(57)【要約】      （修正有）【課題】情報処理端末に生じうる、ウィルス感染、データ流出、不正アクセスなどのインシデントに対する十分かつ適切な対応を取り、セキュリティの向上を図る。【解決手段】管理装置１は、情報処理端末２に生じた予め設定されたインシデントを検出する検出手段１１と、情報処理端末２の作動状況を表すログ情報を取得するログ取得手段１３と、を備える。ログ取得手段は、ログ情報から、検出したインシデントに対応する情報を抽出する。【選択図】図２
2020086978.tif 000002
【特許請求の範囲】
【請求項１】
情報処理端末に生じた予め設定されたインシデントを検出する検出手段と、
前記情報処理端末の作動状況を表すログ情報を取得するログ取得手段と、を備え、
前記ログ取得手段は、前記ログ情報から、検出した前記インシデントに対応する情報を抽出する、
情報処理システム。
【請求項２】
請求項１に記載の情報処理システムであって、
前記ログ取得手段は、前記インシデントの発生後と発生前とに区別して、前記ログ情報から当該インシデントに対応する情報を抽出する、
情報処理システム。
【請求項３】
請求項２に記載の情報処理システムであって、
前記ログ取得手段は、前記インシデントの発生後と発生前とに区別して、抽出した情報を表示出力する、
情報処理システム。
【請求項４】
請求項１乃至３のいずれかに記載の情報処理システムであって、
前記ログ取得手段は、前記インシデントが発生したとき、発生前、または、発生後の前記情報処理端末の画面情報を、前記ログ情報として取得する、
情報処理システム。
【請求項５】
請求項１乃至４のいずれかに記載の情報処理システムであって、
前記検出手段は、検出した前記インシデントに応じて設定された対処処理を前記情報処理端末に対して行う、
情報処理システム。
【請求項６】
情報処理端末と、当該情報処理端末を管理する管理装置と、を備えた情報処理システムであって、
前記情報処理端末は、
当該情報処理端末に生じた予め設定されたインシデントを検出して、前記管理装置に対して、前記インシデントの発生を通知すると共に、当該情報処理端末の作動状況を表すログ情報を送信するインシデント検知手段を備え、
前記管理装置は、前記情報処理端末からの通知により当該情報処理端末に生じた前記インシデントを検出する検出手段と、
前記情報処理端末から前記ログ情報を取得するログ取得手段と、を備え、
前記ログ取得手段は、前記ログ情報から、検出した前記インシデントに対応する情報を抽出する、
情報処理システム。
【請求項７】
情報処理端末に生じた予め設定されたインシデントを検出し、
前記情報処理端末の作動状況を表すログ情報を取得して、当該ログ情報から、検出した前記インシデントに対応する情報を抽出する、
情報処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータセキュリティ対策を行う情報処理システム及び情報処理方法に関する。
【背景技術】
【０００２】
企業などの組織では、所属する各ユーザが操作するためのコンピュータが多数使用されている。このような状況において、組織は、組織全体のセキュリティを確保すべく、各コンピュータにおけるセキュリティ対策を取る必要がある。ここで、セキュリティ対策すべきインシデントとして、ウィルス感染、データ流出、不正アクセス、などがある。
【０００３】
組織によるセキュリティ対策では、主に、インシデントの検出と、検出したインシデントに対する対処、が重要となる。例えば、コンピュータがウィルスに感染したことを検出すると、ウィルスを駆除したり感染したコンピュータを他のコンピュータから隔離するなどの対処を行う。また、例えば、コンピュータからのデータ流出やコンピュータへの不正アクセスを検出すると、かかるコンピュータをロックしたり、ネットワーク遮断を行うなどの対処を行う。一例として、特許文献１では、マルウェアを検出して削除することが記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１８−０７３４２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ここで、組織によるコンピュータセキュリティ対策では、上述したようにインシデント検出時における対処は行っているものの、インシデントが発生したことによる影響や原因の追求までは行っていない。従って、インシデントの発生による被害を把握できないことから適切な対応を取ることができず、また、インシデントに対する事前の適切な対策を取ることもできない。その結果、組織としてのセキュリティの向上を図ることができない、という問題が生じる。
【０００６】
このため、本発明の目的は、上述した課題である、情報処理端末に生じうるインシデントに対する十分かつ適切な対応を取ることができないことによるセキュリティの向上を図ることができないこと、を解決することにある。
【課題を解決するための手段】
【０００７】
本発明の一形態である情報処理システムは、
情報処理端末に生じた予め設定されたインシデントを検出する検出手段と、
前記情報処理端末の作動状況を表すログ情報を取得するログ取得手段と、を備え、
前記ログ取得手段は、前記ログ情報から、検出した前記インシデントに対応する情報を抽出する、
という構成をとる。
【０００８】
そして、上記情報処理システムでは、
前記ログ取得手段は、前記インシデントの発生後と発生前とに区別して、前記ログ情報から当該インシデントに対応する情報を抽出する、
という構成をとる。
【０００９】
また、上記情報処理システムでは、
前記ログ取得手段は、前記インシデントの発生後と発生前とに区別して、抽出した情報を表示出力する、
という構成をとる。
【００１０】
また、上記情報処理システムでは、
前記ログ取得手段は、前記インシデントが発生したとき、発生前、または、発生後の前記情報処理端末の画面情報を、前記ログ情報として取得する、
という構成をとる。
【００１１】
また、上記情報処理システムでは、
前記検出手段は、検出した前記インシデントに応じて設定された対処処理を前記情報処理端末に対して行う、
という構成をとる。
【００１２】
また、本発明の他の形態である情報処理システムは、
情報処理端末と、当該情報処理端末を管理する管理装置と、を備えた情報処理システムであって、
前記情報処理端末は、
当該情報処理端末に生じた予め設定されたインシデントを検出して、前記管理装置に対して、前記インシデントの発生を通知すると共に、当該情報処理端末の作動状況を表すログ情報を送信するインシデント検知手段を備え、
前記管理装置は、前記情報処理端末からの通知により当該情報処理端末に生じた前記インシデントを検出する検出手段と、
前記情報処理端末から前記ログ情報を取得するログ取得手段と、を備え、
前記ログ取得手段は、前記ログ情報から、検出した前記インシデントに対応する情報を抽出する、
という構成をとる。
【００１３】
また、本発明の他の形態である情報処理方法は、
情報処理端末に生じた予め設定されたインシデントを検出し、
前記情報処理端末の作動状況を表すログ情報を取得して、当該ログ情報から、検出した前記インシデントに対応する情報を抽出する、
という構成をとる。
【００１４】
また、本発明の他の形態であるプログラムは、
情報処理装置に、
情報処理端末に生じた予め設定されたインシデントを検出する検出手段と、
前記情報処理端末の作動状況を表すログ情報を取得して、当該ログ情報から、検出した前記インシデントに対応する情報を抽出するログ取得手段と、
を実現させる、
という構成をとる。
【発明の効果】
【００１５】
本発明は、以上のように構成されることにより、情報処理端末に生じうるインシデントに対する十分かつ適切な対応を取ることができ、セキュリティの向上を図ることができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の実施形態１における情報処理システム全体の構成を示すブロック図である。
【図２】図１に開示した管理装置及びユーザ端末の構成を示す図である。
【図３】図１に開示した管理装置に表示される画面の一例を示す図である。
【図４】図１に開示した管理装置に表示される画面の一例を示す図である。
【図５】図１に開示した管理装置に表示される画面の一例を示す図である。
【図６】図１に開示した管理装置におけるインシデント毎の動作の一例を示す図である。
【図７】図１に開示した管理装置における動作を示すフローチャートである。
【発明を実施するための形態】
【００１７】
＜実施形態１＞
本発明の第１の実施形態を、図１乃至図７を参照して説明する。図１乃至図５は、情報処理システムの構成を説明するための図である。図６乃至図７は、情報処理システムの動作を説明するための図である。
【００１８】
［構成］
図１は、本発明における情報処理システムの全体構成を示している。この図に示すように、情報処理システムは、ネットワークＮを介して接続された管理装置１と複数のユーザ端末２とを備えている。例えば、本実施形態では、管理装置１とユーザ端末２とは、ある企業Ｇなどの組織内に設置されており、イントラネットなどの有線又は無線で構成されたネットワークを介して接続されていることとする。
【００１９】
ここで、上記ユーザ端末２は、企業Ｇの従業員が操作する情報処理端末であり、オペレーティングシステムをはじめとする種々のソフトウェアがインストールされており、種々のデータが記憶されている。また、管理装置１は、企業Ｇの管理者が操作する情報処理装置であり、企業Ｇ内に設置されているユーザ端末２の構成や状態を管理する。以下、各構成について詳述する。
【００２０】
上記ユーザ端末２は、演算装置及び記憶装置を備えた情報処理端末である。そして、ユーザ端末２は、図２に示すように、演算装置にプログラムが実行されることで構築されたインシデント検知部２１を備えている。また、ユーザ端末２は、記憶装置に形成されたログデータ記憶部２５を備えている。
【００２１】
ユーザ端末２の上記インシデント検知部２１（インシデント検知手段、検出手段）は、例えば、セキュリティ対策ソフトウェアで構成されており、ユーザ端末２にセキュリティ対策すべきインシデントが発生したことを検出する機能を有する。例えば、本実施形態において検知するインシデントは、不正なソフトウェアやコードといったマルウェアに感染する「ウィルス感染」、不正にデータが外部に流出する「データ流出」、不正な外部からのアクセスである「内部不正」、がある。インシデント検知部２１は、例えば、組み込まれるデータをパターンマッチングすることによりウィルス感染を検知したり、操作ログやログインログといったログデータからデータ流出や内部不正を検出する。
【００２２】
但し、インシデント検知部２１によるインシデントの検知方法は任意であり、検知するインシデントは上述したものに限定されない。なお、本発明におけるインシデントは、上述したウィルス感染などが生じた状態のみならず、生じうる状態も含むこととする。例えば、コンピュータウィルスを受信した状態や、不正なウェブサイトにアクセスした状態、外部から不正アクセスなどの不正攻撃を受けている状態なども、インシデントに含まれる。
【００２３】
なお、上述したようにインシデントの検知を行うためや、後述するようにインシデントの発生を分析するために、インシデント検知部２１は、ユーザ端末２の作動状況を表す種々のログデータ（ログ情報）を取得して、ログデータ記憶部２５に記憶している。例えば、ログデータとしては、端末に対するユーザへのアクセス権の付与の状況を表すアクセス権ログ、端末にログインしたユーザの履歴を表すログインログ、端末の操作履歴を表す操作ログ、メール送受信の履歴を表すメール送信ログやメール受信ログ、導入したソフトウェアの履歴を表す導入ソフトウェアログ、アプリケーションの利用履歴を表すアプリ利用ログ、ウィルス感染の検知を表すウィルス検知ログ、端末の画面表示の履歴を表す画面ログ、などがある。なお、ログデータ記憶部２５に記憶されるログデータは、ユーザ端末２のオペレーティングシステム自体や当該オペレーティングシステムに組み込まれている他のソフトウェアで取得されたものであってもよい。また、ログデータ記憶部２５に記憶されるログデータは上述したものに限定されない。
【００２４】
また、インシデント検知部２１は、上述したようにインシデントが発生したことを検知すると、発生したインシデントの内容（ウィルス感染、データ流出、内部不正など）を管理装置１に通知する。このとき、通知部２２は、併せて、ユーザ端末２自身の端末情報や、インシデントが発生した日時の情報も通知する。
【００２５】
また、インシデント検知部２１は、インシデントの内容に応じて、予め設定された暫定的なセキュリティ対処処理を対して行う。例えば、インシデント検知部２１は、ウィルス駆除やネットワーク切断、ファイル暗号化、デバイスロックなどのインシデントの内容に応じた対処処理を行う。なお、インシデント検知部２１によるセキュリティ対処処理は、後述するように、インシデントの内容を通知したことにより管理装置１から制御されることで実行されてもよい。
【００２６】
さらに、インシデント検知部２１は、ログデータ記憶部２５に記憶しているログデータを管理装置１に送信する機能を有する。このとき、インシデント検知部２１は、発生したインシデントの内容に対応した種類のみのログデータを管理装置１に送信してもよい。さらに、インシデント検知部２１は、発生したインシデントの内容に応じて、インシデントが発生したときのログデータ、それ以前のログデータ、その後のログデータを選別して管理装置１に送信してもよい。このとき、インシデント検知部２１は、インシデントを検知したときに自らログデータを管理装置１に送信してもよく、後述するように管理装置１からの要求に応じてログデータを送信してもよい。
【００２７】
次に、上記管理装置１の構成について説明する。管理装置１は、図２に示すように、演算装置にプログラムが実行されることで構築された、検出部１１、対処部１２、ログ取得部１３、出力部１４、を備えている。また、管理装置１は、記憶装置に形成された、管理データ記憶部１５、ログデータ記憶部１６、を備えている。
【００２８】
まず、管理装置１は、基本的な機能として、企業Ｇ内に設置されているユーザ端末２の構成や状態を管理する機能を有する。例えば、管理装置１は、ユーザ端末２の固有のＩＰアドレスに関連付けた、当該ユーザ端末２が所属するグループ、ユーザ名、ログインパスワードといった端末情報や、ユーザ端末２を構成するハードウェア情報、インストールされているソフトウェア情報、などを含む管理データを管理する。そして、管理装置１は、ユーザ端末２に関する管理データを管理データ記憶部１５に記憶して管理する。
【００２９】
管理装置１の上記検出部１１（検出手段）は、ユーザ端末２からのインシデントの内容の通知により、当該ユーザ端末２にインシデントが発生したことを検出する。特に、検出部１１は、ユーザ端末２からの通知により、インシデントが発生したユーザ端末２を特定すると共に、インシデントの内容、つまり、ウィルス感染、データ流出、内部不正、のいずれのインシデントが発生したか、ということと、インシデントが発生した日時を検出する。そして、検出部１１は、検出した情報を、対処部１２及びログ取得部１３に通知する。
【００３０】
なお、管理装置１の検出部１１は、管理しているユーザ端末２の作動状況を表すログデータを取得して、かかるログデータから、ユーザ端末２にインシデントが発生したことを検出してもよい。例えば、検出部１１は、常にユーザ端末２の作動状況を監視して操作ログやメールログ、アプリ利用ログなどのログデータを取得し、かかるログデータに基づいてユーザ端末２にインシデントが発生したことを検出してもよい。このとき、検出部１１は、常に取得しているユーザ端末２のログデータを、管理装置１のログデータ記憶部１６に記憶して蓄積してもよい。
【００３１】
管理装置１の上記対処部１２（検出手段）は、検出したユーザ端末２のインシデントの内容に応じて、予め設定された暫定的なセキュリティ対処処理を、ユーザ端末２に対して行う。例えば、ウィルス感染のユーザ端末２に対しては、ウィルス駆除やネットワーク切断を行い、データ流出のユーザ端末２に対しては、ファイル暗号化やデバイスロックを行い、内部不正のユーザ端末２に対しては、ネットワーク切断を行う。なお、対処部１２によりセキュリティ対処処理は、管理装置１のみで処理できる場合もあれば、ユーザ端末２や通信機器などの他の装置に対して指示することで処理できる場合もあり、さらには、ユーザ端末自らが処理する場合もある。
【００３２】
管理装置１の上記ログ取得部１３（ログ取得手段）は、インシデントを検出したユーザ端末２のログデータを取得して、ログデータ記憶部１６に記憶して蓄積する。例えば、ログ取得部１３は、ユーザ端末２が自ら送信してきたログデータを取得してもよく、ユーザ端末２に対して要求して当該ユーザ端末２からログデータを取得してもよい。あるいは、ログ取得部１３は、管理装置１のログデータ記憶部１６に蓄積されているユーザ端末２のログデータを取得してもよい。
【００３３】
そして、ログ取得部１３は、取得したユーザ端末２のログデータの中から、発生したインシデントの内容に応じた種類のログデータを抽出する。例えば、ウィルス感染の場合は、ウィルス検知ログ、メール送信ログ、導入ソフトウェアログ、画面ログを抽出する。また、データ流出の場合は、操作ログ、導入ソフトウェアログ、アプリ利用ログ、ログインログ、画面ログ、を抽出する。また、内部不正の場合は、アクセス権ログ、ログインログ、画面ログ、を抽出する。なお、インシデントの内容に応じて抽出するログデータの種類は、インシデントの内容に関連するものであり、例えば、予め設定されて管理データ記憶部１５に記憶されている。
【００３４】
また、ログ取得部１３は、インシデントの発生後と発生前とに区別して、ログデータを抽出する。つまり、上述したようにインシデントの内容に応じて抽出したログデータを、さらに、インシデントの発生日時の後と前のものに区別する。このとき、ログ取得部１３は、インシデントの内容に応じて、当該インシデントの発生後と発生前のもので必要なデータのみを抽出する。例えば、ウィルス感染においては、メール送信ログは発生後のみで必要であるため、発生後のものとして抽出し、導入ソフトウェアログは発生前のみで必要であるため、発生前のものとして抽出する。なお、インシデントの内容に応じて、当該インシデントの発生前か発生後のいずれのログデータを抽出するかについては、例えば、予め設定されて管理データ記憶部１５に記憶されている。
【００３５】
なお、上記では、ログ取得部１３は、ユーザ端末２から取得したログデータの中から、インシデントの内容に応じた種類に限定して、かつ、発生前後を区別してログデータを抽出しているが、抽出するログデータの種類や発生前後の区別を指定して、ユーザ端末２に要求して取得してもよい。例えば、発生したインシデントがウィルス感染である場合には、インシデント発生後のメール送信ログ、というようにログデータを指定してユーザ端末２に要求して、かかるログデータを取得してもよい。
【００３６】
ここで、図６を参照して、インシデントの内容及び当該インシデントの発生の前後に対応して抽出されるログデータの一例について説明する。ここでは、「Ｓ３：影響調査」の列に表示されているログデータが、インシデントの発生後について抽出するログデータを示しており、「Ｓ４：原因追跡」の列に表示されているログデータが、インシデントの発生前について抽出するログデータを示している。例えば、ウィルス感染の場合、インシデントの発生後については、ウィルス検知ログ、操作ログ、メール送信ログを抽出し、インシデントの発生前については、操作ログ、導入ソフトウェアログ、画面ログを抽出する。また、データ流出の場合、インシデントの発生後については、操作ログ、画面ログ、アプリ利用ログを抽出し、インシデントの発生前については、操作ログ、導入ソフトウェアログ、ログインログを抽出する。また、内部不正の場合、インシデントの発生後については、ログインログ、画面ログを抽出し、インシデントの発生前については、ログインログ、アクセス権ログを抽出する。
【００３７】
管理装置１の上記出力部１４（ログ取得手段）は、ユーザ端末２に発生したインシデントの状況や、上述したように取得して抽出したログデータを、管理装置１の表示装置や他の表示装置に表示出力する。例えば、出力部１４は、図３に示すように、管理装置１が管理するいずれかのユーザ端末２に発生したインシデントの種類の表示Ｃ１，Ｃ２，Ｃ３を、日付と共に表示する。そして、出力部１４は、発生したインシデントの種類の表示Ｃ１，Ｃ２，Ｃ３が選択されると、図４又は図５に示すように、選択されたインシデントの詳細を表示する。
【００３８】
出力部１４は、図４の上段に示すように、インシデントの詳細表示として、符号３０に示す表示欄にインシデントの概要を表示する。ここでは、まず符号３１に示すように、発生したインシデントの種類と現在時刻を表示する。また、符号３２に示すように、インシデントが発生したユーザ端末２にログインしているユーザ名とユーザ端末自体を表すクライアント名を表示すると共に、上述した対処部１２によってユーザ端末２に対して行われた暫定的なセキュリティ対処処理の内容を表示する。さらに、符号３３に示すように、インシデントが発生したときのユーザ端末２の画面ログを表示する。なお、画面ログは、インシデントの発生前のものや発生後のものであってもよい。
【００３９】
また、出力部１４は、図４の下段に示すように、上述したように抽出したログデータの一覧４０を表示する。このとき、出力部１４は、ログデータを、インシデントの発生後と発生前とに区別して表示する。例えば、この例では、表示画面に「影響調査」のタブ４１と「原因追跡」のタブ４２を表示し、図４に示すように「影響調査」のタブ４１が選択されると、インシデントの発生後のログデータの一覧４０が時系列で表示される。一方、図５に示すように「原因追跡」のタブ４２が選択されると、インシデントの発生前のログデータの一覧４０が時系列で表示される。
【００４０】
［動作］
次に、上述した情報処理システム、特に、管理装置１の動作を、図６及び図７を参照して説明する。図６は、情報処理システム全体の動作を説明するための図であり、図７は、管理装置１の動作を示すフローチャートである。
【００４１】
まず、ユーザ端末２は、自身の作動状況を監視して、インシデントが発生したか否かを調べる。例えば、ユーザ端末２は、図６に示すように、ウィルス検知ログ、操作ログ、ログインログなどを参照して、ウィルス感染、データ流出、内部不正といったインシデントが発生したか否かを調べる。そして、ユーザ端末２は、インシデントの発生を検知すると、発生したインシデントの内容（ウィルス感染、データ流出、内部不正）を管理装置１に通知する。このとき、通知部２２は、併せて、ユーザ端末２自身の端末情報や、インシデントが発生した日時の情報も通知する。
【００４２】
管理装置１は、上述した通知を受けることで、ユーザ端末２にインシデントが発生したことを検出する（図６のステップＳ１、図７のステップＳ１１）。すると、管理装置１は、検出したユーザ端末２のインシデントの内容に応じて、予め設定された暫定的なセキュリティ対処処理をユーザ端末２に対して行う（図６のステップＳ２、図７のステップＳ１２）。なお、暫定的なセキュリティ対策処理は、ユーザ端末２自身が実行してもよい。
【００４３】
続いて、管理装置１は、インシデントを検出したユーザ端末２のログデータを取得する（図７のステップＳ１３）。そして、管理装置１は、ログデータの中から、発生したインシデントの内容に応じた種類のログデータを抽出すると共に、インシデントの内容に応じて当該インシデントの発生前あるいは発生後のログデータを抽出する（図７のステップＳ１４）。例えば、図６の符号Ｓ３，Ｓ４に示すように、インシデント毎、かつ、当該インシデントの発生前後毎に、それぞれ設定された種類のログデータを抽出する。
【００４４】
なお、上述したログデータの取得処理（図７のステップＳ１３）と抽出処理（図７のステップＳ１４）とは、セキュリティ対処処理（図７のステップＳ１２）と前後して、あるいは、平行して行われてもよい。
【００４５】
その後、管理装置１は、図４又は図５に示すように、ユーザ端末２に発生したインシデントの詳細を表示装置に表示出力する（図７のステップＳ１５）。このとき、管理装置１は、インシデントの発生後のログデータ（図４の影響調査タブ４１：図６のステップＳ３）と、インシデントの発生前のログデータ（図５の原因調査タブ４２：図６のステップＳ４）と、を区別して表示する。さらに、このとき表示するログデータの種類は、図６に示すように、発生したインシデントの内容に応じた種類のログデータ４０である。また、符号３３に示すように、インシデントが発生したときの画面ログも表示する。
【００４６】
その後、管理装置１あるいは管理者は、インシデントの内容に応じて、インシデントの発生前と発生後とで区別されて抽出されたログデータに応じて、恒久的な対処処理を行う（図６のステップＳ５、図７のステップＳ１６）。さらに、管理装置１あるいは管理者は、報告書を作成するなどして報告処理を行う（図６のステップＳ６、図７のステップＳ１７）。
【００４７】
以上のように、本発明によると、ユーザ端末２にインシデントが発生した場合に、容易にインシデントの内容に応じたログデータを調べることができ、また、インシデントの発生前と発生後で区別してログデータを調べることができる。このため、発生したインシデントに対する影響や原因の追求を容易かつ迅速に行うことができ、十分かつ適切な対処を行うことができる。その結果、企業Ｇなどの組織全体におけるセキュリティの向上を図ることができる。
【００４８】
なお、上記では、管理装置１とユーザ端末２とが協働して、インシデントの検知や対処、ログデータの抽出、表示などの処理を行っているが、上述した全ての機能が管理装置１のみ、あるいは、ユーザ端末２のみに装備され、いずれかの装置により全ての処理が行われてもよい。
【００４９】
ここで、上述したプログラムは、記憶装置に記憶されていたり、コンピュータが読み取り可能な記録媒体に記録されている。例えば、記録媒体は、フレキシブルディスク、光ディスク、光磁気ディスク、及び、半導体メモリ等の可搬性を有する媒体である。
【００５０】
以上、上記実施形態等を参照して本願発明を説明したが、本願発明は、上述した実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明の範囲内で当業者が理解しうる様々な変更をすることができる。
【符号の説明】
【００５１】
１  管理装置
１１  検出部
１２  対処部
１３  ログ取得部
１４  出力部
１５  管理データ記憶部
１６  ログデータ記憶部
２  ユーザ端末
２１  インシデント検知部
２５  ログデータ記憶部
【図１】
2020086978.tif 000003
【図２】
2020086978.tif 000004
【図３】
2020086978.tif 000005
【図４】
2020086978.tif 000006
【図５】
2020086978.tif 000007
【図６】
2020086978.tif 000008
【図７】
2020086978.tif 000009