JP4879193B2

JP4879193B2 - システムログ管理支援装置およびシステムログ管理支援方法

Info

Publication number: JP4879193B2
Application number: JP2008003647A
Authority: JP
Inventors: 稔哉高橋
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2008-01-10
Filing date: 2008-01-10
Publication date: 2012-02-22
Anticipated expiration: 2028-01-10
Also published as: JP2009169474A

Description

この発明は、ネットワークシステムのログ情報を管理するシステムログ管理支援装置およびシステムログ管理支援方法に関するものである。

企業の内部統制によって、ＩＴ（Information Technology）システムの監査が重要となっている。内部統制では、ＩＴシステムを用いたユーザによる業務プロセスの実行・操作履歴をシステムログとして記録し、このシステムログをセキュリティ事故発生時、障害対応時などの分析に利用する。そのため、企業では、システムログを記録・保管し、管理しなければならない。システムログの構成は、基本的に、「いつ、どこで、誰が、何を、どのような操作をしたか」という内容からなるものであり、ＩＴシステムによって出力データは異なるものである。また、多くのユーザが利用するＩＴシステムにおいては、膨大な量のシステムログが出力され、さらに、企業の内部統制の強化によって、システムログは、長期にわたって保管しなければならなくなっている。そのため、システムログを記録し、保管するための記憶装置の記憶容量がすぐにいっぱいになってしまうという問題点がある。

ところで、従来からログデータを編集するログデータ編集方法は提案されており、その中の一つのログデータ編集方法には、不要または古いシステムログを削除したり、時間ごとにシステムログを集約してその件数だけを表示したりするなど、システムログの効率的な編集によって、データ容量を抑える技術が開示されている（たとえば、特許文献１参照）。

特開２０００−７６１０１号公報

しかしながら、上記従来の技術によれば、本来分析に必要なシステムログが削除されていたり、詳細データについての欠落が存在したりするため、完全な形のシステムログを必要とする内部統制を考慮したシステムログの容量削減方法ではない。また、従来の技術では、編集方法によっては、想定外のシステムログデータを編集してしまう可能性がある。つまり、従来の技術では、内部統制用のシステムログ分析時に不備が生じてしまうという問題点があった。

この発明は、上記に鑑みてなされたもので、ＩＴシステムで記録・保管されるシステムログについて、その容量を削減して保存することができるとともに、元の完全な形のシステムログを再現することができるシステムログ管理支援装置およびシステムログ管理支援方法を得ることを目的とする。

上記目的を達成するため、この発明にかかるシステムログ管理支援装置は、所定の出力キーからなるシステムログの複数の前記出力キーのうち、ユーザによって選択される所定の割合以上同じ内容のデータが出現する出力キーからなる冗長キー、および該冗長キーに対応するデータの組み合わせを識別する識別キーで構成される集約情報と、前記冗長キー以外の出力キー、および前記識別キーを用いて前記集約情報中のレコードと関連付けを行う関連付けキーで構成されるデータ情報とに、前記システムログ中のレコードを分割した正規化システムログ情報を生成して、前記システムログに記録されるデータ量を削減する正規化条件設定反映手段を備えることを特徴とする。

この発明によれば、同じ内容が繰り返し出力される出力項目を集約して、システムログの内容を編集するようにしたので、システムログの容量を削減して保存することができるとともに、元の完全な形のシステムログを再現することができるという効果を有する。

以下に添付図面を参照して、この発明にかかるシステムログ管理支援装置およびシステムログ管理支援方法の好適な実施の形態を詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態.
図１は、この発明にかかるシステムログ管理支援装置が適用されるシステムの構成の一例を模式的に示す図である。このシステムは、組織が所有するＩＴシステム１０と、システムログ管理支援装置２０と、がネットワーク３０を介して接続され、システムログ管理支援装置２０には、ネットワークなどの通信回線４０を介してシステムログ退避用記憶装置５０が接続される。

ＩＴシステム１０は、たとえば企業などの組織内で構築された組織内ネットワークであり、図示しないが、組織内で管理する電子データや組織構成員に対して提供するサービスを格納したり、外部ネットワークへのアクセスを制御したりするサーバ装置と、組織構成員が所有する情報処理端末と、組織構成員による情報処理端末を介したサーバ装置へのアクセスなどのログ情報であるシステムログ１１を記録し、管理するシステムログ収集装置と、を備える。

システムログ管理支援装置２０は、ＩＴシステム１０のシステムログ収集装置で収集されたシステムログ１１の管理を支援する。より詳しくは、ＩＴシステム１０で収集したシステムログ１１について、そのサイズ（容量）を小さくするとともに、後にセキュリティ事故発生時や障害対応時などの分析の際に元の完全な形のシステムログ１１に戻すことができるようにシステムログ１１を正規化して正規化システムログとして保存する。また、システムログ退避用記憶装置５０は、システムログ管理支援装置２０で管理対象となっている正規化システムログを退避（バックアップ）するための装置である。

つぎに、システムログ管理支援装置２０の詳細な構成について説明する。図２は、この発明にかかるシステムログ管理支援装置の機能構成を模式的に示すブロック図である。このシステムログ管理支援装置２０は、システムログ取得部２１と、表示部２２と、表示処理部２３と、入力部２４と、正規化条件設定反映部２５と、正規化システムログ情報格納部２６と、検索部２７と、退避部２８と、これらの各処理部を制御する制御部２９と、を備える。このシステムログ管理支援装置２０は、たとえばパーソナルコンピュータなどの情報処理装置によって構成することができる。

システムログ取得部２１は、対象となるＩＴシステム１０からシステムログを取得し、一時的に記憶する。図１では、ＩＴシステム１０とシステムログ管理支援装置２０とは、ネットワーク３０を介して接続されているので、ＩＴシステム１０のシステムログ収集装置からネットワーク３０を介してシステムログ１１を受信して取得することができる。この場合には、システムログ取得部２１は、通信機能と、通信機能で受信したシステムログ１１を一時的に記憶する記憶機能と、によって構成されることになる。

また、システムログをＣＤ（Compact Disk）−Ｒ／ＲＷ（Recordable/Rewritable）、ＤＶＤ（Digital Versatile Disk）−Ｒ／ＲＷ、ＤＶＤ＋Ｒ／ＲＷ、ＤＶＤ−ＲＡＭ（Random Access Memory）、メモリカードなどの記録媒体に記録したものを、読込むことも可能である。この場合には、システムログ取得部２１は、記録媒体に記録されたシステムログを読取る記録媒体読取処理機能によって構成される。

表示部２２は、液晶表示装置などの表示装置によって構成される。また、表示処理部２３は、表示部２２に所定の表示画面を表示する。表示処理部２３は、たとえば、取得したシステムログを表示部２２に表示したり、取得したシステムログの正規化を行う際の正規化設定画面を表示部２２に表示したり、正規化されたシステムログ（以下、正規化システムログという）を用いて検索を行うための検索画面を表示部２２に表示したりする処理を行う。

入力部２４は、キーボードやマウスなどの入力装置によって構成され、該システムログ管理支援装置２０のユーザ（管理者）との間の入力インタフェースである。この入力部２４を介して、取得したシステムログの正規化を行う正規化条件、検索条件、システムログ退避用記憶装置５０への正規化されたシステムログの退避命令などのユーザからの指示が入力される。

ここで、正規化条件は、表示部２２に表示されたシステムログを閲覧しているユーザが重複して出現することが多い（所定の割合以上で出現する）データを有する項目を選択することによって、設定される。なお、この明細書で、正規化とは、システムログを、冗長となりやすいデータからなる集約テーブルと、それ以外のデータからなるデータテーブルとに分けることをいうものとする。以下に示す例では、正規化条件の設定は、システムログから集約テーブルとデータテーブルとを作成するための項目を設定することをいう。

正規化条件設定反映部２５は、入力部２４からユーザによって入力された正規化条件に基づいて、システムログ取得部２１で取得したシステムログを編集して正規化システムログ情報を作成し、作成した正規化システム情報を正規化システムログ情報格納部２６に格納する。具体的には、正規化条件設定反映部２５は、システムログのレコードを順に読み込み、ユーザによって設定された正規化条件の内容に基づいた項目からなる集約テーブル（特許請求の範囲の集約情報に対応する）とデータテーブル（特許請求の範囲のデータ情報に対応する）とを作成し、データテーブルの各レコードを集約テーブルのいずれかのレコードと関連付けを行って、正規化システムログ情報を作成する。

検索部２７は、入力部２４からユーザによって入力された検索条件に基づいて、正規化システムログ情報から検索を行う。また、退避部２８は、入力部２４からユーザによって入力された退避命令に基づいて、正規化システムログ情報格納部２６内の正規化システムログ情報をテキストファイル化して、システムログ退避用記憶装置５０に退避する。なお、システムログ退避用記憶装置５０へ退避する正規化システムログのファイル形式として、ＣＳＶ（Comma Separated Value）形式を用いることができる。このＣＳＶ形式で退避することで、正規化システムログのシステムログ管理支援装置２０への再度のインポートが可能となる。また、退避部２８は、正規化システムログ情報格納部２６中の退避された正規化システムログ情報のうち、対応するデータテーブルに含まれるレコードのみを削除する。これは、集約テーブルのレコードは、データテーブルのレコードが集約テーブルの識別子を用いて関連付けされている可能性が想定されるため、集約テーブルのレコードは削除しない方がよいためである。

つぎに、このような構成のシステムログ管理支援装置２０におけるシステムログ管理支援方法について、より具体的には、正規化条件設定処理、正規化システムログ作成処理、検索処理および退避処理について、説明する。

（正規化条件設定処理）
システムログ管理支援装置のユーザは、システムログの正規化処理を実行する前に、取得したシステムログを閲覧し、集約テーブルに分類する項目と、データテーブルに分類する項目と、を分ける正規化条件の設定を行う。集約テーブルに分類する項目は、システムログ中に所定の頻度で同じ内容が出現する項目であり、データテーブルに分類する項目は、その他の項目である。この項目の分類は、ユーザの判断によって行われる。

図３は、システムログとして収集する項目の一例を示す図である。このシステムログは、たとえば図１のＩＴシステム１０で、図示しないシステムログ収集装置が収集するシステムログ１１の内容を示す項目である。ここでは、「ログの種類」、「イベントＩＤ」、ＩＴシステム１０の組織構成員が情報処理端末を介してアクセスしたサーバ装置である「マシン名」、マシン名に対応するサーバ装置にアクセスした組織構成員を示す「ユーザ名」、監査の結果を示す「監査」、操作の内容を示す「操作」、組織構成員がアクセスした日時を示す「日時」、および組織構成員がアクセスしたサーバ装置上のファイルの位置である「パス」を、システムログの項目として含むものとする。

図４は、システムログデータの一例を示す図である。このシステムログデータは、１つの行がＩＴシステム１０で収集された１つのレコードを示しており、図３に示される項目に対応する内容がカンマで区切られて配置されている。

管理者は、たとえば図４に示されるシステムログデータを表示部２２上に表示させて、重複する内容が多いと判断される項目を冗長キーとして選択する。一般的には、あるキー（項目）に対応するデータが所定の割合以上出現する場合に、そのキーを冗長キーとして選択する。この図４では、データ「ＦＩＬＥ」に対応する項目「ログの種類」と、データ「５６０」に対応する項目「イベントＩＤ」と、データ「Server-1」に対応する項目「マシン名」と、データ「成功の監査／失敗の監査」に対応する項目「監査」が繰り返し出現する頻度が高い。そのため、ここでは管理者が冗長キーとして、たとえば「ログの種類」、「イベントＩＤ」、「マシン名」および「監査」の各項目（キー）を入力部２４を介して選択したものとする。

その後、正規化条件設定反映部２５は、選択された冗長キーの内容と、選択されなかった冗長キー以外の内容とを取得し、冗長キーに基づいて集約テーブルを作成し、冗長キー以外のキーに基づいてデータテーブルを作成するＳＱＬ文を生成し、正規化システムログ情報格納部２６に、集約テーブルとデータテーブルとを作成する。

図５は、生成された集約テーブルの一例を示す図であり、図６は、生成されたデータテーブルの一例を示す図である。図５に示される集約テーブルは、ユーザが設定した冗長キーを項目とし、さらに、これらの項目に入力される内容の組み合わせ（レコード）を一意に識別するための識別子である「ｉｄ」が項目として付加されている。なお、集約テーブルに格納されるレコードには、各項目の内容が全く同じものについては記録されない。また、以上のようにして、ユーザによって選択された図５の集約テーブルの項目が正規化条件となる。

また、図６に示されるデータテーブルは、冗長キーとして選択されなかったその他のキーである「ユーザ名」、「操作」、「日時」および「パス」を項目とし、さらに、これらの項目に入力される各レコードを、対応する集約テーブルのレコードと関連付けするための「集約テーブルのｉｄ」が項目として付加されている。以上によって、正規化条件設定処理が終了する。

（正規化システムログ作成処理）
図７は、システムログの正規化処理手順の一例を示すフローチャートである。まず、ユーザによってシステムログの正規化処理の実行が入力部２４を介して指示されると、システムログ取得部２１は、ＩＴシステム１０からネットワーク３０を介してまたは記録媒体からシステムログを取り込む（ステップＳ１１）。ついで、正規化条件設定反映部２５は、システムログ取得部２１で取り込まれたシステムログ中の１行（１レコード）を読込む（ステップＳ１２）。このレコードを以下では、元レコードという。ここでは、図４の行１０１に示される元レコードが選択されたものとする。

その後、正規化条件設定反映部２５は、元レコード中の冗長キーすなわち集約テーブルの項目に対応する値が、集約テーブルに格納されているレコードに一致するものがあるか否かを判定する（ステップＳ１３）。

元レコード中の冗長キーに対応する値が、集約テーブルのレコードと一致しない場合（ステップＳ１３でＮｏの場合）には、正規化条件設定反映部２５は、冗長キーに対応するデータをレコードとして、このレコードを識別する「ｉｄ」を付与して集約テーブルに格納する（ステップＳ１４）。その後、ステップＳ１２で読み込んだ元レコードに、ステップＳ１４で集約テーブルに格納したｉｄを付加する（ステップＳ１５）。

たとえば、システムログ中の元レコードが最初の１行（１レコード）の場合、つまり図４の行１０１に示される元レコードが選択された場合には、図５に示されるように、集約テーブルにはレコードが格納されていない状態にある。そこで、正規化条件設定反映部２５は、元レコード中から冗長キーに対応するデータを取得し、ｉｄを付して集約テーブルに格納する。図８−１は、図５の集約テーブルにデータが格納された状態の一例を示す図である。つまり、図４の行１０１の元レコード中のログの種類に対応する「ＦＩＬＥ」、イベントＩＤに対応する「５６０」、マシン名に対応する「Server-1」、監査に対応する「成功の監査」からなるデータにｉｄとして「００１」を付して、集約テーブルに格納する。その後、図４の行１０１の元レコードにｉｄを付加する。図８−２は、元レコードに、ｉｄが付与された状態を示す図である。ここでは、図４の行１０１の元レコードの末尾にｉｄ「００１」が付されている。

また、正規化条件設定反映部２５は、ステップＳ１３で元レコード中の冗長キーに対応する値が、集約テーブルのレコードと一致する場合（ステップＳ１３でＹｅｓの場合）には、一致した集約テーブル中のレコードに付されたｉｄを、元レコードに付加する（ステップＳ１６）。

たとえば、集約テーブルが、図８−１のように既にレコードが登録されている場合を例に挙げると、図４の行１０１に示される元レコードの冗長キーは、ログの種類＝「ＦＩＬＥ」、イベントＩＤ-＝「５６０」、マシン名＝「Server-1」、監査＝「成功の監査」であるので、図８−１の集約テーブル中の行１１１のレコードに対応する。そこで、正規化条件設定反映部２５は、図８−２に示されるように、行１１１のレコードのｉｄ「００１」を元レコードの末尾に付加する。

ステップＳ１５またはステップＳ１６の後、正規化条件設定反映部２５は、元レコードから冗長キーに対応するデータを削除し（ステップＳ１７）、データテーブルにレコードを格納する（ステップＳ１８）。

図８−３は、データテーブルにレコードを格納した状態の一例を示す図である。図８−２に示されるデータから冗長キーを削除した内容が、図８−３に示されるように、データテーブルに格納される。

そして、正規化条件設定反映部２５は、システムログ中の元レコードをすべて読み込んだか否かを判定する（ステップＳ１９）。システムログ中の元レコードをすべて読み込んでいない場合（ステップＳ１９でＮｏの場合）には、ステップＳ１２へと戻り、システムログ中の元レコードをすべて読込むまで上述した処理が繰り返し実行される。また、システムログ中の元レコードをすべて読み込んだ場合（ステップＳ１９でＹｅｓの場合）には、正規化システムログ作成処理が終了する。

図８−４は、図３から作成される集約テーブルの一例を示す図であり、図８−５は、図３から作成されるデータテーブルの一例を示す図である。図３に示されるシステムログから、図８−４のように２つのレコードを含む集約テーブルと、図８−５のように５つのレコードを含むデータテーブルと、からなる正規化システムログが作成される。

（システムログの検索処理）
正規化システムログ情報格納部２６に格納された正規化システムログを用いて、ユーザからの検索指示によって、検索が行われる。図９は、検索画面の一例を示す図である。検索を行いたいときには、ユーザによる入力部２４からの検索指示によって、表示処理部２３は図９のような検索画面１５０を表示部２２上に表示させる。この検索画面１５０は、検索キーを指定する検索キー指定領域１５１と、検索条件を入力する検索条件入力領域１５２と、検索の実行を指示する「検索」ボタン１５４と、を備える。

検索キー指定領域１５１は、たとえばリストボックスで構成され、この中にシステムログ（正規化システムログ情報）の項目が予めリスト形式で格納されており、ユーザがリスト中から検索したい項目を検索キーとして選択する。また、検索条件入力領域１５２は、たとえばテキストボックスで構成され、ユーザが入力部２４を介して検索キーに対して検索したい条件（キーワード）が入力される領域である。これらの項目のうち未入力のものは、ＮＵＬＬとする。また、検索条件入力領域１５２内の各キーワード間のＡＮＤ検索やＯＲ検索を指定することもできるし、各条件間の検索方式として検索方式選択領域１５３でＡＮＤ検索やＯＲ検索を選択することも可能である。さらに、「検索」ボタン１５４は、検索キー指定領域１５１と検索条件入力領域１５２と検索方式選択領域１５３に入力された内容を、正規化システムログ情報を用いて検索する。

つぎに、検索処理方法について説明する。ユーザによって入力された検索キーが、集約テーブルに含まれる項目か、データテーブルに含まれる項目かに分けた後、それぞれの検索キーにキーワードが含まれるレコードについて、分類されたテーブル内から検索する。その後、それぞれのテーブルの検索結果を結合して、集約テーブルのｉｄが同じである列のみを残し、元の形のシステムログに復元する。

さらに具体的な検索処理の方法について説明する。図１０は、検索処理の手順の具体例を示す図である。ここでは、検索キーとして「日時」が選択され、キーワードとして「２００７／０９／３０」が入力されたものとする。つまり、日時が「２００７／０９／３０」であるシステムログを抽出するように検索指示が出されたものとする。

検索部２７は、日時キーはデータテーブルに含まれるため、図８−５のデータテーブルを検索対象とし（ステップＳ１０１）、データテーブルの日時キーにキーワード「２００７／０９／３０」が含まれるレコードを検索し、抽出する（ステップＳ１０２）。ついで、データテーブルを用いた検索結果と、集約テーブルとを結合し（ステップＳ１０３）、結合結果を取得する（ステップＳ１０４）。その後、結合結果中の集約テーブルのｉｄが同じである行（レコード）を抽出し（ステップＳ１０５）、ｉｄを削除するとともに、所定の順序にレコード内の各データの並べ変えを行って成形を行い、元のシステムログの形式で検索結果が得られる（ステップＳ１０６）。検索部２７は、この検索結果を表示処理部２３に渡し、表示処理部２３で表示部２２に出力する。

なお、ここで説明した検索処理では、集約テーブルとデータテーブルの個々のテーブルで検索キーのキーワードについて検索を行った後、両者を結合して元の形を有するシステムログの検索結果を得ていたが、最初に集約テーブルとデータテーブルの結合を行い、結合結果中の集約テーブルのｉｄが同じである列のみを残し、元の形のシステムログに復元した後、ユーザによって入力された検索キーを用いて検索を行ってもよい。

（正規化システムログ情報の退避処理）
正規化システムログ情報を退避したい場合には、退避部２８は、正規化システムログ情報を、テキストファイル化して、システムログ退避用記憶装置５０に退避する。この場合、集約テーブルとデータテーブルそれぞれをＣＳＶ形式などのテキストファイルにして出力する。なお、このＣＳＶ形式には、所定の項目順に並べたデータをカンマ、コロン、セミコロン、タブなどで区切る形式を含むものとする。

また、退避する内容としては、正規化システムログ情報全体だけでなく、正規化システムログ情報中の退避したいレコードでもよい。この場合には、上記した検索処理と同様に、退避したいレコードを検索し、検索にマッチしたデータテーブル中のデータログと、集約テーブルとをテキストファイル化してシステムログ退避用記憶装置５０に退避する。

さらに、退避部２８は、システムログ退避用記憶装置５０に退避したデータテーブル中のレコードのみを、正規化システムログ情報格納部２６中から削除する。これは、退避されないデータテーブル中のレコードが集約テーブル中のレコードを参照している可能性が高く、集約テーブルのデータを削除してしまうと、そのデータテーブル中のレコードを元の形のシステムログに復元することができなくなってしまうからである。

この実施の形態によれば、システムログの内容を改変せずに、システムログの容量を削減した正規化システムログ情報としてデータベース上で管理することができる。また、正規化システムログ情報から容易に元の形式のシステムログを復元することも可能である。その結果、膨大な量のログデータが出力されるＩＴシステム１０でのシステムログを効率的に管理することができるという効果を有する。

たとえば、レコード１行当り平均１５０ｂｙｔｅｓとし、冗長キーが平均２５ｂｙｔｅｓとする。また、集約テーブルのｉｄは２ｂｙｔｅｓとする。集約テーブルに１５行、データテーブルに１００，０００行のデータが格納される場合を考える。集約化を行わない場合のシステムログの容量は、１５０×１００，０００＝１５，０００，０００ｂｙｔｅｓとなるが、この実施の形態１による正規化を行った場合の正規化システムログ情報の容量は、（１５０−２５＋２）×１００，０００＋（２５＋２）×１５＝１２，７００，４０５ｂｙｔｅｓとなり、約１６％の容量を削減することができるという効果を有する。

また、検索処理時に、集約テーブルとデータテーブルのそれぞれで検索を行うが、集約テーブルでキーワードを検索する場合には、集約テーブルのレコード数が少ないために、検索に通常使用するインデックスを用意し、集約テーブルに付加する必要性がないので、集約テーブルのさらなる容量削減を行うことができるという効果を有する。

以上のように、この発明にかかるシステムログ管理支援装置は、企業などの組織のＩＴシステムにおける監査に有用である。

この発明にかかるシステムログ管理支援装置が適用されるシステムの構成の一例を模式的に示す図である。この発明にかかるシステムログ管理支援装置の機能構成を模式的に示すブロック図である。システムログとして収集する項目の一例を示す図である。システムログデータの一例を示す図である。生成された集約テーブルの一例を示す図である。生成されたデータテーブルの一例を示す図である。システムログの正規化処理手順の一例を示すフローチャートである。図５の集約テーブルにデータが格納された状態の一例を示す図である。元レコードに、ｉｄが付与された状態を示す図である。データテーブルにレコードを格納した状態の一例を示す図である。図３から作成される集約テーブルの一例を示す図である。図３から作成されるデータテーブルの一例を示す図である。検索画面の一例を示す図である。検索処理の手順の具体例を示す図である。

符号の説明

１０ＩＴシステム
２０システムログ管理支援装置
２１システムログ取得部
２２表示部
２３表示処理部
２４入力部
２５正規化条件設定反映部
２６正規化システムログ情報格納部
２７検索部
２８退避部
２９制御部
３０ネットワーク
４０通信回線
５０システムログ退避用記憶装置

Claims

所定の出力キーからなるシステムログの複数の前記出力キーのうち、ユーザによって選択される所定の割合以上同じ内容のデータが出現する出力キーからなる冗長キー、および該冗長キーに対応するデータの組み合わせを識別する識別キーで構成される集約情報と、前記冗長キー以外の出力キー、および前記識別キーを用いて前記集約情報中のレコードと関連付けを行う関連付けキーで構成されるデータ情報とに、前記システムログ中のレコードを分割した正規化システムログ情報を生成して、前記システムログに記録されるデータ量を削減する正規化条件設定反映手段を備えることを特徴とするシステムログ管理支援装置。
前記正規化条件設定反映手段は、前記システムログ中の１レコードにおける前記冗長キーに対応するデータが、前記集約情報に格納されているいずれのレコードとも該当しない場合に、前記１レコードの前記冗長キーに対応するデータに識別子を付して前記集約情報に格納することを特徴とする請求項１に記載のシステムログ管理支援装置。
前記正規化システムログ情報の所定の出力キーにキーワードを含むレコードを検索する場合に、前記集約情報と前記データ情報のそれぞれで前記出力キーに前記キーワードを含むレコードの検索を行った後に、それらの結果を結合して検索結果を出力する検索手段をさらに備えることを特徴とする請求項１または２に記載のシステムログ管理支援装置。
前記正規化システムログ情報の所定の出力キーにキーワードを含むレコードを検索する場合に、前記集約情報と前記データ情報を結合して得られた結果に対して、前記出力キーに前記キーワードを含むレコードの検索を行う検索手段をさらに備えることを特徴とする請求項１または２に記載のシステムログ管理支援装置。
前記正規化システムログ情報中の指定されたレコードを他の記録装置に退避する指示を受けた場合に、指定された前記レコードを前記他の記録装置に出力した後、前記データ情報中の退避した前記レコードのみを削除する退避手段をさらに備えることを特徴とする請求項１〜４のいずれか１つに記載のシステムログ管理支援装置。
前記退避手段は、指定された前記レコードを所定のテキスト形式で前記他の記録装置に出力することを特徴とする請求項５に記載のシステムログ管理支援装置。
所定の出力キーからなるシステムログの複数の前記出力キーのうち、ユーザによって選択される所定の割合以上同じ内容のデータが出現する出力キーからなる冗長キー、および該冗長キーに対応するデータの組み合わせを識別する識別キーで構成される集約情報と、前記冗長キー以外の出力キー、および前記識別キーを用いて前記集約情報中のレコードと関連付けを行う関連付けキーで構成されるデータ情報とに、前記システムログ中のレコードを分割した正規化システムログ情報を生成して、前記システムログに記録されるデータ量を削減することを特徴とするシステムログ管理支援方法。