ログはどうしたら使い物になるのか。 ログを活用するための考え方とは？ ～「宝の山」を「ゴミの山」に変えないために～

Transcription

1 万が一に備える! クラウド環境のログ管理本当に充分ですか? 2015 年 1 月 23 日インフォサイエンス株式会社プロダクト事業部 Infoscience Corporation info@logstorage.com Tel: Fax:

2 Contents 1. インフォサイエンスのご紹介 2. セキュリティとログの関係 3. 実効性の高いログのモニタリングとは 4. ログのモニタリングに必要な仕掛け 5. クラウド環境に於けるログ管理 2

3 インフォサイエンス株式会社 概要 設立 統合ログ管理システム Logstorage 1995年10月 代表者 宮 紀雄 E社 (3.5%) 資本金 1億円 事業内容 パッケージソフトウェアの開発 データセンタ運営 受託システム開発サービス 包括システム運用サービス 所在地 東京都港区芝浦2丁目4番1号 インフォサイエンスビル その他 (2.2%) 導入社数 1,600社 8年連続 シェアNo.1 D社 (5.3%) C社 (7.9%) Logstorage B社 % A社 21.2 出典 ミック経済研究所 情報セキュリティソリューション市場の現状と将来展望2014(統合ログ管理市場) 3

4 セキュリティとログの関係 4

5 ログ管理の目的 様々なルールや脅威への対応のために ログの管理が行われている 個人情報保護法 金融商品取引法 国際ペイメントブランド/PCI DSS 不正アクセス禁止法 APT/標的型攻撃 マイナンバー/番号法 経産省/クラウドセキュリティガイドライン プライバシーマーク 情報漏洩 内部犯行 ISO27001/ISMS サイバー犯罪捜査 セキュリティ 制御 には限界がある ログ のモニタリングにより リスクを早期に発見する 4 5

6 統合ログ管理システムとは 個別のログ管理から統合ログ管理へ ログの 管理 に関わる様々な課題 問題への対応 - サーバ 機器上でログが改ざんされるリスク ログ保管容量 期間の問題 ログの 分析 に関わる様々な課題 問題への対応 - ログの可読性 複数ログの追跡性 多様な分析要件 入退室管理 各種認証システム サーバ (DB/ファイル/Web/Mail) ログ ログ 複合機 プリンタ ネットワーク機器 (FW/Router/LB) PC デバイス クラウドサービス ログ ログ ログ ログ ログを可視化 モニタリングするための仕掛け 高圧縮保管 ログ 改ざん検出 横串 横断検索 アクセス制限 ログ分析 グラフ化 統合ログ管理システム 自動レポート出力 リアルタイムアラート 統合管理されたログ 6

7 ログ管理の実態 典型的な例 モニタリング されていない 流出経路 USB接続のデバイスへのコピー メールに添付して送信 クラウドストレージへのアップロード 紙への印刷 etc ログ送信? 守るべき情報の所在 ログ送信 File Server ログ管理システム PC Mail Server Web Proxy Server 制御に頼りきり 印刷 複合機 持出し 参照 データベース DB Server 作業員 ログは取ってるけど見てない 気づけない ログを個別にしか見ていない 横断的な追跡 分析ができない ログを診る 軸 が無い 正常 異常の区別がつかない 7

8 統合ログ管理システム Logstorage 8

9 Logstorageの機能 システム構成 ログ収集機能 [受信機能] Syslog / FTP(S) / 共有フォルダ / SNMP [ログ送信 取得機能] Logstorage Agent Logstorage EventLogCollector Logstorage SecureBatchTransfer ログ保管機能 ログの圧縮保存 高速検索 ログの改ざんチェック機能 ログに対する意味 タグ 付け ログの暗号化保存 保存期間を経過したログを自動アーカイブ ログの保存領域管理機能 ログ検知機能 ポリシーに合致したログのアラート ポリシーはストーリー的に定義可能(シナリオ検知) <Logstorage システム構成> 検索 集計 レポート機能 ログの検索 集計 レポート生成 検索結果に対する クリック操作による絞込み レポートの定期自動実行(HTML/PDF/CSV/TXT/XML), 出力形式のカスタマイズ 9

10 Logstorageのログ収集実績 日本国内で利用されているものを中心に250種類以上のログ収集実績 OSシステム イベント Web/プロキシ ネットワーク機器 Windows Solaris AIX HP-UX Linux BSD Apache IIS BlueCoat i-filter squid WebSense WebSphere WebLogic Apache Tomcat Cosminexus Oracle SQLServer DB2 PostgreSQL MySQL Cisco PIX/ASA Cisco Catalyst NetScreen/SSG PaloAlto PA VPN-1 Firewall-1 Check Point IP SSL-VPN FortiGate NOKIA IP Alteon SonicWall FortiGate BIG-IP IronPort ServerIron Proventia データベース監査ツール メール PISO Chakra SecureSphere DMG/DSG SSDB監査 AUDIT MASTER IPLocks Guardium MS Exchange sendmail Postfix qmail Exim 運用監視 アンチウィルス Nagios JP1 Systemwalker OpenView Symantec AntiVirus TrendMicro InterScan McAfee VirusScan HDE Anti Vuris Lotus Domino 複合機 VMware vcenter SAP R/3 (ERP) NetApp (Storage) EMC (Storage) ex-sg (入退室管理) MSIESER isecurity Desk Net s HP NonStop Server クライアント操作 LanScope Cat InfoTrace CWAT MylogStar IVEX Logger MaLion3 秘文 SeP QND/QOH Logstorage アライアンス製品 Palo Alto Networks next-generation firewalls SecureCube / AccessCheck サーバアクセス LanScope Cat SecureSphere DMG CWAT Sendmail ALogコンバータ VISUACT File Server Audit CA Access Control InfoTrace Auge AccessWatcher MylogStar ALog ConVerter i-filter IVEX Logger シリーズ SecurePrint! ARCACLAVIS Revo Chakra MaLion3 SSDB監査 VISUACT AUDIT MASTER File Server Audit PISO 監査れポータル ICカード認証 SmartOn ARCACLAVIS Revo Lotus Domino Notes AccessAnalyzer2 Auge AccessWatcher データベース imagerunner Apeos SecurePrint! その他 その他 10

11 実効性の高いログのモニタリングとは 11

12 改めて考えるログ管理 モニタリング ログのモニタリングの重要性が改めて叫ばれているが ログを保管している だけ では 自身で問題に気付けない ここはやはり 基本に忠実に まず 守りたい情報が何で どこにあるのかを明確にし その上で その情報に対するアクセス権管理をしっかりと 更にその上で アクセス権を持つ者に対するモニタリングをしっかりと しかし 不正を100%防ぐことは不可能 ならば モニタリングの対象を絞り 抑止 を効かせることに重点を置く 12

13 アクセス権を持つ者に対するログモニタリング 抑止 を効かせるログのモニタリング例 アクセス権を持つ者の いつもと違う振る舞い 或いは一般的に危ない振る舞い アクセス件数の閾値設定 - データベースからの取得行数のチェック 相関 チェック - 個人情報が含まれるファイルに対するアクセスを 個人情報件数でチェック 外部への情報持ち出し - USB接続ログのチェック - 添付ファイル付きメール送信ログのチェック - 外部アップロードログのチェック 申請データとログの突き合わせ - 申請外のアクセスが無いかチェック ログ管理システムを入れただけでは それを周知 しても不正抑止にはならない 日々のモニタリングで 少しでも気になるログが あれば当事者に確認し 抑止を効かせる 13

14 ログのモニタリングを適切に行うための仕掛け ログモニタリング 3つの仕掛け ログを読めるようにする ログを追えるようにする ログを評価できるようにする 14

15 ログを読めるようにする Windowsイベントログの例 Logstorage ELC 人間が読んで理解できる形式への変換が必要 日時 サーバ名 アクション ドメイン名 ユーザ 接続元ホスト名 接続元IPアドレス 成功 失敗 :00:00 FS01 ログオン ローカル認証 infoscience yamada 成功 :00:00 FS01 ログオン リモート認証 infoscience yamada YAMADA-WORK 成功 日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 成功 失敗 :00:00 FS01 ファイル読み込み infoscience yamada D: common 顧客リスト.xls 成功 :00:00 FS01 ファイル書き込み infoscience yamada D: common 顧客リスト.xls 成功 :00:00 FS01 ファイルリネーム infoscience yamada D: common コピー 顧客リスト.xlsx 15

16 ログを追えるようにする ログに対する意味づけ タグ付け ログフォーマット定義 入退出ログ 1,カード認証OK,2013/6/15 08:56,000500, ｶｰﾄﾞ:施解錠状態,(扉1-1),解錠 入室 タグ 結果 タグ 日時 タグ ユーザID タグ 対象 タグ アクション 認証ログ SmartOn,2013/06/15 08:58:27,2131,0, yamada, , PC01, , ログオンしました タグ 日時 タグ ユーザID タグ PC名 タグ IPアドレス タグ アクション ログ項目に対して タグ 付けを行うことで 異なるフォーマットのログを横断的に扱う 16

17 ログを追えるようにする ログ形式の違いの吸収 共通IDの付与によるログの追跡 統合ログ管理システム LogDB ③ 共通ID付与 /ログ保存 マスタ連携 ログ収集対象サーバ 機器 マスタ連携 フィルタ 共通IDマスタ サーバ 機器名 ID 共通ID ネットワーク機器Ａ adm001 yamada メールA yamada 入退出管理 yamada 共通IDを付与したログ 2013/1/15 08:56, , 入室しました , yamada 共通IDを付与し ログ追跡時の キーとして利用する 2013/1/15 08:56, , yamada, login success /1/15 08:56, , adm001, login failure.., yamada 17

18 ログを追えるようにする (Logstorage 検索画面 ) いつ? 誰が? どうした? 何処で?/ 何に対して? 18

19 ログを評価できるようにする 意味のあるログ分析を行うためには 設定した 基準 と ログ との 突合 が重要 基準 の例 実際に発生した事象の記録 突合 して見つけるもの 作業対象サーバ上のログ 申請外の作業 申請時間外作業 未申請作業など 突合 入退室管理システムのログ 勤務実態 サービス残業の有無など) IDカード管理台帳 突合 入退室管理システムのログ 未使用IDカード 退職者の未返却IDカードなど) 作業申請データ 突合 勤務表 社内セキュリティ 突合 ポリシー アクセスログ全般 個人情報へのアク 突合 セスログ USB利用ログ ルール違反のオペレーション 個人情報の持ち出しの疑い ログの突合 により 正しくない状態 の 発見を自動化することで 確実な監査と業務の効率化を実現する 19 19

20 導入事例 金融機関様 目的 : システムに対する申請外の作業や 休日 平日深夜早朝のアクセスなど 疑わしいログを自動的にリストアップし 各部署で目視で対応している点検作業の負荷を軽減させる 選定理由 : 標準機能で対応できる範囲が大きく カスタマイズ性も高い 国産製品で日本国内導入実績が多数あり 金融系の実績も豊富 4 アクセスログ収集 5 突合レポート出力 システム利用 2 申請データアップロード システム利用者 ( 行内 ) お客様データセンター 3 作業 メンテナンス システム管理者 ( 作業承認者 ) 1 作業申請 承認 お客様オフィス 運用担当者 ( 外部委託 / 複数社 ) 20 20

21 導入事例 金融機関様 作業申請と作業ログの突合レポート 運用担当者(外部委託)の アクセスログ モニタリング マスタデータ 作業申請 ログデータ システム ユーザID 作業開始時間 作業終了時間 SystemA suzuki 2012/03/21 10:00: /03/21 12:00:00 突合 時刻 ｱｸｼｮﾝ ユーザID 2012/03/21 13:12:31 ログオン yamada 2012/03/21 14:49:35 ログオフ yamada 2012/03/21 10:31:23 ログオン suzuki 2012/03/21 12:38:21 ログオフ suzuki 突合レポート(Logstorageにより自動出力) システム ユーザID 作業開始時間 申請 作業終了時間 申請 ログオン時間 ログオフ時間 判定結果 SystemA yamada 申請なし 申請なし 2012/03/21 13:12: /03/21 14:49:35 SystemA suzuki 2012/03/21 10:00: /03/21 12:00: /03/21 10:31: /03/21 12:38:21 事前申請通りの作業が行われているか自動チェック 21 21

22 ログとログの突合 ログとログの突合レポート 想定ケース 持出し 参照 データベース DB Server USBデバイス利用ログ 1,000件以上の個人情報取得ユーザ 日時 ユーザID IPアドレス 外部デバイス 2014/08/22 23:45:32 yamada USB (E: list.xls) 突合 日付 ユーザID 対象 件数 2014/08/22 10:17:02 sato db1.customer 1, /08/22 14:54:33 suzuki db1.customer 1, /08/22 23:32:11 yamada db1.customer 1,424 突合レポート(Logstorageにより自動出力) 日時 ユーザID 対象 件数 外部デバイス 2014/08/22 23:32:11 yamada db1.customer 1,424 USB (E: list.xls) 判定結果 要確認 1,000件以上の個人情報を取得し かつUSB利用しているユーザを自動チェック 22

23 クラウド環境に於けるログ管理 23

24 オンプレミス環境のログ管理との違い クラウドサービス利用ログの監査 クラウドサービス(AWS/Azureなど) 管理コンソールへのアクセスログ サービスの生成/起動/停止/削除ログ サービスの 生成/起動/停止/削除 ユーザ管理ログ セキュリティポリシー変更ログ 利用料金ログ 管理アクセス HTTPS クラウドサービス上のログ取得 AWS CloudTrail Microsoft Azure 管理ポータルの操作ログ ユーザ側 管理者 管理コンソール へのログイン 仮想サーバやサービス上のログだけでなく サービスに対する管理アクセスのログ管理も必要 仮想サーバ 仮想サーバ サービス 仮想サーバ サービス サービス 管理 コンソール 仮想Firewall ルール ポリシー の設定 ユーザ管理 ユーザの作成 権限変更 アラート管理 利用料金の管理 24

25 Amazon Web Service(AWS)のケース AWS CloudTrail とは AWSアカウントのAPIコールを記録する仕組み コンプライアンス準拠 社内規定や規制基準に応じたAWSリソースの 管理について説明するためにこれらの情報を 用いることができる リソースの ライフサイクル管理 あるAWSリソースの作成から削除まで追跡す ることができる 運用上の トラブルシューティング リースに対して最近行われた変更を特定する ことができる セキュリティ面の分析 不適切な権限でのアクセスのため拒否された APIコールを見ることができる 以下のような問いに答えることができます ユーザーがある期間に行った操作は どのAWSユーザーが いつ 何を どのように操作したか 操作がどの接続元(IPアドレス)から行われたか 25

26 AWS CloudTrail 利用上の課題 AWS CloudTrail 利用上の課題 ログデータは AWS S3 クラウドストレージ に出力 ログを定期的に取りに行く必要がある そのままでは読めない複雑な形式 JSON形式 で記録される ログを読めるようにする必要がある 記録される内容が多岐に渡る ログから何を見るか 明確にする必要がある ログの取得 解析 分析を自動化するツールが必須 Logstorageのオプション製品 AWS CloudTrail連携パック を活用してログを可視化!! 26

27 Logstorage AWS CloudTrail連携パック レポート例 承認されていないインスタンスの 生成 起動は無いか 27

28 Logstorage AWS CloudTrail連携パック レポート例 誤ったインスタンスの 削除は無いか 28

29 Logstorage AWS CloudTrail連携パック レポート例 管理コンソールに 不正に アクセスされていないか 29

30 Logstorage AWS CloudTrail連携パック レポート例 管理外の接続は無いか? 30

31 Logstorage AWS CloudTrail連携パック レポート例 承認されていないユーザ からのアクセスは無いか 31

32 日立システムズ様クラウド向け管理提供サービス お客様の課題 クラウド上のシステムにログ管理を導入し監査対応を行いたい ログ管理についてもサービス型で安価な導入としたい 実現イメージ 解決策 国内シェアNo.1(*1) のログ管理製品をクラウド上で稼働させログ管理を行う 製品 及び関連する監視サービスを 月額サービス型で安価に導入する (*2) お客様 2 ログ検索レポート 1 ログ収集意味付け 保存 日立システムズログ管理 SE 問題分析連絡 日立システムズデータセンタ ログ管理サーバ 異常検知 ログ ヘルスチェックエージェント ログ管理システム状態監視 3 ログ管理システム異常検知 特権ユーザーの監査対応等で利用 業務サーバー (5 台 ) 32

33 END 万が一に備える! クラウド環境のログ管理本当に充分ですか? 2015/1/23 インフォサイエンス株式会社プロダクト事業部稲村大介 33