(57)【要約】【課題】ログの完全性を損なうことなく、ログの発生時刻の順序性を確保する。【解決手段】エージェント端末２０では、ログファイル操作部２４が、ログ収集対象機器よりログファイルを読み込む。ログファイルには、ログ収集対象機器におけるイベント発生時刻が示される。また、時刻取得部２３が、送信時刻を示す時刻情報を生成し、通信部２１が、時刻情報をログファイルとともに管理サーバ１０に転送する。管理サーバ１０では、通信部１１がログファイル及び時刻情報を受信し、時刻取得部１２が、ログファイル及び時刻情報の受信時刻を取得し、時刻補正値計算部１３が、送信時刻と受信時刻を元に時刻補正値を算出し、ファイル操作部１４が、ログファイルに示されたイベント発生時刻を変更することなくログファイルをログＤＢ４０に格納するとともに、時刻補正値をログファイルに対応づけてログＤＢ４０に格納する。【選択図】図２
2008217118.tif 000002
【特許請求の範囲】
【請求項１】
ログファイル送信装置からログ対象機器のログファイルを受信し、受信したログファイルをログデータベースに格納するログファイル管理装置であって、
前記ログファイル送信装置から、前記ログ対象機器におけるイベント発生時刻が示されたログファイルと、前記ログファイル送信装置からのログファイルの送信時刻が示される送信時刻情報とを受信する通信部と、
前記通信部によりログファイルが受信された受信時刻と前記送信時刻情報に示される送信時刻とに基づき時刻補正値を算出する時刻補正値計算部と、
前記通信部により受信されたログファイルに示されたイベント発生時刻を変更することなく前記ログファイルを前記ログデータベースに格納するとともに、前記時刻補正値計算部により計算された時刻補正値を前記ログファイルに対応づけて前記ログデータベースに格納するデータベース操作部とを有することを特徴とするログファイル管理装置。
【請求項２】
前記データベース操作部は、
前記送信時刻情報に示される送信時刻を変更することなく、前記送信時刻情報を前記ログファイル及び前記時刻補正値に対応づけて前記ログデータベースに格納することを特徴とする請求項１に記載のログファイル管理装置。
【請求項３】
前記ログファイル管理装置は、更に、
前記ログデータベースに格納されているログファイルの各々に対して、ログファイルに示されているイベント発生時刻とログファイルに対応する時刻補正値とを加算し、当該加算値に基づいてログファイルをソートするデータ取得部を有することを特徴とする請求項１に記載のログファイル管理装置。
【請求項４】
前記通信部は、
前記ログ対象機器のログファイルの取得スケジュールを示したスケジュール情報を前記ログファイル送信装置に対して送信し、前記スケジュール情報に示された取得スケジュールに従って取得されたログファイルを前記ログファイル送信装置から受信することを特徴とする請求項１に記載のログファイル管理装置。
【請求項５】
前記ログファイル管理装置は、
機器時刻の変更が可能なログ対象機器のログファイルを管理しており、
前記通信部は、
前記ログファイル送信装置から、前記ログファイル送信装置が前記ログ対象機器における機器時刻の変更を検知したことを通知する時刻変更検知情報が付与されたログファイルを受信する場合があり、
前記時刻補正値計算部は、
前記通信部により時刻変更検知情報が付与されたログファイルが受信された場合に、送信時刻及び受信時刻に基づく時刻補正値計算は行わず、
前記データベース操作部は、
前記通信部により時刻変更検知情報が付与されたログファイルが受信された場合に、当該ログファイルに示されたイベント発生時刻を変更することなく当該ログファイルを前記ログデータベースに格納するとともに、当該ログファイルに先行するログファイルに対して前記時刻補正値計算部により計算された時刻補正値を当該ログファイルに対応づけて前記ログデータベースに格納することを特徴とする請求項１に記載のログファイル管理装置。
【請求項６】
前記データベース操作部は、
前記通信部により時刻変更検知情報が付与されたログファイルが受信された場合に、前記ログファイル送信装置から受信したログファイルであって当該ログファイルの一つ前のログファイルに対して前記時刻補正値計算部により計算された時刻補正値を当該ログファイルに対応づけて前記ログデータベースに格納することを特徴とする請求項１に記載のログファイル管理装置。
【請求項７】
前記通信部は、
前記ログ対象機器のログファイルの取得スケジュールを示したスケジュール情報を前記ログファイル送信装置に対して送信し、前記スケジュール情報に示された取得スケジュールに従って取得されたログファイルを前記ログファイル送信装置から受信するとともに、
前記ログファイル送信装置が前記ログ対象機器における機器時刻の変更を検知した場合に前記スケジュール情報に示された取得スケジュールにかかわらず前記ログ対象機器における機器時刻の変更を検知した際に前記ログファイル送信装置が取得したログファイルを前記時刻変更検知情報とともに受信することを特徴とする請求項５に記載のログファイル管理装置。
【請求項８】
機器時刻の変更が可能なログ対象機器のログファイルをログファイル管理装置に対して送信するログファイル送信装置であって、
前記ログ対象機器における機器時刻の変更を検知する時刻変更検知部と、
前記時刻変更検知部により前記ログ対象機器の機器時刻の変更が検知され次第、前記ログ対象機器のログファイルを取得するログファイル取得部と、
前記ログファイル取得部により取得されたログファイルの前記ログファイル管理装置への送信時刻を取得し、当該送信時刻を示す送信時刻情報を生成する時刻取得部と、
前記ログファイル取得部により取得されたログファイルと、前記時刻取得部により生成された送信時刻情報を前記ログファイル管理装置に対して送信する通信部とを有することを特徴とするログファイル送信装置。
【請求項９】
前記通信部は、
前記ログファイル管理装置から、前記ログ対象機器のログファイルの取得スケジュールを示したスケジュール情報を受信し、
前記ログファイル取得部は、
前記スケジュール情報に示された取得スケジュールに従って前記ログ対象機器のログファイルを取得するとともに、前記時刻変更検知部により前記ログ対象機器における機器時刻の変更が検知された際に前記スケジュール情報に示された取得スケジュールにかかわらず即座に前記ログ対象機器のログファイルを取得することを特徴とする請求項８に記載のログファイル送信装置。
【請求項１０】
前記通信部は、
前記ログファイル送信装置が前記ログ対象機器における機器時刻の変更を検知したことを通知する時刻変更検知情報が付与されたログファイルを前記ログファイル管理装置に対して送信することを特徴とする請求項８に記載のログファイル送信装置。
【請求項１１】
コンピュータが、ログファイル送信装置からログ対象機器のログファイルを受信し、受信したログファイルをログデータベースに格納するログファイル管理方法であって、
コンピュータが、前記ログファイル送信装置から、前記ログ対象機器におけるイベント発生時刻が示されたログファイルと、前記ログファイル送信装置からのログファイルの送信時刻が示される送信時刻情報とを受信する通信ステップと、
コンピュータが、前記通信ステップによりログファイルが受信された受信時刻と前記送信時刻情報に示される送信時刻とに基づき時刻補正値を算出する時刻補正値計算ステップと、
コンピュータが、前記通信ステップにより受信されたログファイルに示されたイベント発生時刻を変更することなく前記ログファイルを前記ログデータベースに格納するとともに、前記時刻補正値計算ステップにより計算された時刻補正値を前記ログファイルに対応づけて前記ログデータベースに格納するデータベース操作ステップとを有することを特徴とするログファイル管理方法。
【請求項１２】
コンピュータが、機器時刻の変更が可能なログ対象機器のログファイルをログファイル管理装置に対して送信するログファイル送信方法であって、
コンピュータが、前記ログ対象機器における機器時刻の変更を検知する時刻変更検知ステップと、
コンピュータが、前記時刻変更検知ステップにより前記ログ対象機器の機器時刻の変更が検知され次第、前記ログ対象機器のログファイルを取得するログファイル取得ステップと、
コンピュータが、前記ログファイル取得ステップにより取得されたログファイルの前記ログファイル管理装置への送信時刻を取得し、当該送信時刻を示す送信時刻情報を生成する時刻取得ステップと、
コンピュータが、前記ログファイル取得ステップにより取得されたログファイルと、前記時刻取得ステップにより生成された送信時刻情報を前記ログファイル管理装置に対して送信する通信ステップとを有することを特徴とするログファイル送信方法。
【請求項１３】
コンピュータに、ログファイル送信装置からログ対象機器のログファイルを受信させ、受信したログファイルをログデータベースに格納させるプログラムであって、
前記ログファイル送信装置から、前記ログ対象機器におけるイベント発生時刻が示されたログファイルと、前記ログファイル送信装置からのログファイルの送信時刻が示される送信時刻情報とを受信する通信処理と、
前記通信処理によりログファイルが受信された受信時刻と前記送信時刻情報に示される送信時刻とに基づき時刻補正値を算出する時刻補正値計算処理と、
前記通信処理により受信されたログファイルに示されたイベント発生時刻を変更することなく前記ログファイルを前記ログデータベースに格納するとともに、前記時刻補正値計算処理により計算された時刻補正値を前記ログファイルに対応づけて前記ログデータベースに格納するデータベース操作処理とをコンピュータに実行させること特徴とするプログラム。
【請求項１４】
コンピュータに、機器時刻の変更が可能なログ対象機器のログファイルをログファイル管理装置に対して送信させるプログラムであって、
前記ログ対象機器における機器時刻の変更を検知する時刻変更検知処理と、
前記時刻変更検知処理により前記ログ対象機器の機器時刻の変更が検知され次第、前記ログ対象機器のログファイルを取得するログファイル取得処理と、
前記ログファイル取得処理により取得されたログファイルの前記ログファイル管理装置への送信時刻を取得し、当該送信時刻を示す送信時刻情報を生成する時刻取得処理と、
前記ログファイル取得処理により取得されたログファイルと、前記時刻取得処理により生成された送信時刻情報を前記ログファイル管理装置に対して送信する通信処理とをコンピュータに実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば、ログ収集管理システムにおいてログファイルのイベント発生時刻の順序性を確保する技術に関する。
【背景技術】
【０００２】
セキュリティ監査などのために、システム全体にわたる複数の機器から機器の利用の記録を収集する必要が出てきた。その際、各機器において運用されている時刻は一致することが少ない。
また、たとえ最初は各機器の時刻が一致していたとしても、時刻が経過すると機器間の時刻はずれていくことが知られている。
このような時刻のずれに対して、ＮＴＰ（Ｎｅｔｗｏｒｋ  Ｔｉｍｅ  Ｐｒｏｔｏｃｏｌ）サーバなど外部から各機器の時刻を合わせる方法もある。しかし、ＮＴＰサーバに対応していない機器もあるため、それぞれの機器間における時刻の差を、収集した利用記録に反映させ、各機器から収集した利用記録の発生時刻の順序性を確保するための技術が必要である。
【０００３】
従来のログ収集管理システムにおける収集ログの発生時刻順序性確保では、ログ収集対象機器の起動時にログ収集管理サーバの機器時刻を送付し、ログ収集対象機器の機器時刻との差分を発生時刻補正値として、以降ログの発生時刻を発生時刻補正値によって補正してからログ収集対象機器からログ収集管理サーバにある決められたタイミングでログを転送し、ログの発生時刻順序性を確保するという方法が提案されている（特許文献１）。
また、ログ収集対象機器からログを転送する際に送信時刻をともに転送し、ログ収集管理サーバで受信した際の受信時刻との差分に基づいて発生時刻を補正する方法も提案されている（特許文献２）。
この方法では、イベントが発生する度にその発生時刻と送信時刻を含むログをログ収集対象機器からログ収集管理サーバに転送する。
ログ収集管理サーバでは、ログを受信した時刻とログに含まれる送信時刻の差分を用いて発生時刻を補正し、データベースに格納する。
【特許文献１】特開平１０−２９３７０４公報
【特許文献２】特開２００５−３２７０５３公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来のログの発生時刻順序性確保を目的とした技術では、次の課題があげられる。
１）ログのイベント発生時刻自身を補正してしまうことから生じるセキュリティ監査に用いられるログの完全性が損なわれる（特許文献１、２）。
２）イベント発生毎にログをサーバに転送することから生じるサーバ側のトラフィック問題が増加する（特許文献２）。
３）ログのイベント発生時刻の補正値をログ収集対象機器の起動時に生成することで生じる、補正値誤差の拡大。特にファイルサーバなどの起動回数が少ない機器において問題となる（特許文献１）。つまり、ファイルサーバ等は、いったん起動されると、長時間にわたって稼動し続けるので、起動時の補正値を長時間にわたって使用し続けざるを得ず、時間の経過とともに補正値誤差が拡大していくという課題がある。
４）エージェント側機器の時刻変更によって生じる、時刻変更直後の収集ログと以前に収集された収集ログとの発生順序性確保の困難性が問題点となる。これは、エージェント側機器の時刻が変更されることによって機器の時刻がずれ、機器の時刻が進んでしまった際など、ログ収集管理サーバ側でイベント発生時刻を補正することによって後から受信したログのイベント発生時刻が前回受信したログのイベント発生時刻より以前の時刻を指し示すことがあり得るという課題である（特許文献１、２）。
従来の技術には、以上の４点の課題がある。
【０００５】
本発明は、上記の課題を解決することを主な目的としており、セキュリティ監査に利用できるログの完全性を損なうことなく、また管理サーバの負担が増大しないようにイベント発生時刻の補正値を生成するタイミングを管理し、ログの発生時刻の順序性を確保することを主な目的とする。
さらに、ログ収集対象機器の時刻変更にも対応し、イベント発生時刻の順序性を確保することも目的の一つとする。
【課題を解決するための手段】
【０００６】
本発明に係るログファイル管理装置は、
ログファイル送信装置からログ対象機器のログファイルを受信し、受信したログファイルをログデータベースに格納するログファイル管理装置であって、
前記ログファイル送信装置から、前記ログ対象機器におけるイベント発生時刻が示されたログファイルと、前記ログファイル送信装置からのログファイルの送信時刻が示される送信時刻情報とを受信する通信部と、
前記通信部によりログファイルが受信された受信時刻と前記送信時刻情報に示される送信時刻とに基づき時刻補正値を算出する時刻補正値計算部と、
前記通信部により受信されたログファイルに示されたイベント発生時刻を変更することなく前記ログファイルを前記ログデータベースに格納するとともに、前記時刻補正値計算部により計算された時刻補正値を前記ログファイルに対応づけて前記ログデータベースに格納するデータベース操作部とを有することを特徴とする。
【発明の効果】
【０００７】
本発明によれば、ログファイルにおけるイベント発生時刻自身に対する補正を行わず、時刻補正値をログファイルに対応づけてログデータベースに格納することにより、イベント発生時刻はそのままログファイルに存置され、ログの完全性を保持することができる。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
図１は、本実施の形態に係るシステム構成例を示す構成図である。
図１に示されるログ収集管理システムは、管理サーバ装置１０、エージェントが駐在するエージェント端末装置２０ａ、２０ｂ、２０ｃ、コピー機能やプリンタ機能が複合された複合機３０ａや入退室管理装置３０ｂなどのログ収集対象機器、ログＤＢ（Ｄａｔａ  Ｂａｓｅ）４０等より構成され、管理サーバ装置１０と各エージェント端末装置２０はＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などのネットワーク５０によって接続されている。
エージェント端末２０は、ログ収集対象機器である複合機３０ａや入退室管理装置３０ｂのログファイルを管理サーバ装置１０に送信する。
また、管理サーバ装置１０は、エージェント端末装置２０からログ収集対象機器である複合機３０ａや入退室管理装置３０ｂのログファイルを受信し、受信したログファイルをログＤＢ４０に格納する。
管理サーバ装置１０は、以降、管理サーバと記すことがある。
また、管理サーバ装置１０は、ログファイル管理装置の例である。
エージェント端末装置２０は、以降、エージェント端末と記すことがある。
エージェント端末装置２０は、ログファイル送信装置の例である。また、エージェント端末２０ａは、自機器のログを収集して管理サーバ１０に送信するため、ログファイル送信機器であるとともにログ対象機器でもある。
複合機３０ａ及び入退室管理装置３０ｂは、ログの収集対象であり、ログ対象機器の例である。また、複合機３０ａ及び入退室管理装置３０ｂをまとめて、ログ収集対象機器３０として表記する場合もある。
【０００９】
図２は、管理サーバ１０、エージェント端末２０のそれぞれの構成例を示す。
図２において管理サーバ１０は、通信部１１と、時刻取得部１２と、時刻補正値計算部１３と、ファイル操作部１４と、データ取得／表示部１７と、スケジュール設定部１９を持つ。
また、管理サーバ１０は、ディスプレイ１８及びログＤＢ４０に接続されている。
管理サーバ１０が持つ通信部１１は、各エージェント端末２０へスケジュール情報などを転送したり、各エージェント端末２０からのログファイルを受信する機能を持つ。
時刻取得部１２は、通信部１１でログファイル受信が行われた時の管理サーバ１０自身の時刻を取得する。
時刻補正値計算部１３は、受信時刻とファイルに記載されているログファイル送信時刻とを用いてイベント発生時刻の補正値を計算し、ファイル操作部１４を通じてログＤＢ４０にログファイルとともに時刻補正情報を格納する。
ファイル操作部１４は、ログファイルよりデータを抽出したり、新たな情報を追加したり、ログＤＢ４０にファイル情報を格納する等の機能を持つ。ファイル操作部１４は、データベース操作部の例である。
ディスプレイ１８は、ＤＢデータの表示を行うことが可能である。
【００１０】
通信部１１は、ログ収集対象機器３０のログファイルの取得スケジュールを示したスケジュール情報をエージェント端末２０に対して送信し、スケジュール情報に示された取得スケジュールに従って取得されたログファイル等をエージェント端末２０から受信する。取得スケジュールは、スケジュール設定部１９により設定される。
通信部１１は、具体的には、ログ収集対象機器３０におけるイベント発生時刻が示されたログファイルと、エージェント端末２０からのログファイルの送信時刻が示される送信時刻情報とを受信する。送信時刻情報は、以降、単に、時刻情報ともいう。
時刻補正値計算部１３は、通信部１１によりログファイルが受信された受信時刻と送信時刻情報に示される送信時刻とに基づき時刻補正値を算出する。
通信部１１がログファイルを受信した受信時刻は、時刻取得部１２により取得される。
ファイル操作部１４は、通信部１１により受信されたログファイルに示されたイベント発生時刻を変更することなくログファイルをログＤＢ４０に格納するとともに、時刻補正値計算部１３により計算された時刻補正値をログファイルに対応づけてログＤＢ４０に格納する。
また、ファイル操作部１４は、送信時刻情報に示される送信時刻を変更することなく、送信時刻情報をログファイル及び時刻補正値に対応づけてログＤＢ４０に格納する。
データ取得／表示部１７は、ログＤＢ４０に格納されているログファイルの各々に対して、ログファイルに示されているイベント発生時刻とログファイルに対応する時刻補正値とを加算し、当該加算値に基づいてログファイルをソートする。データ取得／表示部１７は、データ取得部の例である。
【００１１】
エージェントは、各ログ収集対象機器に、或いはそれを監視する機器に常駐する。エージェントが配備されている端末装置がエージェント端末２０である。
エージェント端末２０は、次の機能を持つ。
エージェント端末２０は、ログファイルの転送を行える通信部２１と、ログ取得及びログファイル転送のためのスケジューリング機能を持つスケジューラ部２２と、時刻取得機能を持つ時刻取得部２３と、ログファイル収集・操作機能を持つログファイル操作部２４とを備える。
エージェント端末２０が持つ通信部２１は、管理サーバ１０からのメッセージを受信したり、管理サーバ１０へデータを転送するなど、管理サーバ１０と通信を行う機能を持つ。
スケジューラ部２２は、管理サーバ１０より受信した情報をもとに、ログファイルの収集・転送タイミングを管理する等の機能を持つ。
時刻取得部２３は、通常ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）のログ収集ではエージェントが在中する端末時刻を、また対象が複合機などの機器の場合、当該機器と通信を行い、相手機器時刻を取得する。
ログファイル操作部２４は、ログファイルの収集処理、ファイル転送処理などのファイル操作の機能を持つ。ログファイルの収集処理は、エージェント端末２０がログ収集対象機器３０に接続されていないＰＣ等の場合は、ＰＣ自身のログファイル２５ａの収集を、エージェント端末２０が入退室管理装置などのログ収集対象機器３０に接続されている場合は、ログ収集対象機器３０からログファイル２５ｂを収集する処理を行う。
【００１２】
次に動作について説明する。
図３はエージェント端末２０側の動作例を示すフローチャート図であり、図４は管理サーバ１０側の動作例を示すフローチャート図である。
図２〜図４を参照して、管理サーバ１０及びエージェント端末２０の各々の動作を説明する。
【００１３】
エージェント端末２０がログファイルを管理サーバ１０へ転送する際の動作例を次に示す。
まず、エージェント端末２０が起動した時、また任意のタイミングで、管理サーバ１０はスケジュール情報を通信部１１からエージェント端末２０に配布し（図２の（１））し、エージェント端末２０では、通信部２１がスケジュール情報を受信する（図３のＳ３０１）。
エージェント端末２０では、受け取ったスケジュール情報に示された時刻をスケジューラ部２２に設定し、スケジューラ部２２では、設定された時刻になるとログファイル操作部２４に通知し、ログファイル操作部２４は、エージェントが導入されているコンピュータであるエージェント端末２０自身、あるいはそのコンピュータの接続機器であるログ収集対象機器３０（複合機３０ａ又は入退室管理装置３０ｂ）よりログファイル２５ａ又は機器ログファイル２５ｂを読み込む（図３のＳ３０２、Ｓ３０３）（図２の（２））。これら、ログファイルには、エージェント端末２０又はログ収集対象機器３０におけるイベント発生時刻及びそれぞれのイベント発生時刻において発生したイベントが示されている。
次に、エージェント端末２０では、時刻取得部２３が、コンピュータの時刻（エージェント端末２０自身の時刻）あるいは接続機器であるログ収集対象機器３０（複合機３０ａ又は入退室管理装置３０ｂ）の時刻を送信時刻として取得し、取得した送信時刻を示す時刻情報を生成し、通信部２１が、時刻情報をログファイルとともに管理サーバ１０に転送する（図３のＳ３０４、Ｓ３０５）（図２の（３）及び（４））。
【００１４】
管理サーバ１０では、通信部１１がログファイル及び時刻情報を受信し（図４のＳ４０１）（通信ステップ）、時刻取得部１２が、通信部１１がログファイル及び時刻情報を受信した時刻を取得し受信時刻とする（図４のＳ４０２）（図２の（５））。
次に、管理サーバ１０では、時刻補正値計算部１３が、受信した時刻情報に示されている送信時刻を読み取り（図４のＳ４０３）、送信時刻と時刻取得部１２により取得された受信時刻を元に時刻補正値を算出する（Ｓ４０４）（図２の（６））（時刻補正値計算ステップ）。具体的には、時刻補正値計算部１３は、受信時刻と送信時刻との差を時刻補正値とする。
次に、管理サーバ１０では、ファイル操作部１４が、受信したログファイル、時刻情報とともに時刻補正値計算部１３により算出された時刻補正値をそれぞれ対応づけてログＤＢ４０に格納する（図４のＳ４０５、Ｓ４０６）（図２の（７））（データベース操作ステップ）。
【００１５】
このように、本実施の形態では、管理サーバ１０は、エージェント端末２０から受信したログファイルに示されたイベント発生時刻を変更することなくログファイルをログＤＢ４０に格納するとともに、時刻補正値をログファイルに対応づけてログＤＢ４０に格納する。
また、管理サーバ１０は、送信時刻情報に示される送信時刻を変更することなく、送信時刻情報をログファイル及び時刻補正値に対応づけてログＤＢ４０に格納する。
【００１６】
ログＤＢ４０より収集ログを一覧表示する際には、図８に示すように、データ取得／表示部１７がログＤＢ４０からログファイルとともに時刻補正値を取得し、ログファイルに示されているイベント発生時刻と時刻補正値の和でソートをした結果を取得し（Ｓ８０１）、必要なログ情報や補正発生時刻等の時刻情報などを表示する（Ｓ８０２）。なお、補正発生時刻とは、ログファイルに示されているイベント発生時刻に時刻補正値を加算した時刻である。
【００１７】
以上のように複数機器にまたがるログの発生時刻順序性を確保するため、サーバなどの常時起動しているような機器でもログの発生時刻補正値の誤差が少なく、イベント発生時刻自身を補正することがないのでログの完全性を保証できる。
また、サーバの負荷を考慮したログの転送とともにログ発生時刻の補正を行うことが可能である。
【００１８】
つまり、本実施の形態によれば、ログファイルにおけるイベント発生時刻自身に対する補正を行わず、イベント発生時刻はそのままログファイルに存置されることから、セキュリティ監査に用いられるログの完全性を保持することができる。
また、本実施の形態では、イベント発生毎にログファイルを管理サーバに転送することはしないので、管理サーバ側の負荷が増加することもない。
また、本実施の形態では、ログファイルの送信時刻及び受信時刻に基づいて時刻補正値を生成するため、特にファイルサーバなどの起動回数が少ない機器において問題となる、時刻補正値をログ収集対象機器の起動時に生成する運用における補正値誤差の拡大が生じない。
【００１９】
このように、本実施の形態では、エージェント側コンピュータ及びコンピュータ上で動作するプログラムが出力するデータファイルの内、監視の対象となっているファイルを決められたタイミングで読み込む手段と、データファイルを取得するとデータ収集管理装置側に転送する手段と、データファイルの転送時にエージェント端末の時刻を取得する手段と、データファイルと時刻を転送、及び管理サーバ側から送られる転送タイミング情報を含むスケジュール情報を受信するための通信手段を持つエージェントと、
複数のエージェント側情報処理装置より転送されるデータ情報を受信、及びエージェント側情報処理装置にデータファイル転送タイミング情報を含むスケジュール情報を送るための通信手段と、エージェント側情報処理装置からのデータ情報を受信した際に自機器の時刻を取得する手段と、受信したデータの一情報である転送時時刻と、前記受信時取得時刻との差分を用いて時刻補正値を生成する手段と、受信データと前記時刻補正値をデータベースに格納する手段を持つデータを収集管理するデータ収集管理装置を有するデータ収集管理システムについて説明した。
【００２０】
また、本実施の形態では、データベースに格納されている収集データを、発生時刻と上記時刻補正値との和によってソートし、対象データを表示機に表示させる手段を持つデータ収集管理システムについて説明した。
【００２１】
また、本実施の形態では、エージェント側コンピュータにＬＡＮ接続される外部機器及びその機器上で動作するプログラムが出力するデータファイルの内、監視の対象となっているファイルを決められたタイミングで読み込む手段と、データファイルを取得するとデータ収集管理装置側に転送する手段と、データファイルを転送時に上記機器の時刻を取得する手段と、データファイルと時刻を転送、及び管理サーバ側から送られる転送タイミング情報を含むスケジュール情報を受信するための通信手段を持つエージェントと、
複数のエージェント側情報処理装置より転送されるデータ情報を受信、及びエージェント側情報処理装置にデータファイル転送タイミング情報を含むスケジュール情報を送るための通信手段と、エージェント側情報処理装置からのデータ情報を受信した際に自機器の時刻を取得する手段と、受信したデータの一情報である転送時時刻と、前記受信時取得時刻との差分を用いて時刻補正値を生成する手段と、受信データと前記時刻補正値をデータベースに格納する手段を持つデータを収集管理するデータ収集管理装置を有するデータ収集管理システムについて説明した。
【００２２】
実施の形態２．
以上の実施の形態１では、通常の既定されたタイミングでログ収集を行い、ログ発生時刻の補正を行うことでログ発生時刻の順序性を保つものであるが、次にログ収集対象機器の時刻が変更された場合にも同様に発生時刻の順序性を保つようにする実施形態を示す。
【００２３】
図５は、実施の形態１で紹介した構成（図２）から、時刻変更時の対応ができるよう構成を変更したものである。
図５において追加された機能は、エージェント端末２０の時刻変更検知部２６と、管理サーバ１０の時刻変更有無チェック部１６である。
エージェント端末２０の時刻変更検知部２６は、ログ収集対象機器３０における機器時刻が何かの原因（ユーザによる変更など）によって変更された場合、これを検知し、エージェント端末２０内部で通知し、時刻変更時処理を開始する機能を持つ。
管理サーバ１０の時刻変更有無チェック部１６は、受信したログファイル内の情報より、時刻変更によって送られてきたログファイルか、通常のタイミングでおくられてきたものか判断し、処理を分岐させる機能を持つ。
【００２４】
つまり、本実施の形態に係るエージェント端末２０は、機器時刻の変更が可能なログ収集対象機器３０のログファイルを管理サーバ１０に対して送信する。
そして、本実施の形態に係るエージェント端末２０において、時刻変更検知部２６は、ログ収集対象機器３０における機器時刻の変更を検知し、ログファイル操作部２４（ログファイル取得部）は、時刻変更検知部２６によりログ収集対象機器３０の機器時刻の変更が検知され次第、直ちにログ収集対象機器３０のログファイルを取得する。時刻変更検知部２６は、例えば、ログ収集対象機器３０から機器時刻が変更になった旨の通知を入力することによりログ収集対象機器３０における機器時刻の変更を検知するようにしてもよいし、また、ユーザからログ収集対象機器３０への入力情報を監視、解析し、ユーザからログ収集対象機器３０へ機器時刻の変更指示があった場合に、ログ収集対象機器３０における機器時刻の変更を検知するようにしてもよい。
また、時刻取得部２３は、ログファイル操作部２４により取得されたログファイルの管理サーバ１０への送信時刻を実施の形態１と同様に取得し、当該送信時刻を示す送信時刻情報を生成する。
通信部２１は、ログファイル操作部２４により取得されたログファイルと、時刻取得部２３により生成された送信時刻情報を管理サーバ１０に対して送信する。
実施の形態１と同様に、通信部２１は、管理サーバ１０から、ログ収集対象機器３０のログファイルの取得スケジュールを示したスケジュール情報を受信し、ログファイル操作部２４は、通常は、スケジュール情報に示された取得スケジュールに従ってログ収集対象機器３０のログファイルを取得するが、時刻変更検知部２６によりログ収集対象機器３０における機器時刻の変更が検知された場合はスケジュール情報に示された取得スケジュールにかかわらず即座にログ収集対象機器３０のログファイルを取得する。
また、通信部２１は、管理サーバ１０にログファイルを送信する際に、時刻変更検知情報が付与されたログファイルを送信する。時刻変更検知情報とは、エージェント端末２０がログ収集対象機器３０における機器時刻の変更を検知したことを通知する情報である。
【００２５】
また、本実施の形態に係る管理サーバ１０において、通信部１１は、時刻変更検知情報が付与されたログファイルをエージェント端末２０から受信する場合があり、時刻補正値計算部１３は、通信部１１により時刻変更検知情報が付与されたログファイルが受信された場合に、送信時刻及び受信時刻に基づく時刻補正値計算は行わない。
また、ファイル操作部１４は、通信部１１により時刻変更検知情報が付与されたログファイルが受信された場合に、当該ログファイルに示されたイベント発生時刻を変更することなく当該ログファイルをログＤＢ４０に格納するとともに、当該ログファイルに先行するログファイル、具体的には、当該ログファイルの一つ前のログファイルに対して時刻補正値計算部１３により計算された時刻補正値を当該ログファイルに対応づけてログＤＢ４０に格納する。
【００２６】
次に、時刻変更有無チェック部１６及び時刻変更検知部２６が追加され、ログ収集対象機器３０における時刻変更に対応可能な管理サーバ１０及びエージェント端末２０の動作例について説明する。
図６はエージェント端末２０の動作例を示すフローチャート図であり、図７は管理サーバ１０の動作例を示すフローチャート図である。
図５〜図７を参照して、本実施の形態に係る管理サーバ１０及びエージェント端末２０の各々の動作を説明する。
【００２７】
時刻変更が起きた際のエージェント端末２０がログファイルを管理サーバ１０へ転送する際の動作例を示す。
実施の形態１と同様に、エージェント端末２０の通信部２１は管理サーバ１０からスケジュール情報を受信する（図６のＳ６０１）。
エージェント端末２０では、受け取ったスケジュール情報に示された時刻をスケジューラ部２２に設定し、スケジューラ部２２では、設定された時刻になるとログファイル操作部２４に通知し、ログファイル操作部２４は、実施の形態１と同様に、ログファイルを取得する（図６のＳ６０２、Ｓ６０４）。
一方、時刻変更検知部２６が、ログ収集対象機器３０における機器時刻に変更が起きたことを検知すると（図６のＳ６０３）（図５の（１））（時刻変更検知ステップ）、スケジュール情報に示されたスケジュールに関わらず、ログファイル操作部２４は、時刻変更検知部２６による時刻変更の検知後すぐにエージェント導入されたコンピュータであるエージェント端末２０自身あるいはそのコンピュータの接続機器であるログ収集対象機器３０（複合機３０ａ又は入退室管理装置３０ｂ）よりログファイル２５ａ又は機器ログファイル２５ｂを読み込む（図６のＳ６０３、Ｓ６０４）（図５の（２））（ログファイル取得ステップ）。
次に、実施の形態１と同様に、時刻取得部２３が、コンピュータの時刻（エージェント端末２０自身の時刻）あるいは接続機器であるログ収集対象機器３０（複合機３０ａ又は入退室管理装置３０ｂ）の時刻を送信時刻として取得し、送信時刻を示す時刻情報を生成し、送信するログファイルに付与する（図６のＳ６０５）（図５の（３））（時刻取得ステップ）。
また、時刻変更検知部２６により機器時刻の変更が検知された結果、ログファイル操作部２４によりログファイルが取得されている場合は、時刻変更検知部２６は時刻変更により送るログファイルであることを示す時刻変更検知情報をログファイルに付与する（図６のＳ６０６）。時刻変更検知情報の付与は、例えば、時刻変更によるログファイルの送信であることを通知する時刻変更フラグを立てるようにする。なお、スケジュール通りのログファイル取得・転送の場合は、図６のＳ６０６の処理は省略される。
エージェント端末２０の通信部２１は、ログファイル、時刻情報及び時刻変更検知情報を管理サーバ１０に転送する（図６のＳ６０７）（図５の（４））（通信ステップ）。
【００２８】
管理サーバ１０では、通信部１１がログファイル等を受信し（図７のＳ７０１）、時刻取得部１２が、通信部１１がログファイル等を受信した時刻を取得し受信時刻とする（図７のＳ７０２）（図５の（５））。
次に、時刻変更有無チェック部１６が、受信したログファイルに基づき時刻変更有無のチェックを行う。具体的には、ログファイルに付与されている時刻変更フラグのオン・オフを確認する（図７のＳ７０３）（図５の（６））。
時刻変更フラグがオンである場合（Ｓ７０３でＹｅｓ）、すなわち、ログ収集対象機器３０の機器時刻の変更によって転送されたログファイルである場合は、時刻変更有無チェック部１６は、同じエージェント端末２０からの前回ログファイル受信時に算出した時刻補正値を補正値として用いる旨を決定する（図７のＳ７０８）。今回受信したログファイルは、ログ収集対象機器３０における機器時刻の変更の直後にエージェント端末２０により取得されたログファイルである。つまり、当該ログファイルには、ログ収集対象機器３０における機器時刻の変更がある前のイベントに対するログ情報が示されており、当該ログファイルに示されるイベント発生時刻も変更前の機器時刻に基づく時刻である。当該ログファイルに付与されている時刻情報に示される送信時刻は、ログ収集対象機器３０の変更後の機器時刻に基づく時刻であり、ログファイルに示されているイベント発生時刻とは時刻の基準が異なっている。このため、時刻情報に示される送信時刻を用いて時刻補正値を算出することはできず、変更前の機器時刻を基準にして算出されている時刻補正値の中で最新の時刻補正値、つまり当該エージェント端末２０からの前回ログファイル受信時に算出された時刻補正値である前回算出補正値を時刻補正値として用いる。
そして、ファイル操作部１４は、前回算出補正値を前回のログファイルから取得し、今回のログファイルに前回算出補正値を付加し、今回のログファイルと時刻情報と前回補正値とを対応づけてログＤＢ４０に格納する（図７のＳ７０６、Ｓ７０７）（図５の（８））。
【００２９】
一方、時刻変更フラグがオフである場合（Ｓ７０３でＮｏ）、すなわち、ログ収集対象機器３０の機器時刻の変更によって転送されたログファイルでない場合（スケジュール通りのログファイルの送信の場合）、実施の形態１と同様に、時刻補正値計算部１３は、受信した時刻情報に示されている送信時刻を読み取り（図７のＳ７０４）、送信時刻と時刻取得部１２により取得された受信時刻を元に時刻補正値を算出する（図７のＳ７０５）（図５の（７））。具体的には、時刻補正値計算部１３は、受信時刻と送信時刻との差を時刻補正値とする。
次に、ファイル操作部１４が、受信したログファイル、時刻情報とともに時刻補正値計算部１３により算出された時刻補正値をそれぞれ対応づけてログＤＢ４０に格納する（図７のＳ７０６、Ｓ７０７）（図５の（７）、（８））。
【００３０】
なお、上記では、時刻変更フラグがオンである場合に、管理サーバ１０のファイル操作部１４が前回算出補正値をログＤＢ４０から取得する例を説明したが、これに限らず、例えば、エージェント端末２０ごとに前回算出補正値を記憶するレジスタを用意し、時刻変更フラグがオンの場合には、ファイル操作部１４が当該レジスタから対応する前回算出補正値を取得するようにしてもよい。
【００３１】
ログＤＢ４０より収集ログを一覧表示する際には、実施形態１と同様に、図８のようにログＤＢ４０からデータを取得する際に、イベント発生時刻と時刻補正値の和でソートをして取得し、必要なログデータや時刻情報などを表示する。
【００３２】
このように、本実施の形態によれば、ログ収集対象機器において時刻の変更が起きた際にも対応可能であり、ログの発生時刻の順序性を保つことができる。
【００３３】
本実施の形態では、収集データを出力する機器の時刻が変更されたことを検知する手段と、時刻が変更されたことを検知するとすぐに監視の対象となっているファイルを読み込む手段と、時刻変更の有無情報をデータファイルと時刻情報と一緒に転送することのできる通信手段を持つエージェントと、
データファイルを受信すると受信した情報のうち時刻変更の有無に関する情報をチェックする手段と、時刻変更が有のデータ情報を受信した場合に前回算出の時刻補正値を取得する手段とを持つデータ収集管理装置を有するデータ収集管理システムについて説明した。
【００３４】
最後に実施の形態１、２に示した管理サーバ１０、エージェント端末２０のハードウェア構成例について説明する。
図９は、実施の形態１、２に示す管理サーバ１０、エージェント端末２０のハードウェア資源の一例を示す図である。なお、図９の構成は、あくまでも管理サーバ１０、エージェント端末２０のハードウェア構成の一例を示すものであり、管理サーバ１０、エージェント端末２０のハードウェア構成は図９に記載の構成に限らず、他の構成であってもよい。
【００３５】
図９において、管理サーバ１０、エージェント端末２０は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ  Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７と接続していてもよい。また、磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信ボード９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。
【００３６】
通信ボード９１５は、図１に示すように、ネットワークに接続されている。例えば、通信ボード９１５は、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
【００３７】
上記プログラム群９２３には、実施の形態１、２の説明において「〜部」、「〜手段」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、実施の形態１、２の説明において、「〜の判断」、「〜の計算」、「〜の算出」、「〜の比較」、「〜の取得」、「〜の更新」、「〜の設定」、「〜の投入」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１、２で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００３８】
また、実施の形態１、２の説明において「〜部」、「〜手段」として説明しているものは、「〜回路」、「〜装置」、「〜機器」、であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」、「〜手段」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、実施の形態１、２の「〜部」、「〜手段」としてコンピュータを機能させるものである。あるいは、実施の形態１、２の「〜部」、「〜手段」の手順や方法をコンピュータに実行させるものである。
【００３９】
このように、実施の形態１、２に示す管理サーバ１０、エージェント端末２０は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータであり、上記したように「〜部」、「〜手段」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【図面の簡単な説明】
【００４０】
【図１】実施の形態１、２に係るログ収集管理システムの構成例を示す図。
【図２】実施の形態１に係る管理サーバ及びエージェント端末の構成例を示す図。
【図３】実施の形態１に係るエージェント端末の動作例を示すフローチャート図。
【図４】実施の形態１に係る管理サーバの動作例を示すフローチャート図。
【図５】実施の形態２に係る管理サーバ及びエージェント端末の構成例を示す図。
【図６】実施の形態２に係るエージェント端末の動作例を示すフローチャート図。
【図７】実施の形態２に係る管理サーバの動作例を示すフローチャート図。
【図８】実施の形態１、２に係る管理サーバの動作例を示すフローチャート図。
【図９】実施の形態１、２に係る管理サーバ及びエージェント端末のハードウェア構成例を示す図。
【符号の説明】
【００４１】
１０  管理サーバ装置、１１  通信部、１２  時刻取得部、１３  時刻補正値計算部、１４  ファイル操作部、１５  受信ファイル、１６  時刻変更有無チェック部、１７  データ取得／表示部、１８  ディスプレイ、１９  スケジュール設定部、２０  エージェント端末装置、２１  通信部、２２  スケジューラ部、２３  時刻取得部、２４  ログファイル操作部、２５  ログファイル、２６  時刻変更検知部、３０  ログ収集対象機器、４０  ログＤＢ、５０  ネットワーク。
【図１】
2008217118.tif 000003
【図２】
2008217118.tif 000004
【図３】
2008217118.tif 000005
【図４】
2008217118.tif 000006
【図５】
2008217118.tif 000007
【図６】
2008217118.tif 000008
【図７】
2008217118.tif 000009
【図８】
2008217118.tif 000010
【図９】
2008217118.tif 000011