(57)【要約】【課題】ログ管理サーバとの間の通信が途切れた場合でもユーザが操作を継続することができるようにしつつ、不正行為を抑止することのできるログ監視技術を提供する。【解決手段】本発明に係るログ監視プログラムは、収集したログを所定のフォルダに送信し、送信したログを削除する。ログサイズが所定の閾値を超えると、ログを取得する対象となっているユーザ操作を禁止する。【選択図】図３
2011039720.tif 000002
【特許請求の範囲】
【請求項１】
ユーザが行なった操作のログを監視する処理をコンピュータに実行させるプログラムであって、
前記コンピュータに、
前記ログを収集するログ収集ステップと、
前記ログ収集ステップで収集したログを所定のフォルダに送信して送信元のログを削除するログ送信ステップと、
前記ログ収集ステップで収集したログのサイズが所定の閾値を超えると前記ログを取得する対象に該当するユーザの操作を禁止する禁止ステップと、
を実行させることを特徴とするログ監視プログラム。
【請求項２】
前記ログ送信ステップでは、前記コンピュータに、
所定の規則に合致するユーザ操作の記録が存在するか否かをチェックさせ、合致するものが存在すればその旨を通知させる
ことを特徴とする請求項１記載のログ監視プログラム。
【請求項３】
前記ログ収集ステップでは、前記コンピュータに、
収集した前記ログのうち所定の項目をキーとして前記ログを整形させる
ことを特徴とする請求項１または請求項２記載のログ監視プログラム。
【請求項４】
前記コンピュータ上における前記ログのサイズが、前記閾値より小さい所定の警告閾値を超えると、ユーザにその旨の警告を通知するステップを前記コンピュータに実行させる
ことを特徴とする請求項１から請求項３までのいずれか１項に記載のログ監視プログラム。
【請求項５】
前記ログ送信ステップでは、前記コンピュータに、
前記フォルダ上における前記ログに対する前記ユーザのアクセス権限が当該ログに対する書き込みのみ許可する状態となるように前記ログを送信させる
ことを特徴とする請求項１から請求項４までのいずれか１項に記載のログ監視プログラム。
【請求項６】
前記ログ送信ステップでは、前記コンピュータに、
前記フォルダに送信する前記ログのファイル名としてランダム文字列または所定の規則に基づいて暗号化された文字列を使用させる
ことを特徴とする請求項１から請求項５までのいずれか１項に記載のログ監視プログラム。
【請求項７】
所定のパスワードを受け取ると前記禁止ステップで禁止する行為を所定期間の間だけ例外的に許可するステップを前記コンピュータに実行させる
ことを特徴とする請求項１から請求項６までのいずれか１項に記載のログ監視プログラム。
【請求項８】
前記パスワードには有効期限が設定されており、
その有効期限を過ぎても前記ログのサイズが前記所定の閾値を超えている場合は、前記禁止ステップで禁止した行為を再度禁止するステップを前記コンピュータに実行させる
ことを特徴とする請求項７記載のログ監視プログラム。
【請求項９】
請求項１から請求項８までのいずれか１項に記載のログ監視プログラムを実行するコンピュータと、
前記フォルダを有するサーバと、
を有することを特徴とするログ監視システム。
【請求項１０】
前記サーバは、
前記フォルダに対する前記ユーザのアクセス権限を、
前記フォルダが格納しているファイルの一覧を前記ユーザに取得させない状態とする
ことを特徴とする請求項９記載のログ監視システム。
【請求項１１】
前記サーバは、前記フォルダに隠しフォルダ属性を付与する
ことを特徴とする請求項９または請求項１０記載のログ監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザがコンピュータ上で行なった操作のログを監視する技術に関するものである。
【背景技術】
【０００２】
従来、ユーザがコンピュータ上で行なった操作のログを監視し、不正な情報流出行為などを検出または阻止する技術が開発されている。このような技術では、ユーザがコンピュータ上で行なった操作のログを収集し、ログの内容を解析することにより、不正行為を識別する。
【０００３】
しかし、ログを収集したとしても、システム管理者がリアルタイムで毎日ログ解析を行うことは、人員コスト、時間コストの面から見て効率的ではない。また、ログ解析を専門に行うサーバを用意せず、個別のログをシステム管理者などが逐一確認するような環境では、ログ管理を軽視しがちな傾向がある。ログ管理がおろそかになると、不正行為の追跡可能性が途切れ、再発防止のための予防対策を十分に実施することができない懸念がある。
【０００４】
一方、ログ管理サーバのトラブル、または不正行為者がログ管理サーバとの間の通信を故意に切断することなどによって、ログ管理サーバがログを収集することができなくなる場合がある。この場合、不正行為者がログを隠蔽することができるため、不正行為を追跡調査することが困難になる可能性がある。
【０００５】
下記特許文献１では、上記のように、ログ管理サーバとの通信が途切れた環境でも、クライアント側でログ収集を継続しておき、通信が回復した時点でログ管理サーバがログを一括して収集する技術が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−１４７７１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上記特許文献１に記載の技術では、ログをサーバ側に送信することができない場合は、いったん印刷ジョブを受け付けておき、後に通信が再開されるときに改めてログをサーバ側に送信している。また、上記特許文献１に記載の技術では、サーバとの通信が途切れている間は、ログを収集してはいるものの、ログ解析は通信が回復した後に行なわれることになる。そのためユーザ行為とそのログのチェックとの間にタイムラグがあり、その間はセキュリティ監視レベルが低下する懸念がある。
【０００８】
本発明は、上記のような課題を解決するためになされたものであり、ログ管理サーバとの間の通信が途切れた場合でもユーザが操作を継続することができるようにしつつ、不正行為を抑止することのできるログ監視技術を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明に係るログ監視プログラムは、収集したログを所定のフォルダに送信し、送信したログを削除する。ログサイズが所定の閾値を超えると、ログを取得する対象となっているユーザ操作を禁止する。
【発明の効果】
【００１０】
本発明に係るログ監視プログラムによれば、ログを所定のフォルダに送信して削除することができる間は、ユーザは操作を継続することができる。また、通信が一時的に途切れたなどの理由で所定のフォルダにアクセスできない場合でも、ログのサイズが所定の閾値に達するまでは、ユーザは操作を継続することができる。ユーザがログの送信を故意に長時間妨げてログサイズが所定の閾値を超過したような場合には、ユーザは操作を行なうことができなくなるので、故意によるログ隠蔽行為に対して抑止効果を発揮することができる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係るログ監視システム１０００の構成図である。
【図２】監査ログ１２２の構成とデータ例を示す図である。
【図３】ログ監視システム１０００の動作を説明する動作フローである。
【図４】図３のステップＳ３０２でログ監視プログラム１２１がシステム管理者に送信する電子メールの１例を示す図である。
【図５】実施の形態２に係るログ監視システム１０００の構成図である。
【図６】整形ログ１２３の構成例を示す図である。
【図７】実施の形態３におけるログ監視システム１０００の動作を説明する動作フローである。
【図８】実施の形態５におけるログ監視システム１０００の動作を説明する動作フローである。
【発明を実施するための形態】
【００１２】
＜実施の形態１＞
図１は、本発明の実施の形態１に係るログ監視システム１０００の構成図である。ログ監視システム１０００は、クライアント端末１００、ログ格納サーバ２００を有する。クライアント端末１００とログ格納サーバ２００は、ネットワーク３００を介して接続されている。
【００１３】
クライアント端末１００は、ユーザが作業を行うためのコンピュータであり、演算部１１０、記憶部１２０を備える。
【００１４】
演算部１１０は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）などの演算装置である。演算装置１１０は、クライアント端末１００の動作を制御する他、ユーザがクライアント端末１００上で行なった操作のうち監視対象となるもののログを監査ログ１２２として取得し、記憶部１２０に格納する。また、ログ監視プログラム１２１を実行し、ログの監視を行なう。以後の説明では、記載の便宜上、ログ監視プログラム１２１をログ監視に係る動作主体として説明する場合があるが、実際の動作主体は演算部１１０であることを付言しておく。
【００１５】
クライアント端末１００のＯＳ（オペレーティングシステム）としてＷｉｎｄｏｗｓ（登録商標）を用いる場合であれば、ＯＳ標準の機能として監査ログ１２２を取得することができる。それ以外のＯＳを用いる場合は、類似の機能を有効化するか、もしくは類似の機能を有するログ取得プログラムをクライアント端末１００にインストールし、監査ログ１２２と同等のログを取得できるようにすればよい。
【００１６】
記憶部１２０は、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）などの書き込み可能な記憶装置で構成され、ログ監視プログラム１２１、監査ログ１２２を格納する。
【００１７】
ログ監視プログラム１２１は、ログ監視処理に係る演算部１１０の動作を規定するソフトウェアプログラムである。ログ監視プログラム１２１は、監査ログ１２２を収集してログ格納サーバ２００の共有フォルダ２２１にアップロード（送信）する。また、その際に所定の規則にしたがって不正行為のログが存在するか否かをチェックし、存在する場合はその旨をシステム管理者に通知する。これについては後述の図３〜図４を用いて改めて説明する。
【００１８】
監査ログ１２２は、後述の図２で説明する構成を有する。演算部１１０は、必ずしもユーザによる全ての操作を監査ログ１２２に記録する必要はなく、重要ファイルへのアクセスなどに限定してログを記録してもよい。
【００１９】
ログ格納サーバ２００は、ログ監視プログラム１２１が収集したログをアップロードするためのサーバであり、演算部２１０、記憶部２２０を備える。
演算部２１０は、ＣＰＵなどの演算装置であり、ログ格納サーバ２００の動作を制御する。
【００２０】
記憶部２２０は、ＨＤＤなどの書き込み可能な記憶装置で構成され、共有フォルダ２２１を有する。共有フォルダ２２１は、ログ監視プログラム１２１が収集したログをアップロードするためのファイルフォルダである。共有フォルダ２２１のパスは、クライアント端末１００のユーザには非公開とする。さらに、「隠しフォルダ」属性を付与するなどしてもよい。
【００２１】
図２は、監査ログ１２２の構成とデータ例を示す図である。クライアント端末１００の演算部１１０は、ユーザが行なう所定の操作を監視し、その監視結果を監査ログ１２２に記録する。
【００２２】
図２の例では、監査ログ１２２は所定の共有機密フォルダおよび制御メディア（ＣＤ−ＲＯＭドライブなど）へのアクセスを記録している。また、アクセス日時、アクセスしたユーザ名、アクセスしたコンピュータ名、アクセスしたコンピュータのアドレスなども併せて記録する。監査ログ１２２に記録する内容はこれらに限られず、ユーザの操作を監視することができるものであれば、任意の項目でよい。
【００２３】
以上、ログ監視システム１０００の構成について説明した。次に、ログ監視システム１０００がユーザの操作を監視する動作について説明する。
【００２４】
図３は、ログ監視システム１０００の動作を説明する動作フローである。以下、図３の各ステップについて説明する。
【００２５】
（図３：ステップＳ３０１）
クライアント端末１００のユーザは、クライアント端末１００上でファイル作成などの操作を行う。演算部１１０は、その操作が監査ログ１２２の記録対象である場合は、監査ログ１２２にその操作の内容を記録する。このとき、演算部１１０は、監査ログ１２２をクライアント端末１００のユーザが改変することができないように、監査ログ１２２のアクセス権限を適切に設定しておく。
【００２６】
（図３：ステップＳ３０２）
ログ監視プログラム１２１は、所定の時間間隔、またはクライアント端末１００のユーザが指示した時点で監査ログ１２２を収集し、共有フォルダ２２１にアップロードする。このときの通信プロトコルは、例えばＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）やＮｅｔＢＥＵＩなどを用いることができる。共有フォルダ２２１のパス（ネットワーク上のアドレス）は、ログ監視プログラム１２１に埋め込んでおくか、またはログ監視プログラム１２１をクライアント端末１００にインストールする際にシステム管理者などが設定して記憶部１２０に格納しておく。
【００２７】
（図３：ステップＳ３０２：補足その１）
本ステップにおいて、ログ監視プログラム１２１は、収集した監査ログ１２２を共有フォルダ２２１にアップロードする際に、所定の規則に基づき、不正行為に該当する可能性がある操作のログを抽出する。例えば、情報漏洩の原因になり得る行為に関連するキーワード（アクセス対象：外付けＨＤＤ、ファイル操作：保存など）が含まれる監査ログ１２２のレコードを抽出する、といった手法が考えられる。この規則は、例えばログ監視プログラム１２１をクライアント端末１００にインストールする際に、システム管理者などが設定し、記憶部１２０にその規則を記述したファイルなどを格納しておく。
【００２８】
（図３：ステップＳ３０２：補足その２）
ログ監視プログラム１２１は、収集した監査ログ１２２の中に、不正行為に該当する行為のログが含まれていた場合には、後述の図４で説明するような電子メールをシステム管理者等の所定の宛先に送信するなどして、その旨を通知する。その他の通知手法として、例えば管理端末にダイアログ画面を表示する、ログを出力する、などが考えられる。
【００２９】
（図３：ステップＳ３０３）
ログ監視プログラム１２１は、ステップＳ３０２で共有フォルダ２２１にアップロードした分の監査ログ１２２を、記憶部１２０から削除する。
【００３０】
（図３：ステップＳ３０３：補足）
ステップＳ３０２において、クライアント端末１００とログ格納サーバ２００の間のネットワーク接続が途切れている場合や、ログ格納サーバ２００がダウンしている場合などは、ログ監視プログラム１２１は監査ログ１２２を共有フォルダ２２１にアップロードすることができない。この場合、ログ監視プログラム１２１は、監査ログ１２２のアップロードを中止する。また、アップロードすることができなかったので、その分を記憶部１２０から削除することも中止する。
【００３１】
（図３：ステップＳ３０４）
ログ監視プログラム１２１は、監査ログ１２２のサイズが規定の閾値に達しているか否かをチェックする。閾値に達していなければ、ステップＳ３０１に戻り同様の手順を繰り返す。閾値に達していれば、次のステップＳ３０５に進む。この閾値は、例えばログ監視プログラム１２１をクライアント端末１００にインストールする際に、システム管理者などが設定し、記憶部１２０にその規則を記述したファイルなどを格納しておく。
【００３２】
（図３：ステップＳ３０５）
ログ監視プログラム１２１は、監査ログ１２２を記録する対象となっているユーザ操作を禁止する。具体的には、該当するファイル、フォルダ、制御メディアなどへのアクセス権限を当該ユーザから剥奪する、といった手段を用いる。これにより、ユーザは監査ログ１２２を共有フォルダ２２１に定期的にアップロードすることを促されるので、不正行為を心理的に抑制する効果を発揮することができる。
【００３３】
図４は、図３のステップＳ３０２でログ監視プログラム１２１がシステム管理者に送信する電子メールの１例を示す図である。この電子メールには、ステップＳ３０２で抽出したユーザ操作の内容と、その操作をシステム管理者が本当に許可しているか否かを確認するよう促すメッセージとが記載されている。
【００３４】
以上、ログ監視システム１０００の動作について説明した。次に、共有フォルダ２２１にアップロードされた監査ログ１２２を用いてシステム管理者が不正行為の監査を行なう手順を、下記（ステップ１）〜（ステップ３）で説明する。
【００３５】
（不正行為の監査手順：ステップ１）
システム管理者は、図４で説明した電子メールを受け取り、記載されているメッセージを確認する。システム管理者は、そのメッセージから、ユーザが行なった行為、そのユーザ名、アクセス対象、日時などを把握する。
【００３６】
（不正行為の監査手順：ステップ２）
システム管理者は、ステップ１で把握したアクセス対象に対して、当該ユーザにアクセス権限を与えているか否かを確認する。当該操作が正当なアクセス権限に基づく行為である場合は、本監査手順を終了する。当該操作が正当なアクセス権限に基づいていない場合や、通常は行なわない操作である場合など、不正行為に該当する可能性があると判断する場合は、次のステップ３に進む。
【００３７】
（不正行為の監査手順：ステップ３）
システム管理者は、図４で説明した電子メール、および必要に応じて共有フォルダ２２１に格納されている監査ログ１２２を用いて、不正行為を行なった可能性のあるユーザを特定し、聞き取り調査などを行なう。
【００３８】
以上、共有フォルダ２２１にアップロードされた監査ログ１２２を用いてシステム管理者が不正行為の監査を行なう手順を説明した。これ以外にも、クライアント端末１００に格納されている監査ログ１２２と、共有フォルダ２２１にアップロードされた監査ログ１２２とを比較することにより、不正行為の監査を行なうこともできる。その手順を、下記の（ステップ１）〜（ステップ３）で説明する。
【００３９】
（不正行為の監査手順その２：ステップ１）
システム管理者は、不正行為が発生したことが判明した場合などにおいて、クライアント端末１００を使用するユーザに、監査ログ１２２を提出するよう要求する。これは、不正行為を行なった者が、監査ログ１２２の該当するレコードを削除している可能性があるからである。
【００４０】
（不正行為の監査手順その２：ステップ２）
システム管理者は、ユーザが提出した監査ログ１２２と、共有フォルダ２２１に格納されている監査ログ１２２とを比較する。比較作業自体は、適当なファイル比較ソフトウェアなどを用いて行なってもよい。
【００４１】
（不正行為の監査手順その２：ステップ３）
システム管理者は、ユーザが提出した監査ログ１２２と、共有フォルダ２２１に格納されている監査ログ１２２とが異なっている場合は、その異なっている部分の操作を行なったユーザに理由を問い合わせる。これにより、不正行為者が監査ログ１２２を不正に削除することを抑止し、また発見することを図る。
【００４２】
以上のように、本実施の形態１によれば、ログ監視プログラム１２１は、監査ログ１２２を共有フォルダ２２１にアップロードし、アップロードした分の監査ログ１２２を削除する。これにより、システム管理者は、共有フォルダ２２１にアップロードされた監査ログと、クライアント端末１００上の監査ログ１２２とを比較して、不正行為の兆候を発見することができ、セキュリティを向上させることができる。
【００４３】
また、本実施の形態１によれば、ログ監視プログラム１２１は、記憶部１２０が格納している監査ログ１２２のサイズが所定の閾値を超えると、監査ログ１２２を取得する対象となっているユーザ操作を禁止する。これにより、ユーザは定期的に監査ログ１２２をシステム管理者へ提出するように促されるので、監査ログ１２２を不正に削除、改変などする行為を心理的に抑制する効果がある。
【００４４】
また、本実施の形態１によれば、ログ監視プログラム１２１は、監査ログ１２２を共有フォルダ２２１にアップロードする際に、所定の規則に合致するユーザ操作のレコードを抽出し、システム管理者に電子メールで通知する。システム管理者は、全ての監査ログ１２２をチェックする必要がなくなり、その電子メールに記載されているログレコードのみをチェックすれば足りる。これにより、システム管理者の負担を軽減することができる。
【００４５】
また、本実施の形態１によれば、ログ格納サーバ２００は特別な機能を必要とせず、単に適当なアクセス権限等を付与した共有フォルダ２２１を提供するのみで足りる。これにより、ログ格納サーバ２００を容易かつ安価に構成することができるので、ログ監視システム１０００の構築期間、コスト等の観点から有利である。
【００４６】
＜実施の形態２＞
本発明の実施の形態２では、共有フォルダ２２１に監査ログ１２２をアップロードする際に、監査ログ１２２を整形する動作例を説明する。その他の構成は実施の形態１と同様であるため、以下では差異点を中心に説明する。
【００４７】
図５は、本実施の形態２に係るログ監視システム１０００の構成図である。本実施の形態２において、ログ監視プログラム１２１は、収集した監査ログ１２２をそのまま共有フォルダ２２１にアップロードするのではなく、整形ログ１２３として整形する。ログ監視プログラム１２１は、整形ログ１２３を共有フォルダ２２１にアップロードする。
【００４８】
図６は、整形ログ１２３の構成例を示す図である。比較のため、整形の前後に係る構成を併記した。図６（ａ）は整形前の監査ログ１２２、図６（ｂ）〜（ｄ）は監査ログ１２２を整形した得た整形ログ１２３の構成を示す。ここでは、一意性が高いＭＡＣアドレスをキーにして整形した例を示した。
【００４９】
図６（ｂ）〜（ｄ）は、監査ログ１２２のうち、性質が共通するものを切り出し、それぞれユーザテーブル、日時テーブル、操作テーブルとして構成した例を示す。
【００５０】
図６のように、所定のログ項目をキーとして監査ログ１２２を整形すると、各テーブル間で重複する項目が生じる場合があるため、一般にデータサイズは大きくなる。ただし、検索対象項目を絞り込むことができるので、ログ解析処理を高速化することができる。例えば、特定のユーザ名に係る監査ログ１２２を抽出したい場合は、図６（ｂ）のユーザテーブルのみを検索すればよい。
【００５１】
以上のように、本実施の形態２によれば、ログ監視プログラム１２１は、監査ログ１２２を共有フォルダ２２１にアップロードする際に整形処理を施す。これにより、共有フォルダ２２１にアップロードされる監査ログは整形後のものとなるため、ログ解析処理を高速に行うことができ、システム管理者が監査を行なう際の負担などを軽減することができる。
【００５２】
＜実施の形態３＞
実施の形態１では、監査ログ１２２のサイズが所定の閾値を超えると、監査ログ１２２の取得対象となっているユーザ操作を禁止する動作を説明した。しかし、突然操作を禁止されると、ユーザが戸惑う可能性もある。そこで本実施の形態３では、ユーザ操作を禁止する前に警告メッセージを通知する動作例を説明する。その他の構成と動作は実施の形態１〜２いずれかと同様である。
【００５３】
図７は、本実施の形態３におけるログ監視システム１０００の動作を説明する動作フローである。以下、図７の各ステップについて説明する。
【００５４】
（図７：ステップＳ３０１）
本ステップは、図３の同ステップと同様である。
【００５５】
（図７：ステップＳ７０１）
ログ監視プログラム１２１は、監査ログ１２２のサイズが所定の警告閾値に達しているか否かをチェックする。この警告閾値は、ステップＳ３０４において用いられる閾値よりも小さい値（例えば同閾値の８０％程度の数値）が設定されている。監査ログ１２２のサイズが警告閾値に達していなければステップＳ３０２にスキップし、警告閾値に達していればステップＳ７０２に進む。
【００５６】
（図７：ステップＳ７０２）
ログ監視プログラム１２１は、監査ログ１２２のサイズがステップＳ３０４の閾値に近づいている旨の警告メッセージを画面表示するなどして、クライアント端末１００に通知する。これにより、ユーザは監査ログ１２２を共有フォルダ２２１にアップロードすることを促される。
【００５７】
（図７：ステップＳ３０２〜Ｓ３０５）
これらのステップは、図３の同ステップと同様である。
【００５８】
以上のように、本実施の形態３によれば、ログ監視プログラム１２１は、記憶部１２０が格納している監査ログ１２２のサイズが所定の警告閾値を超えると、ユーザにその旨の警告メッセージを通知する。これにより、ユーザの操作を図７のステップＳ３０４で突然禁止するということがなくなり、ユーザに不便を強いる可能性を低減することができる。
【００５９】
＜実施の形態４＞
以上の実施の形態１〜３では、共有フォルダ２２１のパスを非公開とし、ユーザが共有フォルダ２２１を閲覧することができないようにしたことを説明した。本発明の実施の形態４では、共有フォルダ２２１のセキュリティをより万全に構成する３つの例を説明する。その他の構成は、実施の形態１〜３いずれかと同様である。
【００６０】
＜実施の形態４：共有フォルダ２２１のセキュリティ構成例その１＞
演算部２１０は、システム管理者の指示に基づき、共有フォルダ２２１のアクセス権限を以下のように設定する。
【００６１】
（共有フォルダ２２１のアクセス権限その１）
ログ格納サーバ２００のシステム管理者は、共有フォルダ２２１に格納されているログファイルに対するフルアクセス権限（読み／書き／削除全て許可）を有する。
【００６２】
（共有フォルダ２２１のアクセス権限その２）
共有フォルダ２２１にネットワーク３００を介してアクセスするユーザに対しては、共有フォルダ２２１が格納しているファイル一覧の取得を禁止する。これにより、ログ格納サーバ２００の外部ユーザは、共有フォルダ２２１が格納するファイルにアクセスすることが実質的にできなくなる。
図３のステップＳ３０２において、ログ監視プログラム１２１は、以下の追加動作を実行する。
【００６３】
（図３：ステップＳ３０２：補足その３）
ログ監視プログラム１２１は、共有フォルダ２２１にアップロードする監査ログ１２２に対してユーザが書き込み権限のみ有するように、監査ログ１２２をアップロードする。監査ログ１２２をアップロードする際にログ監視プログラム１２１がそのアクセス権限を指定するようにしてもよいし、ログ格納サーバ２００の演算部２１０が共有フォルダ２２１内のファイルに対するアクセス権限を強制的に設定するようにしてもよい。その他、例えばログ格納サーバ２００のＯＳ上で共有フォルダ２２１のアクセス権限を設定しておいてもよいし、適当な通信プログラムを介してログ格納サーバ２００とログ監視プログラム１２１が通信して共有フォルダ２２１のアクセス権限を設定するようにしてもよい。
【００６４】
＜実施の形態４：共有フォルダ２２１のセキュリティ構成例その２＞
図３のステップＳ３０２において、ログ監視プログラム１２１は、以下の追加動作を実行する。
【００６５】
（図３：ステップＳ３０２：補足その４）
ログ監視プログラム１２１は、共有フォルダ２２１にアップロードする監査ログ１２２のファイル名として、ランダム文字列または所定の規則に基づいて暗号化された文字列を用いる。ここでいう暗号化とは、クライアント端末１００のユーザが共有フォルダ２２１内のファイル名を容易に知ることができないようなファイル名を生成することをいう。暗号化の手法には、任意の公知技術を用いることができる。
【００６６】
本構成例では、クライアント端末１００のユーザは、共有フォルダ２２１上の監査ログ１２２のファイル名を知ることができなくなるので、共有フォルダ２２１に対する不正アクセスを防ぐことができる。
【００６７】
＜実施の形態４：共有フォルダ２２１のセキュリティ構成例その３＞
システム管理者は、クライアント端末１００のＯＳ上で、ログ監視プログラム１２１に一般ユーザとは異なる特殊なユーザ権限を割り当てておく。ログ監視プログラム１２１は、共有フォルダ２２１に監査ログ１２２をアップロードする際に、そのユーザ権限でのみ当該ファイルを読み／書き／削除などすることができるように指定する。これにより、クライアント端末１００の一般ユーザは、共有フォルダ２２１にアップロードされた監査ログ１２２にアクセスすることができなくなる。
【００６８】
以上、本実施の形態４では、共有フォルダ２２１のセキュリティをより万全に構成する３つの例を説明した。なお、３つの例を任意に組み合わせることもできる。
【００６９】
＜実施の形態５＞
以上の実施の形態１〜４では、記憶部１２０が格納している監査ログ１２２のサイズが所定の閾値を超えると、監査ログ１２２を記録する対象となっているユーザ操作を禁止することを説明した。しかし、必ずしもユーザが故意に監査ログ１２２を長期間アップロードしていないとは限らず、やむを得ない事情による場合（例えばネットワーク３００の長期的な障害など）も考えられる。
【００７０】
そこで、本発明の実施の形態５では、システム管理者が許可した場合に限り、監査ログ１２２のサイズが閾値を超えていても、ユーザが操作を継続できるようにする動作例を説明する。その他の構成と動作は、実施の形態１〜４いずれかと同様である。
図８は、本実施の形態５におけるログ監視システム１０００の動作を説明する動作フローである。以下、図８の各ステップについて説明する。
【００７１】
（図８：ステップＳ３０１〜Ｓ３０４）
これらのステップは、図３の同ステップと同様である。ただし、ステップＳ３０４の後にステップＳ８０１が新たに挿入されている。
【００７２】
（図８：ステップＳ８０１）
ログ管理プログラム１２１は、ユーザがログ管理プログラム１２１に対して所定のパスワードを入力したか否かを判定する。入力した場合はステップＳ３０１に戻り、同様の手順を繰り返す。入力していない場合は、ステップＳ３０５へ進む。本ステップにおける所定のパスワードとは、システム管理者がユーザからの連絡を受けて通知する、ステップＳ３０５の禁止処理を解除するためのパスワードである。ログ管理プログラム１２１は、このパスワードが入力された場合は、例外的にステップＳ３０５を実行せず、もしくはステップＳ３０４における閾値をより大きな値に変更して、ユーザの操作を継続させる。
【００７３】
（図８：ステップＳ３０５）
本ステップは、図３の同ステップと同様である。
以上のように、本実施の形態５によれば、ネットワーク故障などのやむを得ない事情により、ユーザの意図に関わらず監査ログ１２２を共有フォルダ２２１にアップロードすることができない場合は、システム管理者の許可の下、ユーザの操作を継続させることができる。
【００７４】
なお、本実施の形態５において、システム管理者がユーザに通知するパスワードに、有効期限を設けておいてもよい。ログ監視プログラム１２１は、ユーザがステップＳ８０１で所定のパスワードを入力し、その有効期限を超過した後で、監査ログ１２２のサイズが依然として閾値を超えている場合は、ステップＳ３０５を実行し、またはステップＳ３０４における閾値を元の値に戻して、ユーザの操作を禁止する。これにより、ユーザはできる限り早く障害の復旧等を行なうよう促されるので、セキュリティの観点からも好ましい。
【００７５】
また、本実施の形態５において、システム管理者がユーザに通知するパスワードは、一度限り有効なワンタイムパスワードとしてもよい。これにより、ユーザがそのパスワードを使いまわし続けることを回避できる。
【符号の説明】
【００７６】
１００：クライアント端末、１１０：演算部、１２０：記憶部、１２１：ログ監視プログラム、１２２：監査ログ、１２３：整形ログ、２００：ログ格納サーバ、２１０：演算部、２２０：記憶部、２２１：共有フォルダ、３００：ネットワーク、１０００：ログ監視システム。
【図１】
2011039720.tif 000003
【図２】
2011039720.tif 000004
【図３】
2011039720.tif 000005
【図４】
2011039720.tif 000006
【図５】
2011039720.tif 000007
【図６】
2011039720.tif 000008
【図７】
2011039720.tif 000009
【図８】
2011039720.tif 000010