JP2006221439A

JP2006221439A - ログの保管方法

Info

Publication number: JP2006221439A
Application number: JP2005034528A
Authority: JP
Inventors: Takahito Ishikawa; 崇仁石川
Original assignee: Hitachi Software Engineering Co Ltd
Current assignee: Hitachi Software Engineering Co Ltd
Priority date: 2005-02-10
Filing date: 2005-02-10
Publication date: 2006-08-24

Abstract

【課題】取得したログの整理を行い、ログを格納するハードディスクの圧迫を未然に防止する。
【解決手段】Firewall１０１を含むサーバで、日々取得されるログを日付毎に整理し、Firewall１０１内のハードディスク装置１０４に保管し、監視用プログラム１０２は、ハードディスク装置１０４の使用容量が予め定めた閾値を越えた場合、Firewall１０１内のハードディスク装置１０４に保管しているログファイル１０３をログ収集サーバ１０５に転送する。
【選択図】図１

Description

本発明は、ログの保管方法に係り、特に、Firewall等のネットワーク上に配置され、あるいは、他の機器と連携し、あるいは、単独で処理を行っている情報処理装置で取得されたログの保管方法に関する。

従来、Firewall、サーバ等の情報処理装置により取得された通信ログ、内部処理ログ等のログデータ（以下、単に、ログという）は、１つのファイル内に記録されて保管されるのが一般的である。このため、前述したような１つのファイル内へのログの保管方法では、複数の日に記録されたログの中身をユーザが参照しようとする場合、ログを格納しているファイルサイズが大きいため、参照しようとするログを探し出すのが困難であった。また、障害対応等のためにログを取得して、他の部署等に送付する必要がある場合、ログを格納しているファイルのファイルサイズが大きいため、該当する部分を抽出したり、ファイルを分割したりという作業を行わなければならず、ログの取得、送付のために非常に多くの手間がかかっていた。

さらに、ログ全体の量が増加して、ログを記録するファイルを構成しているハードディスク装置を圧迫したような場合、従来、ログを上書きする、あるいは、ログを削除する等の方法により対処しているが、このような方法では、必要なログが消失してしまう可能性があった。

また、ログの保管に関する他の従来技術として、例えば、特許文献１等に記載された技術が知られている。この従来技術は、ネットワーク内に設けられ複数のサーバのそれぞれのサーバで収集している稼動ログや稼動データを１ヶ所に時系列的に継続して蓄積していくというものである。そして、この従来技術は、複数のサーバと収集蓄積制御装置とをネットワーク内に存在させ、収集蓄積装置内に設けられた収集プログラムが、所定の周期で稼動ログの転送を各サーバに対して要求し、各サーバのエージェントプログラムが、要求に応じて稼動データを収集蓄積装置に転送し、収集蓄積装置の収集プログラムが、各サーバから送られてきた稼動データを時系列データとして蓄積するというものである。
特開２００１−０２７９９０号公報

取得したログを１つのファイル内に記録して保管する一般的なログの保管方法は、前述で説明したように、複数の日に渡って記録されたログの中身をユーザが参照しようとする場合、ファイルサイズが大きいために、参照しようとするログを探し出すのが困難であり、また、障害対応等のためにログを取得して、他の部署等に送付する必要がある場合、ログの取得、送付のために非常に多くの手間がかかってしまうという問題点を有している。

また、特許文献１に記載された従来技術は、ネットワークの負荷（サーバへのアクセス量）が増加し、収集蓄積装置がログを収集する所定の周期以内にサーバが取得するログの量がサーバのハードディスクサイズを超えてしまう可能性があり、このような場合、ログの上書きや削除が一般的な手法として用いられているため、重要なログが消失してしまうという問題点を生じさせる。また、Firewallがログの収集を行う場合、Firewallの機種等によっては、ログの消失を防ぐために活動を停止してしまうことがあり、この場合、Firewallがその機能を果たすことができなくなるという問題点を生じさせる。

本発明の目的は、前述した従来技術の問題点を解決し、取得したログの整理を行い、ログを格納するハードディスクの圧迫を未然に防止することができるログの保管方法を提供することにある。

本発明によれば前記目的は、自装置で行った各種の処理のログを収集している情報処理装置におけるログの保管方法において、前記情報処理装置は、取得したログを格納する記憶装置と、該記憶装置の使用状況を監視する監視用手段とを備え、該監視用手段は、前記情報処理装置が取得して前記記憶装置の第１のログファイルに記憶していたログを、予め定めた所定の期間毎に整理して、前記記憶装置内の前記所定の期間毎に作成した前記ログファイルとは別の第２のログファイルに格納すると共に、前記記憶装置の使用容量を監視し、該使用容量が予め定めた閾値を越えたとき、前記第２のログファイルに格納されているログを、自情報処理装置に接続されているログ収集サーバに転送することにより達成される。

本発明によれば、取得したログを日付毎等の所定の期間毎に整理し、その期間毎に作成したログファイルに保管するようにしているので、ログの整理を行うことができ、該当ログを容易に探し出すことが可能となる。また、本発明によれば、障害対応時等に、要求されたログを即時に取得し、そのログを含むファイルを容易に送付することが可能となる。

また、本発明によれば、ログの大量出力によるハードディスクの圧迫を監視し、ハードディスク圧迫を検知した際にログ収集サーバへログを転送して、ログを収集しているFirewall、サーバ等の機器内のログを削除することとしているので、ログの消失やFirewallの停止を未然に防止することが可能となる。

以下、本発明によるログ保管方法の実施形態を図面により詳細に説明する。

図１は本発明の一実施形態によるログ保管方法を実施するシステムの構成例を示すブロック図である。図１において、１０１はFirewall、１０２は監視用プログラム、１０３、１０７はログファイル、１０４、１０６はハードディスク装置、１０５はログ収集サーバ、１１０は内部サーバ、１１１、１１２はハブ、１１３は外部通信網、１１４は内部ＬＡＮである。

図１に示すシステムの例は、公衆通信網等の外部通信網１１３と企業等における内部ＬＡＮ１１４との間に設けられるFirewall１０１が通信ログ、その他の処理ログ等を収集する場合の例であり、内部ＬＡＮ１１４には、Firewall１０１に接続された内部サーバ１１０と複数のハブ１１１、１１２とが接続されており、ハブ１１１、１１２のそれぞれには、図示しない複数のＰＣ、プリンタ等の機器が接続されている。内部サーバ１１０は、内部ＬＡＮ１１４上の通信を監視制御し、また、ハブ１１１、１１２を介して接続される機器全体の管理を行うものである。

また、図１に示すFirewall１０１を含むシステムは、Firewall１０１とログ収集サーバ１０５とが相互に接続されて構成されている。Firewall１０１は、ＣＰＵ、メモリ等を含む情報処理装置により構成され、その内部に監視用手段としての監視用プログラム１０２と記憶装置としてのハードディスク装置１０４とを備えて構成されると共に、内部ＬＡＮ１１４に接続された機器と外部通信網上の機器との間での通信を中継しつつ、外部から内部ＬＡＮを含むシステムへの電子的な攻撃等に対する防御を行っている。

前述において、Firewall１０１は、内部ＬＡＮ１１４に接続された機器と外部通信網１１３上の機器との間での通信の状況を監視して、その通信のログを収集しており、監視用プログラム１０２は、Firewall１０１が収集したログを日付毎に整理し、分割してログファイル１０３として、Firewall１０１内のハードディスク装置１０４に保存する処理を行っている。また、監視用プログラム１０２は、Firewall１０１内のハードディスク装置１０４の使用容量を監視し、その使用容量が設定された閾値を超えた場合、ログ収集サーバ１０５のハードディスク１０６へFirewall内のログファイル１０３を転送する。そして、監視用プログラム１０２は、ログ収集サーバ１０５へ正しくFirewall１０１内のログファイル１０３が転送されたことを確認した後、Firewall１０１内のログファイル１０３を削除する。

本発明によるログの保管方法は、前述により、Firewall１０１内のハードディスク１０４が満杯になることを未然に防止することが可能となる。

図２はFirewallが日々のログをFirewall内のハードディスクに保存する処理動作を説明するフローチャート、図３はFirewall１０１のハードディスク装置１０４内に作成されるログファイルの構成例を示す図であり、次に、図２、図３を参照して、Firewall１０１での処理とこの処理によりハードディスク装置１０４内に作成されるログファイルについて説明する。

（１）Firewall１０１は、公知の方法で通信の内容をログとして取得し、ハードディスク装置１０４内のログファイルに格納する。ここで取得されたログは、ハードディスク１０４内の/var/logディレクトリ３０２の第１のログファイルに日々のログファイルとして、ログの種類毎に分類した第１のログファイル１〜ｎ３０３に取得順に日付、時刻情報と共に記録されていく。ログの種類としては、通信ログ、内部処理ログ、外部からの攻撃のログ、各種設定変更のログ等がある（ステップ２０１）。

（２）監視用プログラム１０２は、一定の時間毎に、ここでは、１日に１回起動されて、第１のログファイル１〜ｎ３０３に記録されているログの整理を開始し、処理を開始すると、まず、整理したログを格納するためのログファイルを保存するディレクトリ、ここでは、/var/backup ディレクトリ３０４がハードディスク１０４内にあるか否かを判定する（ステップ２０２）。

（３）ステップ２０２の判定で、整理したログを格納するためのディレクトリがハードディスク１０４内になかった場合、監視用プログラム１０２は、ログファイルを保存する/var/backup ディレクトリ３０４を作成する（ステップ２０３）。

（４）ステップ２０２の判定で、ログファイルを保存する/var/backup ディレクトリ３０４があった場合、あるいは、ステップ２０３の処理で、ログファイルを保存する/var/backup ディレクトリ３０４を作成した後、監視用プログラム１０２は、Firewall１０１が取得して種類別にログを格納している第１のログファイル１〜ｎ３０３の１つを選択して、そのログファイルに格納してあるログから前日分のログを抽出する（ステップ２０４）。

（５）監視用プログラム１０２は、ステップ２０４の処理で抽出したログを、/var/backup ディレクトリ３０４内の第２のログファイル３０５としてのログ（当日−１）ファイルに格納し、そのログを抽出した第１のログファイル１〜ｎ３０３の選択したファイルから削除する（ステップ２０５、２０６）。

（６）次に、監視用プログラム１０２は、Firewall１０１が取得して種類別にログを格納している第１のログファイル１〜ｎ３０３の全てについて処理が終了したか否かを判定し、終了していなければ、ステップ２０４からの処理に戻って処理を繰り返し、全ての処理が終了していた場合、ここでの処理を終了する（ステップ２０７）。

図４はFirewall内のハードディスクの使用容量が閾値を超えた場合に、Firewall内のハードディスクへ保存されている第２のログファイル内のログをログ収集サーバへ転送する処理動作を説明するフローチャート、図５はログ収集サーバのハードディスク装置１０６内に作成されるログファイルの構成例を示す図であり、次に、図４、図５を参照して、Firewall内のログファイルのログをログ収集サーバへ転送する処理と、ハードディスク装置１０６内に作成されるログファイルの構成とについて説明する。

（１）Firewall１０１は、公知の方法で通信の内容をログファイルに取得する。このログファイルの取得は、図２のステップ２０１の処理で行っている処理と同一の処理であり、ここで取得されたログは、ハードディスク１０４内の/var/logディレクトリ３０２に日々のログファイル３０３として、ログの種類毎に分類してログファイル１〜ｎに取得順に日付、時刻情報と共に記録されていく（ステップ４０１）。

（２）監視用プログラム１０２は、ハードディスク装置１０４の使用容量が予め定められた閾値以上になったか否かを判定し、閾値以上となっていなかった場合、なにも行わず、Firewall１０１は、公知の方法で通信の内容をログファイルに取得する処理を続ける（ステップ４０２）。

（３）ステップ４０２の判定で、ハードディスク装置１０４の使用容量が予め定められた閾値以上になっていた場合、監視用プログラム１０２は、ログ収集サーバ１０５へログファイルのログを転送する。ここで監視用プログラム１０２が転送するログファイルは、Firewall１０１のハードディスク装置１０４の/var/backup ディレクトリ３０４内の第２のログファイル３０５、すなわち、ログ（当日−１）ファイル〜ログ（当日−ｎ）ファイルの全てである（ステップ４０３）。

（４）監視用プログラム１０２は、ログ収集サーバ１０５へログファイルを転送する処理が完了した後、Firewall１０１のハードディスク装置１０４内に保存されているログファイル３０５を削除して、ここでの処理を終了する（ステップ４０４）。

前述した処理によりログ収集サーバ１０５のハードディスク装置１０６内には、図５に示すようにログファイルが格納されることになる。なお、図５に示す例は、ログ収集サーバ１０５が複数のFirewallから転送されてくるログを、自サーバ内のハードディスク装置１０６内に格納した場合の例である。

そして、ログ収集サーバ１０５内のハードディスク装置１０６には、/var/logディレクトリ５０２にFirewall毎の複数のディレクトリである/var/log/FW-1 ディレクトリ５０３、/var/log/FW-2 ディレクトリ５０５が作成される。そして、１つのFirewallのディレクトリである/var/log/FW-1 ディレクトリ５０３の中に日付毎にまとめた第１のFirewallのログファイル５０４が記録され、また、同様に、他の１つのFirewallのディレクトリである/var/log/FW-2 ディレクトリ５０５の中に日付毎にまとめた第２のFirewallのログファイル５０６が記録される。

図６は日毎にまとめたログファイルのログの格納状態を説明する図である。ここに示しているログファイルは、図３に示す第２のログファイル３０５、図５に示す第１、第２のFirewallのログファイル５０４、５０６の状態である。

図２に説明した処理で、監視用プログラム１０２は、Firewall１０１が取得して種類別にログを格納している第１のログファイル１〜ｎ３０３から日毎のログを抽出して日毎に第２のログファイル１〜ｎ３０５に整理して格納しているが、その際、監視用プログラム１０２は、複数の第１のログファイル１〜ｎから所定の順序で順に前日のログを抽出して、第２のログファイルの前日分のログファイルに抽出した順に格納していくという処理を行う。この結果、整理されたログを記録するログファイルには、図６に示すように、同一日のログが、種類１〜種類ｎ毎に順番に記録されることになる。前述のような状態に整理されたログを記録するログファイルが、Firewall１０１のハードディスク装置１０４内に第２のログファイルとして格納されるが、このようなファイルを格納管理するログ収集サーバ１０５内のハードディスク装置１０６内の各Firewall毎のログファイルも同様なものとなる。

このように整理されたログファイルが大きい場合、それを参照したり、利用したりする場合、参照しようとするログを探し出すのが難しくなる場合もある。本発明は、このようなことに対処するため、ログの整理を日毎でなく、より短い期間毎としてもよく、また、日毎を含む所定の期間毎、ログの種類毎に１つのログファイルを作成して、そのログファイル内に、同一期間、同一種類のログを記録するようにすることができる。このようにすることにより、ログを参照したり、利用する場合に、目的のログを迅速、確実に探し出すことが可能となる。

前述で説明した本発明の実施形態での各処理は、処理プログラムとして構成することができ、この処理プログラムは、ＨＤ、ＤＡＴ、ＦＤ、ＭＯ、ＤＶＤ−ＲＯＭ、ＣＤ−ＲＯＭ等の記録媒体に格納して提供することができる。

また、前述した本発明の実施形態は、Firewallがログを取得するものとして説明したが、本発明は、ログを取得する機器が、サーバ等の他のどのような情報処理装置であってよく、また、本発明は、ログを収集している複数の情報処理装置等の機器に１つのログ収集サーバを接続して、１つのログ収集サーバが複数の機器から転送されてきたログを格納管理するようにすることができる。

本発明の一実施形態によるログ保管方法を実施するシステムの構成例を示すブロック図である。 Firewallが日々のログをFirewall内のハードディスクに保存する処理動作を説明するフローチャートである。 Firewall１０１のハードディスク装置１０４内に作成されるログファイルの構成例を示す図である。 Firewall内のハードディスクの使用容量が閾値を超えた場合に、Firewall内のハードディスクへ保存されている第２のログファイルのログをログ収集サーバへ転送する処理動作を説明するフローチャートである。ログ収集サーバのハードディスク装置１０６内に作成されるログファイルの構成例を示す図である。日毎にまとめたログファイルのログの格納状態を説明する図である。

符号の説明

１０１ Firewall
１０２監視用プログラム
１０３、１０７ログファイル
１０４、１０６ハードディスク装置
１０５ログ収集サーバ
１１０内部サーバ
１１１、１１２ハブ
１１３外部通信網
１１４内部ＬＡＮ

Claims

自装置で行った各種の処理のログを収集している情報処理装置におけるログの保管方法において、前記情報処理装置は、取得したログを格納する記憶装置と、該記憶装置の使用状況を監視する監視用手段とを備え、該監視用手段は、前記情報処理装置が取得して前記記憶装置の第１のログファイルに記憶していたログを、予め定めた所定の期間毎に整理して、前記記憶装置内の前記所定の期間毎に作成した前記ログファイルとは別の第２のログファイルに格納すると共に、前記記憶装置の使用容量を監視し、該使用容量が予め定めた閾値を越えたとき、前記第２のログファイルに格納されているログを、自情報処理装置に接続されているログ収集サーバに転送することを特徴とするログの保管方法。
前記監視用手段は、前記第１のログファイルに記憶していたログを、予め定めた所定の期間毎に加えてログの種類毎に整理して、前記記憶装置内の前記所定の期間毎、ログの種類毎に作成した前記第１のログファイルとは別の第２のログファイルに格納することを特徴とする請求項１記載のログの保管方法。
前記監視用手段は、前記第２のログファイルに情報処理装置が取得したログを格納したとき、前記第１のログファイル内の対応するログを削除し、前記第２のログファイルに格納されていたログを前記ログ収集サーバに転送したとき、前記第２のログファイルに格納されていたログを削除することを特徴とする請求項１または２記載のログの保管方法。