(57)【要約】【課題】本発明の目的は、限りある記憶領域に必要なログ情報を確実に保存する方法を提供することにある。【解決手段】外部からのリクエストに応じて処理を実行する電子機器がリクエストを受取る度に、そのリクエストに含まれる処理内容などのデータを電子機器から受取り、その処理の実行履歴であるログの記載項目および記載形式を処理内容と対応付けるテーブルを参照してログを生成することを特徴とする監査ログ生成装置を提供する。【選択図】図４
2008003862.tif 000002
【特許請求の範囲】
【請求項１】
複数種の処理の何れかを外部からのリクエストに応じて実行する電子機器が前記リクエストを受取る度に少なくともそのリクエストの要求元および要求内容を表すデータを前記電子機器から受取る受取り手段と、
前記複数種の処理ごとにその処理の実行履歴であるログの記載項目および記載形式が規定されたテーブルと、
前記受取り手段により受取ったデータと前記テーブルの内容とを照らし合わせ、前記要求内容に応じて前記電子機器が実行する処理のログの記載項目および記載形式を選択し、そのログを生成する生成手段と
を有することを特徴とする監査ログ生成装置。
【請求項２】
前記生成手段により生成したログをその生成順に記憶装置へ書き込む書き込み手段と、
前記書き込み手段により所定数分のログが前記記憶装置へ書き込まれたことを契機として、前記電子機器が不正アクセスを受けていることを示すログが前記記憶装置に記憶されている所定数分のログに含まれているか否かを判定する判定手段と、
不正アクセスを受けたことを示すログが含まれていると前記判定手段により判定された場合に、該当するログを不正アクセスを示すログとして予め定められた形式のログへ変換する変換手段と
を有することを特徴とする請求項１に記載の監査ログ生成装置。
【請求項３】
前記不正アクセスはＤｏＳ攻撃であり、前記不正アクセスを受けたことを示すログはＤｏＳ攻撃を受けていることを示す複数のログをそれらに含まれる共通のデータを省略した単一のログであること
を特徴とする請求項２に記載の監査ログ生成装置。
【請求項４】
コンピュータ装置に、
複数種の処理の何れかを外部からのリクエストに応じて実行する電子機器が前記リクエストを受取る度に少なくともそのリクエストの要求元および要求内容を表すデータを前記電子機器から受取る第１のステップと、
前記複数種の処理の各々に対応づけてその処理の実行履歴であるログの記載項目および記載形式が規定されたテーブルの内容と前記受け取り手段により受取ったデータとを照らし合わせ、前記要求内容に応じて前記電子機器が実行する処理のログの記載項目および記載形式を選択し、そのログを生成する第２のステップと
を実行させることを特徴とする監査事象記録プログラム。
【請求項５】
外部からのリクエストに応じて画像処理を実行する画像処理手段と、
前記リクエストを受取る度に少なくともそのリクエストの要求元および要求内容を表すデータを受取る受取り手段と、前記リクエストの各々に対応づけてその処理の実行履歴であるログの記載項目および記載形式が規定されたテーブルと、前記受取り手段により受取ったデータと前記テーブルの内容とを照らし合わせ、前記要求内容に応じて前記画像処理手段が実行する処理のログの記載項目および記載形式を選択し、そのログを生成する生成手段とを有する監査ログ生成装置と
を備えることを特徴とする画像処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は電子機器の実行した処理の履歴を生成する装置に関する。
【背景技術】
【０００２】
電子機器の障害原因の解析手法として、その電子機器の実行した処理の履歴をログファイルとしてハードディスクなどの記憶部へ保存し、障害発生後に読み出して障害原因の解析に役立てる解析手法が知られている。障害原因の確実な解析のためには、ログとして記憶される情報は多いほど望ましい。しかし記憶部の記憶容量は有限であるため、履歴を無制限に保存することはできない。
【０００３】
このような問題点を改善するため、次のようなログファイル管理方法が提案されている。特許文献１には、発生頻度が低い障害事象の場合はログファイルに障害事象情報（発生日時、コマンド、データ送信元アドレスなど）を逐一記録し、発生頻度が高い障害事象の場合にはログファイルにその発生回数のみを記録することで、限られた記憶容量でより多くの情報を蓄積する方法が開示されている。また特許文献２には、履歴ごとに重要度を判別し、新規の履歴を記録するために必要な記憶領域を確保するために既存のログファイルを消去する際に、重要度の低いログファイルから順に消去し、重要度の高いログファイルは消去されることなく残すことで、有用なログファイルを残す技術が開示されている。
【特許文献１】特開平８−６９３９５号公報
【特許文献２】特開２０００−２６７９０２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１では発生頻度が高い障害事象については発生回数のみが記録されるため、たとえばＤｏＳ攻撃においては、事象ごとに異なる重要な情報（送信元アドレスなど）が記録されないといった問題点がある。なおＤｏＳ攻撃とは、標的とするネットワーク機器に対し短時間に大量のリクエストを送信することにより負荷をかけ、サービスの提供を不能にする行為などを指す。
【０００５】
また特許文献２で開示された技術においては、ＤｏＳ攻撃に関する履歴に低い重要度を割り当ててしまうと、より重要度の高いログを記録する過程で、ＤｏＳ攻撃についてのログが消去されてしまい、ＤｏＳ攻撃の事実を記録できない。逆に重要度の高いログとして記録されると記憶領域を使い切ってしまう。
本発明の目的は、必要なログ情報を確実に保存し、限りある記憶領域を有効に活用する方法を提供することにある。
【課題を解決するための手段】
【０００６】
本発明に係る監査ログ生成装置の第一の構成は、複数種の処理の何れかを外部からのリクエストに応じて実行する電子機器が前記リクエストを受取る度に少なくともそのリクエストの要求元および要求内容を表すデータを前記電子機器から受取る受取り手段と、前記複数種の処理ごとにその処理の実行履歴であるログの記載項目および記載形式が規定されたテーブルと、前記受取り手段により受取ったデータと前記テーブルの内容とを照らし合わせ、前記要求内容に応じて前記電子機器が実行する処理のログの記載項目および記載形式を選択し、そのログを生成する生成手段とを有することを特徴とする。
【０００７】
本発明に係る監査ログ生成装置の第二の構成は、上記第一の構成において、前記生成手段により生成したログをその生成順に記憶装置へ書き込む書き込み手段と、前記書き込み手段により所定数分のログが前記記憶装置へ書き込まれたことを契機として、前記電子機器が不正アクセスを受けていることを示すログが前記記憶装置に記憶されている所定数分のログに含まれているか否かを判定する判定手段と、不正アクセスを受けたことを示すログが含まれていると前記判定手段により判定された場合に、該当するログを不正アクセスを示すログとして予め定められた形式のログへ変換する変換手段とを有することを特徴とする。
【０００８】
本発明に係る監査ログ生成装置の第三の構成は、上記第二の構成において、前記不正アクセスはＤｏＳ攻撃であり、前記不正アクセスを受けたことを示すログはＤｏＳ攻撃を受けていることを示す複数のログをそれらに含まれる共通のデータを省略した単一のログであることを特徴とする。
【０００９】
本発明に係る監査事象記録プログラムの構成は、コンピュータ装置に、複数種の処理の何れかを外部からのリクエストに応じて実行する電子機器が前記リクエストを受取る度に少なくともそのリクエストの要求元および要求内容を表すデータを前記電子機器から受取る第１のステップと、前記複数種の処理の各々に対応づけてその処理の実行履歴であるログの記載項目および記載形式が規定されたテーブルの内容と前記受け取り手段により受取ったデータとを照らし合わせ、前記要求内容に応じて前記電子機器が実行する処理のログの記載項目および記載形式を選択し、そのログを生成する第２のステップとを実行させることを特徴とする。
【００１０】
本発明に係る画像処理装置の構成は、外部からのリクエストに応じて画像処理を実行する画像処理手段と、前記リクエストを受取る度に少なくともそのリクエストの要求元および要求内容を表すデータを受取る受取り手段と、前記リクエストの各々に対応づけてその処理の実行履歴であるログの記載項目および記載形式が規定されたテーブルと、前記受取り手段により受取ったデータと前記テーブルの内容とを照らし合わせ、前記要求内容に応じて前記画像処理手段が実行する処理のログの記載項目および記載形式を選択し、そのログを生成する生成手段とを有する監査ログ生成装置とを備えることを特徴とする。
【発明の効果】
【００１１】
本発明により、電子機器の監査ログにおいて記録する内容を動作ごとに選択することにより、より有用な監査ログを生成させることができる。
【発明を実施するための最良の形態】
【００１２】
（Ａ：実施形態の構成）
以下、本発明を実施する際の最良の形態について図面を参照して具体的に説明する。
（Ａ−１：システム構成）
図１は本実施形態に係る監査ログ生成装置を有する画像処理装置２００が接続された情報処理システム１００の構成を示した図である。情報処理システム１００は、画像処理装置２００、処理要求装置３００ａを有し、画像処理装置２００および処理要求装置３００ａは通信網５００を介して接続されている。
【００１３】
通信網５００は、例えば情報処理システム１００を利用するオフィスに敷設されたＥｔｈｅｒｎｅｔ（登録商標）であり、ＰＣや画像形成装置などの各装置間で所定の通信プロトコルにしたがって行われるデータ通信を仲介するためのものである。本実施形態では、ネットワーク層の通信プロトコルとしてはＩＰが用いられており、トランスポート層の通信プロトコルにはＴＣＰが用いられている。ここで通信網５００は、インターネットなどの外部ネットワーク４００に接続されており、その外部ネットワーク４００に接続されている処理要求装置３００ｂとの間の通信を仲介する機能も備えている。なお、本実施形態では、通信網５００がＥｔｈｅｒｎｅｔである場合について説明するが、トークンリングであっても良いことは勿論である。要は、上記所定の通信プロトコルにしたがって行われる通信を仲介する機能を備えた通信網であれば、どのような通信網であっても良い。また、本実施形態ではトランスポート層の通信プロトコルとしてＴＣＰを用いる場合について説明するが、ＵＤＰを用いるとしても勿論良い。
【００１４】
なお、上記の画像処理装置２００および処理要求装置３００ａ、ｂにはそれぞれにＩＰアドレスが割り振られており、それぞれの機器はネットワーク上で一元的に識別される。具体的には、画像処理装置２００には“２５５．２５５．０．０”が、処理要求装置３００ａには“２５５．２５５．０．１“が割り振られている。
【００１５】
画像処理装置２００は、具体的にはいわゆる複合機であり、画像読取機能や画像形成機能、画像転送機能を兼ね備えている。ここで、画像読取機能とは、記録材上に形成された画像を光学的に読取り、読取った画像に応じた画像データを生成する画像読取処理を実行する機能である。また画像形成機能とは、通信網５００を介して受信した画像データや上記画像読取機能により生成した画像データに応じた画像を印刷用紙やＯＨＰ（Ｏｖｅｒ  Ｈｅａｄ  Ｐｒｏｊｅｃｔｏｒ）シートなどの記録材上に形成する画像形成処理を実行する機能である。なお本実施形態においては、画像処理装置２００は、電子写真方式で上記画像データに応じたトナー画像を上記記録材上に形成する。そして、画像転送機能とは、例えば上記画像読取機能によって読取った画像に応じた画像データを、通信網５００を介して所定の宛先へ転送する画像転送処理を実行する機能である。
【００１６】
この画像処理装置２００は、通信網５００を介して所定の通信プロトコルにしたがって送信されてくるメッセージを受信し、そのメッセージの内容に応じた処理（本実施形態では、画像形成処理、画像読取処理および画像転送処理や、それらを制御するプログラムの変更・追加など）を実行するように構成されている。なお、以下では、画像処理装置２００に、上記各処理の実行を要求すること、およびその要求を示した信号を「リクエスト」と称する。リクエストには、画像処理装置２００に実行させる実行ジョブを指定するコマンドや、その対象となるデータおよびデータの属性、そのリクエストの要求元を識別するためのアドレス（以下、要求元識別子と呼ぶ）、そのリクエストの送信日時などが含まれている。
【００１７】
さて、画像処理装置２００においては、上記の各処理の実行を指示する旨のリクエストの送受信に利用する通信ポート（以下、データ通信用ポートと呼ぶ）が各処理毎に予め定められている。例えば、画像形成処理用のデータ通信用ポートとしてポート番号が“６３１”であるデータ通信用ポートが割り当てられている。なお、トランスポート層の通信プロトコルとしてＵＤＰを用いる場合には、ＵＤＰにおける通信ポートを上記データ通信用ポートに割り当てるようにすれば良い。
処理要求装置３００ａは例えばＰＣであり、上記の処理を画像処理装置２００へ要求するためのリクエストをユーザの指示に応じて生成し、そのリクエストを上記所定の通信プロトコルにしたがって送信する機能を備えている。
【００１８】
（Ａ−２：画像処理装置の構成）
図２は、画像処理装置２００のハードウェア構成の一例を示す図である。
画像処理装置２００は、制御部２１０と、通信インタフェース（以下、「ＩＦ」と表記する）部２２０と、情報処理部２３０と、記憶部２４０と、ＵＩ（Ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）部２５０と、監査ログ生成装置６００と、それら各構成要素間のデータ通信を仲介するシステムバス２６０とを有している。
【００１９】
制御部２１０は、例えばＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）であり、後述する記憶部２４０に格納されている各種プログラムを実行し、他の構成要素の作動制御を行う機能を有する。
通信ＩＦ部２２０は、例えばＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）であり、通信網５００に接続されている。この通信ＩＦ部２２０は、通信網５００を介して送信されてくるデータを受信し制御部２１０へ引渡すとともに、制御部２１０から引渡されたデータを通信網５００へと送出するためのものである。
【００２０】
情報処理部２３０は、スキャナ部と、印刷部と、情報処理制御部とを含んでいる。スキャナ部は、図示せぬプラテンガラス上に置かれた記録材上に形成されている画像を光学的に読取りその画像に応じた画像データを生成して情報処理制御部へと引渡すものである。印刷部は、図示せぬ用紙トレイに格納された記録材を取り出し、情報処理制御部から引渡された画像データに応じてトナー像を電子写真方式でその記録材上に形成する。情報処理制御部は、制御部２１０による制御の元で、スキャナ部や印刷部の作動を制御する。
【００２１】
ＵＩ部２５０は、画像処理装置２００に設けられた操作パネルおよびボタンなどである。ユーザは操作パネルの表示を参照しながらボタンを押すことにより、ＵＩ部２５０からシステムバス２６０を介して、ユーザが要求した実行ジョブを指定するコマンド、要求元識別子（この場合は画像処理装置２００に割り当てられたＩＰアドレス）、ユーザが要求を出した日時などのデータが制御部２１０に送信され、特定の処理を画像処理装置２００に実行させることができる。以下では、ＵＩ部２５０から制御部２１０に送信される信号を、上述した処理要求装置３００から画像処理装置２００に対して送られる信号と合わせて「リクエスト」と呼ぶ。なお、ＵＩ部２５０から制御部２１０に送信されるリクエストには、処理の対象となる画像データは含まれず、画像処理装置２００の情報処理部２３０から供給される。
【００２２】
記憶部２４０は、ＨＤＤ２４０ａ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）と、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）２４０ｂと、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）２４０ｃとを含んでいる。ＲＡＭ２４０ｂは、各種プログラムにしたがって作動している制御部２１０によってワークエリアとして利用される。ＲＯＭ２４０ｃは、本発明に係る画像処理装置２００に特徴的な機能を制御部２１０に実現させるためのデータやプログラムを格納している。ＨＤＤ２４０ａは、生成された監査ログを記憶する。
【００２３】
ここで、ＲＯＭ２４０ｃに格納されているプログラムについて説明する。ＲＯＭ２４０ｃには、制御プログラムが格納されている。この制御プログラムに従って作動している制御部２１０は、処理要求装置３００ａから送付されたリクエストを受信し、このリクエストに含まれるデータのうち上記のコマンドと、データおよびデータの属性と、要求元識別子と、送信日時とを、監査ログ生成装置６００に対して送信する。一方、ユーザがＵＩ部２５０を介して画像処理装置２００を送信した場合、制御部２１０は、コマンドすなわちユーザが行ったＵＩ操作と、情報処理部２３０において生成された画像データと、画像処理装置２００に割り当てられた要求元識別子と、送信日時とを、監査ログ生成装置６００に送信する。
【００２４】
（Ａ−３：監査ログ生成装置の構成）
次に監査ログ生成装置６００の構成について図３を用いて説明する。
監査ログ生成装置６００は、ＣＰＵ６１０と、ＲＡＭ６３０と、入出力部６４０と、ＲＯＭ６２０と、これら各構成要素間のデータ通信を仲介するバス６５０とを有している。
ＲＡＭ６３０は、各種プログラムに従って作動しているＣＰＵ６１０によってワークエリアとして利用される。また、ＲＡＭ６３０は、画像処理装置２００が受信したリクエストに関するデータを一件分だけ記憶するバッファメモリとしての役割を持っている。
入出力部６４０は、システムバス２６０に接続されており、システムバス２６０を介して送信されてくるデータをＣＰＵ６１０へ引渡すとともに、ＣＰＵ６１０から引渡されたデータをシステムバス２６０へ送出したり、制御部２１０に対して画像処理装置２００のシステムの停止を指示したりする機能を持つ。
【００２５】
ＲＯＭ６２０には、本発明に特徴的な機能を監査ログ生成装置６００に対し付与するデータおよび監査事象記録プログラム１０が記憶されている。
そのようなデータの一例としては、図５に示す記録方式選択テーブルが挙げられる。この記録方式選択テーブルには、画像処理装置２００が受信する各種のリクエストと、それぞれのリクエストを受信した際にそのことを記録する監査ログに記載する項目が列挙されている。ここで、監査ログの記録方式について図５に示した記録方式選択テーブルを用いて説明する。監査ログの記録方式には簡潔なログ、高度なログの２種類がある。まず簡潔なログには、要求された実行ジョブの種類、画像データの属性、要求元識別子、リクエストの送信された日時、および処理結果（エラーが発生した場合はそのうち重要なエラーの内容）に関するデータが記載される。一方高度なログには、要求された実行ジョブの種類、処理画像、画像データの属性、要求元識別子、リクエストの送信された日時、および処理結果（エラーが発生した場合はそのエラーの内容）に関するデータが記載される。上記処理画像とは、画像処理装置２００が生成または受信した画像データを指す。なおログの容量を縮小するため、画像データを圧縮した後ＨＤＤ２４０ａに記憶しておいてもよい。
簡潔なログを生成する監査事象としては、画像処理装置２００による画像読取り、画像形成、画像転送が挙げられる。高度なログを生成する監査事象としては、画像処理装置２００のシステムデータの登録、変更、削除および、新規アプリケーションの追加が挙げられる。
【００２６】
監査事象記録プログラム１０に従って作動しているＣＰＵ６１０には、以下に挙げるような画像処理装置２００が行った処理の履歴（監査ログ）を生成する機能が付与される。
図４は監査ログ生成装置６００の機能構成を示したブロック図である。具体的には、上に監査事象記録プログラム１０に従って作動しているＣＰＵ６１０は、図４において二重線で囲った手段すなわち、監査事象検知手段７００と、記録方式選択手段７１０と、ログ生成手段７２０と、監査ログ書き込み手段７３０と、空き領域検知手段７４０と、ＤｏＳ攻撃検知手段７５０と、ログ圧縮手段７６０と、ログ削除手段７７０と、カウンタ７８０として機能する。
【００２７】
監査事象検知手段７００は、ＲＡＭ６３０に記憶されたデータに基づいて、前述した監査事象の発生の有無を監査する。以下に監査の方法を説明する。監査事象検知手段７００は、ＲＡＭ６３０に記憶されたリクエストが、記録方式選択テーブルに記載されているリクエスト（以下、監査事象と呼ぶ）の一つと一致するかどうかについて判断する。一致した場合、監査事象検知手段７００は、記録方式選択手段７１０に対してその監査事象の種類を示すデータを送信する。
【００２８】
記録方式選択手段７１０は、監査事象検知手段７００から受信したデータに基づき、簡潔なログもしくは高度なログのいずれかの監査ログ記録方式を選択し、ログ生成手段７２０に選択した記録方式を示す信号を送る。
ログ生成手段７２０は記録方式選択手段７１０により選択された監査ログ記録方式に基づいてログデータを生成する。図８は、監査ログ生成装置６００によって生成されたログの内容である。ログ１に示されたログは、処理要求装置３００ａから画像処理装置２００に対し、画像の印刷を要求するリクエストが送信された履歴を示す。この場合「実行ジョブ」には、画像形成を意味するＰＲＩＮＴおよび実行を意味するＤＯが記載される。「データの属性」は、印刷された画像データの種類を示す拡張子（たとえば“ｊｐｅｇ”）が記載される。「要求元識別子」には、処理要求装置３００ａに割り当てられたＩＰアドレスが記載される。「送信日時」には、日、月、年、時、分、秒が順に記載される。「処理結果」には、要求された処理を支障なく完了したかどうか、また、エラーを生じた場合はそのエラーの内容を意味する番号が記載される。ここで、記載されている番号“２００”は、支障なく処理を完了したことを意味する。また、ログ２に示されたログは、ユーザが画像処理装置２００のＵＩ部２５０における操作によって画像の読取をおこなったことを示す。この場合、要求元識別子には、画像処理装置２００自体に割り当てられたＩＰアドレスが記載される。
【００２９】
ログ生成手段７２０は生成したログデータを監査ログ書き込み手段７３０へ送信する。
監査ログ書き込み手段７３０は、ログ生成手段７２０により生成されたログデータを受信し、ログファイルに書き込む。
ここで、空き領域検知手段７４０は、ＨＤＤ２４０ａの空き領域を検知し、監査ログ書き込み手段７３０に通知する機能を有する。監査ログ書き込み手段７３０は生成したログデータの容量を検知し、検知した空き領域よりもファイル容量が小さいときはログの書き込みを行う。一方、監査ログ書き込み手段７３０は、検出した空き領域よりもファイル容量が大きいときは、ログの書き込みを中止し、画像処理装置２００がシステムを停止するよう制御部２１０に対して信号を送信する。なお、システムの停止を行う代わりに、監査ログ書き込み手段７３０は入出力部６４０に指示し、アラートの発呼を行わせてもよい。
監査ログ書き込み手段７３０は、ログの書き込みを行う際にカウンタ７８０のインクリメントを行う。なお、カウンタ７８０の初期値は０である。書き込みおよびインクリメントを繰り返した結果、カウンタ７８０があらかじめ規定された値Ｎ（Ｎは２以上の自然数であり、この場合５０である）に達すると、ＣＰＵ６１０は、カウンタ７８０を初期値０にリセットし、同時に、ＤｏＳ攻撃検知手段７５０に対し、カウンタ７８０が規定の値Ｎに達した旨の信号を送信する。
【００３０】
ＤｏＳ攻撃検知手段７５０は、カウンタ７８０が規定の値Ｎに達した旨の信号を受信すると、ログファイルに記録された最新のログ５０個について、ＤｏＳ攻撃と疑われるログが存在するか否かを監査する。その詳細を以下に説明する。
図８において、ログ５５０のログが記録され、カウンタ７８０がリセットされた時点を例にとって説明する。ＤｏＳ攻撃検知手段７５０は、カウンタ７８０からの信号を受信し、最新のログ５０個すなわちログ５０１ないしログ５５０についてＤｏＳ攻撃を疑われる監査ログの有無を監査する。前述のようにＤｏＳ攻撃は、短時間に大量のリクエストを特定のデータ通信用ポートに対して送信するものであるから、５０個のログの少なくとも一部に次に述べる（ａ）または（ｂ）のような傾向が見られたとき、それらはＤｏＳ攻撃を疑われるログであると判断する。
（ａ）単位時間あたりのリクエストの数が規定値を超える場合
（ｂ）処理結果に高負荷による障害が規定数を超えて記録されている場合
【００３１】
ここで、図８においてログ“５２３”から“５５０”においては、２００６年９月１日の００時２８分００秒から００時２８分２０秒までの２０秒という短時間の間にｊｐｇ形式の画像を印刷するよう指示する処理要求メッセージを全て異なる要求元から計２８個受信したことが記録されている。また、その際に高負荷による障害が起きた事を示す処理結果が記録されている。ここで（ａ）または（ｂ）の基準に照らし合わせ、ＤｏＳ攻撃検知手段７５０はログ５２３ないしログ５５０はＤｏＳ攻撃を疑われるログであると判断する。ＤｏＳ攻撃検知手段７５０は、ＤｏＳ攻撃を疑われるログであると判断されたログの番号を含む信号を、ログ圧縮手段７６０へ送信する。なお、ＤｏＳ攻撃であると判断する基準は上記（ａ）および（ｂ）に限定されず、他にもＤｏＳ攻撃の性質に照らし合わせて、異なる基準の設定が可能である。また、ここではＮを５０として説明をしたが、５０以外の自然数を用いてもよい。要するに、複数のログを監査し、それらがＤｏＳ攻撃を疑われるログであるか否かについて判断をするのに十分な値であればよい。
【００３２】
ＤｏＳ攻撃検知手段７５０から信号を受信したログ圧縮手段７６０は、ログファイルから該ログを読み出し、そのデータを元にして「差分ログ」を生成する。その生成方法について具体例をとって以下に説明する。新たに生成されたログのログ番号には、“５２３―５５０”のように圧縮するログの始まりの番号と終わりの番号を並べた数字が割り振られる。差分ログの記載内容には、各ログにおいて異なる項目については、それぞれ記載されていたデータが残され、一方各ログに共通する項目は一つにまとめられる。この例においては、要求元識別子は各ログ毎に異なることから、要求元識別子は全てのログにそれぞれ記載されていた要求元識別子が記載され、一方各ログに共通の内容を持つその他の項目については、共通の内容が代表して記載される。なお送信日時については、最も番号が若いログに記載されていた日時すなわちＤｏＳ攻撃の開始された日時が代表して記載される。「累積発生回数」には、差分ログとしてまとめられたログの数が記載される。差分ログは、以上のようにＤｏＳ攻撃を疑われるログに対して事後的に生成される。
【００３３】
ログ削除手段７７０は、ログ圧縮手段７６０がログファイルからＤｏＳ攻撃を疑われるログを読み出した後、それらをログファイルから削除する。
また、ＤｏＳ攻撃検知手段７５０は、ＤｏＳ攻撃を検知すると制御部２１０に対し、ＤｏＳ攻撃が行われたデータ通信ポートを遮断するよう指示する信号を送る。制御部２１０は信号を受信すると、ＤｏＳ攻撃を受信したデータ通信ポートを遮断する。ここで、画像処理装置２００は図示せぬタイマを持つ。制御部２１０が上記データ通信ポートを遮断すると、タイマはその時点から経過した時間のカウントを始める。一定の時間Ｔ１が経過すると、制御部２１０は上記データ通信ポートを開放し、リクエストを再び受信するように待ち構える。
【００３４】
以上が監査ログ生成装置６００の構成である。以上に説明したように、本実施形態に係る監査ログ生成装置６００の構成は、一般的なコンピュータ装置の構成と同一であり、本発明に係る監査ログ生成装置に特徴的な機能はソフトウェアモジュールにより実現されている。
【００３５】
（Ｂ：実施形態の動作）
次いで、本発明に係る監査ログ生成装置６００が行う動作のうち、その特徴を顕著に示している動作について図面を参照して説明する。以下では、まず画像処理装置２００の正常な動作に対するログ記録について、次に画像処理装置２００が受けたＤｏＳ攻撃に対するログ記録について説明する。
【００３６】
（Ｂ−１：正常な動作に対するログ記録）
以下では、本実施形態の実施の一事例として、通信網５００に接続された処理要求装置３００ａから画像処理装置２００に対し画像形成を要求するリクエストが送信された場合に、監査ログ生成装置６００が実行するログ記録処理について説明する。なお、本動作の開始時点では、ＨＤＤ２４０ａにはログデータは１件も記憶されていないものとする。
【００３７】
処理要求装置３００ａには、そのＨＤＤ２４０ａにデータＡ（ｊｐｅｇ形式の画像）が記憶されている。ユーザは、処理要求装置３００ａを適宜操作することによって、データＡの表す画像を形成する旨のリクエストを、画像処理装置２００に送信させることができる。このとき処理要求装置３００ａは、画像形成を命令するコマンド、データＡおよびデータＡの属性に関するデータ（この場合ｊｐｅｇ）、処理要求装置３００ａのＩＰアドレス、リクエストの送信日時とを含んだリクエストを生成し、そのリクエストを画像処理装置２００のデータ通信用ポート６３１へ宛てて送信する。このようにして送信されたリクエストは通信網５００を介して画像処理装置２００の制御部２１０により受信される。
リクエストを受信した制御部２１０は、処理要求装置３００ａから受信したリクエストのうち、コマンド、データＡの属性、処理要求装置３００ａのＩＰアドレス、リクエストの送信日時に関するデータを、システムバス２６０を介して監査ログ生成装置６００のＣＰＵ６１０へ受け渡し、そのデータは一旦ＲＡＭ６３０に記憶される。
【００３８】
図６は、監査事象記録プログラム１０に従って作動しているＣＰＵ６１０が、上記リクエストに関するデータを受取った場合に実行するログ記録処理の流れを示すフローチャートである。
ＲＡＭ６３０に新規のリクエストに関するデータが追加されると（ステップＳＡ１０：Ｙｅｓ）、監査事象検知手段７００は、そのデータの中からコマンドに関するデータを読み出す。このコマンドは監査事象に該当するため、監査事象検知手段７００は、コマンドに関するデータを記録方式選択手段７１０に対して通知する。
【００３９】
記録方式選択手段７１０は、受信したコマンドに関するデータと記録方式選択テーブルの格納内容とを照らし合わせ、そのコマンドに該当する監査事象について生成するログの記録方式を選択し（ステップＳＡ２０）、その選択結果を示す信号をログ生成手段７２０へ送信する。本実施形態では、画像形成処理については簡潔なログとして記録することが記録方式選択テーブル（図５参照）に規定されている。従って記録方式選択手段７１０は、上記ステップＳＡ２０において、簡潔なログを選択する。
ログ生成手段７２０は、ＲＡＭ６３０に記憶されたデータから、簡潔なログに記載する項目、すなわちコマンド（実行ジョブ）の種類、データの属性、要求元識別子、送信日時に関するデータを読取り、それらの項目から成るログデータを生成し（ステップＳＡ３０）、監査ログ書き込み手段７３０へ送信する。
【００４０】
また、空き領域検知手段７４０はＨＤＤ２４０ａの空き領域を検知し、監査ログ書き込み手段７３０に対し通知する。監査ログ書き込み手段７３０は、ログ生成手段７２０から通知されたログデータの容量とＨＤＤ２４０ａの空き領域とを比較し、そのログデータを書き込むに充分な大きさの空き領域がＨＤＤ２４０ａにあるか否か判定する（ステップＳＡ４０）。
【００４１】
ステップＳＡ４０の判定結果が“Ｙｅｓ”である場合、すなわち充分な大きさの空き領域がある場合には、監査ログ書き込み手段７３０はＨＤＤ２４０ａ内にログファイルを生成し、ログ生成手段７２０か受信したログデータをそのログファイルへ書き込む（ステップＳＡ５０）。逆に、ステップＳＡ４０の判定結果が“Ｎｏ”である場合、すなわち充分な大きさの空き領域がない場合には、監査ログ書き込み手段７３０は、システムを停止する旨の指示を制御部２１０へ送信し、画像処理装置２００のシステムを停止させる（ステップＳＡ１２０）。
【００４２】
前述したように、本動作例では、その開始時点においてＨＤＤ２４０ａにはログデータは１件も記憶されていないのであるから、ステップＳＡ４０の判定結果は“Ｙｅｓ”になり、上述したステップＳＡ５０の処理が実行される。ステップＳＡ５０に後続して実行されるステップＳＡ６０においては、監査ログ書き込み手段７３０は、カウンタ７８０をインクリメントする（ステップＳＡ６０）。
インクリメントによりカウンタ７８０のカウントが規定の値Ｎ（この場合５０）に達した場合（ステップＳＡ７０：Ｙｅｓ）、ＣＰＵ６１０は、カウンタ７８０を初期値“０”にリセットし（ステップＳＡ８０）、差分ログ生成処理を実行する（ステップＳＡ９０）。なお、この差分ログ生成処理については後に詳細に説明する。一方、ステップＳＡ６０にてインクリメントされたカウンタ７８０の値が上記規定の値Ｎに達していない場合（ステップＳＡ７０：Ｎｏ）は、ＣＰＵ６１０は、ステップＳＡ８０およびＳＡ９０の処理を行うことなく、後述するステップＳＡ１００の処理を実行する。
【００４３】
画像処理装置２００の制御部２１０は、この段階で初めて、処理要求装置３００ａから受信したリクエストに応じた処理（本動作例では、画像形成）を行い（ステップＳＡ１００）、その処理結果を上記書き込み済みのログに追記する（ステップＳＡ１１０）。例えば、画像形成を試みた結果、支障なく印刷が完了した場合には、制御部２１０は、書き込み済みのログに、支障なく処理が完了したことを示す番号“２００”を追記する。逆に、処理の過程で何らかのエラーが発生した場合には、制御部２１０は、そのエラーを別途設けられた手段により解析し、解析の結果明らかになったエラーの内容を追記する。
以降、処理要求装置３００ａからリクエストが送信されてくる度に、図６に示すログ記録処理が実行される結果、ＨＤＤ２４０ａには、例えば、図８に示すようなログファイルが記録されることになる。
【００４４】
（Ｂ−２：ＤｏＳ攻撃に対するログ記録）
次に、本実施形態の実施の好適事例として、画像処理装置２００がＤｏＳ攻撃を受けた場合を例にとって、監査ログ生成装置６００の動作を説明する。
図７は、図６のステップＳＡ９０にて実行される差分ログの生成処理”の流れを詳細に示すフローチャートである。ＤｏＳ攻撃検知手段７５０は、リセットされたカウンタ７８０から送信された信号を受信すると、ログファイルに記憶されている最新の５０個のログ（図８：ログ５０１ないし５５０）について、それらにＤｏＳ攻撃を疑われるログが含まれているか否かを判定する（ステップＳＡ９１０）。
【００４５】
ステップＳＡ９１０の判定結果が“Ｙｅｓ”である場合（すなわち、Ｄｏｓ攻撃を疑われるログが含まれていると判定した場合）には、ＣＰＵ６１０は、図７のステップＳＡ９２０からＳＡ９８０までの処理を実行し、本差分ログ生成処理を終了する。逆に、ステップＳＡ９１０の判定結果が“Ｎｏ”である場合には、ＣＰＵ６１０は、上記ステップＳＡ９２０からＳＡ９８０までの処理を実行することなく、本差分ログ生成処理を終了する。
本動作例では、図８に示すログ５０１からログ５５０までの５０個のログのうち、ログ５２３ないし５５０が前述した基準（ａ）または（ｂ）に該当する場合（すなわち、これら２８個のログについてＤｏＳ攻撃が疑われる場合）について説明する。このように、上記５０個のログには、Ｄｏｓ攻撃が疑われるログが含まれているのであるから、本動作例では、ステップＳＡ９１０の判定結果は“Ｙｅｓ”になり、ステップＳＡ９２０からＳＡ９８０までの処理が実行される。
【００４６】
ステップＳＡ９１０の判定結果が“Ｙｅｓ”である場合に後続して実行されるステップＳＡ９２０においては、ＤｏＳ攻撃検知手段７５０は、制御部２１０に対して、ログ５２３ないし５５０に係るリクエストを受信したデータ通信用ポート（この場合６３１）を一時的に遮断するよう指示する。
【００４７】
次いで、ＣＰＵ６１０は、タイマによる計時を開始し（ステップＳＡ９３０）、ＤｏＳ攻撃を疑われるログの番号（この場合５２３から５５０）に関するデータをログ圧縮手段７６０へ送る。
ＤｏＳ攻撃を疑われるログの番号に関するデータを受信したログ圧縮手段７６０は、該当するログを圧縮する（ステップＳＡ９４０）。具体的には、ログ圧縮手段は、ログファイルから該ログを読み出し、そのデータから前述の手順にしたがって差分ログデータを生成し、監査ログ書き込み手段７３０へ送信する。この差分ログは、監査ログ書き込み手段７３０によってログファイルへ書き込まれ（ステップＳＡ９５０）、圧縮前のログ（すなわち、図８のログ５２３ないし５５０）はログ削除手段によってログファイルから削除される（ステップＳＡ９６０）。なお、本動作例では、差分ログの書き込みを行った後にその圧縮前のログを削除する場合について説明したが、圧縮前のログの削除を行った後に、差分ログの書き込みを行うとしても勿論良い。
【００４８】
以降、ステップＳＡ９２０にて制御部２１０により遮断されたデータ通信用ポート６３１は、上記タイマにより計時された時間が予め決められた時間Ｔ１に達した時点で（ステップＳＡ９７０：Ｙｅｓ）、制御部２１０によって開放される（ステップＳＡ９８０）。
以上に説明した動作が為される結果、Ｄｏｓ攻撃を疑われるログについては、差分ログに集約されるので、そのＤｏｓ攻撃の攻撃元通信アドレスなどの重要な情報を保持しつつ限りある記憶領域を有効に利用することが可能になる。
【００４９】
（Ｃ：変形例）
以上、本発明の１実施形態について説明したが、かかる実施形態に以下に述べるような変形を加えても良いことは勿論である。
【００５０】
（１）上記実施例においては、監査ログ生成装置は画像処理装置に対して設けられていたが、設置対象はもちろん画像処理装置に限定されず、さまざまな電子機器に対して設置することができる。
（２）上記実施例においては、本発明に係る画像処理装置に特徴的な機能をソフトウェアモジュールで実現する場合について説明したが、上記各機能を担っているハードウェアモジュールを組み合わせて本発明に係る監査ログ生成装置を構成するようにしても良いことは勿論である。
【００５１】
（３）上記実施例においては、記録方式選択手段７１０は、処理要求装置３００ａまたは画像処理装置２００のＵＩ部２５０から受信したリクエストに含まれるコマンドによって監査ログの記録方式を選択した。しかし、監査ログとして記録すべき事象には、コマンドに対応付けられないものも存在する。上述したＤｏＳ攻撃はその一例である。したがって実施例に示した事象以外にも、以下に挙げるような場合などにログを作成してもよい。ユーザが認証エラーを連続して行った場合、ユーザが大量の画像読取・画像形成・画像転送を行った場合、画像処理装置２００にインストールされたウイルス等の検知プログラムがウイルスを検知した場合、画像処理装置２００に対してポートスキャンや認証チャレンジなどの疑わしいネットアクセスがあったりした場合などである。以上は、図５に示した記録方式選択テーブルと合わせることにより、図９に示したテーブルにまとめられる。
【００５２】
（４）上記実施例においては、ＬＡＮ（Ｌｏｃａｌ  ａｒｅａ  ｎｅｔｗｏｒｋ）に接続された処理要求装置３００ａから、通信網５００を介して画像処理装置２００に対しリクエストが送信された場合などについて説明をしたが、インターネットなどの外部ネットワーク４００上に接続された処理要求装置３００ｂからのリクエストやアクセスについても処理要求装置３００ａからのリクエストやアクセスと同様に対応することができる。
【図面の簡単な説明】
【００５３】
【図１】本実施形態に係る監査ログ生成装置を有する画像処理装置が接続された情報処理システムの構成を示した図である。
【図２】本実施形態に係る監査ログ生成装置を有する画像処理装置のハードウェア構成を示した図である。
【図３】監査ログ生成装置の構成を示した図である。
【図４】監査ログ生成装置の機能構成を示したブロック図である。
【図５】監査事象に応じた監査ログの記録方式を示した記録方式選択テーブルである。
【図６】監査ログ生成装置による監査事象のログ記録処理過程を示したフローチャートである。
【図７】監査ログ生成装置によるＤｏＳ攻撃の差分ログの生成過程を示したフローチャートである。
【図８】監査ログ生成装置が生成した監査ログの内容である。
【図９】監査事象に応じた監査ログの記録方式をまとめたテーブルである。
【符号の説明】
【００５４】
１０…監査事象記録プログラム、１００…情報処理システム、２００…画像処理装置、２１０…制御部、２２０…通信ＩＦ部、２３０…情報処理部、２４０…記憶部、２５０…ＵＩ部、２６０…システムバス、３００ａ、３００ｂ…処理要求装置、４００…外部ネットワーク、５００…通信網、６００…監査ログ生成装置、６１０…ＣＰＵ、６２０…ＲＯＭ、６３０…ＲＡＭ、６４０…入出力部、６５０…バス、７００…監査事象検知手段、７１０…記録方式選択手段、７２０…ログ生成手段、７３０…監査ログ書き込み手段、７４０…空き領域検知手段、７５０…ＤｏＳ攻撃検知手段、７６０…ログ圧縮手段、７７０…ログ削除手段、７８０…カウンタ
【図１】
2008003862.tif 000003
【図２】
2008003862.tif 000004
【図３】
2008003862.tif 000005
【図４】
2008003862.tif 000006
【図５】
2008003862.tif 000007
【図６】
2008003862.tif 000008
【図７】
2008003862.tif 000009
【図８】
2008003862.tif 000010
【図９】
2008003862.tif 000011