システム上に存在する各種サーバのセキュリティを強化するためには、ネットワークに設置したファイアウォールなどにより、遠隔地からの操作を防御するのと同時に、実際にサーバの前で行う操作をどのようにして防ぐか、また、発生した問題をどのようにして検知し、今後のサーバ運用に生かすかを検討する必要があります。
一般にセキュリティに対する脅威は常に増大していくことから、セキュリティに対する対策を検討する際は、PDCA(Plan-Do-Check-Act)をどのように効率的に回していくかを念頭に置いた対策を検討してください。
サーバを利用する際の問題点
UNIXサーバでは、一般的な操作のほとんどがOSに標準添付されるシェルからコマンドを入力して行われます。特に、UNIXサーバやOS、およびSystemwalkerを含むミドルウェアのインストールや設定変更などの操作には、システム管理者権限であるrootユーザの特権を利用したコマンド実行が必要不可欠です。
Windowsサーバの場合でも、UNIXサーバと同じように、複数の管理者によりOSだけでなくさまざまなミドルウェアや業務アプリケーションの管理が行われることが一般的です。
このような環境において、OSやミドルウェア、アプリケーションの種類ごとに、それぞれに精通した複数の管理者が存在する場合、それぞれの管理者はみな同じシステム管理者(root/Administrator)のパスワードを知っている必要があります。
このような運用方法は、非常に危険な状態であることを認識しなければなりません。
Systemwalker Centric Managerが提供するソリューション
Systemwalker Centric Managerでは、Windows/Linuxサーバを利用する際の上記の問題を解決するために、サーバアクセス制御機能を提供しています。
Systemwalker Centric Managerでは、Windows/Linux上で行う操作に対して、いつ、誰が、どこから操作を実施し、どういったユーザID(rootなど)を利用したかを正確に記録し、必要に応じて操作を追跡(点検)、抑止する「サーバアクセス制御」機能を提供しています。この機能は、rootなどの管理者権限に対しても有効です。
Windows/Linuxシステムでは、「サーバアクセス制御」機能に含まれる「監査ログ出力」機能、「アクセス制御」機能、および「安全なシステム保守支援」機能により、これまでの運用に大きく手を入れることなく、システムのセキュリティを高めることが可能です。
また、Windowsサーバに対する不正操作を防ぐために、「サーバアクセス制御」機能を利用する以外に、SystemwalkerファミリのSystemwalker Desktop Keeperを提供しています。
Systemwalker Desktop Keeperでは、Windowsのサーバやクライアントの不正操作を禁止し、ファイルの持ち出しを禁止することができます。
Systemwalker Centric Managerでは、Systemwalker Desktop Keeperと連携して、Windowsサーバの操作違反の監視や、操作履歴を監査ログとして収集するための機能を提供しています。
Systemwalker Desktop Keeperとの連携方法については、Systemwalker Centric Manager 技術情報で公開されているマニュアル“Systemwalker Centric Manager 連携ガイド Systemwalker Desktop Keeper編”を参照してください。
OS標準のアクセス制御機能との関係
OSが標準で提供しているアクセス制御機能は、任意アクセス制御機能(Discretionary Access Control、DAC)と呼ばれていますが、サーバアクセス制御で提供している強制アクセス制御機能とDACの関係は、以下のとおりです。
Windows/Linuxの場合
DACでアクセス許可されている資源に対してのみ、サーバアクセス制御の強制アクセス制御が行われます。DACでアクセス拒否と判定された場合、強制アクセス制御のアクセス判定は行われず、監査ログも出力されません。
DACでアクセス許可の場合 | DACでアクセス拒否の場合 | |
|---|---|---|
強制アクセス制御で許可の場合 | アクセス：可 | アクセス：不可 |
強制アクセス制御で拒否の場合 | アクセス：不可 | アクセス：不可 |
サーバアクセス制御を利用する場合の運用
サーバへのアクセスを制御する場合の利用者権限、および運用イメージを説明します。
利用者権限
本機能を利用する際に必要となる利用者権限について説明します。
システム管理者
システムの状態を監視し、問題がある場合は保守内容の決定などの監督をします。保守作業者に作業指示などを行います。セキュリティ管理者が作成したセキュリティポリシーを配付する権限を持ちます。システム管理者は、セキュリティ管理者/セキュリティ監査者が持つ権限を代行します。
セキュリティ管理者
サーバ上で行う保守作業の内容を確認し、許可または拒否を決定します。監査ログ出力、監査ログ管理、サーバアクセス制御機能の設定の変更、システム保守承認を行う権限を持ちます。
セキュリティ監査者
セキュリティ管理者が許可した作業内容と、実際に行われた作業内容を監査ログから確認します。その結果、不要な作業を許可していないか、または許可された作業以外の操作をしていないかを確認します。システム保守承認状況の確認、録画データの再生を行う権限を持ちます。
保守作業者
システム管理者の監督のもと、実際のサーバ上で作業を行います。
一般利用者
Webなどのシステム上で動作するサービスを利用して、間接的にシステム上の情報を参照/操作します。
サーバアクセス制御機能の運用イメージ
サーバのセキュリティを強化し、適正に運用されていることを保証するために、以下のサイクルを繰り返します。これによりセキュリティの対策を見直せます。
注意
Systemwalker Centric Manager V15.1.0以降の場合、以下の機能は使用できません。(注1)
レジストリのアクセス制御、ログ出力
ネットワーク接続のアクセス制御、ログ出力
Red Hat Enterprise Linux 6以降の場合、サーバアクセス制御機能は使用できません。(注2)
Windows Server 2012以降の場合、以下の機能は使用できません。(注2)
プロセス終了のアクセス制御、ログ出力
コンソールログイン/ネットワークログインのアクセス制御
運用管理サーバにおいて、Systemwalker Centric Manager V15.0.1以前のサーバに対するセキュリティポリシーの設定・配付は可能です。
運用管理サーバにおいて、セキュリティポリシーの設定・配付は可能です。
ポリシーの作成
セキュリティ管理者が、サーバアクセス制御のポリシーを作成します。
ただし、設定によってはOSやアプリケーションの動作を阻害することがあるため、実運用への適用時には影響範囲を十分に考慮する必要があります。
このため最初は「試行モード」を使用してください。「試行モード」では、実際にはアクセス制御は行われず、アクセス制御を実際に行った場合の結果がアクセス監査ログに出力されるだけです。
また、不正なアクセスを即座に確認するために「監視画面通知」の設定もできます。「監視画面通知」の設定では、不正なアクセスが発生したときにSystemwalkerコンソールにメッセージを通知できます。
ポリシーの配付
システム管理者(DmAdmin権限を持つユーザ)(注)は、セキュリティ管理者が作成したポリシーの内容を確認し、管理対象サーバにサーバアクセス制御のポリシーを配付します。
運用
管理対象サーバの保守作業者は、サーバアクセス制御機能で許可されている範囲で管理対象サーバを運用します。
→監査ログが出力されます。
監査ログの分析
セキュリティ監査者は、運用管理クライアントで監査ログを分析し、セキュリティ管理者およびシステム管理者の作業を点検します。
改善案の立案
セキュリティ管理者およびセキュリティ監査者は、監査ログの分析結果に基づきサーバアクセス制御の設定を見直します。
見直し内容の決定後、手順1に戻りポリシーを作成してください。
注)
サーバアクセス制御の機能説明で「システム管理者」と記述している場合は、DmAdmin権限を持つユーザを表しています。
安全なシステム保守支援機能の運用イメージ
安全なシステム保守支援機能を使用し、適正に保守されていることを保証するために、以下のサイクルで保守作業を行います。
注意
Systemwalker Centric Manager V15.1.0以降の場合、安全なシステム保守支援機能は使用できません。
運用管理サーバにおいて、Systemwalker Centric Manager V15.0.1以前のサーバに対する安全なシステム保守支援機能の操作は可能です。
事前準備
システム管理者に指示された保守作業者(またはシステム管理者)は、保守作業の作業内容を明確にし、作業手順書を作成します。
保守作業の申請
保守作業者(またはシステム管理者)は、作業手順に記載されている内容を実施するために、セキュリティ管理者に保守作業を申請します。
保守作業の承認
セキュリティ管理者は、保守作業者(またはシステム管理者)が実施する保守作業の内容を確認し、保守作業の開始時間/終了時間などをSystemwalkerコンソールで登録します。
→登録した保守作業について、承認番号が発行されます。
承認番号の通知
セキュリティ管理者は、保守作業者(またはシステム管理者)に承認番号を通知します。
保守作業の実施
保守作業者は、セキュリティ管理者から通知された承認番号を用いて、作業を行うサーバ上で、サーバアクセス制御が提供するシステム保守開始/終了コマンドにより保守作業を行います。
なお、保守作業中の操作内容は、監査ログ、および録画データとしてすべて記録することが可能です。
保守作業の点検
セキュリティ監査者は、アクセス監査ログ、操作の録画データなどを使用し、保守作業を点検します。
