JP4100638B2

JP4100638B2 - サーバの操作情報取得装置、方法及びコンピュータプログラム

Info

Publication number: JP4100638B2
Application number: JP2006102145A
Authority: JP
Inventors: 邦彦神山; 秀之喜多村
Original assignee: 株式会社インテリジェントワークス
Priority date: 2006-04-03
Filing date: 2006-04-03
Publication date: 2008-06-11
Anticipated expiration: 2026-04-03
Also published as: JP2007279835A

Description

本発明は、クライアントサーバシステムにおいて、クライアントからサーバに対しておこなわれた操作のログデータを取得する技術であって、特に、サーバ側に負荷を掛けずに、またサーバやクライアント側に特別なコンピュータプログラムを搭載しなくとも、ネットワークに接続するだけでサーバ側のＯＳ(Operating System)なども気にせずにログデータを取得するための仕組みとして好適なものである。

最近、企業などの組織内で、コンピュータ内に記録されているデータを勝手に外部に持ち出したり、アクセス権限のない従業員などが不正にコンピュータにアクセスして、データを取得し、これを外部に不正に流出させるという社会的な問題が発生している。
このような事態を防止するため、組織内のファイルを記憶し管理しているファイル管理サーバに対して、どのクライアントがいつアクセスしたのか、またファイル管理サーバ上のどのファイルを作成、変更、削除したかなどの操作ログデータを取得する仕組みが提供されている。

このような仕組みとしては、一般に、サーバ上にアクセス監視用のコンピュータプログラムを実行させておき、どのクライントからアクセスがあったのか、またクライアントがどのファイルに対してどのような操作を行ったのかといったログデータを取得する仕組みが提案されている。
また、ログを取得する仕組みの一例として、例えば、Ｗｅｂサーバにおいてログファイルを有するアクセス回数統計処理部により、各ユーザからのアクセス状態を前記ログファイルにそれぞれ記録し、前記ログファイルの記録内容に基づき各ユーザ毎のアクセス回数についての統計処理を行う技術が提案されている（例えば、特許文献１参照）。

特開２００２−２８８０６９

しかしながら、上述のような従来の仕組みでは、サーバ上にアクセス監視のためのプログラムを実行させておく必要があったため、サーバのトラフィックがアクセス管理処理に取られてしまい、サーバの処理速度が低下してしまうという問題があった。
また、サーバ上で監視を行う場合、監視を行うファイルやクライアントなどの情報をサーバ側で設定する必要があるし、またサーバの機種やＯＳによって使用する管理プログラムを替える必要があるため、各サーバに応じた監視プログラムを用意しなければならないとう問題があった。
また、サーバ上で監視を行う場合には、監視できるクライアント数についても制限があるなどの問題もあった。
また、サーバ側で監視する場合、その監視ログデータはサーバ上に記録されるため、このログデータに不正にアクセスされたり、また改ざんされたりする恐れがあり、せっかくログデータを取得してもその信頼性に問題があった。

本発明は、上述のような課題を解決するためになされたものであって、サーバ及びクライアントに負荷を掛けずに、またサーバなどの機種やＯＳにかかわらずにクライアントからの操作ログを取得することができる仕組みを提供することを目的とする。

上記目的を達成するため、本発明の一の観点に係る操作情報取得装置は、実データと管理データとから成るファイルを複数記憶し、階層構造のファイルシステムを持つファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記ファイル管理サーバに対するクライアント端末からの操作に関するログデータを取得するための装置であって、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、プロトコルの種別に応じて、各メソッドを実行するために必要な特定のコマンド及び特定コマンドの集合体であるコマンドパッケージシーケンスと、を対応付けて記憶するメソッド定義記憶手段と、上記管理データは上記階層構造の階層項目毎に付されるＩＤを有し、パケットに含まれる当該ＩＤと、上記階層構造項目の名称を対応付けて記憶するＩＤ対応項目情報記憶手段と、応答待ち又は要求待ちパケットを一時的に記憶する一時記憶手段と、上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得するパケット取得処理手段と、上記取得したパケットのデータから通信プロトコルを判別して、一定サイズ以上のパケットを廃棄し、更に、断片化されたパケット、ネットワークのコントロールパケット、プロトコルにおける不用コマンドのパケットを廃棄すると共に、予め決められたプロトコルに該当するパケットを選択するフィルタリング処理手段と、上記フィルタリングされたパケットの中から、パケットに含まれるコマンドから要求パケット又は応答パケットかを判別して上記一時記憶手段に記憶し、上記一時記憶手段に記憶された要求パケット又は応答パケットの中から、上記応答待ち又は要求待ちパケットに対応するコマンドを含むパケットがあるか否か判別し、対応するコマンドが存在するときに要求パケットに対する応答パケットの結合処理又は応答パケットに対する要求パケットの結合処理を行う要求応答結合手段と、上記結合したパケットの中から、パケット内に格納される、上記クライアント端末と上記ファイル管理サーバ内の階層項目との間でのセッション確立からセッション解放まで付される固有識別子を参照し、参照済み固有識別子を有するパケットがあるか否かを判別するシーケンスパケット解析手段と、上記判別されたパケット内を参照し、どのクライアントがログインをしたのかを特定するクライアント特定手段と、上記特定されたパケット内に格納されている上記階層項目毎に付されるＩＤを参照し、上記ＩＤ対応項目情報記憶手段を参照して、ファイル管理サーバ上での対応する階層項目を特定するＩＤ対応項目特定手段と、上記要求応答結合手段により完結したコマンド、又は、上記シーケンスパケット解析手段により完結したコマンドパッケージシーケンスに基づき、上記メソッド定義記憶手段を参照して、当該コマンド又はコマンドパッケージシーケンスに該当するメソッドを特定するメソッド特定手段と、少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報、上記階層項目をログデータとして記憶する解析結果記憶手段と、上記解析結果記憶手段に記憶されている上記ログデータに基づいて、出力データを生成して、出力する出力手段と、を有することを特徴とする。

上記ＩＤ対応項目特定手段は、ＩＤと階層項目名の情報を含むパケットが到着するごとに、上記ＩＤ対応項目情報記憶手段に記憶されている当該ＩＤ及び階層項目名に対応したデータを更新するようにしてもよい。

本発明の一の観点にかかるサーバの操作情報取得方法は、実データと管理データとから成るファイルを複数記憶し、階層構造のファイルシステムを持つファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、プロトコルの種別に応じて、各メソッドを実行するために必要な特定のコマンド及び特定コマンドの集合体であるコマンドパッケージシーケンスと、を対応付けて記憶するメソッド定義記憶手段と、上記管理データは上記階層構造の階層項目毎に付されるＩＤを有し、パケットに含まれる当該ＩＤと、上記階層構造項目の名称を対応付けて記憶するＩＤ対応項目情報記憶手段と、応答待ち又は要求待ちパケットを一時的に記憶する一時記憶手段と、を有する装置により行われる方法であって、上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、上記取得したパケットのデータから通信プロトコルを判別して、一定サイズ以上のパケットを廃棄し、更に、断片化されたパケット、ネットワークのコントロールパケット、プロトコルにおける不用コマンドのパケットを廃棄すると共に、予め決められたプロトコルに該当するパケットを選択する処理と、上記フィルタリングされたパケットの中から、パケットに含まれるコマンドから要求パケット又は応答パケットかを判別して上記一時記憶手段に記憶し、上記一時記憶手段に記憶された要求パケット又は応答パケットの中から、上記応答待ち又は要求待ちパケットに対応するコマンドを含むパケットがあるか否か判別し、対応するコマンドが存在するときに要求パケットに対する応答パケットの結合処理又は応答パケットに対する要求パケットの結合を行う処理と、上記結合したパケットの中から、パケット内に格納される、上記クライアント端末と上記ファイル管理サーバ内の階層項目との間でのセッション確立からセッション解放まで付される固有識別子を参照し、参照済み固有識別子を有するパケットがあるか否かを判別する処理と、上記判別されたパケット内を参照し、どのクライアントがログインをしたのかを特定する処理と、上記特定されたパケット内に格納されている上記階層項目毎に付されるＩＤを参照し、上記ＩＤ対応項目情報記憶手段を参照して、ファイル管理サーバ上での対応する階層項目を特定する処理と、上記要求応答結合手段により完結したコマンド、又は、上記シーケンスパケット解析手段により完結したコマンドパッケージシーケンスに基づき、上記メソッド定義記憶手段を参照して、当該コマンド又はコマンドパッケージシーケンスに該当するメソッドを特定する処理と、少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報、上記階層項目をログデータとして記憶する処理と、上記記憶されている上記ログデータに基づいて、出力データを生成して、出力する処理と、を有することを特徴とする。

本発明の一の観点にかかるコンピュータプログラムは、実データと管理データとから成るファイルを複数記憶し、階層構造のファイルシステムを持つファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、プロトコルの種別に応じて、各メソッドを実行するために必要な特定のコマンド及び特定コマンドの集合体であるコマンドパッケージシーケンスと、を対応付けて記憶するメソッド定義記憶手段と、上記管理データは上記階層構造の階層項目毎に付されるＩＤを有し、パケットに含まれる当該ＩＤと、上記階層構造項目の名称を対応付けて記憶するＩＤ対応項目情報記憶手段と、応答待ち又は要求待ちパケットを一時的に記憶する一時記憶手段と、とを有するコンピュータを操作情報取得装置として機能させるためのコンピュータプログラムであって、上記コンピュータに対して、上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、上記取得したパケットのデータから通信プロトコルを判別して、一定サイズ以上のパケットを廃棄し、更に、断片化されたパケット、ネットワークのコントロールパケット、プロトコルにおける不用コマンドのパケットを廃棄すると共に、予め決められたプロトコルに該当するパケットを選択する処理と、上記フィルタリングされたパケットの中から、パケットに含まれるコマンドから要求パケット又は応答パケットかを判別して上記一時記憶手段に記憶し、上記一時記憶手段に記憶された要求パケット又は応答パケットの中から、上記応答待ち又は要求待ちパケットに対応するコマンドを含むパケットがあるか否か判別し、対応するコマンドが存在するときに要求パケットに対する応答パケットの結合処理又は応答パケットに対する要求パケットの結合を行う処理と、上記結合したパケットの中から、パケット内に格納される、上記クライアント端末と上記ファイル管理サーバ内の階層項目との間でのセッション確立からセッション解放まで付される固有識別子を参照し、参照済み固有識別子を有するパケットがあるか否かを判別する処理と、上記判別されたパケット内を参照し、どのクライアントがログインをしたのかを特定する処理と、上記特定されたパケット内に格納されている上記階層項目毎に付されるＩＤを参照し、上記ＩＤ対応項目情報記憶手段を参照して、ファイル管理サーバ上での対応する階層項目を特定する処理と、上記要求応答結合手段により完結したコマンド、又は、上記シーケンスパケット解析手段により完結したコマンドパッケージシーケンスに基づき、上記メソッド定義記憶手段を参照して、当該コマンド又はコマンドパッケージシーケンスに該当するメソッドを特定する処理と、少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報、上記階層項目をログデータとして記憶する処理と、上記記憶されている上記ログデータに基づいて、出力データを生成して、出力する処理と、を実行させることを特徴とする。

本発明によれば、サーバに蓄積された操作記録を、サーバに負荷を掛けることなく記憶することができ、サーバ上のファイルが外部へ流出したり、不正に改ざん、削除されたりしたことを監視できる。
また、サーバの機種やＯＳに依存しなくとも、サーバ上の全てのファイルを監視することができる。
また、装置をクライアント−サーバのネットワークに接続するだけで、監視を行うことができるから、クライアント数の増加等によってもサーバの設定変更の必要がなく、設定変更の手間を省くことができる。
さらに、操作ログデータは、監視対象サーバには記録されずに、ログを記憶する装置側に記憶されることから、操作ログデータに不正にアクセスされたり、改ざんされたりすることを防止できる。

以下、本発明に係る一実施形態について、図面を参照して説明する。
本実施例に係るシステムの全体構成を図１に示す。
図１は、本発明にかかるサーバ操作情報記憶装置を利用したシステムの全体構成を示したものであって、監視対象となるサーバ１と、このサーバ１にＬＡＮ(Local Area Network)やＷＡＮ(Wide Area Network)などの所定のネットワークを介して接続可能に構成された複数のクライアント端末３と、サーバ１とクライアント端末３との間で通信データのスイッチングを行うスイッチ２と、このスイッチ２を介してネットワークに接続可能に構成されたアクセスログ取得装置４から構成されている。

サーバ１は、複数のクライアント端末３により利用可能なファイルを記憶することができるコンピュータである。
サーバ１は、所定のＯＳや、必要に応じて搭載しているアプリケーションプログラムを実行することで、各クライアント端末３との間でファイルを送受信したり、またクライアント端末３からの操作に応じて、フォルダやファイルなどを作成、変更、削除したりする処理を行うことができる。
なお、サーバ１は、クライアントごとにアクセス権限を管理するようにしてもよい。この場合、サーバ１は、クライアントごとにサーバ１へのアクセス権限があるか否か、アクセス権限が設定されているフォルダやファイルごとに、クライアントが新規作成、変更、削除などの処理を行う権限を持っているか否かという権限を管理する。

クライアント端末３は、サーバ１にアクセスして、サーバ１上のフォルダやファイルを作成、変更、削除、データの取得といった操作を行うことができるコンピュータである。
このクライアント端末３は、いわゆるパソコンなどにより構成され、スイッチ２を介してサーバ１に接続可能であればよく、当該クライアント端末３が搭載しているＯＳやアプリケーションプログラムは特に限定されるものではない。
そして、これらサーバ１とクライアント端末３との間では、パケットによりデータの送受信が行われるようになっている。

スイッチ２は、いわゆる集線装置であって、サーバ１とクライアント端末３との間でのデータをスイッチングして相互にデータ通信するための処理を行う。
このスイッチ２としては、スイッチの通常のポートを通過する全てのデータを複製して通過させるミラーポート方式、タップ方式、ブリッジ結線されたブリッジ方式であってもよい。
そして、スイッチ２により、クライアント−サーバ間で送受信されているパケットデータを複製して、この複製されたパケットデータをアクセスログ取得装置４が取得するようになっている。

アクセスログ取得装置４は、クライアント端末３からサーバ１へのアクセスログを取得する装置である。
このアクセスログ取得装置４は、ＣＰＵ(Central Processing Unit)及び、ＣＰＵが実行するコンピュータプログラム、コンピュータプログラムやその他のデータを記憶するＲＡＭ(Random Access Memory)などの記憶手段により構成されており、これによって図２に示す機能ブロックを実現する。
図２に示した機能ブロックは、ＩＤ対応情報記憶部４１、シーケンス処理情報記憶部４２、アクセス記録データベース４３、ネットワークインタフェース（Ｉ／Ｆ）４４、１次フィルタ４５、プロトコル解析処理部４６、データベース登録処理部４７、管理画面表示処理部４８から構成されている。

ＩＤ対応情報記憶部４１は、プロトコルの種別に応じて、パケット内に含まれるＩＤの種類と、サーバ１内の実際のボリューム、フォルダ、ファイルの名前との対応付けを記憶しておくテーブルである。
これは、例えば、ＡＦＰ（AppleTalk Filing Protocol）では、ボリューム・フォルダ・ファイルの指定は、セッションごとに設定される数値にＩＤにより指定されるが、監視ログを記録する際、ＩＤをそのままで記録してしまうとサーバ１のファイルシステム内のボリューム、フォルダ、ファイルとの対応関係が分からなくなることから、このＩＤ対応情報記憶部４１に予めＩＤと実際のボリューム・フォルダ・ファイルとの対応付けを予め定義したものである。
このＩＤ対応情報記憶部４１に記憶されるデータとしては、例えば、図３に示すように、ＡＦＰの場合、ＩＤの種類、対象ＡＦＰコマンドパケット、管理項目を対応付けて記憶する。一例として、ボリュームＩＤの場合、対象ＡＦＰコマンドパケットとしては「FPGetVolParms」、「FPGetFileDirParms」、「FPEnumerate」となり、管理項目としては、ＩＤと名称となる。
なお、このＩＤ対応情報記憶部４１に記憶されているデータは、ＩＤと名前の情報を含むＡＦＰパケットが到着するごとにこの表が更新され、実際のサーバ１上のファイルシステムのデータに対応するようになっている。

シーケンス処理情報記憶部４２は、プロトコルの種別に応じて、記憶しておくメソッドと抽出すべきコマンドの対応付けを記憶する記憶部である。
これは、例えば、ＡＦＰでは、ファイルの読み書きはファイルの２つのフォーク、すなわちデータフォークとリソースフォークに対する参照番号（ＲｅｆＮｏ）を使用して行われるが、このＲｅｆＮｏは、ＡＦＰのコマンドパケットのＦＰＯｐｅｎＦｏｒｋで取得され、取得したＲｅｆＮｏでＦＰＲｅａｄあるいはＦＰＷｒｉｔｅを行うことでファイルのアクセスが行われ、ＦＰＣｌｏｓｅＦｏｒｋでそのＲｅｆＮｏを解放するようになっている。
したがって、ファイルのアクセスを監視するには、ＦＰＯｐｅｎＦｏｒｋ、ＦＰＲｅａｄあるいはＦＰＷｒｉｔｅ、ＦＰＣｌｏｓｅＦｏｒｋのＡＦＰコマンドパッケージシーケンスをトレースする必要があるため、そのシーケンス処理を行う対象となるコマンドが定義されている。
一例として、ＡＦＰの場合を図４に示し、ＳＭＢプロトコルの場合を図５に示す。
例えば、図４に示すようにファイルの読み込みの場合、ＡＦＰではＦＰＯｐｅｎＦｏｒｋ、ＦＰＲｅａｄ、ＦＰＣｌｏｓｅＦｏｒｋの順でトレースすることにより、あるファイルに対して読み込み処理が行われたログとして記録することができる。

アクセス記録データベース４３は、アクセスログデータをデータベース化したものである。このアクセス記録データベース４３には、図６に示すように、項目名とその説明が対応付けて記憶できるようになっている。
項目名としては、日時、セッション、ユーザ、メソッド(メソッドの種類及び、付属情報、状態コード)がそれぞれ記憶できるようになっている。
日時は、年月日、時分秒、マイクロ秒が記憶できるようになっている。
セッションにはＭＡＣアドレス、ＩＰアドレスが記憶できるようになっている。
メソッドとしては、メソッド名と、付属情報としてフルパス名、リネーム時のターゲット名など、状態として状態コード（０＝ＯＫ、０以外＝ＮＧ）が記憶できるようになっている。
また、メソッド名としては、メソッド一覧にあるように、ファイルの新規作成、読み込み、書き込み、リネーム、移動、削除、フォルダの新規作成、リネーム、移動、削除、ログイン、ログアウトである。

ネットワークインタフェース４４は、アクセスログ監視装置４がネットワークに接続するためのインタフェースである。
このネットワークインタフェース４４は、所定のポートを介してスイッチング装置３に接続するとともに、所定のデータフォーマットに基づいた論理的インタフェースにより、ネットワーク内を流れているパケットを取得する処理を行う。

１次フィルタ４５は、取得したパケットの中から不要なパケットを破棄するための処理を行う。
１次フィルタ４５は、セッション情報（ＭＡＣアドレス、ＩＰアドレス）、プロトコル(ポート)、パケットサイズを判別して廃棄すべきパケットを判別したり、その他不要なパケットを廃棄する処理を行う。
これにより、不要なパケットを予めフィルタリングできることから、処理を効率化することができる。

プロトコル解析処理部４６は、プロトコルに応じて、パケットを解析してログを取得する処理を行う。
プロトコル解析処理部４６は、クライアントのログインからアクセスのログを取得したり、各クライアントがファイルへのアクセスしたログを取得する。
また、ファイルへのアクセスログをより分かりやすくするため、パケット内のＩＤとサーバのファイルシステム内のボリューム、フォルダ、ファイルとの対応付けなどの処理を行う。

データベース登録処理部４７は、プロトコル解析処理部４６により解析されたログデータを、アクセス記録データベース４３に記憶する処理を行う。

管理画面表示処理部４８は、アクセス記録データベース４３に記憶されているアクセスログデータに基づいて、管理画面上に表示する出力画面のデータを生成し、これを図示しないディスプレイ上に表示させる処理を行う。

次に、図７を参照してシステム全体の処理の流れを説明する。
図７において、まずクライアント端末３からサーバ１に対してファイルの取得要求を行う（Ｓ１）と、この取得要求がスイッチ２を介してサーバ１に送信される（Ｓ２）。
また同時に、スイッチ２のミラーリング機能により、ファイル取得要求のデータがアクセスログ取得装置４にも送信される（Ｓ３）。
これにより、アクセスログ取得装置４は、ネットワークインタフェース４４を介してパケットを取得し、一次フィルタ４５が取得したパケットをフィルタリングして、不要なパケットを廃棄するとともに、プロトコル解析処理部４６が、どのクライアントがアクセスし、どのファイル等に操作を行ったのかのログの解析を行い、データベース登録処理部４７が解析されたログデータをアクセス記録データベース４３に記憶する処理を行う。

サーバ１は、クライアント端末３からの取得要求に応じて、ファイルの取得応答をスイッチ２に送信する（Ｓ４）。クライント端末２はスイッチ２を介してファイルの取得応答を受信して、所定の処理を行う（Ｓ５）。
同時に、スイッチ２は、ミラーリング機能により、サーバ１からのファイルの取得応答をアクセスログ取得装置４へ送信する（Ｓ６）。
これにより、アクセスログ取得装置４は、ネットワークインタフェース４４を介してパケットを取得し、一次フィルタ４５が取得したパケットをフィルタリングして、不要なパケットを廃棄するとともに、プロトコル解析処理部４６が、どのクライアント端末３がサーバ１へアクセスし、どのファイル等に操作を行ったのかのログの解析を行い、データベース登録処理部４７が解析されたログデータをアクセス記録データベース４３に記憶する処理を行う。
そして、サーバ１のデータベース登録処理部４７は、解析したアクセスログをアクセス記録データベース４３に記録する（Ｓ７）。この時、少なくとも、メソッドが行われた日時、ユーザ、メソッドの内容等が記憶される。

これらＳ１からＳ７までの処理をサーバ１とクライアント端末３との間で繰り返し行うことでサーバ１へのアクセスログが記憶される。

一方、ある時点で、アクセスログ取得装置４に記録されているアクセスログを管理者が見る場合には、まず管理者がサーバ１又は図示しないネットワークに接続された管理者用端末等から管理画面表示要求を行う（Ｓ１１）。
これにより、アクセス記録データベース４３を参照して、指定された項目に該当するデータを検索する（Ｓ１２）。
検索が完了すると、サーバ１の管理画面表示処理部４８が、アクセス記録データベース４３から検索結果のデータを取得し（Ｓ１３）、図示しないディスプレイ上に管理画面表示を行う（Ｓ１４）。

なお、この画面表示としては、図８に示すように、所定期間（例えば、１ヶ月ごと）にクライアント端末３に対応するオペレータごとに作成したページ数を表示するようにしてもよい。この場合、週ごとの作成ページ数が分かるように分けて表示させてもよい。
また、図９に示すように、一つのファイルごとにいつ誰がアクセスして、どのような操作を行ったかを表示させても良い。この例では、「ファイルＡ」に対して、いつ（例えば、２００６年２月３日１６時３８分）、だれが（例えば、オペレータＡ）、どのような操作を行ったか（例えば、新規作成）を一覧表として表示してもよい。
さらに、図１０に示すように、特定のファイルの参照回数を、週ごとにグラフ化して表示してもよい。

次に、上述のＳ３、Ｓ６の処理における、アクセスログ取得装置４の１次フィルタ４５の詳細な処理の流れについて説明する。この時点では、ネットワークインタフェース４４がスイッチ２からパケットを取得した状態となっている。
図１１において、１次フィルタ４５は、まず取得したパケットの中からセッション情報があるか否か判別して、これらが含まれないパケットは廃棄パケットとする。（Ｓ１０１）。
この処理は、具体的には、パケットにＭＡＣアドレス、ＩＰアドレスが含まれているかを判別することで行う。

判別の結果、セッション情報が存在する場合には、１次フィルタ４５はプロトコルの判別を行い、該当しないものは廃棄パケットとする（Ｓ１０２）。
この処理では、パケットに含まれるポート番号を抽出して、そのポート番号が所定のポート番号と一致するかを判別することにより行う。なお、予め対応できるプロトコル（ポート）をメモリ等に記憶して定義しておくことで、当該プロトコルに対応するパケットのみを抽出する。

判別の結果、セッション情報の確認ができた場合には、１次フィルタ４５は、パケットサイズが一定サイズ以上か否か判別し、一定のサイズ以上のパケットは廃棄する（Ｓ１０３）。
これにより、例えば、ファイル操作のログを取得することとは直接関係がないデータファイルなど、比較的サイズが大きいパケットを廃棄する。

判別の結果、パケットサイズが一定の大きさ以下の場合には、１次フィルタ４５は、ＴＣＰのコントロールパケットか否かを判別し、ＴＣＰのコントロールパケットは廃棄する（Ｓ１０４）。

１次フィルタ４５は、プロトコル固有のパケットで、ログ解析に不要なパケットか否かを判別して廃棄する（Ｓ１０５）。
このログ解析に不要なパケットは、予め定義してメモリに記憶させておき、その定義されたパケットに該当するパケットを廃棄するようにする。

１次フィルタ４５は、断片化されたパケットがあるか否かを判別して、断片化されたパケットの２つ目以降のパケットは廃棄して（Ｓ１０６）、選択パケットのみをフィルタリングする処理を行う。これにより、断片化されている場合、先頭のパケットが取得できれば操作ログが取得できるため、２つ目以降のパケットは廃棄する。
このように、１次フィルタを通して、ログ解析に不要なパケットを廃棄することで、ログ解析を効率的に行うことができる。

次に、上述のＳ３、Ｓ６の処理におけるプロトコル解析処理部４６の処理の流れについて図１２を参照して説明する。
図１２において、まず、１次フィルタ４５により選択されたパケットのうち、プロトコル解析処理部４６がリクエスト(Request)と、応答(Reply)との結合処理を行う（Ｓ２０１）。
これによりリクエストと応答が結合されて、サーバ１に対してある一つの操作がなされたことを特定できるようになる。
そして、プロトコル解析処理部４６がプロトコルシーケンスの解析処理を行う（Ｓ２０２）。これによりサーバ１上のファイル等に対するメソッドを特定することができる。
最後に、データベース登録処理部４７が、ログの登録項目の生成を行い（Ｓ２０３）、処理を終了する。

次に、図１３の処理フローにおける、プロトコル解析処理部４６の詳細な処理について説明する。
まず図１３を参照して、プロトコル解析処理部４６がリクエストとリプライの結合処理を行う場合の詳細な処理の流れについて説明する。
図１３（ａ）は要求−結合処理の全体処理フローを示す。図１３（ａ）において、まずパケットに含まれるコマンドを参照して、要求パケットか否かを判別する（Ｓ３０）。
判別の結果、要求パケットである場合には応答の結合処理に移る（Ｓ３１）。

応答の結合処理としては、図１３（ｂ）に示すように、要求待ちキューを記憶したメモリを参照して、上記要求パケットに対応する応答があるか否かを判別する（Ｓ３１１）。
判別の結果、対応する応答がある場合には、応答の結合処理を行う（Ｓ３１２）。
また、判別の結果、対応する応答がない場合には、上記要求パケットを応答待ちキューとしてメモリに記憶して（Ｓ３１３）、処理を終了する。

また、上述のＳ３０の処理で要求パケットではないと判別された場合には、パケットに含まれるコマンドを参照して、当該パケットが応答パケットか否か判別する（Ｓ３２）。
判別の結果、応答パケットでない場合には、ログ取得に関係のないパケットとして廃棄するなどして処理終了する。
また、判別の結果応答パケットであると判別された場合には、要求の結合処理に移る（Ｓ３３）。

要求の結合処理としては、図１３（ｃ）に示すように、まず応答待ちキューを記憶したメモリを参照して、上記応答パケットに対応する要求があるか否かを判別する（Ｓ３３１）。
判別の結果、対応の要求がある場合には、要求の結合処理を行う（Ｓ３３２）。
また、判別の結果、対応の要求がない場合には、上記応答パケットを要求待ちキューに登録して（Ｓ３３３）、処理を終了する。

次に、プロトコル解析処理部４６が、プロトコルシーケンスの解析処理を行う場合の処理について図１４を参照して説明する。
図１４において、まずクライアント端末３のログインシーケンス処理を行い、どのクライアント端末３がログインしたのかを判別する（Ｓ４０１）。
例えば、ＡＦＰのプロトコルでは、ログインは２段階で行われ、使用されるＡＦＰコマンドパケットはＦＰＬｏｇｉｎとＦＰＣｏｕｎｔの２種類であるので、このコマンドを受信したか、またそのクライアントは誰かを判別することにより行う。これらはログインシーケンスとして解析して、アクセス記録データベース４３に記録される。

ログインシーケンスが完了すると、パケットが保持しているＩＤと名称の対応付けとを行い、この必要に応じて対応表の更新処理を行う（Ｓ４０２）。
この処理は、図３に示すＩＤ対応情報記憶部４１を参照して、パケット内のＩＤに基づいて、実際のサーバ１のファイルシステム内のボリューム、フォルダ、ファイルの名前を特定する処理を行う。
例えば、ＡＦＰコマンドＦＰＤｅｌｅｔｅでファイルが削除される場合、その対象ファイルは「ボリュームＩＤ」、「親フォルダＩＤ」、「ファイルＩＤ」で与えられる。これらのＩＤで対応表を引くことにより、サーバ１上のファイルシステムの完全パス名が取得でき、ログにはその完全パス名を記録することができる。
なお、日本語名の表示用に文字コードの変換処理を実施してもよい。

最後に、ファイルのアクセス・シーケンス処理を行って（Ｓ４０３）、アクセス解析処理を終了する。
このシーケンス処理では、図４又は図５に示すシーケンス処理情報記憶部４２を参照して、パケット中からメソッド一覧にあるコマンドを抽出し、どのメソッドに対応する処理かを特定する。
例えば、ＡＦＰにおけるファイルの読み込みであれば、ＦＰＯｐｅｎＦｏｒｋ、ＦＰＲｅａｄ、ＦＰＣｌｏｓｅＦｏｒｋのＡＦＰコマンドパッケージシーケンスとなっていれば、このファイルの読み込み処理が行われたことが特定される。
また、あわせパケット内の時間を抽出して、処理が行われた時間を特定する
なお、コマンドとログ記録メソッドの対応表は、プロトコルごとに保持してもよく、ＳＭＢの場合には、図５に示すような対応テーブルとして保持しておき、このテーブルを参照して該当するコマンドについてはシーケンス処理を実行する。

このように上述の実施形態によれば、サーバ１上でアクセス監視用のプログラムを実行しなくとも、サーバ１とは別装置のアクセスログ取得装置４により、サーバ１への操作ログデータを取得することができるから、サーバ１に負荷を掛けることなくログデータを取得することができ、サーバ１への不正アクセスや、ファイルの作成、変更、削除などのログを取得して監視することができる。
また、サーバ１上でプログラムを実行しないで、別装置のアクセスログ取得装置４によりネットワーク上のパケットを取得して、ログ解析を行うようにしたことから、サーバ１の機種やＯＳに依存しなくとも、アクセスログ取得装置４側で種々のプロトコルに応じたログ解析を行うことができる。これにより、サーバ１の機種やＯＳにかかわらず、通信プロトコルが対応できるものであれば操作ログを取得することができる。

アクセス取得装置４をネットワークに接続するだけで、監視を行うことができるから、サーバ１の設定変更の必要がなく、設定変更の手間を省くことができる。
さらに、取得したログデータは、アクセスログ取得装置４に記録されており、サーバ１にはこれらのデータは存在していないことから、サーバ１への不正アクセスにより、操作ログデータに不正にアクセスされたり、改ざんされたりすることを防止できる。

上述の実施形態は一例であって、本発明を逸脱しない範囲で適宜変更等が可能である。

本発明の一実施形態に係るシステムの全体構成を示した図である。本実施形態にかかる機能ブロック図。ＩＤ対応情報記憶部に記憶されるデータの一例を示した図。シーケンス処理情報記憶部に記憶されるデータの一例を示した図。シーケンス処理情報記憶部に記憶されるデータの一例を示した図。アクセス記録データベースに記憶されるデータの一例を示した図。システム全体の処理の流れを示した図。ログデータの表示の一例を示した図。ログデータの表示の別の例を示した図。ログデータの表示のさらに別の例を示した図。１次フィルタの詳細な処理を示した処理フロー。プロトコル解析処理部の処理を示した処理フロー。要求−応答結合処理のフローチャート。プロトコル解析処理部の詳細な処理フロー。

符号の説明

１・・・サーバ、２・・・スイッチ、３・・・クライアント端末、４・・・アクセスログ取得装置、４１・・・ＩＤ対応情報記憶部、４２・・・シーケンス処理情報記憶部、４３・・・アクセス記録データベース、４４・・・ネットワークインタフェース、４５・・・１次フィルタ、４６・・・プロトコル解析処理部、４７・・・データベース登録処理部、４８・・・管理画面表示処理部

Claims

実データと管理データとから成るファイルを複数記憶し、階層構造のファイルシステムを持つファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記ファイル管理サーバに対するクライアント端末からの操作に関するログデータを取得するための装置であって、
上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、プロトコルの種別に応じて、各メソッドを実行するために必要な特定のコマンド及び特定コマンドの集合体であるコマンドパッケージシーケンスと、を対応付けて記憶するメソッド定義記憶手段と、
上記管理データは上記階層構造の階層項目毎に付されるＩＤを有し、パケットに含まれる当該ＩＤと、上記階層構造項目の名称を対応付けて記憶するＩＤ対応項目情報記憶手段と、
応答待ち又は要求待ちパケットを一時的に記憶する一時記憶手段と、
上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得するパケット取得処理手段と、
上記取得したパケットのデータから通信プロトコルを判別して、一定サイズ以上のパケットを廃棄し、更に、断片化されたパケット、ネットワークのコントロールパケット、プロトコルにおける不用コマンドのパケットを廃棄すると共に、予め決められたプロトコルに該当するパケットを選択するフィルタリング処理手段と、
上記フィルタリングされたパケットの中から、パケットに含まれるコマンドから要求パケット又は応答パケットかを判別して上記一時記憶手段に記憶し、上記一時記憶手段に記憶された要求パケット又は応答パケットの中から、上記応答待ち又は要求待ちパケットに対応するコマンドを含むパケットがあるか否か判別し、対応するコマンドが存在するときに要求パケットに対する応答パケットの結合処理又は応答パケットに対する要求パケットの結合処理を行う要求応答結合手段と、
上記結合したパケットの中から、パケット内に格納される、上記クライアント端末と上記ファイル管理サーバ内の階層項目との間でのセッション確立からセッション解放まで付される固有識別子を参照し、参照済み固有識別子を有するパケットがあるか否かを判別するシーケンスパケット解析手段と、
上記判別されたパケット内を参照し、どのクライアントがログインをしたのかを特定するクライアント特定手段と、
上記特定されたパケット内に格納されている上記階層項目毎に付されるＩＤを参照し、上記ＩＤ対応項目情報記憶手段を参照して、ファイル管理サーバ上での対応する階層項目を特定するＩＤ対応項目特定手段と、
上記要求応答結合手段により完結したコマンド、又は、上記シーケンスパケット解析手段により完結したコマンドパッケージシーケンスに基づき、上記メソッド定義記憶手段を参照して、当該コマンド又はコマンドパッケージシーケンスに該当するメソッドを特定するメソッド特定手段と、
少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報、上記階層項目をログデータとして記憶する解析結果記憶手段と、
上記解析結果記憶手段に記憶されている上記ログデータに基づいて、出力データを生成して、出力する出力手段と、
を有することを特徴とするサーバの操作情報取得装置。
上記ＩＤ対応項目特定手段は、ＩＤと階層項目名の情報を含むパケットが到着するごとに、上記ＩＤ対応項目情報記憶手段に記憶されている当該ＩＤ及び階層項目名に対応したデータを更新する、
請求項１記載のサーバの操作情報取得装置。
実データと管理データとから成るファイルを複数記憶し、階層構造のファイルシステムを持つファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、プロトコルの種別に応じて、各メソッドを実行するために必要な特定のコマンド及び特定コマンドの集合体であるコマンドパッケージシーケンスと、を対応付けて記憶するメソッド定義記憶手段と、上記管理データは上記階層構造の階層項目毎に付されるＩＤを有し、パケットに含まれる当該ＩＤと、上記階層構造項目の名称を対応付けて記憶するＩＤ対応項目情報記憶手段と、応答待ち又は要求待ちパケットを一時的に記憶する一時記憶手段と、を有する装置により行われる方法であって、
上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、
上記取得したパケットのデータから通信プロトコルを判別して、一定サイズ以上のパケットを廃棄し、更に、断片化されたパケット、ネットワークのコントロールパケット、プロトコルにおける不用コマンドのパケットを廃棄すると共に、予め決められたプロトコルに該当するパケットを選択する処理と、
上記フィルタリングされたパケットの中から、パケットに含まれるコマンドから要求パケット又は応答パケットかを判別して上記一時記憶手段に記憶し、上記一時記憶手段に記憶された要求パケット又は応答パケットの中から、上記応答待ち又は要求待ちパケットに対応するコマンドを含むパケットがあるか否か判別し、対応するコマンドが存在するときに要求パケットに対する応答パケットの結合処理又は応答パケットに対する要求パケットの結合を行う処理と、
上記結合したパケットの中から、パケット内に格納される、上記クライアント端末と上記ファイル管理サーバ内の階層項目との間でのセッション確立からセッション解放まで付される固有識別子を参照し、参照済み固有識別子を有するパケットがあるか否かを判別する処理と、
上記判別されたパケット内を参照し、どのクライアントがログインをしたのかを特定する処理と、
上記特定されたパケット内に格納されている上記階層項目毎に付されるＩＤを参照し、上記ＩＤ対応項目情報記憶手段を参照して、ファイル管理サーバ上での対応する階層項目を特定する処理と、
上記要求応答結合手段により完結したコマンド、又は、上記シーケンスパケット解析手段により完結したコマンドパッケージシーケンスに基づき、上記メソッド定義記憶手段を参照して、当該コマンド又はコマンドパッケージシーケンスに該当するメソッドを特定する処理と、
少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報、上記階層項目をログデータとして記憶する処理と、
上記記憶されている上記ログデータに基づいて、出力データを生成して、出力する処理と、
を有することを特徴とするサーバの操作情報取得方法。
実データと管理データとから成るファイルを複数記憶し、階層構造のファイルシステムを持つファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、プロトコルの種別に応じて、各メソッドを実行するために必要な特定のコマンド及び特定コマンドの集合体であるコマンドパッケージシーケンスと、を対応付けて記憶するメソッド定義記憶手段と、上記管理データは上記階層構造の階層項目毎に付されるＩＤを有し、パケットに含まれる当該ＩＤと、上記階層構造項目の名称を対応付けて記憶するＩＤ対応項目情報記憶手段と、応答待ち又は要求待ちパケットを一時的に記憶する一時記憶手段と、とを有するコンピュータを操作情報取得装置として機能させるためのコンピュータプログラムであって、
上記コンピュータに対して、
上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、
上記取得したパケットのデータから通信プロトコルを判別して、一定サイズ以上のパケットを廃棄し、更に、断片化されたパケット、ネットワークのコントロールパケット、プロトコルにおける不用コマンドのパケットを廃棄すると共に、予め決められたプロトコルに該当するパケットを選択する処理と、
上記フィルタリングされたパケットの中から、パケットに含まれるコマンドから要求パケット又は応答パケットかを判別して上記一時記憶手段に記憶し、上記一時記憶手段に記憶された要求パケット又は応答パケットの中から、上記応答待ち又は要求待ちパケットに対応するコマンドを含むパケットがあるか否か判別し、対応するコマンドが存在するときに要求パケットに対する応答パケットの結合処理又は応答パケットに対する要求パケットの結合を行う処理と、
上記結合したパケットの中から、パケット内に格納される、上記クライアント端末と上記ファイル管理サーバ内の階層項目との間でのセッション確立からセッション解放まで付される固有識別子を参照し、参照済み固有識別子を有するパケットがあるか否かを判別する処理と、
上記判別されたパケット内を参照し、どのクライアントがログインをしたのかを特定する処理と、
上記特定されたパケット内に格納されている上記階層項目毎に付されるＩＤを参照し、上記ＩＤ対応項目情報記憶手段を参照して、ファイル管理サーバ上での対応する階層項目を特定する処理と、
上記要求応答結合手段により完結したコマンド、又は、上記シーケンスパケット解析手段により完結したコマンドパッケージシーケンスに基づき、上記メソッド定義記憶手段を参照して、当該コマンド又はコマンドパッケージシーケンスに該当するメソッドを特定する処理と、
少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報、上記階層項目をログデータとして記憶する処理と、
上記記憶されている上記ログデータに基づいて、出力データを生成して、出力する処理と、
を実行させるコンピュータプログラム。