ページの先頭行へ戻る
Systemwalker Centric Manager 使用手引書 セキュリティ編
FUJITSU Software
第3部 セキュリティを強化するためのSystemwalkerの設定 > 第12章 サーバへのアクセスを制御する > 12.1 サーバアクセス制御機能を設定する作業の流れ
前次

12.1 サーバアクセス制御機能を設定する作業の流れ

サーバアクセス制御機能を設定する作業の流れを説明します。

サーバ資産に対する操作を制御する作業の流れを説明します。

1.セキュリティ管理者/監査者を設定する

セキュリティ管理者/監査者については、“セキュリティ管理者/監査者”を参照してください。

2.監査ログ、録画記録の出力先/保存日数を設定する

監査ログの出力設定については、“監査ログの出力設定”を参照してください。

3.スタンダードモードでポリシーを作成する

スタンダードモードについては、“アクセス制御”を参照してください。

4.ポリシーを配付する

5.監査ログを収集する

事前に、“監査ログ管理の設定例”の“運用管理サーバ側の設定”を参照し、格納ディレクトリの設定を行ってください。また、必要に応じて“収集対象のサーバを限定する”に記述されている設定を実施してください。(注)

6.監査ログの正規化/集計を自動化する
“Systemwalker Centric Managerの監査ログを分析する”を参照してください。

7.ログ集計表を適用・カスタマイズする
作業手順については、“問い合わせファイルを作成する”および“問い合わせサンプルファイルを編集する”を参照してください。

8.カスタムモードでポリシーを作成する

カスタムモードについては、“アクセス制御”を参照してください。


注)

セキュリティ管理者/監査者

各管理者/監査者の設定については、“セキュリティ管理者/監査者を設定する”を参照してください。

運用管理サーバのセキュリティ管理者の設定

Systemwalker Centric Managerをインストールした直後には、運用管理サーバのセキュリティ管理者は設定されていません。セキュリティポリシーを作成する場合、セキュリティ管理者の設定が必要です。

設定は、運用管理クライアントの[Systemwalkerコンソール]を使用し、サーバアクセス制御のポリシーを作成する前に行ってください。

登録されたセキュリティ管理者は、以下の設定を行うことができます。

運用管理サーバのセキュリティ監査者の設定

Systemwalker Centric Managerをインストールした直後には、運用管理サーバのセキュリティ監査者は設定されていません。

設定は、運用管理サーバのセキュリティ管理者が、運用管理クライアントで[Systemwalkerコンソール]からセキュリティ監査者を設定します。

登録されたセキュリティ監査者は、運用管理サーバでセキュリティポリシー設定内容の参照ができます。また、アクセス監査ログの監査を行うことができます。

管理対象サーバのセキュリティ管理者の設定

運用管理サーバのセキュリティ管理者が、運用管理クライアントで[Systemwalkerコンソール]から管理対象サーバのセキュリティ管理者を設定します。設定は、システム管理者が当該設定をポリシーとして配付/適用することで有効になります。

登録されたセキュリティ管理者は、当該の管理対象サーバで以下のシステム保守コマンドを実行できます。

管理対象サーバのセキュリティ監査者の設定

運用管理サーバのセキュリティ管理者が、運用管理クライアントで[Systemwalkerコンソール]から管理対象サーバのセキュリティ監査者を設定します。設定は、システム管理者が当該設定をポリシーとして配付/適用することで有効になります。

登録されたセキュリティ監査者は、当該の管理対象サーバで、録画した操作の再生コマンドを実行できます。

監査ログの出力設定

アクセス監査ログ

操作の録画データ

Systemwalkerコンソール監査ログ

アクセス制御

スタンダードモード・カスタムモード

サーバアクセス制御では、以下の2種類の設定方法があります。スタンダードモードは配付先のサーバ(ノード)を設定するだけで運用できるモードです。

  • スタンダードモード

    • ファイル

    • suコマンドの実行【Linux版】

    • レジストリ【Windows版】

    • ネットワーク接続【Linux版】

    • コンソールログイン

    • ネットワークログイン

  • カスタムモード

    • ファイル

    • プロセス

    • レジストリ【Windows版】

    • ネットワーク接続【Linux版】

    • コンソールログイン

    • ネットワークログイン

カスタムモードは、監査の対象やアクセス制御の対象がプロセスや、ポートなどの単位で詳細に把握できている場合に使用します。

一般ルール・優先ルール

サーバアクセス制御では、以下の2種類のルールがあります。

スタンダードモード・カスタムモード、優先ルール・一般ルールの関係

以下にアクセス制御の設定について、スタンダードモード・カスタムモードのポリシーと、優先ルール・一般ルールの関係を示します。

アクセス制御の設定

アクセス制御の対象となる操作の一覧は以下のとおりです。

モード

保護対象種別
(注1)

OS

Linuxの場合

Windowsの場合

スタンダードモード

コンソールログイン/ログオン

・コンソールからのログイン

・ログアウト

・ログオン画面からのログオン

・ユーザ切替からのログオン認証(Windows Server 2008のみ)

・ログアウト

suコマンドの実行

suコマンドの実行

－

ネットワーク接続

telnet、ssh、ftp接続

×

ネットワークログイン

telnet、ssh、ftpによるログイン(注2)

リモートデスクトップ接続によるログオン

カスタムモード

プロセス起動

コマンド、スクリプトの実行

exeファイルの実行

プロセス終了

kill(コマンド/API)によるプロセスの強制停止(SIGKILL送信)

タスクマネージャ等によるプロセスの強制停止

コンソールログイン/ログオン

・コンソールからのログイン

・ログアウト

・ログオン画面からのログオン

・ユーザ切替からのログオン認証(Windows Server 2008のみ)

・ログアウト

ネットワークログイン

telnet、ssh、ftpによるログイン(注2)

リモートデスクトップ接続によるログオン

ファイル読み込み

ファイルの場合: 読み込み操作

ディレクトリ場合: ファイル一覧取得操作

ファイル書き込み

ファイルの場合: 書き込み操作

ディレクトリの場合: 配下のファイル作成操作

ファイル作成

ファイル/ディレクトリの作成処理

ファイル削除

ファイル/ディレクトリの削除処理

ファイル変名

ファイル/ディレクトリの変名処理。

ただし、別のディスク(ドライブ)への変名処理の場合、変名元の「ファイル削除」と変名先の「ファイル作成」処理として扱う。

ファイル属性変更

ファイル/ディレクトリの属性変更(所有権、パーミッション)

ファイル/ディレクトリの属性変更(アクセス許可(ACL)、読み取り専用、隠しファイル、アーカイブ属性、インデックス属性、圧縮属性、暗号化属性)

ネットワーク

IPアドレス、ポート指定のTCP/UDP接続

×

レジストリ読み込み

－

・レジストリキーのサブキー一覧、値一覧取得処理。

・レジストリ値の参照処理。

レジストリ書き込み

－

・レジストリ値の設定、作成、削除、変名。

・サブキーの作成・削除・変名

レジストリ作成

－

・レジストリキーの作成。

・レジストリキーの変名(変名先が制御対象の場合)

レジストリ削除

－

・レジストリキーの削除。

・レジストリキーの変名(変名元が制御対象の場合)

注1) 以下のアクセス制御の保護対象種別は、RHEL6でサポートしていないため、ポリシーを配付しても設定が無視されます。

注2) ネットワークログインでサポートするサービスは以下です。

試行モード

[試行モード]は、アクセス制御の設定に基づき、サーバへのアクセスの許可・拒否の判定を実施して判定結果をアクセス監査ログに出力するモードです。実際にアクセスが拒否されることはありません。

このため、アクセス制御を[試行モード]で実行することで、アクセス制御の設定を変更したときの業務への影響を確認できます。

監視画面通知

[監視画面通知]は、アクセス制御設定のルールに該当する操作が行われたときに[Systemwalkerコンソール]にメッセージを通知します。監視機能と連動することで、即座に不正なアクセスを確認できます。

[Systemwalkerコンソール]に通知されるメッセージを以下に示します。

コマンドのエラーメッセージ

サーバアクセス制御により、強制アクセス制御を行った結果、通常正常に終了するはずのコマンドがアクセス制御機能により必要な権限を得ることができずに異常終了することがあります。このような場合は、実行したコマンドにより以下のようなエラーメッセージが表示される場合があります。

例：ls(1)コマンドによりアクセス拒否されたディレクトリを参照した場合

ls: <アクセス先ディレクトリ>: 許可がありません

例：コンソールログインが拒否されている場合にX Window Systemの画面からログインを行った場合

あなたのセッションは 10秒以上続きませんでした。 もしあなた自身がログアウトしていない場合、インストールに問題があるか、ディスクの空き容量が足りないかもしれません。フェイルセーフなセッションからログインし、この問題を解決できるかどうか確認してください。

Red Hat Enterprise Linux 5の場合とRed Hat Enterprise Linux 6の場合の動作差異

OSがRed Hat Enterprise Linux 5の場合とRed Hat Enterprise Linux 6の場合でアクセス制御に以下の動作差異があります。

項目

RHEL5

RHEL6

ファイルアクセス制御の保護対象の指定方法

  • 保護対象の末尾が“/”の場合

    保護対象に指定したディレクトリ配下のファイルまたはディレクトリが保護の対象になります。

  • 保護対象の末尾が“/”でない場合

    保護対象に指定したファイル/ディレクトリが保護の対象になります。

  • 保護対象に“*”を使用した場合

    条件を満たすファイル/ディレクトリが保護の対象になります。

アクセス制御ポリシーにおける保護対象はファイル/ディレクトリに分けて指定する必要があります。

  • 保護対象の末尾が“/”の場合

    • 保護対象に指定したディレクトリが保護の対象になります。

    • 保護対象に指定したディレクトリ配下のファイルまたはディレクトリが保護の対象になります。

  • 保護対象の末尾が“/”でない場合

    保護対象に指定したファイルが保護の対象になります。

  • 保護対象に“*”を指定した場合

    • アクセス制御は有効になりません。

    • “*”を使用した保護対象が設定されたアクセス制御ポリシーが配付された場合、システムログに警告メッセージが出力されます。

アクセス制御ポリシー配付時の保護対象の存在有無による動作

アクセス制御ポリシー配付時に保護対象に指定されたファイル/ディレクトリが存在する/しないにかかわらず、アクセス制御は有効になります。

  • 保護対象の末尾が“/”の場合

    • アクセス制御ポリシー配付時、アクセス制御ポリシーにおいて保護対象に指定したディレクトリが存在する場合のみ、アクセス制御が有効になります。

    • アクセス制御ポリシー配付後、保護対象に指定したディレクトリが作成された場合、作成したディレクトリおよび配下のファイル/ディレクトリに対してアクセス制御は有効になりません。

    • アクセス制御ポリシー配付時にアクセス制御ポリシーにおいて保護対象に指定したディレクトリが存在する場合、配下のファイル/ディレクトリがアクセス制御ポリシー配付後に作成された場合でも、アクセス制御は有効になります。

  • 保護対象の末尾が“/”でない場合

    • アクセス制御ポリシー配付時、アクセス制御ポリシーにおいて保護対象に指定したファイルが存在する場合のみ、アクセス制御が有効になります。

    • アクセス制御ポリシー配付後に作成されたファイルは制御対象にはなりません。

  • 存在しないファイル/ディレクトリが保護対象に指定されたアクセス制御ポリシーが配付された場合、システムログに警告メッセージが出力されます。

【運用方法】

削除・作成が繰り返されるファイル/ディレクトリをアクセス制御したい場合、親ディレクトリを保護対象に指定してください。

サーバアクセス制御の再開方法

  • アクセス制御ポリシーを再度配付します。

  • Systemwalker Centric Managerのサービス起動コマンド(scentricmgr)を実行します。所要時間は数十秒程度かかります。

  • アクセス制御ポリシーを再度配付します。

  • サーバアクセス制御の緊急停止コマンド(swsvaccontrol)にstartオプションを指定して実行します。緊急停止コマンドは時間がかかることがあります。目安としては、優先ルールに設定したユーザ/グループが10個の場合、10～15分程度です。アクセス制御ポリシーの優先ルールに設定したユーザ/グループ数が多い場合、さらに時間がかかります。

アクセス監査ログの出力項目

  • 日付

    ---------------------------------

    YYYY/MM/DD HH:MM:SS.??? +0900

    ---------------------------------

    ???の値はミリ秒を表しています。

  • 操作IPアドレス

    管理対象サーバに対して操作を実行するクライアントのIPアドレスです。

  • 操作場所

    管理対象サーバに対して操作を実行するクライアント/運用管理クライアントのホスト名です。

  • 操作対象

    ファイル変名操作のアクセス制御をポリシーに設定した場合、変名前と変名後のファイルまたはディレクトリ名が出力されます。

  • 日付

    ---------------------------------

    YYYY/MM/DD HH:MM:SS.??? +0900

    ---------------------------------

    ???は、ログ出力の順序を表す値です。000～999の値が出力され、1秒当たり1000個までのログの順序性を保証します。

  • 操作IPアドレス

    ファイルのアクセス制御の場合、常に“_”が出力されます。

  • 操作場所

    ファイルのアクセス制御の場合、常に“_”が出力されます。

  • 操作対象

    ファイル変名操作のアクセス制御をポリシーに設定した場合、変名前のファイルまたはディレクトリ名だけが出力されます。

ファイル/ディレクトリの変名操作

  • mvコマンドなどの変名(移動)操作によって、異なる場所に移動させた場合、変名(移動)前と同じ内容のアクセス制御は行われません。

  • ファイル変名操作のアクセス制御をポリシーに設定した場合、アクセス監査ログに、操作種別“FNB”と“FNA”のログが出力されます。

  • mvコマンドなどの変名(移動)操作によって、異なる場所に移動させた場合、操作対象のファイル/ディレクトリに対して、変名(移動)前と同じ内容のアクセス制御が行われます。このアクセス制御は、次にポリシーが配付されるまで有効です。

  • ファイル変名操作のアクセス制御をポリシーに設定した場合、アクセス監査ログに、操作種別“FNB”のログのみ出力され、操作種別“FNA”のログは出力されません。

su/sudoコマンドによるユーザ権限の変更

su/sudoコマンドを使用して異なるユーザ権限で操作した場合、異なるユーザ権限に対してアクセス制御が行われます。

su/sudoコマンドを使用して異なるユーザ権限で操作した場合でも、ログインしたユーザの権限でアクセス制御が行われます。

注意

【Windows Server 2012以降の場合】

  • Windows Server 2012以降では、プロセス終了のアクセス制御/ログ出力、コンソールログイン/ネットワークログインのアクセス制御は使用できないため、プロセス終了の[許可][拒否][ログ出力のみ]設定およびコンソールログイン/ネットワークログインの[拒否]設定は無効になります。
    このため、アクセス制御ポリシーにおいて、以下の条件のどれかを満たすルールをWindows Server 2012のサーバに配付した場合、イベントログに警告メッセージが出力されます。

    • スタンダードモード

      • 保護対象種別が「コンソールログイン」で、かつ[許可]を選択した場合、[許可]に指定したユーザ以外への[拒否]設定

      • 保護対象種別が「コンソールログイン」で、かつ[拒否]を選択した場合、指定したユーザへの「拒否」設定

      • 保護対象種別が「ネットワークログイン」で、かつ[許可]を選択した場合、[許可]に指定したユーザ以外への[拒否]設定

      • 保護対象種別が「ネットワークログイン」で、かつ[拒否]を選択した場合、指定したユーザへの「拒否」設定

    • カスタムモード

      • 保護対象種別が「プロセス」の「一般ルール」で、かつ[終了]のチェックボックスにチェックが入っている場合

      • 保護対象種別が「プロセス」の「優先ルール」である場合

      • 保護対象種別が「コンソールログイン」の「一般ルール」で、かつ[拒否]を選択している場合

      • 保護対象種別が「コンソールログイン」の「優先ルール」で、かつ[拒否]を選択している場合

      • 保護対象種別が「ネットワークログイン」の「一般ルール」で、かつ[拒否]を選択している場合

      • 保護対象種別が「ネットワークログイン」の「優先ルール」で、かつ[拒否]を選択している場合

    以下が出力されるメッセージです。

    FJSVsvac: WARNING: 01013: サポートされていない保護対象種別を含む[アクセス制御]ポリシーが配付されました。

  • Windows Server 2012以降では、安全なシステム保守支援機能が使用できないため、以下の操作は行えません。

    • [保守作業の承認]画面で、Windows Server 2012のホスト名を指定して[OK]ボタンをクリックして承認番号を発行する

    • Systemwalkerコンソールの[操作]-[サーバアクセス制御]-[保守承認状況の表示/回収]で表示される[サーバの選択]画面で、Windows Server 2012のホスト名を指定して[OK]ボタンをクリックし、保守承認状況を表示する。

【Red Hat Enterprise Linux 6の場合】

  • SELinuxを使用して、ファイルのアクセス制御を行っています。ユーザ定義のSELinuxポリシーと競合する可能性があるため、ユーザ定義のSELinuxポリシーを動作させている場合は停止させてください。また、必要に応じて停止させたSELinuxのポリシーファイルを退避させてください。

  • サーバアクセス制御の使用を停止し、他のユーザ定義のSELinuxポリシーの使用を再開する場合、退避させたポリシーを再度ロードしてください。

  • サーバアクセス制御の機能使用中に、他のユーザ定義のSELinuxポリシーを使用しようとした場合、以下の現象が発生する可能性があります。

    • 他のユーザ定義のSELinuxポリシーのロードが失敗する。

    • 他のユーザ定義のSELinuxポリシーのロード後、どちらかのポリシーの動作が正常に動作しない。

  • OSをRed Hat Enterprise Linux 5からRed Hat Enterprise Linux 6にバージョンアップした場合、Systemwalker Centric Managerの再インストールが必要となるため、他のプラットフォームと同様に、サーバアクセス制御のポリシーの再配付が必要です。また、ファイル以外の保護対象種別のアクセス制御を設定していた場合、それらのアクセス制御は有効になりません。

  • アクセス制御ポリシーを配付した場合、以下のようなメッセージがシステムログに出力されることがありますが、動作には問題ありません。

    kernel: SELinux:  Context system_u:object_r:fjsvsvact_???_????_t:s0 became invalid (unmapped).

    ? : 0～9の数字

  • SELinuxをPermissiveモードで動作させていた場合、拒否のアクセス制御は動作しません。アクセス制御ポリシーにおいてアクセス許可されていないユーザが制御対象のファイル/ディレクトリにアクセスした場合、出力されるアクセス監査ログの[アクセス制御結果]の項目には、“F”が出力されます。

  • ポリシーの配付先ノードがRed Hat Enterprise Linux 6のとき、以下のどちらかの条件を満たした場合、ポリシー配付に失敗することがあります。

    • 初回ポリシー配付の場合、アクセス制御ポリシーの優先ルールに設定したユーザ/グループ数が多い場合

    • 2回目以降のポリシー配付の場合、前回配付したポリシーと比較して、アクセス制御ポリシーの優先ルールに設定したユーザ/グループ数の増減数(重複を除く)が多い場合

前次
Copyright 1995-2013 FUJITSU LIMITED