Vol. 41

No. 3

情報処理学会論文誌

Mar. 2000

逃げログ: 削除まで考慮にいれたログ情報保護手法
高 田 哲 司†小 池 英 樹†不正侵入検知にはログ情報が必要不可欠である．不正侵入検知システムは，ログ情報に不正侵入の痕跡情報が記録されることを仮定し，ログ情報を分析することで不正侵入の有無を判断する．一方，不正侵入者は不正侵入が発覚するのを防ぐために侵入の痕跡を改ざんまたは削除する．したがってなんらかの方法を用いてログ情報を保護する必要がある．
そこで本研究では，新たなログ情報保護手法を提案する．本手法では，ログ情報のバックアップを作成するとともに，その改ざんを検知する．さらにログ情報が改ざんされた場合にはバックアップから自動的にログ情報を復元する．
これによりログ情報が削除されたとしても，ログ情報を保護することが可能になり，不正侵入者によるログ情報の改ざんを困難にする．また本手法の実装では，使用したライブラリを含めて標準規格に準拠した関数群を使用し，C++のクラスライブラリとして実装した．そのため本手法は，多くのプラットフォームで動作し，様々なアプリケーションに適用することが可能である．

NIGELOG: A method of protecting logging informationfrom even their removal
Tetsuji Takada† and Hideki Koike†
Logging information is necessary for intrusion detection. Intrusion detection systems areinvestigating them in order to judge whether intrusion had occurred or not. It, therefore,
must protect logging information, because there is much possibility that intruder compromisethem. Though some systems had been proposed for protecting logging information until now.
These systems detect their modiﬁcation and make hard to modify them. If logging information had been modiﬁed or removed, original logging information are lost. This is undesirable
for computer security. It is necessary to investigate them why intrusion had occurred. In thisresearch, we propose logging information protection system that makes it possible to protect
them even if they had removed.
When logging information was compromised by someone, our system make it possible toprotect them which way is automatically restoring them from backups. Moreover, it is possible to recognize an occurrence of compromising them nearly in real-time. We implement ourproposed method as a C++ Class. It is possible to integrate logging information protecting
system into various applications.

者による改ざんや削除からログ情報を保護する必要が

1. は じ め にある．

不正侵入検知は，ログ情報の収集とログ情報の分析

ログ情報保護手法として，これまでに様々なシステの二大要素により成立する．つまり，内容の確かなロ

ム 1)2)3) が提案されている．これらのシステムの多く

グ情報なしに不正侵入を検知することは不可能である．

は暗号を使用することにより，ログ情報の改ざんを困

一方で，ログ情報は不正侵入の痕跡情報を含んでいる難にしている．しかし，これらの手法ではログ情報がため，不正侵入者によって改ざんされる危険性がある．

無差別改ざんを受けたり，削除された場合，改ざんをまた国内ではログ情報の保存義務化に関して様々な議検知できたとしても，それまでのログ情報を復元する論が行われたのは記憶に新しい．このようにログ情報ことは不可能である．

は，不正侵入検知にとって必要不可欠なデータであり，システム設定ファイルやプログラムは，その更新頻その内容が正確である必要がある．ゆえに，不正侵入度が極めて低いため，バックアップを行うことでこの問題に対処可能だが，ログファイルは随時更新される† 電気通信大学大学院 情報システム学研究科
Graduate School of Information Systems, University ofElectro-communications

ため，定期的なバックアップによる方法では保護不可能である．
1

情報処理学会論文誌

2Mar. 2000

これらの問題をふまえ，我々は UNIX 系 OS が動作メディアに記録する情報が正確であることを保証する計算機を対象とした新たなログ情報保護手法「逃する必要があるということである．定期的にログげログ」を提案する．本手法を用いることにより，た情報を Write-Once メディアにバックアップするとえログ情報が削除された場合でもそれを復元するこ

方法は，この要件を満たすことにならないため，とが可能になり，不正侵入者によるログ情報の改ざん

ログ情報保護手法として適切な方法ではない．まを困難にする．またログを出力するシステムの多様性

た仮になんらかの方法によって記録する情報の正を考慮し，我々は本手法を付加的なハードウェアを必確さが保証できたとしても以下の問題を回避する

要とせず，標準規格に準拠したライブラリを使用し，ことは不可能である．

C++クラスライブラリとして実装した．この特徴に(1)

改ざん検知は不可能

より，本手法は多くの UNIX 系 OS 上で動作可能でWrite-Once メディアはあくまで改ざん不あり，同時に種々のアプリケーションに容易に組み込可能な記録メディアであり，改ざん検知をむことが可能である．
以下では，第 2 章で従来の保護手法の問題点を整理行うことはできない．

(2)

メディアのメンテナンスが必要し，第 3 章でこれらの問題を解決する本手法の構想を

Write-Once メディアは一般に大容量だが，述べ，第 4 章では本手法の実装例について述べる．さ限界はある．ゆえに人手によってメディアらに第 5 章で考察を行う．のメンテナンスを行う必要がある．

2. 従来のログ情報保護手法とその問題点
本章では，これまでに提案されているログ情報保護手法についてふれ，その問題点を整理する．

• 暗号
暗号を用いてログ情報を保護するシステムはいく• 信頼できる計算機への移送
本手法は，安全を保証された計算機に生成されたログ情報を移送することでログ情報を保護する手法である．この手法の安全度はログ情報を保存する計算機の安全度に依存するが，Write-Onceメディアと同等の安全性を確立することも可能でつか提案されている 1)2) ．この手法により実現さある．

れる保護機能は，ログ情報の改ざん検知と，不正

しかし，この手法における問題点は，ログ情報移侵入者による意図的な改ざんを困難にすることの送時におけるログ情報の安全を保証しなければ二つである．

ならないことである．この安全性を保証する一方

しかしこれらの機能では，ログ情報が無差別に改法として暗号が挙げられるが，暗号が実現する機ざんされたり，削除された場合，失われた情報を能は移送情報の漏洩防止と改ざん防止であり，確復元する事ができない．これでは仮にログ情報の実な通信を保証することではない．したがって通改ざんを検知したとしても，改ざんされたログ情信を不可能にするような Denial-of-Service 等の報は消失してしまうため，不正侵入に対する調査攻撃を受けた場合，ログ情報が欠落する可能性がは不可能である．不正侵入対策では，不正侵入をある．

検知するだけでは不十分であり，犯人追跡，被害• アクセス制御

状況や，セキュリティホールの特定などの調査もHP 社の VirtualVault Operating System3) は，必要不可欠である．よって改ざんされる以前のロアクセス制御を用いてログ情報を保護している．

グ情報が確実に保護される必要がある．したがっ

この手法では，ログ情報を改ざん不可能であるとて，本手法では改ざんによってログ情報を失って仮定した場合，Write-Once メディアによる手法しまうため，十分な保護を実現しているとはいえと同等の安全性が保証可能になる．しかし，アクない．

• Write-Once メディア

セス制御を実現するためには OS やハードウェアによる支援が必要になり，汎用的な方法ではない

Write-Once メディアとは，一度記録した情報はという問題がある．

決して改ざんできないメディアのことであり，紙またログ情報が改ざん困難だと仮定するならば，への印刷や CD-R 等がその例として挙げられる．

上記の問題に加えて，以下に挙げる問題も発生

この特徴を利用することで，比較的簡単にログ情する．

報の改ざんを不可能にすることが可能である．

(1)

改ざん検知が不可能

しかし，この手法における問題点は，Write-Once(2)

改ざんにより失われたログ情報は復元不Vol. 41

No. 33可能
表 1 様々なログ情報保護手法とその特徴
Table 1 Various Log-ﬁle protection methods and its
features

これらの考察をまとめると表 1 になる．この考察から，我々はログ情報保護処理には以下のような機能が必要と考える．

• 改ざん困難
ログ情報を保護するため，最低でもログ情報の改ざんが困難でなければならない．

• 改ざんされたログ情報の復元
不正侵入調査作業を行うためには，改ざん以前のログ情報を確実に保護する必要がある．よって改ざんによってログ情報が消失したとしても，それを復元可能にする必要がある．

図 1 逃げログの構想
Fig. 1 Concept of NIGELOG• 改ざん検知
ログ情報の改ざんが検知可能でなければならない• 汎用性あるのは前述したとおりである．不正侵入検知後はそログ情報保護処理は不正侵入の増加に伴い，そのれを様々な点から調査し，その結果を今後の不正侵入必要性を増している．したがってその処理は汎用対策に反映する必要がある．したがってログ情報の改的であり，種々のアプリケーションに容易に組みざんにより，ログ情報が失なわれることは望ましくな込み可能であることが望ましい．

い．そこで本手法ではログ情報のバックアップを作成

3. 逃げログ - 構想
ログ情報を改ざんや削除から保護するためには，その改ざんを不可能にするかバックアップを作成する必し，この問題に対処する．
本手法におけるバックアップ作成の特徴は以下の通りである．

• 複数作成要がある．しかし付加的なハードウェアや OS の支援

一つのバックアップでは，バックアップが既知となしにログ情報の改ざんを不可能にするのは困難でなった場合，原本とバックアップを同時に改ざんある．
そこで本研究では，従来のログファイルを利用し，または削除することで，ログ情報を削除可能であそのバックアップを複数作成することでログ情報を保る．そこでログ情報の安全性を高めるため，複数護する．さらに原本も含めた全ログファイルを定期的に監視し，その改ざんを検知する．改ざんが検知されのバックアップを作成する．

• 原本と同一の内容を保持た場合には，改ざんされていないバックアップから自改ざんはいつ発生するか予想できない．したがっ

動的にログ情報を復元する (図 1)．これらの機能にて常にログ情報が復元可能である必要がある．定よって不正侵入者がログ情報を改ざんし，侵入痕跡を期的なバックアップによる方法では，この要件を削除することを困難にする．

満たすことは不可能である．

以降の節では，これらの機能について述べる．

3.1 バックアップ作成
不正侵入に対し，それを検知するだけでは不十分でそこで本手法では，常に原本のログ情報と同一の内容を保持するようにバックアップを作成する．

3.2 隠

蔽

本手法では，ログ情報を復元可能にするためにバッ情報処理学会論文誌

4

クアップを作成する．しかし，仮に不正侵入者が全てMar. 2000

ruct ext_stat {struct statのバックアップを知り得た場合，それらを同時に削除することでログ情報を復元不能にすることが可能であり，それはバックアップを複数作成したとしても同様

FingerPrintである．
そこでバックアップの安全性を高めるため，本手法

図 2 拡張 stat 構造体
Fig. 2 Extended stat structureではそれらをファイルシステム内に隠蔽する．これにより，不正侵入者による全バックアップの発見を困難にし，ログ情報の改ざんや削除を困難にする．
本手法で用いた隠蔽方法は以下の通りである．

(1)
(2)

(3)

任意の数のバックアップある．
本手法では改ざんを検知した場合，改ざんされていバックアップの数は任意とする．

ないバックアップからログ情報を自動的に復元する．

任意のディレクトリ

これにより原本のログファイルは常に正確な情報を保書き込み可能な任意のディレクトリにバックアッ持することになり，システム管理者や不正侵入検知シプを作成する．

ステムに対して常に正確な情報を提供することが可能

ランダムなファイル名になる．

バックアップのファイル名は，システムが無作(4)

事象はログ情報保護処理を起動する契機となるからでさらにこの事象を利用して付加的な保護処理を実行為に作成する．

することにより，様々な応用も可能になる．その例を定期的な再隠蔽

以下に挙げる．

ファイルシステムに隠蔽されたバックアップは，• 簡易不正侵入検知システム

半永久的に特定ディレクトリで保持されるのでログ情報の改ざんが発生したことを電子メイル等はない．ユーザが指定した間隔で定期的に異なによりシステム管理者へ通知する

るディレクトリに異なるファイル名で再び隠蔽• より確実な保護のための処理
Write-Once メディアへの記録や，不正侵入の調される．

査作業支援のための追加情報収集処理の実行

現在，一般に利用されている UNIX 系 OS は，インストール直後の状態でも 1000 以上のディレクトリを持つ．またファイルサーバであれば，その数は数倍に4. 実

装もなりうる．これらの方法によりバックアップをファ

我々は，前述の構想をもとに本手法を実装した．実イルシステム内に隠蔽し，その安全性を確保する．

装においては，ログ情報を出力するアプリケーション

3.3 改ざん検知の多様性を考慮し，種々のアプリケーションで使用で本手法では，バックアップを含めた全ログファイル

きるよう C++のクラスライブラリとして実装した．まを定期的に監視し，その改ざんを検知する．これによた，複数のログファイルに対する処理の実時間性を実り迅速に改ざんを認識することが可能になる．

現するためには個々のバックアップに対する処理を並

ログ情報の改ざん検知には，ファイルの属性情報を行処理することが望ましいと考えた．そこで今回の実もつ stat 構造体を使用する．stat 構造体とはファイ

装では，プラットフォームに依存せず，複数のプロセスルの状態情報を保持した構造体であり，ファイルの大を並行実行させるためのライブラリである Pthread6)

きさや許可権，更新時刻などの情報を保持している．

を利用し，並行処理を実現した．

しかし stat 構造体だけでは改ざんを検知できない場

以下では逃げログの実装について述べる．

合があり得るため，ログファイルの全内容を入力とし4.1 三種の処理て作成される “指紋情報” を導入し，これと stat 構造

本実装では，本手法における処理を三種類に分類し，体を合わせたものを拡張 stat 構造体 (図 2) として定これらを thread を用いて並行処理させる．この三種義した．これを改ざん検知に用いることでその機能をの処理について以下に説明を行う．

より確実にしている．現在，指紋情報の作成には MD5

(1)

8)

ログ情報受付処理を使用している．

本処理は，ログを出力するアプリケーションへの

この “ログ情報の改ざん発生” という事象は，本手インタフェースを提供するとともに，内部キャッ法において非常に重要な情報である．なぜならばこのシュに関する管理処理を行う．その詳細は以下

Message Digest

Vol. 41

No. 35

図 4 ログ出力/改ざん検知処理
Fig. 4 Log-ﬁle protection module

図 3 逃げログの処理概要
Fig. 3 Overview of NIGELOG modules

stat 構造体情報を取得する• 再隠蔽
バックアップを現在と異なるディレクトリに任意の通りである (図 3 処理 A に該当)．

(a)

(b)

アプリケーションからの出力されたログ

隠蔽時に必要となる情報は隠蔽ディレクトリと情報を受け取り，逃げログの内部キャッバックアップ用ファイル名の二つである．現在のシュ内に格納する

実装では，隠蔽ディレクトリは，隠蔽可能ディレ全ログファイルに出力されたログ情報をクトリ情報収集処理によって得られた情報からラ内部キャッシュから削除する(2)

ンダムに選択し，ファイル名は，mktemp 関数を隠蔽可能ディレクトリ情報収集処理用いて無作為に生成している．

ファイルシステム内を探索し，隠蔽可能なディ

なお本処理はバックアップのみを対象としており，レクトリ情報を収集する (図 3 処理 B に該当)．

改ざん検知とは関係なく定期的に行われるが，改なお，隠蔽可能ディレクトリ情報が存在しない
場合，バックアップの隠蔽処理を行なえず，そ(3)のファイル名で再隠蔽する．

ざん検知時にもログ情報保護のため強制的に行う• 改ざん検知の安全性を保証できない．したがって一定数のログファイルから拡張 stat 構造体情報を取得し，隠蔽可能ディレクトリ情報が得られるまでは，前回取得した情報と比較することで改ざんを検知本処理を優先的に行う．

する．取得した拡張 stat 構造体情報は，改ざんなお隠蔽可能ディレクトリ情報が一定数収集さがなければ次回の改ざん検知処理のため保持されれた後は，定期的に処理を行う．

るが，改ざんが検知された場合は，ログ情報の復ログ情報出力/改ざん検知処理

元後再び取得する

本処理は，ログ情報の出力，改ざん検知，自動• 自動復元復元，定期的な再隠蔽処理といったログファイ

本処理は改ざんを検知した時に行われる．改ざん

ルに対する処理を行う (図 3 処理 C に該当)．

されたログファイルを削除し，改ざんされていな

この処理は，各ログファイルごとに thread がいバックアップからログ情報を復元する．この処生成され，並行に処理が行われる．

理は，原本のログファイルだけでなく，バックアッ

次節では，ログファイルの保護処理を行う “ログ情報出力/改ざん検知処理” について詳細な説明を行う．

プも含めた全ログファイルを対象としている
これらの処理を用いたログ情報保護処理の流れは

4.2 ログ情報保護処理

図 4 右の通りである．まずはじめに現在のログ情報にログ情報保護処理は，四つの処理から成り立ってい対する改ざん検知処理を行う．

る (図 4 参照)．

この処理によって改ざんが検知されなければ，内部• ログ情報出力

キャッシュを調べ，未書き込みのログ情報があればそログ情報受付処理によって内部キャッシュに保存れらをファイルに記録する．さらに定期再隠蔽の必要されたログ情報をログファイルに出力する．出力があればログファイルの再隠蔽も行う．

後直ちに改ざん検知のための基礎情報となる拡張改ざんが検知された場合，前述の処理を行う前にロ情報処理学会論文誌

6Mar. 2000

グ情報の自動復元処理を行い，復元されたログ情報のン側でログ情報を暗号化または圧縮等の処理を安全性を確保するため，再隠蔽処理を行う．この一連行い，ログ情報の安全性をより一層高めることの処理により，ログ情報は改ざん前の状態に復元されも可能である

る．またユーザの指定により，ログ情報の復元後に付これらの特徴により，UNIX 系 OS で動作する種々加的な保護処理も行う．現在の実装では，電子メイルのアプリケーションのログ出力処理に本手法を組み込を使用した改ざん通知処理を実現している．

むことが可能である．現時点では，SGI 社の IRIX6.5

またこれまでの説明からわかるように，ログ情報保護処理において原本のログファイルとバックアップに対する保護処理上の違いは，隠蔽処理の有無だけである．

4.3 汎 用 性
ログ情報を出力するシステムは多数存在する．したがって種々のアプリケーションに本手法による保護処と Sun Microsystems 社の Solaris2.6 上での動作を確認している．

5. 考

察

本章では，本手法の利点と問題点について考察を行う．

5.1 利

点

理を組み込み可能にするためには，その手法が汎用的本システムの利点を以下にまとめる．

である必要である．

• ログ情報の復元が可能

そこで今回の実装では，以下の特徴により本手法の本手法では，原本のログ情報と同一の内容をバッ汎用性，および組み込みの容易さの実現を目指した．

クアップが保持しているため，ログ情報改ざん時その特徴を以下に挙げる．

はもちろん，ログ情報が削除されたとしても，改(1)

標準的なライブラリの使用
今回の実装で使用したライブラリとして(3)

本手法では定期的にログ情報を監視しているため，(STL) が挙げられる．Pthread は並行処理を実ログ情報の改ざんを迅速に認識することが可能で現するライブラリで POSIX 準拠であり，STLある．この事象は，改ざんされたログ情報の自動は ANSI/ISO C++標準案に採用された C++復元処理や，付加的なログ情報保護処理を行う契のクラスライブラリである．どちらも標準規格機として必要不可欠であるのライブラリであり，様々なプラットフォームで• 付加的なハードウェアは不要使用可能である．また実装で使用している他の本手法では，ログ情報を保護するために付加的なシステムコールについても可能な限り POSIXハードウェアを必要としない．したがって，本手クラスライブラリとして構築法によるログ情報保護処理の導入は容易である• 汎用性

本手法を C++のクラスライブラリとして実装

4.3 節で述べたように，標準規格によるライブラした．したがって C++という制約はあるもの

リを使用し，C++のクラスライブラリとして実の，種々のアプリケーションに組み込む際には装したことにより，種々のアプリケーションに組単なる型として使用可能であると同時に，そのみ込むことでログ情報の保護処理を容易に実現可

拡張も容易である

能である最小限のインタフェース

これらの利点により，「不正侵入された場合，不正侵現在の実装では，アプリケーションに対し二種入によって権限取得が成功する以前のログ情報は，改類のインタフェースを提供している．それらはざん不可能であること．
」というログ情報の保護にお逃げログの初期化関数とログ情報出力関数であいて必要とされる要件 1) の一つを満たすことが可能

る．これゆえプログラマは，最小限の負担で本になる．

手法をアプリケーションに組み込むことが可能(4)• ログ情報の改ざん検知が可能

Pthread6) と Standard Template Library7)

互換の関数群を使用した(2)

ざん前のログ情報を復元することが可能である

5.2 問 題 点である

本手法における問題点および限界について考察する．

ログ情報の内容に非依存• 保護不能になる可能性の存在

本手法は，ログ情報の内容に依存しない．した何らかの理由により本手法を適用したシステムががってログ情報が文字情報以外であっても保護終了した場合には，ログ情報の保護は不可能であ可能である．この特徴を利用し，アプリケーショる．またバックアップを含めた全ログファイルがVol. 41

No. 3

不正侵入者によって既知となった場合は，その改ざんや削除が可能となりうる．しかし本手法において後者の実現が困難であるのはこれまでに述べ7
表 2 逃げログの性能評価
Table 2 Average CPU Loads of simple syslog daemon
using NIGELOGてきた通りである．

• ログファイルの安全性は隠蔽箇所数に依存
バックアップの隠蔽場所は隠蔽可能ディレクトリ情報からランダムに選択される．よって隠蔽可能なディレクトリ数が少ない場合，バックアップの隠蔽箇所も限定され，バックアップの安全性を低下させる可能性がある．またログを生成するアプるログファイルのみに制限される．つまり UNIXリケーションが一般ユーザ権限で実行された場合，系 OS においてユーザの計算機利用状況を記録

隠蔽可能ディレクトリの条件に User ID や Groupしている wtmpx ファイルは，その形式がデータID による制約が加わり，問題をさらに悪化させベース形式であるため，NIGELOG にて保護すてしまう．

ることは不可能である．

• アプリケーションへの適用制約

もう一つは，ログファイルの大きさが運用時の計本手法は，処理を継続して行う必要があるため，算機の負荷に大きな影響を与えることである．しコマンドなど短時間で処理を終了するアプリケー

たがって計算機の負荷を増大させないためには，ションのログ出力に適用することは困難である．

ログファイルの大きさを一定の大きさ以下に保ち

しかしこの問題は，syslog デーモンに本手法を適続ける必要がある．

用することで解決可能である．

• 負荷の増大

これらの問題点から，ログ情報の安全性を高めるためにはバックアップファイルを確実に保持する必要があ

本手法では，複数のログファイルに対して定期的り，そのためには一定数以上の書き込み可能なディレに処理を行なうため，計算機の負荷は増大する．

クトリの存在および CPU 性能等の計算機資源が豊富

定期的に行う処理の間隔はユーザが指定可能なたにあることが望ましい．

め，負荷調整は可能だが，ログ情報の安全性と反比例するため，負荷を大幅に下げることは困難で5.3 より確実な保護に向けて - 今後の課題
本手法を用いても，ログ情報を保護不能にする脅威あるは依然として存在する．これらに対抗する手法とし

表 2 は，逃げログを適用した簡易版 syslog デーて，以下に挙げる方法を提案する．しかし，これらのモンを作成し，間接的に逃げログの性能を測定し手法の導入は，汎用性や導入の容易さを損なう可能性た結果である．測定機器は Silicon Graphics 社のがある．

O2 ワークステーションで CPU R5000 180MHz,• メモリへのバックアップ

Memory 128MB, HardDisk 6GB である．また本手法では，バックアップをファイルシステムに測定計算機をネットワークから隔離し，通常動作生成しているため，付加的なハードウェアを必要させている種々のデーモン処理は動作させた条件とせず，種々のアプリケーションにおけるログ情下で試験用 syslog デーモンおよびログ出力用プ

報保護処理の導入を容易にしている．しかし，こログラムを一時間動作させ，その間の負荷の平均の値 (グレー反転部) を基準とし，計算機の負荷値を性能として測定した．
表 2 は，下から二段目の特徴はファイルシステムが使用不能になるとロを変動させると思われる要因をそれぞれ個別に変なる．

更して，それぞれの負荷を計測した結果である．

この対策法としてメモリへのバックアップがあげ

この結果から，定期的にログ情報の保護を行う処られる．その容量はファイルシステムと比較する理が主に計算資源を消費していることが明白であと大幅に制限されるが，最新のログ情報を固定量り，特にログファイルの大きさによる影響が大き保持することで，ファイルシステムに対する依存いことが明らかである．

を補完をすることは可能である．

• 保護可能なログファイルの適用条件

グ情報を消失するという危険をかかえることにもなおログ情報の復元先は，付加的な保護処理の実大きく二つの条件が存在する．一つは，逃げログ装により Write-Once メディアへの記録が可能なが保護可能なログファイルは，ログ情報を追記すため，ファイルシステムへの依存はない

情報処理学会論文誌8• バックアップのアクセス困難化

Mar. 2000• バックアップの隠蔽

本手法を用いても，不正侵入者がバックアップに• 改ざん検知

アクセスすることは可能であり，これがログ情報• ログ情報の自動復元の改ざんを可能にする一因になっている．よってこれらの特徴により，不正侵入者が不正侵入の発覚より確実な保護方法として，バックアップファイを防ぐためにログ情報すべてを削除したとしても，ロルへのアクセスを不可能にすることがあげられる．

グ情報を保護することが可能になる．したがってシス

その一手法として，一時的なデータファイルを作テム管理者が手作業でログ情報を調査したり，不正侵成する方法を応用する方法がある．この方法は，入検知システムを使用することで確実に不正侵入を検プログラムがファイルを作成した後，すぐにその知することが可能になる．

ファイルをディレクトリエントリから削除する．

またログ情報の改ざん検知機能を利用し，ログ情報

これにより該当ファイルはファイル名が存在しなの自動復元のほか，システム管理者への改ざん通知にくなるため，不正侵入者は該当ファイルにアクセよる簡易不正侵入検知機能，Write-Once メディアへスすることが不可能になるが，プログラムからはのログ情報記録等の付加的な保護処理も実現可能で通常通り使用でき，バックアップのためのログ情ある．

報を保持することが可能である• 疑似バックアップによる錯乱さらに本手法は，付加的なハードウェアを必要とせず，標準規格によるライブラリを用いて C++のクラ全バックアップを発見困難にする方法として，保スライブラリとして実装されているため，ログ情報保護処理を行わないが，ある時刻までの正確なログ護処理の導入は比較的容易であると同時に，種々のア情報を持つ疑似バックアップをファイルシステムプリケーションへの組み込みも容易である．

内に生成し，保護処理を行っているバックアップ

今後，不正侵入の増加とともにログ情報の重要性はファイルの発見を錯乱し，困難にする方法がある．

増し，ログ情報保護の必要性も高まりつつある．我々

この方法は，全バックアップの発見を錯乱するだはこのような状況において，従来の手法よりもより確けでなく，計算機の負荷を高めることなくバック実にログ情報を保護する新たな一手法を提案した．

アップの数を増やすことを可能にする．これらのバックアップは保護処理が行われないため，原本のログ情報と差分ができてしまうが，この方法とメモリへのバックアップを併用すると以下に挙げる方法で保護処理を行っているバックアップと同様に原本と同一のログ情報を保持することが可能になる．
保護処理を行わないバックアップが作成された時
刻を T とすると，ログ情報は以下のように保持される(1)

時刻 T 以前のログ情報は保護処理なしのバックアップファイルに保持(2)

時刻 T 以後のログ情報はメモリ上に保持

これらの情報をたしあわせることで，完全なログ情報として利用可能であり，改ざん検知処理と組み合わせることで，ログ情報自動復元時の復元情報として使用することが可能である．

6. お わ り に
本論文では，ログ情報の削除まで考慮にいれた新たなログ情報保護手法「逃げログ」を提案した．本手法
では以下の方法によりログ情報を保護する．

• バックアップの作成

参考文

献1) Bruce Schneier, John Kelsey: Cryptographic
Support for Secure Logs on Untrusted Machines, The Seventh USENIX Security Symposium Proceedings, USENIX Press, pp. 53-62,(1998).
2) Core SDI S.A.: secure syslog,
http://www.core-sdi.com/Core-SDI/
english/slogging/ssyslog.html
3) Hewlett-Packard Company: HP Praesidium/
VirtualVault White Paper, (1998),
http://www.hp.com/security/products/4) G.H. Kim, E.H. Spaﬀord: The Design and Implementation of Tripwire: A File System Integrity Checker Purdue Technical Report CSDTR-93-071, Purdue University, (1993).
5) syslog-ng, The free software company BalaBit,(1999),
http://www.balabit.hu/products/syslog-ng/
6) B. Nichols, D. Buttlar, J.P. Farrell: Pthread
Programming A POSIX Standard for Better
Multiprocessing, p. 284, O’Reilly, (1996).
7) D.R. Musser, A. Saini, A. Stepanov: STL Tutorial and Reference Guide - C++ programming with the standard template library, p.400,

Vol. 41No. 3

9Addison-Wesley Publishing, (1996).
8) R.L. Rivest: RFC1321: The MD5 MessageDigest Algorithm, MIT Laboratory for Coumputer Science and RSA Data Security, Inc.,(1992).

小池 英樹（正会員）

1991 年 東京大学大学院工学系研
究科情報工学専攻博士課程修了．工学博士．同年電気通信大学電子情報学科助手．1994 年同大学大学院情(平成 ? 年 ? 月 ? 日受付)

報システム学研究科助教授．現在に(平成 ? 年 ? 月 ? 日採録)

至る．1994 - 1996,1997 年 U.C. Berkeley 客員研究員．情報視覚化の研究に従事．特に視覚化へのフラ

高田 哲司（学生会員）

クタルの応用，情報検索システム，パーセプチュアル

1995 年電気通信大学大学院電気ユーザインタフェース，情報セキュリティに興味を持

通信学研究科電子情報学専攻修士課

つ．1991 年 日本ソフトウェア科学会高橋奨励賞受賞．

程修了．1997 年電気通信大学大学

IEEE/CS，ACM，日本ソフトウェア科学会各会員．

院情報システム学研究科情報システ
ム運用学専攻博士課程入学，現在同博士課程在学中．情報視覚化の研究に従事．情報視覚化、情報セキュリティに関心がある．