| Systemwalker Centric Manager 使用手引書 セキュリティ編 - UNIX/Windows(R)共通 - |
|
目次
索引
|
| 第3部 セキュリティを強化するにはSystemwalkerの設定をどのようにしたらよいか | > 第10章 監査ログを分析する | > 10.2 Systemwalker Centric Managerの監査ログを分析する | > 10.2.1 root権限での操作を点検するには |
監査ログを分析するには、監査ログを集計するときの問い合わせ条件（集計項目）や、集計結果を表示する表のレイアウトの設定条件を、問い合わせファイルに定義する必要があります。
セキュリティ管理者は、root権限の不正な使用を分析する場合の固有情報(実行ホスト、操作者、root権限での操作が不当な時間帯)を設定するため、標準提供されている“root権限不当使用分析問い合わせサンプルファイル”をカスタマイズします。
監査ログ分析のための設定は、以下の順で行います。
ユーザ名(アカウント名)についての注意事項
Solaris suログではsu操作を行ったユーザ名と新ユーザ名の区切りにハイフンが使用されています。そのため、ハイフン(-)を含んだユーザ名(アカウント名)は使用しないでください。
問い合わせサンプルファイルは、監査ログ分析機能をインストールしたときに、運用管理クライアントに格納されます。この問い合わせサンプルファイルをコピーしてカスタマイズします。問い合わせファイルの編集は、Interstage Navigatorで行います。
問い合わせサンプルファイルを、任意のディレクトリにコピーします。
問い合わせサンプルファイルのインストール先は“Systemwalkerインストールディレクトリ\MPWALKER.DM\mpata\sample\total”です。“root権限不当使用分析問い合わせサンプルファイル”のファイル名は“rootAuthorityUse.rne”です。
コピー先がc:\tempの場合の例を以下に示します。
|
copy c:\Systemwalker\MPWALKER.DM\mpata\sample\total\rootAuthorityUse.rne c:\temp |
“root権限不当使用分析問い合わせサンプルファイル”には、初期値として以下の条件が登録されています。
これらの条件のうち、時刻はroot権限の使用が許可されていない時間帯になるように、必要に応じて設定値を変更してください。
操作者と実行ホスト（太字部分）は運用に合わせて必ずカスタマイズする必要があります。操作者と実行ホストには、root権限の使用が許可されているシステム管理者のアカウント名と、その管理者の管理対象ホスト名を登録します。サンプルファイルには操作者と実行ホストの組み合わせが2組登録されていますので、実際の運用で使用している管理者アカウントの数により、以下の手順で条件の変更、追加、または削除を行ってください。
変更方法については、“条件の変更方法”を参照してください。
削除方法については、“条件の削除方法”を参照してください。
変更方法については、“条件の変更方法”を参照してください。
変更方法については“条件の変更方法”を参照してください。
追加方法については、“条件の追加方法”を参照してください。
問い合わせファイルの編集は、Interstage Navigatorのクライアント画面で行います。Interstage Navigatorのクライアント画面の起動方法を説明します。
→[Navigator クライアント]が起動されます。
→[開く]ダイアログボックスが表示されます。
[開く]ダイアログボックスで、任意のディレクトリにコピーしたカスタマイズ用“root権限不当使用分析問い合わせファイル”を選択します。
→[サーバに接続]画面が表示されます。
→確認メッセージが表示されます。
ボタンの選択についての注意事項
[はい]ボタンをクリックすると、問い合わせファイルをカスタマイズできずに集計処理が実行されてしまいます。
→[レイアウトの指定]画面が表示されます。
“root権限不当使用分析問い合わせファイル”に定義されている操作者、および実行ホストの変更方法を説明します。
条件に設定されている内容を変更する方法を説明します。
→[条件のAND/OR編集]画面が表示されます。
→[条件の指定]画面が表示されます。
→[条件の指定]画面が表示されます。
条件を削除する方法を説明します。
削除対象についての注意事項
[条件]の欄には登録されている条件の項目名（[操作者]など）だけが横一列に並んで表示されます。そのため、本サンプルの[操作者]のように、同じ項目に対して複数個の条件が設定されている場合、同じ項目名が複数表示されていますので、選択の際に削除対象を間違えないように、注意してください。
→削除確認の画面が表示されます。
→操作者が削除されます。
操作者と実行ホスト条件の追加を行う場合、単に条件項目を追加するだけではなく、追加した条件項目をサンプルに設定されている他の操作者と実行ホストの組み合わせと同じ論理構造にする必要があります。
ここでは、以下の手順について説明します。
【項目を追加する】
以下の手順で、操作者と実行ホストの条件項目を追加します。
→[条件の指定]画面が表示されます。
【論理構造を設定する】
[条件のAND/OR編集]画面において、追加した項目の条件をサンプルに設定されている条件と同じ論理構造にします。
→[条件のAND/OR編集]画面が表示されます。
→選択した[操作者]の条件が階層化されます。
→選択した[実行ホスト]の条件が、直上の階層内の[操作者]の条件の上に移動します。
→選択した[実行ホスト AND 操作者]の条件が、すぐ上の階層内の[操作者 AND 実行ホスト]の条件の上(2つある既存の条件の間)に移動します。
→[OR(実行ホスト AND 操作者)]の状態に変わります。
ここまでの操作で、必要な条件の追加ができました。しかし、この状態では[条件の一覧]内の表示内容と、問い合わせファイルに設定されている条件が以下のように異なり、確認がしにくくなっています。
そこで、追加した条件を一番下に移動し、[操作者]と[実行ホスト] の表示順を[操作者 AND 実行ホスト]とする方法を説明します。
→選択した条件がそれぞれボタンどおり移動します。
さらに[操作者]、[実行ホスト]を追加する場合は、手順1から同様の操作を行います。
→[Navigator クライアント]画面が表示されます。
ボタンの選択についての注意事項
誤って[はい]ボタンをクリックした場合、集計が実行されてしまいます。
→[Navigator クライアント]画面が表示されます。
→“root権限不当使用分析問い合わせサンプルファイル”が、運用管理クライアント上のファイルとして作成されます。
例として、以下の場所に保存します。
問い合わせファイル名についての注意事項
問い合わせファイル名は集計レポート出力コマンドで使用するため、ASCII文字210文字以内またはシフトJIS文字105文字以内で指定してください。
動作確認をするために、編集したサンプルファイルを使用して実際に集計した結果と、監査ログの内容を比較します。
以下の手順で、編集したサンプルファイルを使用して、実際に集計します。
→[Navigator クライアント]が起動されます。
→[開く]ダイアログボックスが表示されます。
[開く]ダイアログボックスで、“root権限不当使用分析問い合わせサンプルファイルを編集する”で編集した問い合わせファイルを選択します。
→[サーバに接続]画面が表示されます。
→確認メッセージが表示されます。
→以下の画面が表示されます。
→以下の画面が表示されます。
→集計結果が表示されます。
監査ログから以下の手順で監査ログを抽出し、サンプルファイルを使用して集計した結果と比較します。
→確認した結果に問題がなければ、“root権限不当使用分析問い合わせサンプルファイル”(root権限不当使用チェック)が正しく設定されており、運用で使用できることが証明されました。
|
目次
索引
|