(57)【要約】【課題】サーバの管理者権限が漏洩した場合でも監査証跡の取得を行うことができるサーバ監視プログラム、サーバ監視装置、サーバ監視方法を提供する。【解決手段】クライアントマシン２とサーバマシン１の間に接続されたＡＴＰ３のコンピュータに実行させるサーバ監視プログラムであって、クライアントマシン２とサーバマシン１の間の中継を行い、該中継に関する情報を中継情報管理テーブル３２で管理する中継ステップと、ＡＴＰ３とサーバマシン１との通信に基づいてサーバマシン１が異常であるか否かを判断し、サーバマシン１が異常であると判断した場合、サーバマシン１に対する中継に対応する中継情報管理テーブル３２に含まれる情報を中継ログ３３に記録するサーバ状態監視ステップとをコンピュータに実行させる。【選択図】図１
2007183773.tif 000002
【特許請求の範囲】
【請求項１】
クライアントとサーバの間に接続されたサーバ監視装置のコンピュータに実行させるサーバ監視プログラムであって、
前記クライアントと前記サーバの間の中継を行い、該中継に関する情報を中継情報として管理する中継ステップと、
前記サーバ監視装置と前記サーバとの通信に基づいて前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、前記サーバに対する中継に対応する中継情報に含まれる情報をログに記録するサーバ状態監視ステップと
をコンピュータに実行させるサーバ監視プログラム。
【請求項２】
請求項１に記載のサーバ監視プログラムにおいて、
前記サーバ状態監視ステップは、前記サーバの正常時の通知であるサーバ正常通知を、前記サーバ監視装置が受信できなかった場合、前記サーバが異常であると判断することを特徴とするサーバ監視プログラム。
【請求項３】
請求項２に記載のサーバ監視プログラムにおいて、
前記サーバ正常通知は、前記サーバから所定のタイミングで前記サーバ監視装置へ送信され、
前記サーバ状態監視ステップは、所定の期間、前記サーバ監視装置が前記サーバ正常通知を受信できなかった場合、前記サーバが異常であると判断することを特徴とするサーバ監視プログラム。
【請求項４】
請求項１乃至請求項３のいずれかに記載のサーバ監視プログラムにおいて、
前記サーバ状態監視ステップは、前記サーバ監視装置が前記サーバが異常であることを示すサーバ異常通知を受信した場合、前記サーバが異常であると判断し、前記サーバ異常通知に含まれる情報を、中継情報と対応付けてログに記録することを特徴とするサーバ監視プログラム。
【請求項５】
請求項１乃至請求項４のいずれかに記載のサーバ監視プログラムにおいて、
前記サーバ状態監視ステップは、前記サーバが異常であると判断した場合、更に、前記サーバに対する中継を終了させることを特徴とするサーバ監視プログラム。
【請求項６】
クライアントとサーバの間に接続されたサーバ監視装置であって、
前記クライアントと前記サーバの間の中継を行い、該中継に関する情報を中継情報として管理する中継部と、
前記サーバ監視装置と前記サーバとの通信に基づいて前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、前記サーバに対する中継に対応する中継情報に含まれる情報をログに記録するサーバ状態監視部と
を備えるサーバ監視装置。
【請求項７】
クライアントとサーバの間に接続されたサーバ監視装置を用いるサーバ監視方法であって、
前記サーバ監視装置において、前記クライアントと前記サーバの間の中継を行い、該中継に関する情報を中継情報として管理する中継ステップと、
前記サーバ監視装置において、前記サーバとの通信に基づいて前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、前記サーバに対する中継に対応する中継情報に含まれる情報をログに記録するサーバ状態監視ステップと
を実行するサーバ監視方法。
【請求項８】
請求項７に記載のサーバ監視方法において、
更に、前記中継ステップの後、
前記サーバにおいて、前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、該異常の情報を含む通知であるサーバ異常通知を前記サーバ監視装置へ送信するサーバ状態通知ステップを実行することを特徴とするサーバ監視方法。
【請求項９】
請求項８に記載のサーバ監視方法において、
更に、前記中継ステップの後、
前記サーバにおいて、前記サーバに対する不正アクセスを検知した場合、検知した不正アクセスの情報を不正アクセス情報として出力する不正アクセス監視ステップを実行し、
前記サーバ状態通知ステップは、前記不正アクセス監視ステップの出力を取得し、前記不正アクセス監視ステップの出力に基づいて前記サーバが異常であるか否かを判断することを特徴とするサーバ監視方法。
【請求項１０】
請求項９に記載のサーバ監視方法において、
前記不正アクセス監視ステップは、正常時、正常であることを表す正常情報を所定のタイミングで出力し、
前記サーバ状態通知ステップは、所定の期間、前記不正アクセス監視ステップからの正常情報を取得できなかった場合、前記サーバが異常であると判断し、該異常の情報を含むサーバ異常通知を前記サーバ監視装置へ送信することを特徴とするサーバ監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセスによるサーバの異常の監視を行うサーバ監視プログラム、サーバ監視装置、サーバ監視方法に関するものである。
【背景技術】
【０００２】
近年、個人情報漏洩による企業の信頼喪失の問題が注目されるとともに、個人情報保護法により、コンピュータにおける情報漏洩や不正アクセスの記録を残し、不正の痕跡を証明する監査証跡（コンピュータ・フォレンジック）とすることが要求されている。システム操作の証跡としては、「誰が」「いつ」「どのクライアントから」「何をしたか」という情報が必要であり、また記録された情報自体の改竄を防ぐことが求められる。
【０００３】
次に、従来の監査証跡取得技術について説明する。
【０００４】
従来の第１の監査証跡取得技術として、アプリケーションレベルでサーバに導入され、サーバの監視を行うものがある。例えば、クライアントからの操作の仲介を行い、登録されたユーザ、登録されたアプリケーション、登録されたコマンドのみを許可するものがある。また、登録されたファイル群を定期的に監視し、登録時と比較することにより、ファイルの改竄を検出するものがある。更に、ファイル操作イベントを監視することにより、リアルタイムでファイルの監視を行うものがある。
【０００５】
また、従来の第２の監査証跡取得技術として、カーネルレベルでサーバに導入され、サーバの監視を行うものがある。例えば、プロセスやユーザごとに必要最小限の操作権限を細かく設定し、判定し、記録するものがある。このサーバの管理者であっても特定の権限がなければ改竄は不可能である。また、アプリケーション毎に対応する必要がない。
【０００６】
従来の第３の監査証跡取得技術として、外部ネットワークとサーバの間に設置された中継装置により、サーバへのアクセスの監視を行うものがある。特許文献１に開示された技術は、個々の計算機への不正なアクセスによる情報の漏洩を未然に防止するために、中継するファイヤウォールで認証やアクセス拒絶などの判定と中継を行うものである。また、特許文献２に開示された技術は、端末装置へのアクセスは全て不正侵入検知代理サーバを介して行い、プロトコル違反、不正侵入コマンド、不正アクセス結果のログ確認により不正侵入検知を行うものである。また、特許文献３に開示された技術は、クライアントとサーバの間を中継接続装置で接続し、中継接続装置が通信手順（プロトコル）やポート番号でアクセス拒否を行い、各サーバのログを集約することで監査証跡とするものである。
【０００７】
【特許文献１】特開２００１−２３６２７８号公報
【特許文献２】特開２００３−１８６７６３号公報
【特許文献３】特開２００５−１５６４７３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、システム内部のオペレータが情報を持ち出した場合や、不正アクセス者がセキュリティホールなどを利用してシステム管理アカウント情報（例えばｒｏｏｔ権限のパスワード）などを取得した場合など、証跡を取得するサーバの管理者権限が漏洩した場合、次のような問題がある。
【０００９】
まず、不正侵入においてプロトコルやサービスに正常のものを使われると、正常時との区別ができない。また、サーバの管理者権限を持つユーザの不正アクセスは防止できない。例えば、ログが改竄されたり、不正アクセス監視部が改竄されたりすると、証跡にならない。また、中継時のログを取得するだけでは、不正アクセスの証跡を残せない場合がある。例えば、操作や結果を暗号化されると、何かを操作したことはログに残るが、どんな操作をしたのか、どんな情報が漏洩したのかなどを特定できない。
【００１０】
また、大規模なシステム（例えば、銀行などの金融業のシステムにおいてサーバの台数は数百〜数千台にも及ぶ）において、従来のカーネルレベルの不正アクセス防止と証跡の技術には、次のような問題がある。カーネル変更は、再起動が必要であり、サービスが動かなくなる可能性がある。また、数百〜数千のサーバに対するカーネル変更は、莫大な工数（コスト）を要求する。
【００１１】
本発明は上述した問題点を解決するためになされたものであり、サーバの管理者権限が漏洩した場合でも監査証跡の取得を行うことができるサーバ監視プログラム、サーバ監視装置、サーバ監視方法を提供することを目的とする。
【課題を解決するための手段】
【００１２】
上述した課題を解決するため、本発明は、クライアントとサーバの間に接続されたサーバ監視装置のコンピュータに実行させるサーバ監視プログラムであって、前記クライアントと前記サーバの間の中継を行い、該中継に関する情報を中継情報として管理する中継ステップと、前記サーバ監視装置と前記サーバとの通信に基づいて前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、前記サーバに対する中継に対応する中継情報に含まれる情報をログに記録するサーバ状態監視ステップとをコンピュータに実行させるものである。
【００１３】
また、本発明に係るサーバ監視プログラムにおいて、前記サーバ状態監視ステップは、前記サーバの正常時の通知であるサーバ正常通知を、前記サーバ監視装置が受信できなかった場合、前記サーバが異常であると判断することを特徴とするものである。
【００１４】
また、本発明に係るサーバ監視プログラムにおいて、前記サーバ正常通知は、前記サーバから所定のタイミングで前記サーバ監視装置へ送信され、前記サーバ状態監視ステップは、所定の期間、前記サーバ監視装置が前記サーバ正常通知を受信できなかった場合、前記サーバが異常であると判断することを特徴とするものである。
【００１５】
また、本発明に係るサーバ監視プログラムにおいて、前記サーバ状態監視ステップは、前記サーバ監視装置が前記サーバが異常であることを示すサーバ異常通知を受信した場合、前記サーバが異常であると判断し、前記サーバ異常通知に含まれる情報を、中継情報と対応付けてログに記録することを特徴とするものである。
【００１６】
また、本発明に係るサーバ監視プログラムにおいて、前記サーバ状態監視ステップは、前記サーバが異常であると判断した場合、更に、前記サーバに対する中継を終了させることを特徴とするものである。
【００１７】
また、本発明に係るサーバ監視プログラムにおいて、前記中継ステップは、中継を行っている間だけ、該中継に関する中継情報を管理し、前記サーバ状態監視ステップは、前記サーバが異常であると判断した場合、前記サーバに対応する中継情報を抹消することにより、前記サーバに対する中継を終了させることを特徴とするものである。
【００１８】
また、本発明に係るサーバ監視プログラムにおいて、前記中継情報は、前記クライアントと前記サーバと前記サーバ監視装置のそれぞれのＩＰアドレスとポート番号を含むことを特徴とするものである。
【００１９】
また、本発明は、クライアントとサーバの間に接続されたサーバ監視装置であって、前記クライアントと前記サーバの間の中継を行い、該中継に関する情報を中継情報として管理する中継部と、前記サーバ監視装置と前記サーバとの通信に基づいて前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、前記サーバに対する中継に対応する中継情報に含まれる情報をログに記録するサーバ状態監視部とを備えたものである。
【００２０】
また、本発明は、クライアントとサーバの間に接続されたサーバ監視装置を用いるサーバ監視方法であって、前記サーバ監視装置において、前記クライアントと前記サーバの間の中継を行い、該中継に関する情報を中継情報として管理する中継ステップと、前記サーバ監視装置において、前記サーバとの通信に基づいて前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、前記サーバに対する中継に対応する中継情報に含まれる情報をログに記録するサーバ状態監視ステップとを実行するものである。
【００２１】
また、本発明に係るサーバ監視方法において、更に、前記中継ステップの後、前記サーバにおいて、前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、該異常の情報を含む通知であるサーバ異常通知を前記サーバ監視装置へ送信するサーバ状態通知ステップを実行することを特徴とするものである。
【００２２】
また、本発明に係るサーバ監視方法において、前記サーバ状態通知ステップは、正常時、前記サーバが正常であることを表す通知であるサーバ正常通知を所定のタイミングで前記サーバ監視装置へ送信し、前記サーバ状態監視ステップは、前記サーバ状態通知ステップからの通知を監視し、所定の期間、前記サーバ状態通知ステップからのサーバ正常通知を受信できなかった場合、前記サーバが異常であると判断することを特徴とするものである。
【００２３】
また、本発明に係るサーバ監視方法において、前記サーバ状態監視ステップは、前記サーバ異常通知を受信した場合、前記サーバが異常であると判断し、前記サーバ異常通知に含まれる異常の情報をログに記録することを特徴とするものである。
【００２４】
また、本発明に係るサーバ監視方法において、前記サーバ状態監視ステップは、前記サーバが異常であると判断した場合、更に、前記サーバに対する中継を終了させることを特徴とするものである。
【００２５】
また、本発明に係るサーバ監視方法において、前記中継ステップは、中継を行っている間だけ、該中継に関する中継情報を管理し、前記サーバ状態監視ステップは、前記サーバが異常であると判断した場合、前記サーバに対応する中継情報を抹消することにより、前記サーバに対する中継を終了させることを特徴とするものである。
【００２６】
また、本発明に係るサーバ監視方法において、更に、前記中継ステップの後、前記サーバにおいて、前記サーバに対する不正アクセスを検知した場合、検知した不正アクセスの情報を不正アクセス情報として出力する不正アクセス監視ステップを実行し、前記サーバ状態通知ステップは、前記不正アクセス監視ステップの出力を取得し、前記不正アクセス監視ステップの出力に基づいて前記サーバが異常であるか否かを判断することを特徴とするものである。
【００２７】
また、本発明に係るサーバ監視方法において、前記不正アクセス監視ステップは、正常時、正常であることを表す正常情報を所定のタイミングで出力し、前記サーバ状態通知ステップは、所定の期間、前記不正アクセス監視ステップからの正常情報を取得できなかった場合、前記サーバが異常であると判断し、該異常の情報を含むサーバ異常通知を前記サーバ監視装置へ送信することを特徴とするものである。
【００２８】
また、本発明に係るサーバ監視方法において、不正アクセス監視ステップは、前記サーバに対する不正アクセスを検知した場合、不正アクセスに関する操作の情報と通信の情報を対応付け、その結果を不正アクセス情報とすることを特徴とするものである。
【００２９】
また、本発明に係るサーバ監視方法において、前記サーバ状態通知ステップは、前記不正アクセス監視ステップにより不正アクセス情報が出力された場合、前記サーバが異常であると判断し、該不正アクセス情報を含むサーバ異常通知を前記サーバ監視装置へ送信することを特徴とするものである。
【００３０】
また、本発明に係るサーバ監視方法において、前記サーバ状態通知ステップは、正常時、正常であることを表す正常情報を所定のタイミングで出力し、更に、前記サーバ状態通知ステップの後、前記サーバにおいて、前記サーバ状態通知ステップの出力を取得し、所定の期間、前記サーバ状態通知ステップからの正常情報を取得できなかった場合、前記サーバが異常であると判断し、該異常の情報をログに記録するサーバ状態通知監視ステップを実行することを特徴とするものである。
【００３１】
また、本発明に係るサーバ監視方法において、前記中継情報は、前記クライアントと前記サーバと前記サーバ監視装置のそれぞれのＩＰアドレスとポート番号を含むことを特徴とするものである。
【発明の効果】
【００３２】
本発明によれば、サーバの管理者権限が漏洩した場合でも監査証跡の取得を行うことができる。更に、導入によるサーバへの影響が小さい。
【発明を実施するための最良の形態】
【００３３】
以下、本発明の実施の形態について図面を参照しつつ説明する。
【００３４】
まず、本実施の形態に係るアプリケーションシステムの構成について説明する。
【００３５】
図１は、本実施の形態に係るアプリケーションシステムの構成の一例を示すブロック図である。この監査証跡システムは、ユーザにサービスを提供するサーバアプリケーションが動作する複数のサーバマシン１、複数のクライアントマシン２、本発明のサーバ監視装置であり、複数のサーバマシン１と複数のクライアントマシン２の間の中継を行うアプリケーション中継装置（ＡＴＰ：Audit Trail Proxy）３、クライアントマシン２とＡＴＰ３とを接続するネットワーク４を備える。
【００３６】
ＡＴＰ３は、中継部３１、中継情報管理テーブル３２、中継ログ３３、サーバ状態監視部３４を備える。次に、ＡＴＰ３の各部について説明する。
【００３７】
中継部３１は、中継情報管理テーブル３２を参照して、クライアントマシン２とサーバマシン１の通信の中継を行い、操作や結果の記録を中継ログ３３に記録する。図２は、本実施の形態に係る中継情報管理テーブルにおける中継情報の構成の一例を示す表である。この図に示すように、中継情報管理テーブルは、中継に必要な情報である中継情報として、アクセス元のクライアントマシン２のＩＰアドレスとポート番号を含むクライアント情報、アクセス先のサーバマシン１のＩＰアドレスとポート番号を含むサーバ情報、ＡＴＰ２のローカルＩＰアドレスとポート番号を含むＡＴＰ情報を持つ。これらの中継情報の組は、一つの中継ごとに用意され、中継が終了すると削除される。図３は、本実施の形態に係る中継ログのエントリの構成の一例を示す表である。この図に示すように、中継ログ３３は、上述したクライアント情報、サーバ情報、ＡＴＰ情報の他、時間、操作／結果情報を含む。これらの情報の組は、一つの操作や結果ごとにエントリとして記録される。サーバ状態監視部３４は、サーバマシン１のサーバ状態通知部１５から送信される情報を受信し、不正アクセスがあればその中継を終了するよう指示する中継終了指示を中継部３１に出す。
【００３８】
サーバマシン１は、サーバアプリケーション１１、サーバ運用情報１２、サーバログ１３、不正アクセス監視部１４、サーバ状態通知部１５を備える。次に、サーバマシン１の各部について説明する。
【００３９】
サーバアプリケーション１１は、従来と同様であり、ユーザにサービスを提供するアプリケーションであり、例えば、ＨＴＴＰ（HyperText Transfer Protocol），ＦＴＰ（File Transfer Protocol），ＴＥＬＮＥＴ，ＳＳＨ（Secure SHell）などを用いたものである。サービス運用情報１２は、従来と同様であり、サーバアプリケーション１１が利用する情報であり、個人情報等、漏洩や改竄が許されない情報である。サーバログ１３は、従来と同様であり、サーバアプリケーション１１によりその利用状況が記録されるものである。不正アクセス監視部１４は、従来の第１の監査証跡取得技術で用いられている、アプリケーションレベルの不正アクセス監視、不正アクセス防止、監査証跡取得のための仕組みである。また、不正アクセス監視部１４は、サーバ状態通知部１５の監視を行う。サーバ状態通知部１５は、不正アクセス監視部１４を監視し、不正アクセス監視部１４による不正アクセスの監視結果をＡＴＰ３のサーバ状態監視部３４へ通知する。
【００４０】
クライアントマシン２は、サーバアプリケーション１１を利用するためのクライアントアプリケーション２１を備える。クライアントアプリケーション２１は、中継部３１を経由してサーバマシン１にアクセスし、サーバアプリケーション１１を操作し、その結果を受け取る。
【００４１】
ネットワーク４は、インターネットでも閉域網でもＬＡＮでも良い。
【００４２】
次に、本実施の形態に係るアプリケーションシステムの通常時の動作について説明する。
【００４３】
図４は、本実施の形態に係るアプリケーションシステムの通常時の動作の一例を示すシーケンス図である。このシーケンス図において、上から下への流れは時間の流れを表し、縦のレーンは左から順に、クライアントアプリケーション２１、中継部３１、中継情報管理テーブル３２、中継ログ３３、サーバ監視部３４、サーバアプリケーション１１、サーバログ１３、不正アクセス監視部１４、サーバ状態通知部１５の動作を表す。
【００４４】
まず、クライアントアプリケーション２１がサーバアプリケーション１１への接続要求を行うと（Ｓ２１）、中継部３１は、この接続要求を中継ログ３３に記録し（Ｓ２２）、中継情報を中継情報管理テーブル３２に登録し（Ｓ２３）、この接続要求をサーバアプリケーション１１へ転送する（Ｓ２４）。接続要求を受け取ったサーバアプリケーション１１は、接続を開始し、動作の内容をサーバログ１３に記録する（Ｓ２５）。
【００４５】
また、クライアントアプリケーション２１がサーバアプリケーション１１への操作を行うと（Ｓ３１）、中継部３１は、この操作を中継ログ３３に記録し（Ｓ３２）、サーバアプリケーション１１に転送する（Ｓ３４）。操作を受け取ったサーバアプリケーション１１は、操作を実行し、動作の内容をサーバログ１３に記録し（Ｓ３５）、操作の結果を中継部３１に返答する（Ｓ３６）。操作の結果を受け取った中継部３１は、中継ログ３３に記録し（Ｓ３７）、操作の結果をクライアントアプリケーション２１に転送する（Ｓ３８）。この処理Ｓ３１〜Ｓ３８は、以後、操作の度に繰り返される。
【００４６】
また、クライアントアプリケーション２１が接続終了要求を行うと（Ｓ４１）、中継部３１は、この接続終了要求を中継ログ３３に記録し（Ｓ４２）、接続終了要求をサーバアプリケーション１１に転送し（Ｓ４３）、中継情報を中継情報管理テーブル３２から抹消する（Ｓ４４）。接続終了要求を受け取ったサーバアプリケーション１１は、接続を終了し、動作の内容をサーバログ１３に記録し（Ｓ４５）、このシーケンスを終了する。
【００４７】
次に、サーバ状態監視部３４によるサーバ状態通知部１５の監視の動作について説明する。
【００４８】
図５は、本実施の形態に係るサーバ状態監視部３４によるサーバ状態通知部１５の監視の動作の一例を示すシーケンス図である。まず、サーバ状態通知部１５が起動すると、サーバ状態監視部３４に対してＴＣＰ（Transmission Control Protocol）セッションを確立し、登録を行う（Ｓ５１）。次に、サーバ状態通知部１５は、自身が正常に動作していることを示すａｌｉｖｅ報告を、定期的にサーバ状態監視部３４へ通知する（Ｓ５２，Ｓ５３，Ｓ５４）。また、サーバ状態通知部１５が正常に終了されるときは、正常終了をサーバ状態監視部３４へ通知し（Ｓ５５）、ＴＣＰセッションを終了する。また、サーバ状態監視部３４は、このＴＣＰセッション中に、ＴＣＰセッションが切断された場合や、一定期間、サーバ状態通知部１５からのａｌｉｖｅ報告がなかった場合、サーバ状態通知部１５が停止したと判断する。
【００４９】
次に、サーバ状態通知部１５による不正アクセス監視部１４の監視の動作について説明する。
【００５０】
図６は、本実施の形態に係るサーバ状態通知部１５による不正アクセス監視部１４の監視の動作の一例を示すシーケンス図である。サーバ状態監視部３４によるサーバ状態通知部１５の監視と同様に、不正アクセス監視部１４はサーバ状態通知部１５に登録され（Ｓ６１）、ＴＣＰセッションを開始し、不正アクセス監視部１４はサーバ状態通知部１５へ定期的なａｌｉｖｅ報告（Ｓ６２，Ｓ６３，Ｓ６４）を、正常にＴＣＰセッションを終了する（Ｓ６３）まで行う。サーバ状態通知部１５は、不正アクセス監視部１４とのＴＣＰセッション中に、ＴＣＰセッションが切断された場合や、一定期間、不正アクセス監視部１４からのａｌｉｖｅ報告がなかった場合、不正アクセス監視部１４が停止したと判断する。
【００５１】
次に、不正アクセス監視部１４によるサーバ状態通知部１５の監視の動作について説明する。
【００５２】
図７は、本実施の形態に係る不正アクセス監視部１４によるサーバ状態通知部１５の監視の動作の一例を示すシーケンス図である。サーバ状態監視部３４によるサーバ状態通知部１５の監視と同様に、サーバ状態通知部１５は不正アクセス監視部１４に登録され（Ｓ７１）、ＴＣＰセッションを開始し、サーバ状態通知部１５は不正アクセス監視部１４へ定期的なａｌｉｖｅ報告（Ｓ７２，Ｓ７３，Ｓ７４）を、正常にＴＣＰセッションを終了する（Ｓ７３）まで行う。不正アクセス監視部１４は、サーバ状態通知部１５とのＴＣＰセッション中に、ＴＣＰセッションが切断された場合や、一定期間、サーバ状態通知部１５からのａｌｉｖｅ報告がなかった場合、サーバ状態通知部１５が停止したと判断する。なお、この不正アクセス監視部１４によるサーバ状態通知部１５の監視は、行わない構成としても良い。
【００５３】
なお、図５〜図７におけるａｌｉｖｅ報告は、なりすましを防ぐためにワンタイムパスワードなどで暗号化されても良い。
【００５４】
次に、本実施の形態に係るアプリケーションシステムにおける不正アクセス時の動作について３つのケースについて説明する。
【００５５】
まず、第１のケースとして、クライアントアプリケーション２１からの不正アクセスによりサーバログ１３が改竄される（サーバログ１３が削除される）場合の動作について説明する。
【００５６】
図８は、本実施の形態に係るアプリケーションシステムにおいて不正アクセスによりサーバログ１３が改竄される場合の動作の一例を示すシーケンス図である。クライアントアプリケーション２１が不正アクセスによる操作を行うと（Ｓ１１１）、この操作を中継ログ３３に記録し（Ｓ１１２）、中継情報を中継情報管理テーブル３２に登録し（Ｓ１１３）、この操作をサーバアプリケーション１１へ転送する（Ｓ１１４）。操作を受け取ったサーバアプリケーション１１は、この操作をサーバログ１３に記録する（Ｓ１１５）。サーバアプリケーション１１がこの操作を実行することにより、サーバログ１３は削除される（Ｓ１１６）。
【００５７】
次に、サーバアプリケーション１１は、通常時と同様、操作の結果を中継部３１に返答する（Ｓ１１７）。操作の結果を受け取った中継部３１は、操作の結果を中継ログに記録し（Ｓ１１８）、クライアントアプリケーション１１に操作の結果を転送する（Ｓ１１９）。
【００５８】
一方で、不正アクセス監視部１４は、サーバログ１３の読み込み、変更、作成、削除、名前変更、属性変更などを監視している。ここで、不正アクセス監視部１４は、サーバログ１３に対する操作を検知する（例えば、ｄｎｏｔｉｆｙなどの技術を用いる）。また、不正アクセス監視部１４は、サーバログ１３に対する操作を検知した場合、操作を行ったプロセスＩＤを取得し（例えば、ｌｓｏｆなどの技術を用いる）、取得したプロセスＩＤの親へと辿ることにより（例えば、ｐｒｏｃファイルシステムなどの技術を用いる）、階層的なプロセスＩＤリストを取得する。また、不正アクセス監視部１４は、取得した各々のプロセスＩＤが接続中の通信のアクセス元のＩＰアドレス、ＴＣＰ／ＵＤＰポート番号を逐次調べ（例えば、ｎｅｔｓｔａｔなどの技術を用いる）、ＡＴＰ３との通信があるまで調べる。このようにして、不正アクセス監視部１４は、操作のもととなった通信の情報を取得することにより、不正アクセスに関する操作と通信の対応付けを行い、一つの不正アクセス情報とする。
【００５９】
不正アクセス監視部１４がサーバログ１３の削除を検知すると（Ｓ１２１）、不正アクセス情報をサーバログ１３に記録し（Ｓ１２２）、サーバ状態通知部１５に通知する（Ｓ１２３）。ここでは、削除されたサーバログ１３と同じサーバログ１３へ不正アクセスに関する情報を記録しているが、別のサーバログへ不正アクセス情報を記録しても良い。
【００６０】
不正アクセス情報を受け取ったサーバ状態通知部１５は、この不正アクセス情報をサーバ状態監視部３４に通知する（Ｓ１２４）。図９は、本実施の形態に係るサーバ状態通知部１５が通知する不正アクセス情報の一例を示す表である。サーバ状態通知部１５がサーバ状態監視部３４に通知する不正アクセス情報には、ＡＴＰ３のＩＰアドレス、ＡＴＰ３のＴＣＰ／ＵＤＰポート番号、サーバアプリケーション１１のＩＰアドレス、サーバアプリケーション１１のＴＣＰ／ＵＤＰポート番号、プロセスＩＤ、不正アクセス操作内容が含まれる。なお、上述したように、不正アクセス監視部１４が不正アクセスに関する操作と通信の対応付けを行っているが、サーバ状態通知部１５が行うようにしても良い。
【００６１】
不正アクセス情報を受け取ったサーバ状態監視部３４は、この不正アクセス情報を中継ログ３３に記録する（Ｓ１２５）。ここで、サーバ状態監視部３４は、サーバ状態通知部１５から通知された情報のうち、アクセス元のＴＣＰ／ＵＤＰポート番号が中継情報管理テーブル３２のＡＴＰ情報に存在するかどうかを調べる。もし存在すれば、その中継が不正アクセスを中継したことになり、対応するクライアントアプリケーション２１が不正アクセスを行ったことになる。このとき、サーバ状態監視部３４は、中継情報管理テーブル３２から不正アクセスに対応するクライアント情報、サーバ情報、中継情報を取得し、サーバ状態通知部１５から通知された不正アクセス情報からプロセスＩＤと不正アクセス操作内容を取得し、さらに時刻を取得し、これらの情報の組を中継ログ３３に記録する。次に、サーバ状態監視部３４は、対応する中継を終了するよう指示する中継終了指示を、中継部３１に通知する（Ｓ１２６）。
【００６２】
中継終了指示を受け取った中継部３１は、中継の終了をサーバアプリケーション１１に通知し（Ｓ１２７）、対応する中継情報を中継情報管理テーブル３２から抹消し（Ｓ１２８）、このシーケンスを終了する。以降、クライアントアプリケーション２１からサーバアプリケーション１１へ操作を送ろうとしても（Ｓ１２９）、中継情報管理テーブル３２に中継情報がないため中継は拒絶される。このようにして、不正アクセスによりサーバログ１３の改竄（サーバログ１３の削除）が行われたとしても、この不正アクセスは新たなサーバログ１３や中継ログ３３に記録され、この記録が証跡となる。
【００６３】
なお、不正アクセス情報を受け取ったサーバ状態監視部３４は、中継情報管理テーブル３２の中継情報をサーバ状態通知部１５に渡しても良い。サーバ状態通知部１５または不正アクセス監視部１４が、中継情報を用いて不正アクセスに対応する通信を探すことにより、不正アクセスに関する操作と通信との対応付けを迅速に行うことができる。
【００６４】
従来の第１の監査証跡取得技術においてサーバログ１３が改竄された場合は、証跡が残らなかった。しかし、上述した第１のケースにおける動作によれば、サーバログ１３に対する不正アクセスを不正アクセス監視部１４が検知し、サーバログ１３や中継ログ３３に記録することにより、不正アクセスの証跡を確実に残すことができる。更に、中継部３１による中継を終了させることにより、更なる不正アクセスを防止することができる。
【００６５】
次に、第２のケースとして、クライアントアプリケーション２１からの不正アクセスにより不正アクセス監視部１４が停止される場合の動作について説明する。
【００６６】
図１０は、本実施の形態に係るアプリケーションシステムにおいて不正アクセスにより不正アクセス監視部１４が不正停止される場合の動作の一例を示すシーケンス図である。図１０において、図８と同一符号は図８に示された対象と同一又は相当処理を示しており、ここでの説明を省略する。処理Ｓ１１４でサーバアプリケーション１１が受け取った操作を実行することにより、不正アクセス監視部１４は不正停止される（Ｓ１３６）。次に、操作の結果について、第１のケースと同様の処理Ｓ１１７〜Ｓ１１９が行われる。
【００６７】
上述したように、通常時、不正アクセス監視部１４はサーバ状態通知部１５に対して定期的なａｌｉｖｅ報告を行っているが、不正アクセス監視部１４の停止により、このａｌｉｖｅ報告は行われなくなる。サーバ状態通知部１５は、不正アクセス監視部１４からのａｌｉｖｅ報告が受信されない場合、不正アクセス監視部１４の停止を検知し（Ｓ１４１）、その内容をサーバログ１３に記録し（Ｓ１４２）、不正アクセスに関する情報を不正アクセス情報としてサーバ状態監視部３４に通知する（Ｓ１４３）。ここでは、サーバログ１３へ不正アクセスに関する情報を記録しているが、別のサーバログへ不正アクセスに関する情報を記録しても良い。
【００６８】
次に、サーバ状態監視部３４は、不正アクセス監視部１４の停止に関する情報を中継ログ３３に記録し（Ｓ１４５）、監視対象としているサーバ状態通知部１５の動作するサーバマシン１のＩＰアドレスに対する中継を全て終了するよう指示する中継終了指示を中継部３１に通知する（Ｓ１４６）。以後、第１のケースと同様の処理Ｓ１２７〜Ｓ１２８が行われる。
【００６９】
第１のケースのように不正アクセス監視部１４が不正アクセスを検知すると、上述したように不正アクセス監視部１４が不正アクセスとプロセスＩＤの対応付けを行う。しかし、第２のケースのように不正アクセス監視部１４が停止した場合、サーバ状態通知部１５からサーバ状態監視部３４へ通知する不正アクセス情報は、不正アクセス操作内容のみであり、どの中継が不正アクセスに対応するかを示す情報は含まれない。
【００７０】
不正アクセス監視部１４が停止されると、その後、サーバマシン１に対する不正アクセスが行われてもサーバログ１３には何も記録されない状態となる。この状態で更なる不正アクセスが行われ、その操作が暗号化されていたり、通常の操作と見分けが付かないように隠蔽されていたりすると、中継部３１では不正アクセスの発見が極めて困難であった。
【００７１】
しかし、上述した第２のケースにおける動作によれば、不正アクセス監視部１４の停止をサーバ状態通知部１５が検知し、サーバログ１３や中継ログ３３に記録することにより、不正アクセスの証跡を確実に残すことができる。更に、中継部３１による中継を終了させることにより、不正アクセス監視部１４が動作していない状態における更なる不正アクセスを防止することができる。
【００７２】
次に、第３のケースとして、クライアントアプリケーション２１からの不正アクセスによりサーバ状態通知部１５が停止される場合の動作について説明する。
【００７３】
図１１は、本実施の形態に係るアプリケーションシステムにおいて不正アクセスによりサーバ状態通知部１５が停止される場合の動作の一例を示すシーケンス図である。図１１において、図８と同一符号は図８に示された対象と同一又は相当処理を示しており、ここでの説明を省略する。処理Ｓ６４でサーバアプリケーション１１が受け取った操作を実行することにより、サーバ状態通知部１５は停止される（Ｓ１５６）。次に、操作の結果について、第１のケースと同様の処理Ｓ１１７〜Ｓ１１９が行われる。
【００７４】
上述したように、通常時、サーバ状態通知部１５は不正アクセス監視部１４に対して定期的なａｌｉｖｅ報告を行っているが、サーバ状態通知部１５の停止により、このａｌｉｖｅ報告は行われなくなる。不正アクセス監視部１４は、サーバ状態通知部１５からのａｌｉｖｅ報告が受信されない場合、サーバ状態通知部１５の停止を検知し（Ｓ１６１）、その内容をサーバログ１３に記録する（Ｓ１６２）。ここでは、サーバログ１３へ不正アクセスに関する情報を記録しているが、別のサーバログへ不正アクセスに関する情報を記録しても良い。
【００７５】
更に、上述したように、通常時、サーバ状態通知部１５はサーバ状態監視部３４に対して定期的なａｌｉｖｅ報告を行っているが、サーバ状態通知部１５の停止により、このａｌｉｖｅ報告は行われなくなる。サーバ状態監視部３４は、サーバ状態通知部１５からのａｌｉｖｅ報告が受信されない場合、サーバ状態通知部１５の停止を検知する（Ｓ１６３）。
【００７６】
次に、サーバ状態監視部３４は、サーバ状態通知部１５の停止に関する情報を中継ログ３３に記録し（Ｓ１６５）、監視対象としているサーバ状態通知部１５の動作するサーバマシン１のＩＰアドレスに対する中継を全て終了するよう指示する中継終了指示を中継部３１に通知する（Ｓ１６６）。以後、第１のケースと同様の処理Ｓ１２７〜Ｓ１２８が行われる。
【００７７】
サーバ状態通知部１５が停止されると、その後、不正アクセス監視部１４に対する不正アクセスが行われても、検知できない状態となる。この状態で更なる不正アクセスが行われ、その操作が暗号化されていたり、通常の操作と見分けが付かないように隠蔽されていたりすると、中継部３１では不正アクセスの発見が極めて困難になる。
【００７８】
しかし、上述した第３のケースにおける動作によれば、サーバ状態通知部１５の停止を不正アクセス監視部１４やサーバ状態監視部３４が検知し、サーバログ１３や中継ログ３３に記録することにより、不正アクセスの証跡を確実に残すことができる。更に、中継部３１による中継を終了させることにより、サーバ状態通知部１５が動作していない状態における更なる不正アクセスを防止することができる。
【００７９】
また、サーバログ１３、不正アクセス監視部１４、サーバ状態通知部１５のうち、複数もしくは全てに対して同時に不正アクセスが行われた場合でも、サーバ状態通知部１５の停止で中継を終了させることにより、更なる不正アクセスを防止することができる。
【００８０】
なお、ＡＴＰ３が、予めクライアントマシン２のＩＰアドレスやクライアントマシン２のユーザの種類などを登録したアクセス許可テーブルを備え、中継部３１が、アクセス許可テーブルを参照することにより、クライアントアプリケーション２１からの中継の可否を判断するようにしても良い。
【００８１】
また、予め中継を禁ずる操作や結果の条件を登録した操作可否テーブルがＡＴＰ３に備えられ、中継部３１は、操作可否テーブルを参照することにより、条件に該当する操作や結果の中継を拒絶するようにしても良い。例えば、中継部３１は、アクセスが禁止されているファイル名が操作に含まれている場合、その中継を拒絶する。また、例えば、中継部３１は、個人情報データ列が結果に含まれている場合、その中継を拒絶する。
【００８２】
また、中継ログ３３やサーバログ１３は、ＡＴＰ３内に集約しても良いし、ＡＴＰ３やサーバマシン１とは異なるマシンに存在しても良い。また、クライアントアプリケーション２１からの負荷分散のために、ＡＴＰ３を複数設置しても良い。
【００８３】
また、本実施の形態では、サーバ状態通知部１５が不正アクセス監視部１４により検知された不正アクセス情報や不正アクセス監視部１４の異常を、サーバ状態監視部３４へ通知するとしたが、不正アクセス監視部１４を用いずに、サーバ状態通知部１５がサーバマシン１の異常を検知し、サーバログ１３に記録すると共にサーバ状態監視部３４へ通知する構成としても良い。
【００８４】
以上、詳述したように、本実施の形態によれば、不正アクセス監視部１４の動作をサーバマシン１外のＡＴＰ３が監視し、不正アクセス監視部１４の停止や改竄が行われた場合に、ＡＴＰ３が中継を遮断することにより、サーバログの改竄やサービス運用情報の漏洩を防止することができる。また、サーバマシン１上では、従来のアプリケーションレベルの不正アクセス監視部と同様の機能を用いており、従来のカーネルレベルの不正アクセス監視部に比べると、サーバへの影響が小さく、導入コストが大幅に削減できる。また、従来のアプリケーションレベルの不正アクセス監視部と異なり、サーバマシン１の管理者権限が漏洩した場合であっても、監査証跡の取得が可能となる。
【００８５】
また、本実施の形態に係るサーバ監視装置は、中継装置に容易に適用することができ、中継装置の性能をより高めることができる。ここで、中継装置には、例えばプロキシサーバ、ブリッジ、スイッチ、ルータ等が含まれ得る。
【００８６】
更に、サーバ監視装置を構成するコンピュータにおいて上述した各ステップを実行させるプログラムを、中継プログラムとして提供することができる。上述したプログラムは、コンピュータにより読取り可能な記録媒体に記憶させることによって、サーバ監視装置を構成するコンピュータに実行させることが可能となる。ここで、上記コンピュータにより読取り可能な記録媒体としては、ＲＯＭやＲＡＭ等のコンピュータに内部実装される内部記憶装置、ＣＤ−ＲＯＭやフレキシブルディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の可搬型記憶媒体や、コンピュータプログラムを保持するデータベース、或いは、他のコンピュータ並びにそのデータベースや、更に回線上の伝送媒体をも含むものである。
【００８７】
なお、サーバ監視装置は、実施の形態におけるＡＴＰに対応する。また、サーバは、実施の形態におけるサーバマシンに対応する。また、クライアントは、実施の形態におけるクライアントマシンに対応する。また、中継ステップと中継部は、実施の形態における中継部、中継情報テーブルに対応する。また、サーバ状態監視ステップとサーバ状態監視部は、実施の形態におけるサーバ状態監視部と中継ログに対応する。また、サーバ状態通知ステップは、実施の形態におけるサーバ状態通知部に対応する。また、不正アクセス監視ステップとサーバ状態通知監視ステップは、実施の形態における不正アクセス監視部に対応する。また、サーバ正常通知、正常情報は、実施の形態におけるａｌｉｖｅ報告に対応する。
【００８８】
（付記１）  クライアントとサーバの間に接続されたサーバ監視装置のコンピュータに実行させるサーバ監視プログラムであって、
前記クライアントと前記サーバの間の中継を行い、該中継に関する情報を中継情報として管理する中継ステップと、
前記サーバ監視装置と前記サーバとの通信に基づいて前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、前記サーバに対する中継に対応する中継情報に含まれる情報をログに記録するサーバ状態監視ステップと
をコンピュータに実行させるサーバ監視プログラム。
（付記２）  付記１に記載のサーバ監視プログラムにおいて、
前記サーバ状態監視ステップは、前記サーバの正常時の通知であるサーバ正常通知を、前記サーバ監視装置が受信できなかった場合、前記サーバが異常であると判断することを特徴とするサーバ監視プログラム。
（付記３）  付記２に記載のサーバ監視プログラムにおいて、
前記サーバ正常通知は、前記サーバから所定のタイミングで前記サーバ監視装置へ送信され、
前記サーバ状態監視ステップは、所定の期間、前記サーバ監視装置が前記サーバ正常通知を受信できなかった場合、前記サーバが異常であると判断することを特徴とするサーバ監視プログラム。
（付記４）  付記１乃至付記３のいずれかに記載のサーバ監視プログラムにおいて、
前記サーバ状態監視ステップは、前記サーバ監視装置が前記サーバが異常であることを示すサーバ異常通知を受信した場合、前記サーバが異常であると判断し、前記サーバ異常通知に含まれる情報を、中継情報と対応付けてログに記録することを特徴とするサーバ監視プログラム。
（付記５）  付記１乃至付記４のいずれかに記載のサーバ監視プログラムにおいて、
前記サーバ状態監視ステップは、前記サーバが異常であると判断した場合、更に、前記サーバに対する中継を終了させることを特徴とするサーバ監視プログラム。
（付記６）  付記５に記載のサーバ監視プログラムにおいて、
前記中継ステップは、中継を行っている間だけ、該中継に関する中継情報を管理し、
前記サーバ状態監視ステップは、前記サーバが異常であると判断した場合、前記サーバに対応する中継情報を抹消することにより、前記サーバに対する中継を終了させることを特徴とするサーバ監視プログラム。
（付記７）  付記１乃至付記６のいずれかに記載のサーバ監視プログラムにおいて、
前記中継情報は、前記クライアントと前記サーバと前記サーバ監視装置のそれぞれのＩＰアドレスとポート番号を含むことを特徴とするサーバ監視プログラム。
（付記８）  クライアントとサーバの間に接続されたサーバ監視装置であって、
前記クライアントと前記サーバの間の中継を行い、該中継に関する情報を中継情報として管理する中継部と、
前記サーバ監視装置と前記サーバとの通信に基づいて前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、前記サーバに対する中継に対応する中継情報に含まれる情報をログに記録するサーバ状態監視部と
を備えるサーバ監視装置。
（付記９）  クライアントとサーバの間に接続されたサーバ監視装置を用いるサーバ監視方法であって、
前記サーバ監視装置において、前記クライアントと前記サーバの間の中継を行い、該中継に関する情報を中継情報として管理する中継ステップと、
前記サーバ監視装置において、前記サーバとの通信に基づいて前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、前記サーバに対する中継に対応する中継情報に含まれる情報をログに記録するサーバ状態監視ステップと
を実行するサーバ監視方法。
（付記１０）  付記９に記載のサーバ監視方法において、
更に、前記中継ステップの後、
前記サーバにおいて、前記サーバが異常であるか否かを判断し、前記サーバが異常であると判断した場合、該異常の情報を含む通知であるサーバ異常通知を前記サーバ監視装置へ送信するサーバ状態通知ステップを実行することを特徴とするサーバ監視方法。
（付記１１）  付記１０に記載のサーバ監視方法において、
前記サーバ状態通知ステップは、正常時、前記サーバが正常であることを表す通知であるサーバ正常通知を所定のタイミングで前記サーバ監視装置へ送信し、
前記サーバ状態監視ステップは、前記サーバ状態通知ステップからの通知を監視し、所定の期間、前記サーバ状態通知ステップからのサーバ正常通知を受信できなかった場合、前記サーバが異常であると判断することを特徴とするサーバ監視方法。
（付記１２）  付記１０または付記１１に記載のサーバ監視方法において、
前記サーバ状態監視ステップは、前記サーバ異常通知を受信した場合、前記サーバが異常であると判断し、前記サーバ異常通知に含まれる異常の情報をログに記録することを特徴とするサーバ監視方法。
（付記１３）  付記９乃至付記１２のいずれかに記載のサーバ監視方法において、
前記サーバ状態監視ステップは、前記サーバが異常であると判断した場合、更に、前記サーバに対する中継を終了させることを特徴とするサーバ監視方法。
（付記１４）  付記１３に記載のサーバ監視方法において、
前記中継ステップは、中継を行っている間だけ、該中継に関する中継情報を管理し、
前記サーバ状態監視ステップは、前記サーバが異常であると判断した場合、前記サーバに対応する中継情報を抹消することにより、前記サーバに対する中継を終了させることを特徴とするサーバ監視方法。
（付記１５）  付記１０乃至付記１４のいずれかに記載のサーバ監視方法において、
更に、前記中継ステップの後、
前記サーバにおいて、前記サーバに対する不正アクセスを検知した場合、検知した不正アクセスの情報を不正アクセス情報として出力する不正アクセス監視ステップを実行し、
前記サーバ状態通知ステップは、前記不正アクセス監視ステップの出力を取得し、前記不正アクセス監視ステップの出力に基づいて前記サーバが異常であるか否かを判断することを特徴とするサーバ監視方法。
（付記１６）  付記１５に記載のサーバ監視方法において、
前記不正アクセス監視ステップは、正常時、正常であることを表す正常情報を所定のタイミングで出力し、
前記サーバ状態通知ステップは、所定の期間、前記不正アクセス監視ステップからの正常情報を取得できなかった場合、前記サーバが異常であると判断し、該異常の情報を含むサーバ異常通知を前記サーバ監視装置へ送信することを特徴とするサーバ監視方法。
（付記１７）  付記１５または付記１６に記載のサーバ監視方法において、
不正アクセス監視ステップは、前記サーバに対する不正アクセスを検知した場合、不正アクセスに関する操作の情報と通信の情報を対応付け、その結果を不正アクセス情報とすることを特徴とするサーバ監視方法。
（付記１８）  付記１５乃至付記１７のいずれかに記載のサーバ監視方法において、
前記サーバ状態通知ステップは、前記不正アクセス監視ステップにより不正アクセス情報が出力された場合、前記サーバが異常であると判断し、該不正アクセス情報を含むサーバ異常通知を前記サーバ監視装置へ送信することを特徴とするサーバ監視方法。
（付記１９）  付記１０乃至付記１８のいずれかに記載のサーバ監視方法において、
前記サーバ状態通知ステップは、正常時、正常であることを表す正常情報を所定のタイミングで出力し、
更に、前記サーバ状態通知ステップの後、
前記サーバにおいて、前記サーバ状態通知ステップの出力を取得し、所定の期間、前記サーバ状態通知ステップからの正常情報を取得できなかった場合、前記サーバが異常であると判断し、該異常の情報をログに記録するサーバ状態通知監視ステップを実行することを特徴とするサーバ監視方法。
（付記２０）  付記９乃至付記１９のいずれかに記載のサーバ監視方法において、
前記中継情報は、前記クライアントと前記サーバと前記サーバ監視装置のそれぞれのＩＰアドレスとポート番号を含むことを特徴とするサーバ監視方法。
【図面の簡単な説明】
【００８９】
【図１】本実施の形態に係るアプリケーションシステムの構成の一例を示すブロック図である。
【図２】本実施の形態に係る中継情報管理テーブルにおける中継情報の構成の一例を示す表である。
【図３】本実施の形態に係る中継ログのエントリの構成の一例を示す表である。
【図４】本実施の形態に係るアプリケーションシステムの通常時の動作の一例を示すシーケンス図である。
【図５】本実施の形態に係るサーバ状態監視部３４によるサーバ状態通知部１５の監視の動作の一例を示すシーケンス図である。
【図６】本実施の形態に係るサーバ状態通知部１５による不正アクセス監視部１４の監視の動作の一例を示すシーケンス図である。
【図７】本実施の形態に係る不正アクセス監視部１４によるサーバ状態通知部１５の監視の動作の一例を示すシーケンス図である。
【図８】本実施の形態に係るアプリケーションシステムにおいて不正アクセスによりサーバログ１３が改竄される場合の動作の一例を示すシーケンス図である。
【図９】本実施の形態に係るサーバ状態通知部１５が通知する不正アクセス情報の一例を示す表である。
【図１０】本実施の形態に係るアプリケーションシステムにおいて不正アクセスにより不正アクセス監視部１４が停止される場合の動作の一例を示すシーケンス図である。
【図１１】本実施の形態に係るアプリケーションシステムにおいて不正アクセスによりサーバ状態通知部１５が停止される場合の動作の一例を示すシーケンス図である。
【符号の説明】
【００９０】
１  サーバマシン、２  クライアントマシン、３  ＡＴＰ、４  ネットワーク、１１  サーバアプリケーション、１２  サーバ運用情報、１３  サーバログ、１４  不正アクセス監視部、１５  サーバ状態通知部、２１  クライアントアプリケーション、３１  中継部、３２  中継情報管理テーブル、３３  中継ログ、３４  サーバ状態監視部。
【図１】
2007183773.tif 000003
【図２】
2007183773.tif 000004
【図３】
2007183773.tif 000005
【図４】
2007183773.tif 000006
【図５】
2007183773.tif 000007
【図６】
2007183773.tif 000008
【図７】
2007183773.tif 000009
【図８】
2007183773.tif 000010
【図９】
2007183773.tif 000011
【図１０】
2007183773.tif 000012
【図１１】
2007183773.tif 000013