(57)【要約】【課題】  記録容量が制限されているシステムにおいて、イベントよりも細かい単位で、ログとして記録する対象を制限する。【解決手段】  本発明に係るログ記録装置１０は、所定のイベントの発生を観測し、イベントに係る情報及び関連オブジェクトに係る情報を取得する観測部１１と、イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、関連オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する識別子生成部１２と、イベント識別子及びオブジェクト識別子によってログを構成して蓄積するログ蓄積部１３と、サブ識別子に対するマスク条件を含む更新規則に基づいて、サブ識別子をマスクしてログを更新するログ更新部１４とを具備する。【選択図】  図１
2006107348.tif 000002
【特許請求の範囲】
【請求項１】
観測対象の動作状態のログを記録するログ記録装置であって、
所定のイベントの発生を観測し、該イベントに係る情報及び該イベントに関連するオブジェクトに係る情報を取得する観測部と、
前記イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、前記オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する識別子生成部と、
前記イベント識別子及び前記オブジェクト識別子によって前記ログを構成して蓄積するログ蓄積部と、
前記サブ識別子に対する更新規則に基づいて、前記ログを構成する前記サブ識別子に対して所定の更新処理を施して該ログを更新するログ更新部とを具備することを特徴とするログ記録装置。
【請求項２】
フラグ設定規則に基づいて、前記イベント識別子又は前記オブジェクト識別子の少なくとも１つにフラグを設定するフラグ設定部を具備し、
前記ログ更新部は、前記フラグの種別を含む前記更新規則に基づいて前記ログを更新することを特徴とする請求項１に記載のログ記録装置。
【請求項３】
フラグ設定規則に基づいて、前記イベントに係る情報又は前記オブジェクトに係る情報の少なくとも１つにフラグを対応付け、対応付けられた前記フラグの種別に基づいて前記識別子生成部に送信する前記イベントに係る情報又は前記オブジェクトに係る情報を選別する選別部をさらに具備することを特徴とする請求項１に記載のログ記録装置。
【請求項４】
前記観測対象におけるオブジェクトの状態に応じて前記フラグ設定規則を更新するフラグ設定規則更新部をさらに具備することを特徴とする請求項２又は３に記載のログ記録装置。
【請求項５】
前記フラグ設定規則更新部は、前記オブジェクトが正常状態に変化したことを検知した場合、前記フラグとして正常フラグを設定するように前記フラグ設定規則を更新することを特徴とする請求項４に記載のログ記録装置。
【請求項６】
前記観測部は、前記観測対象システムに格納されているオブジェクト記述子を取得し、
前記フラグ設定部は、前記フラグ設定規則及び前記オブジェクト記述子に基づいて前記フラグを設定することを特徴とする請求項２に記載のログ記録装置。
【請求項７】
前記更新規則の改竄を検知する改竄検知部を具備し、
前記ログ更新部は、前記更新規則の改竄が検知されない場合にのみ、前記ログを更新することを特徴とする請求項１に記載のログ記録装置。
【請求項８】
前記フラグ設定規則の改竄を検知する改竄検知部を具備し、
前記フラグ設定部は、前記フラグ設定規則の改竄が検知されない場合にのみ、前記フラグを設定することを特徴とする請求項２に記載のログ記録装置。
【請求項９】
前記イベント識別子又は前記オブジェクト識別子の少なくとも１つは、前記サブ識別子の数量を特定するための数量特定情報を含み、
前記ログ更新部は、前記ログを構成する前記サブ識別子をマスクした場合に、前記数量特定情報を更新することを特徴とする請求項１に記載のログ記録装置。
【請求項１０】
観測対象の動作状態のログを記録するログ記録方法であって、
所定のイベントの発生を観測し、該イベントに係る情報及び該イベントに関連するオブジェクトに係る情報を取得する工程と、
前記イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、前記オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する工程と、
前記イベント識別子及び前記オブジェクト識別子によって前記ログを構成して蓄積する工程と、
前記サブ識別子に対する更新規則に基づいて、前記ログを構成する前記サブ識別子に対して所定の更新処理を施して該ログを更新する工程とを有することを特徴とするログ記録方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、観測対象の動作状態のログを記録するログ記録装置及びログ記録方法に関する。
【背景技術】
【０００２】
従来から、装置やソフトウェア等の観測対象の管理者は、観測対象を管理・解析するための重要な情報源として、観測対象の動作状態の記録である「ログ」を利用している。
【０００３】
例えば、システムの管理者は、ＵＮＩＸ（登録商標）  ＯＳのシステムログ（シスログ）によって記録されたログを解析することにより、システムの異常動作の原因解析や、不正侵入の検知・追跡等を行っている。
【０００４】
なお、ＵＮＩＸ（登録商標）  ＯＳのシステムログ（シスログ）は、ＵＮＩＸ（登録商標）  ＯＳによって管理されるシステムのログを一元的に収集する機構である。そして、ＵＮＩＸ（登録商標）  ＯＳのシステムログ（シスログ）は、認証関連の情報を記録したり、ＵＮＩＸ（登録商標）  ＯＳ（カーネル）や認証機構やサーバプログラムやユーザアプリケーション等の動作状態を記録したりすることができる。
【０００５】
また、ウェブサーバ等のサーバプログラムの管理者は、サーバプログラムへのアクセスログを利用して、ウェブサイトへのアクセス傾向を分析したり、ウェブサイトの構成の改善にフィードバックしたりしている。
【非特許文献１】Ｋｉｎｇ、Ｃｈｅｎ、「Ｂａｃｋｔｒａｃｋｉｎｇ  Ｉｎｔｒｕｓｉｏｎ」、ＡＣＭ  ＳＯＳＰ  ２００３年
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上述のように、ログを利用して観測対象を解析することは、観測対象における管理や動作改善のためには有用であるが、ログの記録頻度やログの保管期間や各ログに含まれる情報量によっては、記録すべきログのサイズが膨大となるという問題点があった。
【０００７】
かかる問題点を解決するために、下記のような対策が知られている。
【０００８】
（対策１）  ログとして記録する対象を制限する。
【０００９】
（対策２）  ログを記録するための専用装置を設ける。
【００１０】
（対策３）  定期的に大容量メディアにログをバックアップする。
【００１１】
（対策１）を実現するために、ＵＮＩＸ（登録商標）  ＯＳのシステムログを用いることが知られている。
【００１２】
かかるＵＮＩＸ（登録商標）  ＯＳのシステムログは、システムで発生するイベントに対して「重要度（ｐｒｉｏｒｉｔｙ）」及び「種別（ｆａｃｉｌｉｔｙ）」を割り当て、所定の重要度以上のイベント又は特定の種別のイベントに係るログのみを記録するように設定することができる。
【００１３】
しかしながら、ＵＮＩＸ（登録商標）  ＯＳのシステムログは、イベント単位で、種別及び重要度を割り当てるように構成されているため、イベント単位でしか、ログとして記録する対象を制限することができないという問題点があった。
【００１４】
例えば、システムの管理者が、不正侵入の追跡のためにログを使用する場合、攻撃者の行動を重要度の低いイベントも含めて解析し、証拠として残す必要があるが、上述のように、ＵＮＩＸ（登録商標）  ＯＳのシステムログが、イベント単位で、ログとして記録する対象を制限してしまった場合、不正侵入の追跡パスを分断してしまう危険性があるという問題点があった。
【００１５】
また、（対策２）及び（対策３）は、記録容量が制限されており接続可能なデバイスが制限されているシステム（例えば、携帯電話端末）では、実現困難であるという問題点があった。
【００１６】
そこで、本発明は、以上の点に鑑みてなされたもので、記録容量が制限されているシステムにおいて、イベントよりも細かい単位で、ログとして記録する対象を制限することが可能なログ記録装置及びログ記録方法を提供することを目的とする。
【課題を解決するための手段】
【００１７】
本発明の第１の特徴は、観測対象の動作状態のログを記録するログ記録装置であって、所定のイベントの発生を観測し、該イベントに係る情報及び該イベントに関連するオブジェクトに係る情報を取得する観測部と、前記イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、前記オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する識別子生成部と、前記イベント識別子及び前記オブジェクト識別子によって前記ログを構成して蓄積するログ蓄積部と、前記サブ識別子に対する更新規則に基づいて、前記ログを構成する前記サブ識別子に対して所定の更新処理を施して該ログを更新するログ更新部とを具備することを要旨とする。
【００１８】
本発明の第１の特徴において、フラグ設定規則に基づいて、前記イベント識別子又は前記オブジェクト識別子の少なくとも１つにフラグを設定するフラグ設定部を具備し、前記ログ更新部が、前記フラグの種別を含む前記更新規則に基づいて前記ログを更新するように構成されていてもよい。
【００１９】
本発明の第１の特徴において、フラグ設定規則に基づいて、前記イベントに係る情報又は前記オブジェクトに係る情報の少なくとも１つにフラグを対応付け、対応付けられた前記フラグの種別に基づいて前記識別子生成部に送信する前記イベントに係る情報又は前記オブジェクトに係る情報を選別する選別部をさらに具備するように構成されていてもよい。
【００２０】
本発明の第１の特徴において、前記観測対象におけるオブジェクトの状態に応じて前記フラグ設定規則を更新するフラグ設定規則更新部をさらに具備するように構成されていてもよい。
【００２１】
本発明の第１の特徴において、前記フラグ設定規則更新部が、前記オブジェクトが正常状態に変化したことを検知した場合、前記フラグとして正常フラグを設定するように前記フラグ設定規則を更新するように構成されていてもよい。
【００２２】
本発明の第１の特徴において、前記観測部が、前記観測対象システムに格納されているオブジェクト記述子を取得し、前記フラグ設定部が、前記フラグ設定規則及び前記オブジェクト記述子に基づいて前記フラグを設定するように構成されていてもよい。
【００２３】
本発明の第１の特徴において、前記更新規則の改竄を検知する改竄検知部を具備し、前記ログ更新部が、前記更新規則の改竄が検知されない場合にのみ、前記ログを更新するように構成されていてもよい。
【００２４】
本発明の第１の特徴において、前記フラグ設定規則の改竄を検知する改竄検知部を具備し、前記フラグ設定部が、前記フラグ設定規則の改竄が検知されない場合にのみ、前記フラグを設定するように構成されていてもよい。
【００２５】
本発明の第１の特徴において、前記イベント識別子又は前記オブジェクト識別子の少なくとも１つは、前記サブ識別子の数量を特定するための数量特定情報を含み、前記ログ更新部が、前記ログを構成する前記サブ識別子をマスクした場合に、前記数量特定情報を更新するように構成されていてもよい。
【００２６】
本発明の第２の特徴は、観測対象の動作状態のログを記録するログ記録方法であって、所定のイベントの発生を観測し、該イベントに係る情報及び該イベントに関連するオブジェクトに係る情報を取得する工程と、前記イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、前記オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する工程と、前記イベント識別子及び前記オブジェクト識別子によって前記ログを構成して蓄積する工程と、前記サブ識別子に対する更新規則に基づいて、前記ログを構成する前記サブ識別子に対して所定の更新処理を施して該ログを更新する工程とを有することを要旨とする。
【発明の効果】
【００２７】
以上説明したように、本発明によれば、記録容量が制限されているシステムにおいて、イベントよりも細かい単位で、ログとして記録する対象を制限することが可能なログ記録装置及びログ記録方法を提供することができる。
【発明を実施するための最良の形態】
【００２８】
（本発明の第１の実施形態に係るログ記録装置の構成）
図１乃至図６を参照して、本発明の第１の実施形態に係るログ記録装置１０の構成について説明する。本実施形態に係るログ記録装置１０は、観測対象システム１の動作状態のログを記録する、すなわち、観測対象システム１で発生したイベントに係るログを記録・更新する装置である。
【００２９】
観測部１１は、観測対象システム１で発生した所定のイベントの発生を観測し、当該イベントに係る情報（イベント情報）及び当該イベントに関連するオブジェクト（関連オブジェクト）に係る情報（オブジェクト情報）を取得するものである。また、観測部１１は、取得したイベント情報及びオブジェクト情報を識別子生成部１２に送信する。
【００３０】
ここで、イベントには、例えば、観測対象システム１のＯＳに対して発行されたシステムコールや、ＯＳによって生成されるシグナル等が含まれる。また、イベント情報には、システムコールの種別（システムコール名）や、シグナルの種別（シグナル名）や、システムコール又はシグナルの発生時間等が含まれる。
【００３１】
一方、オブジェクトには、例えば、プロセスやファイルやファイル名等が含まれる。また、オブジェクト情報には、オブジェクトの識別情報や、プロセスの開始時刻や、ファイルの書込時刻や、ファイル名の修正時刻等が含まれる。すなわち、オブジェクト情報には、ＯＳが当該オブジェクトを管理する際に参照する情報等が含まれる。
【００３２】
なお、図１は、ログ記録装置１０は、観測対象システム１とは別の装置である構成を示しているが、本発明は、かかる構成に限定されるものではなく、観測対象システム１と同じ装置上にログ記録機能１０を実装する構成にも適用可能である。
【００３３】
例えば、本発明は、図１におけるログ記録装置１０に含まれる機能要素１１乃至１４をＯＳ内のモジュールとして実装し、ＯＳで観測可能なイベントに係るログを記録するといった構成にも適用可能である。
【００３４】
識別子生成部１２は、イベント情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、オブジェクト情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成するものである。
【００３５】
具体的には、識別子生成部１２は、観測部１１から入力されたイベント情報及びオブジェクト情報に基づいて、観測部１１によって観測されたイベントに対してイベント識別子構成情報で規定される構成を有するイベント識別子を生成し、観測部１１によって観測された関連オブジェクトに対してオブジェクト識別子構成情報で規定される構成を有するオブジェクト識別子を生成する。 
図２に、イベント識別子構成情報の一例を示す。例えば、識別子生成部１２は、図２に示すイベント識別子構成情報を参照した場合、システムコール（イベント種別：０Ｘ０１）に対して、サブ識別子「システムコール名」とサブ識別子「発生時刻」とによって構成されるイベント識別子を生成し、シグナル（イベント種別：０ｘ０２）に対して、サブ識別子「シグナル名」とサブ識別子「発生時刻」とによって構成されるイベント識別子を生成する。
【００３６】
また、図３に、オブジェクト識別子構成情報の一例を示す。例えば、識別子生成部１２は、図３に示すオブジェクト識別子構成情報を参照した場合、プロセス（オブジェクト種別：０Ｘ０１）に対して、サブ識別子「プログラムパス名」とサブ識別子「親プロセス」とサブ識別子「プロセスＩＤ（ｐｉｄ）」と「サブ識別子「開始時刻」とによって構成されるオブジェクト識別子を生成し、ファイル（オブジェクト種別：０Ｘ０２）に対して、サブ識別子「ｉノード番号」とサブ識別子「デバイス番号」とサブ識別子「書込時刻」とサブ識別子「バージョン」とによって構成されるオブジェクト識別子を生成し、ファイル名（オブジェクト種別：０Ｘ０３）に対して、サブ識別子「パス名」とサブ識別子「修正時刻」とによって構成されるオブジェクト識別子を生成する。
【００３７】
識別子生成部１２は、生成したイベント識別子及びオブジェクト識別子を対応付けてログ蓄積部１３に送信する。
【００３８】
ログ蓄積部１３は、識別子生成部１２によって生成されたイベント識別子及びオブジェクト識別子によってログを構成して蓄積するものである。
【００３９】
例えば、ログ蓄積部１３は、図４に示すように、イベント識別子と複数のオブジェクト識別子＃１、＃２…とを対応付けた形式のログを蓄積して管理する。
【００４０】
ログ更新部１４は、サブ識別子に対する更新規則に基づいて、ログを構成するサブ識別子に対して所定の更新処理を施して当該ログを更新するものである。
【００４１】
例えば、ログ更新部１４は、サブ識別子に対する更新規則に含まれるマスク条件に基づいて、ログを構成するサブ識別子をマスクして当該ログを更新するように構成されている。
【００４２】
図５に、更新規則の一例を示す。図５に示す更新規則には、オブジェクト識別子を構成するサブ識別子に対するマスク条件が含まれている。
【００４３】
例えば、ログ更新部１４は、図５に示す更新規則を参照した場合、プロセスが開始されてから閾値１以上の時間が経過した際に、プロセスに係るオブジェクト識別子を構成するサブ識別子「親プロセス」と「プロセスＩＤ（ｐｉｄ）」と「開始時刻」とをマスクする。
【００４４】
また、ログ更新部１４は、図５に示す更新規則を参照した場合、観測対象システム１のリブート時に、プロセスに係るオブジェクト識別子を構成するサブ識別子「プロセスＩＤ（ｐｉｄ）」と「開始時刻」とをマスクする。
【００４５】
なお、ログ更新部１４は、図５に示す更新規則を参照した場合、プロセスに係るオブジェクト識別子を構成するサブ識別子「プログラムパス名」をマスクすることができない。
【００４６】
例えば、ログ更新部１４は、該当するサブ識別子に対して「０」を上書きすることで、上述のマスク処理を実現することができる。
【００４７】
また、ログ更新部１４は、マスク処理の結果、ログを構成する識別子（イベント識別子及びオブジェクト識別子）が一致する複数のログを、１つのログにまとめることができる。
【００４８】
また、イベント識別子又はオブジェクト識別子の少なくとも１つが、サブ識別子の数量を特定するための数量特定情報を含むように構成されていてもよい。図６に、かかる数量特定情報を含むオブジェクト識別子構成情報の一例を示す。
【００４９】
ログ更新部１４は、かかる数量特定情報に基づいて、マスク可能なサブ識別子を削除して、オブジェクト識別子（又は、イベント識別子）のビット長を削減することができる。
【００５０】
また、ログ更新部は、サブ識別子を削除した後も正しくログを読み取ることができるように、かかる数量特定情報を更新する。
【００５１】
なお、イベント識別子又はオブジェクト識別子の少なくとも１つに数量特定情報を追加する以外にも、各サブ識別子に後続のサブ識別子が存在するかどうかを示すマーカーを付与することで、同等の機能を実現可能である。
【００５２】
（本発明の第１の実施形態に係るログ記録装置の動作）
図７を参照して、本発明の第１の実施形態に係るログ記録装置１０の動作（ログ記録方法）について説明する。
【００５３】
図７に示すように、ステップＳ１００１において、ログ記録装置１０は、観測対象システム１において所定のイベントの発生を観測した場合に、観測対象システム１からイベント情報及びオブジェクト情報を取得する。
【００５４】
ステップＳ１００２において、ログ記録装置１０は、取得したイベント情報及びオブジェクト情報に基づいて、イベント識別子及びオブジェクト識別子を生成する。図８に、生成された様々なイベント識別子及びオブジェクト識別子の例を示す。
【００５５】
ステップＳ１００３において、ログ記録装置１０は、生成したイベント識別子及びオブジェクト識別子を対応付けることによって、上述のイベントに係るログを生成して蓄積する。
【００５６】
ステップＳ１００４において、更新規則に基づいて、ログ（イベント識別子及びオブジェクト識別子）を構成するサブ識別子をマスクすることによって、当該ログを更新する。
【００５７】
図９を参照して、かかるログの更新方法について説明する。図９（ａ）は、更新前のログを示し、図９（ｂ）は、更新後のログを示す。図９（ａ）において、ログ＃１は、時刻「５」に生成されたものであり、ログ＃２は、時刻「１０」に生成されたものである。
【００５８】
ログ更新部１４は、ログ記録装置１０は、更新規則に基づいて、特定のサブ識別子をマスクした結果、ログ＃１とログ＃２を構成する識別子（イベント識別子及びオブジェクト識別子）が一致した場合、２つのログのうち、新しく生成されたログ＃２のみを残してログ＃１を削減する。
【００５９】
（本発明の第１の実施形態に係るログ記録装置の作用・効果）
本発明の第１の実施形態に係るログ記録装置１０によれば、イベント単位のイベント情報（及び、オブジェクト情報）から取得した重要度や種別の異なる情報をサブ識別子として連接したイベント識別子（及び、オブジェクト識別子）によって、イベントに係るログを構成するため、イベントよりも細かい単位で柔軟にログとして記録する対象を設定することができる。
【００６０】
本発明の第１の実施形態に係るログ記録装置１０によれば、所定時間の経過やリブート等といった各種イベントに対応するマスク条件を設定することができ、ログ解析上、不要となった情報を順次削除することが可能となる。
【００６１】
例えば、ログ解析上、リブート前のプロセスＩＤ（ｐｉｄ）が不要である場合、当該サブ識別子をマスクすることにより、ログの情報量を削減することができる。
【００６２】
また、本発明の第１の実施形態に係るログ記録装置１０によれば、ログの更新時に、詳細な情報が不要となったログのサブ識別子をマスクし後、識別子（イベント識別子及びオブジェクト識別子）が同一のログを１つのログとしてまとめることができる。
【００６３】
この結果、詳細な情報が不要なログのサイズを削減することが可能となり、記録容量の限られたシステム（例えば、携帯電話端末）に好適なログ記録機能を実現できる。
【００６４】
また、本発明の第１の実施形態に係るログ記録装置１０によれば、イベント識別子やオブジェクト識別子が数量特定情報を含むため、ログ解析上、重要度の低い情報を含むサブ識別子を削除することが可能となり、ログの情報量を削減する効果を得ることができる。
【００６５】
（本発明の第２の実施形態に係るログ記録装置）
図１０乃至図１４を参照して、本発明の第２の実施形態に係るログ記録装置１０について説明する。以下、本実施形態に係るログ記録装置１０について、上述の第１の実施形態に係るログ記録装置１０との相違点を主として説明する。
【００６６】
図１０に示すように、本実施形態に係るログ記録装置１０は、上述の第１の実施形態に係るログ記録装置１０の構成に加えて、フラグ設定部２１を具備している。
【００６７】
フラグ設定部２１は、フラグ設定規則に基づいて、イベント識別子又はオブジェクト識別子の少なくとも１つにフラグを設定するものである。
【００６８】
図１１に、フラグ設定部２１によって設定されるフラグの一例を示す。例えば、共有メモリ等の一時的なオブジェクトに係るオブジェクト識別子には、「ｔｅｍｐｏｒａｌフラグ」が設定され、システムファイルの変更等の重要度の高いイベントに係るイベント識別子には、消去不可能であることを示す「ｅｔｅｒｎａｌフラグ」が設定される。
【００６９】
図１２に、フラグ設定規則の一例を示す。図１２に示すように、例えば、フラグ設定規則は、識別子（イベント識別子及びオブジェクト識別子）又はサブ識別子とフラグとの対応表により実現可能である。
【００７０】
ログ蓄積部１３は、図１３に示すように、フラグ設定部２１によってフラグが設定されたイベント識別子及びオブジェクト識別子によってログを構成して蓄積するものである。
【００７１】
本実施形態において、更新規則は、フラグに応じた更新処理を定義可能である。例えば、更新規則は、以下のように、フラグに応じた更新処理を定義する。
【００７２】
-「ｔｅｍｐｏｒａｌフラグ」が設定されたオブジェクト識別子について、リブート時に削除する。
【００７３】
-「ｃｌｅａｎフラグ」が設定されたイベント識別子又はオブジェクト識別子について、一定時間が経過した後に削除する。
【００７４】
-「ｅｔｅｒｎａｌフラグ」が設定されたイベント識別子又はオブジェクト識別子については削除を禁止する。
【００７５】
すなわち、ログ更新部１４は、更新規則に含まれるマスク条件及びフラグの種別（例えば、「ｔｅｍｐｏｒａｌフラグ」や「ｃｌｅａｎフラグ」や「ｅｔｅｒｎａｌフラグ」等）に基づいてログを更新するように構成されている。
【００７６】
また、本実施形態において、観測部１１が、観測対象システム１に格納されているオブジェクト記述子を取得するように構成されており、フラグ設定部２１が、フラグ設定規則及びオブジェクト記述子に基づいてフラグを設定するように構成されていてもよい。
【００７７】
次に、図１４を参照して、本発明の第２の実施形態に係るログ記録装置１０の動作（ログ記録方法）について説明する。
【００７８】
図１４に示すように、ステップＳ２００１において、ログ記録装置１０は、観測対象システム１において所定のイベントの発生を観測した場合に、観測対象システム１からイベント情報及びオブジェクト情報を取得する。かかる場合、ログ記録装置１０は、観測対象システム１に格納されているオブジェクト記述子を取得するように構成されていてもよい。
【００７９】
ステップＳ２００２において、ログ記録装置１０は、取得したイベント情報及びオブジェクト情報に基づいて、イベント識別子及びオブジェクト識別子を生成する。
【００８０】
ステップＳ２００３において、ログ記録装置１０は、フラグ設定規則に基づいて、所定の識別子（イベント識別子及びオブジェクト識別子）又はサブ識別子に対してフラグを設定する。
【００８１】
ステップＳ２００４において、ログ記録装置１０は、フラグが設定されたイベント識別子及びオブジェクト識別子を対応付けることによって、上述のイベントに係るログを生成して蓄積する。
【００８２】
ステップＳ２００５において、ログ記録装置１０は、更新規則に基づいて、ログ（イベント識別子及びオブジェクト識別子）を構成するサブ識別子をマスクすることによって、かつ、更新規則によって定義されている更新処理を施すことによって、当該ログを更新する。
【００８３】
本発明の第２の実施形態に係るログ記録装置１０によれば、フラグ設定部２１が、イベント識別子及びオブジェクト識別子に対応付けてフラグを設定し、ログ更新部１４が、設定したフラグの種別に応じて更新処理を行うことができる。
【００８４】
ここで、フラグ設定部２１は、イベントの種別やオブジェクトの種別に応じてフラグを設定することができるため、一時的なオブジェクトや正常動作であることが確認済みのオブジェクトやイベント等、ログ解析上、重要度が低いログを更新時又は観測時に削除することができる。
【００８５】
この結果、本実施形態に係るログ記録装置１０によれば、記録すべきログのサイズを低減する効果や、ログの記録に伴うオーバーヘッドを軽減する効果を得ることができる。
【００８６】
本発明の第２の実施形態に係るログ記録装置１０によれば、フラグによって、施されるべき更新処理（イベント又はオブジェクトの属性）を表現することができるため、同一の更新処理が施されるべき識別子（サブ識別子）に対して同一のフラグを割り当てればよく、容易に更新規則を記述することができる。
【００８７】
また、本発明の第２の実施形態に係るログ記録装置１０によれば、オブジェクト記述子（プロセス記述子やファイル記述子）中に、フラグ設定に係る情報を埋め込むことにより、観測対象システム１側から、フラグ設定を制御することが可能となる。この結果、本発明の第２の実施形態に係るログ記録装置１０によれば、オブジェクトの状態変化を、より迅速に更新処理に反映することができる。
【００８８】
（本発明の第３の実施形態に係るログ記録装置）
図１５乃至図１７を参照して、本発明の第３の実施形態に係るログ記録装置１０について説明する。以下、本実施形態に係るログ記録装置１０について、上述の第１及び第２の実施形態に係るログ記録装置１０との相違点を主として説明する。
【００８９】
本実施形態に係るログ記録装置１０は、上述の第１及び第２の実施形態に係るログ記録装置１０の構成に加えて、選別部２２を具備している。
【００９０】
選別部２２は、フラグ設定規則（図１６参照）に基づいて、観測部１１から取得したイベント情報又はオブジェクト情報の少なくとも１つにフラグを対応付け、対応付けられたフラグの種別に基づいて、識別子生成部１２に送信するイベント情報又はオブジェクト情報を選別するものである。
【００９１】
次に、図１７を参照して、本発明の第３の実施形態に係るログ記録装置１０の動作（ログ記録方法）について説明する。
【００９２】
図１７に示すように、ステップＳ３００１において、ログ記録装置１０は、観測対象システム１において所定のイベントの発生を観測した場合に、観測対象システム１からイベント情報及びオブジェクト情報を取得する。
【００９３】
ステップＳ３００２において、ログ記録装置１０は、フラグ設定規則（図１６参照）に基づいて、イベント情報及びオブジェクト情報の各々にフラグを設定する。
【００９４】
ステップＳ３００３において、ログ記録装置１０は、設定されたフラグに基づいて、識別子生成部１２に出力するイベント情報及びオブジェクト情報を選別する。
【００９５】
ステップＳ３００４において、ログ記録装置１０は、取得したイベント情報及びオブジェクト情報に基づいて、イベント識別子及びオブジェクト識別子を生成する。
【００９６】
ステップＳ３００５において、ログ記録装置１０は、生成されたイベント識別子及びオブジェクト識別子を対応付けることによって、上述のイベントに係るログを生成して蓄積する。
【００９７】
ステップＳ３００６において、ログ記録装置１０は、更新規則に基づいて、ログ（イベント識別子及びオブジェクト識別子）を構成するサブ識別子をマスクすることによって、かつ、更新規則によって定義されている更新処理を施すことによって、当該ログを更新する。
【００９８】
本発明の第３の実施形態に係るログ記録装置１０によれば、ログを更新する際にフラグを利用する代わりに、観測したイベントを選別するためにフラグを利用するため、識別子を生成する対象（イベント又はオブジェクト）及びログとして記録する対象を減らすことができ、必要な処理量が軽減され、処理能力の限られたシステム（例えば、携帯電話端末）に好適なログ記録機能を実現できる。
【００９９】
（本発明の第４の実施形態に係るログ記録装置）
図１８を参照して、本発明の第４の実施形態に係るログ記録装置１０について説明する。以下、本実施形態に係るログ記録装置１０について、上述の第１乃至第３の実施形態に係るログ記録装置１０との相違点を主として説明する。
【０１００】
本実施形態に係るログ記録装置１０は、上述の第２の実施形態に係るログ記録装置１０の構成に加えて、フラグ設定規則更新部３１を具備している。
【０１０１】
フラグ設定規則更新部３１は、観測対象システム１におけるオブジェクトの状態に応じて、フラグ設定規則を更新するものである。
【０１０２】
例えば、フラグ設定規則更新部３１は、観測対象システム１におけるオブジェクトの状態変化を検出する機能と、変化後のオブジェクトの状態に基づいてフラグ設定規則を更新する機能とを備える。
【０１０３】
フラグ設定規則更新部３１は、観測対象システム１からの状態変化通知を利用する方法や、オブジェクトの状態情報を定期的に観測対象システム１に要求する方法等を用いて、オブジェクトの状態変化を検出することができる。
【０１０４】
例えば、フラグ設定規則更新部３１は、オブジェクトが正常状態に変化したことを検知した場合、フラグとして正常フラグを設定するように、フラグ設定規則を更新する。
【０１０５】
すなわち、フラグ設定規則更新部３１は、観測対象システム１において動作中のプロセスが正常に動作していることを検証した時点で、記録されている識別子に「ｃｌｅａｎフラグ」を設定するように、フラグ設定規則を更新する。
【０１０６】
なお、プロセスの正常動作の検証は、例えば、ＯＳが、プロセスの実行系列を監査して正常動作時の実行系列と比較することによって実現可能である。
【０１０７】
上述のように、フラグ設定規則更新部３１が、フラグ設定規則を更新することにより、プロセスの正常動作の確認以後に記録された識別子は、一定時間経過後に削除可能となる。
【０１０８】
一方、同一のプロセスであっても、かかるプロセスの正常動作の確認以前に記録された識別子に対しては、異なる更新処理を適用することが可能となる。
【０１０９】
また、本実施形態では、フラグ設定規則更新部３１は、フラグ設定部２１によって参照されるフラグ設定規則を更新するように構成されているが、上述の第３の実施形態に係る選別部２２によって参照されるフラグ設定規則を更新するように構成されていてもよい。
【０１１０】
本発明の第４の実施形態に係るログ記録装置１０によれば、観測対象システム１におけるオブジェクトの状態変化に応じて、適切な更新規則を割り当てることが可能になるため、より適切なログの更新処理を行うことが可能となる。
【０１１１】
例えば、プロセスの正常動作が確認できた時点で、ログ更新時に削除可能とするフラグを、記録されている識別子に割り当てることにより、正常動作の確認以降のログを削除可能とする。
【０１１２】
（本発明の第５の実施形態に係るログ記録装置）
図１９を参照して、本発明の第５の実施形態に係るログ記録装置１０について説明する。以下、本実施形態に係るログ記録装置１０について、上述の第１乃至第４の実施形態に係るログ記録装置１０との相違点を主として説明する。
【０１１３】
本実施形態に係るログ記録装置１０は、上述の第４の実施形態に係るログ記録装置１０の構成に加えて、改竄検知部４１を具備している。
【０１１４】
改竄検知部４１は、フラグ設定部２１やフラグ設定規則更新部３１やログ更新部１４からの要求に応じて、更新規則及びフラグ設定規則の改竄を検知するものである。
【０１１５】
具体的には、改竄検知部４１は、検証対象の更新規則及びフラグ設定規則に対して電子署名を施す機能と、検証対象の更新規則及びフラグ設定規則に付された電子署名を検証して改竄の有無を検証する機能とを備える。なお、電子署名は、公開鍵署名アルゴリズム等を利用することで実現可能である。この場合、ログ記録装置１０の署名鍵によって署名を施して、ログ記録装置１０の公開鍵によって署名検証を行うことで、上述の機能を実現できる。
【０１１６】
フラグ設定部２１は、フラグ設定規則の改竄が検知されない場合にのみ、上述のようなフラグ設定処理を行う。一方、フラグ設定規則の改竄が検知された場合、フラグ設定部２１は、フラグ設定処理を中止して、ログ記録装置１０の管理者等にその旨を通知する。
【０１１７】
フラグ設定規則更新部３１は、フラグ設定規則の改竄が検知されない場合にのみ、上述のようなフラグ設定規則更新処理を行う。一方、フラグ設定規則の改竄が検知された場合、フラグ設定規則更新部３１は、フラグ設定規則更新処理を中止して、ログ記録装置１０の管理者等にその旨を通知する。なお、フラグ設定規則更新処理が正常に完了した場合、フラグ設定規則更新部３１は、更新済みのフラグ設定規則に対する電子書名を改竄検知部に要求し、電子署名が付されたフラグ設定規則を記録する。
【０１１８】
ログ更新部１４は、更新規則の改竄が検知されない場合にのみ、上述のようなログ更新処理を行う。一方、更新規則の改竄が検知された場合、ログ更新部１４は、ログ更新処理を中止して、ログ記録装置１０の管理者等にその旨を通知する。
【０１１９】
本発明の第５の実施形態に係るログ記録装置１０によれば、更新規則及びフラグ設定規則の改竄によって、ログ更新処理やフラグ設定処理やフラグ設定規則更新処理を不正に操作するという攻撃を防止することができ、より安全なログ記録装置１０を実現可能となる。
【図面の簡単な説明】
【０１２０】
【図１】本発明の第１の実施形態に係るログ記録装置の機能ブロック図である。
【図２】本発明の第１の実施形態に係るログ記録装置の識別子生成部で参照されるイベント識別子構成情報の一例である。
【図３】本発明の第１の実施形態に係るログ記録装置の識別子生成部で参照されるオブジェクト識別子構成情報の一例である。
【図４】本発明の第１の実施形態に係るログ記録装置のログ蓄積部に蓄積されるログの一例である。
【図５】本発明の第１の実施形態に係るログ記録装置のログ更新部によって参照される更新規則の一例である。
【図６】本発明の第１の実施形態に係るログ記録装置の識別子生成部で生成されるオブジェクト識別子の構成の一例である。
【図７】本発明の第１の実施形態に係るログ記録装置の動作を示すフローチャートである。
【図８】本発明の第１の実施形態に係るログ記録装置の動作を説明するための図である。
【図９】本発明の第１の実施形態に係るログ記録装置の動作を説明するための図である。
【図１０】本発明の第２の実施形態に係るログ記録装置の機能ブロック図である。
【図１１】本発明の第２の実施形態に係るログ記録装置のフラグ設定部によって設定されるフラグの一例である。
【図１２】本発明の第２の実施形態に係るログ記録装置のフラグ設定部によって参照されるフラグ設定規則の一例である。
【図１３】本発明の第２の実施形態に係るログ記録装置のログ蓄積部に蓄積されるログの一例である。
【図１４】本発明の第２の実施形態に係るログ記録装置の動作を示すフローチャートである。
【図１５】本発明の第３の実施形態に係るログ記録装置の機能ブロック図である。
【図１６】本発明の第３の実施形態に係るログ記録装置の選別部によって参照されるフラグ設定規則の一例である。
【図１７】本発明の第３の実施形態に係るログ記録装置の動作を示すフローチャートである。
【図１８】本発明の第４の実施形態に係るログ記録装置の機能ブロック図である。
【図１９】本発明の第５の実施形態に係るログ記録装置の機能ブロック図である。
【符号の説明】
【０１２１】
１…観測対象システム
１０…ログ記録装置
１１…観測部
１２…識別子生成部
１３…ログ蓄積部
１４…ログ更新部
２１…フラグ設定部
２２…選別部
３１…フラグ設定規則更新部
４１…改竄検知部
【図１】
2006107348.tif 000003
【図２】
2006107348.tif 000004
【図３】
2006107348.tif 000005
【図４】
2006107348.tif 000006
【図５】
2006107348.tif 000007
【図６】
2006107348.tif 000008
【図７】
2006107348.tif 000009
【図８】
2006107348.tif 000010
【図９】
2006107348.tif 000011
【図１０】
2006107348.tif 000012
【図１１】
2006107348.tif 000013
【図１２】
2006107348.tif 000014
【図１３】
2006107348.tif 000015
【図１４】
2006107348.tif 000016
【図１５】
2006107348.tif 000017
【図１６】
2006107348.tif 000018
【図１７】
2006107348.tif 000019
【図１８】
2006107348.tif 000020
【図１９】
2006107348.tif 000021