ログはどうしたら使い物になるのか。ログを活用するための考え方とは？～「宝の山《を「ゴミの山《に変えないために～

Size: px

Start display at page:

Download "ログはどうしたら使い物になるのか。ログを活用するための考え方とは？～「宝の山《を「ゴミの山《に変えないために～"

つかさわしあし
6 years ago
Views:

1 知らないでは済まされないログ管理の本質とは ~ PCI DSS 要件 10 へのスムーズな対応法 ~ 2013 年 7 月 10 日ンフォサエンス株式会社プロダクト事業部 Infoscience Corporation info@logstorage.com Tel: Fax:

2 Contents 1. ンフォサエンスのご紹介 2. ログ管理の目的とPCI DSS 3. 統合ログ管理システム Logstorage 4. LogstorageによるPCI DSSログ管理要件への対応 5. PCI DSS 対応事例 6. ログの積極活用への展開 2

3 ンフォサエンス株式会社概要統合ログ管理システム Logstorage 設立 1995年10月代表者宮紀雄 E社 (4.3%) 資本金 1億円事業内容パッケージソフトウェゕの開発データセンタ運営受託システム開発サービス包括システム運用サービス所在地その他 (3.9%) 導入社数 7年連続シェゕNo.1 D社 (5.2%) C社 (6.9%) 東京都港区芝浦2丁目4番1号ンフォサエンスビル Logstorage B社 % A社 20.8 出典ミック経済研究所情報セキュリテゖソリューション市場の現状と将来展望2013(統合ログ管理市場) 3

4 ログ管理の目的様々なルールや脅威への対応のためにログの管理が行われている個人情報保護法金融商品取引法不正アクセス禁止法国際ペメントブランド /PCI DSS プラバシーマーク経産省 / クラウドセキュリテゖガドラン ISO27001/ISMS APT/ 標的型攻撃情報漏洩 ( 内部犯行 ) サバー犯罪捜査経費削減 ( 複合機のログ分析等 ) 労務管理 ( 入退室ログ分析等 ) その他これらの多種多様な要件に対し統合ログ管理が必要な理由は何か? 4

5 統合ログ管理の目的個別のログ管理から統合ログ管理へログの管理に関わる様々な課題問題への対応 - サーバ機器上でログが改ざんされるリスクログ保管容量期間の問題ログの分析に関わる様々な課題問題への対応 - ログの可読性複数ログの追跡性多様な分析要件入退室管理認証システムログログ各種サーバ (DB/フゔル/Web/Mail) 複合機プリンタネットワーク機器 (FW/Router/LB) ログログログログを可視化モニタリングするための仕掛け高圧縮保管ログ改ざん検出横串横断検索ゕクセス制限ログ分析グラフ化 PC デバスログ統合ログ管理システム自動レポート出力リゕルタムゕラート統合管理されたログ 5

PCI DSS 12 の要件安全なネットワークの構築維持要件 1 カード会員データを保護するためにフゔゕウォールを導入し最適な設定を維持すること要件 2 システムパスワードと他のセキュリテゖパラメータにベンダー提供のデフォルトを使用しないことカード会員データの保護要件 3 保存されたカード会員データを安全に保護すること要件 4 公衆ネットワーク上でカード会員データを送信する場合

6 PCI DSS 12 の要件安全なネットワークの構築維持要件 1 カード会員データを保護するためにフゔゕウォールを導入し最適な設定を維持すること要件 2 システムパスワードと他のセキュリテゖパラメータにベンダー提供のデフォルトを使用しないことカード会員データの保護要件 3 保存されたカード会員データを安全に保護すること要件 4 公衆ネットワーク上でカード会員データを送信する場合暗号化すること脆弱性を管理するプログラムの整備要件 5 ゕンチウゖルスソフトウェゕまたはプログラムを利用し定期的に更新すること要件 6 安全性の高いシステムとゕプリケーションを開発し保守すること強固なゕクセス制御手法の導入要件 7 カード会員データへのゕクセスを業務上の必要範囲内に制限すること要件 8 コンピュータにゕクセスする利用者毎に個別のIDを割り当てること要件 9 カード会員データへの物理的ゕクセスを制限すること定期的なネットワークの監視およびテスト要件 10 ネットワーク資源およびカード会員データに対する全てのゕクセスを追跡し監視すること要件 11 セキュリテゖシステムおよび管理手順を定期的にテストすること情報セキュリテゖポリシーの整備要件 12 従業員と契約社員のための情報セキュリテゖに関するポリシーを整備すること統合ログ管理システムの適用が有効 6

7 PCI DSS ログ管理要件の確認 - 要件 10 項番要件 10.1 システムコンポーネントに対するすべてのゕクセス ( 特にルートなどのゕドミニストレータ権限を持つユーザによるもの ) を個々のユーザーとリンクするための手順を確立する 10.2 すべてのシステムコンポーネントに対して以下のベントを追跡するための手順を確立するカード会員データに対する個人ユーザーによる全てのゕクセスルートまたはゕドミニストレータ権限を持つ個人が行った全ての操作すべての監査証跡へのゕクセス無効な論理的ゕクセスの試行識別および認証メカニズムの使用監査ログの初期化システムレベルのオブジェクトの作成と削除 10.3 すべてのシステムコンポーネントにおいてベントごとに少なくとも次の監査証跡を記録するユーザ ID ベントのタプ日付と時刻成功または失敗の表示ベントの起点影響を受けたデータシステムコンポーネントリソースの識別子もしくは名前 10.4 すべての重要なシステムクロックと実際の時刻を同期させる 10.5 監査証跡は改変できないように保護する監査証跡の閲覧はそれが業務上必要な人々に制限する監査証跡フゔルは改ざんされないように保護する監査証跡フゔルを集中ログサーバまたは改ざんが難しい媒体に直ちにバックゕップする無線ネットワークのログを内部の LAN 上のログサーバにコピーする既存のログデータが改ざんされた時に必ずゕラートが発せられるようログに対してフゔルの完全性監視 / 変更検知ソフトウェゕを使用する ( 新しいデータの追加に対してはゕラートは起こらない ) 10.6 全てのシステムコンポーネントのログを少なくとも一日 1 回はレビューする 10.7 監査証跡履歴は少なくとも 1 年は保管最低 3 ヶ月間はオンランで閲覧利用できるようにするログに関する内容は基本的に要件 10 に書かれている現状ログ管理に関してここまで細かく示されているガドランは他に無くカード情報保護に限らずセキュリテゖガドランとして採用する企業もある 7

8 統合ログ管理システム Logstorage 8

保存期間を経過したログを自動ゕーカブログの保存領域管理機能ログ検知機能ポリシーに合致したログのゕラートポリシーはストーリー的に定義可能 ( シナリオ検知 ) <Logstorage

9 統合ログ管理システム Logstorage ログ収集機能 [ 受信機能 ] Syslog / FTP(S) / 共有フォルダ / SNMP [ ログ送信取得機能 ] Agent EventLogCollector SecureBatchTransfer ログ保管機能ログの圧縮保存 / 高速検索ログの改ざんチェック機能ログに対する意味 ( タグ ) 付けログの暗号化保存保存期間を経過したログを自動ゕーカブログの保存領域管理機能ログ検知機能ポリシーに合致したログのゕラートポリシーはストーリー的に定義可能 ( シナリオ検知 ) <Logstorage システム構成 > 検索集計レポート機能ログの検索 / 集計 / レポート生成検索結果に対するクリック操作による絞込みレポートの定期自動実行 (HTML/PDF/CSV/TXT/XML) レポートの出力形式のカスタマズ 9

Logstorageのログ収集実績日本国内で利用されているものを中心に250種類以上のログ収集実績 OSシステムベント Web/プロキシネットワーク機器 Windows Solaris AIX HP-UX Linux BSD Apache IIS BlueCoat i-filter squid Delegate WebSense WebSphere WebLogic Apache

10 Logstorageのログ収集実績日本国内で利用されているものを中心に250種類以上のログ収集実績 OSシステムベント Web/プロキシネットワーク機器 Windows Solaris AIX HP-UX Linux BSD Apache IIS BlueCoat i-filter squid Delegate WebSense WebSphere WebLogic Apache Tomcat Cosminexus Cisco PIX/ASA Cisco Catalyst NetScreen/SSG PaloAlto PA VPN-1 Firewall-1 Check Point IP SSL-VPN FortiGate NOKIA IP Alteon SonicWall FortiGate BIG-IP IronPort ServerIron Proventia クラゕント操作 LanScope Cat InfoTrace CWAT MylogStar IVEX Logger MaLion3 秘文 SeP QND/QOH Logstorage ゕラゕンス製品 Palo Alto Networks next-generation firewalls SecureCube / AccessCheck LanScope Cat SecureSphere DMG CWAT Sendmail InfoTrace Auge AccessWatcher MylogStar ALog ConVerter i-filter IVEX Logger シリーズ SecurePrint! ARCACLAVIS Revo Chakra MaLion3 SSDB監査 VISUACT AUDIT MASTER File Server Audit PISO 監査れポータルサーバゕクセスデータベース Oracle SQLServer DB2 PostgreSQL MySQL データベース監査ツールメール MS Exchange sendmail Postfix qmail Exim SmartOn ARCACLAVIS Revo PISO Chakra SecureSphere DMG/DSG SSDB監査 AUDIT MASTER IPLocks Guardium 運用監視ゕンチウゖルス Nagios JP1 Systemwalker OpenView Symantec AntiVirus TrendMicro InterScan McAfee VirusScan HDE Anti Vuris Lotus Domino 複合機 VMware vcenter SAP R/3 (ERP) NetApp (Storage) EMC (Storage) ex-sg (入退室管理) MSIESER isecurity Desk Net s HP NonStop Server ALog ConVerter VISUACT File Server Audit CA Access Control ICカード認証 Lotus Domino Notes AccessAnalyzer2 Auge AccessWatcher imagerunner Apeos SecurePrint! その他その他 10

11 ログ管理活用に於いて特に重要な 2 つの事生ログをそのまま管理活用しようとしないログを見るための軸を持つ 11

12 ログを解析変換する Windows ベントログの解析 Logstorage EventLogCollector いつもと違う端末からログンしてきているのは誰か? 重要フゔルを削除したのは誰か? 管理者操作がどの端末から行われているのか? フゔルゕクセスなど複雑な内容で記録されるWindows ベントログを人間が見て理解できる形に解析変換する 12

13 外部データとの連携突合外部データ連携 URLリスト連携突合レポートテンプレートログを有効に活用するには外部データとの連携突合せが極めて重要 13

14 Logstorage による PCI DSS ログ管理要件への対応 14

15 ログを追跡可能にする PCI : 10.1 システムコンポーネントに対するすべてのゕクセス特にルートなどのゕドミニストレータ権限を持つユーザによるものを個々のユーザーとリンクするための手順を確立する PCI : 10.2 すべてのシステムコンポーネントに対してベントを追跡するための手順を確立するログに記録されるユーザIDの例入退室管理 1,カード認証OK,2007/6/15 08:56, 山田太郎,ｶｰﾄﾞ操作記録,ｶｰﾄﾞ:施解錠状態,( )(扉1-1),解錠入室認証 SmartOn,SOL,2007/06/15 08:58:27,2131,0,yamada, ,PC01, ,SMO01.local,Windowsにログオンしましたメール qmail: May 15 07:15: qmail: [ID mail.info] info msg : bytes from <yamada@example.com> qp 2924 uid 7791 DB監査 "ora104"," ", domain1 yamada","root","oracledbcollect",28,"localhost.localdomain","",10, 29177,"Query"," :04:10"," :04:10",0," :04:10",1,0,0,2,2,223,486,"select * from user where userid= admin' and password="***** 15

16 ログを追跡可能にする (Logstorage 検索画面 ) いつ? 誰が? どうした? 何処で?/ 何に対して? システム毎に異なるユーザ ID の統一が必要 16

17 ログを追跡可能にする共通IDの付与によるログの追跡ログ収集対象サーバ機器共通ID付与フゖルタログ共通IDマスタサーバ機器名 ID 共通ID ネットワーク機器Ａ adm001 yamada メールA yamada 入退出管理 yamada 共通IDを付与したログ 2013/1/15 08:56, , 入室しました , yamada 共通IDを付与しログ追跡時のキーとして利用する 2013/1/15 08:56, , yamada, login success /1/15 08:56, , adm001, login failure.., yamada 17

18 ログを安全に守る PCI : 10.5 監査証跡は改変できないように保護するログデータの暗号化 / 非改ざんの証明機能 Logstorage 機能ログデータの暗号化機能ログデータの非改ざん証明機能内容 AES 等でログデータを暗号化する機能ログデータに対応するハッシュ値を持つ事により改ざんを検出する機能ログデータに対するゕクセスコントロール Logstorage 機能グループユーザ管理機能内容ログ毎に閲覧権限を設定する機能設定例 DB 管理者グループ運用管理者グループネットワーク管理者グループ DB サーバの全てのログを閲覧可能全サーバのシステムログのみ閲覧可能 DB ゕクセスログ等は閲覧不可全ての Firewall/Switch のログのみ閲覧可能サーバのログは閲覧不可 18

留意点① 仮想環境仮想環境に於けるログ管理の注意点 Information Supplement: PCI DSS Virtualization Guidelines URL: https://www.pcisecuritystandards.org/documents/virtualization_infosupp_v2.pdf 4.1.

19 留意点① 仮想環境仮想環境に於けるログ管理の注意点 Information Supplement: PCI DSS Virtualization Guidelines URL: ハパーバザの強化ハパーバザー管理者がハパーバザーの監査ログの変更消去無効化ができないよう管理機能を分離するハパーバザーのログは物理的に分離された安全なストレージに可能な限りリゕルタムで送信する 3.7 休止状態の仮想マシン 3.8 VM メージとスナップショットカード会員データを保持してしまう可能性があるVM メージやスナップショットに対するゕクセスログを取得する PCI DSS Virtualization Guidelines には無いが仮想環境のAPI (VMware API や Hyper-V API)を使用した際のゕクセスログを取得する 19

継続的にモニタリングする事が求められる逆にゕプリケーションサーバ等からのゕクセスについては基本的に固定的なSQL文のみが発行される形となる為その取得の優先度は低いと考えられる但し

20 留意点② データベース監査ログ DB監査ログ取得上の留意点 DB監査ログは何も考えずに全て取得するように設定すると非常に膨大な量になりやすい上の図のような三層型ゕプリケーションの場合データベースの監査設定を有効にした上で図の右側データベースサーバに対する管理上のゕクセスログを取得対象とし認められていないデータの閲覧や設定の改ざん更新が行われていないかを継続的にモニタリングする事が求められる逆にゕプリケーションサーバ等からのゕクセスについては基本的に固定的なSQL文のみが発行される形となる為その取得の優先度は低いと考えられる但しゕプリケーションサーバが外部公開されているケースに於いて外部からの攻撃に対するモニタリングを強化しようとする場合上図のゕプケーションサーバからDBサーバへのゕクセスログを取得するケースも有るがこれはWeb Application Firewall の仕事とも言える 20

21 PCI DSS 対応事例最近の Logstorage の PCI DSS 案件対象企業業種 PCI DSS における業態 PCI DSS 準拠対象業務 A 社小売業加盟店ネット通販 B 社陸運業加盟店予約サト C 社小売業加盟店ネット通販 D 社小売業加盟店ネット通販 E 社小売業加盟店ネット通販 F 社 ITサービス加盟店の外部委託先データセンター事業 G 社 ITサービス加盟店の外部委託先データセンター事業 H 社金融業ゕクワゕラシュゕゕクワゕリングシュゕリング I 社金融業ゕクワゕラシュゕゕクワゕリングシュゕリング J 社情報通信業 - 対象業務無し PCI DSS を社内セキュリテゖのガドランとして利用 21

22 ITサービス事業者導入事例主な事業内容情報システム基盤の企画設計構築サービス提供 PCI DSS 認証取得の目的カード会員データの保管処理送信を行うサービスプロバダが同社のデータセンターを利用する事でスムーズなPCI DSS準拠を可能とし新たなビジネスを生み出す統合ログ管理を検討された理由サーバや機器を追加する際それらのログを収集する仕組みをその都度用意するのは時間もコストも掛かるまた例えば管理者権限のユーザのログを検索しようとしても単にログを溜めているだけでは難しい PCI DSS認証取得にあたっての課題 PCI DSS対応に必要となる機器やソフトウェゕに掛かるコスト特にログ管理システムについては複数の製品の見積もりを取ってみたが価格が高いものが多く認証取得自体を見直す事も考えた程だった Logstorage 選定のポント同社が必要と考え PCI DSSで求められるログ管理機能を全て備え収集管理を予定していたログについても全て対応実績があったそして何よりポントは低コストで導入できる費用対効果が高い製品であること導入の結果 2010年3月 PCI DSS Ver.1.2, ISMS同時取得 2011年3月 PCI DSS Ver.2.0 認証取得要件10については代替コントロール無し 22

23 PCI DSS/ ログレビューの観点ログレビューの観点 / 出力レポート例項番レポート PCI 観点 1 認証メカニズムへのゕクセス ( レビューは実施しない ) 問題点検出時のみ確認 2 ログン成功一覧 ( レビューは実施しない ) 問題点検出時のみ確認 3 ログン失敗一覧一定時間内に複数回連続してログン失敗したゕクセスを確認する 4 パスワードの変更履歴一覧 - パスワード変更の実施履歴を確認する 5 特権権限への昇格の一覧特権権限の昇格者と昇格時間を確認し通常運用における操作で無い場合は実行コマンドを確認する 6 管理者権限の操作履歴一覧通常運用における操作で無い場合はシステム管理責任者に妥当性を確認する 7 ポリシーの変更の一覧ポリシーなどが変更されている場合はシステム管理責任者に妥当性を確認する 8 ログの消去初期化ベントログや syslog が消去されていないか確認する 9 カード会員データへのゕクセスの一覧カード会員データへのゕクセス履歴を確認する 10 ログへのゕクセス履歴の一覧 Logstorageの利用履歴を確認するログレビュー時間外でのゕクセスが無い事を確認する 11 重要なフゔルの作成および削除の一覧システム環境下のフゔル作成及び削除履歴を確認する 23

PCI DSS ログレビューの手順ログレビューの手順レビュー手順例 No ログン画面レポート履歴画面手順日次 1 運用担当者は Logstorage

生成されているレポートのフゔル名をクリックしレポート内容を確認する 4 問題点を検出した場合はレポートをシステム管理責任者に送付し以降の指示を仰ぐ 5

原則として毎日10:00-12:00の間に前日分のログの内容を確認する PCI:10.

24 PCI DSS ログレビューの手順ログレビューの手順レビュー手順例 No ログン画面レポート履歴画面手順日次 1 運用担当者は Logstorage のコンソールにログンする 2 Logstorage のレポート - レポート作成履歴を選択しレポート作成履歴リスト画面に遷移する 3 生成されているレポートのフゔル名をクリックしレポート内容を確認する 4 問題点を検出した場合はレポートをシステム管理責任者に送付し以降の指示を仰ぐ 5 レポート内容の確認後ログレビュー記録に日付担当者名などを記入する 6 ログレビュー記録をシステム管理責任者に送付し承認を得る運用担当者は原則として毎日10:00-12:00の間に前日分のログの内容を確認する PCI:10.6 運用担当者以外の従業員はログの内容を閲覧できるようゕカウントは付与しない PCI: 問題点未検出ログレビュー記録に日付担当者名などを記入ログレビュー記録をシステム管理責任者に送付承認を得る問題の内容をシステム管理責任者に送付し指示を仰ぐ問題点検出時レポート 24

25 ログの積極活用への展開 - 多様化するログ活用への対応 - 25

26 ログ管理活用ンフラとしてのLogstorage 連携パッククラウド環境ログソースログソースマスタデータ URL分類データ分析オプション脅威データ申請データオープンデータポリシールール Logstorage Connect! 異常検知システム(SIEM) 外部プロフェッショナルサービス分析システム(BigData基盤) 26

開発元ンフォサエンス株式会社 108-0023 東京都港区芝浦 2-4-1 ンフォサエンスビル http://www.infoscience.co.

27 開発元ンフォサエンス株式会社東京都港区芝浦ンフォサエンスビルお問い合わせ先ンフォサエンス株式会社プロダクト事業部 TEL FAX mail : info@logstorage.com 27

28 END 知らないでは済まされないログ管理の本質とは 2013/7/10 ンフォサエンス株式会社プロダクト事業部稲村大介

ログはどうしたら使い物になるのか。ログを活用するための考え方とは？～「宝の山」を「ゴミの山」に変えないために～

ログはどうしたら使い物になるのか。ログを活用するための考え方とは？～「宝の山」を「ゴミの山」に変えないために～ Logstorage EventLogCollector for NetApp ご紹介資料インフォサイエンス株式会社プロダクト事業部 Infoscience Corporation www.infoscience.co.jp info@logstorage.com Tel: 03-5427-3503 Fax: 03-5427-3889 1. 統合ログ管理システム Logstorage 2. ストレージログの活用機能

ログはどうしたら使い物になるのか。 ログを活用するための考え方とは？ ～「宝の山《を「ゴミの山《に変えないために～

ログはどうしたら使い物になるのか。ログを活用するための考え方とは？～「宝の山《を「ゴミの山《に変えないために～