[发明专利]调查设备和调查方法

说明书

本发明提供了调查设备和调查方法。根据实施方式的调查设备包括执行下述处理的处理器：针对表的每个属性，分析在属性中包括的多个值的独特性；针对原始调查表，将所分析的独特性比预定值低的属性中包括的多个值按照预定比率减少，并且输出原始调查表的特征；针对目标调查表，将所分析的独特性比预定值高的属性中包括的多个值按照预定比率减少，并且输出目标调查表的特征；以及通过将原始调查表的特征与目标调查表的特征进行比较，来对目标调查表与原始调查表的相似度进行调查。

技术领域

本文讨论的实施方式涉及调查设备和调查方法。

背景技术

在现有技术中，在公司等中，作为针对信息泄露的措施之一，执行用于确定信息泄露源的在后调查。在针对信息泄露的在后调查中，连同对文件进行操作如文件浏览或文件保存时的操作日志一起记录所操作的文件的特征(指纹(在下文中，称为特征数据))。因此，在信息泄露的调查中，通过参照所记录的特征数据确定与泄露信息相似的文件的操作日志，来确定信息泄露源。

专利文件1：日本公开特许公报第2005-4560号。

然而，在上面描述的相关技术中，在针对每个记录(行)的各种属性(列)的信息进行描述的表数据的调查中，与通常的文件如文本相比，特征数据变得巨大，从而存在调查时间长的问题。例如，在执行针对表数据的泄露的在后调查的情况下，在操作时所记录的表数据的特征数据变得巨大，使得调查需要一定时间。

图20是示出了信息泄露的调查的说明图。如图20中所示，针对公司保密信息501，用户511对其执行操作比如引用或更新的文件502的操作日志或者文件502的特征数据被记录在公司内部浏览文件日志521中。例如，连同用户511对其执行操作的文件502的文件名如“kimitsu.doc”一起，提取文件502中的“关于中期商业计划……”的表示特征的数据(关键词列表)，并且将其记录在公司内部浏览文件日志521中。

在本文中，假定文件502的印刷品在编辑和处理之后作为文件503泄露到公司的外部。另外，假定文件503具有文件名“maruhi.pdf”等，从而该文件名被改变成不同于文件502的文件名。另外，改变文件503的内容，以使得内容的一部分不同于文件502的内容，例如像“关于营业部门的中期计划……”。因此，在信息泄露的在后调查中，通过对记录在公司内部浏览文件日志521中的特征之中的与从文件503提取的特征相似的特征进行搜索来确定文件502作为泄露源。

针对表示文件特征的特征数据，在关键词状态下难以处理特征数据，因而，使用通过对关键词进行散列所获得的数据。例如，对关键词进行散列，并且通过利用常数n来执行求模操作(mod)来获得范围减小的散列值(另外，将散列值设置为通过利用常数n来执行求模操作所获得的值，以及将在执行求模操作之前的散列值设置为中间散列值)。以此方式，由于文件中包括的关键词由散列值表示，因此获得由n×n有效图(effective graph)所表示的文件特征的特征数据。

另外，在将值n设置成约10000并且此后在一些情况下对关键词进行散列的情况下，可以在不同的关键词之间获得相同的散列值。然而，在n×n有效图中，由关键词的组合来表示特征。因此，在内容不同的文件之间，内容被改变成相同的散列值的可能性较低，并且有效图具有内容难以变得相同的特性。

在信息泄露的在后调查中，通过将记录在公司内部浏览文件日志521中的特征数据与从文件503提取的特征数据进行比较来获得相似的文件(作为泄露源的文件502)。

图21是示出对特征数据进行比较的说明图。如图21中所示，在信息泄露的在后调查中，通过对记录在公司内部浏览文件日志521中的特征数据502a与从文件503提取的特征数据503a进行比较获得比较结果504，在其特征被记录在公司内部浏览文件日志521中的文件之中的与文件503相似的文件被确定为泄露源。