『Logstorage for Sendmail』 ご紹介資料

Transcription

1 - Logstorage ELC Analytics - ご紹介資料 インフォサイエンス株式会社 プロダクト事業部 Infoscience Corporation info@logstorage.com Tel: Fax: PDT-L

2 インフォサイエンス株式会社概要 設立 1995 年 10 月 代表者宮紀雄 事業内容 パッケージソフトウェア Logstorage シリーズの開発 データセンタ運営 受託システム開発サービス 包括システム運用サービス < 開発から運用までの業務フェーズ概要 > 所在地 東京都港区芝浦 2 丁目 4 番 1 号インフォサイエンスビル システム運用から生まれたパッケージソフトウェア 2

3 Logstorage シリーズ ELC Analytics は統合ログ管理市場で 6 年連続 No.1 のシェアを誇る Logstorage のエンジン ユーザインターフェースを継承しつつ サーバログの管理に特化する事で圧倒的なコストパフォーマンスを実現した サーバログ管理ツール です 6 年連続国内シェア No.1 (*) サーバログの管理機能がオールインワン あらゆるログを統合管理 サーバログの監視 分析 [ 主なログ収集対象 ] [ ログ収集対象 ] OS メール PC 操作 ネットワーク機器 Windows Server イベントログ サーバ操作 アンチウィルス NetApp ONTAPイベントログ 複合機 認証 運用監視 Web プロキシ NetApp ステータスログ データベース DB 監査ツール ストレージ その他 EMC VNX/DART イベントログ VMware vsphere/vcenter イベントログ 出典 : ミック経済研究所 情報セキュリティソリューション市場の現状と将来展望 2012 ( 統合ログ管理市場 ) 3

4 ELC Analytics とは ELC Analytics はサーバのアクセスログやステータスログを 収集 解析 保管 検索 分析 レポート するための サーバログ管理ツールです セキュリティ対策 システム監査などの他 ストレージ リソースの利用状況の把握など 幅広く活用することができます 複雑なログを見やすく OS のイベントログは複雑で そのままの形で保管しても それを分析する事は極めて困難です ELC Analytics はイベントログを変換し 誰が いつ 何に対して 何をしたか? という 実際のユーザ操作に変換することが可能です 膨大なログを圧縮保管 ログは膨大な量になりやすく その保管は頭の痛い問題です ELC Analytics は 独自開発したログ専用のデータベース LogDB を内部で使用しており 高い圧縮率でログを保管しつつ 高速な検索 分析を行うことが可能です データベース不要 多くのログ管理製品では RDBMS を外部に用意する必要があり ライセンス上 また性能上の問題を抱えている事が少なくありません ELC Analytics は LogDB を内部で使用しており 外部に RDBMS などを必要としません ストレージの利用効率も向上 NetApp ストレージ向けに ステータスコレクタ機能 を持っています これは NetApp ストレージのリソース使用状況を収集 管理する機能で ストレージの適切なリソース配分を行い 利用効率を劇的に改善することが可能です 4

5 ELC Analytics によるイベントログ解析 イベントログは そのままの形式では内容の理解が非常に困難です 例えば Windows OS 上で 1 度ファイルをオープンしただけで 10 レコード以上のログが出力される事があります イベントログを正しく管理 監査する為には ユーザの操作とログを結びつける解析処理が必須です 生ログは読めない ELC Analytics は複雑なログを解析し 人間が見て理解できる形式に変換します 日時サーバ名アクションドメイン名ユーザ接続元ホスト名接続元 IP アドレス成功 / 失敗 :00:00 FS01 ログオン ( ローカル認証 ) :00:00 FS01 ログオン ( リモート認証 ) infoscience yamada - - 成功 infoscience yamada YAMADA-WORK 成功 日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 成功 / 失敗 :00:00 FS01 ファイル読み込み infoscience yamada D: common 顧客リスト.xls 成功 :00:00 FS01 ファイル書き込み infoscience yamada D: common 顧客リスト.xls 成功 :00:00 FS01 ファイルリネーム infoscience yamada D: common コピー ~ 顧客リスト.xlsx - 5

6 Logstorage ELC Analytics 機能 - 検索 - 集計 - レポート - グループ / ユーザ管理

7 ELC Analytics のシステム構成 収集 解析 保管 分析 エージェントレス ( 非常駐プログラム ) による自動ログ収集機能 イベントログの解析 / 変換機能 ログの圧縮保存 / 高速検索機能 ログの暗号化 / 改ざんチェック機能 ログの自動アーカイブ機能 ログの検索 / 集計 / レポート 検索結果からクリック操作による絞込み レポートの定期自動出力 7

8 検索機能 ログの検索 追跡 ログの高速検索 ログの追跡機能 - クリック操作によるログの絞込み - 検索結果画面のカスタマイズ機能 検索条件設定 保存機能 - パターン化された検索条件を定型化 特定のログをハイライトして表示 クリック 追跡したいユーザをクリック操作で絞り込み < 検索条件設定画面 > < ログの追跡例 > 8

9 集計機能 ログの分析 集計項目を指定し 自由なログ分析が可能 集計結果のトップ 10 の出力や 閾値を設定した出力などが可能 集計結果を表形式またはグラフ形式 ( 折れ線 / 棒 / 円 /2 軸 ) により可視化 集計条件を保管して作業を定型化 集計結果の CSV ダウンロードが可能 < 集計条件設定画面 > < 集計結果例 > 9

10 レポート機能 自動レポート出力 1 時間 /1 日 /1 週間 /1 か月毎の定期レポート出力可能 PDF/HTML/CSV/XML 等のフォーマットで出力可能 生成されたレポートを自動的にメールに添付して送信可能 < レポート出力設定画面 > < レポート例 > 10

11 グループ / ユーザ管理機能 グループ ユーザ単位でのアクセス制御 検索 / 集計 / レポート機能の使用権限をグループ / ユーザ単位で設定可能 ログ収集対象 / アプリケーション毎にアクセス権限を設定可能 Logstorage 上のユーザと LDAP/AD で管理されているユーザの連携が可能 < アクセス制御 / ログ収集対象 > < アクセス制御 / 機能 > < アクセス制御 / アプリケーション > 11

12 取得対象ログ ( イベントログ ) - Windows / NetApp / EMC 監査ログ

13 ログ収集 ~ 保存の流れ - Windows イベントログ ログの収集処理は Windows Server 側に配置されるプログラム ( 非常駐型 ) により行われます イベントログは定期的に ELC Analytics サーバ上に転送され ログの解析 保管が行われます ログ収集のイメージ Windows ELC Analytics サーバ 変換処理 イベントログ ELC Analytics サーバ上の共有フォルダにイベントログを定期的にコピー転送 イベントログ 変換後ログ 監査ログ出力設定を行う ELC Analytics により配置されるプログラムにより イベントログを定期的にコピー転送する LogDB 原本としての生ログ 分析用の変換後ログの両方を保管最大 10 分の 1 に圧縮し 高速検索 分析を実現 13

14 ログ収集 ~ 保存の流れ - NetApp イベントログ ログの収集処理は ELC Analytics サーバの指示によって実行されます NetApp ストレージ上に出力されたイベントログを定期的にコピー転送します ログ収集のイメージ NetApp ストレージ ELC Analytics サーバ 1 ssh を使用して CIFS Audit Save を実行 変換処理 NetApp ストレージ イベントログ イベントログ 変換後ログ 2 出力されたイベントログをコピー転送で収集 監査ログ出力設定を行う CIFS Audit Save によりログを出力 LogDB 原本としての生ログ 分析用の変換後ログの両方を保管最大 10 分の 1 に圧縮し 高速検索 分析を実現 14

15 ログ収集 ~ 保存の流れ - EMC イベントログ ログの収集処理は ELC Analytics サーバの指示によって実行されます EMC ストレージ上に出力されているイベントログをネットワーク経由で読み出します ログ収集のイメージ EMC ストレージ ELC Analytics サーバ 変換処理 EMC ストレージ イベントログ イベントログ 変換後ログ 定期的に監査ログを取得 Celerra Data Mover Security Management Console を使用し 監査ログ出力設定を行う LogDB 原本としての生ログ 分析用の変換後ログの両方を保管最大 10 分の 1 に圧縮し 高速検索 分析を実現 15

16 取得できるログ Windows/NetApp/EMC イベントログ 認証ログ Windows NetApp EMC いつ 誰が Windows 認証を行ったかを記録します 日時 サーバ名 アクション ドメイン名 ユーザ 接続元ホスト名 接続元 IPアドレス 成功 / 失敗 :00:00 FS01 ログオン ( ローカル認証 ) infoscience yamada - - 成功 :00:00 FS01 ログオン ( リモート認証 ) infoscience yamada YAMADA-WORK 成功 :00:00 FS01 ログオフ infoscience yamada ファイルアクセスログ Windows NetApp EMC いつ 誰が ファイルにアクセスしたかを記録します 日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 成功 / 失敗 :00:00 FS01 ファイル読み込み infoscience yamada D: common 顧客リスト.xls 成功 :00:00 FS01 ファイル書き込み infoscience yamada D: common 顧客リスト.xls 成功 :00:00 FS01 ファイルリネーム infoscience yamada D: common コピー ~ 顧客リスト.xlsx :00:00 FS01 ファイル削除 infoscience yamada D: common コピー ~ 顧客リスト.xlsx 成功 アプリケーション実行ログ Windows いつ 誰が どのようなアプリケーションを実行したかを記録します 日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 プロセスID 親プロセスID :00:00 FS01 アプリケーション起動 infoscience yamada C: Program Files Adobe Reader 11.0 Reader AcroRd32.exe :10:00 FS01 アプリケーション終了 Infoscience yamada C: Program Files Adobe Reader 11.0 Reader AcroRd32.exe

17 取得できるログ Windows/NetApp/EMC イベントログ 設定変更ログ / 時刻の変更 Windows EMC いつ 誰が システム時刻を変更したのかを記録します 日時サーバ名アクションドメイン名ユーザ元の時刻新しい時刻 :00:00 FS01 時刻の変更 infoscience yamada 13:14: /03/19 13:14: /03/19 設定変更ログ / セキュリティイベントログの消去 日時 サーバ名 アクション ドメイン名 ユーザ :00:00 FS01 セキュリティイベントログの消去 infoscience yamada Windows いつ 誰が セキュリティイベントログを消去したのかを記録します NetApp EMC 設定変更ログ / スケジューラへのタスク登録 編集 Windows いつ 誰が どのような内容でスケジューラにタスクを登録したのかを記録します 日時サーバ名アクションドメイン名ユーザファイルパスファイル名実行設定 :00:00 FS01 スケジューラーへの タスクの登録 編集 infoscience yamada D: DataExchange DataExchange.bat 設定日 : 2013/03/19, 開始時刻 : 2:00 間隔 : 毎日,. 設定変更ログ / 新しいサービスの登録 Windows どのような内容で新しいサービスを登録したのかを記録します 日時サーバ名アクションドメイン名ユーザファイルパスファイル名登録名 :00:00 FS01 新しいサービスの登録 NT AUTHORITY SYSTEM C: Program Files LogstorageAgentDotNet AgentDotNetService.exe AgentDotNetService 17

18 取得できるログ Windows/NetApp/EMC イベントログ プリントログ Windows いつ 誰が どのファイルを 印刷したのかを記録します 日時サーバ名アクションドメイン名ユーザ印刷対象プリンタ名 :00:00 FS01 プリント infoscience yamada D: common 顧客リスト.xls LBP9600C 管理者操作ログ Windows NetApp EMC ユーザの新規登録 や ポリシー変更 など 特権管理者しか行えない操作履歴を記録します 日時 サーバ名 アクション ドメイン名 ユーザ 操作の詳細 :00:00 FS01 管理者操作 infoscience Administrator ユーザーアカウントの作成 : FS01 TEST_USER :00:00 FS01 管理者操作 infoscience Administrator ユーザーアカウントの変更 : FS01 USER_A :00:00 FS01 管理者操作 infoscience Administrator ユーザーアカウントの削除 : FS01 TEST_USER :00:00 FS01 管理者操作 infoscience Administrator グループの作成 : FS01 GROUP_A :00:00 FS01 管理者操作 infoscience Administrator グループの変更 : FS01 GROUP_A :00:00 FS01 管理者操作 infoscience Administrator グループの削除 : FS01 GROUP_A :00:00 FS01 管理者操作 Infoscience Administrator グループにユーザの追加 : Builtin AdministratorsにFS01 TEST_USERが追加された :00:00 FS01 管理者操作 Infoscience Administrator グループのユーザの削除 : Builtin AdministratorsのFS01 TEST_USERが削除された :00:00 FS01 管理者操作 infoscience Administrator ポリシー設定の変更 : 監査ポリシーの変更 18

19 取得できるログ Windows/NetApp/EMC イベントログ Windows ファイアウォールの変更ログ Windows Windows ファイアウォールの設定変更の内容を記録します < ファイアウォールルールの有効化 無効化 / ルール作成 変更 削除 > 日時サーバ名アクションドメイン名ユーザ詳細 :00:00 FS01 有効化 NT AUTHORITY SYSTEM 新しい設定 : 操作モード : 有効元の設定 : 操作モード : 無効 :00:00 FS01 無効化 NT AUTHORITY SYSTEM 新しい設定 : 操作モード : 無効元の設定 : 操作モード : 有効 :00:00 FS01 ルール作成 NT AUTHORITY SYSTEM 新しい設定 : 名前 : Syslog(TCP) ポート番号 : 5140 プロトコル : TCP 状態 : 有効スコープ : すべてのサブ ネット :00:00 FS01 ルール変更 NT AUTHORITY SYSTEM 新しい設定 : 名前 : Syslog(TCP) ポート番号 : 5140 プロトコル : TCP 状態 : 有効スコープ : ローカルサブ ネットのみ元の設定 : 名前 : Syslog(TCP) ポート番号 : 5140 プロトコル : TCP 状態 : 有効スコープ : すべて のサブネット :00:00 FS01 ルール削除 NT AUTHORITY SYSTEM 新しい設定 : 名前 : - ポート番号 : - プロトコル : - 状態 : - スコープ : - 元の設定 : 名前 : Syslog(Logstorage) ポート番号 : 5140 プロトコル : TCP 状態 : 有効スコープ : すべてのサブネット < ファイアウォールポート許可 拒否 > 日時サーバ名アクションドメイン名ユーザファイルパスファイル名プロセス ID ポート番号プロトコル :00:00 FS01 ポート許可 NT AUTHORITY SYSTEM C: Program Files VMware VMware Player vmware-authd.exe TCP :00:00 FS01 ポート拒否 NT AUTHORITY SYSTEM C: WINDOWS system32 lsass.exe UDP 19

20 取得できるログの一覧 - Windows/NetApp/EMC 操作 Windows NetApp EMC ログオフ ログオン ( リモート認証 ) ログオン ( ローカル認証 ) アプリケーション起動 終了 - - ファイル読込み ファイル書込み ファイル削除 ファイルリネーム プリント - - セキュリティイベントログの消去 時刻の変更 - スケジューラーへのタスクの登録 編集 - - 新しいサービスの登録 - - Windowsファイアウォールのルール作成 変更 削除 - - Windowsファイアウォールの有効化 無効化 - - Windowsファイアウォールのポート許可 拒否 - - 管理者操作 20

21 取得対象ログ ( イベントログ以外 ) - NetApp ステータス / VMware イベント

22 ログ収集 ~ 保存の流れ NetApp ステータス ログの収集処理は ELC Analytics サーバの指示によって実行されます HTTP/HTTPS により NetApp ストレージのステータス情報を収集します ログ収集のイメージ NetApp ストレージ ELC Analytics サーバ NetApp ストレージ ステータスログ HTTP/HTTPS によりステータス情報を収集 HTTP/HTTPS による管理者アクセスを有効にし ステータス情報を収集可能にします LogDB ステータスログを分析しやすい形に意味付けし LogDB に保管 22

23 取得できるログ NetApp ステータス アグリゲート ボリューム クオータ システム (Aggregate) (Volume) (Quota) (System) name name quota-type sys_read_latency (average) size-total size-total quota-target sys_write_latency (average) files-total files-total quota-user-name sys_avg_latency (average) size-used size-used quota-user-id net_data_recv (rate) size-percentage-used percentage-used tree net_data_sent (rate) size-available size-available volume disk_data_read (rate) files-used files-used disk-used disk_data_written (rate) files-private-used files-private-used disk-limit cpu_busy (percent) state state soft-disk-limit avg_processor_busy (percent) mount-state raid-status threshold total_processor_busy (percent) mirror-status mirror-status files-used raid-status containing-aggregate file-limit soft-file-limit 23

24 NetApp ステータスレポート NetApp ステータスレポート アグリゲート / ボリューム / クォータ毎の使用容量の把握が可能 ストレージの CPU/ メモリ / ネットワーク /IO の状況の把握が可能 アグリゲート上の容量のボリュームへの割り当ては適切か? ストレージの無駄な使用実態は無いか? いつ頃ストレージの拡張が必要になるのか? アグリゲート ( ストレージプール ) ボリューム 200GB 使用率 :50% ボリューム 300GB 使用率 :90% ボリューム 500GB 使用率 :25% 追加確保 一部開放 ボリューム 550GB 使用率 :50% ボリューム 250GB 使用率 :50% < ステータスレポート例 > < ステータス分析による改善例 > 24

25 ログ収集 ~ 保存の流れ VMware イベント ログの収集処理は ELC Analytics サーバの指示によって実行されます Web サービスを利用して VMware サーバ上のイベントログを収集します ログ収集のイメージ VMware サーバ ELC Analytics サーバ イベント Web サービスを利用してイベントを収集 デフォルトで利用可能になっている Web サービスを利用してイベントを収集します LogDB 最大 10 分の 1 に圧縮して保管 高速検索 分析を実現 25

26 取得できるログ - VMware イベント ( 操作 ) 一覧 イベント ( 操作 ) 一覧アップグレード クラスタ テンプレートアップグレード ホスト 仮想マシン アラーム スケジュール設定タスク データストア ライセンス 許可 カスタムフィールド セッション データセンター リソースプール その他 収集ログの例 タイムスタンプサーバアクションイベントクラスデータセンターホストターゲットユーザータイプ説明 2013/03/31 00:00:00 ESX01 セッションイベント UserLoginSession Event root 情報 ユーザー root@ がログイ ンしました 2013/03/31 00:00:00 ESX01 アラームイベント AlarmCreated Event ー ー ー ー 情報 データセンター上で作成されたアラー ム ストレージに接続できません 2013/03/31 00:00:00 ESX01 クラスタイベント ClusterCreated Event ー ClusterTest Administrator 情報 のクラスタ ClusterTest での HA フェイルオーバーレベルに十分な リソースがありません 2013/03/31 00:00:00 ESX01 データストアイベント DatastoreDestroyed Event ー ー Administrator 情報 未構成データストア datastore1 が削除 されました 2013/03/31 00:00:00 ESX01 データセンターイベント DatacenterCreated Event 新規データセンター ー ー Administrator 情報 データセンター新規データセンター がフォルダデータセンターに作成さ れました 2013/03/31 00:00:00 ESX01 ホストイベント HostAddedEvent Administrator 情報 ホスト がデータセンター に追加されました 2013/03/31 00:00:00 ESX01 リソースプールイベント ResourcePool DestroyedEvent ー ClusterTest Administrator 情報 の ClusterTest のリソース プール pool_test が削除されました 2013/03/31 00:00:00 ESX01 仮想マシンイベント VmPoweredOn Event Administrator 情報 の がパワーオン状 態です 2013/03/31 00:00:00 ESX01 許可イベント PermissionAdded Event ー ー ー Administrator 情報 データセンターの Users の権限が作成 されました ロールはネットワーク消 費者 伝達は有効です 26

27 VMware レポート例 VMware レポート例 < 障害検知レポート例 > < 監査レポート例 > 27

28 動作環境 ライセンス

29 ELC Analytics 動作環境 ELC Analytics 動作環境 ELC Analytics 推奨動作環境 CPU メモリ HDD OS Quad Core 以上 4GB 以上 1GB 以上の空き容量 別途ログデータ保存用の容量をご用意下さい Windows Server 2008 R2 (64bit) Windows Server 2012 (64bit) 備考 対象 OS をサポートする仮想環境にも対応しております 29

30 対象 OS - Windows Windows 対象 OS / 動作条件 対象 OS (Windows) Windows Server 2008 / 2008 R2 Windows Server 2003 / 2003 R2 Windows 7 Windows Vista Windows XP 備考 対象 OS の日本語版 / 英語版に対応しております 30

31 対象 OS - NetApp / EMC NetApp 対象 OS / 動作条件 対象 OS (NetApp) Data ONTAP / / / / / Data ONTAP / / 備考 監査ログ / ステータスログともに上記が対応バージョンとなります 上記以外のバージョンへの対応につきましては弊社までお問合わせ下さい vfiler 単位でのログ収集機能は 6 月リリースを予定しております EMC 対象 OS / 動作条件 対象 OS (EMC) DART 6.0 VNX for File 7.0 VNXe OE 2.1 備考 上記以外のバージョンへの対応につきましては弊社までお問合わせ下さい 31

32 対象 OS - VMware VMware 対象 OS / 動作条件 対象 OS (VMware) VMware vcenter Server Ver.2.5 VMware vcenter Server Ver.4.1 Update1 Vmware vcenter Server Ver.5.0 / 5.1 VMware ESX Ver.3.5 VMware ESX Ver.4.1 Update1 VMware ESX Ver.5.0 / 5.1 備考 上記以外のバージョンへの対応につきましては弊社までお問合わせ下さい 32

33 ライセンス価格 基本パッケージ ライセンス名ライセンス価格年間保守 (20%) ELC Analytics 基本パッケージ 備考 : 基本パッケージにはクライアント (IP アドレス )1 台分のライセンスが含まれます 220,000 44,000 追加クライアントライセンス ライセンス名ライセンス価格 (1IP あたり ) 年間保守 (20%) ELC Analytics 追加クライアント ,000 24, ,000 19, ,000 18, ,000 15,600 無制限 3,000, ,000 備考 : 追加クライアントはログ収集対象のサーバ台数 (IP アドレス ) 分のライセンスが必要になります 追加台数に上記単価を乗じたライセンス費用とその年間保守費用が必要です 33

34 ライセンス / 保守 クライアントライセンスについて クライアントライセンスは 管理対象サーバ (IP アドレス ) 数分 必要になります 基本パッケージには 1IP アドレスのクライアントライセンスを含んでおります 管理対象サーバがクラスタ構成の場合は クラスタ台数分のライセンスが必要になります ELC Analytics サーバ自身も管理対象にする場合 クライアントライセンスが 1 つ必要になります クライアントライセンスは 1IP アドレス単位での追加が可能です 累積ライセンス数でのボリュームライセンスは適用されません 保守について 初年度は必須となります 保守の内容は下記の通りとなります (1) テクニカルサポート ( メールによるサポート 年末年始を除く平日の 9 時 ~17 時 30 分 ) (2) サポートサイトの利用 (3) メジャーバージョンの無償利用 (4) 修正パッチの無償利用 統合ログ管理システム Logstorage へのアップグレードについて 統合ログ管理システム Logstorage へのアップグレードにより サーバ以外のログも統合管理する事が可能になります ELC Analytics からのアップグレード ライセンスをご用意しておりますので 詳細は弊社までお問合わせ下さい 34

35 開発元 インフォサイエンス株式会社 東京都港区芝浦 2-4-1インフォサイエンスビル お問合わせ先 インフォサイエンス株式会社プロダクト事業部 TEL FAX mail : info@logstorage.com 35