ZJTM Real-Time Auditing for Active Directory with 200+ audit reports & alerts スタートアップガイド 2018 年 6 月 4 改訂 ( 第 8 版 ) COPYRIGHT ZOHO

Transcription

1 ZJTM Real-Time Auditing for Active Directory with 200+ audit reports & alerts スタートアップガイド 2018 年 6 月 4 改訂 ( 第 8 版 )

2 著作権について 本ガイドの著作権は ゾーホージャパン株式会社が所有しています 注意事項 本ガイドの内容は 改良のため 予告なく変更することがあります ゾーホージャパン株式会社は本ガイドに関しての一切の責任を負いかねます 当社はこのガイドを 使用することにより引き起こされた偶発的もしくは間接的な損害についても責任を負いかねます 商標一覧 Oracle と Java は Oracle Corporation 及びその子会社 関連会社の米国及びその他の国における 登録商標です 文中の社名 商品名等は各社の商標または登録商標である場合があります Windows は 米国およびその他の国における米国 Microsoft Corp. の登録商標です ManageEngine は ZOHO Corporation Pvt.Ltd 社の登録商標です なお 本ガイドでは (R) TM 表記を省略しています 1

3 目次 1. はじめに 本ガイドについて 対象読者 本ガイドの見方 ADAudit Plus 製品使用上の注意点 主な機能と特徴概要 ライセンスの種類 標準ライセンス オプション ライセンス インストール システム要件 インストール手順 起動と停止 手動での起動/停止 Windows サービスとしての起動/停止 Web コンソールへのアクセス 各画面の解説 ログイン画面 ホームタブ レポートタブ Active Directory レポートタブ Cloud Directory (オプション機能) ファイル監査タブ オプション機能 サーバー監査タブ オプション機能 アラートタブ 構成タブ 管理タブ 初期設定 ドメインコントローラーの登録 ドメイン認証情報の登録 監査ポリシーの設定 グループポリシーの設定 システム設定 接続先ポート番号変更設定 任意の設定 メールサーバー設定 パーソナライズ設定 ビジネス時間の設定 技術者の登録 イベントのアーカイブ設定 アーカイブイベントのインデックス化 ディスク容量警告設定

4 8-9 除外ユーザーアカウント設定 レポート機能 レポートタブの項目紹介 レポートプロファイルの設定 アラート機能 高度な設定 バックアップとリストア トラブルシューティングとヒント ドメインコントローラーの追加について NTLM 認証によるイベント収集について イベント ID 4769 と 4672 の収集について

5 1. はじめに 1-1 本ガイドについて 本ガイドでは ADAudit Plus のインストール方法から初期設定の内容について説明しています また本ガイドはビルド 5100 を元に作成しています 1-2 対象読者 本ガイドは 導入に関するシステム管理者を対象としています 1-3 本ガイドの見方 本ガイドでは 文字の書体を次のように区別して記載しています 表 1 文字の書体について 字体または記号 AaBbCc123 AaBbCc123 AaBbCc123 [AaBbCc123] 説明 例 ファイル名 ディレクトリ名 画面上の出力を表示し ManageEngine_ADAudit_Plus_x64.exe を管理者権限に ます て実行します ユーザーが入力する文字を 画面上のコンピューター アドレスバーに を入力し 出力と区別して示します ます 変数を示します 実際に使用する特定の名前また インストールしたディレクトリを ADAudit Plus_Home とし 説 は値で置き換えます 明を行います ボタンやメニュー名 強調する単語を示します [ファイル監査]タブ 4

6 1-4 ADAudit Plus 製品使用上の注意点 ADAudit Plus では以下のポートを使用します 利用時にはポートが使用できる状態にしてください 表 2 サーバー使用ポート 通信方向 TCP UDP ポート番号 解説 SMTP ADAP からメールを送信するために ADAP へ設定したメールサーバーまでの疎通 outbound TCP #25 outbound TCP/UDP #53 DNS outbound UDP #67,#68 遠隔フォレストの DHCP を使用している場合は必要 outbound TCP/UDP #88 Kerberos outbound TCP/UDP #135 RPC, ECM, DCOM outbound TCP #49152#65535 RPC outbound TCP/UDP #445 SMB over IP (WMI) outbound TCP/UDP #137 NetBIOS 名前解決 outbound TCP/UDP #389 LDAP outbound TCP #636 LDAPS inbound TCP #8081 inbound TCP #8444 ポート番号変更可能 ADAP がインストールされているサーバー以外から Web コンソール画面にアクセスする場合 Non-SSL ポート番号変更可能 ADAP がインストールされているサーバー以外から Web コンソール画面にアクセスする場合 SSL ポート番号変更可能 5

7 2. 主な機能と特徴概要 2-1 ライセンスの種類 Manage Engine 製品には 通常ライセンス と 年間ライセンス の 2 つのライセンス形態があります 各ライセンス形態の特 徴とメリットは以下の通りです 表 3 通常ライセンスと年間ライセンスの比較 種類 特徴 通常ライセンス メリット 無期限の製品ライセンスに 初年度のみの年間保守サポートサ ービスが含まれている 半永久的にソフトウェアが利用可能 無 製品の納品日から保守サービスが開始され 以後 1 年ごとに 期限の使用許諾 年間保守サポートサービス契約を更新する 年間ライセンス 1 年間利用可能な製品ライセンスで 年間保守サポートサービス が含まれている 1 年ごとに年間ライセンス契約を更新する 毎年使用権を購入する体系で 少額の 費用で利用開始可能 ADAudit Plus は 30 日間無料でフル機能を試用可能な評価版を提供しています またライセンスのご購入がない状態 で 30 日が経過すると 自動的に無料プランに移行します 6

8 評価版から Professional エディションにアップグレードする方法 ADAudit Plus 画面の右上にある[ライセンス]をクリックすると ライセンス情報ページが表示されます 図 1 ライセンス画面 [ライセンス ファイルを指定]の[ファイルを選択]クリックして 購入したライセンスファイルを選択します 3) [アップグレード]をクリックすると ライセンスが適用されます 7

9 2-2 標準ライセンス ADAudit Plus のライセンスは 登録いただくドメインコントローラーの数に基づきます 以下が Professional エディションの標 準機能となっております 表 4 標準ライセンスの役割と機能 標準ライセンスの種類 Active Directory 監査 GPO の設定監査 役割 機能の一部 Active Directory オブジェクトの監査 すべての GPO の変更を監査 アラートの生成と通知 監査レポートの生成と通知 内容変更 フォルダー構成の変更 アクセス権限の変更 最近の GPO 作成 管理レポートのスケジュール化 アラートプロファイルの作成 アラートのメール通知 プロファイルごとに複数の通知先を設定 リアルタイムのアラート作成 変更活動レポートの作成 各コンプライアンス要求に対応した監査 監査情報を基にカテゴリー別にレポート レポートの作成 2-3 オプション ライセンス 加えて必要に応じ 以下のアドオンが購入可能となっております 表 5 購入可能なアドオン一覧 アドオンの種類 ファイルサーバー監査 ワークスステーション監査 メンバーサーバー監査 AzureAD 監査 役割 機能の一部 内容変更 フォルダー構成の変更 アクセス権限の変更 ログオンの成功 失敗レポート ログオン期間 回数レポート プロセス追跡レポート レポートのスケジュール化 アラート通知 関連プロセスの監査 ログオンの成功 失敗レポート ログオン活動の監査 ユーザーの追加 削除 変更 AzureAD 上の活動監査 アプリケーションの追加 削除 変更 ドメインの変更 パスワードポリシーの変更 ファイル/フォルダーのアクセス監査 ログオン/ログオフ監査 ワークステーションの活動監査 ログオン/ログオフ活動の監査 メンバーサーバーの活動監査 8

10 3. インストール 3-1 システム要件 ADAudit Plus は.exe 形式で配布されています また Windows の 64bit に対応しており 以下の推奨システム要件を満た したドメイン内の任意のサーバーへ インストールすることが可能です CPU Pentium 4 プロセッサー 1.5 GHz 以上 メモリー 4GB 以上 ハードディスク 40GB 以上 サポート OS ADAudit Plus は 以下のバージョンの Microsoft Windows OS にインストールすることができます Windows 7/ 8 (8. / 10 Windows Server 2008/ 2008 R2 / 2012 / 2012 R2 / 2016 (64bit) サポートする Web ブラウザ ADAudit Plus は以下の Web ブラウザから閲覧することができます Microsoft Edge Firefox 40 以上 Chrome 45 以上 JavaScript の実行を許可してください サポートするログ管理対象 ADAudit Plus はログ管理対象として以下をサポートしています Active Directory 2008 以上 Windows File Server 2008 以上 NetApp Filer - Data ONTAP 7.2 EMC isilon Windows Failover Cluster with SAN 9

11 3-2 インストール手順 NOTE アンチウイルスソフトやバックアップツールなどをインストールしている場合は ADAudit Plus をインストールしたフォルダーを必 ずスキャン対象またはバックアップ対象から除外してください 除外していない場合 スキャンまたはバックアップによってデー タベースが破損する恐れがあります また リアルタイムスキャンを実施している場合はスキャンが実行される際に ADAudit Plus のパフォーマンスに影響を及ぼす可能性があります ManageEngine_ADAudit_Plus_x64.exe を管理者権限にて実行します [実行]をクリックします 図 2 3) 警告画面 インストール画面が表示されるので[Next]をクリックします 図 3 インストール画面 10

12 4) ライセンス条項を承諾後 [Yes]をクリックします 図 4 5) インストール画面 インストールディレクトリを選択します デフォルトは C: ProgramFiles(x86) ManageEngine ADAudit Plus です 図 5 インストール画面 11

13 6) 7) Web サーバーのポート番号を入力します デフォルトでは 8081 です 図 6 インストール画面 図 7 インストール画面 お客様情報を入力します 任意 12

14 8) ADAudit Plus をインストールするか選択を行います 図 8 9) インストール画面 インストールの完了です [Yes, I want to view readme file][start ADAudit Plus Server]のチェックを必要に応じて選 択後 [Finish]ボタンをクリックします 図 9 インストール画面 各チェックボックスについて [Yes, I want to view readme file] -> リリースノート(英語版)が開きます [Start ADAudit Plus Server] -> 終了後 ADAudit Plus がアプリケーションとして起動します 13

15 4. 起動と停止 4-1 手動での起動/停止 ADAudit Plus をアプリケーションとして起動する場合 ADAudit Plus を開始するには [スタート] [すべてのプログラム] [ADAudit Plus] [Start ADAudit Plus Server]を選択します 図 10 ADAudit Plus の開始方法 ADAudit Plus をアプリケーションとして停止する場合 ADAudit Plus を停止するには [スタート] [すべてのプログラム] [ADAudit Plus] [Stop ADAudit Plus Server]を選択します 図 11 ADAudit Plus の停止方法 14

16 4-2 Windows サービスとしての起動/停止 ADAudit Plus サービスのインストール手順 スタートメニューをクリックします ADAudit Plus の中にある[Install ADAP Service]をクリックして起動します 3) ADAudit Plus がサービスに追加されます 図 12 サービスのインストール画面 NOTE エクスプローラーからサービスを追加する場合 C: ProgramData Microsoft Windows Start Menu Programs ADAudit Plus NT Service フォルダーを開きます [Install ADAP Service]を選択してクリックします 3) ADAudit Plus がサービスに追加されます 15

17 ADAudit Plus サービスの起動手順 Windows サービスとして起動する場合 Windows サービスへ登録すると OS 起動時 停止時に自動的にサービスを起動 停止します 図 13 Windows サービスの開始画面 [スタート] [コントロールパネル] [管理ツール] [サービス]を開き [ManageEngine ADAudit Plus]を選択します そして ボタンをクリックしてサービスを開始してください Windows サービスとして停止する場合 [スタート] [コントロールパネル] [管理ツール] [サービス]を開き [ManageEngine ADAudit Plus]を選択します そして ボタンをクリックしてサービスを停止してください 図 14 Windows サービスの停止画面 16

18 5. Web コンソールへのアクセス JavaScript の実行を許可した状態で Internet Explorer や Mozilla Firefox などの Web ブラウザを起動します アドレスバーに : [port_number]と入力します 3) [host_name]は ADAudit Plus が動作しているマシンのホスト名または IP アドレスを指し [port_number]はインストー ル時に ADAudit Plus の Web サーバーを動作させるポートとして指定した値を指します デフォルトのポート番号は 8081 です SSL を有効化する設定を行った場合は アドレスバーに 4) ユーザー名とパスワードを入力してログインをクリックします デフォルトのユーザー名とパスワードは両方ともに admin です 6. 各画面の解説 6-1 ログイン画面 ADAudit Plus にアクセスした際に表示されるログイン画面です [ログオン先]では ドメインユーザーとしてログインするか ADAudit Plus のローカルユーザーとしてログインするかを選択します ユーザー名とパスワードを入力後[ログイン]をクリックしてくださ い 図 15 ログイン画面 17

19 6-2 ホームタブ ホームタブでは いつ 誰が 何をしたか などの設定の変更活動をダッシュボードで表示しています ダッシュボードには監査 データの要点がスナップショットとして表示され またその項目は変更が可能です そして設定したすべてのドメインの監査データを グラフ表示にて確認でき ダッシュボード上の情報を素早く理解することが可能です 表示する情報はドメインごとにグループ化され 必要/不要な監査アクティビティを選択できます 図 16 ダッシュボード画面 18

20 6-3 レポートタブ Active Directory Windows Active Directory とサーバー環境の監査のためのレポートが多数表示可能です 定義済みの監査レポートは 200 以上あり それらのレポートは営業時間/非営業時間/すべての時間別に自動作成されます 例えばアカウント管理からは どの ユーザーがどのような変更を行ったのかということについての詳細を見ることが可能となっております 図 17 [Active Directory]タブ画面 19

21 6-4 レポートタブ Cloud Directory (オプション機能) ビルド 5100 以降では オンプレミスの Active Directory に加え クラウドの Microsoft Azure AD への監査に対応しました Cloud Directory タブでは Azure AD 上で発生したログオン履歴やリソースに対する変更履歴を追跡することが可能です NOTE ログオンイベントの監査には Micorsoft Azure のエディションである Premuim P1 Premuim P2 のいずれかのライセンスを ご適用いただく必要がございます 図 18 [Cloud Direcotry]タブ画面 20

22 6-5 ファイル監査タブ オプション機能 ファイル監査タブは 共有ファイルに対するファイルの読み取り 書き込み アクセス 変更の追跡などを監査することがで き また[ファイル監査]タブより ファイルやフォルダーの作成や変更などの監査レポートを表示可能です 加えて成功イベント 失 敗イベントともに取得 記録することができます 図 19 [ファイル監査]タブのダッシュボード画面 21

23 6-6 サーバー監査タブ オプション機能 特定のサーバー上における変更情報をレポートし 変更追跡にかかる労力を軽減できます 具体的にはシステムファイルに対 するファイル整合性レポート サーバー監査レポート プリンター監査レポートなどがあり フォルダーのアクセス許可の変更やプリンタ ーの使用率など 細分化された項目から目的の情報を表示する事が可能です 図 20 [サーバー監査]タブ画面 22

24 6-7 アラートタブ ADAudit Plus には簡単に設定できる[アラートの機能]があり 設定変更などのイベント発生時に アラートメールの送信やス クリプトの実行が可能です アラートは設定されたレポートプロファイルに含まれるイベントデータを基にしています 図 21 図 22 アラート画面 アラートプロファイルの作成画面 23

25 6-8 構成タブ ADAudit Plus の[構成]タブでは 設定済みのサーバー レポートプロファイル アラートプロファイルに対して 詳細の確認 編 集や追加を行うことが可能です また[高度な設定]では 1 つあるいは複数の監査アクションを定義する事ができ フィルタールー ルの使用により新しいアクションや既存のアクションの編集を容易にします 図 23 高度な設定画面 24

26 6-9 管理タブ 管理タブは大きく分けて[管理][設定][一般設定]の項目があります 図 24 [管理]タブ画面 [管理]ではドメインの設定 ADAudit Plus へログインするための技術者の登録 レポートのスケジュール設定などを行うことが 可能です [設定]では アラート設定や 製品のデータベースに格納されたデータの最適化を行うことができます [一般設定]ではユーザーアカウントごとに日付や言語設定 システムへの接続設定などが可能です 25

27 7. 初期設定 7-1 ドメインコントローラーの登録 ADAudit Plus はドメインコントローラー メンバーサーバー ファイルサーバーのセキュリティログに記録されているデータを収集し レ ポートの作成を行います オブジェクトに記録されるセキュリティログは オブジェクトに設定された監査ポリシー/拡張監査ポリシー Windows2008 以上で有効 に基づいています 右上の[ドメイン設定]をクリックします [ ドメイン追加]をクリックします 図 25 3) [ドメイン名]を入力し [ドメインコントローラーを自動検出するにはここをクリックします]というリンクをクリックします 図 26 4) ドメインコントローラーの登録画面 ドメインコントローラーの登録画面 該当するドメインコントローラー名を選択後 [追加]をクリックします 図 27 ドメインコントローラーの登録画面 26

28 7-2 ドメイン認証情報の登録 ADAudit Plus がドメインコントローラーから監査データを収集するためには Domain Admin 以上の権限をもつユーザーの認 証情報を登録する必要があります アラートメッセージから登録する場合 ドメインコントローラーを登録時に認証情報を登録しなかった場合 以下のようなアラートが Web クライアント画面に表 示されます アラートメッセージに含まれる ここをクリック のリンクをクリックすると ドメイン認証情報の変更 という画面が表示さ れるので 右上の[認証]のチェックボックスをクリックしてユーザーの情報を入力してください 図 28 認証情報登録のためのアラートメッセージ ドメインの認証情報を修正する場合 修正するドメインの横のチェックボックスにチェックを入れます ドメイン名に触れ 認証情報の修正 をクリックします 3) ドメインの認証情報を修正する という画面が表示されるので 右上の[認証]のチェックボックスをクリックしてユーザー の情報を入力してください 図 29 ドメイン認証情報の登録 27

29 7-3 監査ポリシーの設定 設定したファイルサーバー/メンバーサーバーに対するログオンイベントおよびオブジェクトアクセスの監査を行うため GPO 経由 での監査ポリシーの有効化を行う必要があります 有効化を行うためには [ドメイン設定]画面にある[設定する]ボタンをクリックしてください 図 30 監査ポリシーの設定 エラーメッセージが表示された場合の解決策 以下のエラーメッセージが表示された場合 下記の手順に沿って設定を行ってください 図 31 監査ポリシー設定の際のエラーメッセージ ADAudit Plus のサービスを追加していない場合 ADAudit Plus を停止します コマンドプロンプトを開きます 3) [ADAudit Plus インストールディレクトリ] ADAudit Plus bin へ移動します 4) "InstallNTService.bat"を実行します サービスを追加している場合はここから開始してください 5) services.msc を開いて [ManageEngine ADAudit Plus]を右クリック > プロパティを選択します 6) [ログオン]タブへ移動し [アカウント]を選択して認証情報を入力します Domain Admins 以上の権限を持つアカウント情報を入力してください 7) ADAudit Plus を起動します 28

30 7-4 グループポリシーの設定 グループポリシーの設定を行うためには GPMC (グループ ポリシー管理コンソール) がインストールされている必要がありま す GPMC のインストール手順 コマンドプロンプトで mmc と入力し コンソールを起動します ファイル スナップインの追加と削除 で グループポリシーの管理 スナップインを追加します 図 32 GPMC のインストール画面 29

31 監査ポリシーの設定手順 管理者権限を持ったアカウントで管理対象の Windows ドメインコントローラーへログオンします GPMC を開きます 3) [Default Domain Controller Policy]を右クリックして [編集]を選択します 4) [グループ ポリシー管理エディタ]が開きます 図 33 5) 監査ポリシーの設定画面 [コンピューターの構成] [ポリシー] [Windows の設定] [セキュリティの設定] [ローカル ポリシー] [監査ポリ シー] [オブジェクト アクセスの監査のプロパティ] の順番にアクセスします 6) [これらのポリシーの設定を定義する]にチェック後 [成功] および[失敗]にチェックします 30

32 図 34 監査ポリシーの設定画面 同様の手順で以下の監査ポリシーが有効になっていることを確認してください 表 6 監査ポリシーの設定項目 監査ポリシー ([コンピューターの構成] [ポリシー] [Windows の設定] [セキュリティの設定] ローカルポリシー]) 監査ポリシー アカウントログオンイベントの監査 成功 失敗 アカウント管理の監査 成功 失敗 システムイベントの監査 成功 失敗 ディレクトリサービスのアクセスの監査 成功 プロセス追跡の監査 成功 ポリシーの変更の監査 成功 失敗 ログオンイベントの監査 成功 失敗 31

33 監査ポリシーの詳細な構成の設定手順 自動で設定する場合 ADAudit Plus をインストール後 以下のようなアラートが Web クライアント画面に表示されます アラートメッセージに含まれる ここをクリック のリンクをクリックすると ドメインコントローラーへ必要な監査ポリシーの設 定が自動的に実行されます *リモートドメインへの監査ポリシーの自動設定はサポートしていないため 手動設定が必要です 手動で設定する場合 管理者権限を持ったアカウントでドメインコントローラーへログオンします [GPMC グループ ポリシー管理コンソール ]を開きます 3) [ドメインコントローラー]を右クリック [Default Domain Controller Policy]を選択します 4) [Default Domain Controller Policy]を右クリック [編集]を選択します 5) [コンピューターの構成] [ポリシー] [Windows の設定] [セキュリティの設定] [監査ポリシーの詳細な構成] [ア カウントログオン]を選択します 6) [その他のアカウントログオンイベントの監査]の[成功]と[失敗]を設定します 図 35 ドメインコントローラーの監査設定画面 同様の手順で以下の監査ポリシーを有効にしてください 32

34 表 7 監査ポリシーの詳細な項目の設定項目 監査ポリシーの詳細な構成 ([コンピューターの構成] [ポリシー] [Windows の設定] [セキュリティの設定]) アカウントログイン アカウントの管理 詳細追跡 DS アクセス ログオン/ログオフ オブジェクトアクセス ポリシーの変更 システム Kerberos 認証サービスの監査 成功 失敗 その他のアカウントログオンイベントの監査 成功 失敗 コンピューターアカウントの管理の監査 成功 配布グループの管理の監査 成功 セキュリティグループの管理の監査 成功 ユーザーアカウントの管理の監査 成功 失敗 PNP アクティビティの監査 成功および失敗 プロセス作成の監査 成功 プロセス終了の監査 成功 ディレクトリサービスの変更の監査 成功 ディレクトリサービス アクセスの監査 成功 ログオフの監査 成功 失敗 ログオンの監査 成功 失敗 ネットワークポリシーサーバーの監査 成功 失敗 その他のログオン/ログオフイベントの監査 成功 特殊なログオンの監査 成功 失敗 生成されたアプリケーションの監査 成功 失敗 証明書サービスの監査 成功 失敗 その他のオブジェクト アクセス イベントの監査 成功 監査ポリシーの変更の監査 成功 認証ポリシーの変更の監査 成功 セキュリティ状態の変更の監査 成功 セキュリティ システムの拡張の監査 成功 システムの整合性の監査 成功 失敗 33

35 8. システム設定 8-1 接続先ポート番号変更設定 任意の設定 ADAudit Plus の Web サーバーポートは デフォルトで 8081 ですが ご利用の環境により設定の変更が可能です 本手順は 任意の設定項目になります 変更を行う場合は以下の手順を実施してください 接続設定の変更手順 [管理タブ] [接続]をクリックします ポート番号を入力します 3) SSL ポート HTTPS を有効にする場合はチェックを入れ SSL 接続で使用するポート番号を入力し セッション有効 期限を分単位で入力します 4) [変更を保存]をクリックします 図 36 接続設定画面 34

36 8-2 メールサーバー設定 メールサーバー設定オプションより アラートメール通知の送信設定を行います メールサーバーの設定手順 [メールサーバー] をクリックします [管理]タブ [メールサーバー]及び[メールポート番号]に SMTP サーバーの情報を入力します 3) メールサーバーで認証を必要とする場合には [認証]にチェックを入れ メールサーバーの[ユーザー名]と[パスワード]を入 力します 4) [差出人アドレス]には 受け取るメールの差出人となるメールアドレスを入力します 5) [変更を保存]をクリックします 図 37 メールサーバー設定画面 35

37 8-3 パーソナライズ設定 パーソナライズ設定では 日付や言語設定 パスワード変更など機能を設定することが可能です パスワードの変更手順 [管理] [パーソナライズ]をクリックします 古いパスワードに現在のパスワードを入力します 3) 新しいパスワードに新しく設定するパスワードを入力します 4) パスワード確認に新しく設定するパスワードを再度入力します 5) [変更を保存]をクリックします 図 38 パスワード変更画面 日付と時刻のフォーマットの設定手順 [日付と時刻のフォーマット]から 日時の表示方法を変更できます 図 39 日付と時刻のフォーマット画面 36

38 表示言語の設定手順 [ロケール設定]にあるプルダウンメニューから言語を設定します 図 40 表示言語の設定画面 [変更を保存]をクリックします タイムゾーンの設定手順 [タイムゾーン]にあるプルダウンメニューからタイムゾーンを設定します 図 41 タイムゾーンの設定画面 [変更を保存]をクリックします 37

39 8-4 ビジネス時間の設定 [ビジネス時間]機能により ビジネス時間/曜日に絞ったレポート出力が可能になります ビジネス時間の設定手順 [管理]タブをクリックします [管理]カテゴリー内の[ビジネス時間]リンクをクリックします 3) [ビジネス時間の設定]にチェックを入れます 4) ドロップダウンより ビジネス[開始時刻]と[終了時刻]を選択します 5) 次に プルダウンメニューから 曜日を選択します 6) [保存]をクリックします 図 42 ビジネス時間の設定方法 38

40 8-5 技術者の登録 技術者の登録を行うと Active Directory の認証情報で ADAudit Plus へログインし レポートを閲覧することが可能となり ます 技術者の登録手順 管理者ユーザーとして ADAudit Plus にログインします [管理]タブ [技術者] をクリックします 3) [技術者の追加] リンクをクリックします 4) ドメインを選択します 5) ユーザーを選択します 6) 選択したユーザーの役割を選択します 7) [保存]をクリックします 8) 選択したユーザーに 役割が委任されます 図 43 技術者の登録画面 39

41 権限の設定手順 管理者ユーザーとして ADAudit Plus にログインします [管理]タブ [技術者] をクリックします 3) [権限の参照]をクリックします 4) [+権限設定]をクリックします 5) 権限名と説明を入力します 6) 閲覧可能な範囲を指定します 7) 保存をクリックします 図 44 権限の設定画面 40

42 8-6 イベントのアーカイブ設定 ADAudit Plus は データベース内にある解析済みのイベントデータを カテゴリーごとにそれぞれアーカイブすることができます また イベントデータを消すまでの期間 日数 は カテゴリーごとに異なる値で指定できます アーカイブの有効化手順 [管理]タブ [イベントのアーカイブ]をクリックします アーカイブを有効化する[カテゴリー]にチェックを入れます 3) [アーカイブ間隔]を日数で指定します 4) [アーカイブ済みファイル]の場所を指定します 5) [保存]クリックします 図 45 イベントのアーカイブ設定画面 41

43 8-7 アーカイブイベントのインデックス化 アーカイブ済みイベントに対してインデックス化を行うことにより アーカイブファイルをアンロードすることなく 表示 検索を行うこ とが可能です 各ログカテゴリに対して最大 50 ファイルのインデックス化を実行できますが アーカイブファイル毎に 40MB から 70MB の容量が必要です アーカイブイベントのインデックス化手順 [管理]タブ [アーカイブ済みイベントの検索]をクリックします インデックス化を行うアーカイブファイルの左隣にあるアイコン をクリックします 3) アーカイブファイルの状態が上部に表示されます アーカイブファイル アーカイブファイルの総数 ファイルのインデックス化 インデックス化されているファイルの総数 ファイルのインデックス化の解除 インデックス化されていないファイルの総数 進行中のインデックス化/インデックス化の解除 現在インデックス化/インデックス化の解除を行っているアーカイブファイルの 総数 4) 各アーカイブファイルのインデックス化の有無は[インデックスのステータス]から確認できます 5) インデックス化を実行後 左のレポート項目より表示 検索を行います 6) インデックス化を解除する場合は アーカイブファイルの左隣にあるアイコン 図 46 をクリックします アーカイブファイルのインデックス化画面 42

44 8-8 ディスク容量警告設定 管理者は ディスクの空き容量のしきい値を設定することが可能です サーバー上のディスクの空き容量がしきい値を下回る と アプリケーション上の右上部にアラートが表示されます 加えて ユーザーがアプリケーションにログインした際にも以下の情報が表示されます 空きディスク容量は MB です しきい値の MB を下回っています 再計算はしきい値のリンクをクリックすることで可能 ディスク容量警告の設定手順 ADAudit Plus に管理者としてログインします [管理]タブをクリックします 3) [管理]カテゴリーの[ディスク容量警告]をクリックします 4) チェックを入れ アラート通知するディスク空き容量の下限 に しきい値を入力します 5) [保存]をクリックします 図 47 ディスク容量警告画面 43

45 8-9 除外ユーザーアカウント設定 除外されたアカウントはログオン監査データに収集されず ログオンレポートやアラートなどに表示されなくなります 除外ユーザーの設定手順 [管理]タブをクリックします [除外ユーザーアカウント]をクリックします 3) ドメインを選択 [除外ユーザーアカウント]のボックスの中に 除外されているユーザーアカウントが一覧で表示されます 4) 5) 追加をクリック後 [除外ユーザーアカウント]から除外するユーザーを選択し[閉じる]をクリックします [保存]をクリックします 図 48 除外ユーザーアカウント設定画面 44

46 9. レポート機能 9-1 レポートタブの項目紹介 [レポート]タブの各項目からどのような情報を表示できるのかといった詳細な情報を 以下で紹介していきます 表 9 レポートタブの項目一覧 Windows サーバー環境での各ユーザーのログオン活動を監査しています 表示レポ ユーザーログオン レポート ートはログオン失敗情報 ユーザーによるログオン失敗 ドメインコントローラー/IP ア ドレスによるログオン失敗 メンバーサーバーのログオン活動 ユーザーの最終ログオ ンなど 特定のドメインに対するアクションに基づき表示されます Active Directory 認証に失敗したアカウントを時系列で表示 以下の何れかが原因で認証失敗になります 1 ログオン失敗 不正なユーザー名/パスワード 無効化/期限切れ/ロックアウトされたアカウント ワークステーション/ログオン時間の制限 パスワードの有効期限切れ ワークステーションの時刻がドメイン コントローラーの時刻と同期していない 新規コンピューター アカウントのレプリケーションの遅延 管理者がアカウントのパスワードをリセットする必要があります Active Directory 認証に失敗したアカウントをアカウント毎に件数を表示していま 2 ログオン失敗 ユーザー別 3 無効なパスワードによる失敗 Active Directory 認証でパスワードが無効による失敗を表示しています 4 初回/最新ログオン活動 コンピューターへのユーザーの初回ログオン 最新ログオン情報を表示しています 5 無効なユーザー名による失敗 Active Directory 認証でユーザー名が無効による失敗を表示しています 6 ログオン活動 ドメインコントローラー別 ドメインコントローラー別に認証情報を表示しています 7 ログオン活動 IP アドレス別 クライアントの送信元 IP アドレス毎に認証情報を表示しています 8 ドメインコントローラー ログオン活動 ドメインコントローラーへのログオン状況を表示しています 9 メンバーサーバー ログオン活動 10 ワークステーション ログオン活動 11 ログオン活動 ユーザー別 12 最近のユーザーログオン活動 13 ワークステーションの最終ログオン 14 ユーザーの最終ログオン 各ユーザーが最後にログオンした時刻を表示しています 15 複数のコンピューターにログオンしたユーザー 複数の送信元 IP からのログオンしたアカウントを表示しています す メンバーサーバーへのログオン状況を表示しています メンバーサーバーオプションライセンスが必要です ワークステーションへのログオン状況を表示しています ワークステーションオプションライセンスが必要です 単一または複数ユーザーを指定しログオン状況を表示しています 成功 失敗ともに Active Directory 認証を行ったユーザーログオン状況を表示し ています ワークステーションへ最後にログオンしたアカウントを表示しています ワークステーションオプションライセンスが必要です ユーザーのログオンまたはログオフに関するレポートを提供します ユーザーのログオ ローカルログオン/ログオフ ン時間 ログオンからログオフまでの経過時間 や ターミナル サービス経由を含 むログオン/ログオフの履歴情報も提供します ドメイン コントローラー メンバー サーバーにおけるローカル マシンへのログオン/ログオフ情報を対象にしています 1 ログオン中のユーザー 現在ログオンしているユーザーを表示しています 45

47 2 ログオン期間 ログオンした時間からログオフした時間までの ログオン期間を表示しています 3 ローカルのログオン失敗 ローカルコンピューターのログオン失敗履歴を表示しています 4 ログオン活動 ログオン履歴を表示しています 5 ターミナルサービス活動 ターミナルサービス ( リモートデスクトップなど ) を経由したユーザーの活動を表示しています 6 ユーザーログオン期間 指定したユーザーのログオン情報を表示しています 7 インタラクティブログオンの失敗 インタラクティブログオン ( コンソール利用によるログオンを失敗したログオン情報を表示しています 8 終了したユーザーセッション リモートデスクトップのユーザーセッション終了に対する情報を表示しています 9 RADIUS ログオン失敗 (NPS) VPN からローカルコンピューターにログオンする際に 失敗したユーザーの情報を表示しています 10 RADIUS ログオン履歴 (NPS) VPN からローカルコンピューターにログオンしたユーザーの情報を表示しています 11 リモートデスクトップゲートウェイ ターミナルサービスゲートウェイサーバーに対するアクセス活動を表示しています 12 ユーザーの活動休止時間 セッションの開始時間から終了時間までの 期間を表示しています 14 コンピューターの起動とシャットダウン ローカルコンピューターの起動とシャットダウン活動を表示しています 15 コンピューターの最終開始時間とシャットダウン時間 ローカルコンピューターの最終ログオン時間とシャットダウン時間を表示しています 16 シャットダウンしていないコンピューター シャットダウンしていないローカルコンピューターを表示しています 17 ユーザーアテンダンス ユーザーアテンダンスを表示しています 18 最近検出されたリプライ攻撃 検出されたリプライ攻撃の履歴を表示しています 19 新しいログオンに割り当てられた特殊グループ 新しいログオンに割り当てられた特殊グループを表示しています ADFS 監査 Active Directory フェデレーションサービス機能を持つサーバーに対するログオン活動の監査情報を提供するレポートです 1 ローカルログオン成功 Active Directory フェデレーションサービス機能を持つサーバーのログオン成功履歴を表示しています 2 ログオン失敗 Active Directory フェデレーションサービス機能を持つサーバーのログオン失敗履歴を表示しています 3 エクストラネットロックアウト エクストラネットのロックアウトを表示しています ユーザー コンピューター グループ 組織単位 (OU) GPO に対して管理ユーザー アカウント管理 が行った管理操作の監査情報を提供するレポートです すべての管理アクション をまとめたレポートを表示します 1 すべての AD 変更 全ての AD 内の変更を表示しています 2 すべての AD 変更 ( ユーザー別 ) ユーザーごとの AD 内の変更を表示しています 3 すべての AD 変更 ( ドメインコントローラー別 ) ドメインコントローラーごとの AD 内の変更を表示しています 4 ユーザー管理 ユーザーの変更に対するレポートを表示しています 5 グループ管理 グループの変更に対するレポートを表示しています 6 コンピューター管理 コンピューターの変更に対するレポートを表示しています 7 組織単位 (OU) の管理 組織単位 (OU) の変更に対するレポートを表示しています 8 GPO 管理 GPO の変更に対するレポートを表示しています 9 管理ユーザーアクション 管理ユーザーの活動履歴を表示しています ユーザー管理 ユーザーに対して管理ユーザーが行った管理操作の監査情報を提供するレポート です 46

48 1 最近のユーザー作成 最近作成されたユーザーを表示しています 2 最近のユーザー削除 最近削除されたユーザーを表示しています 3 最近のユーザー有効化 最近有効化されたユーザーを表示しています 4 最近のユーザー無効化 最近無効化されたユーザーを表示しています 5 最近のユーザー移動 最近移動されたユーザーを表示しています 6 最近のユーザーロックアウト 最近ロックアウトされたユーザーを表示しています 7 最近のユーザーアンロック 最近アンロックされたユーザーを表示しています 8 頻繁にロックアウトされたユーザー このレポートは選択した期間内で 頻繁にロックアウトされたユーザーの情報を表示します ユーザー名 カウント数などの監査情報が監査されています 9 頻繁にアンロックされたユーザー このレポートは選択した期間内で 頻繁にアンロックされたユーザーの情報を表示します ユーザー名 カウント数などの監査情報が監査されています 10 最近のユーザーのパスワード変更 最近パスワードを変更したユーザーを表示しています 11 最近のユーザーパスワード設定 最近パスワードを設定したユーザーを表示しています 12 パスワード変更 ( ユーザー別 ) パスワード変更履歴をユーザーごとに表示しています 13 パスワードリセット ( ユーザー別 ) パスワードリセット履歴をユーザーごとに表示しています 14 パスワードが無期限のユーザー パスワードが無制限のユーザーを表示しています 15 最近のユーザー変更 最近のユーザーによる変更を属性ごとに表示しています 16 拡張属性の変更 選択期間内において ユーザーによる拡張属性の変更に伴う 許可の変更と値の修正に対するレポートを表示します ユーザー名 修正時間 修正属性 新しい値 古い値やドメインコントローラー名などが表示されます 17 ユーザー属性の新しい / 古い値 ユーザーにより変更された属性の 変更前と変更後の値といった詳細を表示しています 18 ユーザーの最終変更 各ユーザーによる最終的な変更を表示しています 19 アカウントロックアウトアナライザ アカウントロックアウトに関する監査の詳細情報を表示します ユーザー ロックアウト時間 詳細分析やログオン履歴などが表示されます 20 ユーザーサービス 全てのサービスに対して ユーザーの認証情報使用による特定コンピューターの起動を監査し レポートを表示します 21 最近復元されたユーザー 最近復元されたユーザーを表示しています 22 最近追加された SID 最近追加された SID 履歴を表示しています 23 最近追加に失敗した SID 最近追加に失敗した SID 履歴を表示しています 24 最近設定された DSRAM Admin パスワード 最近設定された DSRAM Admin のパスワードを表示しています 22 ユーザーオブジェクト履歴 AD ユーザーのオブジェクトに対する履歴を表示しています グループ管理 Windows サーバー環境内での全てのグループ管理アクションを監査します 1 最近のセキュリティグループ作成 最近作成されたすべてのセキュリティグループの監査情報を表示しています 2 最近の配布グループ作成 最近作成されたすべての配布グループの監査情報を表示しています 3 最近のセキュリティグループ削除 最近削除されたすべてのセキュリティグループの監査情報を表示しています 4 最近の配布グループ削除 最近削除されたすべての配布グループの監査情報を表示しています 5 最近のグループ移動 最近移動されたすべての配布グループの監査情報を表示しています 6 最近のグループ変更 選択された期間におけるすべてのグループに対する変更の監査情報を表示してい ます 本レポートは ドメイン内のすべてのグループに対して あらゆるユーザーオブ ジェクト ( メンバー ) の追加 / 削除も記録する単一ソースとなります 47

49 7 最近のセキュリティグループへのメンバー追加 セキュリティグループに最近追加されたメンバーのレポートを表示しています 8 最近の配布グループへのメンバー追加 配布グループに最近追加されたすべてのメンバーの監査情報を表示しています 9 最近のセキュリティグループからのメンバー削除 セキュリティグループから最近削除されたすべてのメンバーの監査情報を表示しています 10 最近の配布グループからのメンバー削除 配布グループから最近削除されたすべてのメンバーの監査情報を表示しています 11 拡張属性の変更 選択期間内において グループによる拡張属性の変更に伴う 許可の変更と値の修正に対するレポートを表示します グループ名 修正時間 修正属性 新しい値 古い値やドメインコントローラー名などが表示されます 12 グループ属性の新しい / 古い値 グループにより変更された属性の 変更前と変更後の値といった詳細を表示しています 13 最近復元されたグループ 最近復元されたグループを表示しています 14 グループオブジェクト履歴 Active Directory グループオブジェクトの履歴を表示しています 選択したグループオブジェクトを変更した発信者ユーザー名 変更時刻などが表示可能です コンピューター管理 すべてのコンピューター管理アクションに対する監査情報をレポートしています 1 最近のコンピューター作成 最近削除されたすべてのコンピューターの監査情報を提供します コンピューター削除者の情報 ( 発信者ユーザ名 ) 削除されたコンピューターの名称などを表示できます 2 最近のコンピューター削除 最近削除されたすべてのコンピューターの監査情報を表示します 3 最近のコンピューター変更 最近変更されたすべてのコンピューターの監査情報を表示します 4 最近のコンピューター有効化 最近有効化されたすべてのコンピューターの監査情報を表示します 5 最近のコンピューター無効化 最近無効化されたすべてのコンピューターの監査情報を表示します 6 最近のコンピューター移動 最近移動されたすべてのコンピューターの監査情報を表示します 7 拡張属性の変更 選択期間内において アカウントによる拡張属性の変更に伴う 許可の変更と値の修正に対するレポートを表示します アカウント名 修正時間 修正属性 新しい値 古い値やドメインコントローラー名などが表示されます 8 コンピューター属性の新しい / 古い値 アカウントにより変更された属性の 変更前と変更後の値といった詳細を表示しています 9 最近復元されたコンピューター 最近復元されたコンピューターを表示しています 10 コンピューターオブジェクト履歴 ドメイン上の指定されたコンピューター上の監査情報をレポートします 組織単位 (OU) の管理 1 最近の組織単位 (OU) 作成 2 最近の組織単位 (OU) 削除 3 最近の組織単位 (OU) 移動 4 最近の組織単位 (OU) 変更 本レポートはすべての組織単位 (OU) における変更の監査情報を表示します指定期間内に作成された組織単位 (OU) のレポートです 組織単位 (OU) の作成者 作成日時 作成元の IP アドレスなどの情報がレポートに表示されます指定期間内に削除された組織単位 (OU) のレポートです 組織単位 (OU) の削除者 削除日時 削除元の IP アドレスなどの情報がレポートに表示されます指定期間内に変更された組織単位 (OU) のレポートです 組織単位 (OU) の変更者 変更日時 変更元の IP アドレスなどの情報がレポートに表示されます選択期間内において 組織単位 (OU) による拡張属性の変更に伴う 許可の変更と値の修正に対するレポートを表示します 組織単位 (OU) 名 修正時間 修正属性 新しい値 古い値やドメインコントローラー名などが表示されます 48

50 5 拡張属性の変更 組織単位 (OU) により変更された属性の 変更前と変更後の値といった詳細を表示しています 6 最近復元された組織単位 (OU) 最近復元された組織単位 (OU) を表示しています 7 組織単位 (OU) の履歴 選択した組織単位 (OU) における変更の履歴をレポートにして表示します 単数あるいは複数の組織単位 (OU) を対象に 単一画面にレポートをまとめます GPO 管理 全ての GPO に対する 変更の監査情報を提供します 1 最近の GPO 作成 指定期間内に作成された GPO のレポートです GPO の作成者 作成日時 作成元の IP アドレスなどの情報がレポートに表示されます 2 最近の GPO 削除 指定期間内に削除された GPO のレポートです GPO の削除者 削除日時 削除元の IP アドレスなどの情報がレポートに表示されます 3 最近の GPO 変更 指定期間内に変更された GPO のレポートです GPO の変更者 変更日時 変更元の IP アドレスなどの情報がレポートに表示されます 4 GPO リンクの変更 ドメイン内の OU にリンクされた GPO のリストが表示されます 5 最近復元された GPO 最近復元された GPO を表示しています 6 GPO 履歴 高度な GPO レポート 指定した GPO におけるすべての変更の詳細情報をレポートします 単数あるい は複数の GPO を対象に 単一画面にレポートをまとめます GPO に対する より高度な変更の監査情報を提供します 1 グループポリシー設定の変更 グループポリシー設定を変更した GPO の名前ごとにレポートを表示しています 2 コンピューター設定の変更 コンピューター設定を変更した GPO の名前ごとにレポートを表示しています 3 ユーザー設定の変更 ユーザー設定を変更した GPO の名前ごとにレポートを表示しています 4 パスワードポリシーの変更 パスワードポリシー設定を変更した GPO の名前ごとにレポートを表示しています 5 アカウントロックアウトポリシーの変更 アカウントロックアウトポリシー設定を変更した GPO の名前ごとにレポートを表示しています 6 セキュリティ設定の変更 セキュリティ設定を変更した GPO の名前ごとにレポートを表示しています 7 管理テンプレートの変更 管理テンプレートを変更した GPO の名前ごとにレポートを表示しています 8 ユーザーアクセス許可割り当ての変更 ユーザーアクセス許可の割り当てを変更した GPO の名前ごとにレポートを表示しています 9 Windows 設定の変更 Windows 設定を変更した GPO の名前ごとにレポートを表示しています 10 グループポリシーアクセス許可の変更 グループポリシーアクセス許可を変更した GPO の名前ごとにレポートを表示しています 11 グループポリシープレファレンスの変更 グループポリシープレファレンスを変更した GPO の名前ごとにレポートを表示しています 12 グループポリシー設定の履歴 グループポリシー設定を変更した GPO の名前ごとにレポートを表示しています 13 拡張属性の変更 拡張属性を変更した GPO の名前ごとにレポートを表示しています その他の AD オブジェクトの変更 上記以外の AD オブジェクトへの変更を提供します 1 パスワード設定オブジェクトの変更 パスワード設定オブジェクト (PSO) への変更を表示しています 2 最近作成されたコンテナ 最近作成されたコンテナを表示しています 3 最近削除されたコンテナ 最近削除されたコンテナを表示しています 4 最近変更されたコンテナ 最近変更されたコンテナを表示しています 5 最近アクセス許可が変更されたコンテナ コンテナへのアクセス許可の変更を表示しています 6 最近作成された連絡先 最近作成された連絡先を表示しています 7 最近削除された連絡先 最近削除された連絡先を表示しています 49

51 8 最近変更された連絡先最近変更された連絡先を表示しています 9 最近復元された他の AD オブジェクト最近復元された他の AD オブジェクトを表示しています アクセス許可の変更 アクセス許可への変更情報を提供します 1 ドメインレベルアクセス許可の変更 ドメインレベルでのアクセス許可の変更を表示しています 2 組織単位 (OU) アクセス許可の変更 組織単位 (OU) でのアクセス許可の変更を表示しています 3 コンテナアクセス許可の変更 コンテナへのアクセス許可の変更を表示しています 4 GPO アクセス許可の変更 GPO へのアクセス許可の変更を表示しています 5 ユーザーアクセス許可の変更 ユーザーへのアクセス許可の変更を表示 6 グループアクセス許可の変更 グループへのアクセス許可の変更を表示 7 コンピューターアクセス許可の変更 コンピューターへのアクセス許可の変更を表示しています 8 変更されたスキーマアクセス許可 スキーマへのアクセス許可の変更を表示しています 9 設定アクセス許可の変更 設定へのアクセス許可の変更を表示しています 10 DNS アクセス許可の変更 DNS へのアクセス許可の変化を表示しています 設定監査 設定への監査情報を提供します 1 スキーマ変更 スキーマ ( データベース構造 ) の変更を表示しています 2 スキーマアクセス許可の変更 スキーマへのアクセス許可の変更を表示しています 3 設定アクセス許可の変更 設定されているアクセス許可への変更を表示しています 4 設定の変更 設定への変更を表示しています 5 サイトの変更 サイトへの変更を表示しています 6 FSMO 役割の変更 FSMO の役割変更を表示しています DNS の変更 DNS への変更情報を提供します 1 DNS ノードの追加 DNS ノードへの追加を表示しています 2 DNS ノードの削除 DNS ノードへの削除を表示しています 3 DNS ノードの変更 DNS ノードへの変更を表示しています 4 DNS ゾーンの追加 DNS ゾーンへの追加を表示しています 5 DNS ゾーンの削除 DNS ゾーンの削除を表示しています 6 DNS ゾーンの変更 DNS ゾーンへの変更を表示しています 7 DNS アクセス許可の変更 DNS へのアクセス許可の変更を表示しています LAPS 監査 LAPS でのパスワード変更に対する監査情報を提供します 1 LAPS パスワードの読み取り LAPS によるパスワードの変更を表示しています 2 LAPS パスワード有効期限の変更 LAPS によるパスワードの有効期限の変更を表示しています ドメインオブジェクト変更 ドメインオブジェクトへの変更情報を提供します 1 ドメインポリシーの変更ドメインポリシーへの変更を表示しています 2 ドメイン DNS オブジェクトの変更ドメイン DNS オブジェクトへの変更を表示しています 3 ドメインレベルアクセス許可の変更ドメインレベルへのアクセス許可の変更を表示しています 50

52 9-2 レポートプロファイルの設定 レポートプロファイルとは イベントデータをフィルターして表示できる機能です イベントデータは Active Directory のユーザー コンピューター グループなどほぼ全てのオブジェクトを対象としており ユーザーの知りたいオブジェクトの情報だけを収集 表示でき ます レポートプロファイルの設定手順 [構成]タブを選択します 右上の[新規レポートプロファイル]をクリックします 3) [レポートプロファイル名]を入力します 4) レポートプロファイルの[説明]を入力します 5) ドロップダウンより カテゴリーを選択します 6) [アクション]を選択します 図 49 カテゴリー[アカウントログオン]のアクション 7) 8) 9) ドロップダウンから ドメインを選択します をクリックし ユーザー/コンピューター/グループから対象のオブジェクトを選択し [OK]をクリックします [保存]をクリックします 10) 新しいレポートプロファイルが作成されました 作成されたレポートプロファイルは レポートタブに表示されます 51

53 10. アラート機能 Active Directory のアラート機能を使用することで Active Directory 上の変更をリアルタイムに監査することが可能です アラートは 設定されたレポートプロファイルに含まれるイベントデータを基にしています アラート設定手順 [構成]タブ 左側の [アラートプロファイル] カテゴリーの中から[アラートプロファイルを作成] をクリックします アラートプロファイルの作成画面が表示されます 3) アラートプロファイルの[名前]を入力します 4) アラートプロファイルの[説明]を入力します 5) アラートプロファイルの[重要度]を選択します 6) 重要度はアラートの重大性を示すもので [注意] [障害] [重要]から選択可能です 7) 関連付けるレポートプロファイルを選択します プラスアイコンをクリックし レポートプロファイルの一覧を表示します ドロップダウンより [ドメイン]を選択します ドロップダウンより [カテゴリー]を選択します ひとつ あるいは複数のレポートプロファイルを選択します [OK]をクリックします 8) アラートメッセージの追加には アラートメッセージボックスの右側にある[追加]リンクをクリックします 9) アラートメッセージは一般的なアラートメッセージのほか カスタマイズアラートメッセージを設定することが可能です [OK]をクリックします 10) メールによるアラート通知を行う場合は [メール通知]チェックボックスにチェックを入れ [件名]と[宛先]を入力します 1 [保存]をクリックします 1 アラートプロファイルが作成されます 図 50 アラートプロファイル画面 52

54 11 高度な設定 高度な設定では 複数の監査アクションを定義でき ユーザーはフィルターを使用した新しいアクションの作成や 既存のア クションの編集が可能です また ADAudit Plus には レポートプロファイルのカテゴリーごとに定義済みの監査アクションがあります が これは調査により様々な環境においてよく使用されるとされるアクションを配置しています 新規アカウントログオンアクションの作成手順 [構成]タブの下にある[高度な設定]をクリックします [新規アカウントログオンアクション]をクリックします 3) [アクション名]と[説明]を入力します 4) [ルールグループ名]を入力します 5) [フィルタールール]を作成します 6) 変数 ex.イベント ID と比較演算子をドロップダウンから選択します 7) フィルタールールは複数ルールグループに追加できます フィルタールールを追加する場合は 8) アイコンを 削除する場合は アイコンをクリックします ルールグループは複数の設定が可能です ルールグループを追加するには[ルールグループの追加]ボタンをクリックし 削除する場合は[ルールグループを削除]ボタンをクリックします 9) [高度な相関関係を使用する] では ルールグループに対して 同じ変数が一定の間隔で一致する場合 その相関関 係を追加することが可能となっています 10) [保存]ボタンをクリックします アカウントログオンアクションの変更手順 変更するアカウントログオンアクションの アイコンをクリックします アカウントログオンアクションの変更画面が表示されます アカウントログオンアクションのコピー手順 コピーするアカウントログオンアクションの アイコンをクリックします コピーされたアクションの名前を入力し [保存]をクリックしてください 3) コピーされたアクションが項目の一番下に表示されます 他のカテゴリーについても 同様の手順で実行してください 53

55 12. バックアップとリストア バックアップ手順 サービスから ADAudit Plus を停止します ADAudit Plus をインストールしたマシンから コマンドプロンプトを開きます 3) 次のディレクトリに移動します [ADAudit Plus インストールディレクトリ] bin 4) stopdb.bat を実行して データベースを完全に停止します 5) backupdb.bat を実行して バックアップファイルを作成します 図 510 コマンドプロンプト画面 6) バックアップファイルの作成に成功した旨を示すメッセージが表示されます 図 51 コマンドプロンプト画面 7) コマンドプロンプトを閉じて ADAudit Plus を起動します 8) [ADAudit Plus インストールディレクトリ] Backup フォルダーに zip フォルダーと"EventData"フォルダーが作成され ます 図 52 バックアップファイル作成済画面 54

56 リストア手順 [ADAudit Plus インストールディレクトリ] bin フォルダーに バックアップで作成した zip ファイルをコピー ペーストし ます ADAudit Plus をインストールしたマシンから コマンドプロンプトを開きます 3) 次のディレクトリに移動します [ADAudit Plus インストールディレクトリ] bin 4) stopdb.bat を実行して データベースを完全に停止します 5) restoredb.bat [バックアップファイル名]を実行して データベースのリストアを行います 図 5352 コマンドプロンプト画面 6) リストアが完了すると コマンドプロンプトに DB Restore Successfully と表示されます 7) RestoreEventTables.bat [対応する EventData のフォルダー名]を実行して リストアを行います 8) ADAudit Plus を起動します 9) リストアされていることを確認します NOTE リストア実行の際 バックアップを取得した ADAudit Plus とリストアする ADAudit Plus が 同じビルド番号である必要があ ります 55

57 13. トラブルシューティングとヒント 13-1 ドメインコントローラーの追加について ADAudit Plus にドメインコントローラーを追加時エラーが発生した場合 表示されるエラーメッセージとして以下が挙げられま す 利用可能なドメイン設定がありません (No Domain Configuration available) 原因 DNS サーバーで利用できるドメイン情報がありません サーバーが操作できません The Servers are not operational 原因 以下の 3 つが考えられます 3) ドメインコントローラーが起動していない ファイアウォールが適応され ポート 389 にアクセスできない ビジー状態の場合 ドメイン名/ドメイン DNS 名が取得できません Unable to get domain DNS / FLAT name 原因 以下の 3 つが考えられます 特定のユーザー名かパスワードが無効になった 匿名のログイン FQDN の代わりに IP アドレスが明示されている 13-2 NTLM 認証によるイベント収集について ADAudit Plus で NTLM 認証を記録するようにするためには 以下の設定を行う必要があります ADAudit Plus のインストールサーバーから にアクセスします [Enable/Disable Configuration Setting]を展開します 3) NTLM 監査オプションを[オン]にします 4) サービスを再起動します 13-3 イベント ID 4769 と 4672 のログ収集について ADAudit Plus でイベント ID 4769 と 4672 を記録するようにするためには 以下の設定を行う必要があります ADAudit Plus のインストールサーバーから にアクセスします [Enable/Disable Configuration Setting]を展開します 3) [イベント ID4769 と 4672 に対する監査の有効化]を[オン]にします 4) サービスを再起動します 56

58 本製品に関するお問い合わせ ゾーホージャパン株式会社 ManageEngine&WebNMS 事業部 神奈川県横浜市西区みなとみらい三丁目 6 番 1 号 みなとみらいセンタービル 13 階 TEL FAX jp-mesales@zohocorp.com ホームページ ADAudit Plus 製品ページ 57