(57)【要約】【課題】不正アクセス痕跡情報を侵入者に知られることなく確実に採取する。【解決手段】ネットワークから論理的に接続できないように設定されたホストＯＳ１１上で、ネットワークから論理的に接続できるように設定されたゲストＯＳ１２を動作させ、ゲストＯＳ１２上では、不正アクセスのログをゲストＯＳ１２が管理するログ記録部１５またはホストＯＳ１１が管理するログ記録部１６に出力するログ出力プロセス１４と、ログ出力プロセス１４の停止要求に応じて、ログ出力プロセス１４がログをログ記録部１６に出力しログ記録部１５に出力しないよう制御するカーネル１３とを動作させる。また、カーネル１３は、侵入者から入力されたコマンド情報や、侵入者が設置しようとした外部データも、ホストＯＳ１１に受け渡す。【選択図】        図２
2005025517.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークから論理的に接続できないように設定された実オペレーティングシステム上で、ネットワークから論理的に接続できるように設定された仮想オペレーティングシステムを動作させる手段と、
前記仮想オペレーティングシステムに対する不正アクセスについての追跡調査を行うための不正アクセス痕跡情報を前記実オペレーティングシステムに受け渡す保全手段と
を備えたことを特徴とする不正アクセス痕跡情報保全装置。
【請求項２】
前記保全手段による不正アクセス痕跡情報の前記実オペレーティングシステムへの受け渡しの前兆となる事象が発生した際に、当該事象が発生した旨の情報を予め定められた通知先に通知する手段を更に備えたことを特徴とする請求項１記載の不正アクセス痕跡情報保全装置。
【請求項３】
前記仮想オペレーティングシステムに、前記実オペレーティングシステムからログインするためのインターフェースを備えたことを特徴とする請求項１記載の不正アクセス痕跡情報保全装置。
【請求項４】
ネットワークから論理的に接続できないように設定された実オペレーティングシステム上で、ネットワークから論理的に接続できるように設定された仮想オペレーティングシステムを動作させる手段と、
前記仮想オペレーティングシステムに対する不正アクセスのログを前記実オペレーティングシステムが管理する第１のログ記録部または前記仮想オペレーティングシステムが管理する第２のログ記録部に出力するログ出力手段と、
前記ログ出力手段の停止要求に応じて、前記ログ出力手段が前記ログを前記第１のログ記録部に出力し前記第２のログ記録部に出力しないよう、制御する制御手段と
を備えたことを特徴とする不正アクセス痕跡情報保全装置。
【請求項５】
前記制御手段は、前記ログ出力手段の停止要求に応じて、前記ログ出力手段を不可視化することを特徴とする請求項４記載の不正アクセス痕跡情報保全装置。
【請求項６】
前記制御手段は、前記ログ出力手段の停止要求に対して、前記ログ出力手段が停止した旨を応答することを特徴とする請求項４記載の不正アクセス痕跡情報保全装置。
【請求項７】
ネットワークから論理的に接続できないように設定された実オペレーティングシステム上で、ネットワークから論理的に接続できるように設定された仮想オペレーティングシステムを動作させる手段と、
前記仮想オペレーティングシステムに入力されたコマンド情報に基づく所定の処理を行うと共に、当該コマンド情報を前記実オペレーティングシステムに受け渡す手段と
を備えたことを特徴とする不正アクセス痕跡情報保全装置。
【請求項８】
ネットワークから論理的に接続できないように設定された実オペレーティングシステム上で、ネットワークから論理的に接続できるように設定された仮想オペレーティングシステムを動作させる手段と、
前記仮想オペレーティングシステムが管理する第１の記憶装置への外部データの保存要求に応じて、当該第１の記憶装置に当該外部データを保存すると共に、前記実オペレーティングシステムが管理する第２の記憶装置に当該外部データを保存する手段と
を備えたことを特徴とする不正アクセス痕跡情報保全装置。
【請求項９】
ネットワークから論理的に接続不可能な実オペレーティングシステム上で、ネットワークから論理的に接続可能な仮想オペレーティングシステムを動作させるステップと、
前記仮想オペレーティングシステムに対する不正アクセスについての追跡調査を行うための不正アクセス痕跡情報を収集するステップと、
収集された前記不正アクセス痕跡情報を前記実オペレーティングシステムに受け渡すステップと
を含むことを特徴とする不正アクセス痕跡情報保全方法。
【請求項１０】
ネットワークから論理的に接続不可能な実オペレーティングシステム上で、ネットワークから論理的に接続可能な仮想オペレーティングシステムが動作するコンピュータ装置に、
前記仮想オペレーティングシステムに対する不正アクセスについての追跡調査を行うための不正アクセス痕跡情報を収集する機能と、
収集された前記不正アクセス痕跡情報を前記実オペレーティングシステムに受け渡す機能と
を実現させるためのプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、コンピュータ装置への不正アクセスについての追跡調査を行うための情報（以下、「不正アクセス痕跡情報」という）を採取するための不正アクセス痕跡情報保全装置等に関する。
【０００２】
【従来の技術】
近年、インターネットのビジネス利用の浸透により、多くの企業および組織がサーバコンピュータを公開し、不特定多数のユーザに向けて情報を発信し、また、電子商取引に代表されるようなサービスを提供するようになっている。しかし、サーバコンピュータの中には、セキュリティ対策が不十分なものも存在し、そのようなサーバコンピュータが悪意ある人間の標的となり、侵入されてしまったという事例も後を絶たない。
かかる権限なき者のサーバコンピュータへの侵入、即ち、不正アクセスを許してしまうと、重要なファイルを閲覧、削除、改竄されたり、バックドアやワームが仕掛けられ、そのコンピュータを踏み台に他のサーバコンピュータへの侵入が企てられたりする等、被害が拡大する可能性がある。従って、サーバコンピュータの管理者には、不正アクセスされた場合、その事後対応を早急に行うことが求められる。
【０００３】
このようなコンピュータ装置への不正アクセスに対する事後対応のために、従来は、できるだけ多くの不正アクセス痕跡情報を採取するための工夫がなされていた（例えば、特許文献１参照。）。
【０００４】
【特許文献１】
特開２００２−３２８８９７号公報（第３−４頁、第３図）
【０００５】
【発明が解決しようとする課題】
しかしながら、特許文献１を始めとした従来技術においては、不正アクセス痕跡情報を採取していることを侵入者から見えないようにする工夫がなされているわけではなかったので、侵入者がその採取処理自体に対して何らかの操作を行い、侵入の痕跡が分からないように採取結果を変えてしまうことも可能であった。例えば、一般に、侵入者は、侵入後に自己の侵入の痕跡であるログを消去しようとする。従来技術においては、かかるログの消去が簡単に行えてしまうので、侵入者の足取りが追えず、サービスにどのような修正が加えられたかが不明になる等、事後対応の混迷化が発生してしまうという問題点があった。
【０００６】
本発明は、以上のような技術的課題を解決するためになされたものであって、その目的は、不正アクセス痕跡情報を侵入者に知られることなく確実に採取することにある。
他の目的は、侵入者にはログ出力プロセスの停止が成功したと思わせた上で、不正アクセスのログを確実に採取することにある。
更に他の目的は、侵入者から送られたデータや、侵入者が外部から持ち込んだデータ（以下、「外部データ」という）も、侵入者に知られることなく確実に採取することにある。
【０００７】
【課題を解決するための手段】
かかる目的のもと、本発明は、サーバをゲストＯＳ上に構築し、このゲストＯＳの基となるホストＯＳにおいて不正アクセス痕跡情報を採取するようにしている。即ち、本発明の不正アクセス痕跡情報保全装置は、ネットワークから論理的に接続できないように設定された実オペレーティングシステム上で、ネットワークから論理的に接続できるように設定された仮想オペレーティングシステムを動作させる手段と、仮想オペレーティングシステムに対する不正アクセスについての追跡調査を行うための不正アクセス痕跡情報を実オペレーティングシステムに受け渡す保全手段とを備えている。
【０００８】
他の観点から捉えると、本発明の不正アクセス痕跡情報保全方法は、ネットワークから論理的に接続不可能な実オペレーティングシステム上で、ネットワークから論理的に接続可能な仮想オペレーティングシステムを動作させるステップと、仮想オペレーティングシステムに対する不正アクセスについての追跡調査を行うための不正アクセス痕跡情報を収集するステップと、収集された不正アクセス痕跡情報を実オペレーティングシステムに受け渡すステップとを含んでいる。
【０００９】
一方、本発明は、コンピュータ装置に所定の機能を実現させるためのプログラムとして把握することもできる。即ち、本発明のプログラムは、ネットワークから論理的に接続不可能な実オペレーティングシステム上で、ネットワークから論理的に接続可能な仮想オペレーティングシステムが動作するコンピュータ装置に、仮想オペレーティングシステムに対する不正アクセスについての追跡調査を行うための不正アクセス痕跡情報を収集する機能と、収集された不正アクセス痕跡情報を実オペレーティングシステムに受け渡す機能とを実現させるためのものである。
【００１０】
【発明の実施の形態】
以下、添付図面に示す実施の形態に基づいて本発明を詳細に説明する。
図１は、本実施の形態が適用されるコンピュータシステムの構成を示した図である。このコンピュータシステムは、本発明の不正アクセス痕跡情報保全装置１０と、利用者端末２１〜２ｎとが、コンピュータネットワーク３０を介して接続することにより構成されている。
【００１１】
不正アクセス痕跡情報保全装置１０は、コンピュータネットワーク３０を介して情報発信またはサービス提供を行うサーバコンピュータに対し、本発明の不正アクセス痕跡情報の保全機能を設けたものである。具体的なハードウェア構成は、通常のサーバコンピュータと同様であり、中央処理装置（ＣＰＵ）、主記憶装置、外部記憶装置（例えば、磁気ディスク装置）、通信制御装置等を有している。
【００１２】
利用者端末２１〜２ｎは、不正アクセス痕跡情報保全装置１０が発信する情報を受信し、または、不正アクセス痕跡情報保全装置１０が提供するサービスを受ける端末である。例えば、パーソナルコンピュータ、ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｃｅ）、携帯電話等の情報端末によって実現される。具体的なハードウェア構成は、通常の情報端末と同様であり、中央処理装置（ＣＰＵ）、主記憶装置、外部記憶装置（例えば、磁気ディスク装置）、通信制御装置等を有している。
また、コンピュータネットワーク３０としては、インターネットが例示される。
【００１３】
次に、本実施の形態における不正アクセス痕跡情報保全装置１０のソフトウェア構成について説明する。
本実施の形態では、図２に示すように、不正アクセス痕跡情報保全装置１０において、実オペレーティングシステム（以下、「ホストＯＳ」という）１１上で、仮想オペレーティングシステム（以下、「ゲストＯＳ」）１２を動作させる。そして、このゲストＯＳ１２上に、不特定多数のユーザへの情報発信またはサービス提供を行うシステム（サーバ）を構築する。なお、このようなゲストＯＳ１２によるサーバの構築は、既存ソフトウェアにより可能である。
【００１４】
また、本実施の形態では、ゲストＯＳ１２に対してのみネットワーク３０から論理的にアクセスできるように設定され、ホストＯＳ１１へはネットワーク３０から論理的にアクセスできないような設定がされている。なお、このような設定についても、既存ソフトウェアを用いることで可能である。
【００１５】
更に、ゲストＯＳ１２上では、ＯＳの中心となる部分であるカーネル１３と、ログを出力するためのログ出力プロセス１４とが動作する。もちろん、通常のオペレーティングシステムで動作する他のプロセスも動作可能であるが、本実施の形態には関係しないので省略してある。また、不正アクセス痕跡情報保全装置１０には、ゲストＯＳ１２が管理するログ記録部１５と、ホストＯＳ１１が管理するログ記録部１６とが存在する。実際は、不正アクセス痕跡情報保全装置１０が有する補助記憶装置が、ゲストＯＳ１２が管理する領域と、ホストＯＳ１１が管理する領域とに分けられ使用されることになるが、図２では、便宜上、各ログ記録部を対応するオペレーティングシステム内に図示している。
【００１６】
カーネル１３には、ログ出力プロセス１４を停止したと見せかけてログ記録部１６にログを出力する機能、侵入者がゲストＯＳ１２に対しキー入力したコマンド情報をホストＯＳ１１に受け渡す機能、および、侵入者が外部ネットワークからダウンロードしてゲストＯＳ１２に設置しようとした外部データをホストＯＳ１１に受け渡す機能を実現するためのモジュールが実装されている。なお、このようなモジュールが、プロセスとしてユーザ空間またはデバイスドライバ等のカーネル空間で動作していることは、一般のユーザには見えないように設定しておく。また、ゲストＯＳ１２からホストＯＳ１１へデータを渡すためのパイプラインも、一般のユーザからは見えないように設定しておく。
【００１７】
ログ出力プロセス１４は、通常は、ログ記録部１５とログ記録部１６の両方にログを出力するが、ログ記録部１６のみにログを出力するようカーネル１３から指示されると、その指示に従い、ログ記録部１６のみにログを出力する。
【００１８】
次に、以上のようなハードウェア構成およびソフトウェア構成を有する不正アクセス痕跡情報保全装置１０の動作について詳細に説明する。なお、以下では、不正アクセス痕跡情報として、不正アクセスのログ、侵入者がキー入力したコマンド情報、侵入者が外部から持ち込んだ外部データを例として説明するが、本実施の形態は、これらに限らず、いかなる不正アクセス痕跡情報についても適用可能である。
（第１の実施例）
第１の実施例は、ログ出力プロセス１４が出力するログを侵入者に知られることなく確実に採取するための実施例である。
図３に、第１の実施例の動作の流れを示す。
【００１９】
ログ出力プロセス１４は、不正アクセスがされていない状態においては、何らかのイベントが発生するごとに、ゲストＯＳ１２が管理するログ記録部１５と、ホストＯＳ１１が管理するログ記録部１６との両方にログを出力している。
即ち、ログデータを取得し（ステップ１０５）、カーネル１３から出力先の指定がないので（ステップ１０６でＮＯ）、ログ記録部１５とログ記録部１６とにログを出力する（ステップ１０８）。そして、ログデータがあるかどうか判断し（ステップ１０９）、ログデータがあれば、ステップ１０５へ戻り、ログデータがなければ、処理を終了する。
【００２０】
ここで、侵入者がログ出力プロセス１４の停止を要求したとする。一般に、侵入者は、侵入後に自己の侵入の痕跡であるログを消去する。しかし、ログを消去した後に更に不正な行為を行うと、その行為の痕跡が再びログとして記録されてしまうため、まず、痕跡が残らない状態にするために、侵入者は、ログ出力プロセス１４を停止するという操作を行う場合があるのである。カーネル１３は、停止要求があったかどうか判断し（ステップ１０１）、停止要求がなければ、ステップ１０１の判断を繰り返し、停止要求があれば、ログ出力プロセス１４に対し、ホストＯＳ１１が管理するログ記録部１６を出力先とするよう指示を出す（ステップ１０２）。そして、カーネル１３は、ログ出力プロセス１４を不可視化し（ステップ１０３）、ログ出力プロセス１４が停止した旨の応答を侵入者に対して行う（ステップ１０４）。
【００２１】
ところが、本実施例においては、実際には、ログ出力プロセス１４は停止しておらず、侵入者が感知できない出力先であるログ記録部１６に対してログの出力を継続している。即ち、ログ出力プロセス１４は、ログデータを取得し（ステップ１０５）、カーネル１３から出力先の指定があるので（ステップ１０６でＹＥＳ）、ホストＯＳ１１が管理するログ記録部１６のみにログを出力する（ステップ１０７）。そして、ログデータがあるかどうか判断し（ステップ１０９）、ログデータがあれば、ステップ１０５へ戻り、ログデータがなければ、処理を終了する。
【００２２】
なお、本実施例では、カーネル１３から出力先の指定がない場合、ログ出力プロセス１４は、ゲストＯＳ１２が管理するログ記録部１５とホストＯＳ１１が管理するログ記録部１６との両方にログを出力するようにしたが、ゲストＯＳ１２が管理するログ記録部１５のみにログを出力することとしてもよい。
また、上記では、ログ出力プロセス１４を、指定された出力先にログを出力する機能を有するプロセスと位置づけ、カーネル１３はログ出力プロセス１４に対してログ記録部１６を出力先とするよう指示するという構成にした。しかし、カーネル１３が、ログ出力プロセス１４に対し、プロセスの停止要求があった旨の情報を伝え、ログ出力プロセス１４がこの情報を受け取るとログ記録部１６を出力先とするという構成にしてもよい。
【００２３】
次に、ステップ１０３におけるプロセスの不可視化について説明する。プロセスの不可視化とは、例えば、ユーザからの実行中プロセス一覧の表示要求に対し、そのプロセスの情報を表示しないような設定（以下、「不可視設定」という）を行うことをいう。即ち、ログ出力プロセス１４に対して不可視設定を行うことにより、カーネル１３は、ユーザから要求があっても、ログ出力プロセス１４を実行中プロセスとして表示しないので、ユーザに対し、あたかもログ出力プロセス１４が実行されていないかのように見せることができる。
【００２４】
この場合の処理について、図４を参照しながら説明する。
カーネル１３は、ユーザから実行中プロセス一覧の表示要求を受信し（ステップ１１１）、自身が管理する全プロセスの情報の中から１つのプロセスの情報を読み出す（ステップ１１２）。そして、そのプロセスに対し不可視設定が行われているかどうか判断し（ステップ１１３）、不可視設定が行われていなければ、そのプロセスの情報を表示し（ステップ１１４）、その後、次のプロセスがあるかどうか判断する（ステップ１１５）。
一方、不可視設定が行われていれば、そのプロセスの情報を表示することなく、次のプロセスがあるかどうか判断する（ステップ１１５）。
そして、次のプロセスがあれば、ステップ１１２に戻り、次のプロセスがなければ、処理を終了する。
【００２５】
第１の実施例は、以上のような構成により、ログ出力プロセス１４を停止して不正アクセスを行おうとする侵入者に対し、ログ出力プロセス１４の停止が成功したと思わせておいて、侵入者の感知できないホストＯＳ１１にて不正アクセスのログを確実に採取できるという効果を有している。
【００２６】
（第２の実施例）
第２の実施例は、侵入者がゲストＯＳ１２に対して送信するデータを侵入者に知られることなく確実に採取するための実施例である。なお、ゲストＯＳ１２に対して送信されるデータとしては、侵入者がキー入力したコマンド情報が例示されるので、以下では、かかるコマンド情報を例として説明する。但し、侵入者が送信する全てのデータを収集の対象としてもよい。また、侵入者が受信する特定のデータまたは全てのデータを収集の対象としてもよい。
図５に、第２の実施例の動作の流れを示す。
【００２７】
カーネル１３は、侵入者から送られてくるコマンド情報を取得する（ステップ２０１）。例えば、侵入者からシェルに渡される文字列を全て取得する。そして、カーネル１３は、取得したコマンド情報をホストＯＳ１１に受け渡し（ステップ２０２）、コマンド情報に基づく処理を行う（ステップ２０３）。
【００２８】
なお、ステップ２０２において、コマンド情報には、そのコマンド情報が入力された時刻としてシステム時刻が付加される。これにより、ホストＯＳ１１側で、例えば、図７に示すような画面を用いて、侵入者から送られてくるコマンド情報をモニターすることも可能である。図７では、記号「｜」が、フィールドの区切りを表しており、フィールドは、左から順に、ホストＯＳ１１上の時刻、ゲストＯＳ１２上の時刻、プロセスＩＤ、ユーザＩＤ、プロセス名、ファイルディスクリプタ番号、端末名、入力文字列のタイプ、キー入力された文字列の長さ、キー入力された文字列を示している。
【００２９】
第２の実施例は、以上のような構成により、侵入者から送られたデータを侵入者に知られることなく確実に採取できるという効果を有している。
【００３０】
（第３の実施例）
第３の実施例は、侵入者が外部から持ち込んだ外部データを侵入者に知られることなく確実に採取するための実施例である。なお、外部データを持ち込むとは、例えば、侵入者が外部ネットワークからバイナリデータ（例えば、プログラム）またはテキストデータをダウンロードし、ゲストＯＳ１２が管理する記憶装置内に設置するような行為を指す。
図６に、第３の実施例の動作の流れを示す。
【００３１】
カーネル１３は、侵入者が外部データを設置しようとしていることを検出する（ステップ３０１）。そして、カーネル１３は、その外部データをホストＯＳ１１に受け渡し（ステップ３０２）、外部データを保存する（ステップ３０３）。
【００３２】
第３の実施例は、以上のような構成により、侵入者が外部から持ち込んだ外部データを侵入者に知られることなく確実に採取できるという効果を有している。
【００３３】
（第４の実施例）
第４の実施例は、第１〜３の実施例に対する付加機能である。即ち、第１〜３の実施例において、ゲストＯＳ１２からホストＯＳ１１への情報の保全（受け渡し）の前兆となるアクティビティが発生した場合に、そのことを、システム管理者が所有するパーソナルコンピュータ、ＰＤＡ、携帯電話、ポケットベル等の装置に通知するものである。通知手段としては、例えば、電子メールを用いることができる。なお、通知先の情報（通知先の装置を特定するための情報、電子メールアドレス等）は、不正アクセス痕跡情報保全装置１０内に予め定義しておけばよい。
【００３４】
例えば、第２の実施例で述べたようなコマンド情報の保全の前兆となるアクティビティとしては、シェルの呼び出しが挙げられる。また、第３の実施例で述べたような外部データの保全の前兆となるアクティビティとしては、ポートの開閉が挙げられる。外部データをダウンロードして設置するためには、まずは、ポートを開き、そこへ外部データがダウンロードされて来るからである。また、アクティビティとしては、重要ファイル（パスワードファイル等）へのアクセスも挙げられる。
【００３５】
第４の実施例は、以上のように、ゲストＯＳ１２からホストＯＳ１１への情報の保全をその前兆が発生した時点でシステム管理者に通知することにより、保全された情報による不正アクセスの追跡調査を早急に開始することが可能になるという効果を有している。
【００３６】
（第５の実施例）
第５の実施例も、第１〜３の実施例に対する付加機能である。即ち、第１〜３の実施例であっても、ゲストＯＳ１２上に構築されるサーバのパスワードファイルに記述されたシステム管理者のパスワードが書き換えられてしまい、正規のシステム管理者がサーバにログインできないという事態は起こり得る。本実施例では、このような事態に備え、ゲストＯＳ１２に、ホストＯＳ１１からの通信のみを受け付けるインターフェースを設ける。つまり、ホストＯＳ１１にログインする権限を有するシステム管理者は、パスワードを入力することなく、ゲストＯＳ１２上のサーバにログインできるようにする。侵入者には、ゲストＯＳ１２しか見えていないので、ゲストＯＳ１２とホストＯＳ１１との間のこのようなインターフェースが侵入者から見えることはない。
【００３７】
第５の実施例は、以上のような構成により、ゲストＯＳ１２上のサーバにおけるシステム管理者のパスワードが書き換えられたとしても、ホストＯＳ１１からログインすることが可能になるという効果を有している。
【００３８】
なお、本実施例で設けるインターフェースで受け付けることができる通信は、ホストＯＳ１１からのものに限定せずに、ネットワーク全体からのものとすることもできる。その場合は、カーネル１３に、特定のパケットを受け取った時にシェルへのインターフェースを提供するための通信を確立する機能を組み込んでおく。または、カーネル１３に、特定のパケットを受け取った時にシステム管理者のパスワードをリセットする機能を組み込んでおいてもよい。これにより、パスワードを書き換えられたシステム管理者は、ネットワーク上の任意のコンピュータからこの特定のパケットをカーネル１３に送り込むことにより、パスワードを入力することなく、サーバにログインすることができる。
更には、パスワードファイルに記述されていない復旧用のユーザアカウント（ユーザＩＤおよびパスワード）をカーネル１３に組み込んでおくことにより、そのユーザＩＤおよびパスワードでログインすることを可能にする構成を採ることもできる。
【００３９】
【発明の効果】
このように、本発明によれば、不正アクセス痕跡情報を侵入者に知られることなく確実に採取することが可能となる。
【図面の簡単な説明】
【図１】本実施の形態が適用されるコンピュータシステムの全体構成を示したブロック図である。
【図２】本実施の形態の不正アクセス痕跡情報保全装置のソフトウェア構成を示した図である。
【図３】本実施の形態における第１の実施例の処理動作を示したフローチャートである。
【図４】本実施の形態における第１の実施例のプロセスの不可視化について説明するためのフローチャートである。
【図５】本実施の形態における第２の実施例の処理動作を示したフローチャートである。
【図６】本実施の形態における第３の実施例の処理動作を示したフローチャートである。
【図７】本実施の形態の第２の実施例による画面出力例を示した図である。
【符号の説明】
１０…不正アクセス痕跡情報保全装置、１１…ホストＯＳ、１２…ゲストＯＳ、１３…カーネル、１４…ログ出力プロセス、１５，１６…ログ記録部
【図１】
2005025517.tif 000003
【図２】
2005025517.tif 000004
【図３】
2005025517.tif 000005
【図４】
2005025517.tif 000006
【図５】
2005025517.tif 000007
【図６】
2005025517.tif 000008
【図７】
2005025517.tif 000009