(57)【要約】【課題】アクセスログの分析の作業負担を軽減すること。【解決手段】アクセスログ分析装置は、記憶装置が記憶する各ファイルへのアクセスごとにアクセス時期、アクセス元及びアクセス先のファイルのそれぞれを示す情報が記録されたアクセスログから、アクセス元別のアクセス先の時系列集合を単位時間ごとに抽出する抽出部と、複数の前記単位時間において出現する前記時系列集合を特定する特定部と、を有する。【選択図】図３
2019020776.tif 000002
【特許請求の範囲】
【請求項１】
記憶装置が記憶する各ファイルへのアクセスごとにアクセス時期、アクセス元及びアクセス先のファイルのそれぞれを示す情報が記録されたアクセスログから、アクセス元別のアクセス先の時系列集合を単位時間ごとに抽出する抽出部と、
複数の前記単位時間において出現する前記時系列集合を特定する特定部と、
を有することを特徴とするアクセスログ分析装置。
【請求項２】
前記特定部は、複数の前記単位時間において周期的に出現する前記時系列集合を特定する、
ことを特徴とする請求項１記載のアクセスログ分析装置。
【請求項３】
前記特定部は、一定期間ごとに、当該一定期間に含まれる複数の前記単位時間のいずれかにおいて抽出された前記各時系列集合と、他の一定期間に含まれる複数の前記単位時間のいずれかにおいて抽出された前記各時系列集合とを比較して、周期的に出現する前記時系列集合を特定する、
ことを特徴とする請求項２記載のアクセスログ分析装置。
【請求項４】
前記アクセスログのそれぞれを、前記特定部によって特定されたいずれかの前記時系列集合に係る第１のアクセスログと、前記第１のアクセスログに該当しない第２のアクセスログとに分類する分類部、
を有することを特徴とする請求項１乃至３いずれか一項記載のアクセスログ分析装置。
【請求項５】
記憶装置が記憶する各ファイルへのアクセスごとにアクセス時期、アクセス元及びアクセス先のファイルのそれぞれを示す情報が記録されたアクセスログから、アクセス元別のアクセス先の時系列集合を単位時間ごとに抽出する処理と、
複数の前記単位時間において出現する前記時系列集合を特定する処理と、
をコンピュータが実行することを特徴とするアクセスログ分析方法。
【請求項６】
記憶装置が記憶する各ファイルへのアクセスごとにアクセス時期、アクセス元及びアクセス先のファイルのそれぞれを示す情報が記録されたアクセスログから、アクセス元別のアクセス先の時系列集合を単位時間ごとに抽出する処理と、
複数の前記単位時間において出現する前記時系列集合を特定する処理と、
をコンピュータに実行させることを特徴とするアクセスログ分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセスログ分析装置、アクセスログ分析方法及びアクセスログ分析プログラムに関する。
【背景技術】
【０００２】
社内共有ファイルサーバに対するアクセスについて、従業員のポリシー違反やなりすましによるファイルアクセスなどの不正アクセスを検知したいという要望がある。
【０００３】
不正アクセスの検知作業として、一定期間に記録されたアクセスログの内容に基づいて、当該アクセスログに係るアクセスの正当性の判断が行われる。例えば、業務時間外に発生したアクセスの有無や、アクセス頻度が低い国又は地域からのアクセスの有無等をチェックするためにアクセスログの分析が行われる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００９−１１６６８０号公報
【特許文献２】特開２００２−３３４０６１号公報
【特許文献３】特開２０１３−１３７７４０号公報
【特許文献４】特開２００７−１４８９４６号公報
【特許文献５】特開２０１３−１９１１８８号公報
【特許文献６】特開２０１０−２５０５０２号公報
【特許文献７】特開２０１２−０６８８３３号公報
【特許文献８】特開２０１３−１９１１８８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、定常的に発生するファイルバックアップやファイル検索などの機械的（自動的）なアクセスについてもアクセスログが同様に記録される。このようなアクセスログは、短時間において大量に発生するため、アクセスログの分析対象が増加し、例えば、アクセスログの分析を行う分析者が利用する端末へのアクセスログのダウンロードや、分析者によるアクセスログの解読に時間を要してしまうという問題がある。
【０００６】
そこで、一側面では、本発明は、アクセスログの分析の作業負担を軽減すること目的とする。
【課題を解決するための手段】
【０００７】
一つの態様では、アクセスログ分析装置は、記憶装置が記憶する各ファイルへのアクセスごとにアクセス時期、アクセス元及びアクセス先のファイルのそれぞれを示す情報が記録されたアクセスログから、アクセス元別のアクセス先の時系列集合を単位時間ごとに抽出する抽出部と、複数の前記単位時間において出現する前記時系列集合を特定する特定部と、を有する。
【発明の効果】
【０００８】
一側面として、アクセスログの分析の作業負担を軽減することができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施の形態におけるシステム構成例を示す図である。
【図２】本発明の実施の形態における分析装置１０のハードウェア構成例を示す図である。
【図３】本発明の実施の形態における分析装置１０の機能構成例を示す図である。
【図４】クロス集計表の生成を説明するための図である。
【図５】継続事象の特定を説明するための図である。
【図６】クロス集計表の生成処理の処理手順の一例を説明するためのフローチャートである。
【図７】アクセスログの一例を示す図である。
【図８】クロス集計表の構成例を示す図である。
【図９】継続事象の特定処理の処理手順の一例を説明するためのフローチャートである。
【図１０】継続事象記憶部１４の構成例を示す図である。
【図１１】アクセスログの分類処理の処理手順の一例を説明するためのフローチャートである。
【発明を実施するための形態】
【００１０】
以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態におけるシステム構成例を示す図である。図１において、ユーザ端末３０ａ、３０ｂ及び３０ｃ等の１以上のユーザ端末（以下、それぞれを区別しない場合「ユーザ端末３０」という。）は、或る企業内のＬＡＮ（Local  Area  Network）又はイントラネット等のネットワークを介してファイルサーバ２０に接続される。また、ファイルサーバ２０には、分析装置１０もネットワークを介して接続される。なお、本実施の形態において、当該企業を「企業Ａ」という。
【００１１】
ファイルサーバ２０は、企業Ａにおいて、例えば、複数の従業員によって共有されるファイルや、企業Ａ内の組織において管理されるファイル等が記憶される１以上のコンピュータ（記憶装置）である。ファイルとは、電子データを格納したファイルをいう。
【００１２】
各ユーザ端末３０は、ファイルサーバ２０に記憶されているファイルに対するアクセス元となる端末である。例えば、ＰＣ（Personal  Computer）、スマートフォン又はタブレット端末等がユーザ端末３０として利用されてもよい。ユーザ端末３０からのアクセスは、ユーザ端末３０のユーザの操作によって任意のタイミングで発生するアクセス（以下、「ユーザアクセス」という。）や、ユーザ端末３０に実装されたプログラムによって周期的又は反復的に発生する機械的なアクセス（以下、「機械アクセス」という。）等が有る。機械アクセスの一例として、ファイルの定期的なバックアップのためのアクセスやファイルの検索機能によるアクセス等が有る。例えば、次のような特性を有するアクセスが機械アクセスの一例として想定される。発生タイミングが定期的（１日に数回、半日に１回など）、かつ、短時間（１分、１０分など）である。１ファイルに対するアクセス数は１回である。短時間に発生するアクセスに関してはアクセス元のＩＰアドレスは同じである。但し、毎日異なるＩＰアドレスがユーザ端末３０に割り振られる場合など、発生タイミングごとにアクセス元のＩＰアドレスが異なる可能性がある。
【００１３】
一方、ユーザアクセスの一例として、ファイルの閲覧や編集のためのアクセス等が有る。なお、不正なユーザアクセスの一例として、なりすましによるファイルの閲覧や、ファイルの改ざんのためのアクセス等が有る。
【００１４】
分析装置１０は、ファイルサーバ２０においてファイルに対するアクセスごとに記録されるログ（以下、「アクセスログ」という。）に基づく、ファイルへの不正なアクセスの検知を支援する１以上のコンピュータである。本実施の形態において、分析装置１０は、アクセスログ群を、機械アクセスに関する可能性の高いアクセスログ（以下、「機械アクセス候補ログ」という。）と、ユーザアクセスに関する可能性の高いアクセスログ（以下、「ユーザアクセス候補ログ」という。）とに分類（分別）する。そうすることで、分析者は、例えば、ユーザアクセスに関して不正アクセスが発生している可能性が高い場合に、分析対象とするアクセスログを、ユーザアクセス候補ログに絞り込むことができ、作業負担を軽減することができる。
【００１５】
図２は、本発明の実施の形態における分析装置１０のハードウェア構成例を示す図である。図２の分析装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。
【００１６】
分析装置１０での処理を実現するプログラムは、記録媒体１０１によって提供される。プログラムを記録した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
【００１７】
メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従って分析装置１０に係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。
【００１８】
なお、記録媒体１０１の一例としては、ＣＤ−ＲＯＭ、ＤＶＤディスク、又はＵＳＢメモリ等の可搬型の記録媒体が挙げられる。また、補助記憶装置１０２の一例としては、ＨＤＤ（Hard  Disk  Drive）又はフラッシュメモリ等が挙げられる。記録媒体１０１及び補助記憶装置１０２のいずれについても、コンピュータ読み取り可能な記録媒体に相当する。
【００１９】
図３は、本発明の実施の形態における分析装置１０の機能構成例を示す図である。図３において、分析装置１０は、クロス集計表生成部１１、継続事象特定部１２及びアクセスログ分類部１３等を有する。これら各部は、分析装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。分析装置１０は、また、継続事象記憶部１４を利用する。継続事象記憶部１４は、例えば、補助記憶装置１０２、又は分析装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
【００２０】
クロス集計表生成部１１は、例えば、過去の一週間等の一定期間において記録されたアクセスログについて、一定周期の期間（例えば、１日）ごとに、クロス集計表を生成する。クロス集計表とは、単位時間（例えば、３０分）ごとのアクセス先のファイルパス文字列（パス名）の順序集合（時系列集合）を、アクセス元別に分類した表をいう。
【００２１】
図４は、クロス集計表の生成を説明するための図である。図４では、一週間分のアクセスログ群が１日ごとに分割され、各日のアクセスログ群ごとに、クロス集計表が生成される例が示されている。図４における下段の表が、クロス集計表を示す。クロス集計表の行はアクセス元ごとに区別され、列は単位時間ごとに区別されている。クロス集計表のいずれかのセル内の楕円が、当該セルに係るアクセス元及び単位時間に関して抽出された順序集合を示す。したがって、図４では、１日目〜７日目まで各日のアクセスログ群から順序集合ｓ１及びｓ２が抽出され、３日目以降のアクセスログ群から、更に、順序集合ｓ３が抽出された例が示されている。なお、内容が同じである順序集合には同一符号が付されている。
【００２２】
継続事象特定部１２は、各クロス集計表（各日）の順序集合を比較することにより、各日において継続して（反復して）出現している順序集合（すなわち、１日周期で出現している順序集合）を特定する。各日において継続している順序集合の組を、以下「継続事象」という。継続事象の特定結果は、継続事象記憶部１４に記憶される。
【００２３】
図５は、継続事象の特定を説明するための図である。図５では、同一の内容を有する順序集合が線によって接続されている。ここで、順序集合ｓ１及びｓ２が、１週間の各日において出現している。したがって、順序集合ｓ１及びｓ２が継続事象として特定される。
【００２４】
アクセスログ分類部１３は、継続事象記憶部１４に記憶された継続事象に基づいて、各アクセスログを機械アクセス候補ログ又はユーザアクセス候補ログに分類する。
【００２５】
以下、分析装置１０が実行する処理手順について説明する。図６は、クロス集計表の生成処理の処理手順の一例を説明するためのフローチャートである。
【００２６】
ステップＳ１０１において、クロス集計表生成部１１は、分析対象期間の設定を取得する。分析対象期間とは、分析対象とするアクセスログを特定するための期間をいい、例えば、当該期間の開始日及び終了日によって指定される。図４における１週間が分析対象期間に相当する。分析対象期間は、予め設定されていてもよいし、ステップＳ１０１のタイミングでユーザによって入力されてもよい。
【００２７】
続いて、クロス集計表生成部１１は、クロス集計表の生成単位とする期間（以下、「生成期間」という。）の設定を取得する（Ｓ１０２）。図４における１日が、生成期間に相当する。生成期間は、予め設定されていてもよいし、ステップＳ１０２のタイミングでユーザによって入力されてもよい。なお、機械アクセスが発生する周期に基づいて生成期間が設定されてもよい。例えば、機械アクセスが２日ごとに発生することが予定されていれば、生成期間は２日に設定されてもよい。
【００２８】
続いて、クロス集計表生成部１１は、変数ｉに１を代入する（Ｓ１０３）。図６において、変数ｉは、処理対象とされている生成期間の順番を記憶するための変数である。
【００２９】
続いて、クロス集計表生成部１１は、ｉ番目の生成期間のアクセスログ群をファイルサーバ２０から読み込む（Ｓ１０４）。
【００３０】
図７は、アクセスログの一例を示す図である。図７に示されるように、アクセスログは、いずれかのファイルへのアクセスごとに、アクセス元ＩＰ、アクセス時刻、アクセス先パス、及び操作等の項目の値を含む。アクセス元ＩＰは、アクセス元のユーザ端末３０等のＩＰアドレスである。アクセス時刻は、例えば、アクセスが発生した日時等、アクセス時期を示す情報である。アクセス先パスは、アクセス対象とされたファイルのパス文字列である。操作は、アクセス対象のファイルに対して行われた操作種別を示す情報である。例えば、Ｒｅａｄ（参照）、Ｗｒｉｔｅ（書き込み）、Ｄｅｌｅｔｅ（削除）、Ｒｅａｄ−ｆａｉｌｕｒｅ（参照失敗）、Ｗｒｉｔｅ−ｆａｉｌｕｒｅ（書き込み失敗）、Ｄｅｌｅｔｅ−ｆａｉｌｕｒｅ（削除失敗）等が操作として記録されてもよい。
【００３１】
ステップＳ１０４では、アクセス時刻がｉ番目の生成期間に含まれるアクセスログ群（以下、「対象アクセスログ群」という。）が読み込まれる。
【００３２】
続いて、クロス集計表生成部１１は、対象アクセスログ群に含まれている各アクセスログのアクセス元ＩＰの種類と、単位時間の種類とを特定し、空のクロス集計表を生成する（Ｓ１０５）。以下、生成されたクロス集計表を「対象クロス集計表」という。単位時間の種類の特定とは、ｉ番目の生成期間を区切る複数の単位時間のうち、１以上のアクセスログのアクセス時刻を含む単位時間を特定することをいう。生成されるクロス集計表は、特定されたアクセス元ＩＰアドレスの種類を行とし、特定された単位時間の種類を列とする。
【００３３】
続いて、クロス集計表生成部１１は、対象アクセスログ群について、アクセス元ＩＰ別に、単位時間ごとのアクセス先パスの順序集合を生成する（Ｓ１０６）。１つの順序集合に複数のアクセス先パスが含まれる場合、当該複数のアクセス先パスは、アクセス時刻の昇順に（すなわち、時系列に）整列される。
【００３４】
続いて、クロス集計表生成部１１は、生成した各順序集合を、対象クロス集計表において、それぞれの順序集合のアクセス元ＩＰ及び単位時間に対応するセルに登録する（Ｓ１０７）。続いて、クロス集計表生成部１１は、対象クロス集計表を、メモリ装置１０３又は補助記憶装置１０２等に記憶する（Ｓ１０８）。
【００３５】
図８は、クロス集計表の構成例を示す図である。図８に示されるように、クロス集計表には、アクセス元ＩＰ別に、単位時間ごとのアクセス先の順序集合が登録される。なお、図８に示されるクロス集計表は、４月１日の１日分の生成期間のアクセスログ群に基づくクロス集計表である。
【００３６】
続いて、クロス集計表生成部１１は、対象分析期間の全てのアクセスログを読み込んだか否かを判定する（Ｓ１０９）。まだ読み込んでいないアクセスログが有る場合（Ｓ１０９でＮｏ）、クロス集計表生成部１１は、ｉに１を加算して（Ｓ１１０）、ステップＳ１０４以降を繰り返す。全てのアクセスログを読み込んだ場合（Ｓ１０９でＹｅｓ）、クロス集計表生成部１１は、図６の処理手順を終了する。
【００３７】
図６の処理手順が実行されることにより、対象分析期間に含まれる生成期間ごとに、クロス集計表が生成される。
【００３８】
図９は、継続事象の特定処理の処理手順の一例を説明するためのフローチャートである。
【００３９】
ステップＳ２０１において、継続事象特定部１２は、変数ｉに１を代入する。図９において、変数ｉは、処理対象とする（注目する）クロス集計表の順番を記憶するための変数である。なお、クロス集計表の順番は、クロス集計表の生成期間の前後関係に従う。すなわち、生成期間が相対的に前であるクロス集計表が当該順番において前である。
【００４０】
続いて、継続事象特定部１２は、ｉの値が対象分析期間に関して生成されたクロス集計表の数Ｎ以下であるか否かを判定する（Ｓ２０２）。ｉの値がＮ以下である場合（Ｓ２０２でＹｅｓ）、継続事象特定部１２は、ｉ番目のクロス集計表から未処理の順序集合を１つ取り出す（Ｓ２０３）。ここで、未処理とは、ステップＳ２０４〜Ｓ２０７について未処理であることをいう。以下、ステップＳ２０３において取り出された順序集合を「対象順序集合」という。
【００４１】
続いて、継続事象特定部１２は、対象順序集合を、各グループの順序集合と比較する（Ｓ２０４）。ここでいうグループとは、後述されるステップＳ２０６又はＳ２０７において、順序集合（アクセス先パスの並び順）の同一性に基づいて各順序集合が分類されることで形成されるグループをいい、図６の処理の開始時には存在しない。したがって、少なくとも、ｉ＝１であり、かつ、対象順序集合が最初に取り出された順序集合である場合、対象順序集合と一致する順序集合が属するグループは無い。
【００４２】
対象順序集合と一致する順序集合が属するグループが無い場合（Ｓ２０５でＮｏ）、継続事象特定部１２は、新たなグループを生成し、当該グループに対象順序集合を含める（Ｓ２０６）。一方、対象順序集合と一致する順序集合が属するグループが有る場合（Ｓ２０５でＹｅｓ）、継続事象特定部１２は、対象順序集合を当該グループに含める（Ｓ２０７）。
【００４３】
ステップＳ２０３〜Ｓ２０８が、ｉ番目のクロス集計表に含まれる全ての順序集合について実行されると（Ｓ２０８でＹｅｓ）、継続事象特定部１２は、変数ｉに１を加算して（Ｓ２０９）、ステップＳ２０２以降を繰り返す。変数ｉの値がクロス集計表の数Ｎを超えると（Ｓ２０２でＮｏ）、ステップＳ２１０に進む。この時点において、各クロス集計表の各順序集合は、複数のグループに分類されている。
【００４４】
ステップＳ２１０において、継続事象特定部１２は、全てのクロス集計表から取り出された順序集合が属するグループの有無を判定する。すなわち、各日（各生成周期）において出現する順序集合が属するグループの有無が判定される。
【００４５】
該当するグループが１以上有る場合（Ｓ２１０でＹｅｓ）、継続事象特定部１２は、当該各グループに属する順序集合を継続事象記憶部１４に記憶する（Ｓ２１１）。すなわち、当該各グループの順序集合が、継続事象として特定される。当該各グループの順序集合は、周期的に継続して出現しているからである。
【００４６】
図１０は、継続事象記憶部１４の構成例を示す図である。図１０に示されるように、継続事象記憶部１４には、継続事象ごとに、継続事象ＩＤ、順序集合、クロス集計表での該当箇所等が記憶される。
【００４７】
継続事象ＩＤは、継続事象ごとに割り当てられる識別情報である。順序集合は、継続事象として特定された順序集合である。クロス集計表での該当箇所は、当該順序集合が、クロス集計表において出現した箇所を示す情報である。図１０において、クロス集計表での該当箇所は、生成期間、アクセス元ＩＰ、単位時間等の項目を含む。生成期間は、当該順序集合が出現したクロス集計表の生成期間である。アクセス元ＩＰは、当該クロス集計表において当該順序集合が含まれる行を特定するための項目である。単位時間は、当該クロス集計表において当該順序集合が含まれる列を特定するための項目である。
【００４８】
なお、ステップＳ２０４における順序集合の比較において、完全一致のみでなく、類似している場合にも、「一致」としての比較結果が出力されるようにしてもよい。すなわち、完全一致の順序集合群のみでなく、類似する順序集合も同一のグループに分類されるようにしてもよい。例えば、順序集合に含まれるアクセス先パスのうちの所定の割合以上のアクセス先パスの並びが一致している場合に、比較された順序集合は類似すると判定されてもよい。この場合、グループ内の全ての順序集合に類似することが要求されてもよいし、いずれかＭ個以上の順序集合に類似することが要求されてもよい。
【００４９】
また、ステップＳ２１０では、例えば、全部のクロス集計表に対する所定の割合以上のクロス集計表から取り出された順序集合が属するグループの有無が判定されてもよい。又は、略一定間隔のクロス集計表に出現する順序集合が属するグループの有無が判定されてもよい。例えば、１番目、３番目、５番目といったように、出現間隔が２である順序集合は、略一定間隔のクロス集計表に出現する順序集合に該当する。
【００５０】
図１１は、アクセスログの分類処理の処理手順の一例を説明するためのフローチャートである。
【００５１】
ステップＳ３０１において、アクセスログ分類部１３は、継続事象記憶部１４に記憶されている全ての継続事象を読み込む。続いて、アクセスログ分類部１３は、アクセス時刻が分析対象期間に含まれるアクセスログを、ファイルサーバ２０から１つ読み込む（Ｓ３０２）。以下、読み込まれたアクセスログを「対象ログ」という。
【００５２】
続いて、アクセスログ分類部１３は、対象期間及び単位時間が、対象ログのアクセス時刻を含み、アクセス元ＩＰが、対象ログのアクセス元ＩＰに一致する継続事象の有無を判定する（Ｓ３０３）。すなわち、対象ログが、いずれかの継続事象を構成するアクセスログであるか否かが判定される。
【００５３】
該当する継続事象が有れば（Ｓ３０３でＹｅｓ）、アクセスログ分類部１３は、対象ログを機械アクセス候補ログに分類する（Ｓ３０４）。該当する継続事象が無ければ（Ｓ３０３でＮｏ）、アクセスログ分類部１３は、対象ログをユーザアクセス候補ログに分類する（Ｓ３０５）。なお、機械アクセス候補ログに分類されたアクセスログと、ユーザアクセス候補ログに分類されたアクセスログとは、例えば、分析装置１０の補助記憶装置１０２において異なるフォルダに保存されてもよい。
【００５４】
ステップＳ３０１〜Ｓ３０５は、分析対象期間内の全てのアクセスログについて実行される（Ｓ３０６）。
【００５５】
上述したように、本実施の形態によれば、アクセスログ群を、ユーザアクセス候補ログと機械アクセス候補ログとに分類することができる。したがって、例えば、ユーザアクセスによる不正の可能性が高い場合、ユーザアクセス候補ログを分析対象とすることができる。同様に、機械アクセスによる不正の可能性が高い場合、機械アクセス候補ログを分析対象とすることができる。その結果、分析対象とするアクセスログを削減することができ、アクセスログの分析の作業負担を軽減することができる。
【００５６】
また、本実施の形態では、機械アクセスであるか否かについて、継続して類似する順序集合が出現するか否かに着目するため，定期的に発生しないアクセス（すなわち、周期性又は反復性を有さないアクセス）に係るアクセスログを、機械アクセス候補ログから除外することができる。
【００５７】
また、本実施の形態では、アクセスが発生した順序に着目するため、アクセス時刻が厳密に一定間隔でない機械アクセスについても、機械アクセスであると判定することができる。
【００５８】
なお、本実施の形態において、分析装置１０は、アクセスログ分析装置の一例である。クロス集計表生成部１１は、抽出部の一例である。継続事象特定部１２は、特定部の一例である。ファイルサーバ２０は、記憶装置の一例である。アクセスログ分類部１３は、分類部の一例である。機械アクセス候補ログは、第１のアクセスログの一例である。ユーザアクセス候補ログは、第２のアクセスログの一例である。
【００５９】
以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【００６０】
以上の説明に関し、更に以下の項を開示する。
（付記１）
記憶装置が記憶する各ファイルへのアクセスごとにアクセス時期、アクセス元及びアクセス先のファイルのそれぞれを示す情報が記録されたアクセスログから、アクセス元別のアクセス先の時系列集合を単位時間ごとに抽出する抽出部と、
複数の前記単位時間において出現する前記時系列集合を特定する特定部と、
を有することを特徴とするアクセスログ分析装置。
（付記２）
前記特定部は、複数の前記単位時間において周期的に出現する前記時系列集合を特定する、
ことを特徴とする付記１記載のアクセスログ分析装置。
（付記３）
前記特定部は、一定期間ごとに、当該一定期間に含まれる複数の前記単位時間のいずれかにおいて抽出された前記各時系列集合と、他の一定期間に含まれる複数の前記単位時間のいずれかにおいて抽出された前記各時系列集合とを比較して、周期的に出現する前記時系列集合を特定する、
ことを特徴とする付記２記載のアクセスログ分析装置。
（付記４）
前記アクセスログのそれぞれを、前記特定部によって特定されたいずれかの前記時系列集合に係る第１のアクセスログと、前記第１のアクセスログに該当しない第２のアクセスログとに分類する分類部、
を有することを特徴とする付記１乃至３いずれか一項記載のアクセスログ分析装置。
（付記５）
記憶装置が記憶する各ファイルへのアクセスごとにアクセス時期、アクセス元及びアクセス先のファイルのそれぞれを示す情報が記録されたアクセスログから、アクセス元別のアクセス先の時系列集合を単位時間ごとに抽出する処理と、
複数の前記単位時間において出現する前記時系列集合を特定する処理と、
をコンピュータが実行することを特徴とするアクセスログ分析方法。
（付記６）
前記特定する処理は、複数の前記単位時間において周期的に出現する前記時系列集合を特定する、
ことを特徴とする付記５記載のアクセスログ分析方法。
（付記７）
前記特定する処理は、一定期間ごとに、当該一定期間に含まれる複数の前記単位時間のいずれかにおいて抽出された前記各時系列集合と、他の一定期間に含まれる複数の前記単位時間のいずれかにおいて抽出された前記各時系列集合とを比較して、周期的に出現する前記時系列集合を特定する、
ことを特徴とする付記６記載のアクセスログ分析方法。
（付記８）
前記アクセスログのそれぞれを、前記特定部によって特定されたいずれかの前記時系列集合に係る第１のアクセスログと、前記第１のアクセスログに該当しない第２のアクセスログとに分類する処理、
を前記コンピュータが実行することを特徴とする付記５乃至７いずれか一項記載のアクセスログ分析方法。
（付記９）
記憶装置が記憶する各ファイルへのアクセスごとにアクセス時期、アクセス元及びアクセス先のファイルのそれぞれを示す情報が記録されたアクセスログから、アクセス元別のアクセス先の時系列集合を単位時間ごとに抽出する処理と、
複数の前記単位時間において出現する前記時系列集合を特定する処理と、
をコンピュータに実行させることを特徴とするアクセスログ分析プログラム。
（付記１０）
前記特定する処理は、複数の前記単位時間において周期的に出現する前記時系列集合を特定する、
ことを特徴とする付記９記載のアクセスログ分析プログラム。
（付記１１）
前記特定する処理は、一定期間ごとに、当該一定期間に含まれる複数の前記単位時間のいずれかにおいて抽出された前記各時系列集合と、他の一定期間に含まれる複数の前記単位時間のいずれかにおいて抽出された前記各時系列集合とを比較して、周期的に出現する前記時系列集合を特定する、
ことを特徴とする付記１０記載のアクセスログ分析プログラム。
（付記１２）
前記アクセスログのそれぞれを、前記特定部によって特定されたいずれかの前記時系列集合に係る第１のアクセスログと、前記第１のアクセスログに該当しない第２のアクセスログとに分類する処理、
を前記コンピュータに実行させることを特徴とする付記９乃至１１いずれか一項記載のアクセスログ分析プログラム。
【符号の説明】
【００６１】
１０          分析装置
１１          クロス集計表生成部
１２          継続事象特定部
１３          アクセスログ分類部
１４          継続事象記憶部
２０          ファイルサーバ
３０          ユーザ端末
１００        ドライブ装置
１０１        記録媒体
１０２        補助記憶装置
１０３        メモリ装置
１０４        ＣＰＵ
１０５        インタフェース装置
Ｂ            バス
【図１】
2019020776.tif 000003
【図２】
2019020776.tif 000004
【図３】
2019020776.tif 000005
【図４】
2019020776.tif 000006
【図５】
2019020776.tif 000007
【図６】
2019020776.tif 000008
【図７】
2019020776.tif 000009
【図８】
2019020776.tif 000010
【図９】
2019020776.tif 000011
【図１０】
2019020776.tif 000012
【図１１】
2019020776.tif 000013