(57)【要約】【課題】本発明は、ログが改竄されていないことを証明することの出来るログ検証システムを提供することを目的とする。【解決手段】本発明のログ検証システムによれば、好適にログの改竄の有無を検証することが出来る。特に、バックアップファイルのハッシュを保存する代わりに、バックアップ以後に保存したログのハッシュ以外のハッシュを削除することから、保存するハッシュの数を抑えることになり、保存するハッシュ全体の総データ容量も抑えることが出来る。【選択図】図１
2010218374.tif 000002
【特許請求の範囲】
【請求項１】
ログを保存すると共に、ログのハッシュを計算して保存する機能と、
保存しているログを、バックアップファイルに、バックアップすると共に、バックアップファイルのハッシュを計算して保存する機能と、
バックアップ以後に保存したログについては、このログのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、このログは改竄されたとし、逆に、保存している場合に、このログは改竄されていないとして、このログを検証する機能と、
バックアップ以前に保存したログについては、バックアップファイルのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、バックアップファイルは改竄されているとし、他方、同じものを保存している場合に、バックアップファイルは改竄されていないとして、さらに、このログが、バックアップファイルにない場合に、このログは改竄されているとし、逆に、このログが、バックアップファイルにある場合に、このログは改竄されていないとして、このログを検証する機能と、
を有することを特徴とするログ検証システム。
【請求項２】
コンピュータ又はネットワークで相互に接続されたコンピュータ群が実行する方法であって、
ログを保存すると共に、ログのハッシュを計算して保存する工程と、
保存しているログを、バックアップファイルに、バックアップすると共に、バックアップファイルのハッシュを計算して保存する工程と、
バックアップ以後に保存したログについては、このログのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、このログは改竄されたとし、逆に、保存している場合に、このログは改竄されていないとして、このログを検証する工程と、
バックアップ以前に保存したログについては、バックアップファイルのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、バックアップファイルは改竄されているとし、他方、同じものを保存している場合に、バックアップファイルは改竄されていないとして、さらに、このログが、バックアップファイルにない場合に、このログは改竄されているとし、逆に、このログが、バックアップファイルにある場合に、このログは改竄されていないとして、このログを検証する工程と
を含むことを特徴とするログ検証方法。
【請求項３】
コンピュータ又はネットワークで相互に接続されたコンピュータ群に、
ログを保存すると共に、ログのハッシュを計算して保存する工程と、
保存しているログを、バックアップファイルに、フルバックアップすると共に、バックアップファイルのハッシュを計算して保存する工程と、
バックアップ以後に保存したログについては、このログのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、このログは改竄されたとし、逆に、保存している場合に、このログは改竄されていないとして、このログを検証する工程と、
バックアップ以前に保存したログについては、バックアップファイルのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、バックアップファイルは改竄されているとし、他方、同じものを保存している場合に、バックアップファイルは改竄されていないとして、さらに、このログが、バックアップファイルにない場合に、このログは改竄されているとし、逆に、このログが、バックアップファイルにある場合に、このログは改竄されていないとして、このログを検証する工程とを実行させることを特徴とするログ検証プログラム。
【請求項４】
請求項３に記載のログ検証プログラムを記録した記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログを検証するシステムに関する。
【背景技術】
【０００２】
一般に、ネットワーク上の通信記録であるログ、或は、コンピュータシステムの動作記録であるログを収集し保存して、これらネットワーク或はコンピュータシステムへの不正アクセスを監視したり、これらネットワーク或はコンピュータシステムへの侵入を検知するＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）が知られている（特許文献１及び非特許文献１参照）。
【０００３】
ログは、不正アクセス或は侵入が発生したか否かが裁判で争われたとき、これを証明する証拠資料として、活用できる。
【０００４】
しかしながら、不正アクセス或は侵入により、ログが改竄される可能性も否定できず、その証拠能力に疑問が残る。
【０００５】
ログが改竄されていないことが証明できれば、このログの証拠能力が確保されるが、ログを保護するための従来の技術は、ログの改竄や削除を困難にしても、ログが改竄されていないことを証明するものではない（特許文献１参照）。
また、特許文献１に記載のログ・ファイル保護システムでは、ログ・ファイルの複製を多数保存するために、ログ・ファイルの容量が大きくなると、有効で無くなるという欠点がある。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００１−１４２７６４号公報
【非特許文献】
【０００７】
【非特許文献１】セキュリティ用語事典［ＩＤＳ］、［平成１６年６月１８日検索］、インターネット＜ＵＲＬ：http://www.atmarkit.co.jp/aig/02security/ids.html＞
【発明の概要】
【発明が解決しようとする課題】
【０００８】
そこで、本発明は、ログが改竄されていないことを証明することの出来るログ検証システムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
請求項１に記載の本発明は、ログを保存すると共に、ログのハッシュを計算して保存する機能と、保存しているログを、バックアップファイルに、バックアップすると共に、バックアップファイルのハッシュを計算して保存する機能と、バックアップ以後に保存したログについては、このログのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、このログは改竄されたとし、逆に、保存している場合に、このログは改竄されていないとして、このログを検証する機能と、バックアップ以前に保存したログについては、バックアップファイルのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、バックアップファイルは改竄されているとし、他方、同じものを保存している場合に、バックアップファイルは改竄されていないとして、さらに、このログが、バックアップファイルにない場合に、このログは改竄されているとし、逆に、このログが、バックアップファイルにある場合に、このログは改竄されていないとして、このログを検証する機能と、を有することを特徴とするログ検証システムである。
【００１０】
請求項２に記載の本発明は、コンピュータ又はネットワークで相互に接続されたコンピュータ群が実行する方法であって、ログを保存すると共に、ログのハッシュを計算して保存する工程と、保存しているログを、バックアップファイルに、バックアップすると共に、バックアップファイルのハッシュを計算して保存する工程と、バックアップ以後に保存したログについては、このログのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、このログは改竄されたとし、逆に、保存している場合に、このログは改竄されていないとして、このログを検証する工程と、バックアップ以前に保存したログについては、バックアップファイルのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、バックアップファイルは改竄されているとし、他方、同じものを保存している場合に、バックアップファイルは改竄されていないとして、さらに、このログが、バックアップファイルにない場合に、このログは改竄されているとし、逆に、このログが、バックアップファイルにある場合に、このログは改竄されていないとして、このログを検証する工程とを含むことを特徴とするログ検証方法である。
【００１１】
請求項３に記載の本発明は、コンピュータ又はネットワークで相互に接続されたコンピュータ群に、ログを保存すると共に、ログのハッシュを計算して保存する工程と、保存しているログを、バックアップファイルに、フルバックアップすると共に、バックアップファイルのハッシュを計算して保存する工程と、バックアップ以後に保存したログについては、このログのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、このログは改竄されたとし、逆に、保存している場合に、このログは改竄されていないとして、このログを検証する工程と、バックアップ以前に保存したログについては、バックアップファイルのハッシュを計算し、計算したハッシュと同じものを保存していない場合に、バックアップファイルは改竄されているとし、他方、同じものを保存している場合に、バックアップファイルは改竄されていないとして、さらに、このログが、バックアップファイルにない場合に、このログは改竄されているとし、逆に、このログが、バックアップファイルにある場合に、このログは改竄されていないとして、このログを検証する工程とを実行させることを特徴とするログ検証プログラムである。
【００１２】
請求項４に記載の本発明は、請求項３に記載のログ検証プログラムを記録した記録媒体である。
【発明の効果】
【００１３】
本発明のログ検証システムによれば、好適にログの改竄の有無を検証することが出来る。特に、バックアップファイルのハッシュを保存する代わりに、バックアップ以後に保存したログのハッシュ以外のハッシュを削除することから、保存するハッシュの数を抑えることになり、保存するハッシュ全体の総データ容量も抑えることが出来る。
【図面の簡単な説明】
【００１４】
【図１】本発明のログ検証システムの構成を示すブロック図である。
【図２】ログ処理１４をの流れを表すフローチャート図である。
【図３】ログ処理１４からログとそのログのハッシュとが送られて来た場合のハッシュチェック処理３３の流れを表すフローチャート図である。
【図４】バックアップ処理１５の流れを表すフローチャート図である。
【図５】バックアップファイル処理２４の流れを表すフローチャート図である。。
【図６】バックアップファイル処理２４からバックアップファイル２３のハッシュとバックアップファイル２３のハッシュのハッシュとが送られて来た場合のハッシュチェック処理３３の流れを表すフローチャート図である。
【図７】フルバックアップ以後にログ保存ＤＢ１２にログを検証する処理の流れを表すフローチャート図である。
【図８】フルバックアップ以前にログ保存ＤＢ１２に保存されたログを検証する処理の流れを表すフローチャート図である。
【発明を実施するための形態】
【００１５】
本発明のログ検証システムは、図１に示すように、ＩＤＳ装置１と、バックアップサーバ２と、ハッシュ保存サーバ３とを備え、ＩＤＳ装置１と、ハッシュ保存サーバ２と、バックアップサーバ３とがネットワーク４に接続している。
【００１６】
ＩＤＳ装置１は、ネットワーク４に接続するための通信装置１１と、ログを保存するためのログ保存ＤＢ１２とを備え、プログラムにより、本来のＩＤＳの処理１３と、ログ処理１４と、バックアップ処理１５とを実行するコンピュータである。ここで、ログは、ＩＤＳ装置１の監視対象のネットワークを流れるパケットによる通信の記録である。
【００１７】
バックアップサーバ２は、ネットワーク４に接続するための通信装置２１と、バックアップファイル２３を保存するための記憶装置２２とを備え、プログラムにより、バックアップファイル処理２４を実行するコンピュータである。バックアップファイル２３は、ログ保存ＤＢ１２を、フルバックアップしたものである。
【００１８】
ハッシュ保存サーバ３は、ネットワーク４に接続するための通信装置３１と、ハッシュを保存するためのハッシュ保存ＤＢ３２とを備え、プログラムにより、ハッシュチェック処理３３を実行するコンピュータである。ハッシュ保存ＤＢ３２に保存されているハッシュには、フルバックアップ以後に、ログ保存ＤＢ１２に保存されたログのハッシュと、バックアップファイル２３のハッシュとがある。
【００１９】
ここで、ハッシュとは、ドキュメントや数字などの文字列から一定長のデータに要約するための関数・手順を通して出力される値のことで、この関数・手順をハッシュ関数と呼ぶ。ハッシュ関数は、（１）出力データは、ほぼ均一に分布する、（２）２つの入力データがほんの少し異なっていても、その出力データは大きく異なる、という性質を持つ。
【００２０】
本来のＩＤＳの処理１３は、監視対象のネットワーク上の通信記録であるログ、或は、監視対象のコンピュータシステムの動作記録であるログを収集し、これらログを、ログ処理１４に送る。
【００２１】
ログ処理１４の流れを、図２のフローチャートに示す。ログ処理１４は、本来のＩＤＳの処理１３からログが送られてきたとき、まず、そのログをログ保存ＤＢ１２に保存する（ステップ５１）。また、同時に、そのログのハッシュを計算して、そのログと、そのハッシュとを、ハッシュチェック処理３３に送り（ステップ５２）、ハッシュチェック処理３３から再送要求が返ってきたか否かを確認する（ステップ５３）。再送要求が返って来た場合（ステップ５３のＹｅｓ）、ステップ５２に戻る。
【００２２】
ログ処理１４からログとそのログのハッシュとが送られて来た場合のハッシュチェック処理３３の流れを、図３のフローチャートに示す。ログ処理１４からログとそのログのハッシュとが送られて来た場合、ハッシュチェック処理３３は、まず、ログ処理１４から送られて来たログについて、このログのハッシュを計算する（ステップ６１）。次に、計算したハッシュと、送られて来たハッシュとを比較する（ステップ６２）。比較の結果、２つのハッシュが違うなら（ステップ６３のＮｏ）、ログ処理１４に再送要求を送る（ステップ６４）。比較の結果、２つのハッシュが同じなら（ステップ６３のＹｅｓ）、送られて来たログを削除し（ステップ６５）、このログのハッシュをハッシュ保存ＤＢ３２に保存する（ステップ６６）。
【００２３】
バックアップ処理１５の流れを、図４のフローチャートに示す。バックアップ処理１５は、障害発生に備えて、定期的に行われるもので、まず、通常のフルバックアップ処理を行う（ステップ７１）。通常のフルバックアップ処理は、ログ保存ＤＢ１２に保存されている全てのログを、バックアップファイルに出力し、このバックアップファイルを、バックアップファイル処理２４に送り、バックアップファイル処理２４に、このバックアップファイルで、バッバックアップファイル２３を更新させるものである。また、同時に、出力したバックアップファイルを複製する（ステップ７２）。次に、複製したバックアップファイルのハッシュを計算する（ステップ７３）。次に、ハッシュを、バックアップファイル処理２４に送り（ステップ７４）、バックアップファイル処理２４から再送要求が返って来たか否かを確認する（ステップ７５）。再送要求が返って来た場合（ステップ７５のＹｅｓ）、ステップ７１に戻る。
【００２４】
バックアップファイル処理２４の流れを、図５のフローチャートに示す。バックアップファイル処理２４は、まず、バックアップ処理１５から送られて来たバックアップファイルで、バックアップファイル２３を更新する（ステップ８１）。次に、バックアップファイル２３のハッシュを計算する（ステップ８２）。次に、計算したハッシュと、バックアップ処理１５から送られて来たハッシュとを比較する（ステップ８３）。比較の結果、２つのハッシュが違うなら（ステップ８４のＮｏ）、再送要求をバックアップ処理１５に対して行う（ステップ８５）。比較の結果、２つのハッシュが同じなら（ステップ８４のＹｅｓ）、バックアップファイル２３のハッシュのハッシュを計算して、バックアップファイル２３のハッシュと、バックアップファイル２３のハッシュのハッシュとをハッシュチェック処理３３に送る（ステップ８６）。ハッシュチェック処理３３から再送要求が返ってきたか否かを確認する（ステップ８７）。再送要求が返って来た場合（ステップ８７のＹｅｓ）、ステップ８６に戻る。
【００２５】
バックアップファイル処理２４からバックアップファイル２３のハッシュとバックアップファイル２３のハッシュのハッシュとが送られて来た場合のハッシュチェック処理３３の流れを、図６のフローチャートに示す。ハッシュチェック処理３３は、まず、バックアップファイル処理２４から送られて来たバックアップファイル２３のハッシュについて、このハッシュのハッシュを計算する（ステップ９１）。次に、計算したハッシュのハッシュと、送られて来たハッシュのハッシュとを比較する（ステップ９２）。比較の結果、２つのハッシュのハッシュが違うなら（ステップ９３のＮｏ）、バックアップファイル処理２４に再送要求を送る（ステップ９４）。比較の結果、２つのハッシュのハッシュが同じなら（ステップ９３のＹｅｓ）、ハッシュのハッシュを削除し（ステップ９５）、バックアップファイル２３のハッシュをハッシュ保存ＤＢ３２に保存する（ステップ９７）と同時に、フルバックアップ以後にログ保存ＤＢ１２に保存されたログのハッシュ以外のハッシュを、ハッシュ保存ＤＢ３２から削除する（ステップ９７）。
【００２６】
フルバックアップ以後にログ保存ＤＢ１２に保存されたログのハッシュは、ハッシュ保存ＤＢ３２に保存されているので、当該ログを検証するために、本実施形態に係わるシステムは、プログラムにより、図７のフローチャートに示す流れで処理を行う。まず、当該ログのハッシュを計算する（ステップ１０１）。次に、計算したハッシュがハッシュ保存ＤＢ３２にあるか検索し（ステップ１０２）、このハッシュがあるか否かを確認する（ステップ１０３）。ハッシュがない場合（ステップ１０３のＮｏ）、当該ログが改竄されていると出力する（ステップ１０５）。他方、ハッシュがある場合（ステップ１０３のＹｅｓ）、当該ログが改竄されていないと出力する（ステップ１０４）。
【００２７】
フルバックアップ以前にログ保存ＤＢ１２に保存されたログのハッシュは、ハッシュ保存ＤＢ３２に保存されていないので、当該ログを検証するために、本実施形態に係わるシステムは、プログラムにより、図８のフローチャートに示す流れで処理を行う。まず、バックアップファイル２３のハッシュを計算する（ステップ１１１）。次に、計算したハッシュがハッシュ保存ＤＢ３２にあるか検索し（ステップ１１２）、このハッシュがあるか否かを確認する（ステップ１１３）。ハッシュがない場合（ステップ１１３のＮｏ）、バックアップファイル２３が改竄されていると出力する（ステップ１１４）。他方、ハッシュがある場合（ステップ１１３のＹｅｓ）、バックアップファイル２３を、ＤＢに復元し（ステップ１１５）、復元したＤＢに当該ログがあるか否かを確認する。ログがない場合（ステップ１１６のＮｏ）、当該ログが改竄されていると出力する（ステップ１１８）。他方、ログがある場合（ステップ１１６のＹｅｓ）、当該ログが改竄されていないと出力する（ステップ１１７）。
【００２８】
以上より、ログの改竄の有無を検証することが出来る。
【産業上の利用可能性】
【００２９】
本発明のログ検証システムは、ログを検証することが求められる分野に利用することが期待される。特に、ネットワーク上の通信記録であるログ、或は、コンピュータシステムの動作記録であるログを収集し保存して、これらネットワーク或はコンピュータシステムへの不正アクセスを監視したり、これらネットワーク或はコンピュータシステムへの侵入を検知するＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）におけるログの改竄の有無を検証することに利用が期待できる。
【符号の説明】
【００３０】
１……ＩＤＳ装置
２……バックアップサーバ
３……ハッシュ保存サーバ
４……ネットワーク
【図１】
2010218374.tif 000003
【図２】
2010218374.tif 000004
【図３】
2010218374.tif 000005
【図４】
2010218374.tif 000006
【図５】
2010218374.tif 000007
【図６】
2010218374.tif 000008
【図７】
2010218374.tif 000009
【図８】
2010218374.tif 000010