| Systemwalker Centric Manager 使用手引書 セキュリティ編 - UNIX/Windows(R)共通 - |
|
目次
索引
|
| 第3部 セキュリティを強化するにはSystemwalkerの設定をどのようにしたらよいか | > 第10章 監査ログを分析する | > 10.1 監査ログを分析する作業の流れ |
膨大な量の監査ログに対して、検索条件を設定し検索することによって、必要な情報だけを入手して監査ログを調査することができます。
検索条件は、保存できます。次回からは、保存されている検索条件を再利用すれば、条件を設定する手間が省け、簡単に監査ログの検索を行うことができます。
保存した検索条件は、運用管理サーバに登録し管理します。複数の運用管理クライアントで検索条件を使用することができます。
集計する正規化ログが圧縮されている場合は、事前にmpatmextract(圧縮したログの解凍コマンド)で解凍します。
検索条件を設定する手順を説明します。
→[Systemwalkerコンソール]が起動されます。
→[統合コンソール]が起動されます。
→[監査ログ分析−検索]画面(検索プラグイン)が起動されます。
検索プラグインは、以下の条件をすべて満たしているユーザだけが使用できます。
同じ運用管理サーバに接続している各統合コンソールから起動できる検索プラグインは、合計で最大50個です。
ロール、およびコンソール操作制御機能の詳細については、"コンソール操作制御機能で認証する"を参照してください。
監査ログ分析機能の以下の画面において、画面タイトルに“[通番:接続先運用管理サーバのホスト名:ログインユーザ名]”が表示されます。
(※)日付、時刻、実行ホスト以外の文字検索の条件
[監査ログ分析−検索]画面は複数起動できます。複数起動した場合は、[監査ログ分析−検索][監査ログ分析−検索(2)][監査ログ分析−検索(3)]のように、連番がつきます。複数起動していた[監査ログ分析−検索]画面をすべて終了したのち、[監査ログ分析−検索]画面を起動した場合には、はじめから番号がふられます。
初期表示は、[(デフォルトの格納ディレクトリ)]です。デフォルトの格納ディレクトリとは、mpatacnvtdef(正規化ログ格納先定義コマンド)で定義した正規化ディレクトリを指しています。
→[ディレクトリ参照]画面が表示されます。
→[正規化ログの格納場所]にディレクトリパス名が表示されます。
[監査ログ分析−検索]画面の起動時には、初期値として現在の時刻から10分前の時刻が設定されています。
検索開始日時を指定しない場合は、チェックボックスを“OFF”にします。
[監査ログ分析−検索]画面の起動時には、現在の時刻が設定されています。
検索終了日時を指定しない場合は、チェックボックスを“OFF”にします。
[検索条件の設定]に表示される項目は、正規化ログの項目名です。選択する項目によって、検索条件の設定内容が異なります。
以下に、項目名と検索名の一覧を示します。
正規化ログの項目名の詳細は、“正規化されたログ項目”を参照してください。
|
項番 |
[検索条件の設定]に表示される項目 |
検索型 |
検索結果一覧での初期表示 |
備考 |
|
1 |
日付 |
日付検索 |
− |
|
|
2 |
時刻 |
時刻検索 |
− |
|
|
3 |
曜日 |
選択検索 |
− |
|
|
4 |
操作場所 |
文字検索 |
○ |
|
|
5 |
操作IPアドレス |
文字検索 |
○ |
|
|
6 |
実行ホスト |
実行ホスト検索 |
○ |
ノード検索を行うときに使用します。 |
|
7 |
実行IPアドレス |
文字検索 |
○ |
|
|
8 |
操作者 |
文字検索 |
○ |
|
|
9 |
操作対象 |
文字検索 |
○ |
|
|
10 |
操作種別 |
文字検索 |
○ |
|
|
11 |
操作内容 |
文字検索 |
○ |
|
|
12 |
実行結果 |
選択検索 |
○ |
|
|
13 |
コンポーネント |
文字検索 |
○ |
|
|
14 |
追加情報 |
文字検索 |
○ |
|
|
15 |
深刻度 |
選択検索 |
○ |
|
|
16 |
ログテキスト |
文字検索 |
○ |
|
|
17 |
ログ種別 |
選択検索 |
○ |
|
|
18 |
拡張値１ |
文字検索 |
○ |
|
|
19 |
拡張値２ |
文字検索 |
○ |
|
|
20 |
拡張値３ |
文字検索 |
○ |
|
|
21 |
拡張値４ |
文字検索 |
○ |
|
|
22 |
拡張値５ |
文字検索 |
○ |
|
|
23 |
拡張値６ |
文字検索 |
○ |
|
|
24 |
拡張値７ |
文字検索 |
○ |
|
|
25 |
拡張値８ |
文字検索 |
○ |
|
|
26 |
拡張値９ |
文字検索 |
○ |
|
|
27 |
拡張値１０ |
文字検索 |
○ |
|
|
28 |
拡張値１１ |
文字検索 |
− |
|
|
29 |
拡張値１２ |
文字検索 |
− |
|
|
30 |
拡張値１３ |
文字検索 |
− |
|
|
31 |
拡張値１４ |
文字検索 |
− |
|
|
32 |
拡張値１５ |
文字検索 |
− |
|
|
33 |
拡張値１６ |
文字検索 |
− |
|
|
34 |
拡張値１７ |
文字検索 |
− |
|
|
35 |
拡張値１８ |
文字検索 |
− |
|
|
36 |
拡張値１９ |
文字検索 |
− |
|
|
37 |
拡張値２０ |
文字検索 |
− |
|
○：初期表示されます。
−：初期表示されません。
なお、各項目に設定された検索条件の内容は、[検索条件の確認]ボタンで参照することができます。
文字検索の場合
[検索条件の設定]に表示される項目において、文字検索に該当する項目を選択した場合、文字検索の条件を入力します。
→[条件の追加(操作IPアドレス)]画面が表示されます。
→［条件値一覧］に値(文字検索の内容)が表示されます。
値を複数設定する場合は、b)からc)を繰り返します。
実行ホスト検索の場合
[検索条件の設定]に表示される項目において、実行ホストに該当する項目を選択した場合、実行ホスト検索の条件を入力します。
→[条件の追加(実行ホスト)]画面が表示されます。
または、[参照]ボタンをクリックします。
→[ノード選択]画面が表示されます。
条件に設定するノードを選択し、[OK]ボタンをクリックします。
→［条件値一覧］に値(実行ホスト検索の内容)が表示されます。
値を複数設定する場合は、b)からc)を繰り返します。
選択検索の場合
[検索条件の設定]に表示される項目において、選択検索に該当する項目を選択した場合、選択検索の条件を入力します。
［候補一覧］から条件となる値を選択し、［選択一覧］へ追加します。[候補一覧]の値は複数選択できます。値を複数設定した場合は、OR条件で検索されます。
日付検索の場合
[検索条件の設定]に表示される項目において、日付検索に該当する項目を選択した場合、日付検索の条件を入力します。
→[条件の追加(日付)]画面が表示されます。
開始日付＞終了日付の値を指定した場合、月またぎの範囲で指定されることになります。
以下の場合、2006/10/25〜2006/11/5までに含まれるログ情報が対象となります。
検索開始日時：2006/10/1 00:00:00
検索終了日時：2006/11/30 00:00:00
開始日付：25
終了日付：5
→［条件値一覧］に値(日付検索の内容)が表示されます。
条件を複数設定する場合は、a)からb)を繰り返します。入力できる条件の数は、最大100件です。入力した条件はOR条件で検索されます。
時刻検索の場合
[検索条件の設定]に表示される項目において、時刻検索に該当する項目を選択した場合、時刻検索の条件を入力します。
→[条件の追加(時刻)]画面が表示されます。
開始時刻＞終了時刻の値を指定した場合、日またぎの範囲で指定されることになります。
以下の場合、2006/10/1〜2006/10/2までの23:00:00から02:00:00に含まれるログ情報が対象となります。
検索開始日時：2006/10/1 00:00:00
検索終了日時：2006/10/2 23:59:59
開始時刻：23:00:00
終了時刻：02:00:00
→[一覧]に値(時刻検索の内容)が表示されます。
日付の範囲を複数設定する場合は、a)からb)を繰り返します。
入力できる条件の数は、最大100件です。入力した条件はOR条件で検索されます。
→[検索条件の管理]画面が表示されます。
→[カテゴリーの選択]画面が表示されます。
登録先のカテゴリーを選択します。
カテゴリーを選択する場合は、あらかじめカテゴリーを登録しておく必要があります。カテゴリーの登録については、“カテゴリーの登録”を参照してください。
→検索条件が運用管理クライアント上の以下のフォルダに保存されます。
|
Systemwalkerインストールディレクトリ\MPWALKER.DM\mpata\data\retrieval |
検索条件を他の運用管理クライアントでも使用する
保存した検索条件を他の運用管理クライアントでも使用する場合は、以下の手順で検索条件ファイルを移行してください。
検索条件のクリア
以下の操作を行うと検索条件がクリアされます。検索条件を保存する場合は、クリア操作を行う前に実施してください。
検索条件を登録するカテゴリーは、検索条件や用途に応じて作成できます。以下に作成手順を説明します。
→[検索条件の管理]画面が表示されます。
→カテゴリーのルートである[検索条件]が、[検索条件登録一覧]に表示されます。カテゴリーは、フォルダのアイコンとして表示されます。
→[カテゴリーの追加]画面が表示されます。
→登録したカテゴリーが[検索条件登録一覧]に表示されます。
保存されている検索条件を指定し、検索を行います。以下に手順を説明します。
→[検索条件の選択]画面が表示されます。
検索条件の登録情報は、ツリー形式で表示されます。
カテゴリーは、フォルダのアイコンで表示されます。
検索条件は、ファイルのアイコンで表示されます。
→検索が開始され、[検索結果一覧]タブが表示されます。
検索中に、検索条件に該当するログ情報が1000件(初期値)をこえた場合は、エラーメッセージが表示され、検索が中断されます。1001件目以降のログ情報を表示する場合は、[次へ]ボタンをクリックします。
検索結果の一覧から、詳細情報を表示して確認します。
→[検索結果詳細]タブが表示され、対象ログの詳細情報が表示されます。
→[CSV形式で保存]画面が表示されます。
→ファイル保存用のダイアログボックスが表示されます。
→検索結果がCSVファイルに保存されます。
CSVファイルの保存場所のデフォルト値は、 “Systemwalkerインストールディレクトリ\MPWALKER.DM\mpata\var\user\csv”です。また、ファイル名の初期値は、“retrieval.csv”です。
ディスク容量についての注意事項
大量の検索結果を出力する場合、出力先のディスク容量が不足しないように注意してください。目安として、2×検索結果の件数(KB)のディスク容量が必要になります。
出力する正規化ログの件数が10,000件を超えている場合は、10,000件ごとに複数のファイルに分割されて出力されます。正規化ログが分割された場合、ファイル名(拡張子なし)の後ろに通し番号がつきます。
[監査ログ分析−検索]画面の[検索結果一覧]タブでは他に以下の操作が可能です。操作の詳細はヘルプを参照してください。
検索結果の一覧に表示する項目の選択・順序の変更を行います。
[表示項目の設定]ボタンのクリックにより設定画面が表示されます。
検索結果の一覧に表示する日時の値を実行ホスト単位に変更します(進める/遅らせる)。
ホスト間で時間(時計)にずれがある場合にそのずれを調整して表示させることができます。
[日時調節]ボタンのクリックにより設定画面が表示されます。
検索結果の一覧の中から選択した監査ログの情報を検索条件にコピーします。
検索された監査ログの操作者名などの値を次に行う検索の条件とする場合などに使用します。
[選択行を条件に反映]ボタンのクリックにより設定画面が表示されます。
検索条件として初期表示される値や、メッセージボックスの表示/非表示など、検索機能でカスタマイズ可能な情報があります。
カスタマイズ可能な情報は以下のとおりです。
情報を設定する画面の表示手順を以下に説明します。
→[設定]画面が表示されます。
|
目次
索引
|