Systemwalker Centric Manager 使用手引書 セキュリティ編 - UNIX/Windows(R)共通 -

10.2.2.4 監査ログを分析する手順

以下の観点で監査ログを分析します。

• 悪意のあるユーザを分析する
• 運用ルール以外の操作を分析する
• システムへの影響度が大きい操作を分析する

■悪意のあるユーザを分析する

Systemwalkerコンソールの操作状況を、出力ファイルの内容から判断します。

認証失敗ログ件数の集中しているセルを確認します。

9時台(9:00〜9:59)に、user2が認証に5回失敗していることがわかります。

出力されたCSVファイルを元に、以下の観点で分析結果を評価します。

• 認証失敗件数が集中している時間帯を特定します。
• 認証失敗件数が集中している時間帯が運用上妥当かどうかを確認します。

  時間帯が運用上妥当でない場合は、不正ログインが行われた可能性があります。管理者による詳細な調査を行います。

■運用ルール以外の操作を分析する

運用管理サーバに対して、許可されていない運用管理クライアント(client01)からの接続がないか確認します。

出力されたCSVファイルを元に、以下の観点で分析結果を評価します。

• 運用ルールに違反している項目(接続を許可されている運用管理クライアント以外からの接続)を特定します。
• 違反行為の理由が妥当であるか確認します。

  運用上妥当でない場合は、想定外の接続が行われた可能性があるため、管理者による詳細調査を行います。

■システムへの影響度が大きい操作を分析する

リモートコマンド、およびポリシー操作ログの時間帯と件数を確認します。

例では、12時台(12:00〜12:59)と13時台(13:00〜13:59)に、user1がシステムに対する影響度の大きい操作であるポリシー設定を実行しています。

システムへの影響度が大きい操作としては、以下の項目も考えられます。

• 監視ツリーの削除
• 監視ツリーの切り替え
• オブジェクトの追加・削除

出力されたCSVファイルを元に、以下の観点で分析結果を評価します。

• システムへの影響度が大きい操作が集中している時間帯を特定します。
• 時間帯が運用上妥当かどうかを確認します。

  運用上妥当でない場合は、通常運用外の操作が行われた可能性があるため、管理者による詳細調査を行います。