"複数の記憶領域を備えたストレージ装置と、それぞれ、前記複数の記憶領域のうちのいずれかの記憶領域がアクセス可能な記憶領域として割り当てられた複数の仮想サーバを実行するサーバ装置とを有する情報処理システムを監視する監視装置において、前記ストレージ装置と前記サーバ装置との間で送受信されるパケットの解析結果に基づいて、前記サーバ装置から前記ストレージ装置に対してなされるアクセスのアクセス先を検出し、検出したアクセス先の記憶領域が前記複数の記憶領域間で所定の基準を超えて分散している場合に、前記サーバ装置から前記ストレージ装置に対して異常アクセスが行われていると判定する判定部、を有することを特徴とする監視装置。前記判定部は、前記パケットの解析結果に基づき、前記サーバ装置から前記ストレージ装置に対してなされるアクセスが前記複数の記憶領域に所定順序に従って行われている場合、異常アクセスが行われていると判定することを特徴とする請求項1記載の監視装置。前記判定部は、前記パケットの解析結果に基づき、前記サーバ装置から前記ストレージ装置に対してなされるアクセスが前記複数の記憶領域の全てに一回ずつ行われている場合、異常アクセスが行われていると判定することを特徴とする請求項1記載の監視装置。前記サーバ装置がアクセスしている記憶領域には、データが格納されていることを特徴とする請求項1乃至3に記載の監視装置。複数の記憶領域を備えたストレージ装置と、それぞれ、前記複数の記憶領域のうちのいずれかの記憶領域がアクセス可能な記憶領域として割り当てられた複数の仮想サーバを実行するサーバ装置とを有する情報処理システムを監視する監視装置の制御方法において、前記監視装置が、前記ストレージ装置と前記サーバ装置との間で送受信されるパケットの解析結果に基づいて、前記サーバ装置から前記ストレージ装置に対してなされるアクセスのアクセス先を検出し、検出したアクセス先の記憶領域が前記複数の記憶領域間で所定の基準を超えて分散している場合に、前記サーバ装置から前記ストレージ装置に対して異常アクセスが行われていると判定する、ことを特徴とする制御方法。複数の記憶領域を備えたストレージ装置と、それぞれ、前記複数の記憶領域のうちのいずれかの記憶領域がアクセス可能な記憶領域として割り当てられた複数の仮想サーバを実行するサーバ装置とを有する情報処理システムを監視する監視装置の制御プログラムであって、前記監視装置に、前記ストレージ装置と前記サーバ装置との間で送受信されるパケットの解析結果に基づいて、前記サーバ装置から前記ストレージ装置に対してなされるアクセスのアクセス先を検出し、検出したアクセス先の記憶領域が前記複数の記憶領域間で所定の基準を超えて分散している場合に、前記サーバ装置から前記ストレージ装置に対して異常アクセスが行われていると判定する、処理を実行させることを特徴とする制御プログラム。本技術の開示での課題は、仮想サーバを実行する物理サーバのアクセスが異常なアクセスを行っているかを検出することができる監視装置を提供することである。上記課題を解決するために、本技術では、複数の記憶領域を備えたストレージ装置と、それぞれ、前記複数の記憶領域のうちのいずれかの記憶領域がアクセス可能な記憶領域として割り当てられた複数の仮想サーバを実行するサーバ装置とを有する情報処理システムを監視する監視装置は、前記ストレージ装置と前記サーバ装置との間で送受信されるパケットの解析結果に基づいて、前記サーバ装置から前記ストレージ装置に対してなされるアクセスのアクセス先を検出し、検出したアクセス先の記憶領域が前記複数の記憶領域間で所定の基準を超えて分散している場合に、前記サーバ装置から前記ストレージ装置に対して異常アクセスが行われていると判定する判定部を有する。本開示の技術の一側面によれば、仮想サーバを実行する物理サーバのアクセスが異常なアクセスを行っているかを検出することができる。以下、本実施形態における情報処理システムについて説明する。実施形態1図1は、本実施形態における情報処理システムを示す図である。情報処理システムは、複数のサーバ100、ネットワーク200、監視装置300及び複数のストレージ装置400を有する。複数のサーバ100、監視装置300及び複数のストレージ装置400は、ネットワーク200によって互いに接続される。サーバ100は、VMVirtualMachineを実行する。監視装置300は、サーバ100及びストレージ装置400の監視を行う。ストレージ装置400は、複数のディスクを有し、データを格納する。なお、サーバ100とストレージ装置400とからなる構成を当該情報処理システムの最小構成としても良い。図2を用いて、本実施形態におけるサーバ100について説明する。サーバ100は、CPU201、主記憶装置202、システムコントローラ203、バス204、ネットワークコントローラ207、電源209、ディスクコントローラ212及びハードディスク213を有する。サーバ100は、CPUCentralProcessingUnit201によって制御されている。CPU201及び主記憶装置202には、システムコントローラ203が接続されている。システムコントローラ203は、CPU201と主記憶装置202との間のデータ転送や、CPU201とバス204との間のデータ転送を制御する。さらに、システムコントローラ203には、バス204を介して、ネットワークコントローラ207及びディスクコントローラ212が接続されている。主記憶装置202には、CPU201に実行させるOSOperatingSystemのプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、主記憶装置202には、CPU201による処理に必要な各種データが格納される。主記憶装置202には、例えば、RAMRandomAccessMemoryが用いられる。ディスクコントローラ212には、ハードディスク213が接続されている。ディスクコントローラ212は、ハードディスク213を制御する。ハードディスク213は、CPU201が主記憶装置202上でVMを実行するためのアプリケーションプログラム3000、CPU201に当該アプリケーションプログラム3000の呼び出しなどの制御を行わせる制御プログラム2000及び各種データを格納する。ネットワークコントローラ207は、図1に示したサーバ100及びストレージ装置400と接続されており、サーバ100及びストレージ装置400との間で、データの送受信を行う。電源209は、不図示の電源線を介してサーバ100内の各ハードウェアに対して電力を供給する。このようなハードウェアによって、サーバ100の処理機能を実現することができる。図3を用いて、本実施形態における監視装置300について説明する。監視装置300は、CPU221、主記憶装置222、システムコントローラ223、バス224、ネットワークコントローラ227、電源229、ディスクコントローラ232及びハードディスク233を有する。監視装置300は、CPU221によって制御されている。CPU221及び主記憶装置222には、システムコントローラ223が接続されている。システムコントローラ223は、CPU221と主記憶装置222との間のデータ転送や、CPU221とバス224との間のデータ転送を制御する。さらに、システムコントローラ223には、バス224を介して、ネットワークコントローラ227及びディスクコントローラ232が接続されている。主記憶装置222には、CPU221に実行させるOSのプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、主記憶装置222には、CPU221による処理に必要な各種データが格納される。主記憶装置222には、例えば、RAMが用いられる。ディスクコントローラ232には、ハードディスク233が接続されている。ディスクコントローラ232は、ハードディスク233を制御する。ハードディスク233は、CPU221が主記憶装置222上で実行するアプリケーションプログラム1000、CPU221に当該アプリケーションプログラム1000の呼び出しなどの制御を行わせる制御プログラム4000及び各種データを格納する。また、ハードディスク233は、特定領域情報テーブル510等を格納する。なお、特定領域情報テーブル510等については後述する。ネットワークコントローラ227は、図1に示したサーバ100及びストレージ装置400と接続されており、サーバ100及びストレージ装置400との間で、データの送受信を行う。電源229は、不図示の電源線を介して監視装置300内の各ハードウェアに対して電力を供給する。このようなハードウェアによって、監視装置300の処理機能を実現することができる。図4に図1において示した本実施形態における情報処理システムを示す。サーバ100のCPU201が、主記憶装置202にてアプリケーションプログラム3000を実行することで、サーバ100にて、VMが実行される。サーバ100それぞれにおいて、VMA110及びVMB120、VMC130及びVMD140が実行される。また、サーバ100はハイパーバイザ150を有する。ハイパーバイザ150は、VMの管理を行ったり、入出力の制御を行ったりする。ストレージ装置400は、ディスク0410、ディスク1420、ディスク2430及びディスク3440を有する。ディスク0410乃至ディスク3440はデータを記憶する。ディスク0410はVMA110に、ディスク1420はVMB120に、ディスク2430はVMC130に、ディスク3440はVMD140に、それぞれ対応付けられている。監視装置300のCPU221が、主記憶装置222にてアプリケーションプログラム1000を実行することで、監視装置300にて、パケットキャプチャ310及びロジック実行部320が実行される。ハードディスク233は仮想システム構成情報540を格納する。仮想システム構成情報540は、VMと当該VMに対応付けられたディスクを示している。パケットキャプチャ310は、ネットワーク200を介してサーバ100とストレージ装置400との間で送受信されるパケットを取得する。なお、パケットキャプチャ310は、例えば、スイッチのミラー機能やタップ装置を介してパケットを取得すれば良い。ロジック実行部320は、パケットに含まれるIPアドレスを参照することにより、種々の処理を行い、ストレージ装置400への不正アクセスを検出する。図5に、ストレージ装置400がiSCSIを利用して、各物理サーバ100、各仮想サーバVM110~140に割り当てられる場合の一例を示す。ストレージ装置400内には、物理ディスク410ここでは、説明の都合上、1つの物理ディスク410を示しているが、実際は、複数の物理ディスクで構成されるが搭載されている。また、各物理サーバ100には、物理ディスク410と一意に対応付けた仮想的なディスクを備える。即ち、各物理サーバ100には、各々同じ構成の仮想ディスク160が配置される。各VMVMA1110,VMB120,VMC130,VMD140には、各々論理的ディスク1~4111~141が割り当てられている。この論理的ディスク1~4111~141は、各々搭載する物理サーバの仮想ディスク160内の、お互いのVM同士が同じ領域へのアクセスができない排他的な領域をアクセスできる領域を割り当てている。図6に、iSCSIにてデータを読み込む場合に使用するiSCSIコマンドフォーマット610を示す。図7に、実際にiSCSIを利用することによるサーバ100とストレージ装置400との通信において、データの読み込みが行われる場合の、CommandDescrIPtionBlockCDB中のフォーマット620を示す。図8に、特定領域情報テーブル510を示す。特定領域情報テーブル510は、仮想ストレージの全体のディスクの中で、ある特定の領域を示す情報を記録する。特定領域情報テーブル510は、項番511、変数512及び説明513を有する。項番1の変数IPinitiatorはInitiatorのIPアドレスを示す。InitiatorのIPアドレスは、物理サーバのIPアドレスである。項番2の変数IPtargetはTargetのIPアドレスを示す。TargetのIPアドレスはストレージ装置400のIPアドレスを示す。項番3の変数LUNLogicalUnitNumberはLUNの値を示す。LUNは、ストレージ装置を所定領域に分割した論理的な単位を特定する番号である。項番4のLBALogicalBlockAddressはLBAの開始値を示す。LBAは、当該所定領域をさらに分割した論理ブロックを特定するアドレス番号であり、LBAの開始値は、ある領域の先頭のLBAを示す。項番5の変数LBA範囲はLBAのOffsetを示す。LBAのOffsetは、当該領域に含まれる論理ブロックの数を示す。なお、LBAのOffsetは任意の値に設定可能である。例えば、LBAのOffsetを10と設定した場合、特定単位領域には10個の論理ブロックが含まれることになる。図9に、アクセス判定情報テーブル520を示す。アクセス判定情報テーブル520は、ある特定の領域へのアクセス情報を記録する。アクセス判定情報テーブル520は、どの物理サーバからストレージ装置のどの領域にアクセスしたかを示すものであり、各物理サーバに対応付けられて生成される。アクセス判定情報テーブル520は、項番521、変数522及び説明523を有する。項番1の変数IPtargetはTargetのIPアドレスを示す。項番2の変数時刻は、ある物理サーバからストレージ装置の領域にアクセスがあった時点のアクセス時刻を示す。ロジック実行部320は、当該時刻から所定時間経過後、異常アクセス判定を行う。項番3の変数LUNは、アクセスした領域のLUNの値を示す。項番4のLBAは、アクセスした領域のLBAの開始値を示す。項番5の変数LBA範囲は、アクセスした領域の範囲となるLBAのOffsetを示す。項番6の変数アクセス回数はLBAへアクセスした回数を示す。図10に本実施形態における情報処理システムを示す。上述したものについては同一番号を付し、その説明を省略する。本実施形態では、VMB120のように、ストレージ装置400内のVMB120に割り当てられた領域以外の領域も含めて全体的にアクセスした場合を異常と判定する。なお、VMD140のように、ストレージ装置400内のVMD140に割り当てられた領域の一部領域をアクセスしている場合は正常と判定する。サーバ100はそれぞれ、VMA110及びVMB120、VMC130及びVMD140を実行する。VMA110は、仮想ディスク160から論理的ディスク111を割り当てる。VMB120は、仮想ディスク160から論理的ディスク121を割り当てる。VMC130は、仮想ディスク160から論理的ディスク131を割り当てる。VMD140は、仮想ディスク160から論理的ディスク141を割り当てる。iSCSI180はストレージ装置400とサーバ100とを接続するためのストレージ用インタフェースである。ストレージ装置400は、iSCSI180、論理ブロックL0411、論理ブロックL1412、論理ブロックL2413、論理ブロックL3421、論理ブロックL4422、論理ブロックL5423、論理ブロックL6431、論理ブロックL7432、論理ブロックL8433、論理ブロックL9441、論理ブロックL10442及び論理ブロックL11443を有する。論理ブロックL0411乃至論理ブロックL2413はVMA110に割り当てられている。論理ブロックL3421乃至論理ブロックL5423はVMB120に割り当てられている。論理ブロックL6431乃至論理ブロックL8433はVMC130に割り当てられている。論理ブロックL9441乃至論理ブロックL11443はVMD140に割り当てられている。iSCSI180はサーバ100とストレージ装置400とを接続するためのシトレージ用インタフェースである。ロジック実行部320は、パケットキャプチャ310が解析したパケットに含まれるInitiatorのIPアドレス、TargetのIPアドレス、LUN、LBA及びLBA範囲を参照することで、各論理ブロックの番号と当該論理ブロックへのアクセス回数とを対応付けて、図9に示したアクセス判定情報テーブル520に記録する。図11を用いて実施形態1における監視装置300の処理を説明する。ステップS101において、ロジック実行部320は、現在時刻を取得する。ロジック実行部320は、処理をステップS102へ移行する。ステップS102において、ロジック実行部320は、ステップS101にて取得した時刻と前回ステップS102を実行した時刻との差分とから所定時間が経過したか否かを判定する。所定時間が経過した場合、ロジック実行部320は、処理をステップS105へ移行する。一方、所定時間が経過していない場合、ロジック実行部320は、処理をステップS103へ移行する。ステップS103において、パケットキャプチャ310は、ネットワーク200を介してサーバ100とストレージ装置400との間で送受信されるパケットを取得する。ロジック実行部320は、処理をステップS104へ移行する。ステップS104において、ロジック実行部320は、パケットキャプチャ310が取得したパケットのInitiatorのIPアドレスやTargetのIPアドレス、LUN等に基づいて、パケットの送信元の物理サーバに対応するアクセス判定情報テーブル520の特定領域単位での各キーのアクセス回数を更新する。ここで、キーとは、LUN、LBA及びLBA範囲の3つの項目から特定される領域である。その後、ロジック実行部320は、処理をステップS102へ戻す。ステップS105において、ロジック実行部320は、アクセス判定情報テーブル520を参照して、特定領域単位で各キーへのアクセス回数を取得する。本実施形態では、ロジック実行部320は、特定領域単位の一例として、各論理ブロックを用い、当該論理ブロックでの各キーへのアクセス回数を取得する。ロジック実行部320は、処理をステップS106へ移行する。ステップS106において、ロジック実行部320は、全キーへのアクセス回数が0よりも大きいか否かを判定する。全キーへのアクセス回数が0よりも大きい場合、ロジック実行部320は、処理をステップS107へ移行する。一方、全キーへのアクセス回数が0よりも大きくない場合、ロジック実行部320は、処理をステップS108へ移行する。ステップS107において、ロジック実行部320は、VMからストレージ装置へのアクセスは正常と判定する。ロジック実行部320は、処理をステップS109へ移行する。ステップS108において、ロジック実行部320は、VMからストレージ装置へのアクセスは異常と判定する。ロジック実行部320は、処理をステップS109へ移行する。ステップS109において、ロジック実行部320は、全キーへのアクセス回数をクリアする。具体的には、ロジック実行部320は、アクセス判定情報テーブル520のアクセス回数を0にする。ロジック実行部320は、処理をステップS101へ戻す。本実施形態によれば、単位時間あたりに特定領域の全体にアクセスしている場合は異常と判定し、単位時間あたりに特定領域の一部にアクセスしている場合は正常と判定することができる。通常のVMは、単位時間内に、特定のディスク領域にしかアクセスしない可能性が高く、一方、悪意あるVMは、単位時間内に、ディスク全体の領域にアクセスする可能性が高いことに着目している。これによれば、単位時間あたりに特定領域の全体にアクセスしている物理サーバの中には、不正アクセスを行っているVMが存在すると判定することができる。なお、ステップS107において異常と判定された場合、ロジック実行部320は、例えば、異常アクセスが発生したことを管理者にメールなどで通知するようにしても良い。また、ステップS107において異常と判定された場合、ロジック実行部320は、例えば、異常アクセスを示すログを出力するようにしても良い。実施形態2図12に本実施形態における情報処理システムを示す。上述したものについては同一番号を付し、その説明を省略する。本実施形態では、VMB120のように、ストレージ装置400内のVMB120に割り当てられた領域以外の領域も含めて、Lx411~443で示すLBAとOffsetで示すそれぞれの領域に、シーケンシャルにアクセスした場合を異常と判定する。なお、VMD140のように、ストレージ装置400内のVMD140に割り当てられた領域の一部にアクセスしている場合は正常と判定する。図13を用いて実施形態2における監視装置300の処理を説明する。ステップS201において、ロジック実行部320は、現在時刻を取得する。ロジック実行部320は、処理をステップS202へ移行する。ステップS202において、ロジック実行部320は、ステップS201にて取得した時刻と前回ステップS202を実行した時刻との差分から所定時間が経過したか否かを判定する。所定時間が経過した場合、ロジック実行部320は、処理をステップS205へ移行する。一方、所定時間が経過していない場合、ロジック実行部320は、処理をステップS203へ移行する。ステップS203において、パケットキャプチャ310は、ネットワーク200を介してサーバ100とストレージ装置400との間で送受信されるパケットを取得する。ロジック実行部320は、処理をステップS204へ移行する。ステップS204において、ロジック実行部320は、パケットキャプチャ310が取得したパケットのInitiatorのIPアドレスやTargetのIPアドレス、LUN等に基づいて、パケットの送信元の物理サーバに対応するアクセス判定情報テーブル520のアクセス回数を更新する。その後、ロジック実行部320は、処理をステップS202へ戻す。ステップS205において、ロジック実行部320は、アクセス判定情報テーブル520を参照して、特定領域単位で各キーへのアクセス回数を取得する。本実施形態では、ロジック実行部320は、特定領域単位の一例として、各論理ブロックへのアクセス回数を取得する。ロジック実行部320は、処理をステップS206へ移行する。ステップS206において、ロジック実行部320は、アクセスしたキーの直前のキーが0であるか否かを判定する。具体的には、ロジック実行部320は、アクセス判定情報テーブル520を参照して、1つ前の論理ブロックにアクセスがあったか否かを判定する。アクセスしたキーの直前のキーが0である場合、ロジック実行部320は、処理をステップS207へ移行する。一方、アクセスしたキーの直前のキーが0でない場合、ロジック実行部320は、処理をステップS208へ移行する。ステップS207において、ロジック実行部320は、VMからストレージ装置へのアクセスは正常と判定する。ロジック実行部320は、処理をステップS209へ移行する。ステップS208において、ロジック実行部320は、VMからストレージ装置へのアクセスは異常と判定する。ロジック実行部320は、処理をステップS209へ移行する。ステップS209において、ロジック実行部320は、全キーへのアクセス回数を0に初期化することでクリアする。その後、ロジック実行部320は、処理をステップS201へ戻す。本実施形態によれば、特定領域の全体に、論理ブロックL0から論理ブロックL5の順にシーケンシャルにアクセスしている場合は異常と判定し、単位時間あたりに特定領域の一部にアクセスしている場合は正常と判定することができる。正常時でも、確率的には、ディスクの特定領域の全体にアクセスする可能性はある。ただし、ランダムに、かつ、重複してアクセスされる可能性が高い。一方、悪意あるVMが特定領域の全体にアクセスする場合、効率的にデータを収集するために、特定領域をシーケンシャルにアクセスする可能性が高いことに着目している。実施形態3図14に本実施形態における情報処理システムを示す。上述したものについては同一番号を付し、その説明を省略する。論理ブロックL0411乃至論理ブロックL11443内に付した番号は所定時間内にサーバ100からアクセスされた回数を示す。本実施形態では、論理ブロックL0411乃至論理ブロックL5423のように、特定領域の全体にランダムであるが重複なくアクセスしている場合を異常と判定する。なお、論理ブロックL6431乃至論理ブロックL11443のように、特定領域の全体に重複してアクセスしている場合を正常と判定する。図15を用いて実施形態3における監視装置300の処理を説明する。ステップS301において、ロジック実行部320は、現在時刻を取得する。ロジック実行部320は、処理をステップS302へ移行する。ステップS302において、ロジック実行部320は、ステップS301にて取得した時刻と前回ステップS302を実行した時刻との差分から所定時間が経過したか否かを判定する。所定時間が経過した場合、ロジック実行部320は、処理をステップS305へ移行する。一方、所定時間が経過していない場合、ロジック実行部320は、処理をステップS303へ移行する。ステップS303において、パケットキャプチャ310は、ネットワーク200を介してサーバ100とストレージ装置400との間で送受信されるパケットを取得する。ロジック実行部320は、処理をステップS304へ移行する。ステップS304において、ロジック実行部320は、パケットキャプチャ310が取得したパケットのInitiatorのIPアドレスやTargetのIPアドレス、LUN等に基づいて、パケットの送信元の物理サーバに対応するアクセス判定情報テーブル520のアクセス回数を更新する。その後、ロジック実行部320は、処理をステップS302へ戻す。ステップS305において、ロジック実行部320は、アクセス判定情報テーブル520を参照して、特定領域単位で各キーへのアクセス回数を取得する。本実施形態では、ロジック実行部320は、特定領域単位の一例として、各論理ブロックへのアクセス回数を取得する。ロジック実行部320は、処理をステップS306へ移行する。ステップS306において、ロジック実行部320は、全キーへのアクセス回数がnよりも大きく、かつmよりも小さいか否かを判定する。この判定を満たす場合、ロジック実行部320は、処理をステップS307へ移行する。一方、この判定を満たさない場合、ロジック実行部320は、処理をステップS308へ移行する。ステップS307において、ロジック実行部320は、VMからストレージ装置へのアクセスは異常と判定する。ロジック実行部320は、処理をステップS309へ移行する。ステップS308において、ロジック実行部320は、VMからストレージ装置へのアクセスは正常と判定する。ロジック実行部320は、処理をステップS309へ移行する。ステップS309において、ロジック実行部320は、全キーへのアクセス回数をクリアする。ロジック実行部320は、処理をステップS301へ戻す。本実施形態によれば、特定領域の全体に、ランダムであるが重複なくアクセスしている場合は異常と判定し、特定領域の全体に、ランダムであり、かつ、重複してアクセスしている場合は正常と判定することができる。正常時でも、確率的には、ディスクの特定領域の全体にアクセスする可能性はある。一方、悪意あるVMが特定領域の全体にアクセスする場合、効率的にデータを収集するために、特定領域を、重複なくアクセスする可能性が高いことに着目している。なお、ステップS306において用いた、m及びnにはn<mの条件を満たした任意の値を設定すれば良い。実施形態4図16に本実施形態における情報処理システムを示す。上述したものについては同一番号を付し、その説明を省略する。論理ブロックL0411、論理ブロックL1412、論理ブロックL3421及び論理ブロックL5423は既にデータが記録されているものとする。論理ブロックL0411、論理ブロックL1412、論理ブロックL3421及び論理ブロックL5423にアクセスがあった場合を異常と判定する。図17に、アクセス判定情報テーブル530を示す。アクセス判定情報テーブル530は、ある特定の領域へのアクセス情報を記録する。アクセス判定情報テーブル530は、項番531、変数532及び説明533を有する。項番1の変数IPtargetはTargetのIPアドレスを示す。項番2の変数時刻は、領域にアクセスがあった時点のアクセス時刻を示す。ロジック実行部320は、当該時刻から所定時間経過後、異常アクセス判定を行う。項番3の変数LUNはLUNの値を示す。項番4のLBAは、アクセスした領域のLBAの開始値を示す。項番5の変数LBA範囲は、アクセスした領域の範囲となるLBAのOffsetを示す。項番6の変数アクセス回数はLBAへアクセスした回数を示す。項番7の変数書込みフィールドは、既にデータを記録している論理ブロックである論理ブロックL0411、論理ブロックL1412、論理ブロックL3421及び論理ブロックL5423にアクセスがあった場合に、ロジック実行部320は、当該論理ブロックに対応する書込み発生記録フィールドのフラグを0から1に変更する。図18を用いて実施形態4における監視装置300の処理を説明する。ステップS401において、ロジック実行部320は、現在時刻を取得する。ロジック実行部320は、処理をステップS402へ移行する。ステップS402において、ロジック実行部320は、ステップS401にて取得した時刻と前回ステップS402を実行した時刻との差分から所定時間が経過したか否かを判定する。所定時間が経過した場合、ロジック実行部320は、処理をステップS405へ移行する。一方、所定時間が経過していない場合、ロジック実行部320は、処理をステップS403へ移行する。ステップS403において、パケットキャプチャ310は、ネットワーク200を介してサーバ100とストレージ装置400との間で送受信されるパケットを取得する。ロジック実行部320は、処理をステップS404へ移行する。ステップS404において、ロジック実行部320は、パケットキャプチャ310が取得したパケットのInitiatorのIPアドレスやTargetのIPアドレス、LUN等に基づいて、パケットの送信元の物理サーバに対応するアクセス判定情報テーブル520のアクセス回数を更新する。その後、ロジック実行部320は、処理をステップS402へ戻す。ステップS405において、ロジック実行部320は、アクセス判定情報テーブル520を参照して、特定領域単位で各キーへのアクセス回数を取得する。本実施形態では、ロジック実行部320は、特定領域単位の一例として、各論理ブロックへのアクセス回数を取得する。ロジック実行部320は、処理をステップS406へ移行する。ステップS406において、ロジック実行部320は、キーへのアクセス回数が0よりも大きく、かつ書込みフィールドのフラグが1であるか否かを判定する。この判定を満たす場合、ロジック実行部320は、処理をステップS407へ移行する。一方、この判定を満たさない場合、ロジック実行部320は、処理をステップS408へ移行する。ステップS407において、ロジック実行部320は、VMからストレージ装置へのアクセスは異常と判定する。ロジック実行部320は、処理をステップS409へ移行する。ステップS408において、ロジック実行部320は、VMからストレージ装置へのアクセスは正常と判定する。ロジック実行部320は、処理をステップS409へ移行する。ステップS409において、ロジック実行部320は、全キーへのアクセス回数と書き込みフィールドのフラグを0に初期化することでクリアする。その後、ロジック実行部320は、処理をステップS401へ戻す。本実施形態では、悪意あるVMが、標準的なOSコマンドでディスクにアクセスし、ファイルの探索を試みる場合、既にデータが書き込みされている領域しかアクセス対象にならないことに着目している。以上、実施形態1~4によれば、仮想ストレージへのアクセスする際のiSCSIパケットの通信パターンを解析し、その通信パターンに異常な挙動があるか否かを判定することで、セキュリティ的な異常を検出することができる。これにより、VMからストレージ装置への不正なアクセスを検出できる。パケットキャプチャによる外付けのモニタリング方式により、ハイパーバイザ層に依存しないセキュリティ監視が可能である。また、この外付けの汎用性により、VMWare、XENなど、複数の仮想化アーキテクチャでのICTシステムに適用可能である。さらに、仮想サーバによる仮想システムだけでなく、仮想ストレージを利用する物理的なホスティングのシステムにも適用可能である。以上、本発明の例示的な実施の形態の情報処理システムについて説明したが、本発明は、具体的に開示された実施の形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。"