JP2010271875A - ネットワーク管理システムおよびプログラム - Google Patents

Abstract

【課題】管理サーバが、監視対象サーバから大量のログ情報を通知された場合に、その状況を検知し、大量通知の原因となっている特定のログ情報の通知を抑止することで、ネットワークトラフィックの増大を抑制するとともに、必要な情報の抜け落ちを防止することを課題とする。
【解決手段】本発明のネットワーク管理システム１０００において、ログ管理サーバ１００は、監視対象サーバ２００から通知されたログ情報をログ情報記憶部に格納し、所定期間内に通知されたログ情報の件数が所定の閾値を超過した場合に、ログ情報記憶部に格納された各ログ情報を解析して、ログ情報の件数が所定の閾値を超過した原因となっているログ情報の種類を特定し、当該監視対象サーバ２００に対して、当該原因となっている種類のログ情報の通知の停止命令を送信する。
【選択図】図１

Description

本発明は、ネットワーク上に分散している各監視対象サーバのログ情報を取得して、管理サーバに通知することで、各サーバの異常を迅速に検知するログ管理システムに関する。

ネットワーク上に分散している各監視対象サーバのログ情報を収集する場合、監視対象サーバから管理サーバに対して、監視対象サーバのログファイルに出力された全てのログ情報を通知すると監視対象サーバと管理サーバとの間のネットワークトラフィックが増加する。これにより、ネットワークの負荷や、監視対象サーバ、管理サーバの処理負荷が増大する。この問題を解決するためには、通知するログ情報の流量を制御する必要がある。

従来から、これらの問題に対して、いくつかの解決策が知られている。例えば、特許文献１では、監視対象サーバ側で、取得されたログ情報に対するフィルタリング機構を設け、必要最低限のログ情報のみを管理サーバに通知することで、ネットワークや管理サーバの負荷を軽減する方法が開示されている。

また、特許文献２では、監視対象サーバ側で閾値に応じた監視項目設定を行い、一方、管理サーバ側では自身のＣＰＵ（Central Processing Unit）負荷情報を取得しておき、一定のＣＰＵ負荷を超過したことを検知すると、閾値情報の変更通知を監視対象サーバに送信し、その閾値に応じたログ情報の取得を行うことで、動的なフィルタリングを可能とし、取得するログ情報数の制御を行う方法が開示されている。

ログ管理システムにおいて、監視対象サーバのログファイルには、管理サーバによるネットワーク管理に必要なログ情報以外にも様々なログ情報が出力される。そのため、特許文献１の技術のように、ログ監視プログラムにフィルタリング機構を設けることで、必要なログ情報のみを通知することが可能となり、また、適切なフィルタリングを行うことにより、ネットワーク管理に必要最小限なデータ通知を行うことができる。

特開２０００−２５０８３３号公報 特開２００２−３６６３９３号公報

しかし、特許文献１のように、静的なフィルタリングにより通知データ量を制御する方法では、システム負荷やネットワーク負荷の状況に応じた通知データ量の制御を行うことができない。例えば、通知を抑止するフィルタリング条件を通過するログ情報が短期間で大量に出力された場合には、これらのログ情報はログ監視プログラムにより管理サーバに通知される。そのため、監視対象サーバから大量のログ情報が管理サーバに通知される状況となり、ネットワークトラフィックが増大したり、管理サーバや監視対象サーバの処理負荷が増大したりする。

上記問題点を解消するために、特許文献２の技術によれば、通知するログ情報のフィルタリング設定を閾値に応じて動的に変更して、負荷状況に応じたログ情報の通知を制御することで、ネットワークトラフィックの増大を防止することができる。これは、管理サーバ側のＣＰＵ負荷状況に応じて閾値情報の変更を行い、その閾値情報に応じてログ情報の取得条件でログ情報を取得することで、通知すべきログ情報の制御を行うものである。この閾値に応じた取得項目の設定はあらかじめ定義されている必要があり、閾値が高くなるにつれて、ログ情報の取得項目の条件を強めることで、通知すべきログ情報の絞り込みを行うものである。そのため、大量通知となる原因のログ情報以外のログ情報についても、通知が抑止されることとなり、ログ監視によるネットワーク管理に必要となるログ情報の抜け落ちが発生する。

例えば、Ｗｅｂサーバのユーザアクセスの管理を行うプログラムで、不当なアクセスが発生した場合に、その状況を示す警告ログ情報をログファイルに出力する仕掛けとなっていたとする。その場合、ネットワーク管理者は、ログ監視プログラムによる警告ログ情報の通知により、Ｗｅｂサーバが攻撃（不当なアクセス）を受け危険な状態におかれていることを知ることができる。Ｗｅｂサーバへの攻撃が短期間に大量に発生すると、管理サーバ側で、警告ログ情報とエラーログ情報を取得する現行の閾値から、エラーログ情報のみの取得を行う閾値への変更が行われる。この閾値情報の変更が、監視対象サーバ上で動作するログ監視プログラムに通知され、警告ログ情報の取得を抑止し、エラーログ情報のみの取得を行う閾値に変更される。

しかし、この閾値情報の変更により、閾値情報の変更が行われた後に発生した他の警告ログ情報についても取得が抑止される状態となる。そのため、ネットワークトラフィックの増大を抑止することは可能であるが、ログ監視によるネットワーク管理で必要となる他のログ情報の取得までが抑止されることとなる。したがって、大量通知の原因となるログ情報を特定した上で、そのログ情報の通知抑止を制御することで、ネットワークトラフィックの増大を防止し、ネットワーク管理に必要なログ情報を通知する必要がある。

本発明は、前記問題に鑑みてなされたものであり、管理サーバが、監視対象サーバから大量のログ情報を通知された場合に、その状況を検知し、大量通知の原因となっている特定のログ情報の通知を抑止することで、ネットワークトラフィックの増大を抑制するとともに、必要な情報の抜け落ちを防止することを課題とする。

前記課題を解決するために、本発明は、１つ以上の監視対象サーバと、監視対象サーバから通知されるログ情報を監視対象サーバごとに管理するログ管理サーバと、を備えるネットワーク管理システムにおいて、ログ管理サーバは、監視対象サーバから通知されたログ情報をログ情報記憶部に格納し、所定期間内に通知されたログ情報の件数が所定の閾値を超過した場合に、ログ情報記憶部に格納された各ログ情報を解析して、ログ情報の件数が所定の閾値を超過した原因となっているログ情報の種類を特定し、当該監視対象サーバに対して、当該原因となっている種類のログ情報の通知の停止命令を送信することを特徴とする。その他の手段については後記する。

本発明によれば、管理サーバが、監視対象サーバから大量のログ情報を通知された場合に、その状況を検知し、大量通知の原因となっている特定のログ情報の通知を抑止することで、ネットワークトラフィックの増大を抑制するとともに、必要な情報の抜け落ちを防止することができる。

本実施形態のネットワーク管理システムの全体構成図である。 本実施形態における、ログ管理プログラムのログ情報受信処理部の処理手順を示すフローチャート図である。 本実施形態における、ログ監視プログラムの抑止命令受信処理部の処理手順を示すフローチャート図である。 本実施形態のログ情報解析テーブルの構造を示す図である。 本実施形態のログ情報解析処理部の処理手順を示すフローチャート図である。 本実施形態のログ情報解析処理部が生成した正規表現データの説明図である。 本実施形態によるログ情報抑止を行った場合の、ログ情報解析テーブル、抑止条件、フィルタリングテーブルの状態の一例を表す図である。 本実施形態の、ログ管理プログラムの閾値超過判定処理部と、ログ情報解析処理部と、抑止命令通知処理部の処理手順を示すフローチャート図である。 本実施形態の、ログ監視プログラムのフィルタリング条件判定処理部の処理手順を示すフローチャート図である。 本実施形態の、ログ監視プログラムの閾値超過判定処理部と、抑止状況通知処理部の処理手順を示すフローチャート図である。

以下、本発明を実施するための形態（以下、実施形態という。）について、図面を参照しながら説明する。

図１に示すように、本実施形態のネットワーク管理システム１０００は、ログ管理サーバ１００と、複数の監視対象サーバ１〜Ｎ（符号２００。以下、「監視対象サーバ２００」という。）とが、通信ネットワーク（不図示）によって接続されて構成されている。

ログ管理サーバ１００は、コンピュータ装置であり、ＣＰＵ、ＲＡＭ（Random Access Memory）（メモリ）、ＲＯＭ（Read Only Memory）、ハードディスクなどを備えるが、ここでは、機能的に、ログ管理プログラム１０１と、ディスプレイ装置１０２とのみを図示している。なお、ログ管理プログラム１０１はＣＰＵによって実行されるものであるが、説明を簡潔にする都合上、ログ管理プログラム１０１が各処理を実行するものとして説明する。また、ログ管理サーバ１００は、監視対象サーバ２００から通知されるログ情報を監視対象サーバ２００ごとに管理する。

ログ管理プログラム１０１におけるログ情報受信処理部１０３は、各監視対象サーバ２００から通知されたログ情報を受信するステップと、受信したログ情報の通知元情報から、該当するログ情報解析テーブル１０９（ログ情報記憶部）を特定するステップと、通知されたログ情報を前記ステップで特定したログ情報解析テーブル１０９に格納するステップと、所定期間あたりの通知件数をログ情報件数格納メモリ領域１０７に格納するステップとを実行する。

さらに、ログ管理プログラム１０１における閾値超過判定処理部１０４は、ログ情報件数格納メモリ領域１０７に格納された値と、閾値情報格納メモリ領域１０８に格納された値とを大小比較するステップを実行する。閾値情報格納メモリ領域１０８に格納される閾値情報（所定の閾値）は、ログ管理プログラム１０１の定義ファイルなどに、大量通知の状況と判定したい通知ログ情報の件数を、あらかじめユーザに定義させておき、その定義データを閾値情報格納メモリ領域１０８に格納しておいてもよい。

ログ管理プログラム１０１におけるログ情報解析処理部１０５は、閾値超過判定処理部１０４により、通知されたログ情報が閾値を超過したと判定された場合、ログ情報解析テーブル１０９に格納された各ログ情報の解析を行い、大量通知の原因となるログ情報の特定、及び、そのログ情報の取得を抑止するための正規表現データ（異なる複数の文字列を一つの文字列で表現したデータ。具体例は後記）を生成するステップを実行する。また、ログ情報解析処理部１０５は、閾値超過判定処理部１０４により、通知されたログ情報が閾値を下回ったと判定された場合、ログ情報解析テーブル１０９内に格納されたログ情報を削除するステップを実行する。

ログ管理プログラム１０１における抑止命令通知処理部１０６は、大量通知の原因となる監視対象サーバ２００上で動作するログ監視プログラム１１０に対して、抑止命令（停止命令）と、ログ情報解析処理部１０５で生成した正規表現データを送信するステップを実行する。

監視対象サーバ２００は、コンピュータ装置であり、ＣＰＵ、ＲＡＭ、ＲＯＭ、ハードディスクなどを備えるが、ここでは、機能的に、ログ監視プログラム１１０と、ログファイル１２０とのみを図示している。なお、ログ監視プログラム１１０はＣＰＵによって実行されるものであるが、説明を簡潔にする都合上、ログ監視プログラム１１０が各処理を実行するものとして説明する。

ログ監視プログラム１１０における抑止命令受信処理部１１６は、ログ管理サーバ１００から通知された抑止命令及び、大量通知の原因となるログ情報を抑止するための正規表現データを受信するステップと、受信した正規表現データをフィルタリングテーブル１１９（フィルタリング記憶部）に抑止条件として追加するステップを実行する。

ログ監視プログラム１１０におけるログ情報取得処理部１１１は、監視対象のログファイル１２０から、更新されたログ情報を取得する。

ログ監視プログラム１１０におけるフィルタリング条件判定処理部１１２は、ログ情報取得処理部１１１が取得したログ情報と、フィルタリングテーブル１１９に格納される各ログ情報通知抑止条件とを比較するステップと、所定期間内に、抑止命令受信処理部１１６により、フィルタリングテーブル１１９に追加された抑止条件に該当するログ情報件数を抑止条件該当ログ情報件数格納メモリ領域１１８に格納するステップを実行する。

フィルタリングテーブル１１９に格納される各フィルタリング条件は、ログ監視に不要なログ情報を抑止するためのフィルタリング条件として、あらかじめ正規表現データを作成して、フィルタリングテーブル１１９内に格納しておく。なお、各フィルタリング条件は、ログ監視プログラム１１０の定義ファイルに、あらかじめユーザに定義させておき、定義データを読み込むことで、フィルタリングテーブル１１９内に格納してもよい。

ログ監視プログラム１１０における閾値超過判定処理部１１３は、抑止条件該当ログ情報件数格納メモリ領域１１８の値と、閾値情報格納メモリ領域１１７に格納された閾値情報（所定の閾値）の値を比較する。なお、閾値情報格納メモリ領域１１７に格納される閾値情報は、ログ監視プログラム１１０の定義ファイルなどに、大量通知の状況と判定したいログ情報の件数を、あらかじめユーザに定義させておき、その定義データを閾値情報格納メモリ領域１１７に格納しておいてもよい。

ログ監視プログラム１１０における抑止状況通知処理部１１５は、所定期間内に監視対象のログファイル１２０に出力された抑止条件に該当するログ情報が、閾値を超過した場合、該当する抑止条件、抑止した期間、抑止したログ情報の件数情報をログ管理プログラム１０１に通知するステップを実行する。また、抑止状況通知処理部１１５は、所定期間内に監視対象のログファイル１２０に出力された抑止条件に該当するログ情報が、閾値を下回った場合、抑止命令受信処理部１１６により追加された抑止条件をフィルタリングテーブル１１９から削除し、抑止解除通知を行うステップを実行する。

次に、ログ管理プログラム１０１のログ情報受信処理部１０３の処理手順について説明する（適宜図１参照）。
図２に示すように、ログ情報受信処理部１０３は、ステップ２０１で、ログ監視プログラム１１０のログ情報送信処理部１１４からログ情報を受信する。

ログ情報受信処理部１０３は、ステップ２０２で、受信したログ情報の通知元のＩＰアドレス及び、ログファイル名に該当するログ情報解析テーブル１０９の検索を行う。さらにログ情報受信処理部１０３は、検索の結果、該当するログ情報解析テーブル１０９が存在する場合は（ステップ２０３で「存在する」）、ステップ２０５に進む。ログ情報受信処理部１０３は、該当するログ情報解析テーブル１０９が存在しない場合は（ステップ２０３で「存在しない」）、ステップ２０４に進み、ログ情報解析テーブル１０９を新規作成し、ステップ２０５に進む。。

ログ情報受信処理部１０３は、ステップ２０５で、ログ情報解析テーブル１０９に、受信したログ情報（通知ログ情報）を格納する。
ログ情報受信処理部１０３は、ステップ２０６で、ログ情報件数格納メモリ領域１０７に格納されたの通知ログ情報件数の値を更新し、処理を終了する。
このようにして、ログ管理サーバ１００は、監視対象サーバ２００から受信したログ情報を、ログ情報解析テーブル１０９およびログ情報件数格納メモリ領域１０７に反映することができる。

次に、ログ管理プログラム１０１の閾値超過判定処理部１０４、ログ情報解析処理部１０５、抑止命令通知処理部１０６の処理手順について説明する（適宜図１参照）。
図８に示すように、閾値超過判定処理部１０４は、ステップ８０１で、ログ情報件数格納メモリ領域１０７に格納された値と、閾値情報格納メモリ領域１０８に格納された値を比較し、通知ログ情報件数が閾値を超過した場合（ステップ８０２で「超える」）、ステップ８０３に進み、閾値を下回る場合（ステップ８０２で「超えない」）、ステップ８０５に進む。

ログ情報解析処理部１０５は、ステップ８０３で、大量通知となるログ情報の特定、及び、該当ログ情報の通知を抑止するための正規表現データ（抑止条件）を生成する。

抑止命令通知処理部１０６は、ステップ８０４で、ログ情報の大量通知を行っている監視対象サーバ２００上で動作するログ監視プログラム１１０に対して、当該通知の抑止命令とステップ８０３で生成した正規表現データ（抑止条件）を送信する。

抑止命令通知処理部１０６は、ステップ８０５で、ログ情報解析テーブル１０９に格納されたログ情報を全て削除し初期化を行う。
ログ管理プログラム１０１は、一定の時間間隔で、前記したステップ８０１からステップ８０５の処理を繰り返し実施することで、大量にログ情報が通知されている状況を確実に検知することができる。

次に、ログ情報解析テーブル１０９の構造について説明する。図４に示すように、ログ情報解析テーブル１０９は、ログ管理プログラム１０１のメモリ上に配置される領域であり、ログ情報の各送信元ＩＰアドレスのログファイル名毎に作成される領域である。

ログ情報解析テーブル１０９は、通知元環境情報領域４０２とログ情報管理領域４０３の２つの領域を備える。ログ情報管理領域４０３は、通知されたログ情報の本文を格納するログ情報本文格納領域４０４と、フラグ領域４０５の２つの領域を備えるメモリ領域である。

ログ情報受信処理部１０３は、ログ情報４０７を受信すると（図２のステップ２０１）、ログ情報４０７の通知元である監視対象サーバ２００のＩＰアドレスとログファイル名（監視対象ログ）を元に、該当するログ情報解析テーブル１０９を検索する（図２のステップ２０２）。次に、ログ情報受信処理部１０３は、受信したログ情報４０７を、第Ｎログ情報本文格納領域４０４に格納する（図２のステップ２０３で「存在する」→ステップ２０５）。同様に、ログ情報受信処理部１０３は、同一の監視対象サーバ２００の同一のログファイル１２０からのログ情報４０８を受信すると、第Ｎ＋１ログ情報本文格納領域４０４にログ情報４０８を格納する。このようにして、ログ情報解析テーブル１０９にログ情報が蓄積される。

次に、ログ管理プログラム１０１のログ情報解析処理部１０５の処理手順（図８のステップ８０３）について説明する（適宜他図参照）。
図５に示すように、ログ情報解析処理部１０５は、ステップ５０１からステップ５０７までの処理を、ログ情報解析テーブル１０９に格納されるログ情報全てに対して行う（１≦Ｋ≦Ｎの間繰り返す）。

ログ情報解析処理部１０５は、ステップ５０１で、第Ｋログ情報本文格納領域４０４に格納されているログ情報と、第Ｋ＋１ログ情報本文格納領域４０４のログ情報の文字列比較を行う。

ログ情報解析処理部１０５は、ステップ５０２で、一致する文字列とその位置情報を元に、図６に示す第１、第２ログ情報本文格納領域４０４に格納されるログ情報にマッチする正規表現データを生成する。

ログ情報解析処理部１０５は、ステップ５０３からステップ５０６までの処理を、ログ情報解析テーブル１０９に格納されているログ情報件数分実行する（１≦Ｉ≦Ｎの間繰り返す）。

ログ情報解析処理部１０５は、ステップ５０３で、ステップ５０２で生成した正規表現データを使用して、ログ情報本文格納領域４０４に格納されるログ情報にマッチするか（該当性）を判定する。ログ情報解析処理部１０５は、当該ログ情報が正規表現データにマッチした場合（ステップ５０４で「該当する」）、ステップ５０５に進み、第Ｉログ情報本文格納領域４０４に付随するフラグ領域４０５に「１」を格納する。また、ログ情報解析処理部１０５は、当該ログ情報が正規表現データにマッチしなかった場合（ステップ５０４で「該当しない」）、ステップ５０６に進み、第Ｉログ情報本文格納領域４０４に付随するフラグ領域４０５に「０」を格納する。

ログ情報解析処理部１０５は、ステップ５０７で、ステップ５０２で生成した正規表現データに該当するログ情報の件数と、正規表現データをメモリ上に記憶する。

ログ情報解析処理部１０５は、ステップ５０８で、ステップ５０７で求まった各正規表現データに該当するログ情報の件数（フラグ領域が「１」となる件数）を比較し、最多件数の正規表現データを抑止条件とする。

このようにして、ログ管理サーバ１００は抑止条件を生成することができる。なお、大量通知のログ情報が２種類以上あって、１つの正規表現データでは１種類のログ情報しか抑止できない場合でも、本実施形態の処理を繰り返すことで、すべての大量通知のログ情報を順番に抑止することができる。

次に、ログ監視プログラム１１０の抑止命令受信処理部１１６の処理手順について説明する（適宜他図参照）。
図３に示すように、抑止命令受信処理部１１６は、ステップ３０１で、ログ管理プログラム１０１から送信された抑止命令と抑止条件を受信する。

次に、抑止命令受信処理部１１６は、ステップ３０２で、受信した正規表現データによる抑止条件を、メモリ上のフィルタリングテーブル１１９に追加し、処理を終了する。
このようにして、監視対象サーバ２００は、抑止条件をフィルタリングテーブル１１９に反映することができる。

次に、ログ監視プログラム１１０のフィルタリング条件判定処理部１１２の処理手順について説明する（適宜他図参照）。
図９に示すように、フィルタリング条件判定処理部１１２は、ステップ９０１で、監視対象のログファイル１２０から、更新されたログ情報を、ログ情報取得処理部１１１を経由して取得する。

次に、フィルタリング条件判定処理部１１２は、ステップ９０２で、取得したログ情報と、フィルタリングテーブル１１９内のあらかじめ定義された各フィルタリング条件を比較する。フィルタリング条件に該当する場合は（ステップ９０３で「該当する」）、ステップ９０４に進む。フィルタリング条件判定処理部１１２は、当該ログ情報がフィルタリング条件に該当しない場合は（ステップ９０３で「該当しない」）、ステップ９０５に進み、ログ情報送信処理部１１４によって当該ログ情報をログ管理プログラム１０１に通知し、処理を終了する。

ステップ９０４で、フィルタリング条件判定処理部１１２は、ステップ９０１で取得したログ情報と、図３のステップ３０２で、抑止命令受信処理部１１６により追加された抑止条件を比較する。抑止条件に該当する場合は（ステップ９０６で「該当する」）、ステップ９０７に進む。フィルタリング条件判定処理部１１２は、当該ログ情報が抑止条件に該当しない場合は（ステップ９０６で「該当しない」）、ステップ９０８に進み、ステップ９０１で取得したログ情報を破棄して通知を抑止し（つまり、通知しないで）、処理を終了する。

フィルタリング条件判定処理部１１２は、ステップ９０７で、ステップ９０１で取得したログ情報を破棄して通知を抑止する。

フィルタリング条件判定処理部１１２は、ステップ９０９で、抑止条件該当ログ情報件数格納メモリ領域１１８に格納された、抑止条件に該当したログ情報の件数の値を更新（１加算）する。
このようにして、監視対象サーバ２００は、フィルタリング条件と抑止条件の判定結果に応じた処理を行うことができる。

次に、ログ監視プログラム１１０の閾値超過判定処理部１１３と抑止状況通知処理部１１５の処理手順について説明する（適宜他図参照）。

図１０に示すように、閾値超過判定処理部１１３は、ステップ１００１で、抑止条件該当ログ情報件数格納メモリ領域１１８に格納された抑止条件該当ログ情報件数の値と、閾値情報格納メモリ領域１１７に格納された閾値を比較し、当該件数が閾値以下の場合には（ステップ１００２で「超えない」）、ステップ１００３に進む。さらに、閾値超過判定処理部１１３は、閾値を超過している場合には（ステップ１００２で「超える」）、ステップ１００４に進み、抑止状況通知処理部１１５は抑止状況通知を行い、処理を終了する。

ステップ１００３で、閾値超過判定処理部１１３は、該当する抑止条件をフィルタリングテーブル１１９から削除し、ステップ１００５で、抑止状況通知処理部１１５は抑止解除通知をログ管理プログラム１０１に通知する。

ログ監視プログラム１１０は、一定の時間間隔で、ステップ１００１からステップ１００５の処理を繰り返し実行することで、抑止条件の解除の要否を判定し、各通知を行うことができる。

次に、図７を参照して、本実施形態で監視対象のログファイル１２０に大量にログ情報が出力された際の、ログ情報の通知抑止が行なわれた場合の、ログファイル１２０の状態、ログ情報解析テーブル１０９の状態、生成された正規表現データ、及び、フィルタリングテーブル１１９に追加された抑止条件の一例について説明する。なお、抑止条件７０５は、最初は存在していないものとする。

図７に示すように、監視対象のログファイル１２０に出力された”ERROR0001”を含むログ情報は、あらかじめ定義されたフィルタリング条件７０４には含まれておらず、ログ管理プログラム１０１へ通知される。ログ管理プログラム１０１では、監視対象サーバ２００から大量にログ情報が通知されてくると、その通知されたログ情報がログ情報解析テーブル１０９に格納される。

そして、ログ管理サーバ１００のログ情報解析処理部１０５により、”ERROR0001”を含むログ情報の抑止条件７０３となる正規表現データが生成され、その抑止条件７０３に合致する監視対象サーバ２００に対して抑止命令通知が行なわれる。抑止命令通知を受信した監視対象サーバ２００の抑止命令受信処理部１１６は、受信した抑止命令をフィルタリングテーブル１１９に格納する。抑止条件７０５により、その後取得された”ERROR0001”を含むログ情報は、ログ管理サーバ１００への通知が抑止される。

このように、本実施形態のネットワーク管理システム１０００によれば、監視対象のログファイル１２０に大量出力が発生した場合に、その状況に応じて動的に、大量通知の原因となるログ情報のみを抑止する（ログ管理サーバ１００に通知しない）ことで、ネットワーク管理に必要となるログ情報の抜け落ちを防止した上で、ネットワークトラフィックの増大を防止することができる。また、同時に、監視対象サーバ２００のログ監視プログラム１１０の負荷や、ログ管理サーバ１００のログ管理プログラム１０１の負荷を軽減することができる。

また、大量通知の原因となるログ情報の解析、抑止条件の生成は、通知されたログ情報のそれぞれを文字列比較などのパターンマッチを行うことで実現可能であるが、処理負荷が高いため、ログ管理サーバ１００側でそれらを行うことにより、ログ監視プログラム１１０が動作する監視対象サーバ２００の処理に影響を与えることがない。

以上で実施形態の説明を終えるが、本発明の態様はこれらに限定されるものではない。具体的な構成や処理について、本発明の主旨を逸脱しない範囲で適宜変更が可能である。

１００・・・ログ管理サーバ
１０１・・・ログ管理プログラム
１０２・・・ディスプレイ装置
１０３・・・ログ情報受信処理部
１０４・・・閾値超過判定処理部
１０５・・・ログ情報解析処理部
１０６・・・抑止命令通知処理部
１０７・・・ログ情報件数格納メモリ領域
１０８・・・閾値情報格納メモリ領域
１０９・・・ログ情報解析テーブル（ログ情報記憶部）
１１０・・・ログ監視プログラム
１１１・・・ログ情報取得処理部
１１２・・・フィルタリング条件判定処理部
１１３・・・閾値超過判定処理部
１１４・・・ログ情報送信処理部
１１５・・・抑止状況通知処理部
１１６・・・抑止命令受信処理部
１１７・・・閾値情報格納メモリ領域
１１８・・・抑止条件該当ログ情報件数格納メモリ領域
１１９・・・フィルタリングテーブル（フィルタリング記憶部）
１２０・・・ログファイル
２００・・・監視対象サーバ

Claims (5)

1. １つ以上の監視対象サーバと、前記監視対象サーバから通知されるログ情報を前記監視対象サーバごとに管理するログ管理サーバと、を備えるネットワーク管理システムにおいて、
   前記ログ管理サーバは、前記監視対象サーバから通知されたログ情報をログ情報記憶部に格納し、所定期間内に通知された前記ログ情報の件数が所定の閾値を超過した場合に、前記ログ情報記憶部に格納された各ログ情報を解析して、前記ログ情報の件数が所定の閾値を超過した原因となっているログ情報の種類を特定し、当該監視対象サーバに対して、当該原因となっている種類のログ情報の通知の停止命令を送信する
   ことを特徴とするネットワーク管理システム。
2. 前記ログ管理サーバは、当該監視対象サーバに対して、当該原因となっている種類のログ情報の通知の停止命令を送信するとき、
   前記ログ情報記憶部に格納された各ログ情報の文字列を比較することにより、前記原因となっているログ情報の種類を特定し、当該ログ情報の種類を表現した正規表現データを送信する
   ことを特徴とする請求項１に記載のネットワーク管理システム。
3. 前記監視対象サーバは、前記ログ管理サーバから通知された前記停止命令および前記正規表現データを受信し、自身のフィルタリング記憶部に当該正規表現データを追加し、以降、当該正規表現データを参照することで、該当する種類のログ情報の前記ログ管理サーバへの通知を停止する
   ことを特徴とする請求項２に記載のネットワーク管理システム。
4. 前記監視対象サーバは、自身で発生したログ情報と前記フィルタリング記憶部に追加された正規表現データとを比較し、
   当該正規表現データに該当するログ情報の件数が、所定期間内に所定の閾値を超過した場合、当該正規表現データに該当したログ情報の件数を含む情報を前記ログ管理サーバに通知し、
   当該正規表現データに該当するログ情報の件数が、所定期間内に所定の閾値を超過しなかった場合、前記フィルタリング記憶部から当該正規表現データを削除し、当該削除による前記停止の解除を前記ログ管理サーバに通知する
   ことを特徴とする請求項３に記載のネットワーク管理システム。
5. 請求項１または請求項２に記載のネットワーク管理システムにおけるログ管理サーバとしてコンピュータを機能させるためのプログラム。
   

Images