Systemwalker Centric Manager 使用手引書 セキュリティ編 - UNIX/Windows(R)共通 -
目次 索引 前ページ次ページ
第3部 セキュリティを強化するにはSystemwalkerの設定をどのようにしたらよいか> 第10章 監査ログを分析する> 10.2 Systemwalker Centric Managerの監査ログを分析する> 10.2.3 サーバの操作を点検するには

10.2.3.4 監査ログを分析する手順

以下の観点で監査ログを分析します。

■サーバへのアクセス状況を確認し、サーバアクセス制御のポリシー設定の妥当性を確認する

集計レポート結果から、ポリシー設定の妥当性を評価します。

それぞれの操作について「検索」機能を利用して、問題発生時刻、操作内容、操作対象の特定を行う場合は、以下の操作をします。

  1. [統合コンソール]を起動し、[監査ログ分析-検索]画面を起動します。
  2. [検索範囲の設定]で、以下の設定をします。
  3. [検索条件の設定]で、以下の項目を選択します。
  4. [検索開始]ボタンをクリックします。
  5. 検索結果から、操作日の詳細情報を確認します。
  6. 確認結果をセキュリティ管理者へ通知します。

◆試行モードを利用している場合

試行モードで出力されたアクセス監査ログを抽出し、セキュリティ管理者に抽出結果を通知する場合は、以下の操作をします。

  1. [統合コンソール]を起動し、[監査ログ分析-検索]画面を起動します。
  2. [検索範囲の設定]で、以下の設定をします。
  3. [検索条件の設定]で、以下の項目を選択します。
  4. [検索開始]ボタンをクリックします。
  5. [検索結果一覧]で、[CSV形式で保存]を指定し、検索結果を任意のファイルに保存します。
  6. 保存したファイルをセキュリティ管理者に通知します。

■サーバに対し、許可されていないユーザによる不正なアクセスが行われていないか

集計レポート結果から、不正なアクセス状況を確認します。

不当なユーザがサーバへアクセスした可能性がある場合、集計時間、実行ホスト名、ユーザ名、操作種別を確認します。

それぞれの操作者について「検索」機能を利用して、問題発生時刻の特定と操作内容、操作対象の特定を行います。「検索」機能は以下のように操作します。

  1. [統合コンソール]を起動し、[監査ログ分析-検索]画面を起動します。
  2. [検索範囲の設定]で、以下の設定をします。
  3. [検索条件の設定]で、以下の項目を選択します。
  4. [検索開始]ボタンをクリックします。
  5. 検索結果から、該当操作日の詳細情報を確認します。
  6. 確認結果をセキュリティ管理者へ通知します。

■サーバアクセス制御に対し、不正な操作が行われていないか

出力されたCSVファイルを元に、以下の観点で分析結果を評価します。

不当なユーザによるサーバへのアクセスの可能性がある場合、集計時間、実行ホスト名、ユーザ名、操作種別を確認します。

不当なユーザによるアクセスの可能性がある操作について「検索」機能を利用して、問題発生時刻の特定と操作内容、操作対象の特定を行います。「検索」機能は以下のように操作します。

  1. [統合コンソール]を起動し、[監査ログ分析-検索]画面を起動します。
  2. [検索範囲の設定]で、以下の設定をします。
  3. [検索条件の設定]で、以下の項目を選択します。
  4. [検索開始]ボタンをクリックします。
  5. 検索結果から、該当操作日の詳細情報を確認します。
  6. 確認結果をセキュリティ管理者へ通知します。

■サーバ操作制御ポリシーが改ざんされていないか

サーバ操作制御ポリシーの変更操作状況を、出力ファイルの内容から判断します。

「9/2に保守をかねたサーバ操作制御のポリシー変更がセキュリティ管理者により行われているが、9/4にはセキュリティ管理者の把握していない操作(ポリシー移入)が行われている」と想定します。

出力されたCSVファイルを元に、以下の観点で分析結果を評価します。

■サーバ操作が正しく行われているか

サーバ操作状況を、出力ファイルの内容から判断します。

システム異常に起因したサーバ操作制御機能の停止はないか

サーバ操作制御を用いた運用が正しく行われているかを、システム異常の観点から分析します。集計結果から、まず、[録画異常]と[監査ログ異常]に着目します。録画データや監査ログの出力失敗は、点検を行えなくなる恐れがあるため、注目が必要な項目です。システムに対するDoS(サービス拒否)攻撃やBruteForce(パスワード奪取のための総当たり)攻撃などが行われた場合に異常を示す場合があります。

システム異常を疑い、システムログやアプリケーションログなどを日付、発生元サーバをキーに検索を行います。

  1. [統合コンソール]を起動し、[監査ログ分析-検索]画面を起動します。
  2. [検索条件の設定]で、以下の項目を選択します。
  3. [検索開始]ボタンをクリックします。
  4. [検索条件の保存・管理]ボタンをクリックし、検索条件を保存します。
  5. 検索結果から、問題箇所を特定します。
  6. 分析対象日以降、現在までに問題が解消されているかどうかを、部門責任者に確認します。

サーバに対する悪意のある操作はないか

システムに異常が発見された場合は、その原因がシステムへのセキュリティ攻撃であるかどうかを分析します。

集計結果の該当日のデータで、[実行権限のない操作]と[認証失敗]に着目します。特定の件数以上の監査ログが存在すると認められた場合、それぞれで検索を実施し、問題発生時刻の特定と操作者の特定を行います。

  1. [統合コンソール]を起動し、[監査ログ分析-集計]画面を起動します。
  2. [検索範囲の設定]で、以下の設定をします。
  3. [検索条件の設定]で、以下の項目を選択します。
  4. 検索結果から、該当操作日の詳細情報を確認します。
  5. 同一人物による、繰り返し認証の失敗を確認した場合、または、実行権限のない操作を行っていることを確認した場合は、確認結果を部門責任者へ通知します。

部門責任者は、該当ユーザへの聞き取りを実施し、必要に応じて以下の対処を行います。

不正なアクセスを繰り返した形跡はないか

システムに異常が発見されなかった場合でも、[実行権限のない操作]や[認証失敗]の項目が多いときは、システムに対する不正がないか分析する必要があります。なぜなら、[実行権限のない操作]や[認証失敗]の項目が多いときは、パスワードクラックなどの不正アクセスの恐れがあるからです。

以下に該当する場合、検索を実施し調査します。

検索結果において以下の項目に着目し、該当操作日の詳細情報を確認します。

分析結果から特定のユーザや操作を追跡調査する

前日までの分析結果から、特定ユーザや、特定操作に[実行権限のない操作]または[認証失敗]が集中していることがわかった場合は、成功の点検結果も含めて操作の追跡を実施します。

この分析を行うためには、サンプルファイルのカスタマイズが必要です。

以下に手順を示します。

  1. サーバ不正操作分析問い合わせサンプルファイルを開きます。

    →[レイアウトの指定]画面が表示されます。

  2. [データ]領域、[操作者]を選択し、右クリックで表示されるメニューから、[詳細指定]を選択します。

    →[データ項目の詳細指定]画面が表示されます。

  3. [条件設定]ボタンをクリックします。

    →[条件の指定]画面が表示されます。

  4. 以下の項目を入力し、[OK]ボタンをクリックします。

作成した問い合わせファイルは運用管理サーバへコピーし、対象ユーザの追跡調査用の問い合わせファイルとして定期的に集計を実行します。

集計手順は以下のとおりです。

  1. [統合コンソール]を起動し、[監査ログ分析-集計]画面を示します。
  2. [サーバ不正操作分析問い合わせサンプルファイル]を起動し、集計結果を表示します。
目次 索引 前ページ次ページ
Copyright FUJITSU LIMITED 1995-2008