(57)【要約】【課題】サーバへの不正な操作を検出する。【解決手段】サーバ不正操作監視システム１００は、主サーバ１０ａ、主サーバ１０ｂ、…、主サーバ１０ｃと、プロキシサーバ２０と、申請処理装置３０と、照合装置４０と、ディスプレイ５０と、を備える。主サーバ１０ａ〜１０ｃには、複数の社員によって共用される管理者ＩＤが設定されている。主サーバ１０ａ〜１０ｃは作業ログ１２ａ〜１２ｃを生成する。プロキシサーバ２０は接続ログ２２を生成する。申請処理装置３０は申請ログ３２を生成する。照合装置４０は、作業ログ１２ａ〜１２ｃと接続ログ２２とを比較してユーザ別作業ログを生成し、それと申請ログ３２とを照合する。【選択図】図１
2010123014.tif 000002
【特許請求の範囲】
【請求項１】
サーバへの不正な操作を監視するサーバ不正操作監視システムであって、
ユーザと、そのユーザによる作業の内容とを関連付ける照合装置と、
複数のユーザに対して共通の管理者ＩＤでのログインを許す主サーバと、
前記主サーバと外部端末との接続を制御するプロキシサーバと、を備え、
前記プロキシサーバは、前記主サーバへの接続を要求するユーザのユーザＩＤを取得し、そのユーザＩＤと、当該接続が行われた時刻と、を関連付けて接続情報として前記照合装置に出力し、
前記主サーバは、管理者ＩＤのもとで行われた作業の内容と、その作業が行われた時刻とを関連付けて作業情報として前記照合装置に出力し、
前記照合装置は、接続情報と作業情報とを時刻を基に比較してユーザＩＤと、作業の内容と、を関連付けることを特徴とするサーバ不正操作監視システム。
【請求項２】
前記主サーバは、グラフィカルユーザインタフェースを持つオペレーティングシステムによって管理され、外部端末と通信網を介して画面情報をやりとりすることで外部端末からの作業を受け付けることを特徴とする請求項１に記載のサーバ不正操作監視システム。
【請求項３】
前記プロキシサーバは、あるユーザが前記主サーバに接続されているときは他のユーザが前記主サーバに接続されることを制限することを特徴とする請求項１または２に記載のサーバ不正操作監視システム。
【請求項４】
前記照合装置は、前記主サーバの作業情報を監視し、前記主サーバにおいて作業情報の更新が所定の期間止まると警告を出力することを特徴とする請求項１から３のいずれかに記載のサーバ不正操作監視システム。
【請求項５】
ユーザから作業の内容の申請を取得し、申請された作業の内容と、その作業を行うユーザのユーザＩＤと、を関連付けて申請情報として前記照合装置に出力する申請処理装置をさらに備え、
前記照合装置は、接続情報と作業情報とを時刻を基に比較してユーザＩＤと、作業の内容と、を関連付けてユーザ別作業情報とし、さらに、申請された作業の内容と実際の作業の内容とが整合しているかを判定するために申請情報とユーザ別作業情報とを照合することを特徴とする請求項１から４のいずれかに記載のサーバ不正操作監視システム。
【請求項６】
前記照合装置はさらに、申請された作業以外の作業が行われている場合には警告を出力することを特徴とする請求項５に記載のサーバ不正操作監視システム。
【請求項７】
前記申請処理装置は、申請された作業の内容と、その作業を行うユーザのユーザＩＤと、その作業を行う予定の時刻と、を関連付けて申請情報として前記照合装置に出力し、
前記照合装置は、接続情報と作業情報とを時刻を基に比較してユーザＩＤと、作業の内容と、作業が行われた時刻と、を関連付けてユーザ別作業情報とし、さらに、申請された作業が予定の時刻に行われたかを判定するために申請情報とユーザ別作業情報とを照合することを特徴とする請求項５または６に記載のサーバ不正操作監視システム。
【請求項８】
前記申請処理装置は、承認者から申請の承認を取得し、承認された作業の内容と、その作業を行うユーザのユーザＩＤと、を関連付けて申請情報として前記照合装置に出力することを特徴とする請求項５から７のいずれかに記載のサーバ不正操作監視システム。
【請求項９】
作業情報において、作業の内容としてファイルの読み取りと、ファイルの上書きと、ファイルの削除と、が記録され、かつ、時刻として前記主サーバへの接続の開始時間および終了時間が記録されており、
前記照合装置は申請情報およびユーザ別作業情報を参照して、前記主サーバへの接続時間、ファイルの読み取り回数、ファイルの上書き回数、ファイルの削除回数および申請回数のうちの少なくともひとつについてユーザごとに所定の期間集計することを特徴とする請求項５から８のいずれかに記載のサーバ不正操作監視システム。
【請求項１０】
ディスプレイをさらに備え、
前記照合装置は、集計の結果をグラフにして前記ディスプレイに表示せしめることを特徴とする請求項９に記載のサーバ不正操作監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サーバに対する不正な操作を監視する装置に関する。
【背景技術】
【０００２】
近年、企業においては幅広いコンプライアンスの仕組みとより充実した内部統制環境の構築が求められている。たとえば近年の金融商品取引法の改正に伴い、内部統制を充実して財務報告の信頼性を確保する必要がある。また、企業にとって重要な資産である個人情報を漏洩しない仕組みを構築することが求められている。
【０００３】
適切なＩＴ（Information Technology）統制を行うためには、システム状態を把握するための管理基盤の確立や、システムを利用するユーザのアクセスコントロールはもちろんのこと、不正な操作などに備えて操作の記録およびモニタリングが必要となる。
特に日本版ＳＯＸ（Sarbanes-Oxley）法では、財務諸表に関わるモジュールの不正改ざんを防止する仕組みが求められている。
【０００４】
そのような仕組みに資するため、従来では特許文献１のような不正アクセス検出装置が提案されている。
【特許文献１】特開２００４−２１３４７６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
近年、Ｗｉｎｄｏｗｓ（登録商標）をオペレーティングシステムとして採用したサーバが増えている。そのようなサーバでは、複数のユーザによって共用される管理者ＩＤが設定されている場合が多い。
【０００６】
この状況において、本発明者は以下の課題を認識した。
多くのユーザが使用するサーバに対して、そのそれぞれのユーザに固有のログインＩＤを設定することは煩雑である。そのためユーザがそのようなサーバにログインする際には、共用の管理者ＩＤを使用することが多い。ここで複数のユーザが共用の管理者ＩＤでログインし、異なる操作をサーバに対して行ったとしても、サーバにはそれらの操作が共用の管理者ＩＤのもとで行われたという記録しか残らない。したがって後で不正な操作がなかったかモニタリングする際に不便である。
【０００７】
本発明はこうした課題に鑑みてなされたものであり、その目的は、サーバに共用の管理者ＩＤが設定されていてもサーバに対する操作を誰がやったか割り出すことができるサーバ不正操作監視システムの提供にある。
【課題を解決するための手段】
【０００８】
本発明のある態様は、サーバ不正操作監視システムに関する。このサーバ不正操作監視システムは、サーバへの不正な操作を監視するサーバ不正操作監視システムであって、ユーザと、そのユーザによる作業の内容とを関連付ける照合装置と、複数のユーザに対して共通の管理者ＩＤでのログインを許す主サーバと、主サーバと外部端末との接続を制御するプロキシサーバと、を備える。プロキシサーバは、主サーバへの接続を要求するユーザのユーザＩＤを取得し、そのユーザＩＤと、当該接続が行われた時刻と、を関連付けて接続情報として照合装置に出力する。主サーバは、管理者ＩＤのもとで行われた作業の内容と、その作業が行われた時刻とを関連付けて作業情報として照合装置に出力する。照合装置は、接続情報と作業情報とを時刻を基に比較してユーザＩＤと、作業の内容と、を関連付ける。
【０００９】
ここで「不正な操作」とは、職務上意図されない操作であってもよい。また、申請されていない操作であってもよい。また、承認されていない操作であってもよい。また、図利加害目的の操作であってもよい。
「ユーザＩＤ」とは、ユーザを一意に特定する番号であってもよい。
【００１０】
主サーバ、プロキシサーバ、照合装置はそれぞれ別の部材であってもよい。また、それらのうちの任意の組み合わせが一つの装置に組み込まれていてもよい。
【００１１】
この態様によると、接続情報と作業情報とからユーザＩＤと、作業の内容と、を関連付けることができる。
【００１２】
なお、以上の構成要素の任意の組み合わせや、本発明の構成要素や表現を装置、方法、システム、コンピュータプログラム、コンピュータプログラムを格納した記録媒体などの間で相互に置換したものもまた、本発明の態様として有効である。
【発明の効果】
【００１３】
本発明に係るサーバ不正操作監視システムによれば、サーバに共用の管理者ＩＤが設定されていてもサーバに対する不正な操作を監視することができる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明を好適な実施の形態をもとに図面を参照しながら説明する。各図面に示される同一または同等の構成要素、部材、処理には、同一の符号を付するものとし、適宜重複した説明は省略する。
【００１５】
本発明の実施の形態に係るサーバ不正操作監視システムは、サーバへの不正な操作を監視する。このサーバ不正操作監視システムは、たとえばある会社のデータセンタにあるサーバと、同じ会社の中でもそのデータセンタとは離れた場所にある端末とがＬＡＮ（Local Area Network）などの社内通信網で接続されている場合に好適に用いられる。このサーバ不正操作監視システムでは、作業対象のサーバには管理者ＩＤなど、複数の社員によって共用されるＩＤが設定されている場合を想定する。ここでサーバに対する作業の内容としては、ファイルの作成、読み取り、上書き、削除や、当該サーバへの接続および切断が含まれる。
【００１６】
会社の社員は、業務上サーバ内のファイルを読み取り等する必要がある場合は、まずその旨を上司に申請し、承認を得る。この時点でサーバ不正操作監視システムは、申請及び承認に基づく申請ログを生成する。そして社員は、一端プロキシサーバへＳＳＨ（Secure Shell）接続してから、作業対象のサーバへアクセスする。社員は管理者ＩＤで作業対象のサーバにログインし、必要な作業を行う。ここでサーバ不正操作監視システムは、プロキシサーバから得られる、どの社員がいつログインしたかの情報と、作業対象のサーバから得られる、どのような作業がいつ行われたかの情報と付き合わせて、どの社員がどのような作業を行ったかのログを作成する。そしてこのログと申請ログとを照合し、もし申請および承認されていない作業が行われている場合は警告を発する。この警告により、作業対象のサーバに対する不正な操作が行われたかどうか、行われたとすればどのような不正な操作が誰によって行われたかを知ることができる。
【００１７】
図１は、実施の形態に係るサーバ不正操作監視システム１００およびその周辺の機能および構成を示すブロック図である。ここに示す各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。
【００１８】
サーバ不正操作監視システム１００は、主サーバ１０ａ、主サーバ１０ｂ、…、主サーバ１０ｃ（以降これらを総称する場合は主サーバ１０と呼ぶ）と、プロキシサーバ２０と、申請処理装置３０と、照合装置４０と、ディスプレイ５０と、を備える。
プロキシサーバ２０は、通信網２００を通じて本番環境端末３０２ａ、本番環境端末３０２ｂ、…、本番環境端末３０２ｃ（以降これらを総称する場合は本番環境端末３０２と呼ぶ）と接続される。通信網２００には、ＬＡＮ（Local Area Network）・ＷＡＮ（Wide Area Network）・インターネット等の通信手段が含まれる。
【００１９】
本番環境端末３０２は本番環境接続ルーム３００内に設置される。本番環境接続ルーム３００はサーバ不正操作監視システム１００とは異なる場所に設けられている。
サーバ不正操作監視システム１００の申請処理装置３０は、図示しない通信網を通じて、もしくは直接、社員端末３０４および承認者端末３０６と接続される。社員端末３０４とは、たとえば社員のデスクに設置されたデスクトップＰＣ（Personal Computer）である。承認者端末３０６とは、たとえば承認者のデスクに設置されたデスクトップＰＣである。ここで承認者とは、たとえば社員の属する部署の長である。
【００２０】
社員は社員端末３０４から作業の内容を申請する。部署の長は承認者端末３０６からその作業の内容を確認し承認する。作業予定の時刻になると社員は本番環境接続ルーム３００に入室し、本番環境端末３０２ａ、本番環境端末３０２ｂ、…、本番環境端末３０２ｃのうちのいずれかの端末から通信網２００を通じてプロキシサーバ２０にアクセスする。
【００２１】
主サーバ１０は、証券や流通のシステムに関する実行ファイルやデータファイル等が記憶されたサーバであり、社員はこれらのファイルの作成や更新などをその職務としている。また、主サーバ１０はグラフィカルユーザインタフェースを持つオペレーティングシステム、たとえばＷｉｎｄｏｗｓ（登録商標）、によって管理される。そして主サーバ１０は、本番環境端末３０２からの作業を受け付ける際には、本番環境端末３０２と通信網２００を介して画面情報をやりとりする。たとえばいわゆるリモートデスクトップ接続がこれに相当する。
【００２２】
さらに主サーバ１０には、複数の社員によって共用される「Administrator」などの管理者ＩＤが設定される。通常社員は当該管理者ＩＤを用いて主サーバ１０にログインし、作業を行う。主サーバ１０には作業が管理者ＩＤのもとで行われたという記録しか残らないので、その作業がどの社員によって行われたかは主サーバ１０での記録だけからは判明しない。
【００２３】
主サーバ１０ａ、主サーバ１０ｂ、…、主サーバ１０ｃはそれぞれ、作業ログ１２ａ、作業ログ１２ｂ、…、作業ログ１２ｃ（以降これらを総称する場合は作業ログ１２と呼ぶ）を作成し更新する機能を有する。作業ログ１２は、時刻と、ログインＩＤと、ＯＳ（Operating System）操作内容と、を関連付けて記録する。ＯＳ操作内容は、主サーバ１０に対して行われた作業の内容を示す。ログインＩＤは、当該作業を行ったアカウントに対応するＩＤを示す。時刻は、当該作業が行われた時刻を示す。
主サーバ１０は、後述する照合装置４０に作業ログ１２を出力する。この出力動作は、照合装置４０の照合動作に合わせて定期的に行われる。
【００２４】
プロキシサーバ２０は、主サーバ１０と本番環境端末３０２との接続を制御する。プロキシサーバ２０は、本番環境端末３０２を使用する社員から通信網２００を介して主サーバ１０への接続要求を受け取ると、本番環境端末３０２に対して後述する社員ＩＤ要求画面５３６を出力する。そして社員ＩＤおよびパスワードを受け取り、パスワードの認証を行い、問題が無ければ主サーバ１０への接続を許可する。ここで社員ＩＤとは社員を一意に特定できるＩＤである。社員は本番環境端末３０２からプロキシサーバ２０を介して主サーバ１０にリモートデスクトップ接続を行う。
またプロキシサーバ２０は、社員が主サーバ１０からログアウトするとそれを検知し、接続を切断する。
【００２５】
プロキシサーバ２０は、接続ログ２２を作成し更新する機能を有する。接続ログ２２は、時刻と、主サーバＩＤと、社員ＩＤと、を関連付けて記録する。時刻は、接続を許可した時間または接続を切断した時間を示す。主サーバＩＤは、接続を許可した主サーバ１０のＩＤもしくは接続を切断した主サーバ１０のＩＤを示す。社員ＩＤは、接続を許可した社員の社員ＩＤもしくは接続を切断した社員の社員ＩＤを示す。
プロキシサーバ２０は、パスワードの認証が済むと接続ログ２２を更新し、また社員が主サーバ１０からログアウトして接続が切断されると接続ログ２２を更新する。
プロキシサーバ２０は、後述する照合装置４０に接続ログ２２を出力する。この出力動作は、照合装置４０の照合動作に合わせて定期的に行われる。
【００２６】
プロキシサーバ２０は、ある社員が主サーバ１０ａ、主サーバ１０ｂ、…、主サーバ１０ｃのうちのひとつに接続されているときは他の社員がその主サーバに接続されることを制限する。これにより、ひとつの主サーバに対して２人以上の社員が同時にログインすることを防ぐことができる。
【００２７】
申請処理装置３０は、社員からの申請を処理する。この申請は社員が行う予定である作業の内容を含む。申請処理装置３０は、申請を行うために接続してきた社員の社員端末３０４に対して、後述する申請画面５１０を出力する。社員は社員端末３０４上に表示される申請画面５１０に申請内容を入力し、申請処理装置３０に出力する。申請処理装置３０は申請画面５１０上の申請内容を読み取る。
【００２８】
次に申請処理装置３０は、申請された作業の内容の承認を要求するため、承認者端末３０６に対し後述する承認画面５２８を出力する。承認者はその画面上で申請された作業の内容を確認し、問題が無ければ承認する。この承認は、承認画面５２８上の承認ボタン５３２をクリックすることで行われ、申請処理装置３０はそのボタンのクリックを検知することで申請の承認を取得する。
なお、申請処理装置３０は、承認者からの求めに応じて承認画面を承認者端末３０６に出力してもよい。この場合、承認者が自分の都合の良いときに承認作業を行うことができる。
【００２９】
申請処理装置３０は、申請ログ３２を作成し更新する機能を有する。申請ログ３２は、作業予定期間と、社員ＩＤと、主サーバＩＤと、承認された作業の内容と、を関連付けて記録する。作業予定期間は、承認された作業を行う予定の期間を示す。社員ＩＤは、承認された作業を行う社員の社員ＩＤを示す。主サーバＩＤは、承認された作業が行われる主サーバの主サーバＩＤを示す。
申請処理装置３０は、申請の承認を取得すると申請ログ３２を更新する。また申請処理装置３０は、後述する照合装置４０に申請ログ３２を出力する。この出力動作は、照合装置４０の照合動作に合わせて定期的に行われる。
【００３０】
照合装置４０は、社員による主サーバ１０に対する作業の内容を、その社員から申請された作業の内容と照合する。この照合動作が定期的に、たとえば１日１回行われるよう照合装置４０は構成される。
図２は、照合装置４０の機能および構成を示すブロック図である。照合装置４０は、作業ログ変換部４１と、比較部４２と、照合部４３と、表示制御部４４と、集計部４５と、を含む。
【００３１】
作業ログ変換部４１は、作業ログ１２ａ、作業ログ１２ｂ、…、作業ログ１２ｃを取得し、それらを単一のマスタ作業ログ１４に変換する。作業ログ変換部４１にはあらかじめ、それぞれの主サーバの管理者ＩＤが登録される。作業ログ変換部４１は作業ログ１２ａから、管理者ＩＤのもとで行われたＯＳ操作内容と時刻とを抽出してそれに主サーバ１０ａの主サーバＩＤを付与した上でマスタ作業ログ１４に記録する。他の作業ログに対しても同様の操作を行う。こうして作成されたマスタ作業ログ１４は、比較部４２に出力される。
なお、作業ログ変換部４１は、主サーバごとにログインからログアウトまでの作業をまとめてマスタ作業ログ１４に記録してもよい。この場合、後述する照合をより行いやすくなる。
【００３２】
比較部４２は、マスタ作業ログ１４と接続ログ２２とを時刻を基に比較してユーザ別作業ログ１６を作成する。より具体的には、マスタ作業ログ１４のＯＳ操作内容に対して、時刻および主サーバＩＤが一致する接続ログ２２の社員ＩＤを紐付ける。
ユーザ別作業ログ１６は、時刻と、社員ＩＤと、主サーバＩＤと、ＯＳ操作内容と、を関連付けて記録する。時刻は、作業が行われた時刻を示す。社員ＩＤは、作業を行った社員の社員ＩＤを示す。主サーバＩＤは、作業が行われた主サーバの主サーバＩＤを示す。ＯＳ操作内容は、上述の通り社員ＩＤに紐付けられた作業の内容を示す。
【００３３】
照合部４３は、申請された作業の内容と実際の作業の内容とが整合しているかを判定するために、申請ログ３２とユーザ別作業ログ１６とを照合する。この照合は、申請ログ３２にある作業予定期間内に、申請ログ３２にある社員ＩＤを有する社員が、申請ログ３２にある主サーバＩＤを有する主サーバに対して、申請ログ３２にある承認された作業の内容を行っているかを調べることによって行われる。この照合の結果、申請ログ３２に記録されている作業以外の作業が行われていることが判明した場合、照合部４３はその作業の情報を警告と共に表示制御部４４に出力する。ここで出力される作業の情報は、時刻と、社員ＩＤと、主サーバＩＤと、ＯＳ操作内容と、を含む。
また、申請ログ３２に記録されている作業以外の作業は、申請ログ３２に記録されている承認された作業の内容以外の内容の作業を含む。さらに、申請された作業が予定の時刻に行われたかを判定するために、申請ログ３２に記録されている作業以外の作業は、申請ログ３２に記録されている作業予定期間外に行われた作業を含む。
【００３４】
なお、照合部４３は警告の内容の履歴をとってそれを承認者へフィードバックしてもよい。これはたとえば照合部４３が警告の内容の履歴を申請処理装置３０へ出力し、申請処理装置３０が承認画面５２８と合わせて履歴の内容を承認者端末３０６に出力することによって実現される。この場合、承認者が承認画面５２８において承認を行う際の判断材料のひとつを提供することができる。
【００３５】
表示制御部４４は、照合部４３から作業の情報および警告を受け取ると、それに対応した後述する警告画面５５０をディスプレイ５０に表示せしめる。
【００３６】
集計部４５は、申請ログ３２およびユーザ別作業ログ１６を参照して、主サーバへの接続時間、ファイルの読み取り回数、ファイルの上書き回数、ファイルの削除回数および申請回数を社員ＩＤごとに所定の期間、たとえば１週間または１ヶ月間、集計する。主サーバへの接続時間を求める際は、ユーザ別作業ログ１６のＯＳ操作内容のうちから主サーバへの接続および切断を選び出し、それらに対応する時刻から計算する。
集計部４５は、集計の結果を表示制御部４４に出力する。表示制御部４４は、その集計の結果を、後述する集計結果表示画面５５４のようなグラフとしてディスプレイ５０に表示せしめる。
【００３７】
なお、集計部４５は集計の結果を承認者へフィードバックしてもよい。これはたとえば集計部４５が集計の結果を申請処理装置３０へ出力し、申請処理装置３０が承認画面５２８と合わせて集計の結果の内容を承認者端末３０６に出力することによって実現される。この場合、承認者が承認画面５２８において承認を行う際の判断材料のひとつを提供することができる。
【００３８】
なお、照合装置４０は、主サーバ１０の作業ログ１２を監視し、主サーバ１０において作業ログ１２の更新が所定の期間止まると警告をディスプレイ５０に表示せしめてもよい。この場合、主サーバのログ収集機能の異常を検出することができる。この所定の期間は、たとえば照合装置４０がログを集めて照合を行う周期よりも短く設定されてもよい。この場合、照合を行う前に主サーバの異常に気付くことができる。
【００３９】
以降説明を明瞭とするため、１日ごとに照合を行うサーバ不正操作監視システム１００を用いて２００７年４月１８日に照合を行う場合を考える。図３は、作業ログ１２ａのデータ構造図である。図４は、作業ログ１２ｂのデータ構造図である。２００７年４月１８日には、主サーバ１０ａおよび主サーバ１０ｂ以外の主サーバに対しては作業が行われなかった場合を想定する。
図５は、マスタ作業ログ１４のデータ構造図である。図６は、接続ログ２２のデータ構造図である。図７は、ユーザ別作業ログ１６のデータ構造図である。図８は、申請ログ３２のデータ構造図である。
【００４０】
以上の構成によるサーバ不正操作監視システム１００の動作を説明する。図９は、サーバ不正操作監視システム１００における一連の処理を示すフローチャートである。
業務上主サーバのファイルに対して作業を行う必要が生じた場合、社員は社員端末３０４からサーバ不正操作監視システム１００の申請処理装置３０に申請のため接続する（Ｓ４０２）。その際、申請ログイン画面５０２を通じて社員ＩＤとパスワードを入力する。  図１０は、申請ログイン画面５０２を示す代表画面図である。申請ログイン画面５０２は、社員ＩＤ入力領域５０４と、パスワード入力領域５０６と、ログインボタン５０８と、を有する。社員ＩＤ入力領域５０４には、社員ＩＤが入力される。パスワード入力領域５０６には、対応するパスワードが入力される。なお、パスワードは既知の技術を用いて非表示とされる。両者を入力し、ログインボタン５０８をクリックすることで申請ログイン画面５０２に入力された情報が申請処理装置３０に送信される。
【００４１】
申請処理装置３０は、申請ログイン画面５０２で入力された社員ＩＤとパスワードが正しいことを確認すると、社員端末３０４を通じて申請画面５１０を表示する（Ｓ４０４）。このように申請画面５１０を表示する前に申請ログイン画面５０２で社員の認証を行うことにより、いわゆるなりすましを避けることができる。
図１１は、申請画面５１０を示す代表画面図である。申請画面５１０は、社員ＩＤ入力領域５１２と、社員名入力領域５１４と、作業予定期間入力領域５１６と、接続先主サーバＩＤ入力領域５１８と、作業内容入力領域５２０と、承認者入力領域５２２と、申請ボタン５２４と、取り消しボタン５２６と、を有する。
【００４２】
社員ＩＤ入力領域５１２には、申請を行う社員の社員ＩＤが入力される。社員ＩＤ入力領域５１２には、申請ログイン画面５０２で入力された社員ＩＤがそのまま申請処理装置３０によって入力されてもよい。この場合、入力ミスを軽減できる。
社員名入力領域５１４には、申請を行う社員の名前が入力される。社員名入力領域５１４には、申請ログイン画面５０２で入力された社員ＩＤから紐付けられた社員の名前が申請処理装置３０によって入力されてもよい。この場合、入力ミスを軽減できる。
作業予定期間入力領域５１６には、作業を行う予定の期間が入力される。
接続先主サーバＩＤ入力領域５１８には、作業を行う主サーバの主サーバＩＤがプルダウン形式で入力される。
作業内容入力領域５２０には、予定している作業の内容が入力される。
承認者入力領域５２２には、当該申請の承認を行う承認者がプルダウン形式で入力される。
社員は社員端末３０４上に表示された申請画面５１０に全ての情報を入力し、申請ボタン５２４をクリックする。すると申請画面５１０に入力された情報が申請処理装置３０に送信され、申請が完了する（Ｓ４０６）。なお、申請を取り消す場合は取り消しボタン５２６をクリックする。
【００４３】
申請処理装置３０は、申請が完了すると、申請画面５１０において入力された承認者の承認者端末３０６に対して、ＥメールやＬＡＮ等を通じて承認画面５２８を送付して当該申請の承認を要求する（Ｓ４０８）。
図１２は、承認画面５２８を示す代表画面図である。承認画面５２８は、申請に関する情報５３０と、承認ボタン５３２と、却下ボタン５３４と、を有する。承認者は、申請に関する情報５３０の内容を確認した後、承認する場合は承認ボタン５３２をクリックする。すると申請処理装置３０に、申請が承認された旨が送信される（Ｓ４１０）。なお、承認者が申請に関する情報５３０の内容を承認しない場合は却下ボタン５３４をクリックする。すると申請処理装置３０はその旨を既知の手段により申請者に通知する。
なお、通常以上の申請、承認は作業予定日の前に行われる。
【００４４】
申請処理装置３０は、申請の承認を取得すると申請ログ３２を更新する（Ｓ４１２）。その後、予定された作業の時間になると、社員は本番環境接続ルーム３００に入室し、本番環境端末３０２のいずれかから通信網２００を介してサーバ不正操作監視システム１００のプロキシサーバ２０に接続し、作業対象の主サーバへの接続を要求する（Ｓ４１４）。プロキシサーバ２０は、本番環境端末３０２を通じて社員ＩＤ要求画面５３６を表示する（Ｓ４１６）。
図１３は、社員ＩＤ要求画面５３６を示す代表画面図である。社員ＩＤ要求画面５３６は、社員ＩＤ入力領域５３８と、パスワード入力領域５４０と、ＯＫボタン５４２と、を有する。社員ＩＤ入力領域５３８には社員ＩＤが入力され、パスワード入力領域５４０には対応するパスワードが入力される。なお、パスワードは既知の技術を用いて非表示とされる。両者を入力し、ＯＫボタン５４２をクリックすることで社員ＩＤ要求画面５３６に入力された情報がプロキシサーバ２０に送信される（Ｓ４１８）。
【００４５】
プロキシサーバ２０は社員ＩＤ要求画面５３６に入力された情報から認証を行い、入力された社員ＩＤおよびパスワードが正しければ、要求されている主サーバへの接続を許可する（Ｓ４２０）。プロキシサーバ２０は、認証が成功すると接続ログ２２を更新する（Ｓ４２２）。社員は、リモートデスクトップ接続を用いて作業対象の主サーバに接続し、管理者ＩＤでログインする（Ｓ４２４）。その際、接続対象の主サーバは主サーバログイン画面５４４を本番環境端末３０２を通じて表示する。
図１４は、主サーバログイン画面５４４を示す代表画面図である。主サーバログイン画面５４４は、パスワード入力領域５４６と、ログインボタン５４８と、を有する。パスワード入力領域５４６には、あらかじめ設定されたログインＩＤと、そのそれぞれに対応するパスワード入力ボックスとが列挙される。通常社員は管理者ＩＤで主サーバへログインする。したがって社員は、管理者ＩＤに対応するパスワード入力ボックスにパスワードを入力し、ログインボタン５４８をクリックする。そして社員は主サーバに対して作業を行う（Ｓ４２６）。ここで行われる作業の内容は、管理者ＩＤのアカウントに紐付けられて作業ログ１２に記録される（Ｓ４２８）。
【００４６】
ここで、通常社員は管理者ＩＤで主サーバへログインする理由は以下の通りである。
主サーバの管理者ＩＤには通常最大限の権限が付与される。また、社員が必要とする権限は行う作業ごとに異なるが、作業に必要な最小限の権限を有するＩＤを作業ごとに主サーバに設定することは煩雑であり実際的でない。したがって通常社員は管理者ＩＤでログインすることを許され、またそのようにしている。
【００４７】
作業が終了すると、社員は主サーバからログアウトする（Ｓ４３０）。するとプロキシサーバ２０は社員と主サーバとの接続を切断し、接続ログ２２を更新する（Ｓ４３２）。
【００４８】
サーバ不正操作監視システム１００において１日１回の照合が行われるまで以上の動作が適宜繰り返される。照合すべき時間になると、照合装置４０の作業ログ変換部４１は、マスタ作業ログ１４を生成する（Ｓ４３４）。図５に示されるマスタ作業ログ１４は、図３に示される作業ログ１２ａおよび図４に示される作業ログ１２ｂから生成される。ここで、図３に示される作業ログ１２ａのなかで、管理者ＩＤである「Domain\Administrator」以外のログインＩＤ（図３では「Domain\Otsuka」）のもとで行われた作業は、図５に示されるマスタ作業ログ１４に記録されないことに注意する。作業ログ変換部４１は、管理者ＩＤのもとで行われた作業を抽出するからである。
【００４９】
照合装置４０の比較部４２は、マスタ作業ログ１４および接続ログ２２からユーザ別作業ログ１６を生成する（Ｓ４３６）。図７に示されるユーザ別作業ログ１６は、図５に示されるマスタ作業ログ１４および図６に示される接続ログ２２から生成される。マスタ作業ログ１４の時刻および主サーバＩＤと、接続ログ２２の時刻および主サーバＩＤとを付き合わせることで、どの社員がいつからいつまでどの主サーバにログインしていたかが判明する。その期間内にその主サーバに行われた作業の内容と、ログインしていた社員とを紐付けることによりユーザ別作業ログ１６が生成される。
【００５０】
照合装置４０の照合部４３は、ユーザ別作業ログ１６と申請ログ３２とを照合する（Ｓ４３８）。ここでは図７に示されるユーザ別作業ログ１６と、図８に示される申請ログ３２とが照合される。そして申請ログ３２に記録されている作業以外の作業が行われていることが判明した場合、照合装置４０はディスプレイ５０に警告画面５５０を表示せしめる（Ｓ４４０）。
図１５は、警告画面５５０の代表画面図である。警告画面５５０は、警告内容表示領域５５２を有する。警告内容表示領域５５２には、申請ログ３２に記録されている作業以外の作業の内容およびその作業が行われた時刻、その作業を行った社員の社員ＩＤ、その作業が行われた主サーバの主サーバＩＤが表示される。ここでは図７に示されるユーザ別作業ログ１６と図８に示される申請ログ３２とを照合した結果、申請ログ３２に記録されていない社員ＩＤ「ｍ２９８８」による「上書き」操作が、警告内容表示領域５５２に表示される。
【００５１】
また、図９には示していないが、外部からの求めに応じて、もしくは定期的に、照合装置４０の集計部４５はログの集計を行い、照合装置４０はその集計結果を集計結果表示画面５５４としてディスプレイ５０に表示せしめる。
図１６は、集計結果表示画面５５４を示す代表画面図である。集計結果表示画面５５４は、社員情報表示領域５５６と、グラフ５５８と、を有する。社員情報表示領域５５６には、集計の対象となった社員の社員ＩＤおよび社員名が表示される。グラフ５５８には、社員情報表示領域５５６に表示された社員に対応する、サーバへの接続回数、ファイルの読み取り回数、ファイルの上書き回数、ファイルの削除回数および申請回数がグラフとして表示される。
【００５２】
このように本実施の形態に係るサーバ不正操作監視システム１００によれば、作業ログ１２と、プロキシサーバ２０で生成される接続ログ２２とを時刻を基に比較することにより、作業を行った社員を特定することができる。
【００５３】
また、本実施の形態に係るサーバ不正操作監視システム１００によれば、主サーバ１０に対する作業を行った社員を特定した上で、その作業の内容と、社員があらかじめ申請した作業の内容とを照合する。したがって申請されていないのに行われている作業を洗い出すことができるので主サーバ１０への不正な操作を検出することができる。
【００５４】
また、サーバ不正操作監視システム１００は申請された作業以外の作業が行われている場合には警告を出力するので、主サーバ１０への不正な操作を監視する者は、その警告により、より確実に主サーバ１０への不正な操作を検出することができる。
【００５５】
また、サーバ不正操作監視システム１００の主サーバ１０は、グラフィカルユーザインタフェースを持つオペレーティングシステムによって管理され、本番環境端末３０２と通信網２００を介して画面情報をやりとりすることで本番環境端末３０２からの作業を受け付ける。このような場合、本番環境端末３０２と主サーバ１０との通信中にプロキシサーバ２０を通過するデータは画面データであり、プロキシサーバ２０において作業の内容を取得するには大きな労力を必要とする。そのような状況下でも、本実施の形態に係るサーバ不正操作監視システム１００は、作業ログ１２と、プロキシサーバ２０で生成される接続ログ２２とを時刻を基に比較することにより、社員とその社員が行った作業の内容とを紐付けることを可能としている。
【００５６】
また、主サーバ１０への作業を申請する際、社員は作業予定時刻を入力する。そして照合装置４０は、社員が予定された作業を作業予定時刻以外の時刻に行ったとしても、申請内容と食い違うとして警告を出力する。これにより、主サーバ１０への不正な操作をより的確に検出することができる。
【００５７】
また、申請処理装置３０は承認者によって承認された作業の内容を申請ログ３２に記録する。したがって、承認者による承認のない作業は全て照合で洗い出されるので、主サーバ１０への不正な操作をより確実に検出することができる。
【００５８】
また、プロキシサーバ２０は、ある社員が主サーバに接続されているときは他の社員がその主サーバに接続されることを制限する。したがって、主サーバに対して同時に２人以上の社員がログインすることを防ぐことができる。これにより、主サーバへの接続からその主サーバからの切断までの間にその主サーバに対して行われた作業の主体が重複することはない。したがって、比較部４２におけるマスタ作業ログ１４と接続ログ２２との比較が容易となる。
【００５９】
また、作業ログ変換部４１は作業ログ１２をマスタ作業ログ１４に変換する際、管理者ＩＤに対応する作業を抽出する。したがって、作業ログ１２をそのまま足し合わせる場合よりもマスタ作業ログ１４のサイズを小さくでき、照合装置４０における処理のスピードを上げることができる。
【００６０】
また、集計部４５は、主サーバへの接続時間、ファイルの読み取り回数、ファイルの上書き回数、ファイルの削除回数および申請回数を社員ＩＤごとに所定の期間集計する。不正な操作を監視する上での経験上、これら５つの要素のうちのひとつの要素が突出して多いなど、そのバランスを欠く場合、不正な操作が行われている可能性がより高くなる。たとえば一週間でファイルの上書きが通常ではあり得ない回数行われている場合、不正な操作を疑う余地はある。そこで本実施の形態に係るサーバ不正操作監視システム１００では集計部４５がその５つの要素を所定の期間集計するので、短いタイムスパンでは発見できないような不正も洗い出すことができる。
【００６１】
また、そのような集計結果をグラフにしてディスプレイ５０に表示するので、視覚的に各項目を捉えることができる。これはバランスの有無を判断する上での助けとなる。
【００６２】
以上、実施の形態に係るサーバ不正操作監視システム１００の構成と動作について説明した。これらの実施の形態は例示であり、それらの各構成要素や各処理の組み合わせにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。
【００６３】
本実施の形態では、主サーバ１０はグラフィカルユーザインタフェースを持つオペレーティングシステムによって管理される場合について説明したが、これに限られない。主サーバは、複数の社員によって共用される管理者ＩＤが設定されるサーバであればよい。
【００６４】
本実施の形態では、集計部４５は、主サーバへの接続時間、ファイルの読み取り回数、ファイルの上書き回数、ファイルの削除回数および申請回数を集計する場合について説明したが、これに限られない。集計部はそれら５つの要素のうち少なくともひとつを集計すればよい。また、他の要素を集計してもよい。
【００６５】
以上、実施の形態にもとづき本発明を説明したが、実施の形態は、本発明の原理、応用を示しているにすぎないことはいうまでもなく、実施の形態には、請求の範囲に規定された本発明の思想を逸脱しない範囲において、多くの変形例や配置の変更が可能であることはいうまでもない。
【図面の簡単な説明】
【００６６】
【図１】実施の形態に係るサーバ不正操作監視システムおよびその周辺の機能および構成を示すブロック図である。
【図２】図１の照合装置の機能および構成を示すブロック図である。
【図３】図１の作業ログのデータ構造図である。
【図４】図１の作業ログのデータ構造図である。
【図５】図２のマスタ作業ログのデータ構造図である。
【図６】図１の接続ログのデータ構造図である。
【図７】図２のユーザ別作業ログのデータ構造図である。
【図８】図１の申請ログのデータ構造図である。
【図９】図１のサーバ不正操作監視システムにおける一連の処理を示すフローチャートである。
【図１０】申請ログイン画面を示す代表画面図である。
【図１１】申請画面を示す代表画面図である。
【図１２】承認画面を示す代表画面図である。
【図１３】社員ＩＤ要求画面を示す代表画面図である。
【図１４】主サーバログイン画面を示す代表画面図である。
【図１５】警告画面の代表画面図である。
【図１６】集計結果表示画面を示す代表画面図である。
【符号の説明】
【００６７】
１００  サーバ不正操作監視システム、  １０  主サーバ、  １２  作業ログ、  ２０  プロキシサーバ、  ２２  接続ログ、  ３０  申請処理装置、  ３２  申請ログ、  ４０  照合装置、  ５０  ディスプレイ。
【図１】
2010123014.tif 000003
【図２】
2010123014.tif 000004
【図３】
2010123014.tif 000005
【図４】
2010123014.tif 000006
【図５】
2010123014.tif 000007
【図６】
2010123014.tif 000008
【図７】
2010123014.tif 000009
【図８】
2010123014.tif 000010
【図９】
2010123014.tif 000011
【図１０】
2010123014.tif 000012
【図１１】
2010123014.tif 000013
【図１２】
2010123014.tif 000014
【図１３】
2010123014.tif 000015
【図１４】
2010123014.tif 000016
【図１５】
2010123014.tif 000017
【図１６】
2010123014.tif 000018