(57)【特許請求の範囲】
【請求項１】
計算機に付属する二次記憶装置に記憶されたファイルに対して禁止されている禁止アクセス行為を検知する不正行為監視システムであって、
上記二次記憶装置に記憶されたファイルに対して禁止されている禁止アクセス行為を検知する不正行為監視装置と、
上記計算機から上記二次記憶装置へのアクセスおよび上記不正行為監視装置から上記二次記憶装置へのアクセスをそれぞれ許容し、上記計算機から上記不正行為監視装置へのアクセスを遮断するＩ／Ｏスケジュール装置
とからなることを特徴とする不正行為監視システム。
【請求項２】
上記Ｉ／Ｏスケジュール装置は、
上記計算機と上記不正行為監視装置のいずれか一方のみを上記二次記憶装置に接続する信号線切替手段
を有することを特徴とする請求項１に記載の不正行為監視システム。
【請求項３】
上記Ｉ／Ｏスケジュール装置は、
上記計算機の上記二次記憶装置への接続要求を検出する計算機監視手段と、
上記不正行為監視装置の上記二次記憶装置への接続要求を検出する監視装置監視手段と、
上記信号線切替手段を制御する切替制御手段
とをさらに備え、
上記計算機監視手段および監視装置監視手段は接続要求を検出するとそれぞれ上記切替制御手段に通知し、
上記切替制御手段は、上記通知の受信順に上記計算機と上記監視装置を上記二次記憶装置に接続するように上記信号線切替手段を制御する
ことを特徴とする請求項２に記載の不正行為監視システム。
【請求項４】
上記二次記憶装置は、ファイルと、該ファイルがアクセスされると該アクセス行為の種類に応じて少なくとも一部が変化する属性情報とを対応付けて記憶し、  上記不正行為監視装置は、監視データ設定ファイル格納手段と、ファイル監視手段を備え、
上記監視データ設定ファイル格納手段は、
上記二次記憶装置が記憶しているファイルのファイル名と、該ファイルに対して禁止されている禁止アクセス行為の種類と、第１の時刻において上記二次記憶装置から獲得したファイルの属性情報である初期属性情報とを記述した属性付き監視データ設定ファイルを保持し、
上記ファイル監視手段は、
上記第１の時刻より後の第２の時刻に上記二次記憶装置から獲得したファイルの属性情報である監視用属性情報と、上記属性付き監視データ設定ファイルの初期属性情報を比較し、
２つの属性情報の間に変化があり、該変化に対応するアクセス行為が上記ファイルに対する禁止アクセス行為であった場合に、
上記第１の時刻から第２の時刻の間に上記ファイルに対して禁止アクセス行為があったと判定する
ことを特徴とする請求項３に記載の不正行為監視システム。
【請求項５】
上記不正行為監視装置は不正行為通知手段をさらに備え、
該不正行為通知手段は、
上記ファイル監視手段があったと判定した禁止アクセス行為を記述した不正行為通知を上記不正行為監視装置外部へ送信する
ことを特徴とする請求項４記載の不正行為監視システム。
【請求項６】
上記不正行為監視装置は不正行為記録ファイル格納手段をさらに備え、
上記ファイル監視手段は、禁止アクセス行為があったと判定した場合、この禁止アクセス行為を記述した不正行為記録ファイルを上記不正行為記録ファイル格納手段に格納し、  上記不正行為通知手段は上記不正行為記録ファイルが更新されると上記不正行為通知を上記不正行為監視装置外部へ送信する
ことを特徴とする請求項５に記載の不正行為監視システム。
【請求項７】
計算機に付属する二次記憶装置に記憶されたファイルに対して禁止されている禁止アクセス行為を検知する不正行為監視システムであって、
上記二次記憶装置に記憶されたファイルに対して禁止されている禁止アクセス行為を検知する複数の不正行為監視装置と、
上記計算機から上記二次記憶装置へのアクセスおよび各不正行為監視装置から上記二次記憶装置へのアクセスをそれぞれ許容し、上記計算機から上記不正行為監視装置のいずれへのアクセスも遮断するＩ／Ｏスケジュール装置
とからなることを特徴とする不正行為監視システム。
【請求項８】
上記Ｉ／Ｏスケジュール装置は、
上記複数の不正行為監視装置と上記計算機の中のいずれか一つのみを上記二次記憶装置に接続する信号線切替手段
を有することを特徴とする請求項７に記載の不正行為監視システム。
【請求項９】
上記Ｉ／Ｏスケジュール装置は、
上記計算機の上記二次記憶装置への接続要求を検出する計算機監視手段と、
上記複数の不正行為監視装置の上記二次記憶装置への接続要求をそれぞれ検出する複数の監視装置監視手段と、
上記信号線切替手段を制御する切替制御手段
とをさらに備え、
上記計算機監視手段および監視装置監視手段は接続要求を検出するとそれぞれ上記切替制御手段に通知し、
上記切替制御手段は、上記通知の受信順に上記計算機と上記監視装置を上記二次記憶装置に接続するように上記信号線切替手段を制御する
ことを特徴とする請求項７に記載の不正行為監視システム。
【請求項１０】
全体監視データ設定ファイル格納手段とファイル監視管理手段を備えた監視管理装置をさらに備え、
上記二次記憶装置は、ファイルの名称と、該ファイルがアクセスされると該アクセス行為の種類に応じて少なくとも一部が変化する属性情報とを対応付けて記憶し、
上記複数の不正行為監視装置は、それぞれファイル監視手段を備え、
上記監視管理装置の全体監視データ設定ファイル格納手段は
上記二次記憶装置が記憶するファイルと、該ファイルに対して禁止されている禁止アクセス行為の種類とを記述した全体監視データ設定ファイルを保持し、
上記監視管理装置のファイル監視管理手段は上記全体監視データ設定ファイルを分割して分割監視データ設定ファイルとして上記複数の不正行為監視装置に送信し、
上記各不正行為監視装置のファイル監視手段は
上記受信した分割監視データ設定ファイルに記述されている上記二次記憶装置上のファイルの属性情報である初期属性情報を獲得して分割監視データ設定ファイルに追記して属性付き分割監視データ設定ファイルとし、上記初期属性情報を獲得した時刻より後に分割監視データ設定ファイルに記述されている上記二次記憶装置上のファイルの属性情報を監視用属性情報として獲得し、  上記属性付き分割監視データ設定ファイルの初期属性情報と上記監視用属性情報を比較し、
２つの属性情報の間に変化があり、該変化に対応するアクセス行為が上記ファイルに対する禁止アクセス行為であった場合に、
上記初期属性情報を獲得した時刻から上記監視用属性情報を獲得した時刻の間に上記ファイルに対して禁止アクセス行為があったと判定する
ことを特徴とする請求項９に記載の不正行為監視システム。
【請求項１１】
上記各不正行為監視装置は不正行為通知手段をさらに備え、
該不正行為通知手段は、
上記ファイル監視手段があったと判定した禁止アクセス行為を記述した不正行為通知を上記監視管理装置に送信する
ことを特徴とする請求項１０に記載の不正行為監視システム。
【請求項１２】
上記不正行為監視装置は不正行為記録ファイル格納手段をさらに備え、
上記ファイル監視手段は、禁止アクセス行為があったと判定した場合、この禁止アクセス行為を記述した不正行為記録ファイルを上記不正行為記録ファイル格納手段に格納し、  上記不正行為通知手段は上記不正行為記録ファイルが更新されると上記不正行為通知を上記監視管理装置に送信し、
上記管理管理装置は上記不正行為通知を受信すると該不正行為を該監視管理装置外部に通知する
ことを特徴とする請求項１１に記載の不正行為監視システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、ネットワークに接続した計算機に対する、ネットワークを経由した利用者の不正行為（許可されないデータファイルへのアクセス、許可されない読み出し、許可されない書き込み、許可されないアクセス権設定の変更等）を検知する技術に関するものである。
【０００２】
【従来の技術】
図１７は、例えば、従来例として、「ネットワーク侵入検知」（２０００年６月９日、ソフトバンクパブリッシング株式会社発行）１７２〜１８５ページに示された警報システムの構成図である。
図１７において、１００１は利用者端末、１００２は監視対象である計算機、１００３は利用者の端末と監視対象の計算機を接続するネットワーク、１０２０は上記監視対象である計算機１００２に入出力インターフェース（I/O-I/F）で接続しファイルを記録する二次記憶装置、１０２１は監視設定ファイルに記述された監視対象のファイルを監視するファイル監視プログラム、１０２２はどのファイルのどのような操作を監視するかを記述した監視設定ファイル、１０２３は監視対象の計算機が二次記憶装置に接続するための監視対象の計算機にあるI/O-I/F（Ａ）、１０２４は二次記憶装置のI/O-I/Fである。
【０００３】
次に動作について説明する。
監視対象である計算機１００２の利用者は、利用者端末１００１からネットワーク１００３を経由して、監視対象の計算機１００２へログインを行う。
利用者は、監視対象である計算機１００２のリソース（ＣＰＵ、メモリ、二次記憶装置）を使用して、作業を行う。
不正行為を行うことを意図する利用者は、利用者端末１００１から監視対象である計算機１００２に接続された二次記憶装置１０２０上にあるファイルに対して、禁止されている操作（読み出し、書き込み、削除、アクセス権の変更のいずれかまたはその組合せ）を行う。
【０００４】
ファイル監視プログラム１０２１は、指定された規則（たとえば、一定時間間隔やファイルがアクセスされた時など）に基づいて、監視設定ファイル１０２２に記述されたファイルとそのファイルへの操作を監視する。
ファイル監視プログラム１０２１は、ファイルの属性を検査し、監視設定ファイル１０２２に記述されたファイルに対して、監視設定ファイル１０２２に記述された禁止された操作が行われたことを検知した場合は、管理者へ通知を行う。
【０００５】
【発明が解決しようとする課題】
従来の技術では、監視対象の計算機１００２上で、ファイルへの不正行為を検知するファイル監視プログラム１０２１を動作させている。
不正行為を検知する機能の処理は、監視対象の計算機１００２のシステム資源（ＣＰＵ時間、メモリ、ＨＤＤなど）を必要としており、監視対象のファイルが増加すれば、その数に比例して、監視対象の計算機１００２のシステム資源を消費し、監視対象の計算機１００２の本来の作業を阻害するという問題点があった。
また、監視対象の計算機１００２上で動作するために、不正行為を行う利用者から、発見され易いため、その動作を停止させられ、不正行為を検知することができなくなるという問題点があった。
【０００６】
この発明は上記のような問題点を解決するためになされたもので、利用者に知られることなく、利用者のファイルへの不正行為を検知することを目的とする。
【０００７】
【課題を解決するための手段】
この発明にかかる不正行為監視システムは、計算機に付属する二次記憶装置への不正行為を監視する不正行為監視システムであって、上記二次記憶装置への不正行為を監視する不正行為監視装置と、上記計算機から上記二次記憶装置へのアクセスおよび上記不正行為監視装置から上記二次記憶装置へのアクセスをそれぞれ許容し、上記計算機から上記不正行為監視装置へのアクセスを遮断するＩ／Ｏスケジュール装置とからなるものである。
【０００８】
またこの発明にかかる不正行為監視システムは、上記Ｉ／Ｏスケジュール装置は、上記計算機と上記不正行為監視装置のいずれか一方のみを上記二次記憶装置に接続する信号線切替手段を有するものである。
【０００９】
またこの発明にかかる不正行為監視システムは、上記Ｉ／Ｏスケジュール装置は、上記計算機の上記二次記憶装置への接続要求を検出する計算機監視手段と、上記不正行為監視装置の上記二次記憶装置への接続要求を検出する監視装置監視手段と、上記信号線切替手段を制御する切替制御手段
とをさらに備え、上記計算機監視手段および監視装置監視手段は接続要求を検出するとそれぞれ上記切替制御手段に通知し、上記切替制御手段は、上記通知の受信順に上記計算機と上記監視装置を上記二次記憶装置に接続するように上記信号線切替手段を制御するようにしたものである。
【００１０】
またこの発明にかかる不正行為監視システムは、上記二次記憶装置は、ファイルと、該ファイルがアクセスされると該アクセス行為の種類に応じて少なくとも一部が変化する属性情報とを対応付けて記憶し、上記不正行為監視装置は、監視データ設定ファイル格納手段と、ファイル監視手段を備え、上記監視データ設定ファイル格納手段は、上記二次記憶装置が記憶しているファイルのファイル名と、該ファイルに対して禁止されている禁止アクセス行為の種類と、第１の時刻において上記二次記憶装置から獲得したファイルの属性情報である初期属性情報とを記述した属性付き監視データ設定ファイルを保持し、上記ファイル監視手段は、上記第１の時刻より後の第２の時刻に上記二次記憶装置から獲得したファイルの属性情報である監視用属性情報と、上記属性付き監視データ設定ファイルの初期属性情報を比較し、２つの属性情報の間に変化があり、該変化に対応するアクセス行為が上記ファイルに対する禁止アクセス行為であった場合に、上記第１の時刻から第２の時刻の間に上記ファイルに対して禁止アクセス行為があったと判定するようにしたものである。
【００１１】
またこの発明にかかる不正行為監視システムは、上記不正行為監視装置は不正行為通知手段をさらに備え、該不正行為通知手段は、上記ファイル監視手段があったと判定した禁止アクセス行為を記述した不正行為通知を上記不正行為監視装置外部へ送信するようにしたものである。
【００１２】
またこの発明にかかる不正行為監視システムは、上記不正行為監視装置は不正行為記録ファイル格納手段をさらに備え、上記ファイル監視手段は、禁止アクセス行為があったと判定した場合、この禁止アクセス行為を記述した不正行為記録ファイルを上記不正行為記録ファイル格納手段に格納し、上記不正行為通知手段は上記不正行為記録ファイルが更新されると上記不正行為通知を上記不正行為監視装置外部へ送信するようにしたものである。
【００１３】
またこの発明にかかる不正行為監視システムは、計算機に付属する二次記憶装置への不正行為を監視する不正行為監視システムであって、上記二次記憶装置への不正行為を監視する複数の不正行為監視装置と、上記計算機から上記二次記憶装置へのアクセスおよび各不正行為監視装置から上記二次記憶装置へのアクセスをそれぞれ許容し、上記計算機から上記不正行為監視装置のいずれへのアクセスも遮断するＩ／Ｏスケジュール装置とからなるものである。
【００１４】
またこの発明にかかる不正行為監視システムは、上記Ｉ／Ｏスケジュール装置は、上記複数の不正行為監視装置と上記計算機の中のいずれか一つのみを上記二次記憶装置に接続する信号線切替手段を有するものである。
【００１５】
またこの発明にかかる不正行為監視システムは、上記Ｉ／Ｏスケジュール装置は、上記計算機の上記二次記憶装置への接続要求を検出する計算機監視手段と、上記複数の不正行為監視装置の上記二次記憶装置への接続要求をそれぞれ検出する複数の監視装置監視手段と、上記信号線切替手段を制御する切替制御手段とをさらに備え、上記計算機監視手段および監視装置監視手段は接続要求を検出するとそれぞれ上記切替制御手段に通知し、上記切替制御手段は、上記通知の受信順に上記計算機と上記監視装置を上記二次記憶装置に接続するように上記信号線切替手段を制御するようにしたものである。
【００１６】
またこの発明にかかる不正行為監視システムは、全体監視データ設定ファイル格納手段とファイル監視管理手段を備えた監視管理装置をさらに備え、上記二次記憶装置は、ファイルの名称と、該ファイルがアクセスされると該アクセス行為の種類に応じて少なくとも一部が変化する属性情報とを対応付けて記憶し、上記複数の不正行為監視装置は、それぞれファイル監視手段を備え、上記監視管理装置の全体監視データ設定ファイル格納手段は上記二次記憶装置が記憶するファイルと、該ファイルに対して禁止されている禁止アクセス行為の種類とを記述した全体監視データ設定ファイルを保持し、上記監視管理装置のファイル監視管理手段は上記全体監視データ設定ファイルを分割して分割監視データ設定ファイルとして上記複数の不正行為監視装置に送信し、上記各不正行為監視装置のファイル監視手段は上記受信した分割監視データ設定ファイルに記述されている上記二次記憶装置上のファイルの属性情報である初期属性情報を獲得して分割監視データ設定ファイルに追記して属性付き分割監視データ設定ファイルとし、上記初期属性情報を獲得した時刻より後に分割監視データ設定ファイルに記述されている上記二次記憶装置上のファイルの属性情報を監視用属性情報として獲得し、  上記属性付き分割監視データ設定ファイルの初期属性情報と上記監視用属性情報を比較し、２つの属性情報の間に変化があり、該変化に対応するアクセス行為が上記ファイルに対する禁止アクセス行為であった場合に、上記初期属性情報を獲得した時刻から上記監視用属性情報を獲得した時刻の間に上記ファイルに対して禁止アクセス行為があったと判定するようにしたものである。
【００１７】
またこの発明にかかる不正行為監視システムは、上記各不正行為監視装置は不正行為通知手段をさらに備え、該不正行為通知手段は、上記ファイル監視手段があったと判定した禁止アクセス行為を記述した不正行為通知を上記監視管理装置に送信するようにしたものである。
【００１８】
またこの発明にかかる不正行為監視システムは、上記不正行為監視装置は不正行為記録ファイル格納手段をさらに備え、上記ファイル監視手段は、禁止アクセス行為があったと判定した場合、この禁止アクセス行為を記述した不正行為記録ファイルを上記不正行為記録ファイル格納手段に格納し、上記不正行為通知手段は上記不正行為記録ファイルが更新されると上記不正行為通知を上記監視管理装置に送信し、上記管理管理装置は上記不正行為通知を受信すると該不正行為を該監視管理装置外部に通知するようにしたものである。
【００１９】
【発明の実施の形態】
実施の形態１．
図１から図７を用いて実施の形態１を説明する。
図１はこの実施の形態における不正行為監視システムを含むシステム構成図である。
図１において、１は計算機２へネットワーク１０経由でアクセスする利用者端末１、３は上記計算機２の二次記憶装置５を監視する監視装置、４は計算機２または監視装置３からの二次記憶装置５へのアクセスをスケジュールするＩ／Ｏスケジュール装置４、５は計算機２の二次記憶装置であり、磁気ディスク装置等からなる。６は上記監視装置を管理する管理者である。
Ｉ／Ｏスケジュール装置４と二次記憶装置５間、計算機２とＩ／Ｏスケジュール装置４間、監視装置３とＩ／Ｏスケジュール装置４間、はそれぞれＩＤＥ、ＳＣＳＩ、ＳＡＮなどのＩ／Ｏインターフェースで接続されている。
利用者の端末１から計算機２へはネットワーク経由でアクセスが可能である。また監視装置３は、利用者端末１からアクセスできるネットワークワークには接続されていない。
上記監視装置３とＩ／Ｏスケジュール装置５からこの発明における不正行為監視システムが構成されている。また監視装置３がこの発明における不正行為監視装置である。
【００２０】
図２はこの実施の形態における監視装置３の構成図である。
図２において、３１は監視対象に設定されたファイルを監視するファイル監視手段、３２はファイル監視手段が検知した不正行為を管理者６に通知する不正行為通知手段、３３はＩ／Ｏスケジュール装置４と接続する入出力インターフェースであるI/O-I/F（Ｐ）、３４は監視対象であるファイルとその設定情報を記録する監視データ設定ファイル格納手段、３５はファイル監視手段が検知した不正行為を記録するファイルである不正行為記録ファイルを格納する不正行為記録ファイル格納手段である。
監視データ設定ファイル格納手段３４と不正行為記録ファイル格納手段３５は磁気ディスク装置やメモリ等の情報記憶手段からなる。
【００２１】
図３はＩ／Ｏスケジュール装置４の概略構成図であり、図３において、４１は計算機２のI/O-I/Fと接続する入出力インターフェースであるI/O-I/F（Ａ）、４２は監視装置３のI/O-I/F（Ｐ）３３と接続する入出力インターフェースであるI/O-I/F（Ｂ）、４３は二次記憶装置５のI/O-I/Fと接続する入出力インターフェースであるI/O-I/F（Ｃ）である。
【００２２】
図４はこのＩ／Ｏスケジュール装置４の詳細な構成図である。
I/O-I/F（Ａ）４１は計算機２からのデータを二次記憶装置５へ送信するための制御データを伝達する制御信号線（Ａ）４１１と計算機２から二次記憶装置５へ送信するデータを伝達するデータ信号線（Ａ）４１２とからなり、I/O-I/F（Ｂ）４２は監視装置３からのデータを二次記憶装置５へ送信するための制御データを伝達する制御信号線（Ｂ）４２１と監視装置３から二次記憶装置５へ送信するデータを伝達するデータ信号線（Ｂ）４２２とからなる。また、I/O-I/F（Ｃ）４３は二次記憶装置５へのデータを二次記憶装置５へ送信するための制御データを伝達する制御信号線（Ｃ）４３１と二次記憶装置５へのデータを伝達するデータ信号線（Ｃ）４３２とからなる。
【００２３】
４１３はI/O-I/F（Ａ）４１の制御信号線（Ａ）４１１を監視し、後述のI/O-I/F切替制御手段４４へ通知する制御信号線監視手段（Ａ）、４２３はI/O-I/F（Ｂ）の制御信号線（Ｂ）４２１を監視し、I/O-I/F切替制御手段４４へ通知する制御信号線監視手段（Ｂ）である。
【００２４】
４４は上記制御信号線監視手段（Ａ）４１３または制御信号線監視手段（Ｂ）４２３からの通知および現在の動作状況から判断して、I/O-I/F（Ａ）４１とI/O-I/F（Ｂ）４２のどちらをI/O-I/F（Ｃ）４３に接続するかを決定し、後述の信号線切替手段４５へ切替のための命令をする、すなわち信号線切替手段４５を制御するI/O-I/F切替制御手段であり、４４１はI/O-I/F切替制御手段４４に含まれ、I/O-I/F（Ｃ）４３に対して接続されているI/O-I/FがI/O-I/F（Ａ）４１かI/O-I/F（Ｂ）４２のいずれであるかを示す識別番号を保持する処理状態保持バッファ、４４２はI/O-I/F切替制御手段４４に含まれ、I/O-I/F（Ｃ）４３に対する接続を待機しているI/O-I/Fの識別番号を保持する処理待機状態保持バッファである。
【００２５】
４５は上記I/O-I/F切替制御手段４４からの命令により、I/O-I/F（Ｃ）４３が接続されるI/O-I/FをI/O-I/F（Ａ）４１またはI/O-I/F（Ｂ）４２に切り替える信号線切替手段であり、制御信号線（Ｃ）４３１の接続先を制御信号線（Ａ）４１１または制御信号線（Ｂ）４２１に切り替え、データ信号線（Ｃ）４３２の接続先をデータ信号線（Ａ）４１２またはデータ信号線（Ｂ）４２２にそれぞれ切り替える信号線切替手段である。
図４の信号線切替手段４５は模式的に表したものであり、複数のスイッチ４５１がすべて左に倒れてI/O-I/F（Ｃ）４３とI/O-I/F（Ａ）４１の対応する信号線がそれぞれ接続されている。接続を切り替える際には複数のスイッチ４５１が一斉に右に倒れることにより、I/O-I/F（Ｃ）４３とI/O-I/F（Ｂ）４２の対応する信号線がそれぞれ接続される。スイッチ４５１は制御信号線（Ｃ）４３１とデータ信号線（Ｃ）４３２の総数に等しい数だけ備えられている。
【００２６】
上記制御信号線監視手段（Ａ）４１３がこの発明における計算機監視手段、制御信号線監視（Ｂ）４２３がこの発明における監視装置監視手段である。
【００２７】
次に、I/O-I/Fスケジュール装置４の動作について説明する。
動作開始時、I/O-I/F（Ｃ）４３とI/O-I/F（Ａ）４１との間でデータを送受信できるように、信号線切替手段４５により制御信号線（Ａ）４１１と制御信号線（Ｃ）４３１、データ信号線（Ａ）４１２とデータ信号線（Ｃ）４３２が接続されている。
この時、I/O-I/F切替装置４４では、処理状態保持バッファ４４１に現在の接続状況としてI/O-I/F（Ａ）４１を示すＩ／Ｆ識別番号（例えば１）を記録する。
【００２８】
I/O-I/F（Ｂ）４２から、二次記憶装置５のデータを送信するように要求するデータ送信要求（接続要求）があると、制御信号線（Ｂ）４２１の状態が変化する。制御信号線監視手段（Ｂ）４２３は、制御信号線（Ｂ）４２１の状態が変化したことを検出すると（すなわ監視装置３の二次記憶装置５への接続要求を検出すると）、I/O-I/F切替制御手段４４へ接続要求を通知する。
I/O-I/F切替制御手段４４は、処理状態保持保持バッファ４４１のデータから制御信号線監視手段（Ａ）４１３へ現在の制御信号線（Ａ）の使用状況を確認する。制御信号線監視手段（Ａ）４１３からI/O-I/F（Ａ）４１が信号線を使用していることが通知されれば、I/O-I/F切替制御手段４４は処理待機状態保持バッファ４４２に、I/O-I/F（Ｂ）４２を示すＩ／Ｆ識別番号（例えば２）を記録し、I/O-I/F（Ｂ）４２が待機状態、すなわち監視装置３が待機状態であることを記録する。
【００２９】
計算機２が二次記憶装置５の使用を終了すると、制御信号線監視手段（Ａ）４１３は、使用が終了したことをI/O-I/F切替制御手段４４へ使用終了通知として通知する。
I/O-I/F切替制御手段４４は、制御信号線監視手段（Ａ）４１３からI/O-I/F（Ａ）４１によるI/O-I/F（Ｃ）４３の使用終了通知を受信し、処理待機状態保持バッファ４４２を参照する。処理待機状態保持バッファ４４２が２であるので、処理状態保持バッファ４４１が保持する識別番号を２に変更し、信号線切替手段４５に、I/O-I/F（Ｂ）４２の制御信号線（Ｂ）４２１およびデータ信号線（Ｂ）４２２をI/O-I/F（Ｃ）４３の制御信号線（Ｃ）４３１およびデータ信号線（Ｃ）４３２にそれぞれ接続するように命令する。
さらに処理待機状態保持バッファ４４２に、処理を待機しているI/O-I/Fがないことを示す例えば０を記録する。
【００３０】
この後再度計算機２が二次記憶装置５へのアクセス要求（接続要求）をすると、制御信号線（Ａ）４１１の状態が変化するので、制御信号線監視手段（Ａ）４１３はこの接続要求を検出してI/O-I/F切替制御手段４４に接続要求を通知し、I/O-I/F切替制御手段４４は監視装置３が二次記憶装置５に接続中であれば処理待機状態保持バッファ４４２にI/O-I/F（Ａ）４１を示すＩ／Ｆ識別番号（例えば１）を記録する。
監視装置３が二次記憶装置５に接続中でなければ、I/O-I/F切替制御手段４４は処理状態保持バッファ４４１にＩ／Ｆ識別番号（例えば１）を記録し、I/O-I/F（Ａ）４１とI/O-I/F（Ｃ）４３を接続するように信号線切替手段４５に指示する。
【００３１】
Ｉ／Ｏスケジュール装置４は上記のように構成されているので、計算機２から二次記憶装置５へのアクセスと、監視装置３から二次記憶装置５へのアクセスは許容されるが、計算機２から監視装置３へのアクセスは行えず、遮断される。
また信号線切替手段は、計算機２と監視装置３のいずれか一方のみを二次記憶装置５に接続することになる。
またI/O-I/F切替制御手段４４は制御信号線監視手段（Ａ）４１３と制御信号線監視手段（Ｂ）４２３が接続要求を検出した際に出す通知を受信した順に従って、各通知に対応する計算機２または監視装置３を二次記憶装置５に接続する。
【００３２】
上記の構成において、不正行為を行うことを意図する利用者は、利用者端末１により計算機２に接続された二次記憶装置５上にあるファイルに対して、禁止されている操作（読み出し、書き込み、削除、アクセス権の変更のいずれかまたはその組合せ）を行う。
その操作は、I/O-I/Fの命令およびデータに変換され、計算機２を経由して、Ｉ／Ｏスケジュール装置４に出力される。
Ｉ／Ｏスケジュール装置４は、入力された命令およびデータを接続された二次記憶装置５に出力する。
【００３３】
一方、監視装置３のファイル監視手段３１は、指定された規則（たとえば、一定時間間隔やファイルがアクセスされた時など）に基づいて、監視装置３のI/O-I/F（Ｐ）３３から二次記憶装置５に対して、監視対象であるファイルの属性情報の読み出しを行う。
その読み出しは、I/O-I/Fの命令およびデータに変換されて、Ｉ／Ｏスケジュール装置４に出力される。
Ｉ／Ｏスケジュール装置４は、入力された命令およびデータに基づいて、接続された二次記憶装置５からデータを取得する。
Ｉ／Ｏスケジュール装置４は、取得したデータを監視装置３のI/O-I/F（Ｐ）３３へ入力し、監視装置３は、I/O-I/Fから受け取ったデータをファイルの属性情報としてファイル監視手段３１へ返す。
【００３４】
計算機２が二次記憶装置５のファイルへアクセスしている時、監視装置３が二次記憶装置５へアクセス要求を行った場合は、監視装置３は監視装置３の要求したアクセス要求の命令およびデータが実行されるまで、Ｉ／Ｏスケジュール装置４からの応答を待つ。計算機２の二次記憶装置５へのアクセスが終了した後、監視装置３の命令およびデータが実行される。
逆に、監視装置３が二次記憶装置５のファイルへアクセスしている時に、計算機２が二次記憶装置５へアクセス要求を行った場合は、計算機２からの命令およびデータがＩ／Ｏスケジュール装置４のバッファ（図示せず）の中に蓄積されて、要求した命令およびデータが実行されるまで、Ｉ／Ｏスケジュール装置４からの応答を待つ。
【００３５】
次に、ファイルの監視に関する初期設定方法について説明する。
Ｉ／Ｏスケジュール装置４のI/O-I/F（Ｃ）４３に、二次記憶装置５を接続し、次いで監視対象である計算機２のI/O-I/Fに、Ｉ／Ｏスケジュール装置４のI/O-I/F（Ａ）４１を接続する。さらに監視装置３のI/O-I/F（Ｐ）３３に、Ｉ／Ｏスケジュール装置４のI/O-I/F（Ｂ）４２を接続する。
【００３６】
計算機２の電源を入れると、計算機２は保有するソフトウェア（ＯＳおよびアプリケーション）から二次記憶装置５の読み出し、書き込みができるように、二次記憶装置５を初期化する。同時に計算機２は、監視装置３上のソフトウェア（ＯＳおよびアプリケーション）から読み出しができるように、二次記憶装置５を初期化する。
【００３７】
監視装置３の電源を入れると、監視装置３は、二次記憶装置５内の監視対象とするファイルの名称および監視対象とするそのファイルに対して禁止されているアクセス行為（禁止アクセス行為）の種類を二次記憶装置５から読み出し、監視データ設定ファイル格納手段９に、例えば図５のようなデータ形式で監視データ設定ファイル３４１として記録する。
ファイル名は、監視装置３からアクセスする時の絶対パス名（/target/etc/passwd ）を監視対象パス名３４２として記録する。監視対象とするファイルへの禁止されているアクセス行為は、読み出し、書き込み、アクセス権の変更を意味するアクセス行為コード３４３(読み出しは３、書き込みは２、アクセス権の変更は１など)を指定する。アクセス行為コード３４３は、１つの監視対象パス名に対して複数個記述できる。
【００３８】
次いで監視装置３上で、ファイル監視手段３１を起動する。
ファイル監視手段３１は、監視データ設定ファイル３４１に監視対象パス名３４２が記録されている二次記憶装置５上のすべてのファイル（監視対象ファイル）へアクセスし、監視対象ファイルに設定されているアクセス権、直近のアクセス時刻および更新時刻、現状のファイルの大きさからなる属性情報を取得する。
ファイル毎の取得した属性情報を、監視データ設定ファイル３４１の該当するファイルのデータに、例えば図６のようなデータ形式で記録し監視データ設定ファイル格納手段３４に格納する。このデータを属性付き監視データ設定ファイル３４１ａとする。
以上で初期設定は完了である。
上記属性情報は、そのファイルがアクセルされると、アクセス権、直近のアクセス時刻、更新時刻、ファイルの大きさの少なくとも１つ（すなわち属性情報の少なくとも一部）が変化する。
【００３９】
この初期設定においてファイル監視手段３１が二次記憶装置５から獲得した属性情報が、この発明における初期属性情報、ファイル監視手段３１が二次記憶装置５から属性情報を獲得した時刻がこの発明における第１の時刻である。
【００４０】
次に、監視装置３上のファイル監視手段３１による監視方法について説明する。
ファイル監視手段３１は、例えば周期的に、監視対象ファイルを検査する。この監視周期は、起動のパラメータとして、ファイル監視手段３１に管理者６が入力する。
まず、ファイル監視手段３１は監視データ設定ファイル格納手段３４から１つの監視対象ファイルの監視対象パス名を読み込む。
次に、その監視対象パス名に従ってその監視対象ファイルへアクセスし、監視対象ファイルのアクセス権、アクセス時刻、更新時刻、ファイルの大きさ等の属性情報を監視用属性情報として取得する。そのファイルへのアクセスできない場合は、不正行為があったと判定する。
監視用属性情報を取得した時刻がこの発明における第２の時刻である。
【００４１】
監視対象ファイルへの禁止アクセス行為として読み出しが記録されている場合、すなわちこのファイルからの読出しが禁止され、アクセス行為コードに「３」が記入されている場合、属性付き監視データ設定ファイル３４１ａに記録されているアクセス時刻と、ファイルから取得したアクセス時刻を比較し、異なっている場合は、ファイルから取得したアクセス時刻に読出しが行われたとして、不正行為（禁止アクセス行為）があったと判定する。
監視対象ファイルへの禁止アクセス行為として、書き込みが記録されている場合、すなわちこのファイルへの書きこみが禁止され、アクセス行為コードに「２」が記入されている場合、監視対象設定ファイルに記録されている更新時刻と、ファイルから取得した更新時刻を比較し、異なっている場合は、ファイルから取得した更新時刻に書きこみが行われたとして、不正行為があったと判定する。
【００４２】
また、ファイルサイズも比較し、異なっている場合は、不正行為があったと判定する。
監視対象とするファイルへの禁止アクセス行為として、アクセス権が記録されている場合、監視対象設定ファイルに記録されているアクセス権と、ファイルから取得したアクセス権を比較し、異なっている場合は、不正行為があったと判定する。
【００４３】
以上のように、監視対象ファイルの属性情報の取得処理と検査処理をファイル毎に実行することは、二次記憶装置５を頻繁にアクセスし、処理が遅くなるので、すべてのファイル情報（監視対象パス名、アクセス行為コード、属性情報）をファイル監視手段３１内部のバッファ領域に取得した後に、ファイルの不正行為の検査を行う。
不正行為があったと判定した場合は、不正行為記録ファイル格納手段３５内に格納された不正行為記録ファイル３５１へ、ファイル名、検出日時、不正なアクセス行為コード（ファイルへのアクセス行為のコードと同じ）を例えば、図７のようなデータ形式で記録する。
監視データ設定ファイル３４１にあるすべてのファイルについて、検査が終了した時、指定された監視周期で待機する。
不正行為通知手段３２は、不正行為記録ファイル３５１が更新されたか否かを周期的に監視する。
不正行為記録ファイル３５１が更新されたことを検出した場合は、追加された情報を、指定された方法で、管理者へ不正行為通知として通知する。この指定された方法としては、指定されたメールアドレスへ追加された情報をメールで送信する方法がある。
【００４４】
また、ネットワーク障害通知の通信プロトコルでＳＮＭＰを使用して、イベントとして、ＳＮＭＰを受信するネットワーク管理ソフトウェアへ通知し、間接的に管理者へ通知する方法もある。
また、ネットワーク管理ソフトウェア固有の通知プロトコルを使用して、ネットワーク管理ソフトウェアへ通知して、間接的に管理者へ通知する方法もある。
【００４５】
以上のように、Ｉ／Ｏスケジュール装置４は計算機２から二次記憶装置５へのアクセスおよび監視装置３から二次記憶装置５へのアクセスは許容するが、計算機２から監視装置５へのアクセスは許容しないので、監視装置３の監視行為を利用者から発見されないので、信頼性の高い不正行為の監視を行うことができる。
また、計算機２二次記憶装置上のファイルを、この計算機２とは異なる監視装置３で監視するため、監視対象である計算機２のシステム資源を消費することなく、ファイルへの不正行為を監視することができる。
【００４６】
なお以上の説明においては、ファイル監視手段３１は周期的に監視対象ファイルを検査するとしたが、監視対象ファイルがアクセスされたときに検査するようにしてもよい。監視対象ファイルがアクセスされたことはＩ／Ｏスケジュール装置４に図示しないアクセス検出装置を設け、このアクセス検出装置からファイル監視手段３１に検査開始の指示が送信されるようにすればよい。
またファイル監視手段３１が監視対象ファイルを検査する周期は管理者６が入力するとしたが、予め設定された固定値であってもよい。
【００４７】
実施の形態２．
図８から図１６を用いて実施の形態２を説明する。
実施の形態１は、計算機２の二次記憶装置５上のファイルをＩ／Ｏスケジュール装置４を介して接続された監視装置３によって監視するものであるが、この実施の形態では監視対象のファイルが膨大で、監視対象であるすべてのファイルを監視装置３が監視するためには時間がかかり、十分な監視を行えないような場合に、監視装置３の負荷を軽減することにより、監視を行う例を示す。
【００４８】
図８は、この実施の形態における不正行為監視システムを含むシステム構成図であり、図８において、実施の形態１と同一または相当部分には同一の符号を付して説明を省略する。
図８において、３００は実施の形態１において図２に示した監視装置３と同様の構成を有する複数の監視装置、１１は上記複数の監視装置３００を集中的に管理する監視管理装置、１２は計算機２または各監視装置３００の二次記憶装置５へのアクセスをスケジュールするＩ／Ｏスケジュール装置、５００は上記監視管理装置１１とすべての監視装置３００を接続する管理ネットワークである。
図２に示した実施の形態１における監視装置３が通知を管理者６に送信するのに対し、この実施の形態における監視装置３００は、通知を監視管理装置１１に対して送信する点が異なる。
【００４９】
図９は、監視管理装置１１の構成図である。
図９において、１１１は全体監視データ設定ファイルを分割し、監視装置３００へ分割監視データ設定ファイルとして送信するファイル監視管理手段、１１２は監視装置３００より通知される不正行為を取得し、管理者へ通知する通知管理手段、１１３は監視対象である二次記憶５上のファイルの情報を記録する全体監視データ設定ファイル格納手段、１１４は各監視装置３００より通知される不正行為を記録する不正行為通知ファイル格納手段である。
図９において監視管理装置１１と各監視装置３００は管理ネットワーク５００により接続されている。
【００５０】
図１０は、Ｉ／Ｏスケジュール装置１２の概略構成図である。
図１０において、１２１は計算機２の入出力インターフェース（I/O-I/F）と接続する入出力インターフェースであるI/O-I/F（Ａ２）、I/O-I/F（Ｂ２）、１２２はそれぞれが上記複数の監視装置３００のI/O-I/Fと接続する入出力インターフェースである複数のI/O-I/F（Ｂ２）、１２３は二次記憶装置５のI/O-I/Fと接続する入出力インターフェースであるI/O-I/F（Ｃ２）、１３は二次記録装置５への命令およびデータの処理待ちをしているI/O-I/F（Ａ２）１２１の識別番号及び複数のI/O-I/F（Ｂ２）１２２のそれぞれに付されたＩ／Ｆ識別番号を記録するリングバッファである。
【００５１】
図１１はI/O-I/Fスケジュール装置１２の詳細な構成図である。
I/O-I/F（Ａ２）１２１は計算機２からのデータを二次記憶装置５へ送信するための制御データを伝達する制御信号線（Ａ２）１２１１と計算機２から二次記憶装置５へ送信するデータを伝達するデータ信号線（Ａ２）１２１２からなり、I/O-I/F（Ｂ２）１２２はそれぞれ各監視装置３００からのデータを二次記憶装置５へ送信するための制御データを伝達する制御信号線（Ｂ２）１２２１と各監視装置３００から二次記憶装置５へ送信するデータを伝達するデータ信号線（Ｂ２）１２２２とからなる。また、I/O-I/F（Ｃ２）１２Ｃはデータを二次記憶装置５へ送信するための制御データを伝達する制御信号線（Ｃ２）１２３１、二次記憶装置へのデータを伝達するデータ信号線１２３２（Ｃ２）からなる。
【００５２】
１２１３はI/O-I/F（Ａ２）１２１の制御信号線（Ａ２）１２１１を監視し、後述のI/O-I/F切替制御手段１２４へ通知する制御信号線監視手段（Ａ１）、１２２３はそれぞれI/O-I/F（Ｂ２）１２２の制御信号線（Ｂ２）１２２１を監視し、I/O-I/F切替制御手段１２４へ通知する複数の制御信号線監視手段（Ｂ２）である。
【００５３】
１２４は上記制御信号監視装置（Ａ２）１２１３または各制御信号線監視手段（Ｂ２）１２２３からの通知および現在の動作状況から判断して、I/O-I/F（Ａ２）１２１１または複数のI/O-I/F（Ｂ２）１２２のいずれの信号線をI/O-I/F（Ｃ２）１２３に接続するかを決定し、後述の信号線切替手段１２５へ切替のための命令をする、すなわち信号線切替手段１２５を制御するI/O-I/F切替制御手段であり、リングバッファ１３はこのI/O-I/F切替制御手段に含まれる。
【００５４】
１２５はI/O-I/F切替制御手段１２４からの命令により、I/O-I/F（Ｃ２）１２３が接続されるI/O-I/FをI/O-I/F（Ａ２）１２１またはI/O-I/F（Ｂ２）１２２のいずれか１つに切り替える信号線切替手段であり、制御信号線（Ｃ２）１２３１の接続先を制御信号線（Ａ２）１２１１またはいずれか１つの制御信号線（Ｂ２）１２２１に切り替え、データ信号線（Ｃ２）１２３２の接続先をデータ信号線（Ａ２）１２１２またはいずれかのデータ信号線（Ｂ２）１２２２にそれぞれ切り替える信号線切替手段である。
図１１の信号線切替手段１２５は模式的に表したものであり、複数のスイッチ１２５１がすべて左から２番目の接点と接触し、I/O-I/F（Ｃ）４３と複数のI/O-I/F（Ｂ２）１２２のうちの最も左のI/O-I/F（Ｂ２）１２２の対応する信号線がそれぞれ接続されている。接続を切り替える際には複数のスイッチ１２５１が一斉に同じ動きをすることにより、I/O-I/F（Ｃ２）１２３とI/O-I/F（Ａ２）１２１の対応する信号線、またはI/O-I/F（Ｃ２）１２３といずれか１つのI/O-I/F（Ｂ２）１２２の対応する信号線がそれぞれ接続される。
【００５５】
上記制御信号線監視手段（Ａ２）１２１３がこの発明における計算機監視手段、制御信号線監視手段（Ｂ２）１２２３がこの発明における監視装置監視手段である。
【００５６】
図１２はリングバッファ１３の内部構成図である。
図１２において、１３１は二次記録装置５への命令およびデータの処理待ちしているI/O-I/Fの中で、次に処理されるI/O-I/Fの識別番号を記録したバッファの位置を記録した読み出しポインタ、１３２は二次記録装置５への命令およびデータの処理待ちするI/O-I/Fの識別番号を記録する書き込みポインタ、１６は二次記録装置５への命令およびデータの処理待ちしているI/O-I/Fの識別番号を記録するバッファである。
【００５７】
次に、I/O-I/Fスケジュール装置１２の動作について説明する。
動作開始時、I/O-I/F（Ｃ１）１２３とI/O-I/F（Ａ２）１２１がデータを送受信できるように、信号線切替手段１２５により制御信号線（Ａ２）１２１１と制御信号線（Ｃ２）１２３１、データ信号線（Ａ２）１２１２とデータ信号線（Ｃ２）１２３２が接続されている。
【００５８】
いずれかのI/O-I/F（Ｂ２）１２２からデータを送信するように要求するデータ送信要求（接続要求）があると、このI/O-I/F（Ｂ２）１２２の制御信号線（Ｂ２）１２２１の状態が変化する。このI/O-I/F（Ｂ２）１２２の制御信号線監視手段（Ｂ２）１２２３は、制御信号線（Ｂ２）１２２１の状態が変化したことを検出すると（すなわ監視装置３の二次記憶装置５への接続要求を検出すると）をI/O-I/F切替制御手段１２４へ接続要求を通知する。
I/O-I/F切替制御手段１２４はリングバッファ１３に、通知をして来たI/O-I/F（Ｂ２）１２２を示すＩ／Ｆ識別番号（例えばＸとする）を書き込みポインタ１３１の示すバッファ１３３へ記録し、リングバッファ１３の書き込みポインタ１３２をインクリメントする。これによりＩ／Ｆ識別番号Ｘを有するI/O-I/F（Ｂ２）１２２は接続待ちの状態に入る。
同様に他の制御信号線監視手段（Ｂ２）１２２３は、対応する制御信号線（Ｂ２）１２２１の状態が変化したことをI/O-I/F切替制御手段１２４へ通知し、I/O-I/F切替制御手段１２４はリングバッファ１３に、通知があったI/O-I/F（Ｂ２）１２２を示すＩ／Ｆ識別番号を記録し、書き込みポインタ１３２をインクリメントする。これにより通知した順に各I/O-I/F（Ｂ２）１２２は接続待ちの状態に入る。
【００５９】
計算機２が二次記憶装置５の使用を終了すると、制御信号監視装置（Ａ２）１２１３は、使用が終了したことをI/O-I/F切替制御手段１２４へ使用終了通知として通知する。
I/O-I/F切替制御手段１２４は、制御信号線監視手段（Ａ２）１２１３からI/O-I/F（Ａ２）１２１によるI/O-I/F（Ｃ２１２３）の使用終了通知を受信すると、リングバッファ１３を参照し、リングバッファ１３の先頭を示す読み出しポインタ１３１の示すバッファ１３３から接続待ちの最上位のI/O-I/Fを示すＩ／Ｆ識別番号Ｘを取り出し、次の読み出しのために、読み出しポインタ１３１をインクリメントする。
【００６０】
次いでI/O-I/F切替制御手段１２４は、信号線切替手段１２５に、Ｉ／Ｆ識別番号Ｘを有するI/O-I/F（Ｂ２）１２２の制御信号線（Ｂ２）１２２１およびデータ信号線（Ｂ２）１２２２をI/O-I/F（Ｃ２）の制御信号線（Ｃ２）１２３１およびデータ信号線（Ｃ２）１２３２に切り替えるように命令する。
同様に、Ｉ／Ｆ識別番号ＸのI/O-I/F（Ｂ２）１２２に接続されている監視装置３００が二次記憶装置５の使用を終了すると、Ｉ／Ｆ識別番号ＸのI/O-I/F（Ｂ２）１２２に対応する制御信号監視装置（Ｂ２）１２２３は、使用が終了したことをI/O-I/F切替制御手段１２４へ通知する。通知を受けたI/O-I/F切替制御手段１２４はリングバッファ１３から次にI/O-I/F（Ｃ２）１２３と接続するI/O-I/Fを示すＩ／Ｆ識別番号を取り出す。
【００６１】
Ｉ／Ｏスケジュール装置１２は上記のように構成されているので、計算機２から二次記憶装置５へのアクセスと、各監視装置３００から二次記憶装置５へのアクセスは許容されるが、計算機２から各監視装置３００へのアクセスは行えず、遮断される。
また信号線切替手段は、計算機２と複数の監視装置３００の内のいずれか一つのみを二次記憶装置５に接続することになる。
【００６２】
上記の構成において、実施の形態１と同様に、不正行為を行うことを意図する利用者は、利用者端末１により計算機２に接続された二次記憶装置５上にあるファイルに対して、禁止されている操作（読み出し、書き込み、削除、アクセス権の変更のいずれかまたはその組合せ）を行う。
その操作は、I/O-I/Fの命令およびデータに変換され、計算機２を経由して、Ｉ／Ｏスケジュール装置１２に出力される。
Ｉ／Ｏスケジュール装置１２は、入力された命令およびデータを接続された二次記憶装置５に出力する。
【００６３】
一方、実施の形態１と同様に各監視装置３００のファイル監視手段３１は、指定された規則（たとえば、一定時間間隔やファイルがアクセスされた時など）に基づいて、監視装置３００のI/O-I/F（Ｐ）３３から二次記憶装置５に対して、監視対象であるファイルの属性情報の読み出しを行う。
その読み出しは、I/O-I/Fの命令およびデータに変換されて、Ｉ／Ｏスケジュール装置１２に出力される。
Ｉ／Ｏスケジュール装置１２は、入力された命令およびデータに基づいて、接続された二次記憶装置５からデータを取得する。
Ｉ／Ｏスケジュール装置１２は、取得したデータを監視装置３００のI/O-I/F（Ｐ）３３へ入力し、監視装置３００は、I/O-I/Fから受け取ったデータをファイルの属性情報としてファイル監視手段３１へ返す。
【００６４】
計算機２が二次記憶装置５のファイルへアクセスしている時、監視装置３００のいずれか１つまたは複数から同時に二次記憶装置５へのアクセス要求があった場合は、アクセス要求をした監視装置は、その監視装置が要求したアクセス要求の命令およびデータが実行されるまで、Ｉ／Ｏスケジュール装置１２からの応答を待つ。
【００６５】
計算機２または監視装置が要求した命令およびデータの実行はリングバッファ１３により、管理される。
上記の通りI/O-I/F（Ａ２）１２１および各I/O-I/F（Ｂ２）１２２にはそれぞれを識別するためのＩ／Ｆ識別番号が付与されている。
これらのうち接続待ちとなったI/O-I/Fは、書き込みポインタ１３１にあるバッファ１３３へＩ／Ｆ識別番号を記録され、書き込みポインタ１３２が１つインクリメントされる。
【００６６】
Ｉ／Ｏスケジュール装置１２は、計算機２または監視装置が要求した命令を受け付けた時、リングバッファ１３へ要求元の計算機２または監視装置３００に対応するI/O-I/Fの識別番号を書き込む。
最後のバッファ１３３へ識別番号を記録した時、書き込みポインタ１３１は、バッファ１３３の先頭を指すように設定される。
【００６７】
計算機２の二次記憶装置５へのファイルアクセスが終了した時、Ｉ／Ｏスケジュール装置１２は、リングバッファ１３の読み出しポインタ１３１の指すバッファ１３３の中に蓄積されるＩ／Ｆ識別番号のI/O-I/Fからの命令およびデータを実行し、読み出しポインタ１３１を１インクリメントする。
読み出しポインタ１３１が書き込みポインタ１３２と同じバッファ１３３を指している時、処理待ちしているI/O-I/Fは無いと判断し、すべてのI/O-I/Fからの命令およびデータの待ち状態となる。
【００６８】
以上のようにI/O-I/F切替制御手段１２４は制御信号線監視手段（Ａ２）１２１３と制御信号線監視手段（Ｂ２）１２２３が接続要求を検出した際に出す通知を受信した順に従って、各通知に対応する計算機２または監視装置３００を二次記憶装置５に接続する。
【００６９】
次に、ファイルの監視に関する初期設定方法について説明する。
Ｉ／Ｏスケジュール装置１２のI/O-I/F（Ｃ２）１２３に二次記憶装置５を接続し、次いで計算機２のI/O-I/Fに、Ｉ／Ｏスケジュール装置１２のI/O-I/F（Ａ２）１２１を接続する。さらに各監視装置のI/O-I/F（Ｐ）３３に、Ｉ／Ｏスケジュール装置１２の各I/O-I/F（Ｂ２）１２２を接続する。
【００７０】
計算機２の電源を入れると、計算機２は保有するソフトウェア（ＯＳおよびアプリケーション）から二次記憶装置５の読み出し、書き込みができるように、二次記憶装置５を初期化する。同時に計算機２は、各監視装置３００上のソフトウェア（ＯＳおよびアプリケーション）から読み出しができるように、二次記憶装置５を初期化する。
【００７１】
監視管理装置１１と各監視装置３００の電源を入れると、各監視装置３００は、保有するソフトウェア（ＯＳおよびアプリケーション）から読み出しができるように二次記憶装置５を初期化し、監視管理装置１１は、二次記憶装置５内の監視対象とするファイルの名称および監視対象とするそのファイルに対して禁止されているアクセス行為（禁止アクセス行為）の種類を二次記憶装置５から読み出し、全体監視データ設定ファイル格納手段１１３に、例えば図１３のようなデータ形式で全体監視データ設定ファイル１１３ａとして記録する。
このように視管理装置１１が二次記憶装置５内の監視対象とするファイルの名称および禁止アクセス行為を読み出すには、いずれか１台の監視装置３００を経由してもよいし、または管理ネットワーク５００を通じて直接Ｉ／Ｏスケジュール装置１２の図示しないI/O-I/F経由で二次記憶装置５にアクセスしてもよい。
【００７２】
この全体監視データ設定ファイル１１３ａは実施の形態１における監視データ設定ファイル３４１（図５）と同様の形式であり、ファイル名は、絶対パス名（/target/etc/passwd ）を監視対象パス名１１３Ｂとして記録する。監視対象とするファイルへの禁止されているアクセス行為は、読み出し、書き込み、アクセス権の変更を意味するアクセス行為コード１１３ｃ(読み出しは３、書き込みは２、アクセス権の変更は１など)を指定する。アクセス行為コード１１３ｃは、１つの監視対象パス名に対して複数個記述できる。
【００７３】
監視管理装置１１上で、ファイル監視管理手段１１１を起動し、さらに各監視装置３００上で、ファイル監視手段３１を起動する。
ファイル監視管理手段１１１は図１３の全体監視データ設定ファイル１１３ａを、監視管理装置１１と管理ネットワーク５００を経由して接続している監視装置３００の個数Ｎ個に分割し、それぞれを図１４の形式の分割監視データ設定ファイル１１３ｄとする。
全体監視データ設定ファイル１１３ａのデータ数Ｍ個を監視装置の個数Ｎ個で割った商を分割した分割監視データ設定ファイル９のデータ数をＱとする。図１４ではＱ＝２である。ＭをＮで割った時あまりがある場合は、商に１を足した数を分割監視データ設定ファイル１１３ｄのデータ数Ｑとする。
ファイル監視管理手段１１１は、データ数Ｑで、全体監視データ設定ファイル１１３ａを分割し、分割監視データ設定ファイル１１３ｄをそれぞれ、管理ネットワーク５００を経由して、各監視装置３００上のファイル監視手段３１へ送信する。
【００７４】
各監視装置３００上のファイル監視手段３１は、分割監視データ設定ファイル１１３ｄを受信すると、この受信した分割監視データ設定ファイル１１３ｄを監視データ設定ファイル格納手段３４に格納し、分割監視データ設定ファイル１１３ｄに監視対象パス名１１３ｂが記録されている二次記憶装置５上のすべてのファイル（監視対象ファイル）へアクセスし、監視対象ファイルに設定されているアクセス権、直近のアクセス時刻および更新時刻、現状のファイルの大きさからなる属性情報を取得する。
ファイル毎の取得した属性情報を、分割監視データ設定ファイル１１３ｄの該当するファイルのデータに、例えば図１５のようなデータ形式で記録し監視データ設定ファイル格納手段３４に格納する。このデータを属性付き分割監視データ設定ファイル１１３ｅとする。
以上で初期設定は完了である。
上記属性情報は、そのファイルがアクセルされると、アクセス権、直近のアクセス時刻、更新時刻、ファイルの大きさの少なくとも１つ（すなわち属性情報の少なくとも一部）が変化する。
【００７５】
この初期設定においてファイル監視手段３１が二次記憶装置５から獲得した属性情報が、この発明における初期属性情報である。
【００７６】
この後、各監視装置３００上のファイル監視手段３１により監視が行われるが、この動作は実施の形態１と同様である。
ファイル監視手段３１が不正行為があったと判定した場合は、不正行為記録ファイル格納手段３５内に格納された不正行為記録ファイル３５１ａへ、ファイル名、検出日時、不正なアクセス行為コード（ファイルへのアクセス行為のコードと同じ）を、例えば図１６のようなデータ形式で記録する。
分割監視データ設定ファイル１１３ｄにあるすべてのファイルについて、検査が終了した時、指定された監視周期で待機する。
不正行為通知手段３２は、不正行為記録ファイル３５１ａが更新されあらたな情報が追加されたか否かを周期的に監視し、不正行為記録ファイル３５１ａが更新されたことを検出した場合は、追加された情報を、監視監視装置３上の通知管理手段１１２へ管理ネットワーク１３を経由して送信する。
【００７７】
次に、不正行為の検出後の処理について説明する。
監視管理装置１１の通知管理手段１１２は、各監視装置３００から受信した追加された情報を管理者６へ通知する。
管理のポリシーとして、不正行為に関する情報を速報する必要性がない場合は、各監視装置３００から受信した情報を不正行為通知ファイル格納手段１１４へ蓄積し、一定時間毎にデータまとめて、管理者６へ通知する。通知方法は、実施例１と同様であり、例えば指定されたメールアドレスへ追加された情報をメールで送信する方法がある。
【００７８】
以上のように、全体監視データ設定ファイル１１３ａを分割し、複数個の監視装置で、監視対象のファイルを分担することで、一つの監視装置の担当する監視対象のファイルを減らすことができることにより、負荷を低減することができる。
また、各監視装置が不正行為監視を開始する際にはリングバッファ１３による待ちが発生することがあるが、各ファイルの属性を二次記憶装置５から読み出して不正行為を検知する作業に時間を要するため、この検知作業を並行して実行できるので、監視処理の時間を短縮することができる。
【００７９】
【発明の効果】
以上のように、この発明によれば、監視装置による監視行為を利用者から発見されないので、信頼性の高い不正行為の監視を行うことができるという効果がある。
【００８０】
また、この発明によれば、監視処理の時間を短縮することができるという効果がある。
【図面の簡単な説明】
【図１】  この発明における不正行為監視システムを含むシステム構成図。
【図２】  この発明における監視装置３の構成図。
【図３】  この発明におけるＩ／Ｏスケジュール装置４の概略構成図。
【図４】  この発明におけるＩ／Ｏスケジュール装置４の詳細構成図。
【図５】  この発明における監視データ設定ファイル３４１を示す図。
【図６】  この発明における属性付き監視データ設定ファイル３４１ａを示す図。
【図７】  この発明における不正行為記録ファイル３５１を示す図。
【図８】  この発明における不正行為監視システムを含むシステム構成図。
【図９】  この発明における監視管理装置１１の構成図。
【図１０】  この発明におけるＩ／Ｏスケジュール装置１２の概略構成図。
【図１１】  この発明におけるI/O-I/Fスケジュール装置１２の詳細構成図。
【図１２】  この発明におけるリングバッファ１３の内部構成図。
【図１３】  この発明における全体監視データ設定ファイル１１３ａを示す図。
【図１４】  この発明における分割監視データ設定ファイル１１３ｄを示す図。
【図１５】  この発明における属性付き分割監視データ設定ファイル１１３ｅを示す図。
【図１６】この発明における不正行為記録ファイル３５１ａを示す図。
【図１７】  従来の警報システムの構成図。
【符号の説明】
１  利用者端末、  ２  計算機、  ３  監視装置、  ４  Ｉ／Ｏスケジュール装置、  ５  二次記憶装置、  ６  管理者、  １０ネットワーク  、１１  監視管理装置、  １２  Ｉ／Ｏスケジュール装置、  １２Ｃ  I/O-I/F（Ｃ２）、１３  リングバッファ、  １６  バッファ、  ３１  ファイル監視手段、  ３２  不正行為通知手段、  ３３  I/O-I/F（Ｐ）、  ３４  監視データ設定ファイル格納手段、  ３５  不正行為記録ファイル格納手段、  ４１  I/O-I/F（Ａ）、４２  I/O-I/F（Ｂ）、  ４３  I/O-I/F（Ｃ）、  ４４  I/O-I/F切替制御手段、  ４５  信号線切替手段、  １１１  ファイル監視管理手段、  １１２  通知管理手段、  １１３  全体監視データ設定ファイル格納手段、  １１３ａ  全体監視データ設定ファイル、  １１３ｂ  監視対象パス名、  １１３ｃ  アクセス行為コード、  １１３ｄ  分割監視データ設定ファイル、  １１３ｅ  属性付き分割監視データ設定ファイル、  １１４  不正行為通知ファイル格納手段、  １２１  I/O-I/F（Ａ２）、  １２２  I/O-I/F（Ｂ２）、１２３  I/O-I/F（Ｃ２）、  １２４  I/O-I/F切替制御手段、  １２５  信号線切替手段、  １３１読み出しポインタ、  １３２  書き込みポインタ、  ３００  監視装置、  ３４１  監視データ設定ファイル、  ３４１ａ  属性付き監視データ設定ファイル、  ３４２  監視対象パス名、  ３４３アクセス行為コード、  ３５１ａ  不正行為記録ファイル、  ４１１  制御信号線（Ａ）、  ４１２  データ信号線（Ａ）、  ４１３  上記制御信号線監視手段（Ａ）、  ４２１  制御信号線（Ｂ）、４２２  データ信号線（Ｂ）、  ４２３  制御信号線監視手段（Ｂ）、  ４３１  制御信号線（Ｃ）、  ４３２  データ信号線（Ｃ）、  ４４１  処理状態保持バッファ、  ４４２  処理待機状態保持バッファ、  ４５１  スイッチ、  ５００  管理ネットワーク、  １００１  利用者端末、  １００２  計算機、  １００３  ネットワーク、  １０２０  二次記憶装置、  １０２１  ファイル監視プログラム、  １０２２  監視設定ファイル、  １０２３  I/O-I/F（Ａ）、  １０２４  I/O-I/F  、  １２１１  制御信号線（Ａ２）、  １２１２  データ信号線（Ａ２）、  １２１３  制御信号監視装置（Ａ２）、  １２２１  制御信号線（Ｂ２）、  １２２２  データ信号線（Ｂ２）、  １２２３  制御信号線監視手段（Ｂ２）  １２３１  制御信号線（Ｃ２）、  １２３２  データ信号線（Ｃ２）、  １２５１  スイッチ。
【図１】
0003985530.tif 000002
【図２】
0003985530.tif 000003
【図３】
0003985530.tif 000004
【図４】
0003985530.tif 000005
【図５】
0003985530.tif 000006
【図６】
0003985530.tif 000007
【図７】
0003985530.tif 000008
【図８】
0003985530.tif 000009
【図９】
0003985530.tif 000010
【図１０】
0003985530.tif 000011
【図１１】
0003985530.tif 000012
【図１２】
0003985530.tif 000013
【図１３】
0003985530.tif 000014
【図１４】
0003985530.tif 000015
【図１５】
0003985530.tif 000016
【図１６】
0003985530.tif 000017
【図１７】
0003985530.tif 000018