(57)【要約】【課題】  コンピュータ内の情報をＯＳを介さずライティングソフトなどの独自のドライバを介して勝手に外部の記録媒体に直接書込むことを抑止して情報の漏洩を管理する。【解決手段】  コンピュータ内のファイルが記録媒体２に書込まれたログを取得する記録媒体への書込みログ取得装置１であって、ファイルアクセスのイベントを検出するイベント検出手段１２と、イベント検出手段１２がイベントを検出したとき、ファイルアクセスがオープンからクローズまでの間にファイルアクセスがファイルへのリードアクセスであることを検知してファイルの情報を読込む読込手段１２と、イベント検出手段１２によりファイルアクセスがクローズであることを検出した時、読込手段１２が読込んだファイルの情報をログとして記憶部１５に出力するログ取得手段１２と、を備える。【選択図】      図１
2006099592.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータ内のファイルが記録媒体に書込まれたログを取得する記録媒体への書込みログ取得装置であって、
ファイルアクセスのイベントを検出するイベント検出手段と、
前記イベント検出手段が前記イベントを検出したとき、前記ファイルアクセスがオープンからクローズまでの間に該ファイルアクセスが前記ファイルへのリードアクセスであることを検知して該ファイルの情報を読込む読込手段と、
前記イベント検出手段により前記ファイルアクセスがクローズであることを検出した時、前記読込手段が読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得手段と、
を備えることを特徴とするログ取得装置。
【請求項２】
前記ログ取得手段は、前記イベント検出手段が前記イベントを検出したとき、前記ファイルアクセスがオープンからクローズまでの間に前記ファイルへのライトアクセスを含まないファイルのログを出力する、
請求項１に記載のログ取得装置。
【請求項３】
前記ログ取得手段によりログとして取得されたファイルのサイズがオペレーティングシステムにより管理されるファイルサイズに等しい場合にファイルのログを出力する、
請求項１または２に記載のログ取得装置。
【請求項４】
コンピュータ内のファイルが記録媒体に書込まれたログを取得する記録媒体への書込みログ取得方法であって、
ファイルアクセスのイベントを検出するステップと、
前記イベント検出ステップで前記イベントを検出したとき、前記ファイルアクセスがオープンからクローズまでの間に該ファイルアクセスが前記ファイルへのリードアクセスであることを検知して該ファイルの情報を読込むステップと、
前記イベント検出手段により前記ファイルアクセスがクローズであることを検出した時、前記読込ステップで読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得ステップと、
を備えることを特徴とするログ取得方法。
【請求項５】
コンピュータ内のファイルが記録媒体に書込まれたログを取得する記録媒体への書込みログ取得装置に用いられるプログラムであって、
ファイルアクセスのイベントを検出するステップと、
前記イベント検出ステップで前記イベントを検出したとき、前記ファイルアクセスがオープンからクローズまでの間に該ファイルアクセスが前記ファイルへのリードアクセスであることを検知して該ファイルの情報を読込むステップと、
前記イベント検出手段により前記ファイルアクセスがクローズであることを検出した時、前記読込ステップで読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得ステップと、
をコンピュータに実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、記録媒体への書込みログ取得装置、方法およびそのためのプログラムに関し、特に、コンピュータ内のファイルをＣＤ−Ｒなどの光ディスク記録媒体に書込む時にログを取得する記録媒体への書込みログ取得装置、方法およびそのためのプログラムに関する。
【背景技術】
【０００２】
コンピュータ内のファイルをフレキシブルディスク（ＦＤ）やＵＳＢメモリにコピーして外部に持ち出したときのログを取得する方法として、指定フォルダの状態変化を監視しておき、状態が変化したときにそのイベントを取得し、コピーされたファイルの情報を取得する方法がある（特許文献１参照）。
また、プリンタから印刷された情報、日時、出力者などの履歴を蓄積しておき、蓄積された情報を検索可能とし、情報が漏洩したとき履歴を追跡可能とする手段を設け、情報の漏洩を抑止力とする機密漏洩防止のためのネットワーク印刷システムが開示されている（特許文献２参照）。
【０００３】
【特許文献１】特開２００２−０４１３５９号公報
【特許文献２】特開２００４−１１８２４３号公報の段落［００１３］
【発明の開示】
【発明が解決しようとする課題】
【０００４】
一般に特許文献１に記載されているような従来技術によるログ取得方法は、オペレーティングシステム（ＯＳ）のファイルシステムを介した操作に対しては有効である。しかしながら、ＣＤ−Ｒなど（ＣＤ−ＲＷ、ＤＶＤ−Ｒ、ＤＶＤ−ＲＷを含む）の光ディスク記録媒体への書込みは、ＯＳのファイルシステムを介さず、アプリケーションプログラムとして動作するライティングソフト独自のドライバを介して、記録媒体へ直接書込みを行うため、光ディスク記録媒体への書込み時にイベントを取得できず、コピーされたファイルの情報を取得することはできない。それゆえ、情報の漏洩に対する厳重な管理ができない。端的に言えば、誰がそのファイルをコンピュータから外部に持ち出したかを、後で特定することができない。
【０００５】
本発明は、上記従来技術のログ取得方法がもつ問題点を解決するためになされたものであり、コンピュータ内の情報をＯＳのファイルシステムを介さず、ライティングソフトなどの独自のドライバを介して、勝手に外部の記録媒体に直接書込むことを抑止することで、コンピュータ内の情報の外部への漏洩を厳重に管理することを目的とする。具体的には、コンピュータ内のファイルを光ディスク記録媒体へ書込む時にログを取得する記録媒体への書込みログ取得装置、方法およびそのためのプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成する本発明によるログ取得装置は、コンピュータ内のファイルが記録媒体に書込まれたログを取得する記録媒体への書込みログ取得装置であって、ファイルアクセスのイベントを検出するイベント検出手段と、前記イベント検出手段が前記イベントを検出したとき、前記ファイルアクセスがオープンからクローズまでの間に該ファイルアクセスが前記ファイルへのリードアクセスであることを検知して該ファイルの情報を読込む読込手段と、前記イベント検出手段により前記ファイルアクセスがクローズであることを検出した時、前記読込手段が読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得手段と、を備えることを特徴とする。
【０００７】
上記ログ取得装置において、前記ログ取得手段は、前記イベント検出手段が前記イベントを検出したとき、前記ファイルアクセスがオープンからクローズまでの間に前記ファイルへのライトアクセスを含まないファイルのログを出力する。
上記ログ取得装置において、前記ログ取得手段によりログとして取得されたファイルのサイズがオペレーティングシステムにより管理されるファイルサイズに等しい場合にファイルのログを出力する。
【０００８】
上記目的を達成する本発明によるログ取得方法は、コンピュータ内のファイルが記録媒体に書込まれたログを取得する記録媒体への書込みログ取得方法であって、ファイルアクセスのイベントを検出するステップと、前記イベント検出ステップで前記イベントを検出したとき、前記ファイルアクセスがオープンからクローズまでの間に該ファイルアクセスが前記ファイルへのリードアクセスであることを検知して該ファイルの情報を読込むステップと、前記イベント検出手段により前記ファイルアクセスがクローズであることを検出した時、前記読込ステップで読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得ステップと、を備えることを特徴とする。
【０００９】
上記目的を達成する本発明によるログ取得装置に用いられるプログラムは、コンピュータ内のファイルが記録媒体に書込まれたログを取得する記録媒体への書込みログ取得装置に用いられるプログラムであって、ファイルアクセスのイベントを検出するステップと、前記イベント検出ステップで前記イベントを検出したとき、前記ファイルアクセスがオープンからクローズまでの間に該ファイルアクセスが前記ファイルへのリードアクセスであることを検知して該ファイルの情報を読込むステップと、前記イベント検出手段により前記ファイルアクセスがクローズであることを検出した時、前記読込ステップで読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得ステップと、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、ライティングソフト独自の方法により、ＣＤ−Ｒなどの光ディスク記録媒体へデータを書込んだ場合にも、書込んだファイルの情報をログとして取得することができ、ひいてはコンピュータ内のファイルを勝手に外部の記録媒体に直接書込むことを抑止することで、コンピュータ内の情報の外部への漏洩を厳重に管理できる。
また、本発明によれば、コンピュータ内のデータの漏洩で一番よくあるパターンがファイルを全部コピーして持ち出すものなので、このような場合のログを取得しておくことで、コンピュータ内の情報の外部への漏洩を厳重に管理できる。
【発明を実施するための最良の形態】
【００１１】
以下、添付図面を参照しつつ本発明の実施形態を詳細に説明する。
図１は本発明によるログ取得装置の一実施形態を示す図である。図１に示すログ取得装置１は、例えばパーソナルコンピュータからなり、コンピュータ本体、キーボードやマウス等の入力装置、表示ユニットやプリンタ等の出力装置およびコンピュータ本体とＬＡＮやインターネットを介した外部のコンピュータとの間でプログラムやデータを送受信する通信装置を有する（図示せず）。
【００１２】
上記コンピュータ本体は、ＣＰＵ、ＣＰＵが実行するプログラムやデータの一時記憶エリアおよびＣＰＵのワークエリアに用いられる主記憶装置としてのＲＡＭ、固定のプログラムやデータを記憶するＲＯＭ、必要に応じてＲＡＭに書込まれるプログラムやデータを格納する、例えば磁気ディスク１５からなる補助記憶装置、フレキシブルディスクＦＤやコンパクトディスクＣＤ等のようなプログラムやデータの記録媒体の読取装置および書込み可能な、例えば光ディスク（ＣＤ−Ｒ）２にデータを書込むための書込専用装置等を有する。ＣＰＵ、ＲＡＭ、ＲＯＭ、補助記憶装置、読取装置および書込専用装置は、バスラインを介して互いに通信可能に接続されている。また、ＣＰＵまたは固定のプログラムには、入出力機能や磁気ディスクやメモリの管理など、多くのアプリケーションソフトから共通して利用される基本的な機能を提供するオペレーティングシステム（ＯＳ）が含まれる。
【００１３】
従来のパーソナルコンピュータでは、磁気ディスク１５内に格納されているファイル１５１を光ディスク（ＣＤ−Ｒ）２に書込む場合、先ず磁気ディスク１５からファイル１５１をＯＳのファイルシステム１１を介して読込む。その後、ファイル１５１をＣＤ−Ｒ２に書込む時には、光ディスクへのデータ書込み専用ソフトウェアであるライティングソフト１３がライティングソフト専用ドライバ１４をドライブしてＣＤ−Ｒ２にファイル１５１をＯＳのファイルシステム１１を介さず直接書込んでいた。すなわち、ＯＳのファイルシステム１１を介さず、ライティングソフト独自のドライバ１４を介して、直接ＣＤ−Ｒ２に書込みを行うため、光ディスク記録媒体への書込み時にイベントを取得できず、コピーされたファイルの情報を取得することができなかった。
【００１４】
本発明は、光ディスク記録媒体への書込み時は、ライティングソフト１３独自のライティングソフト専用ドライバ１４を介して書込むため、ファイル情報を取得する事はできないが、読込み時は通常のファイルアクセス同様、ＯＳのファイルシステム１１を介して読込むので、ファイル情報を取得する事ができる点に着目した。すなわち、ライティングソフト１３が起動している間、アプリケーションプログラムがＯＳのファイルシステム１１を介して行うファイルアクセスを監視し、読込んだファイルの情報から光ディスク記録媒体ＣＤ−Ｒ２へファイルをコピーしたか否かを判定し、ＣＤ−Ｒ２へのファイルのコピーを行った可能性があるものについてログとして取得する。
【００１５】
よって、本発明によるログ取得装置の実施形態では、ファイル１５１をＣＤ−Ｒ２に書込む際に、ライティングソフト１３がＯＳのファイルシステム１１およびログ取得プログラム１２を介してファイル１５１を読込んだ後にライティングソフト専用ドライバ１４をドライブしてＣＤ−Ｒ２に書込むように構成されている。ログ取得プログラム１２は、アプリケーションプログラムからＯＳのファイルシステム１１の呼び出しのタイミングで実行される。具体的には、ログ取得プログラムをファイルシステム１１の呼び出しをフックするよう事前に登録しておく。以下に、ログ取得プログラム１２の処理ルーチンをフローチャートを用いて説明する。
【００１６】
図２は図１に示すログ取得装置に用いられるログ取得プログラムのフローチャートである。
ステップＳ２００では、アプリケーションプログラムからＯＳのファイルシステム１１の呼び出しがファイルアクセスがオープンの要求か否かを判定し、判定結果がＹＥＳのときはステップＳ２０１に進み、ＮＯのときはステップＳ２１０に進む。
ステップＳ２０１では、ファイルアクセスルーチン（ＯＳのファイルシステム１１）を呼び出しファイルをオープンし、次いでステップＳ２０２に進み、ファイル名、ＲＥＡＤサイズおよびＷＲＩＴＥの有無等の情報をメモリに一時記憶されるテーブルに登録する。この時点ではＷＲＩＴＥの有無は無である。
【００１７】
図３は図１に示すログ取得装置内に格納されるログファイルの作成時に用いられるテーブルの具体例を示す図である。ステップＳ２０２では、図３の第１行目に示されているように、上記登録時にファイル名：ｆｉｌｅ１、ＲＥＡＤサイズ：１０２４バイトおよびＷＲＩＴＥの有無：無をテーブルに登録し、ステップＳ２５０に進む。このステップＳ２０２の処理は，図３の第２、３行目に示されているように、ファイルがオープンされクローズされるまでの間に複数回繰り返される。
ステップＳ２１０では、ファイルアクセスがライトの要求か否かを判定し、判定結果がＹＥＳのときはステップＳ２１１に進み、ＮＯのときはステップＳ２２０に進む。
ステップＳ２１１では、指定されたファイル名に対応するエントリのＷＲＩＴＥの有無が有りとしてテーブルに登録し、次いでステップＳ２１２に進み、フィルアクセスルーチンを呼び出してライト処理を実行する。
【００１８】
ところで、リードされた全てのファイルがＣＤ−Ｒ２にコピーされるわけではないため、単純に読込んだ全てのファイルの情報を取得すると、実際に書込んだファイル以外の余分な情報まで取得してしまうので、これらの情報を除く必要がある。このため、ファイルアクセス時に以下の条件１、２を満たす読込みを行ったファイルを、ＣＤ−Ｒ２へ書込んだファイルと判断し、そのファイルの情報だけをログとして取得するようにする。
【００１９】
＜条件１＞：ファイルをオープンしクローズするまでの間にリードだけが行われ、ライトなどが行われていない。
何故ならば、コピーしようとしているファイルを更新することは有り得ないので、＜条件１＞を満たさない場合はＣＤ−Ｒ２へ書込むことを目的としたファイルアクセスではないと見なす。
＜条件２＞：読込まれたデータサイズが、ファイルの実サイズ（オペレーティングシステムで管理しているファイルサイズ）と一致する。
何故ならば、一般にファイルをコピーしようとする場合、ファイル全体をコピーすることが殆どであるため、ファイルの一部分のみを読み込んだ場合はファイルのコピーを行っていないと見なすことができる。よって、＜条件２＞を満たさない場合、ＣＤ−Ｒ２へ書込むことを目的としたファイルアクセスではないものと見なす。以下に、条件１、２を満たすファイルをログに記録するためのステップを記す。
【００２０】
また、以下に記すように、ファイルのリードは１回のリードで全て読込まれるとは言えず、ファイルをオープンした後何回かのリードで全てを読込みファイルをクローズすることが多い。
ステップＳ２２０では、ファイルアクセスがリードの要求か否かを判定し、判定結果がＹＥＳのときはステップＳ２２１に進み、ＮＯのときはステップＳ２３０に進む。
ステップＳ２２１では、フィルアクセスルーチンを呼び出し、次いでステップＳ２２２に進み、ファイルアクセスルーチンから返却されたＲＥＡＤサイズをファイル名（例えばｆｉｌｅ２）に対応するエントリのＲＥＡＤサイズに加算する。
【００２１】
ステップＳ２３０では、ファイルアクセスがクローズの要求か否かを判定し、判定結果がＹＥＳのときはステップＳ２３１に進み、ＮＯのときはステップＳ２４０に進む。
ステップＳ２３１では、ファイルアクセスルーチンを呼び出しファイルのクローズ処理を行う。ステップＳ２３２ではステップＳ２３１でクローズしたファイルが上で示した条件１及び条件２を満足するものであるか否かの判定を行い両条件を満足する場合にのみログファイルへの出力を行う。ログファイルへの出力の形式については後述する。続いて、ステップＳ２２３に進み、クローズしたファイルのエントリをテーブルから削除する。この関連情報がログファイルとしてコンピュータ内に格納され、コンピュータ内の情報の外部への漏洩の管理に利用される。
ステップＳ２４０では、ファイルアクセスルーチンを呼び出す。
ステップＳ２５０では、アプリケーションプログラムへ処理を戻す。
【００２２】
図４は光ディスク記録媒体へ書込む時に取得されるログファイルの一覧表を示す図であり、図２に示すフローチャートにおけるステップＳ２３２で取得されたログファイルの一具体例を示している。図３に示すテーブル内のファイル名、ｆｉｌｅ１、ｆｉｌｅ２およびｆｉｌｅ３に対応して図４に示す表では、ファイル名、Ｅ：￥００００００１．ｔｅｘ、Ｅ：￥００００００２．ｔｅｘおよびＥ：￥００００００３．ｔｅｘが示されている。この一覧表には、オペレーティングシステム（ＯＳ）が自身のコンピュータの情報を問合せて得る出力年月日、出力時分秒、マシン名、ＩＰアドレスおよびユーザ名が表示され、さらにファイル名も表示される。ログ取得装置１の操作者は、必要に応じて何時でもこの一覧表を画面表示したりプリントアウトしたりすることができる。
【００２３】
図５は本発明による複数のログ取得装置からの情報漏洩をサーバが監視する一形態を示す図である。複数のクライアント１０１、１０２、…、１０ｎは上述した本発明のログ取得装置であり、各クライアントは、それぞれ内臓の磁気ディスク１０５１、１０５２、…、１０５ｎを有し、それぞれの光ディスク（ＣＤ−Ｒ）２０１、２０２、…、２０ｎに各クライアントに格納されたファイルを書込むことができる。サーバ５００は、一般的な大型コンピュータであり、記憶容量の大きい磁気ディスク５０１を有し、各クライアントにインターネットまたはＬＡＮを介して接続されている。
各クライアントは、図１〜４を用いて説明したようにログファイルを独立に格納しているが、ログファイルが生成される毎にサーバ５００に生成されたログファイルをサーバ５００に転送する。サーバ５００はこれを受けて磁気ディスク５０１に各クライアントに格納されたログファイルを格納し、複数のクライアントからの情報の流出を監視する。
【図面の簡単な説明】
【００２４】
【図１】本発明によるログ取得装置の一実施形態を示す図である。
【図２】図１に示すログ取得装置に用いられるログ取得プログラムのフローチャートである。
【図３】図１に示すログ取得装置内に格納されるログファイルの作成時に用いられるテーブルの具体例を示す図である。
【図４】光ディスク記録媒体へ書込む時に取得されるログファイルの一覧表を示す図である。
【図５】本発明による複数のログ取得装置からの情報漏洩をサーバが監視する一形態を示す図である。
【符号の説明】
【００２５】
１    ログ取得装置
２    光ディスク（ＣＤ−Ｒ）
１１    ＯＳファイルシステム
１２    ログ取得プログラム
１３    ライティングソフト
１４    ライティングソフト専用ドライバ
１５、５０１    磁気ディスク
１０１、１０２、…、１０ｎ    クライアント
５００    サーバ（監視装置）
【図１】
2006099592.tif 000003
【図２】
2006099592.tif 000004
【図３】
2006099592.tif 000005
【図４】
2006099592.tif 000006
【図５】
2006099592.tif 000007