ログはどうしたら使い物になるのか。 ログを活用するための考え方とは？ ～「宝の山」を「ゴミの山」に変えないために～

Transcription

1 ログは取るだけでは終わらない ~ ログを 診る ために必要な仕掛けとは ~ 2014 年 2 月 5 日インフォサイエンス株式会社プロダクト事業部 Infoscience Corporation info@logstorage.com Tel: Fax:

2 Contents 1. インフォサイエンスのご紹介 2. ログ管理の目的 3. 統合ログ管理システム Logstorage 4. ポイント1 ログの集め方 5. ポイント 2 ログの見方 Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 2

3 インフォサイエンス株式会社概要 設立 1995 年 10 月 代表者宮紀雄 資本金 1 億円 事業内容 パッケージソフトウェアの開発 データセンタ運営 受託システム開発サービス 包括システム運用サービス 所在地東京都港区芝浦 2 丁目 4 番 1 号インフォサイエンスビル < 開発から運用までの業務フェーズ概要 > システム運用から生まれたパッケージソフトウェア Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 3 3

4 ログ管理の目的 様々なルールや脅威への対応のために ログの管理が行われている 法令対応 個人情報保護法 金融商品取引法 不正アクセス禁止法 ガイドライン準拠 プライバシーマーク ISO27001/ISMS 経産省 / クラウドセキュリティガイドライン 国際ペイメントブランド /PCI DSS 運用管理 システムの障害調査 システムの稼働状況確認 システムの負荷分析 外部 内部脅威対策 APT/ 標的型攻撃情報漏洩 ( 内部犯行 ) サイバー犯罪捜査 業務改善 / 経費削減 経費削減 ( 複合機のログ分析等 ) 労務管理 ( 入退室ログ分析等 ) Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 4

5 ログ管理の難しさ ログを取っておいても活用できない理由 1. ログがあちこちに点在している - ログを横断して追跡できない - ログを改ざんから守れない 2. ログのフォーマットもバラバラ - ログを横断して追跡できない 3. ログの見方がわからない - ログに何が書いてあるかわからない - ログに必要な情報が含まれていない - ログを見る軸がない Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 5

6 統合ログ管理システムとは 個別のログ管理から統合ログ管理へ ログの 管理 に関わる様々な課題 問題への対応 - サーバ 機器上でログが改ざんされるリスク / ログ保管容量 期間の問題 ログの 分析 に関わる様々な課題 問題への対応 - ログの可読性 / 複数ログの追跡性 / 多様な分析要件 入退室管理 認証システム 各種サーバ (DB/ ファイル /Web/Mail) 複合機 プリンタ ネットワーク機器 (FW/Router/LB) PC デバイス ログ ログ ログ ログログログ ログを可視化 モニタリングするための仕掛け 統合ログ管理システム 高圧縮保管 改ざん検出 アクセス制限 自動レポート出力 ログ 統合管理されたログ 横串 横断検索ログ分析 グラフ化リアルタイムアラート Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 6

7 何故ログが 診れない のか ログそのものだけでは 活用に限界がある ログデータ Input output 統合ログ管理システム ログ 検索 分析 レポート ログの発生元 解析 他のログ 申請データ マスタデータ 外部データ 解析 他のログ 申請データ マスタデータ 外部データ連携 ログを活用するための仕掛けとは? Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 7

8 統合ログ管理システム Logstorage Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 8

9 ログに対する意識 環境の変化 個別のログ管理から 統合ログ管理 へ 情報漏えい事件の多発個人情報保護法施行日本版 SOX 法施行 PCIDSS ビックデータ クラウド 仮想化 出荷本数 7 年連続シェア No.1 (2012 年度シェア 50.2%) ファーストリリース 大量データ対応 (DB レス化の実現 ) Ver.2 (2003.9) 検索 分析の高速化レポート機能強化 Ver.3 ( ) 高圧縮 超高速検索 Windows イベントログ解析 Ver.4.0 (2010.5) Ver.1 (2002.2) ログデータ分析 活用 内部統制 情報セキュリティ IT システム運用管理 年 ミック経済研究所調べ出典 : 情報セキュリティソリューション市場の現状と将来展望 2013 ( 統合ログ管理市場 ) Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 9

10 統合ログ管理システム Logstorage ログ収集機能 [ 受信機能 ] Syslog / FTP(S) / 共有フォルダ / SNMP [ ログ送信 取得機能 ] Agent EventLogCollector SecureBatchTransfer ログ保管機能 ログの圧縮保存 / 高速検索 ログの改ざんチェック機能 ログに対する意味 ( タグ ) 付け ログの暗号化保存 保存期間を経過したログを自動アーカイブ ログの保存領域管理機能 ログ検知機能 ポリシーに合致したログのアラート ポリシーはストーリー的に定義可能 ( シナリオ検知 ) <Logstorage システム構成 > 検索 集計 レポート機能 ログの検索 / 集計 / レポート生成 検索結果に対する クリック操作による絞込み レポートの定期自動実行 (HTML/PDF/CSV/TXT/XML) レポートの出力形式のカスタマイズ Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 10

11 Logstorage のログ収集実績 日本国内で利用されているものを中心に 250 種類以上のログ収集実績 Logstorage アライアンス製品 Palo Alto Networks next-generation firewalls LanScope Cat CWAT InfoTrace MylogStar i-filter SecurePrint! Chakra SSDB 監査 AUDIT MASTER PISO SecureCube / AccessCheck SecureSphere DMG Sendmail Auge AccessWatcher ALog ConVerter IVEX Logger シリーズ ARCACLAVIS Revo MaLion3 VISUACT File Server Audit 監査れポータル [OS システム イベント ] Windows Solaris AIX HP-UX Linux BSD [ クライアント操作 ] LanScope Cat InfoTrace CWAT MylogStar IVEX Logger MaLion3 秘文 SeP QND/QOH [ サーバアクセス ] ALog コンバータ VISUACT File Server Audit CA Access Control [IC カード認証 ] SmartOn ARCACLAVIS Revo [ 運用監視 ] Nagios JP1 Systemwalker OpenView [Lotus Domino] Lotus Domino Notes AccessAnalyzer2 Auge AccessWatcher [Web/ プロキシ ] Apache IIS BlueCoat i-filter squid WebSense WebSphere WebLogic Apache Tomcat Cosminexus [ データベース ] Oracle SQLServer DB2 PostgreSQL MySQL [ データベース監査ツール ] PISO Chakra SecureSphere DMG/DSG SSDB 監査 AUDIT MASTER IPLocks Guardium [ アンチウィルス ] Symantec AntiVirus TrendMicro InterScan McAfee VirusScan HDE Anti Vuris [ 複合機 ] imagerunner Apeos SecurePrint! [ ネットワーク機器 ] Cisco PIX/ASA Cisco Catalyst NetScreen/SSG PaloAlto PA VPN-1 Firewall-1 Check Point IP SSL-VPN FortiGate NOKIA IP Alteon SonicWall FortiGate BIG-IP IronPort ServerIron Proventia [ メール ] MS Exchange sendmail Postfix qmail Exim [ その他 ] VMware vcenter SAP R/3 (ERP) NetApp (Storage) EMC (Storage) ex-sg ( 入退室管理 ) MSIESER isecurity Desk Net s HP NonStop Server Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 11 その他

12 SecureCube AccessCheckとの連携 AccessCheck + Logstorage 連携メリット Point① 開発者 運用担当者 AccessCheckを経由 しないアクセスの検知 アクセス先サーバ ログ アクセスログの記録 申請データとアクセスログの突合せ LogGate 検索 分析 アクセスログ (サマリーログ) ログ Point③ 今後のログ収集対象の増加に対応 各種ミドルウェアの動作ログ 業務アプリケーションのログ ネットワーク機器のアクセスログ 入退室管理システムのログ 複合機の印刷ログ その他 検索 ログ Point② 柔軟性の高い分析機能による ログの可視化 ログ収集 電子署名 暗号化 検索 集計 コンソールサーバ 分析 管理者 検索/集計/レポート 検索 集計 検知 レポート コンソールサーバとLogGateは1つのOS上で動作させることが可能です Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 12

13 ポイント 1 ログの集め方 ~ 意味のあるログにする ~ Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 13

14 ログ収集時に何に気をつけるべきか ログ収集時のポイント ログが読めない ログがつながらない / 追跡できない ログに必要な情報が含まれていない 統合ログ管理システム ログデータ Input ログ 解析 / 他のログ 申請データ マスタデータ 外部データ連携 ログの発生元 ログデータを 使える ものにする Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 14

15 Windows イベントログの解析 ログを解析 変換する Logstorage EventLogCollector 解析対象ログ ローカルログオン リモートログオン ファイルアクセス プロセス起動 終了 管理者操作 システム設定変更 ファイルアクセスなど 複雑な内容で記録される Windows イベントログを 人間が見て分かる形に解析 変換する Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 15

16 ログを追跡可能にする ログの形式やキー項目 ( ユーザ ID 等 ) の形式はシステム毎に異なる ログに記録されるユーザ ID の例 入退室管理 1, カード認証 OK,2013/6/15 08:56, 山田 太郎, カート 操作記録, カート : 施解錠状態,( )( 扉 1-1), 解錠 入室 認証 SmartOn,SOL,2007/06/15 08:58:27,2131,0,yamada, ,PC01, ,SMO01.local,Windows にログオンしました メール qmail: May 15 07:15: qmail: [ID mail.info] info msg : bytes from <yamada@example.com> qp 2924 uid 7791 DB 監査 "ora104"," ", domain1 yamada","root","oracledbcollect",28,"localhost.localdomain","",10, 29177,"Query"," :04:10"," :04:10",0," :04:10",1,0,0,2,2,223,486,"select * from user where userid= admin' and password="***** ログをそのまま取り込んでも 追跡できない Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 16

17 ログを追跡可能にする ログフォーマット定義 入退出ログ 1, カード認証 OK,2013/6/15 08:56, yamada, カート : 施解錠状態,( 扉 1-1), 解錠入室 タグ : 行動 タグ : 日時 タグ : ユーザ ID タグ : ゲート名 認証ログ SmartOn,2013/06/15 08:58:27,2131,0, yamada, , PC01, , ログオンしました タグ : 日時 タグ : 行動 タグ : ユーザ ID タグ :PC 名 ログ毎に 項目に対して タグ 付けを行うこれにより 異なるフォーマットのログを横断的に扱う Copyright(C) 2014 Infoscience Corporation. All Rights Reserved.

18 ログを追跡可能にする (Logstorage 検索画面 ) いつ? 誰が? どうした? 何処で?/ 何に対して? Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 18

19 ログに足りない情報を足す ログと社内外のデータの組合せによる活用例 活用例 組合わせるデータ IPアドレスから ユーザの特定 Radius/DHCP? 部署毎のログ監査 自社マスタデータ? URLカテゴリ? アクセス元/先の 国の分析 geoid? アクセス元/先の 企業の分析 whois? input Webサイトの カテゴリ分析 ログ ログの発生元 ログと内 外の様々なデータを組合せる事でログ活用の範囲は拡大する Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 19

20 ポイント 2 ログの見方 ~ 突き合わせる ~ Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 20

21 ログの見方 ログの分析時のポイント ログには発生した事実しか記録されない 在るべき姿 と事実である ログ の突合が重要 output 統合ログ管理システム ログデータ 検索 分析 レポート 解析 / 他のログ 申請データ マスタデータ 外部データ ログに記録された事実が適切なものか判断する Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 21

22 ログを突合する [1/2] NTTソフトウェア様 IT統制対策ソリューション との連携 作業対象サーバ 変更ログ アカウントの登録 削除 各種サーバの設定変更 ③変更作業 作業時の アクセスログ送信 作業者 申請データと作業ログの 突合 ①作業申請 ②承認 突合 ワークフロー システム ④申請内容と作業内容 の突合レポート ⑤ 作業内容の確認 承認者 Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 22

23 ログを突合する [2/2] 突合の例 基準 の例実際に発生した事象の記録 突合 して見つけるもの 作業申請データ 突合 作業対象サーバ上のログ 申請外の作業 ( 申請時間外作業 未申請作業など ) 勤務表 突合 入退室管理システムのログ 勤務実態 ( サービス残業の有無など ) ID カード管理台帳 突合 入退室管理システムのログ 未使用 ID カード ( 退職者の未返却 ID カードなど ) サーバ /PC 管理台帳 突合 サーバ PC アクセスログ 管理台帳に無い 非管理サーバ PC ( 勝手に持ち込まれた PC など ) レポート例 Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 23

24 ログ管理 活用インフラとしてのLogstorage アライアンス クラウド環境 ログソース ログソース マスタデータ URL分類データ 分析オプション 脅威データ 申請データ オープンデータ ポリシー ルール Logstorage Connect! 異常検知システム(SIEM) Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 外部プロフェッショナルサービス 分析システム(BigData基盤) 24

25 END ログは取るだけでは終わらない ~ ログを 診る ために必要な仕掛けとは ~ 2014/2/5 インフォサイエンス株式会社プロダクト事業部稲村大介 Copyright(C) 2014 Infoscience Corporation. All Rights Reserved. 25