(57)【要約】【課題】コンピュータの操作に関して、信頼できかつ活用性の高い履歴を得る。【解決手段】調査対象装置１００の磁気ディスク装置の記憶イメージであるディスクイメージを定期的にまたは予め定められたタイミングで磁気ディスク装置から取得する磁気ディスク情報取得部１１０と、調査対象装置１００のメモリの記憶イメージであるメモリイメージを定期的にまたは予め定められたタイミングでメモリから取得するメモリ情報取得部１２０と、このディスクイメージから磁気ディスク装置に格納されたファイルに対する操作が行われた時間を表す時間情報を抽出し、メモリイメージから調査対象装置１００において起動されたプログラムの種類およびプログラムの起動時刻の情報を抽出する情報抽出部２１０と、この時間情報およびプログラムの起動時刻の情報とを関連づけてデータ蓄積部２３０に格納するデータソート部２２０とを備える。【選択図】図３
2008197993.tif 000002
【特許請求の範囲】
【請求項１】
調査対象装置の磁気ディスク装置の記憶イメージであるディスクイメージを定期的にまたは予め定められたタイミングで当該磁気ディスク装置から取得する磁気ディスク情報取得手段と、
前記磁気ディスク情報取得手段により取得された前記ディスクイメージから前記磁気ディスク装置に格納されたファイルに対する操作が行われた時間を表す時間情報を抽出する第１の情報抽出手段と、
前記調査対象装置のメモリの記憶イメージであるメモリイメージを定期的にまたは予め定められたタイミングで当該メモリから取得するメモリ情報取得手段と、
前記メモリ情報取得手段により取得された前記メモリイメージから前記調査対象装置において起動されたプログラムの種類および当該プログラムの起動時刻の情報を抽出する第２の情報抽出手段と、
前記第１の情報抽出手段により抽出された前記時間情報と前記第２の情報抽出手段により抽出された前記プログラムの起動時刻の情報とを関連づけて記憶手段に格納する格納手段と
を備えることを特徴とする情報処理システム。
【請求項２】
前記格納手段は、前記第１の情報抽出手段および前記第２の情報抽出手段により抽出された情報を時系列に整列して前記記憶手段に格納することを特徴とする請求項１に記載の情報処理システム。
【請求項３】
前記第１の情報抽出手段は、前記ディスクイメージから、前記時間情報として少なくとも前記ファイルの作成時刻および最終更新時刻の情報を抽出することを特徴とする請求項１に記載の情報処理システム。
【請求項４】
調査対象装置の磁気ディスク装置に格納されたファイルに対する操作が行われた時間を表す時間情報を定期的にまたは予め定められたタイミングで前記磁気ディスク装置から読み出して取得する時間情報取得手段と、
前記調査対象装置のメモリの記憶イメージであるメモリイメージを定期的にまたは予め定められたタイミングで当該メモリから取得するメモリ情報取得手段と、
前記メモリ情報取得手段により取得された前記メモリイメージから前記調査対象装置において起動されたプログラムの種類および当該プログラムの起動時刻の情報を抽出する情報抽出手段と、
前記時間情報取得手段により取得された前記時間情報と前記情報抽出手段により抽出された前記プログラムの起動時刻の情報とを関連づけて記憶手段に格納する格納手段と
を備えることを特徴とする情報処理システム。
【請求項５】
前記格納手段は、前記時間情報取得手段により取得された情報および前記情報抽出手段により抽出された情報を時系列に整列して前記記憶手段に格納することを特徴とする請求項４に記載の情報処理システム。
【請求項６】
前記時間情報取得手段は、前記磁気ディスク装置から、少なくとも前記ファイルの作成時刻および最終更新時刻の情報を読み出すことを特徴とする請求項４に記載の情報処理システム。
【請求項７】
調査対象装置と、当該調査対象装置に接続された解析サーバとを備え、
前記調査対象装置は、
前記調査対象装置の磁気ディスク装置の記憶イメージであるディスクイメージを定期的にまたは予め定められたタイミングで当該磁気ディスク装置から取得する磁気ディスク情報取得部と、
前記調査対象装置のメモリの記憶イメージであるメモリイメージを定期的にまたは予め定められたタイミングで当該メモリから取得するメモリ情報取得部と、
前記磁気ディスク情報取得部により取得された前記ディスクイメージおよび前記メモリ情報取得部により取得された前記メモリイメージを前記解析サーバへ送信する送信制御部とを備え、
前記解析サーバは、
前記磁気ディスク情報取得部により取得された前記ディスクイメージから前記磁気ディスク装置に格納されたファイルに対する操作が行われた時間を表す時間情報を抽出し、前記メモリ情報取得部により取得された前記メモリイメージから前記調査対象装置において起動されたプログラムの種類および当該プログラムの起動時刻の情報を抽出する情報抽出部と、
前記情報抽出部により抽出された情報を時系列に整列して記憶手段に格納する整列部と
を備えることを特徴とする情報処理システム。
【請求項８】
調査対象装置と、当該調査対象装置に接続された解析サーバとを備え、
前記調査対象装置は、
前記調査対象装置の磁気ディスク装置に格納されたファイルに対する操作が行われた時間を表す時間情報を定期的にまたは予め定められたタイミングで当該磁気ディスク装置から読み出して取得する時間情報取得部と、
前記調査対象装置のメモリの記憶イメージであるメモリイメージを定期的にまたは予め定められたタイミングで当該メモリから取得するメモリ情報取得部と、
前記時間情報取得部により取得された前記時間情報および前記メモリ情報取得部により取得された前記メモリイメージを前記解析サーバへ送信する送信制御部とを備え、
前記解析サーバは、
前記メモリ情報取得部により取得された前記メモリイメージから前記調査対象装置において起動されたプログラムの種類および当該プログラムの起動時刻の情報を抽出する情報抽出部と、
前記時間情報取得部により取得された前記時間情報および前記情報抽出部により抽出された情報を時系列に整列して記憶手段に格納する整列部と
を備えることを特徴とする情報処理システム。
【請求項９】
前記調査対象装置は、前記時間情報取得部および前記メモリ情報取得部により取得された情報を保存する外部記憶装置をさらに備え、
前記解析サーバは、前記外部記憶装置から前記情報を読み出して取得することを特徴とする請求項８に記載の情報処理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータの操作履歴を取得する技術に関する。
【背景技術】
【０００２】
コンピュータシステムへの不正な侵入やデータへの不正なアクセスの有無を調べたり、障害の原因を調査したりする場合、コンピュータの操作履歴に関する情報を解析することが有用である。そのため、従来から種々のシステム構成において操作履歴を取得、保存して解析に供することが行われている。
【０００３】
この種の従来技術として、特許文献１には、補助記憶装置に格納されたファイルに対するオープン操作およびクローズ操作に応じて操作履歴情報を生成し、不揮発性メモリに保存する構成が記載されている。
【０００４】
特許文献２には、ユーザがキーボード等の入力装置を用いて行った操作に関して、当該操作に対応するデータをキーバッファの参照やＡＰＩにより取得し、不揮発性の記憶装置に保存する構成が記載されている。
【０００５】
特許文献３には、ネットワークインターフェイスに不揮発性メモリを実装し、ネットワークを介して行われる制御対象システムへの操作の履歴を保存する機能を持たせる構成が記載されている。
【０００６】
特許文献４には、コンピュータで発生した操作情報や処理情報をイベントとして抽出してデータベースに登録しておき、同時に当該イベントを解析し、当該イベントが不正に繋がる特定イベントと判定された場合に、当該イベントに関連するイベントをデータベースから検索して不正判断を行う構成が記載されている。
【０００７】
【特許文献１】特開平９−３１９６３７号公報
【特許文献２】特開２００６−１７２０７３号公報
【特許文献３】特開２００５−１０８１７６号公報
【特許文献４】特開２００５−２２２２１６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
上記のように、コンピュータの不正な操作や障害の原因を調査するためには、コンピュータの操作履歴に関する情報を解析することが有用である。しかし、コンピュータの操作履歴を保存する既存のシステムは、コンピュータにおいて特定の操作が実施された場合に、これをイベントとして抽出し、保存するものであった。上記特許文献１乃至特許文献４に記載されるいずれのシステムも同様である。このようなシステムでは、予めイベントとして設定された操作についての履歴を取ることしかできない。そして、保存されている履歴情報自体を改ざんされるおそれがある。
【０００９】
コンピュータの操作履歴を知るための材料として、磁気ディスク等に格納されたファイルへのアクセスに関する情報および物理メモリ内に蓄積された情報は、非常に重要である。これらの情報は、改ざんが困難であり、情報としての信頼性が高い。しかしながら、これらの情報は磁気ディスクや物理メモリ自体での保存時間が比較的短い。
例えば、通常、コンピュータにおいてファイルへのアクセスが行われると、操作の内容に応じてファイルの最終更新日時や最終アクセス日時の情報が記録されるが、これらの情報は、更新やアクセスが行われるたびに書き換えられてしまう。したがって、最後に行われた操作についての情報のみが存在し、それ以前の操作についての情報は失われてしまう。また、物理メモリが記憶する情報は揮発性情報であるため、コンピュータを停止したり再起動したりすると失われてしまう。
そのため、問題が生じてから情報を取得しようとしても、あまり遡って情報を得ることができず、必要な情報が得られない場合も多い。
【００１０】
本発明は、上記の課題に鑑みてなされたものであり、その目的は、ファイルへのアクセスに関する情報や物理メモリ内の情報を保存して、コンピュータの操作に関して、信頼できかつ活用性の高い履歴の取得に供することにある。
【課題を解決するための手段】
【００１１】
かかる目的を達成するために、本発明は、次のような情報処理システムとして実現される。このシステムは、調査対象装置の磁気ディスク装置の記憶イメージであるディスクイメージを定期的にまたは予め定められたタイミングで磁気ディスク装置から取得する磁気ディスク情報取得手段と、この磁気ディスク情報取得手段により取得されたディスクイメージから磁気ディスク装置に格納されたファイルに対する操作が行われた時間を表す時間情報を抽出する第１の情報抽出手段と、調査対象装置のメモリの記憶イメージであるメモリイメージを定期的にまたは予め定められたタイミングでメモリから取得するメモリ情報取得手段と、このメモリ情報取得手段により取得されたメモリイメージから調査対象装置において起動されたプログラムの種類およびプログラムの起動時刻の情報を抽出する第２の情報抽出手段と、第１の情報抽出手段により抽出された時間情報と第２の情報抽出手段により抽出されたプログラムの起動時刻の情報とを関連づけて記憶手段に格納する格納手段とを備える。
【００１２】
より好ましくは、格納手段は、第１の情報抽出手段および第２の情報抽出手段により抽出された情報を時系列に整列して記憶手段に格納する。
また、第１の情報抽出手段は、ディスクイメージから、時間情報として少なくともファイルの作成時刻および最終更新時刻の情報を抽出する。
【００１３】
また本発明の他の情報処理システムは、調査対象装置の磁気ディスク装置に格納されたファイルに対する操作が行われた時間を表す時間情報を定期的にまたは予め定められたタイミングで磁気ディスク装置から読み出して取得する時間情報取得手段と、調査対象装置のメモリの記憶イメージであるメモリイメージを定期的にまたは予め定められたタイミングでメモリから取得するメモリ情報取得手段と、このメモリ情報取得手段により取得されたメモリイメージから調査対象装置において起動されたプログラムの種類および起動時刻の情報を抽出する情報抽出手段と、時間情報取得手段により取得された時間情報と情報抽出手段により抽出されたプログラムの起動時刻の情報とを関連づけて記憶手段に格納する格納手段とを備える。
【００１４】
より好ましくは、格納手段は、時間情報取得手段により取得された情報および情報抽出手段により抽出された情報を時系列に整列して記憶手段に格納する。
また、時間情報抽出手段は、磁気ディスク装置から、少なくともファイルの作成時刻および最終更新時刻の情報を読み出す。
【００１５】
さらに本発明の他の情報処理システムは、調査対象装置と、この調査対象装置に接続された解析サーバとを備える。そして、調査対象装置は、磁気ディスク装置の記憶イメージであるディスクイメージを定期的にまたは予め定められたタイミングで磁気ディスク装置から取得する磁気ディスク情報取得部と、メモリの記憶イメージであるメモリイメージを定期的にまたは予め定められたタイミングでメモリから取得するメモリ情報取得部と、磁気ディスク情報取得部により取得されたディスクイメージおよびメモリ情報取得部により取得されたメモリイメージを解析サーバへ送信する送信制御部とを備える。一方、解析サーバは、磁気ディスク情報取得部により取得されたディスクイメージから磁気ディスク装置に格納されたファイルに対する操作が行われた時間を表す時間情報を抽出し、メモリ情報取得部により取得されたメモリイメージから調査対象装置において起動されたプログラムの種類および起動時刻の情報を抽出する情報抽出部と、この情報抽出部により抽出された情報を時系列に整列して記憶手段に格納する整列部とを備える。
【００１６】
さらにまた、本発明の他の情報処理システムは、調査対象装置と、調査対象装置に接続された解析サーバとを備える。そして、調査対象装置は、磁気ディスク装置に格納されたファイルに対する操作が行われた時間を表す時間情報を定期的にまたは予め定められたタイミングで磁気ディスク装置から読み出して取得する時間情報取得部と、メモリの記憶イメージであるメモリイメージを定期的にまたは予め定められたタイミングでメモリから取得するメモリ情報取得部と、時間情報取得部により取得された時間情報およびメモリ情報取得部により取得されたメモリイメージを解析サーバへ送信する送信制御部とを備える。一方、解析サーバは、メモリ情報取得部により取得されたメモリイメージから調査対象装置において起動されたプログラムの種類および起動時刻の情報を抽出する情報抽出部と、時間情報取得部により取得された時間情報および情報抽出部により抽出された情報を時系列に整列して記憶手段に格納する整列部とを備える。
より好ましくは、このシステムにおいて調査対象装置は、時間情報取得部およびメモリ情報取得部により取得された情報を保存する外部記憶装置をさらに備える構成とすることができる。この場合、解析サーバは、外部記憶装置から情報を読み出して取得する。
【発明の効果】
【００１７】
以上のように構成された本発明によれば、メモリから情報を取得し、磁気ディスク装置の情報と関連づけて保存することにより、コンピュータの操作に関して、信頼できかつ活用性の高い履歴を得ることができる。
【発明を実施するための最良の形態】
【００１８】
以下、添付図面を参照して、本発明を実施するための最良の形態（以下、実施形態）について詳細に説明する。
図１は、本実施形態が適用される情報処理システムの全体構成を示す図である。
図１に示すように、本実施形態は、調査対象装置１００と、解析サーバ２００とからなる。調査対象装置１００と解析サーバ２００とは通信回線を介して接続され、調査対象装置１００から解析サーバ２００へデータ送信が可能となっている。
【００１９】
調査対象装置１００と解析サーバ２００との間の接続方式は、特定の具体的な接続方式には限定されない。例えば、調査対象装置１００と解析サーバ２００とを通信ケーブルにより直接接続しても良いし、ＬＡＮやその他のネットワークを介して接続しても良い。通信プロトコルも、ＴＣＰ／ＩＰ等、任意のものを必要に応じて用いて構わない。なお、図１に示す例では、１台の解析サーバ２００に１台の調査対象装置１００が接続されているが、これは最低限の構成に過ぎない。実際には、１台の解析サーバ２００に複数台の調査対象装置１００が接続されていても良い。
【００２０】
図２は、調査対象装置１００および解析サーバ２００を実現するコンピュータのハードウェア構成を例示する図である。
図２に示すコンピュータ１０は、演算手段であるＣＰＵ１０ａと、主記憶装置であるメインメモリ１０ｃと、ディスプレイ装置へ表示出力を行うための表示機構１０ｄとを備える。また、ネットワークを介して外部機器に接続するためのネットワークインターフェイス１０ｆと、補助記憶装置である磁気ディスク装置１０ｇおよびフレキシブルディスクドライブ１０ｊと、音声出力を行うための音声機構１０ｈと、入力デバイスであるキーボード／マウス１０ｉとを備えて構成される。また、図２に示すように、メインメモリ１０ｃおよび表示機構１０ｄは、Ｍ／Ｂ（マザーボード）チップセット１０ｂを介してＣＰＵ１０ａに接続されている。そして、ネットワークインターフェイス１０ｆ、磁気ディスク装置１０ｇ、音声機構１０ｈ、キーボード／マウス１０ｉおよびフレキシブルディスクドライブ１０ｊは、ブリッジ回路１０ｅを介してＭ／Ｂチップセット１０ｂと接続されている。
【００２１】
図２において、各構成要素は、バスを介して接続される。例えば、ＣＰＵ１０ａとＭ／Ｂチップセット１０ｂの間や、Ｍ／Ｂチップセット１０ｂとメインメモリ１０ｃの間は、ＣＰＵバスを介して接続される。また、Ｍ／Ｂチップセット１０ｂと表示機構１０ｄとの間は、ＡＧＰ（Ａｃｃｅｌｅｒａｔｅｄ  Ｇｒａｐｈｉｃｓ  Ｐｏｒｔ）を介して接続されてもよいが、表示機構１０ｄがＰＣＩ  Ｅｘｐｒｅｓｓ対応のビデオカードを含む場合、Ｍ／Ｂチップセット１０ｂとこのビデオカードの間は、ＰＣＩ  Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バスを介して接続される。また、ブリッジ回路１０ｅと接続する場合、ネットワークインターフェイス１０ｆについては、例えば、ＰＣＩ  Ｅｘｐｒｅｓｓを用いることができる。また、磁気ディスク装置１０ｇについては、例えば、シリアルＡＴＡ（ＡＴ  Ａｔｔａｃｈｍｅｎｔ）、パラレル転送のＡＴＡ、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ  Ｃｏｍｐｏｎｅｎｔｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔ）等を用いることができる。さらに、キーボード／マウス１０ｉ、及び、フレキシブルディスクドライブ１０ｊについては、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）等を用いることができる。
【００２２】
なお、図２は、調査対象装置１００や解析サーバ２００を実現するのに好適なコンピュータのハードウェア構成を例示するに過ぎず、図示の構成に限定されないことは言うまでもない。例えば、補助記憶装置としては磁気ディスク装置１０ｇのみを設け、フレキシブルディスクドライブ１０ｊを持たない構成としたり、各種の光学ディスクをメディアとするドライブを設けたりしても良い。また、音声機構１０ｈを独立した構成とせず、Ｍ／Ｂチップセット１０ｂの機能として備えるようにしても良い。
【００２３】
図３は、本実施形態における調査対象装置１００および解析サーバ２００の機能構成を説明する図である。
図３を参照すると、本実施形態の調査対象装置１００は、磁気ディスク情報取得部１１０と、メモリ情報取得部１２０と、送信制御部１３０とを備える。これらの機能は、例えば調査対象装置１００が図２に示すコンピュータで構成される場合、プログラム制御されたＣＰＵ１０ａにより実現される。プログラムは、磁気ディスク装置１０ｇに格納され、実行時にメインメモリ１０ｃに読み込まれ、メインメモリ１０ｃからＣＰＵ１０ａに読み込まれて実行される。このプログラムは、各種の記憶媒体、例えばフレキシブルディスクやＣＤ−ＲＯＭといった着脱式の磁気ディスクや光ディスク、フラッシュメモリその他の半導体メモリ等に格納して配布したり、ネットワークを介して配信したりすることができる。
【００２４】
磁気ディスク情報取得部１１０は、磁気ディスク装置１０ｇの記録媒体（磁気ディスク）の記憶イメージであるディスクイメージ（イメージファイル）を取得する。ディスクイメージの取得は、定期的にまたは予め設定された特定のタイミングで行われる。
【００２５】
メモリ情報取得部１２０は、メインメモリ１０ｃの記憶イメージであるメモリイメージ（イメージファイル）を取得する。メモリイメージの取得は、定期的にまたは予め設定された特定のタイミングで行われる。
【００２６】
送信制御部１３０は、磁気ディスク情報取得部１１０およびメモリ情報取得部１２０により取得された情報を、例えば図２のネットワークインターフェイス１０ｆを介して、解析サーバ２００へ送信する。送信のタイミングとしては、磁気ディスク情報取得部１１０またはメモリ情報取得部１２０が情報を取得したときに直ちに送信するようにしても良い。また、磁気ディスク情報取得部１１０およびメモリ情報取得部１２０で取得した情報を磁気ディスク装置１０ｇに一時的に保持しておき、定期的にまたはシステムの起動時や終了時等、予め設定されたタイミングで送信するようにしても良い。
【００２７】
また図３を参照すると、本実施形態の解析サーバ２００は、情報抽出部２１０と、データソート部２２０と、データ蓄積部２３０と、データ解析部２４０とを備える。これらの機能のうち、データ蓄積部２３０は、例えば解析サーバ２００が図２に示すコンピュータ１０で構成される場合、磁気ディスク装置１０ｇにより実現される。一方、情報抽出部２１０、データソート部２２０およびデータ解析部２４０は、プログラム制御されたＣＰＵ１０ａにより実現される。プログラムは、磁気ディスク装置１０ｇに格納され、実行時にメインメモリ１０ｃに読み込まれ、メインメモリ１０ｃからＣＰＵ１０ａに読み込まれて実行される。このプログラムは、各種の記憶媒体、例えばフレキシブルディスクやＣＤ−ＲＯＭといった着脱式の磁気ディスクや光ディスク、フラッシュメモリその他の半導体メモリ等に格納して配布したり、ネットワークを介して配信したりすることができる。
【００２８】
情報抽出部２１０は、調査対象装置１００から受信した磁気ディスク装置１０ｇのディスクイメージおよびメインメモリ１０ｃのメモリイメージを解析する。そして、ディスクイメージから磁気ディスク装置１０ｇに格納されているファイルの操作履歴に関する情報（以下、磁気ディスク情報と呼ぶ）を抽出し、メモリイメージからプログラムの起動に関する情報（以下、メモリ情報と呼ぶ）を抽出する。
【００２９】
磁気ディスク装置１０ｇのディスクイメージから抽出される磁気ディスク情報は、ファイルの操作履歴に関する情報であり、最終更新日時、最終アクセス日時、作成日時が含まれる。これらの情報は、更新（Ｍｏｄｉｆｙ）、アクセス（Ａｃｃｅｓｓ）、作成（Ｃｒｅａｔｅ）の頭文字をとってＭＡＣタイム等と呼ばれ、ＵＮＩＸ（Ｔｈｅ  Ｏｐｅｎ  Ｇｒｏｕｐの登録商標）や米国マイクロソフト社のＷｉｎｄｏｗｓ等、多くのオペレーティングシステムにおいて、ファイルへの該当する操作が行われた際に記録される情報である。なお、抽出されるべき情報は、これらに限るものではない。ファイルへの操作に応じて記録される情報であれば、磁気ディスク装置１０ｇの記録媒体（磁気ディスク）上でのファイルの移動が行われた日時や最新のアップデートが行われた日時等、種々の時間情報を抽出することができる。
【００３０】
図４は、磁気ディスク情報１０ｇのディスクイメージから抽出される磁気ディスク情報の例を示す図である。
図４に示す磁気ディスク情報には、ファイルに対する操作に応じて、「日時」、「ファイルサイズ」、「（ＭＡＣタイムの）状態」、「絶対パス」等の情報が登録されている。例えば、破線で囲まれた欄４０１の登録内容は、
日時：２００５年６月６日  月曜日  １０時３４分９秒
ファイルサイズ：１９２７３０バイト
状態：更新（ｍ）
絶対パス：／Ｄｏｃｕｍｅｎｔｓ  ａｎｄ  Ｓｅｔｔｉｎｇｓ／Ｓｈｉｎ−ｙａＩＤＥ／Ｌｏｃａｌ  Ｓｅｔｔｉｎｇｓ／Ｔｅｍｐｏｒａｒｙ  Ｉｎｔｅｒｎｅｔ  Ｆｉｌｅｓ／Ｃｏｎｔｅｎｔ．ＩＥ５／Ｗ９４９ＵＰＩＤ／２００５０６０１１７３６５８［１］．ｊｐｇ
である。「状態」には、操作内容に応じて更新であれば図示のように「ｍ」が、アクセスであれば「ａ」が、ファイルの作成であれば「ｃ」が記載される。
【００３１】
メインメモリ１０ｃのメモリイメージから抽出されるメモリ情報は、プログラムの起動に関する情報であり、例えば、起動されたプログラムの種類や起動コマンドと、その日時の情報（プログラムが起動された日時や起動コマンドが発行された日時）とが含まれる。
【００３２】
図５は、メインメモリ１０ｃのメモリイメージから抽出されるメモリ情報の例を示す図である。
図５に示すメモリ情報には、プログラムの実行に応じて生成されるプロセスおよびスレッドごとに、「行番号」、「プロセスとスレッドの別を表す表示」、「プロセス番号」、「メモリの使用量」、「実行日時」、「メモリ上の番地」、「ページディレクトリ」、「プログラムの種類」の各情報が記載されている。例えば、第１２９行の登録内容は、
行番号：１２９
プロセスとスレッドの別：プロセス
プロセス番号：１０７６
メモリの使用量：無し
実行日時：２００５年６月５日０時３５分１８秒
メモリ上の番地：０ｘ０２１３８ｃ４０
ページディレクトリ：０ｘ０５７５ｅ０００
プログラムの種類：ｃｍｄ．ｅｘｅ
である。また、第１３０行の登録内容は、
行番号：１３０
プロセスとスレッドの別：スレッド
プロセス番号：１１１２
メモリの使用量：５８８バイト
実行日時：無し
メモリ上の番地：０ｘ０２１ｃ１１８０
ページディレクトリ：無し
プログラムの種類：無し
である。
【００３３】
データソート部２２０は、情報抽出部２１０により抽出された情報を、時刻により関連づけて（具体的には例えば時系列に整列して）、データ蓄積部２３０に格納する。ここで、磁気ディスク情報は、個々の情報に記録されている日時にしたがって整列することができる。また、メモリ情報は、プログラムが起動された日時の情報にしたがって整列することができる。すなわち、データソート部２２０により磁気ディスク情報とメモリ情報とは、各々の時間情報に基づいて関連づけられ、各操作の実行順序が特定されることとなる（以下、磁気ディスク情報およびメモリ情報を合わせて履歴情報と呼ぶ）。
【００３４】
データ解析部２４０は、データ蓄積部２３０からデータを読み出し、調査対象装置１００において実施された操作の解析を行う。具体的には例えば、特定のプログラムが起動されたタイミングパターンを解析したり、特定のファイルに対する操作パターンを解析したり、磁気ディスク情報およびメモリ情報に現れる特定のパターンからコンピュータ（調査対象装置１００）の操作方法を推定したりすることができる。なお、データ解析部２４０は必須の構成要件ではなく、データ蓄積部２３０に蓄積された時系列の磁気ディスク情報およびメモリ情報をリスト形式等で出力するようにしても良い。この場合、出力されたリストを人が閲覧し解析して、コンピュータ（調査対象装置１００）に対して行われた操作を推定することができる。
【００３５】
図６は、履歴情報（磁気ディスク情報およびメモリ情報）を時系列に並べた例を示す図である。
図６には、破線で囲まれた部分ごとにメモリ情報または磁気ディスク情報が記載されている。図６において、部分６０１、６０３がメモリ情報であり、部分６０２、６０４、６０５が磁気ディスク情報である。また、これらの部分６０１〜６０５は上から下へ順に時系列に並んでいる。
【００３６】
図６の部分６０１を参照すると、第３６行の登録内容から、起動時刻が２００６年１１月１３日５時２３分３２秒、起動されたプログラムの種類がｎｏｔｅｐａｄ．ｅｘｅであり、この時刻にノートパッドが起動されたことがわかる。また、部分６０２を参照すると、ｔｅｓｔ．ｌｎｋの時間情報
Ｍｏｎ  Ｎｏｖ  １３  ２００６  ０５：３６：４７    ４４４  ｍ．ｃ  〜
と、ｔｅｓｔ．ｔｘｔの時間情報
Ｍｏｎ  Ｎｏｖ  １３  ２００６  ０５：３６：５１    ３３  ．．ｃ  〜
から「ｔｅｓｔ．ｔｘｔ」というファイルが生成されたことがわかる。これら部分６０１、６０２の情報から、この時間にノートパッドが起動されて「ｔｅｓｔ．ｔｘｔ」というファイルが生成されたと判断される。
【００３７】
また、部分６０３を参照すると、第３８行の登録内容から、起動時刻が２００６年１１月１３日６時１１分５３秒、起動されたプログラムの種類がｎｏｔｅｐａｄ．ｅｘｅであり、この時刻にノートパッドが起動されたことがわかる。また、部分６０４を参照すると、ｔｅｓｔ．ｌｎｋの時間情報
Ｍｏｎ  Ｎｏｖ  １３  ２００６  ０６：１３：１０    ４４４  ．ａ．  〜
と、ｔｅｓｔ．ｔｘｔの時間情報
Ｍｏｎ  Ｎｏｖ  １３  ２００６  ０６：１３：３２    ５２  ｍａ．  〜
から「ｔｅｓｔ．ｔｘｔ」というファイルが更新されたことがわかる。これら部分６０３、６０４の情報から、この時間にノートパッドが起動されて「ｔｅｓｔ．ｔｘｔ」というファイルが編集（更新）されたと判断される。
【００３８】
ところで、図６の部分６０５には、
５０９６０  ．．ｃ−／−ｒｗｘｒｗｘｒｗｘ  ０      ０      １６８２−１２８−４  ／ＷＩＮＮＴ／ｓｙｓｔｅｍ３２／ｎｏｔｅｐａｄ．ｅｘｅ
５０９６０  ．．ｃ−／−ｒｗｘｒｗｘｒｗｘ  ０      ０      １６８２−１２８−４  ／ＷＩＮＮＴ／ｓｙｓｔｅｍ３２／ｎｏｔｅｐａｄ．ｅｘｅ  （ｄｅｌｅｔｅｄ−ｒｅａｌｌｏｃ）
という情報が記載されており、ノートパッドを用いてファイルが操作されたことが示されている。しかしながら、磁気ディスク情報として残る情報は、そのファイルにおける最後の操作がなされた時刻（最終更新時刻、最終アクセス時刻など）のみであるため、上述した部分６０１乃至部分６０４から得られる情報と比較すると、履歴として活用できる度合いは低いと言える。
【００３９】
図７は、履歴情報を時系列に並べた他の例を示す図である。
図７には、２００５年６月３日（金曜日）の情報（部分７０１）と、同年６月５日（日曜日）の情報（部分７０２）と、同年６月６日（月曜日）の情報（部分７０３）とが記載されている。同図において、部分７０１および部分７０３はそれぞれ、該当する日の履歴情報の一部である。なお、６月３日および６日の各々図示しない部分の履歴情報を合わせると、全体として両日ともコンソール上での通常の業務における操作が行われたと判断される内容となっているものとする。
【００４０】
図７の部分７０２を参照すると、６月５日の履歴情報は他の日（６月３日および６日）と異なり、磁気ディスク情報が存在せず（すなわち、磁気ディスク装置１０ｇに対する操作の痕跡がなく）、メモリ情報のみとなっている。また、第９行で起動しているプログラムｈｅｌｉｘ．ｅｘｅは、ＣＤ−ＲＯＭから起動されるプログラムツールであるものとする。したがって、６月３日と６日の履歴情報と６月５日の履歴情報とを比較すれば、６月５日には、ＣＤ−ＲＯＭから起動されたプログラムツールを用いた、通常の操作とは異なる操作が行われたと判断される。これにより、例えば所定のシステムにおいて情報漏洩の可能性がある等の問題が発覚した場合、２００５年６月５日に問題の操作がなされた可能性があるとして調査する必要があると判断することができる。
【００４１】
ある特定の時間帯に、調査対象装置１００に対して通常と異なる操作が行われた場合に、履歴情報の中からそのような特異な操作およびその操作が行われた時間帯を見つけ出す手法としては、例えば既存のデータマイニングの手法を用いることができる。
【００４２】
次に、本発明の他の実施形態について説明する。
本実施形態では、調査対象装置から取得される情報を直接解析サーバへ転送するのではなく、データ保存用の外部記憶装置に一旦保存した後、解析サーバへ転送する。実際のシステムでは、調査対象装置が運用上ネットワークへの接続を禁止されている場合や、ファイヤーウォールの設定により調査対象装置が解析サーバと常時直接接続できない場合などがあり得る。また、ディスクイメージのデータサイズが大きいために調査対象装置から解析サーバへ直接転送することが困難な場合もある。そこで、本実施形態では、解析のための情報を調査対象装置に接続された外部記憶装置に一旦保存する。そして、解析サーバが外部記憶装置から情報を読み出したり、一時的に解析サーバに接続した調査対象装置が外部記憶装置から情報を読み出して解析サーバに転送したりする。
【００４３】
図８は、本実施形態が適用される情報処理システムの全体構成を示す図である。
図８に示すように、本実施形態は、調査対象装置３００と、解析サーバ４００とからなる。調査対象装置３００と解析サーバ４００とは通信回線を介して接続され、調査対象装置３００から解析サーバ４００へデータ送信が可能となっている。また、本実施形態の調査対象装置３００には、データ記憶装置３３０が接続されている。調査対象装置３００と解析サーバ４００との間の接続方式は、特定の具体的な接続方式には限定されない。ただし、上述したように調査対象装置３００はネットワークへの接続が禁止されている場合があり得るものとする。なお、図８に示す例では、１台の解析サーバ４００に１台の調査対象装置３００が接続されているが、これは最低限の構成に過ぎない。実際には、１台の解析サーバ４００に複数台の調査対象装置３００が接続されていても良い。また、本実施形態の調査対象装置３００および解析サーバ４００は、図１に示したシステムにおける調査対象装置１００および解析サーバ２００と同様に、例えば図２に示すようなハードウェア構成にて実現される。
【００４４】
図９は、本実施形態における調査対象装置３００および解析サーバ４００の機能構成を説明する図である。
図９を参照すると、本実施形態の調査対象装置３００は、時間情報取得部３１０と、メモリ情報取得部３２０とを備える。これらの機能は、例えば調査対象装置３００が図２に示すコンピュータ１０で構成される場合、プログラム制御されたＣＰＵ１０ａにより実現される。プログラムは、磁気ディスク装置１０ｇに格納され、実行時にメインメモリ１０ｃに読み込まれ、メインメモリ１０ｃからＣＰＵ１０ａに読み込まれて実行される。このプログラムは、各種の記憶媒体、例えばフレキシブルディスクやＣＤ−ＲＯＭといった着脱式の磁気ディスクや光ディスク、フラッシュメモリその他の半導体メモリ等に格納して配布したり、ネットワークを介して配信したりすることができる。また、図８にも示したように、本実施形態の調査対象装置３００には、データ記憶装置３３０が接続されている。データ記憶装置３３０は、例えばＵＳＢを介して調査対象装置３００に接続される外付けの磁気ディスク装置により実現される。
【００４５】
時間情報取得部３１０は、磁気ディスク装置１０ｇに記録されているファイルの時間情報（ＭＡＣタイム等）を読み出し、データ記憶装置３３０に送る。時間情報の読み出しは、定期的にまたは予め設定された特定のタイミングで行われる。かかる時間情報取得部３１０の機能は、例えばオペレーティングシステムに実装されているシステムプログラムによって実現される。
【００４６】
メモリ情報取得部３２０は、メインメモリ１０ｃの記憶イメージであるメモリイメージ（イメージファイル）を取得し、データ記憶装置３３０に送る。メモリイメージの取得は、定期的にまたは予め設定された特定のタイミングで行われる。
【００４７】
データ記憶装置３３０は、時間情報取得部３１０およびメモリ情報取得部３２０により取得された情報（時間情報およびメモリイメージ）を受け付けて保存する。データ記憶装置３３０に保存された情報は、調査対象装置３００を用いた業務の終了後など、予め設定された特定のタイミングで解析サーバ４００へ転送される。調査対象装置３００から解析サーバ４００へデータを転送できる場合は、調査対象装置３００がデータ記憶装置３３０からデータを読み出して解析サーバ４００へ転送すれば良い。調査対象装置３００と解析サーバ４００との接続は、上述したように通信ケーブルを介して両装置を直接接続しても良い。また、調査対象装置３００が通常（業務時間中など）はネットワークへの接続が禁止されている場合は、一時的に接続を許可して解析サーバ４００へデータを転送するようにしても良い。一方、データ記憶装置３３０を解析サーバ４００に接続し、解析サーバ４００が直接データ記憶装置３３０からデータを読み出す構成としても良い。
【００４８】
本実施形態の解析サーバ４００は、情報抽出部４１０と、データソート部４２０と、データ蓄積部４３０と、データ解析部４４０とを備える。これらの機能のうち、データ蓄積部４３０は、例えば解析サーバ４００が図２に示すコンピュータ１０で構成される場合、磁気ディスク装置１０ｇにより実現される。一方、情報抽出部４１０、データソート部４２０およびデータ解析部４４０は、プログラム制御されたＣＰＵ１０ａにより実現される。プログラムは、磁気ディスク装置１０ｇに格納され、実行時にメインメモリ１０ｃに読み込まれ、メインメモリ１０ｃからＣＰＵ１０ａに読み込まれて実行される。このプログラムは、各種の記憶媒体、例えばフレキシブルディスクやＣＤ−ＲＯＭといった着脱式の磁気ディスクや光ディスク、フラッシュメモリその他の半導体メモリ等に格納して配布したり、ネットワークを介して配信したりすることができる。
【００４９】
情報抽出部４１０は、調査対象装置３００から受信した情報（磁気ディスク装置１０ｇから得られた時間情報およびメインメモリ１０ｃのメモリイメージ）のうち、メインメモリ１０ｃのメモリイメージを解析し、メモリ情報（プログラムの起動に関する情報）を抽出する。
【００５０】
データソート部４２０は、調査対象装置３００から受信したＭＡＣタイム等の磁気ディスク情報と情報抽出部４１０により抽出されたメモリ情報を、時刻により関連づけて（具体的には例えば時系列に整列して）、データ蓄積部４３０に格納する。ここで、磁気ディスク情報およびメモリ情報は、図１乃至図７を参照して説明した実施形態における磁気ディスク情報およびメモリ情報と同一である。したがって、データソート部４２０により磁気ディスク情報とメモリ情報とは、各々の時間情報に基づいて関連づけられ、各操作の実行順序が特定される。
【００５１】
データ解析部４４０は、データ蓄積部４３０からデータを読み出し、調査対象装置３００において実施された操作の解析を行う。具体的には例えば、特定のプログラムが起動されたタイミングパターンを解析したり、特定のファイルに対する操作パターンを解析したり、磁気ディスク情報およびメモリ情報に現れる特定のパターンからコンピュータ（調査対象装置３００）の操作方法を推定したりすることができる。なお、データ解析部４４０は必須の構成要件ではなく、データ蓄積部４３０に蓄積された時系列の磁気ディスク情報およびメモリ情報をリスト形式等で出力するようにしても良い。この場合、出力されたリストを人が閲覧し解析して、コンピュータ（調査対象装置３００）に対して行われた操作を推定することができる。
【００５２】
磁気ディスク情報およびメモリ情報を合わせた履歴情報については、図６および図７を参照して上述した通りである。したがって、調査対象装置３００における操作に関して、信頼でき活用性の高い履歴が得られる。そして、通常と異なる操作が行われた時間帯を探索すること等が容易になる。上述したように、本実施形態により得られる履歴情報を、既存のデータマイニングの手法を用いて解析することにより、履歴情報の中から通常とは異なる操作およびその操作が行われた時間帯を見つけ出すことも可能である。
【図面の簡単な説明】
【００５３】
【図１】本発明の一実施形態が適用される情報処理システムの全体構成を示す図である。
【図２】本実施形態の調査対象装置および解析サーバを実現するコンピュータのハードウェア構成を例示する図である。
【図３】本実施形態における調査対象装置および解析サーバの機能構成を説明する図である。
【図４】本実施形態において磁気ディスク情報のディスクイメージから抽出される磁気ディスク情報の例を示す図である。
【図５】本実施形態においてメインメモリのメモリイメージから抽出されるメモリ情報の例を示す図である。
【図６】本実施形態における履歴情報（磁気ディスク情報およびメモリ情報）を時系列に並べた例を示す図である。
【図７】本実施形態における履歴情報を時系列に並べた他の例を示す図である。
【図８】本発明の他の実施形態が適用される情報処理システムの全体構成を示す図である。
【図９】本実施形態における調査対象装置および解析サーバの機能構成を説明する図である。
【符号の説明】
【００５４】
１０ａ…ＣＰＵ、１０ｃ…メインメモリ、１０ｇ…磁気ディスク装置、１００、３００…調査対象装置、２００、４００…解析サーバ、１１０…磁気ディスク情報取得部、１２０、３２０…メモリ情報取得部、１３０…送信制御部、２１０、４１０…情報抽出部、２２０、４２０…データソート部、２３０、４３０…データ蓄積部、２４０、４４０…データ解析部、３１０…時間情報取得部、３３０…データ記憶装置
【図１】
2008197993.tif 000003
【図２】
2008197993.tif 000004
【図３】
2008197993.tif 000005
【図４】
2008197993.tif 000006
【図５】
2008197993.tif 000007
【図６】
2008197993.tif 000008
【図７】
2008197993.tif 000009
【図８】
2008197993.tif 000010
【図９】
2008197993.tif 000011