏名又は名称】青木 宏義

(74)【代理人】

【識別番号】100138391

【弁理士】

【氏名又は名称】天田 昌行

(74)【代理人】

【識別番号】100132067

【弁理士】

【氏名又は名称】岡田 喜雅

(74)【代理人】

【識別番号】100157967

【弁理士】

【氏名又は名称】管田 洋明

(72)【発明者】

【氏名】大室 善則

【テーマコード（参考）】

5B042

【Ｆターム（参考）】

5B042JJ29

5B042MA08

5B042MC35

5B042MC40

(57)【要約】

【課題】監視対象システムのログ情報を検証可能な状態で管理する。
【解決手段】第１取得部は、監視対象システムのログ情報を取得する。第２取得部は、監視対象システムとは異なる情報生成システムから、時間の経過に伴って変化する所定の情報を取得する。生成部は、ログ情報及び所定の情報に基づいて、ログ情報に対する証跡情報を生成する。記憶部は、ログ情報及び証跡情報を記憶する。
【選択図】図１

【特許請求の範囲】

【請求項1】

監視対象システムのログ情報を取得する第１取得部と、
前記監視対象システムとは異なる情報生成システムから、時間の経過に伴って変化する所定の情報を取得する第２取得部と、
前記ログ情報及び前記所定の情報に基づいて、前記ログ情報に対する証跡情報を生成する生成部と、
前記ログ情報及び前記証跡情報を記憶する記憶部と、
を備えることを特徴とするログ管理装置。

【請求項2】

前記第２取得部は、前記ログ情報に対応する時刻情報を含む情報要求を前記情報生成システムへ送信し、前記所定の情報を前記情報生成システムから受信し、
前記所定の情報は、前記時刻情報に対応する情報であることを特徴とする請求項１記載のログ管理装置。

【請求項3】

前記時刻情報は、前記ログ情報が生成された日時を含む特定の期間を表し、前記所定の情報は、前記特定の期間に対応する情報であることを特徴とする請求項２記載のログ管理装置。

【請求項4】

前記証跡情報は、前記ログ情報及び前記所定の情報のハッシュ値であることを特徴とする請求項１乃至３の何れか１項に記載のログ管理装置。

【請求項5】

前記ログ情報は、操作ログ、認証ログ、又は通信ログのうち少なくとも１つ以上のログを含むことを特徴とする請求項１乃至３の何れか１項に記載のログ管理装置。

【請求項6】

コンピュータが、
監視対象システムのログ情報を取得し、
前記監視対象システムとは異なる情報生成システムから、時間の経過に伴って変化する所定の情報を取得し、
前記ログ情報及び前記所定の情報に基づいて、前記ログ情報に対する証跡情報を生成し、
前記ログ情報及び前記証跡情報を記録する、
ことを特徴とするログ管理方法。

【請求項7】

監視対象システムのログ情報を取得し、
前記監視対象システムとは異なる情報生成システムから、時間の経過に伴って変化する所定の情報を取得し、
前記ログ情報及び前記所定の情報に基づいて、前記ログ情報に対する証跡情報を生成し、
前記ログ情報及び前記証跡情報を記録する、
処理をコンピュータに実行させるためのログ管理プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ログ管理装置、ログ管理方法、及びログ管理プログラムに関する。

【背景技術】

【0002】

ログデータの内容に対する信頼性を向上させることを可能とするネットワーク機器が知られている（例えば、特許文献１を参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０２０－１５４６９０号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

特許文献１のネットワーク機器において、改ざん検知用の情報を生成する処理が特定された場合、ログデータと改ざん検知用の情報の改ざんが容易になるため、改ざんの有無を検証することが難しくなる。

【0005】

１つの側面において、本発明は、監視対象システムのログ情報を検証可能な状態で管理することを目的とする。

【課題を解決するための手段】

【0006】

１つの実施形態によれば、ログ管理装置は、第１取得部、第２取得部、生成部、及び記憶部を含む。第１取得部は、監視対象システムのログ情報を取得する。第２取得部は、監視対象システムとは異なる情報生成システムから、時間の経過に伴って変化する所定の情報を取得する。生成部は、ログ情報及び所定の情報に基づいて、ログ情報に対する証跡情報を生成する。記憶部は、ログ情報及び証跡情報を記憶する。

【発明の効果】

【0007】

１つの側面において、監視対象システムのログ情報を検証可能な状態で管理することができる。

【図面の簡単な説明】

【0008】

【図1】実施形態のログ管理装置の機能的構成図である。

【図2】ログ管理処理のフローチャートである。

【図3】ログ管理システムの構成図である。

【図4】監視装置の機能的構成図である。

【図5】インシデントテーブルを示す図である。

【図6】ログ証跡を示す図である。

【図7】監視処理のフローチャートである。

【図8】ログ証跡生成処理のフローチャートである。

【図9】検証処理のフローチャートである。

【図10】情報処理装置のハードウェア構成図である。

【発明を実施するための形態】

【0009】

以下、図面を参照しながら、実施形態を詳細に説明する。

【0010】

図１は、実施形態のログ管理装置の機能的構成例を示している。図１のログ管理装置１０１は、第１取得部１１１、第２取得部１１２、生成部１１３、及び記憶部１１４を含む。

【0011】

図２は、図１のログ管理装置１０１が行うログ管理処理の例を示すフローチャートである。まず、第１取得部１１１は、監視対象システムのログ情報を取得し（ステップ２０１）、第２取得部１１２は、監視対象システムとは異なる情報生成システムから、時間の経過に伴って変化する所定の情報を取得する（ステップ２０２）。生成部１１３は、ログ情報及び所定の情報に基づいて、ログ情報に対する証跡情報を生成し（ステップ２０３）、ログ情報及び証跡情報を記憶部１１４に記録する（ステップ２０４）。

【0012】

図１のログ管理装置１０１によれば、監視対象システムのログ情報を検証可能な状態で管理することができる。

【0013】

図３は、図１のログ管理装置１０１を含むログ管理システムの構成例を示している。図３のログ管理システムは、監視対象システム３１１、監視装置３１２、情報生成システム３１３、及び検証装置３１４を含む。

【0014】

監視装置３１２は、通信ネットワーク３２１を介して、監視対象システム３１１と通信する。監視装置３１２、情報生成システム３１３、及び検証装置３１４は、通信ネットワーク３２２を介して互いに通信する。通信ネットワーク３２１及び通信ネットワーク３２２は、例えば、ＬＡＮ（Local Area Network）又はＷＡＮ（Wide Area Network）である。

【0015】

監視対象システム３１１は、１台又は複数台の情報処理装置（コンピュータ）を含む情報処理システムであり、監視装置３１２は、監視対象システム３１１のセキュリティを監視する情報処理装置である。監視装置３１２は、図１のログ管理装置１０１に対応する。

【0016】

監視装置３１２は、例えば、ＳＩＥＭ（Security Information and Event Management）を用いて、監視対象システム３１１のセキュリティを監視する。ＳＩＥＭでは、監視対象システム３１１のログが収集され、ログを用いて、セキュリティの脅威であるインシデントの発生が監視される。

【0017】

セキュリティに関連するログとしては、複数種類のログが収集される。監視対象システム３１１に対する攻撃者は、サイバーキルチェーンとして知られているように、複数のステップで長期にわたって攻撃を実施することが多い。サイバーキルチェーンは、偵察、武器化、デリバリー、エクスプロイト、インストール、遠隔操作、及び目的の実行の各ステップを含む。

【0018】

このような攻撃を防止するためには、サイバーキルチェーンの各ステップを分析し、ステップに応じた対策を施す必要がある。しかしながら、攻撃が実施された期間のすべてのログを保存すると、ログの記憶容量が増大するため、多大なコストが発生する。そこで、監視装置３１２は、インシデント発生時に、関連する一定期間のログのみをログ証跡として保存することで、コストの増大を抑止する。

【0019】

監視対象システム３１１は、例えば、操作ログ３３１、認証ログ３３２、及び通信ログ３３３を記憶する。操作ログ３３１は、ＰＣ（Personal Computer）のオン又はオフ、ネットワーク操作、各種ファイルの閲覧又は編集等、ユーザの様々な操作履歴を表す。認証ログ３３２は、いつ、誰が、何処から監視対象システム３１１にログインしたかを含むログイン履歴を表す。通信ログ３３３は、監視対象システム３１１内の通信履歴、又は監視対象システム３１１と他のシステムとの間の通信履歴を表す。

【0020】

監視装置３１２は、監視対象システム３１１の操作ログ３３１、認証ログ３３２、及び通信ログ３３３をログ情報として収集し、収集したログ情報を用いてインシデントの発生を監視する。そして、監視装置３１２は、インシデント発生時に、関連するログ情報をログ証跡として保存する。

【0021】

情報生成システム３１３は、監視対象システム３１１及び監視装置３１２から独立した外部システムであり、監視装置３１２及び検証装置３１４からのみアクセス可能である。情報生成システム３１３は、時間の経過に伴って変化する所定の情報を生成し、生成された情報を、その情報が生成された日時と対応付けて保存する。

【0022】

情報生成システム３１３は、例えば、センサ等を用いて計測したデータを、所定の情報として用いることができる。計測されるデータは、外部環境の温度、湿度、気圧、風速等であってもよく、建屋における太陽光発電の電力量、工場における消費電力量等であってもよい。情報生成システム３１３は、交差点、繁華街等の風景をカメラで撮影した画像から画像特徴量を抽出し、抽出された画像特徴量を所定の情報として用いることもできる。

【0023】

監視装置３１２は、インシデントが発生した日時を指定して、情報生成システム３１３から所定の情報を取得し、取得した情報を、インシデントに関連するログ情報に対する付加情報として用いる。そして、監視装置３１２は、インシデントに関連するログ情報及び付加情報から証跡情報を生成し、ログ情報及び証跡情報を含むログ証跡を保存する。以下では、インシデントが発生した日時を、インシデント日時と記載することがある。

【0024】

検証装置３１４は、監視装置３１２から、何れかのインシデント日時のログ証跡を取得する。また、検証装置３１４は、そのインシデント日時を指定して、情報生成システム３１３から所定の情報を取得し、取得した情報を、ログ証跡に含まれるログ情報に対する付加情報として用いる。そして、検証装置３１４は、付加情報を用いてログ証跡の内容を検証する。

【0025】

図４は、図３の監視装置３１２の機能的構成例を示している。図３の監視装置３１２は、取得部４１１、取得部４１２、監視部４１３、通信部４１４、及び記憶部４１５を含む。取得部４１１、取得部４１２、監視部４１３、及び記憶部４１５は、図１の第１取得部１１１、第２取得部１１２、生成部１１３、及び記憶部１１４にそれぞれ対応する。

【0026】

記憶部４１５は、インシデントテーブル４２１を記憶する。インシデントテーブル４２１は、インシデントに対応するログの条件を示す情報を含む。

【0027】

図５は、インシデントテーブル４２１の例を示している。図５のインシデントテーブル４２１は、インシデント、ログ、及びログ証跡の期間の項目を含む。インシデントは、インシデントの識別情報を表し、ログは、ログに対する条件を表し、ログ証跡の期間は、ログ証跡に含められるログ情報の収集期間を表す。

【0028】

ログは、認証ログ、操作ログ、通信ログ、及び判定期間の項目を含む。認証ログは、認証ログに対する条件を表し、操作ログは、操作ログに対する条件を表し、通信ログは、通信ログに対する条件を表す。判定期間は、ログがインシデントに対応するか否かを判定する周期を表す。

【0029】

図５のインシデントテーブル４２１は、インシデントＩ１～インシデントＩ３のエントリを含む。

【0030】

例えば、インシデントＩ１の認証ログは、「パスワードの入力をｎ回以上失敗」であり、判定期間は、４時間である。この条件は、監視対象システム３１１にユーザがログインする際に、誤ったパスワードが入力された回数がｎ回以上であることを表す。このようなユーザは異常なユーザに該当すると判定され、条件に合致する認証ログがインシデントとして検出される。

【0031】

インシデントＩ２の認証ログは、「一般ユーザ」であり、操作ログは、「操作権限の昇格操作」であり、判定期間は、１時間である。この条件は、一般ユーザが操作権限を管理者レベル等の上位レベルに変更したことを表す。このようなユーザは異常なユーザに該当すると判定され、条件に合致する認証ログ及び操作ログがインシデントとして検出される。

【0032】

インシデントＩ３の認証ログは、「一般ユーザ」であり、通信ログは、「大量データの外部送信」であり、判定期間は、１時間である。この条件は、一般ユーザが大量のデータを監視対象システム３１１の外部のシステムへ送信したことによって、監視対象システム３１１内で大量の通信負荷が発生したことを表す。

【0033】

外部のシステムへ送信されたデータは、そのユーザによって盗み出された内部データである可能性がある。このため、このようなユーザは異常なユーザに該当すると判定され、条件に合致する認証ログ及び通信ログがインシデントとして検出される。

【0034】

インシデントテーブル４２１は、インシデントＩ１～インシデントＩ３以外のインシデントのエントリを含んでいてもよい。

【0035】

ログ証跡の期間は、認証ログ、操作ログ、及び通信ログの項目を含む。認証ログは、認証ログの収集期間を表し、操作ログは、操作ログの収集期間を表し、通信ログは、通信ログの収集期間を表す。

【0036】

例えば、インシデントＩ１の認証ログは、２日間である。インシデントＩ２の認証ログは、１時間であり、操作ログは、１時間である。インシデントＩ３の認証ログは、１時間であり、通信ログは、２時間である。

【0037】

通信部４１４は、通信ネットワーク３２１を介して、監視対象システム３１１と通信し、通信ネットワーク３２２を介して、情報生成システム３１３及び検証装置３１４と通信する。

【0038】

取得部４１１は、通信部４１４を介して、監視対象システム３１１から操作ログ３３１、認証ログ３３２、及び通信ログ３３３を取得し、監視部４１３へ出力する。

【0039】

監視部４１３は、判定期間の間に取得された操作ログ３３１、認証ログ３３２、及び通信ログ３３３がインシデントテーブル４２１の各エントリの条件に合致するか否かをチェックし、条件に合致するログをインシデントとして検出する。

【0040】

次に、監視部４１３は、そのログが生成された日時をインシデント日時として用いて、検出されたイベントのログ証跡の期間により指定されている種類のログを、記憶部４１５に記録する。

【0041】

具体的には、監視部４１３は、インシデント日時からログ証跡の期間にわたって取得された操作ログ３３１、認証ログ３３２、及び通信ログ３３３のうち、ログ証跡の期間により指定されている種類のログを抽出する。そして、監視部４１３は、抽出されたログを、インシデントに関連するログ情報４２２として記憶部４１５に格納する。したがって、ログ情報４２２は、操作ログ３３１、認証ログ３３２、又は通信ログ３３３のうち少なくとも１つ以上のログを含む。

【0042】

さらに、監視部４１３は、インシデント日時に対応する情報の取得を、取得部４１２に指示する。

【0043】

取得部４１２は、例えば、インシデント日時を含む情報要求を、通信部４１４を介して、情報生成システム３１３へ送信する。この場合のインシデント日時は、ログ情報に対応する時刻情報の一例である。

【0044】

情報生成システム３１３は、日時と対応付けて保存されている所定の情報の中から、受信した情報要求に含まれるインシデント日時に対応する情報を抽出する。そして、情報生成システム３１３は、インシデント日時と抽出された情報とを含む応答を、監視装置３１２へ送信する。

【0045】

取得部４１２は、通信部４１４を介して、情報生成システム３１３から応答を受信し、応答に含まれる情報を、ログ情報４２２に対する付加情報４２３として、記憶部４１５に格納する。

【0046】

取得部４１２は、インシデント日時を含む特定の期間を含む情報要求を、情報生成システム３１３へ送信することもできる。特定の期間は、インシデント日時のＴ時間前から、インシデント日時のＴ時間後までの期間であってもよい。Ｔは、例えば、インシデントの発生からログ証跡の生成までの時間よりも長い時間である。Ｔは、０．５～５の範囲の実数であってもよい。この場合の特定の期間は、ログ情報に対応する時刻情報の一例である。

【0047】

情報生成システム３１３は、日時と対応付けて保存されている所定の情報の中から、受信した情報要求に含まれる特定の期間に対応する情報を抽出する。そして、情報生成システム３１３は、抽出された情報とその情報に対応する日時とを含む応答を、監視装置３１２へ送信する。

【0048】

このような特定の期間を、取得対象の情報に対する制約条件として情報要求に含めることで、監視対象システム３１１に対する攻撃者等の第三者が、情報生成システム３１３から同じ情報を取得することが困難になる。

【0049】

監視部４１３は、ログ情報４２２及び付加情報４２３から証跡情報４２５を生成する。証跡情報４２５は、例えば、ログ情報４２２及び付加情報４２３のハッシュ値であり、監視部４１３は、ログ情報４２２と付加情報４２３とを組み合わせた情報に対するハッシュ演算を行うことで、証跡情報４２５を生成する。

【0050】

また、監視部４１３は、検出されたインシデントよりも前に検出された別のインシデントのログ証跡に含まれる情報から、証跡情報４２６を生成する。証跡情報４２６は、例えば、別のインシデントのログ証跡に含まれる情報のハッシュ値であり、監視部４１３は、その情報に対するハッシュ演算を行うことで、証跡情報４２６を生成する。

【0051】

そして、監視部４１３は、ログ情報４２２、証跡情報４２５、証跡情報４２６、及び日時情報４２７を含むログ証跡４２４を生成して、記憶部４１５に格納し、記憶部４１５から付加情報４２３を削除する。日時情報４２７は、検出されたインシデントのインシデント日時を示す。監視部４１３は、検出されたインシデント毎にログ証跡４２４を生成して、記憶部４１５に格納する。

【0052】

図６は、ログ証跡４２４の例を示している。図５のインシデントＩ２が検出された場合、監視部４１３は、監視対象システム３１１から取得された認証ログ６１１－２及び操作ログ６１２－２を、インシデントＩ２に関連するログ情報４２２として記憶部４１５に格納する。そして、取得部４１２は、情報生成システム３１３から取得された付加情報６０１－２を記憶部４１５に格納する。

【0053】

次に、監視部４１３は、認証ログ６１１－２、操作ログ６１２－２、及び付加情報６０１－２から証跡情報６１３－２を生成し、インシデントＩ２の直前に検出された別のインシデントのログ証跡に含まれる情報から、証跡情報６１４－２を生成する。そして、監視部４１３は、認証ログ６１１－２、操作ログ６１２－２、証跡情報６１３－２、証跡情報６１４－２、及びインシデントＩ２の日時情報６１５－２を含むログ証跡６０２－２を生成して、記憶部４１５に記録する。

【0054】

インシデントＩ２に続いてインシデントＩ１が検出された場合、監視部４１３は、監視対象システム３１１から取得された認証ログ６１１－１を、インシデントＩ１に関連するログ情報４２２として記憶部４１５に格納する。そして、取得部４１２は、情報生成システム３１３から取得された付加情報６０１－１を記憶部４１５に格納する。

【0055】

次に、監視部４１３は、認証ログ６１１－１及び付加情報６０１－１から証跡情報６１３－１を生成する。そして、監視部４１３は、インシデントＩ１の直前に検出されたインシデントＩ２のログ証跡６０２－２に含まれる情報である、認証ログ６１１－２、操作ログ６１２－２、証跡情報６１３－２、及び証跡情報６１４－２から、証跡情報６１４－１を生成する。

【0056】

次に、監視部４１３は、認証ログ６１１－１、証跡情報６１３－１、証跡情報６１４－１、及びインシデントＩ１の日時情報６１５－１を含むログ証跡６０２－１を生成して、記憶部４１５に記録する。

【0057】

インシデント日時を含むログ証跡要求を検証装置３１４から受信した場合、監視部４１３は、記憶部４１５から、そのインシデント日時を示す日時情報４２７を含むログ証跡４２４と、直前に検出された別のインシデントのログ証跡４２４とを抽出する。そして、監視部４１３は、通信部４１４を介して、抽出された２つのログ証跡４２４を検証装置３１４へ送信する。

【0058】

特許文献１のログ記録方法では、ログデータのみを用いて改ざん検知用の情報を生成しているため、その生成方法が攻撃者によって特定された場合、ログデータと改ざん検知用の情報が改ざんされる可能性がある。ログデータと改ざん検知用の情報が改ざんされた場合、ログデータを用いて攻撃の有無を確認したり、攻撃に対する対策を検討したりする処理を、正しく実施することが難しくなる。

【0059】

これに対して、図３のログ管理システムによれば、ログ情報４２２に対して、情報生成システム３１３により生成された一意の情報が付加情報４２３として付加され、ログ情報４２２及び付加情報４２３から証跡情報４２５が生成される。これにより、監視対象システム３１１に対する攻撃者が証跡情報４２５の生成方法を特定することが困難になる。

【0060】

仮に証跡情報４２５の生成方法が特定されたとしても、攻撃者は情報生成システム３１３へのアクセス権を持っていないため、証跡情報４２５の生成に用いられた付加情報４２３を取得することはできない。したがって、攻撃者がログ証跡４２４に含まれるログ情報４２２を改ざんすることができたとしても、証跡情報４２５を改ざんすることはできない。

【0061】

一方、情報生成システム３１３へのアクセス権を持つ検証装置３１４は、証跡情報４２５の生成に用いられた付加情報４２３を取得することができ、付加情報４２３を用いてログ情報４２２が改ざんされたか否かをチェックすることができる。したがって、攻撃者がログ情報４２２のみを改ざんした場合、改ざんの事実が容易に検出されるため、ログ証跡４２４を保存しておくことで、監視対象システム３１１のログ情報４２２を検証可能な状態で管理することができる。

【0062】

図７は、図４の監視装置３１２が行う監視処理の例を示すフローチャートである。図７の監視処理において、監視部４１３は、インシデントテーブル４２１に登録されているインシデント毎に、そのインシデントが発生したか否かをチェックする。

【0063】

まず、監視部４１３は、インシデントテーブル４２１から１つのエントリを選択し、そのエントリの判定期間を取得する。そして、監視部４１３は、そのエントリのインシデントに関するチェックを最後に行ってから判定期間が経過したか否かをチェックする（ステップ７０１）。

【0064】

判定期間が経過している場合（ステップ７０１，ＹＥＳ）、監視部４１３は、その判定期間の間に取得された操作ログ３３１、認証ログ３３２、及び通信ログ３３３が、選択されたエントリのログの条件に合致するか否かをチェックする（ステップ７０２）。

【0065】

条件に合致するログが存在する場合（ステップ７０２，ＹＥＳ）、監視装置３１２は、そのログが生成された日時をインシデント日時として用いて、ログ証跡生成処理を行う（ステップ７０４）。そして、監視部４１３は、インシデントテーブル４２１に登録されているすべてのインシデントに関するチェックを行ったか否かをチェックする（ステップ７０３）。

【0066】

未チェックのインシデントが残っている場合（ステップ７０３，ＮＯ）、監視装置３１２は、次のインシデントについて、ステップ７０１以降の処理を繰り返す。

【0067】

判定期間が経過していない場合（ステップ７０１，ＮＯ）、又は条件に合致するログが存在しない場合（ステップ７０２，ＮＯ）、監視装置３１２は、ステップ７０３以降の処理を行う。すべてのインシデントに関するチェックが行われた場合（ステップ７０３，ＹＥＳ）、監視装置３１２は、処理を終了する。

【0068】

図８は、図７のステップ７０４におけるログ証跡生成処理の例を示すフローチャートである。まず、監視部４１３は、選択されたエントリのログの項目に含まれる認証ログ、操作ログ、及び通信ログのうち、何れかの種類のログの条件を参照し、条件が存在するか否かをチェックする（ステップ８０１）。

【0069】

ログの条件が存在する場合（ステップ８０１，ＹＥＳ）、監視部４１３は、ログ証跡の期間の項目に含まれる認証ログ、操作ログ、及び通信ログのうち、条件と同じ種類のログの期間を取得する。そして、監視部４１３は、インシデント日時からその期間が経過するまでの間に取得されたログを抽出し、ログ情報４２２として記憶部４１５に格納する（ステップ８０２）。

【0070】

次に、監視部４１３は、選択されたエントリのログの項目に含まれているすべての種類のログに関するチェックを行ったか否かをチェックする（ステップ８０３）。未チェックのログが残っている場合（ステップ８０３，ＮＯ）、監視装置３１２は、次の種類のログについて、ステップ８０１以降の処理を繰り返す。

【0071】

すべての種類のログに関するチェックを行った場合（ステップ８０３，ＹＥＳ）、監視部４１３は、インシデント日時に対応する情報の取得を、取得部４１２に指示し、取得部４１２は、インシデント日時を含む情報要求を、情報生成システム３１３へ送信する。情報生成システム３１３は、受信した情報要求に含まれるインシデント日時と、そのインシデント日時に対応する情報とを含む応答を、監視装置３１２へ送信する。これにより、取得部４１２は、インシデント日時に対応する情報を取得する（ステップ８０４）。

【0072】

監視部４１３は、インシデント日時を含む特定の期間に対応する情報の取得を、取得部４１２に指示してもよい。この場合、取得部４１２は、特定の期間を含む情報要求を、情報生成システム３１３へ送信する。情報生成システム３１３は、受信した情報要求に含まれる特定の期間に対応する情報と、その情報に対応する日時とを含む応答を、監視装置３１２へ送信する。これにより、取得部４１２は、特定の期間に対応する情報を取得する。

【0073】

取得部４１２は、情報生成システム３１３から取得した情報を、付加情報４２３として記憶部４１５に格納する。

【0074】

次に、監視部４１３は、ログ情報４２２及び付加情報４２３から証跡情報４２５を生成する（ステップ８０５）。そして、監視部４１３は、検出されたインシデントの直前に検出された別のインシデントのログ証跡４２４に含まれるログ情報４２２、証跡情報４２５、及び証跡情報４２６から、証跡情報４２６を生成する（ステップ８０６）。

【0075】

次に、監視部４１３は、検出されたインシデントのログ情報４２２及び日時情報４２７と、生成された証跡情報４２５及び証跡情報４２６とを含む、ログ証跡４２４を生成して、記憶部４１５に記録する（ステップ８０７）。

【0076】

図９は、図３の検証装置３１４が行う検証処理の例を示すフローチャートである。検証装置３１４は、何れかのインシデント日時を含むログ証跡要求を監視装置３１２へ送信する。そして、検証装置３１４は、そのインシデント日時を示す日時情報４２７を含むログ証跡４２４と、そのインシデントの直前に検出された別のインシデントのログ証跡４２４とを、監視装置３１２から受信する。

【0077】

以下では、ログ証跡要求に含まれるインシデント日時を示す日時情報４２７を含むログ証跡４２４を、検証対象ログ証跡と記載し、直前に検出された別のインシデントのログ証跡４２４を、参照ログ証跡と記載することがある。

【0078】

まず、検証装置３１４は、受信した２つのログ証跡４２４のうち検証対象ログ証跡から、ログ情報４２２を抽出する（ステップ９０１）。

【0079】

次に、検証装置３１４は、検証対象ログ証跡に含まれる日時情報４２７が示すインシデント日時を含む情報要求を、情報生成システム３１３へ送信する。情報生成システム３１３は、受信した情報要求に含まれるインシデント日時と、そのインシデント日時に対応する情報とを含む応答を、検証装置３１４へ送信する。これにより、検証装置３１４は、インシデント日時に対応する情報を取得する（ステップ９０２）。

【0080】

検証装置３１４は、インシデント日時を含む特定の期間を含む情報要求を、情報生成システム３１３へ送信してもよい。この場合、情報生成システム３１３は、受信した情報要求に含まれる特定の期間に対応する情報と、その情報に対応する日時とを含む応答を、検証装置３１４へ送信する。これにより、検証装置３１４は、特定の期間に対応する情報を取得する。

【0081】

次に、検証装置３１４は、取得した情報を、ログ情報４２２に対する付加情報として用いて、ログ情報４２２及び付加情報から証跡情報Ａ１を生成する（ステップ９０３）。

【0082】

次に、検証装置３１４は、証跡情報Ａ１が検証対象ログ証跡に含まれる証跡情報４２５と一致するか否かをチェックする（ステップ９０４）。証跡情報Ａ１が検証対象ログ証跡に含まれる証跡情報４２５と一致する場合（ステップ９０４，ＹＥＳ）、検証装置３１４は、参照ログ証跡に含まれるログ情報４２２、証跡情報４２５、及び証跡情報４２６から、証跡情報Ａ２を生成する（ステップ９０５）。

【0083】

次に、検証装置３１４は、証跡情報Ａ２が検証対象ログ証跡に含まれる証跡情報４２６と一致するか否かをチェックする（ステップ９０６）。証跡情報Ａ２が検証対象ログ証跡に含まれる証跡情報４２６と一致する場合（ステップ９０６，ＹＥＳ）、検証装置３１４は、検証対象ログ証跡が正常なログ証跡であると判定する（ステップ９０７）。

【0084】

証跡情報Ａ１が検証対象ログ証跡に含まれる証跡情報４２５と一致しない場合（ステップ９０４，ＮＯ）、検証装置３１４は、検証対象ログ証跡が異常なログ証跡であると判定する（ステップ９０８）。また、証跡情報Ａ２が検証対象ログ証跡に含まれる証跡情報４２６と一致しない場合（ステップ９０６，ＮＯ）、検証装置３１４は、検証対象ログ証跡が異常なログ証跡であると判定する（ステップ９０８）。

【0085】

図１のログ管理装置１０１の構成は一例に過ぎず、ログ管理装置１０１の用途又は条件に応じて、一部の構成要素を省略又は変更してもよい。

【0086】

図３のログ管理システムの構成は一例に過ぎず、ログ管理システムの用途又は条件に応じて、一部の構成要素を省略又は変更してもよい。

【0087】

図４の監視装置３１２の構成は一例に過ぎず、ログ管理システムの用途又は条件に応じて、一部の構成要素を省略又は変更してもよい。例えば、ログ証跡４２４に証跡情報４２６を含める必要がない場合は、証跡情報４２６を省略することができる。

【0088】

図２及び図７～図９に示したフローチャートは一例に過ぎず、ログ管理装置１０１又はログ管理システムの構成又は条件に応じて、一部の処理を省略又は変更してもよい。例えば、ログ証跡４２４に証跡情報４２６を含める必要がない場合は、図８のステップ８０６の処理と図９のステップ９０５及びステップ９０６の処理を省略することができる。

【0089】

図５に示したインシデントテーブル４２１は一例に過ぎず、インシデントテーブル４２１のエントリは、監視対象システム３１１に応じて変化する。図６に示したログ証跡４２４は一例に過ぎず、ログ証跡４２４に含まれるログの種類は、検出されたインシデントに応じて変化する。

【0090】

図１０は、図１のログ管理装置１０１及び図４の監視装置３１２として用いられる情報処理装置のハードウェア構成例を示している。図１０の情報処理装置は、ＣＰＵ（Central Processing Unit）１００１、メモリ１００２、入力装置１００３、出力装置１００４、補助記憶装置１００５、媒体駆動装置１００６、及びネットワーク接続装置１００７を含む。これらの構成要素はハードウェアであり、バス１００８により互いに接続されている。

【0091】

メモリ１００２は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等の半導体メモリであり、処理に用いられるプログラム及びデータを記憶する。メモリ１００２は、図１の記憶部１１４又は図４の記憶部４１５として動作してもよい。

【0092】

ＣＰＵ１００１（プロセッサ）は、例えば、メモリ１００２を利用してプログラムを実行することにより、図１の第１取得部１１１、第２取得部１１２、及び生成部１１３として動作する。ＣＰＵ１００１は、メモリ１００２を利用してプログラムを実行することにより、図４の取得部４１１、取得部４１２、及び監視部４１３としても動作する。

【0093】

入力装置１００３は、例えば、キーボード、ポインティングデバイス等であり、オペレータからの指示又は情報の入力に用いられる。出力装置１００４は、例えば、表示装置、プリンタ、スピーカ等であり、オペレータへの問い合わせ又は指示、及び処理結果の出力に用いられる。処理結果は、ログ証跡４２４であってもよい。

【0094】

補助記憶装置１００５は、例えば、磁気ディスク装置、光ディスク装置、光磁気ディスク装置、テープ装置等である。補助記憶装置１００５は、ハードディスクドライブ又はＳＳＤ（Solid State Drive）であってもよい。情報処理装置は、補助記憶装置１００５にプログラム及びデータを格納しておき、それらをメモリ１００２にロードして使用することができる。補助記憶装置１００５は、図１の記憶部１１４又は図４の記憶部４１５として動作してもよい。

【0095】

媒体駆動装置１００６は、可搬型記録媒体１００９を駆動し、その記録内容にアクセスする。可搬型記録媒体１００９は、メモリデバイス、フレキシブルディスク、光ディスク、光磁気ディスク等である。可搬型記録媒体１００９は、ＣＤ－ＲＯＭ（Compact Disk Read Only Memory）、ＤＶＤ（Digital Versatile Disk）、ＵＳＢ（Universal Serial Bus）メモリ等であってもよい。オペレータは、可搬型記録媒体１００９にプログラム及びデータを格納しておき、それらをメモリ１００２にロードして使用することができる。

【0096】

このように、処理に用いられるプログラム及びデータを格納するコンピュータ読み取り可能な記録媒体は、メモリ１００２、補助記憶装置１００５、又は可搬型記録媒体１００９のような、物理的な（非一時的な）記録媒体である。

【0097】

ネットワーク接続装置１００７は、通信ネットワークに接続され、通信に伴うデータ変換を行う通信インタフェース回路である。情報処理装置は、プログラム及びデータを外部の装置からネットワーク接続装置１００７を介して受信し、それらをメモリ１００２にロードして使用することができる。ネットワーク接続装置１００７は、図４の通信部４１４として動作してもよい。

【0098】

図３の監視対象システム３１１、情報生成システム３１３、及び検証装置３１４としては、図１０と同様の情報処理装置を用いることができる。

【0099】

なお、情報処理装置が図１０のすべての構成要素を含む必要はなく、用途又は条件に応じて一部の構成要素を省略することも可能である。例えば、オペレータとのインタフェースが不要な場合は、入力装置１００３及び出力装置１００４を省略してもよい。可搬型記録媒体１００９を使用しない場合は、媒体駆動装置１００６を省略してもよい。

【0100】

開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。

【符号の説明】

【0101】

１０１ ログ管理装置
１１１ 第１取得部
１１２ 第２取得部
１１３ 生成部
１１４、４１５ 記憶部
３１１ 監視対象システム
３１２ 監視装置
３１３ 情報生成システム
３１４ 検証装置
３２１、３２２ 通信ネットワーク
３３１、６１２－２ 操作ログ
３３２、６１１－１、６１１－２ 認証ログ
３３３ 通信ログ
４１１、４１２ 取得部
４１３ 監視部
４１４ 通信部
４２１ インシデントテーブル
４２２ ログ情報
４２３、６０１－１、６０１－２ 付加情報
４２４、６０２－１、６０２－２ ログ証跡
４２５、４２６、６１３－１、６１３－２、６１４－１、６１４－２ 証跡情報
４２７、６１５－１、６１５－２ 日時情報
１００１ ＣＰＵ
１００２ メモリ
１００３ 入力装置
１００４ 出力装置
１００５ 補助記憶装置
１００６ 媒体駆動装置
１００７ ネットワーク接続装置
１００８ バス
１００９ 可搬型記録媒体

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】