Fujitsu Standard Tool

Transcription

1 SHieldWARE NE による 運用操作の監査記録 株式会社富士通ソーシアルサイエンスラボラトリ

2 こんなことで お悩みではないですか? 作業者が作業申請通りに 作業を行ったかを確認したい 監査法人から管理者のサーバ操作記録について 対策検討の指摘を受けた 特権 ID の使い回しが運用課題になっているが 既存環境は変更できない 内部不正による機密情報の漏えいを抑止したい 1

3 SHieldWARE NE の概要 リモート拠点からの操作にも対応 運用操作専用の ゲートウェイサーバ として導入 WAN 1 ゲートウェイサーバとしてここに SHieldWARE NE を設置 2 SHieldWARE NE を経由しないとサーバにアクセスできないようにネットワークで制御 ( 商用ネットワーク ) FW LB FW LB Web Web Web AP AP NAS DB DB SAN Router L2 SHieldWARE NE 録画 ( 運用 LAN セグメント ) L2 L3 L2 システム管理者 ベンダー技術者 ハ ックアッフ オヘ レータ 異常 ( オペレーター端末接続セグメント ) 3 操作記録は全て動画ログとして記録 監視センター 運用 LAN に直接接続させない 既存システム 2

4 利用イメージ (1) サーバ作業 1 操作 PC にてブラウザを起動する 2 アドレスバーに SHieldWARE NE 接続用 URL を入力する 3 ログイン画面が表示される ( 左図 ) 4 事前に払いだされたログイン名 / パスワードにて SHieldWARE NE にログインする 5 登録されているパスワード情報と合致すれば認証が成功する 3

5 利用イメージ (2) サーバ作業 1 ログイン画面には ユーザーごとにアクセス許可されるデバイスがツリー表示される アクセスが許可されていないデバイスは画面上に一切表示されない ( 左図 ) 2 ツリー またはリストから接続したいデバイス ( サーバ / ネットワーク機器 ) を選択し 接続プロトコル (SSH RDP 等 ) を選択する ( 下図 ) Admin コンソールを使い JP1 で接続する SSH で接続する RDP で接続する 4

6 利用イメージ (3) サーバ作業 1 コメント入力画面 SSH の場合 RDP の場合 1 プロトコルを選択し 接続を実行すると セッションごとにコメント入力を求める画面がポップアップする ( 左図 1) 2 事前に決めた運用に従い 作業申請番号などを入力させる 3 コンソールが起動し接続が開始される 4 録画設定が有効になっている場合には サーバへの接続確立のタイミングで 操作ログの動作記録が開始される 5

7 利用イメージ (4) ログ監査 作業履歴一覧誰が何にいつ何をした 再生をクリック 1 作業履歴一覧では 誰が 何に いつ 何をした かが表示される 何をした は作業時に入力したコメントが表示される 2 再生 をクリックすると サーバに接続してから切断するまでの操作画面が動画で再生される サーバの画面 動画は画面が変化した差分のみ記録するため 1 時間の作業で 100MB 程度の容量です 再生したいポイントへスキップが可能 再生操作バー 倍速再生 ( 最大 16 倍 ) が可能 6

8 SHieldWARE NE の製品仕様 VMware に搭載可能な VA(Virtual Appliance) として提供 独自 OS にアプリケーションをインストール済みの VA として提供します 従来のハードウェアアプライアンスと異なり ハードウェアの制約がないため 他の機器と同様の保守管理が可能です 製品仕様 対応プロトコル GUI RDP / VNC CLI SSH / TELNET 最大管理対象機器数 1200 最大同時セッション数 20 / 40 / 80 最大登録ユーザー数 一般ユーザーと管理者ユーザーの合計 1000 一時利用ユーザー

9 SHieldWARE NE システム / リソース要件 ハイパーバイザのシステム要件 VMware vsphere ESX/ESXi 4.0, 4.1 vsphere ESXi 5.0, 5.1, 5.5, 6.0 仮想マシンのリソース要件 セッション数 CPU 2GHz 3コア以上 2GHz 5コア以上 2GHz 8コア以上 メモリ 4GB 以上 8GB 以上 16GB 以上 HDD 80GB 140GB 250GB 注 : ハイパーバイザのリソースは含みません 8

10 SHieldWARE NE 製品構成 ソフトウェア ( 初期 ) No 製品 ( ソフトウェア ) ランニング ( 年間 ) 機能 1 SHieldWARE NE 本体基本機能 ( リモート接続 アクセス制御 セッションロク ) 操作内容を動画で録画する機能 2 オ録画オプション CLIの操作内容を記録する際も必要ですプ3 シチケットオプション一時 IDの払い出し / 承認機能ョ4 ン認証連携オプション AD RADIUSと連携し ログイン認証する機能ターミナルサービスと連携し クライアントアプリケー 5 ADMINコンソールオプションションやブラウザを操作をする機能 6 ソフトウェア保守 ( 年間 ) 7 サーバ管理ライセンス ( 年間 ) 本体 1 台ごとに発生 25 台のサーバ管理ライセンスを含みます ソフトウェア本体に含まれる 26 台以上のサーバを管理するためにライセンスが必要 9

11 SHieldWARE NE の特長 操作画面録画機能を提供します RDP VNC 接続の操作画面をそのまま動画ログ保存 ( 1) TELNET SSH 接続のターミナルセッションのログ記録 キーワード検索に対応 ( 1) サーバだけでなく ネットワーク機器の設定作業証跡記録にも利用可能 外部ストレージを利用した 動画ログの長期保管に対応 短期間でログ監査システムを導入可能 既存サーバへのエージェントソフトのインストールは不要 ( すぐに導入できる ) オペレーターごとに操作を許可するサーバを制限可能 作業ベースで期間限定のアクセス権を申請 / 承認するワークフローを提供 ( 1) 本製品は画面に表示される内容をすべて記録するため ログに含まれる内容のセキュリティ プライバシーに関しては十分にご検討ください 10

12 SHieldWARE NE による対策 運用操作専用の ゲートウェイサーバ として導入 管理対象機器へのリモート接続と自動ログイン ( 自動ログインはRDP/VNC/SSH 接続の場合 ) 操作者毎に接続先機器のアクセス制御 各種ログの取得 ( ログインログ セッションログ ) 管理対象機器 操作ログを動画で記録 操作者 yamada suzuki yamada suzuki ROOT Administrator 1 アカウント管理 Copyright 2011 FUJITSU LIMITED 3 各サーバへのアクセス管理 2 権限の最小化 録画 4 外部委託者管理 操作画面 11

13 操作者操作者SHieldWARE NE のポイント 1 ポイント 1 アカウント管理 導入前 特権ユーザの特定 個人 ID と特権 ID とのアカウントのヒモ付けが可能なため 取得したログより個々の操作者を特定することが可能です 導入後 特権 ID1 つを複数人で利用している 特権 ID1 つで運用しているサーバでも個人を特定 Administrator yamada yamada Administrator Administrator suzuki suzuki Administrator Administrator サーバ tanaka tanaka Administrator サーバ Administrator sasaki sasaki Administrator 全員が Administrator アカウントでログインするので 区別がつかない で利用者の特定が可能 ( 利用者情報は AD 連携も可能 ) 12

14 SHieldWARE NEのポイント② ポイント② 権限の最小化 アクセス制御 管理対象機器に対するアクセス可否をユーザ単位で きめ細かく指定することが可能です クリップボードやファイル転送機能の利用を ユーザー単位で許可 禁止できます 運用担当者 山田さん アクセス可能なサーバを ユーザー単位で制限できます サーバA yamada suzuki 運用担当者 鈴木さん tanaka サーバB 運用担当者 田中さん サーバC 13

15 SHieldWARE NE のポイント 3 ポイント 3 各サーバへのアクセス管理 サーバ機器などの操作を録画 リモート操作端末からアクセスしたサーバやルータ ファイアウォールなどのネットワーク機器の操作画面を映像で録画することで 特権ユーザ ( 運用者など ) のあらゆる操作を記録可能です すべてのセッション (RDP VNC TELNET SSH) の録画が可能 障害発生時の追跡用情報として活用可能 作業エビデンスの自動取得によりコスト削減可能 1 日 1 時間の GUI 作業を行った場合 1 年間のログ容量は約 43GB です 1 作業が 1 セッションとして記録される 誰が何にいつ何をした 14

16 SSH/TELNET 操作の記録 検索 SSH/TELNET の操作はテキスト保存が可能です ポイント 3 各サーバへのアクセス管理 装置 ユーザー 時間帯 キーワードを指定し検索が可能 キーワード useradd を含むログを抽出 表示ボタンを押すとコンソール操作画面のイメージがそのまま表示できます 不審なコマンド実行やファイルへのアクセスを発見することが可能 15

17 禁止コマンド実行通知 事前に設定した禁止コマンドの実行を検知することが可能です コマンド通知設定 監視対象コマンド :A, B, C root@example.com 禁止コマンド実行 作業者 ログイン リモート接続 SSH/TELNET 通知 管理者 16

18 操作画面記録の効率的な監査 工夫 1 監査ログサイズを小さくするための工夫 差分のみ記録することでファイルサイズを抑制 動画の圧縮によりファイルサイズを抑制 工夫 2 監査に要する時間を短縮するための工夫 時系列 キーワードによるログの絞り込み ブランクスキップ機能で非動作画面をスキップし効率的に再生 2 倍速 ~16 倍速再生にて監査時間を短縮業務を効率化 差分あり 差分なし ( 例 ) 管理者 A が行った 10 分間の操作 差分のみ記録 動画再生のコントロールバー 17

19 操作画面記録ログの管理 ( 記録 ~ 保管 ) 運用者 1 まずは本体ディスクに記録されます SHieldWARE NE 録画 サーバ サーバ 2 自動アーカイブ機能により 指定された時間に外部ストレージに移動されます 操作画面をそのまま動画ログとして記録 本体ディスク 外部ストレージ (NFS) 外部媒体 3 再生 を押下で動画ログを再生できます 必要に応じて外部媒体へ保存 本体にあるログは New 外部ストレージにあるログは Permanently Archived ステータスとして記録されます 外部ストレージのログも本体のログと同様に再生が可能です 18

20 運用者外部委託者SHieldWARE NE のポイント 4 ポイント 4 外部委託者管理 1 確実で効果的な貸出 ID 管理 申請に基づき作業者にチケットを発行し 指定した時間帯に特定サーバにのみアクセスできる一時利用ユーザアカウントを発行することが可能です チケット発行には 承認プロセスが必須になります これまで ID を共有していた運用者に対し 1 ユーザー =1 アカウントを払い出す 3 共有 ID でサーバにアクセスした接続履歴を運用者名で記録する User チケット番号 Login Time Server 作業申請番号 yamada suzuki suzuki /4/20 20:10:15 tanaka /4/20 20:05: (Win) sato ( 借用 ID) tanaka チケット発行 ログイン履歴 作業申請の有無 管理アカウント一覧 チケット承認 tanaka /4/20 19:55:23 Administrator RDP (Lin) 業務サーバ (Win) 2 チケット 一時利用者には借用 ID を払い出す ID 借用申請書 管理者 ハ スワート 変更実績 レポート出力 4 承認者 root telnet/ssh 管理 ID 一覧やパスワード変更履歴などのレポートを出力し ID を管理 業務サーバ (UNIX) 19

21 申請承認フロー リモート接続ベンダ 職員様 職員様上長 自部門のサーバ 開始終了時間 自部門の承認者 を職員様にて指定 利用依頼 利用申請 (NE ログイン ) チケット作成 ( 作業サーバ 時間指定 ) or メール確認 承認依頼メール送信 利用承認 (NE ログイン ) チケット承認 メール確認 承認メール送信 承認完了連絡 監視対象サーバ 作業開始 or 20

22 SHieldWARE NE の導入構成例 サーバセグメント サーバ ブラウザやアプリケーションはターミナルサーバで操作 ターミナルサーバ SHieldWARE NE からサーバへ RDP/VNC/TELNET/SSH で接続 RDP 接続 直接アクセスを禁止 L3 スイッチまたはファイアウォール クライアントセグメント SHieldWARE NE へ HTTPS でログイン 証跡ログを NFS/CIFS で転送 操作端末 ログ保存用サーバ 21

23 導入事例 製造業A様 全国の販売店のヘルプデスク業務において 販売店のサーバ 端末に対し リモートログインして行った作業の操作証跡記録を取得 顧客要件 サポートセンター ヘルプデスクの操作記録 データの持ち出し禁止 SHieldWARE NEでの実現 販売店へのリモート操作を全て SHieldWARE NEで動画録画 ファイル共用やクリップボード機能を 禁止し ヘルプデスクへのデータの持 ち出しを制限 データ受渡は管理グ ループ経由 ターミナルサーバや証跡へのアクセス をユーザー単位で制限 データ受け渡し依 頼 管理者 データ配置 取り出し 証跡記録 データ受渡用 ファイルサーバ ヘルプデスク要員 データ配置 取り出し リモート操作 販売店 営業員 営業店サーバ 全国 約500店舗 22

24 導入事例クレジット B 様 作業申請 承認なしではサーバが利用できないよう厳格なアクセス制御を導入また 許可された作業についても動画ベースの操作証跡を記録 顧客要件 PCI-DSS 対応 作業申請 承認のシステム化 特権操作の記録 ログを 1 日 1 回監査 SHieldWARE NE での実現 申請された時間に許可されたサーバにのみアクセスが可能な チケット を払い出す 作業記録はすべてチケット単位で録画 再生可能 5 一時作業者申請者1 許可された時間にのみチケットを使い作業対象サーバにアクセス可能 ID 借用申請書 メール等 利用者が管理者に利用申請を行なう チケット :001 チケット :001 作業申請番号 : 操作の録画記録 管理者 メールにて申請者にチケット送付 チケット発行 & 承認申請 作業台帳出力ツール ( 個別開発 ) チケット承認 2 作業台帳 3 申請内容に対し承認を行なう 承認者 サーバ 管理者は申請のあった利用日時にのみ有効となるチケットを作成し承認申請を行なう 23

25 導入事例製造業 C 様 海外拠点からの業務アクセスを動画記録 海外工場 海外支店 顧客要件 海外社員に対して公開する必要のある国内の業務アプリに対し リモート操作環境を提供しつつ 証跡記録を残したい 海外からの利用者 リモート操作 海外からの利用者 SHieldWARE NE での実現 SHieldWARE NE で海外拠点からの利用者操作を動画で記録 人員の定着率が低い海外拠点については SHieldWARE NE の簡易シングルサインオンの機能を使い アカウント / パスワードを隠ぺいして運用させることにより情報漏えいのリスクを回避 接続先機器への自動ログイン機能を利用することで業務端末のアカウント / パスワードを隠ぺいする 国内利用者 国内本社 国内利用者 海外利用者向け業務端末 24

26 導入事例リース業 D 様 外部監査により指摘された 開発環境と運用環境が分離されていないリスクを SHieldWARE NE を導入することにより対策 顧客要件 拠点拠点 開発環境と運用環境を完全に分離することは困難なため 開発者が運用環境に行った操作を全て記録することでリスクを減らしたい 運用系サーバ 運用系サーバ SHieldWARE NE での実現 開発者が運用系サーバを操作する際は SHieldWARE NE で全ての操作内容を動画で記録 操作内容の記録による不正の抑止 責任者の定期的な操作内容の確認により 開発者による不正操作のリスクを軽減し 監査をクリア 責任者 開発者 開発環境 動画確認 運用系サーバ 運用環境 操作画面記録 本社 25

27 特権 ID 管理システム SHieldWARE NE の機能 ( ご参考 ) 26

28 サーバへの自動ログオン 保守ベンダ SHieldWARE NE に サーバに接続するためのユーザ ID とパスワードを設定しておくことにより 管理対象機器への接続時に自動ログインすることが可能 ( 自動ログインは RDP/VNC/SSH 接続の場合 ) 導入前 保守業者へ管理対象機器の ID/PASS を通知 導入後 SHieldWARE NE が管理対象機器へ代理認証 Administrator root root ネットワーク機器 事前に ID 情報を登録 ユーザ ID パスワード 保守ベンダyamada suzuki サーバ毎に接続できる作業者を限定できない作業者毎の取得した画像エビデンスでは実際の作業がわからない 個人の ID で SHieldWARE NE へログイン ネットワーク機器 代理認証機能で自動ログイン 作業者にパスワードを教えない運用が可能作業後のパスワード変更が不要 27

29 アクセス権限のグループ管理 役割 ( ロール ) によりユーザーのアクセス権限をグループ化して管理することが可能です 管理対象機器もグループ管理が可能です グループで管理することにより ユーザーや管理対象機器が増えたときの設定を効率化することが可能です ユーザー役割管理対象機器 オペレータ A オペレータ B 運用チーム A 機器操作自分のログ参照 A システム ( 装置グループ ) サーバ A サーバ B オペレータ E オペレータ C オペレータ D オペレータ E 運用チーム B 機器操作自分のログ参照 Bシステム ( 装置グループ ) サーバC サーバD サーバE サーバ E 運用チーム B に オペレータ E が増えた場合は 追加したユーザを 運用チーム B という役割にヒモ付けるだけで権限付与が可能 B システムの装置 サーバ E が増えた場合は 追加したサーバを B システム という装置グループに登録するだけで権限付与が可能 28

30 アプリケーション操作の記録 ブラウザや各種アプリケーションクライアントの操作など SHieldWARE NE で対応していないプロトコルを使って操作する場合でも Windows ターミナルサーバのアプリケーション操作を録画することで証跡を取得可能です 導入前 アプリケーションクライアント SHieldWARE NE 対応プロトコル (RDP VNC TELNET SSH) 以外のアプリケーション通信 運用者 PC サーバ 導入後 ターミナルサーバの画面 録画 RDP アプリケーションクライアント アプリケーション通信 運用者 PC SHieldWARE NE Windows ターミナルサーバ サーバ 従来 PC で動かしていたクラサバアプリをターミナルサーバ上で動かしてその操作画面を録画 29

31 ADMIN コンソール機能 ターミナルサーバ内の指定したプログラムのみを画面表示するため 作業者に対し特定の作業のみ実施可能な環境にすることができます SHieldWARE NEで対応していないプロトコルでの接続となる接続先 ( サーバアプリ ) にも 作業者にパスワードを秘匿にした自動接続が可能です 指定した実行プログラムが引数に対応している必要があります ADMIN コンソール機能無し SHieldWARE NE ターミナルサーバ fujitsu アプリ起動 / 入力は作業者にて実施する必要あり ********** ターミナルサーバ (RDP 接続 ) 選択 デスクトップ表示 アプリ起動 接続先 /ID/Pass 入力 ターミナルサーバ 最終接続先サーバ RDP アプリケーション通信 運用者 PC ( 例 ) vsphere Client ( 例 ) vcenter Server ADMIN コンソール機能有り SHieldWARE NE ターミナルサーバ vcenter Server (ADMIN コンソール接続 ) 選択 セッションログに最終接続先サーバ名が記録 自動起動 ( アプリ画面のみ表示 ) 予め 実行プログラムに引数 ( 接続先 IP ID Pass) を設定して登録することで アプリケーション通信先にパスワード秘匿で自動接続 30

32 お問い合わせ 株式会社富士通ソーシアルサイエンスラボラトリ ( 富士通 SSL) ssl-info@cs.jp.fujitsu.com 記載の内容は 2017 年 5 月現在のものです 31

33