(57)【要約】【課題】リモートアクセスに関するファイル名、プロセスID、および外部の通信装置のIPアドレスをリアルタイムに記録することができる情報処理装置およびプログラムを提供する。【解決手段】記憶装置２０は、リモートでアクセスしてきた通信装置のIPアドレスと、当該アクセスに用いられたプロセスを識別するプロセスIDとを関連付けてアクセスログとして記憶している。システムコール管理部１００は、プロセスがファイルにアクセスする際にOSのカーネルに発行するシステムコールを検出した場合に、プロセスからファイル名およびプロセスIDを取得してファイル書き込み管理部１２１に渡す。ファイル書き込み管理部１２１は、システムコール管理部１００から渡されたプロセスIDと一致するプロセスIDと関連付けられたIPアドレスをアクセスから取得し、ファイル名、プロセスID、IPアドレスをファイル操作ログに格納する。【選択図】図１
2010186426.tif 000002
【特許請求の範囲】
【請求項１】
リモートでアクセスしてきた通信装置のIPアドレスと、当該アクセスに用いられたプロセスを識別するプロセスIDとを関連付けて記憶する第１の記憶手段と、
プロセスがファイルにアクセスする際にOSのカーネルに発行するシステムコールを検出した場合に、前記プロセスからファイル名およびプロセスIDを取得して処理手段に渡すシステムコール管理手段と、
前記システムコール管理手段から渡されたプロセスIDと一致するプロセスIDと関連付けられたIPアドレスを前記第１の記憶手段から取得し、前記ファイル名、前記プロセスID、前記IPアドレスを第２の記憶手段に格納する前記処理手段と、
前記処理手段によって格納された前記ファイル名、前記プロセスID、前記IPアドレスを記憶する前記第２の記憶手段と、
を備えることを特徴とする情報処理装置。
【請求項２】
リモートでアクセスしてきた通信装置のIPアドレスと、当該アクセスに用いられたプロセスを識別するプロセスIDとを関連付けて記憶する第１の記憶手段と、
第１のプロセスが第２のプロセスを生成する際にOSのカーネルに発行する第１のシステムコールを検出した場合に、前記第１のプロセスから第１のプロセスIDを取得して処理手段に渡す第１のシステムコール管理手段と、
前記第２のプロセスがファイルにアクセスする際にOSのカーネルに発行する第２のシステムコールを検出した場合に、前記第２のプロセスからファイル名および第２のプロセスIDを取得して前記処理手段に渡す第２のシステムコール管理手段と、
前記第２のシステムコール管理手段から渡された前記第１のプロセスIDと一致するプロセスIDと関連付けられたIPアドレスを前記第１の記憶手段から取得し、前記ファイル名、前記第１のプロセスID、前記第２のプロセスID、前記IPアドレスを第２の記憶手段に格納する前記処理手段と、
前記処理手段によって格納された前記ファイル名、前記プロセスID、前記IPアドレスを記憶する前記第２の記憶手段と、
を備えることを特徴とする情報処理装置。
【請求項３】
第３の記憶手段をさらに備え、
前記処理手段はさらに、前記ファイル名に対応するファイルを前記第３の記憶手段に格納し、
前記第３の記憶手段は、前記処理手段によって格納されたファイルを記憶する
ことを特徴とする請求項１または請求項２に記載の情報処理装置。
【請求項４】
請求項１〜請求項３のいずれかに記載の情報処理装置としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リモートアクセスに係る処理を行う情報処理装置に関する。また、本発明は、本情報処理装置としてコンピュータを機能させるためのプログラムにも関する。
【背景技術】
【０００２】
リモートアクセスによりサーバなどのネットワーク機器に侵入するリモート侵入者の挙動を監視するために、わざと侵入しやすいように設定したハニーポット（例えば、非特許文献１参照）が注目されている。多くのリモート侵入者は、ハニーポットから情報を奪取したり、悪意のコードを仕込んで踏み台にしたりするために、ハニーポット内でファイルに対するアクセスを行う。
【０００３】
一般的なハニーポット上の挙動監視ツールとしてファイル変更検知システムが利用されている（例えば、非特許文献２参照）。このファイル変更検知システムは、正しいファイルの状態をデータベースに記録して、このデータベースに記録されているファイルの状態と実際のファイルの状態を定期的に比較することで、前回の検査時点から追加／変更／削除されたファイルを検知する。
【０００４】
また、重要なファイルにアクセスしたプロセスの情報（プロセスID）を記録するシステムも提案されている（例えば、非特許文献３参照）。このシステムは、重要なファイルにアクセスしたプロセスに注目して、どのプロセスがどのファイルを外部に漏洩したのかを追跡する。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】田原祐介、“ハニーポットを利用したネットワークの危機管理”、[online]、２００２年１月１９日、[２００９年１月３０日検索]、インターネット＜URL: http://www.atmarkit.co.jp/fsecurity/special/13honey/honey01.html＞
【非特許文献２】“IT全般統制ソリューションを実現へ  トリップワイヤ・ジャパン”、[online]、２００８年、 [２００９年１月２９日検索]、インターネット＜URL:http://www.tripwire.co.jp/＞
【非特許文献３】植村 晋一郎、田端 利宏、谷口 秀夫、“機密情報の拡散追跡機能のソケット通信への適用手法”、情報処理学会、ＤＩＣＯＭＯ２００８シンポジウム、ｐｐ．７６８−７７５、２００８年７月
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、ファイル変更検知システムでは、検査を行った瞬間のファイルの状態を検知することができるものの、定期的な検査の間に追加／変更／削除された記録は残らない。例えば、検査と検査の間において、新たなファイルが追加され、そのファイルが削除された場合、そのファイルの状態を検知することができない。また、ファイル操作を行ったプロセスや、リモートアクセスしているユーザのIPアドレスを把握することもできない。
【０００７】
一方、重要なファイルにアクセスしたプロセスを記録するシステムでは、事前に定義された重要なファイル以外のファイルにアクセスが行われた場合や新たなファイルが追加された場合には、その記録が残らない。また、リモートアクセスしているユーザのIPアドレスを把握することもできない。
【０００８】
本発明は、上述した課題に鑑みてなされたものであって、リモートアクセスに関するファイル名、プロセスID、および外部の通信装置のIPアドレスをリアルタイムに記録することができる情報処理装置およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明は、上記の課題を解決するためになされたもので、リモートでアクセスしてきた通信装置のIPアドレスと、当該アクセスに用いられたプロセスを識別するプロセスIDとを関連付けて記憶する第１の記憶手段と、プロセスがファイルにアクセスする際にOSのカーネルに発行するシステムコールを検出した場合に、前記プロセスからファイル名およびプロセスIDを取得して処理手段に渡すシステムコール管理手段と、前記システムコール管理手段から渡されたプロセスIDと一致するプロセスIDと関連付けられたIPアドレスを前記第１の記憶手段から取得し、前記ファイル名、前記プロセスID、前記IPアドレスを第２の記憶手段に格納する前記処理手段と、前記処理手段によって格納された前記ファイル名、前記プロセスID、前記IPアドレスを記憶する前記第２の記憶手段と、を備えることを特徴とする情報処理装置である。
【００１０】
また、本発明は、リモートでアクセスしてきた通信装置のIPアドレスと、当該アクセスに用いられたプロセスを識別するプロセスIDとを関連付けて記憶する第１の記憶手段と、第１のプロセスが第２のプロセスを生成する際にOSのカーネルに発行する第１のシステムコールを検出した場合に、前記第１のプロセスから第１のプロセスIDを取得して処理手段に渡す第１のシステムコール管理手段と、前記第２のプロセスがファイルにアクセスする際にOSのカーネルに発行する第２のシステムコールを検出した場合に、前記第２のプロセスからファイル名および第２のプロセスIDを取得して前記処理手段に渡す第２のシステムコール管理手段と、前記第２のシステムコール管理手段から渡された前記第１のプロセスIDと一致するプロセスIDと関連付けられたIPアドレスを前記第１の記憶手段から取得し、前記ファイル名、前記第１のプロセスID、前記第２のプロセスID、前記IPアドレスを第２の記憶手段に格納する前記処理手段と、前記処理手段によって格納された前記ファイル名、前記プロセスID、前記IPアドレスを記憶する前記第２の記憶手段と、を備えることを特徴とする情報処理装置である。
【００１１】
また、本発明の情報処理装置は、第３の記憶手段をさらに備え、前記処理手段はさらに、前記ファイル名に対応するファイルを前記第３の記憶手段に格納し、前記第３の記憶手段は、前記処理手段によって格納されたファイルを記憶することを特徴とする。
【００１２】
また、本発明は、上記の情報処理装置としてコンピュータを機能させるためのプログラムである。
【発明の効果】
【００１３】
本発明によれば、リモートアクセスに関するファイル名、プロセスID、および外部の通信装置のIPアドレスをリアルタイムに記録することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の一実施形態による情報処理装置の構成を示すブロック図である。
【図２】本発明の一実施形態による情報処理装置において、ファイルに書き込みを行う場合の処理の様子を示す参考図である。
【図３】本発明の一実施形態による情報処理装置が実行する処理の手順を示すフローチャートである。
【図４】本発明の一実施形態による情報処理装置において、子プロセスを生成する場合の処理の様子を示す参考図である。
【図５】本発明の一実施形態において、親プロセスと子プロセスによるファイルへのアクセスの様子を示す参考図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照し、本発明の実施形態を説明する。図１は、本発明の一実施形態による情報処理装置の構成を示している。カーネル１０は、情報処理装置上で動作するオペレーティングシステム（OS）の根幹をなしており、システムコール管理部１００、管理テーブル１１０、処理部１２０、ファイル書き込み部１３０、およびプロセス生成部１４０を備える。
【００１６】
これらの構成を備えるカーネル１０は、CPUがOS用のプログラムをメモリ（RAM）に読み込んで実行することによって起動するものであり、CPUおよびメモリのリソースを含んで構成されている。すなわち、図１に示すカーネル１０は、カーネルとしての機能を実現するための処理を実行するCPUのリソースと、その処理を実行するためにメモリに割り当てられた領域とを含んでいる。
【００１７】
システムコール管理部１００は、情報処理装置上で生成されたプロセスがカーネル１０に対して各種要求を行う際に発行するシステムコールを管理する。管理テーブル１１０は、一般的にはsys_call_table[]と呼ばれるテーブルであり、システムコールによってプロセスから要求を受けた際に呼び出す処理プログラム（カーネル関数）を指す情報が記録されている。
【００１８】
処理部１２０はファイル書き込み管理部１２１とプロセス生成管理部１２２を備える。ファイル書き込み管理部１２１は、本実施形態で定義するカーネル関数であるhook_write()関数の機能を備えており、プロセスからカーネル１０に対してファイルへの書き込みが要求された場合に、後述する処理を実行する。プロセス生成管理部１２２は、本実施形態で定義するカーネル関数であるhook_fork()関数の機能を備えており、プロセスからカーネル１０に対してプロセスの生成が要求された場合に、後述する処理を実行する。
【００１９】
ファイル書き込み部１３０は、一般的にはsys_write()関数と呼ばれるカーネル関数であり、ファイルへの書き込みを行う。プロセス生成部１４０は、一般的にはsys_fork()関数と呼ばれるカーネル関数であり、プロセスの生成を行う。
【００２０】
記憶装置２０は、HDD（ハードディスクドライブ）やフラッシュメモリ等であり、各種ファイル等を記憶する。
【００２１】
次に、本実施形態による情報処理装置の動作を説明する。以下では、２つの動作例を挙げて説明する。
【００２２】
＜第１の動作例＞
図２は、SSH（Secure SHell）等のプログラムを利用してPC等の通信装置（リモート侵入者）がリモートで情報処置装置にログインし、ファイルに書き込みを行う場合の処理の様子を示している。リモートログインによって情報処理装置上で生成されたプロセスであるリモートログインプロセス３０は、ファイルに書き込みを行うため、カーネル１０に対してファイルへの書き込み要求を出す。カーネル１０のシステムコール管理部１００は、ファイルへの書き込み要求を受けると管理テーブル１１０を参照し、管理テーブル１１０が示す処理プログラムに処理を受け渡す。
【００２３】
管理テーブル１１０には、要求毎に、その要求に対応する処理プログラムを指す情報が記録されている。従来の動作では、ファイルへの書き込み要求にはファイル書き込み部１３０が対応しているため、ファイル書き込み部１３０に処理が受け渡される。しかし、本実施形態では、管理テーブル１１０が予め書き換えられており、ファイルへの書き込み要求にはファイル書き込み管理部１２１が対応している。このため、カーネル１０がファイルへの書き込み要求を受けた場合、ファイル書き込み管理部１２１に処理が受け渡される。
【００２４】
ファイル書き込み管理部１２１は、本実施形態で定義する処理を実行した後、ファイル書き込み部１３０に処理を受け渡す。ファイル書き込み部１３０は、ファイルに対する書き込みを実行した後、処理結果をファイル書き込み管理部１２１に返す。ファイル書き込み管理部１２１は処理結果をリモートログインプロセス３０に返す。
【００２５】
図３は、ファイル書き込み管理部１２１が、システムコール管理部１００から処理を受け渡されてからファイル書き込み部１３０に処理を受け渡すまでに実行する処理の詳細な手順を示している。リモートログインプロセス３０が、カーネル１０に対して、ファイルへの書き込み要求を示すシステムコールを発行すると、そのシステムコールを検出したシステムコール管理部１００は管理テーブル１１０を参照し、ファイル書き込み管理部１２１に処理を受け渡す。これによって、ファイル書き込み管理部１２１へ処理が移行する（ステップＳ１００）。
【００２６】
ファイル書き込み管理部１２１は、システムコール管理部１００にファイル名の取得を要求する。システムコール管理部１００はリモートログインプロセス３０からファイル名を取得し、ファイル書き込み管理部１２１に渡す（ステップＳ１０５）。ファイル書き込み管理部１２１は、そのファイル名が、記憶装置２０に保存されているアクセスログのファイル名（アクセスログ名）と一致するか否かを判定する（ステップＳ１１０）。ログイン時には、アクセスログに対する書き込み要求が行われる。取得したファイル名がアクセスログ名と一致した場合、ファイル書き込み管理部１２１は、システムコール管理部１００にファイル名、プロセスID、およびリモート侵入者のIPアドレスの取得を要求する。システムコール管理部１００はリモートログインプロセス３０からファイル名、プロセスID、およびIPアドレスを取得し、ファイル書き込み管理部１２１に渡す（ステップＳ１２０）。
【００２７】
続いて、ファイル書き込み管理部１２１は、取得したファイル名、プロセスID、およびIPアドレスをファイル書き込み部１３０に渡すと共に、ファイル書き込み部１３０に処理を受け渡す。これによって、ファイル書き込み部１３０へ処理が移行する（ステップＳ１４５）。ファイル書き込み部１３０は、記憶装置２０に保存されているアクセスログに対して、ファイル名、プロセスID、およびIPアドレスを関連付けて記録する。
【００２８】
一方、リモートログインプロセス３０がアクセスログ以外のファイルに対する書き込み要求を行った場合、ステップＳ１１０において、取得したファイル名はアクセスログ名と一致しない。すると、ファイル書き込み管理部１２１は、システムコール管理部１００にファイル名とプロセスIDの取得を要求する。システムコール管理部１００はリモートログインプロセス３０からファイル名とプロセスIDを取得し、ファイル書き込み管理部１２１に渡す（ステップＳ１１５）。ファイル書き込み管理部１２１は、記憶装置２０からアクセスログを読み出し、ステップＳ１１５で取得したプロセスIDと、アクセスログに記録されているプロセスIDとが一致するか否かを判定する（ステップＳ１２５）。
【００２９】
ステップＳ１１５で取得したプロセスIDが、アクセスログに記録されているどのプロセスIDとも一致しない場合、ファイル書き込み管理部１２１は、システムコール管理部１００から取得したファイル名をファイル書き込み部１３０に渡すと共に、ファイル書き込み部１３０に処理を受け渡す。これによって、ファイル書き込み部１３０へ処理が移行する（ステップＳ１４５）。ファイル書き込み部１３０は、記憶装置２０に保存されているファイルのうち、取得したファイル名を有するファイルに書き込みを行う。
【００３０】
一方、ステップＳ１１５で取得したプロセスIDが、アクセスログに記録されているいずれかのプロセスIDと一致した場合、ファイル書き込み管理部１２１は、そのプロセスIDと関連付けられているIPアドレスをアクセスログから取得する（ステップＳ１３０）。続いて、ファイル書き込み管理部１２１は、記憶装置２０に保存されているファイル操作ログに対して、取得したファイル名、プロセスID、およびIPアドレスを関連付けて記録する（ステップＳ１３５）。
【００３１】
続いて、ファイル書き込み管理部１２１は、記憶装置２０に保存されているファイルのうち、取得したファイル名を有するファイルを読み出し、そのコピーを証拠ファイルとして記憶装置２０に記録する（ステップＳ１４０）。証拠ファイルを記録した後、ファイル書き込み管理部１２１は、リモートログインプロセス３０から取得したファイル名をファイル書き込み部１３０に渡すと共に、ファイル書き込み部１３０に処理を受け渡す。これによって、ファイル書き込み部１３０へ処理が移行する（ステップＳ１４５）。ファイル書き込み部１３０は、記憶装置２０に保存されているファイルのうち、取得したファイル名を有するファイルに書き込みを行う。
【００３２】
上記の処理によれば、ファイルへの書き込み要求が発生した際に、ファイル名、プロセスID、およびリモート侵入者のIPアドレスを記録することができる（ステップＳ１３５に対応）。また、リモートログインプロセス３０から要求されたファイルへの書き込みを行う前にファイルを証拠として記録することができる（ステップＳ１４０に対応）。
【００３３】
＜第２の動作例＞
第２の動作例では、リモートログインプロセス３０によって生成された、リモートログインプロセス３０を親プロセスとする子プロセスがファイルへの書き込み要求を発生する場合に、ファイル名、親プロセスID、子プロセスID、およびIPアドレスを関連付けて記録する。図４は、リモートログインプロセス３０が子プロセスを生成する場合の処理の様子を示している。
【００３４】
リモートログインプロセス３０は、子プロセスを生成するため、カーネル１０に対してプロセスの生成要求を出す。カーネル１０のシステムコール管理部１００は、プロセスの生成要求を受けると管理テーブル１１０を参照し、管理テーブル１１０が示す処理プログラムに処理を受け渡す。
【００３５】
従来の動作では、プロセスの生成要求にはプロセス生成部１４０が対応しているため、プロセス生成部１４０に処理が受け渡される。しかし、本実施形態では、管理テーブル１１０が予め書き換えられており、プロセスの生成要求にはプロセス生成管理部１２２が対応している。このため、カーネル１０がプロセスの生成要求を受けた場合、プロセス生成管理部１２２に処理が受け渡される。
【００３６】
プロセス生成管理部１２２は、本実施形態で定義する処理を実行する。このとき、プロセス生成管理部１２２は、システムコール管理部１００を介してリモートログインプロセス３０からプロセスIDを取得し、保持する。その後、プロセス生成管理部１２２はプロセス生成部１４０に処理を受け渡す。プロセス生成部１４０は、プロセスの生成を実行した後、処理結果をプロセス生成管理部１２２に返す。プロセス生成管理部１２２は処理結果をリモートログインプロセス３０に返す。
【００３７】
この後、生成された子プロセスがファイルへの書き込み要求を発生する。このときの動作は図２および図３に示した通りである。なお、図３のステップＳ１２５では、ファイル書き込み管理部１２１は、プロセス生成管理部１２２から、保持していた親プロセス（リモートログインプロセス３０）のプロセスIDを取得し、その親プロセスIDと、アクセスログに記録されているプロセスIDとが一致するか否かを判定する。また、ステップＳ１３０では、ファイル書き込み管理部１２１は、一致したプロセスIDと関連付けられているIPアドレスをアクセスログから取得する。さらに、ステップＳ１３５では、ファイル書き込み管理部１２１は、記憶装置２０に保存されているファイル操作ログに対して、取得したファイル名、親プロセスID、子プロセスID、およびIPアドレスを関連付けて記録する。
【００３８】
この結果、リモートアクセスに関係する親プロセスと子プロセスをグループ化し、これらのプロセスがアクセスするファイルを把握することができる。図５は、リモートアクセスに関係する親プロセスと子プロセスによるファイルへのアクセスの様子を示している。リモートログインプロセスである親プロセス３１がログイン時にアクセスログ４０への書き込み要求を発生すると、管理テーブル１１０を介してファイル書き込み管理部１２１へ処理が受け渡され、その後、ファイル書き込み部１３０へ処理が受け渡される。ファイル書き込み部１３０はアクセスログ４０に所定の情報を書き込む。
【００３９】
また、親プロセス３１が、ファイル４１への書き込みを行うため、子プロセスの生成要求を発生した場合、管理テーブル１１０を介してプロセス生成管理部１２２へ処理が受け渡され、その後、プロセス生成部１４０へ処理が受け渡される。プロセス生成部１４０が子プロセス３２を生成すると、子プロセス３２はファイル４１への書き込み要求を発生する。この書き込み要求によって、管理テーブル１１０を介してファイル書き込み管理部１２１へ処理が受け渡され、その後、ファイル書き込み部１３０へ処理が受け渡される。ファイル書き込み部１３０はファイル４１に所定の情報を書き込む。親プロセス３１が、ファイル４２への書き込みを行うため、子プロセスの生成要求を発生した場合も上記と同様であり、子プロセス３３が生成され、ファイル４２への書き込みが行われる。
【００４０】
ファイル操作ログには、親プロセスIDと子プロセスIDが記録されているので、それらの情報から、ファイル操作に関わった親子のプロセスの関係を把握することができる。また、ファイル操作ログにはファイル名も記録されているので、親子のプロセスがファイル操作を行ったファイルを把握することができる。
【００４１】
上記において、プロセスがファイルへの書き込み要求を発生した場合の動作を説明したが、プロセスがファイルの消去要求を発生した場合にも、ファイルの消去を実行するカーネル関数であるsys_unlink()関数に処理を受け渡す前に、ファイル書き込み管理部１２１と同様の機能を有する処理部が処理を行うことによって、同様の情報を記録することができる。
【００４２】
上述したように、本実施形態による情報処理装置は、プロセスがファイルアクセスのためのシステムコールを発行した際に、そのプロセスのプロセスIDまたはそのプロセスの親プロセスのプロセスIDと一致するプロセスIDと関連付けられたIPアドレスをアクセスログから取得し、ファイル名、プロセスID（または親子のプロセスID）、IPアドレスをファイル操作ログに記録する。これによって、リモートアクセスに関するファイル名、プロセスID、および侵入者のIPアドレスをリアルタイムに記録することができる。さらに、親子のプロセスのプロセスIDを関連付けてファイル操作ログに記録することによって、それらのプロセスIDから親子のプロセスの関係を把握することができる。
【００４３】
また、上述したように、本実施形態による情報処理装置は、ファイルへの書き込み要求が発生した際に、ファイルへの書き込みを行うファイル書き込み部１３０に処理が受け渡される前に書き込み対象のファイルのコピーをファイル記憶装置２０に記録する。一般に、リモート侵入者は、悪意のプログラムの挿入や痕跡の消去を試みるので、これらが行われる前のファイルを証拠として記録することができる。
【００４４】
本実施形態による情報処理装置をハニーポットに適用することで、リモート侵入者の挙動を監視することが可能となる。また、公開サーバのファイルの追加／変更／削除に関するログを詳細に収集するロギングシステムに対して、本実施形態による情報処理装置を適用することも可能である。
【００４５】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上記の情報処理装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。
【００４６】
ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００４７】
また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【符号の説明】
【００４８】
１０・・・カーネル、２０・・・記憶装置（記憶手段）、１００・・・システムコール管理部（システムコール管理手段）、１１０・・・管理テーブル、１２０・・・処理部（処理手段）、１２１・・・ファイル書き込み管理部、１２２・・・プロセス生成管理部、１３０・・・ファイル書き込み部、１４０・・・プロセス生成部
【図１】
2010186426.tif 000003
【図２】
2010186426.tif 000004
【図３】
2010186426.tif 000005
【図４】
2010186426.tif 000006
【図５】
2010186426.tif 000007