ｽﾗｲﾄﾞ ﾀｲﾄﾙなし

Transcription

1 結局 ログはどう使われているのか? ~ 目指すべきログ管理の姿とは ~ 2010 年 3 月 10 日インフォサイエンス株式会社プロダクト事業部 Infoscience Corporation info@logstorage.com Tel: Fax:

2 Contents 1. 統合ログ管理システム導入の背景と活用できていない理由 2. 統合ログ管理システムの活用例 3. 統合ログ管理システム Logstorage 4. まとめ 5. [ 参考 ] 統合ログ管理によるガンブラー対策

3 インフォサイエンス株式会社概要 設立 1995 年 10 月 代表者宮紀雄 事業内容 パッケージソフトウェアの開発 データセンタ運営 受託システム開発サービス 包括システム運用サービス < 開発から運用までの業務フェーズ概要 > 所在地東京都港区芝浦 2 丁目 4 番 1 号インフォサイエンスビル 運用の現場から生まれたパッケージソフトウェア

4 インフォサイエンスとログ管理の歩み 情報漏えい事件の多発社内コンプライアンスへの意識の高まり個人情報保護法施行日本版 SOX 法施行 PCIDSS ログ管理に対するニーズが様々な法的 社会的な要請により拡大している 大量データ対応 (DB レス化の実現 ) Ver.2 (2003 年 9 月 ) 検索 分析の高速化レポート機能強化 Ver.3 (2006 年 11 月 ) Ver.4.0 ( 近日リリース予定 ) ログの高圧縮機能 ログの超高速検索機能 イベントログのエージェントレス収集機能 ファーストリリース Ver.1 (2002 年 2 月 ) 内部統制 情報セキュリティ IT システム運用管理 2002 年 2004 年 2006 年 2008 年 2010 年

5 統合ログ管理システム導入の背景と 活用できていない理由

6 ログ管理を取り巻く状況 各種サーバ 機器 ファイルサーバファイルサーバ DB DBサーバ UNIX UNIXサーバ Web/Proxy Web/Proxyサーバ 複合機複合機 ロギングツールロギングツール ロギングツールロギングツール ロギングツールロギングツール ロギングツールロギングツール 入退出管理入退出管理 ログ送信 ログ送信 統合ログ管理システム統合ログ管理システム ログ送信ログ送信 アプライアンスサーバアプライアンスサーバ ログ送信ログ送信 ネットワーク機器ネットワーク機器 ログ送信ログ送信 PC PCクライアント ロギングツールロギングツール

7 統合ログ管理システムの導入目的 ログの安全保管 管理の効率化 ログデータの一元化管理コンソールの一元化ログの保護 ( 原本証明 / 暗号化 / バックアップ ) の一元化ログの長期保存ログ形式 ( フォーマット ) の吸収ログに対するアクセス権限の一元化 情報漏洩対策内部統制 Pマーク PCI DSS ISMS IT システム上での活動内容の可視化 統合ログ管理システムが活用出来ていないとされるポイント ログの可読性の向上ログの追跡 分析 アラートモニタリングの自動化 ( レポート自動出力 )

8 よく聞く 活用できない理由 収集した大量なログを どう見れば良いかわからない 見たいログ / 重要なログが他の不要なログに埋もれている閲覧可能な形でログを収集 / 保管出来ていない ログが追跡できない ( ユーザ名,IP アドレス, ファイル名 ) ログ追跡に利用するキー項目が 異なるログ間で統一されていない 出力されるレポートを見ても何が起きてるかわからない レポートの出力結果が大量すぎて見切れないレポートの出力結果から 不正や誤りを把握できない

9 問題点 1: そのまま取られているログ Web Proxy アクセスログの例 アクセスすると < 記録されるログ > ( 中略 ) アクセスで 75 行ものログが記録される これを統合ログ管理システムにそのまま取り込んでいる!!??? < インフォサイエンスコーポレートサイト TOP ページ >

10 問題点 2: 追跡できないログ 追跡できないログ ユーザ ID をキーに検索しようとしても??? < ログ保管のイメージ > 時刻 デバイス ユーザ ID ログメッセージ :12:24 Server A :13:02 Server C yamada :13:16 Server D domain1 administrator :13:23 Server B root :13:28 Server A サーバや機器によって記録されるユーザ ID がバラバラで追跡出来ない

11 問題点 3: 無意味なレポート ログの分析レポート? レポートテンプレートを利用して出力してみても??? 単なるログのフィルタリングレポートになっているレポートを見ても 何が起こっているかわからない!!

12 つまり... 統合ログ管理システムが活用されていないとされる主なポイントは 明らかに無駄なログも含めて大量に収集され ログを追跡するためのキー項目も統一されず 意味の無いレポートを出力し続けている 統合ログ管理システム基盤が正しく構築されていないという事 ログ管理の目的 / ログレビューのポリシーが明確になっていないから? ログレビューのポリシーが事前にあるに越したことは無いが ポリシーは統合ログ管理システム基盤の構築に必須では無い

13 統合ログ管理システムの活用例 - Logstorage の活用 -

14 Point1 収集ログのフィルタ 収集ログのフィルタ < フィルタ前の Proxy ログ > ログ Proxy 用フィルタ イベントログ用イベントログ用フィルタイベントログ用フィルタフィルタ ログ 6 7 ( 中略 ) Web Web Proxy Proxyサーバ フィルタはカスタマイズ可能 < フィルタ後の Proxy ログ > 1

15 Point2 ログの追跡性の確保 [1/2] ログの追跡性 ( ユーザ ID での追跡例 ) いついつ? 誰が誰が? どうしたどうした? 何処で何処で?/?/ 何に対して?

16 Point2 ログの追跡性の確保 [2/2] 共通 ID 付与の実現方法 ログ収集対象サーバ 機器 ログ 3 共通 ID 付与 / ログ保存 共通 ID 付与フィルタ 1 ログ送信 2 共通 ID 取得 共通 ID マスタ (DB, CSV 等 ) サーバ 機器名 ID ネットワーク機器 A A0001 ネットワーク機器 B B0001 共通 ID yamada yamada サーバ A yamada 入退出管理 yamada 共通 ID を付与したログ 2008/6/15 08:56, ,A0001, login success.., yamada 2008/6/15 08:56, ,B0001, shutdown.., yamada 共通 ID を付与し ログ追跡時のキーとして利用する 2008/6/15 08:56, ,50001, login failure.., yamada

17 Point3 意味のあるレポート 意味のあるレポートとは何か ~ 情報漏洩事件の例 ~

18 某社情報漏洩事件の例 自身の ID IDで PC PCにログイン PC 認証ログ ログ 顧客情報検索システムに過去に所属していた担当者の ID IDでログイン 顧客情報を取得 システムのアクセスログ ログ 取得した顧客情報をファイルサーバに保管 ファイルサーバアクセスログ ログ 外部媒体 (CD) への保存をオペレータに依頼 ( 申請 承認無し ) PC 操作ログ ログ 漏洩 ログは記録されていたのに 何故チェックできなかったのか?

19 不十分なモニタリング? 個別のログを見ても不自然さが無い PC ファイルサーバ ログ 4サーバ上の顧客情報をCDにコピー オペレータ ( ユーザ C) 2009/7/24 10:10 ログユーザAがファイルAを作成 2009/7/24 11:00 ユーザCがファイルAをCDに書込み 顧客情報システム 申請システム ログ 2009/7/24 10:00 ユーザ B が PC01 からログイン 2009/7/24 10:05 ユーザ B が顧客情報にアクセス ログ 2009/3/31 14:00 アカウント ( ユーザ B) の削除申請 (2009/7/24 11:00 に行われた CD 書込の申請は無し ) 2 取得した顧客情報をサーバにコピー 1 ユーザ B として顧客情報にアクセス 3 CD 書込み依頼 5 CD を行為者に渡す 2009/7/24 09:00 ユーザ A が PC01 にログイン PC 行為者 ( ユーザA) ログ

20 モニタリングの例 申請データ と 実作業ログ を突合する 削除申請されたアカウントが 正しく削除されているか 承認されていない外部媒体使用が無いか 削除申請されたアカウントでシステムが利用されていないか ログ or CSV ログ 申請システム 2009/3/31 14:00 アカウント ( ユーザB) の削除申請 顧客情報システム 2009/7/24 10:00 ユーザBがPC01からログイン 突合による不正操作の抽出

21 レポート例 1 突合レポートの例 ワークフロー側ワークフロー側 ( ( 申請情報申請情報 ) ) 作業時に利用するユーザ 作業時に利用するユーザ ID ID 作業時間 作業時間 FROM-TO FROM-TO サーバ側サーバ側 ( ( 実作業情報実作業情報 ) ) ログインユーザ ログインユーザ ID ID ログイン時間 ログイン時間

22 レポート例 2 マスタ連携レポートの例 ログに含まれない情報も 社員 部署マスタとの連携により出力

23 統合ログ管理システム Logstorage

24 Logstorage システム構成と機能 ログ受信機能 Syslog / FTP / FTPS / File / SNMP / Agent 等のログ収集方法をサポート マスタと連携したログの収集 ログ出力元 ルータ /IDS/ ファイアウォール等 各種サーバ Agent ログ保管機能 ログに対するインデックス生成 ( 高速検索 ) ログに対する電子署名生成 ( 改ざん検出 ) ログに対する意味 ( タグ ) 付け ログの暗号化保存 保存期間を経過したログを自動アーカイブ ログ検知機能 定義されたポリシーに合致するログを受信した際に アラートを上げる ポリシーはストーリー的に定義可能 ( シナリオ検知 ) 検索 集計 レポート機能 ログの検索 / 集計 / レポート生成 検索結果に対する クリック操作による絞込み レポートの定期自動実行 (HTML/PDF/CSV/TXT/XML) レポートの出力形式のカスタマイズ マスタと連携したレポート出力 受信機能 LogGate Console (Web アプリケーション ) 検知機能 管理者 監査人 (Web ブラウザ ) SNMP トラップ 外部コマンド実行 メール送信 ログ 検索集計レポート 保管機能 検索検索 分析分析

25 統合ログ管理で重要と考えるポイント Think Big, Start Small - 柔軟性の高いシステムを最初は小さく入れる - リーズナブルなライセンス体系 スケーラブルなシステム構成 フレキシブルなログ管理機能

26 スモールスタート可能なライセンス体系 スモールスタート & ハイスケーラビリティ フェーズ 1 フェーズ 2 小規模小規模 ~ 超大規模まで 幅広いライセンス体系と拡張の柔軟性フェーズ3 収集対象収集対象 ログログログ フェーズ1 Console LogGate LogGate LogGate LogGate LogGate 検索 分析 ライセンスライセンス AL AL 版 (35 (35 万円万円 )) EP EP 版 (200 (200 万円万円 ~) ~) WG WG 版 (65 (65 万円万円 ~) ~) AD AD 版 (700 (700 万円万円 ~) ~) Web ブラウザ

27 柔軟なログフォーマット管理機能 ログフォーマット定義 特許取得 特許番号特許番号特許特許 名称名称ログ情報管理装置及びログ情報管理プログラムログ情報管理装置及びログ情報管理プログラム フォーマット定義された項目をキーにした検索 軸にした分析が自由自在 例 ) ) 入退室ログ入退室ログ 横串 横断検索横串 横断検索 / 分析分析 1, カード認証 OK,2007/6/15 08:56, 山田太郎, カート 操作記録, カート : 施解錠状態,( )( 扉 1-1), 解錠入室 発生時刻発生時刻 ユーザID ユーザID ユーザ名ユーザ名 ゲート名ゲート名 アクション ( 行動 ) アクション ( 行動 ) 例 ) ) 認証ログ認証ログ SmartOn, 2007/06/15 08:58:27, , , PC01, < 山田太郎 > が Windows にログオンしました APP 名 APP 名 発生時刻発生時刻 ユーザID ユーザID IPアドレス IPアドレス PC 名ユーザ名アクション ( 行動 ) PC 名ユーザ名アクション ( 行動 )

28 圧倒的な実績と国内製品向けテンプレート 3 年連続導入シェア No.1(*) の実績 日本国内で利用されているものを中心に 200 種以上のログ収集実績 [OSシステム イベント] [ データベース ] [OSシステム イベント] [ データベース ] Windows/Solaris/AIX/HP-UX Oracle/SQLServer/DB2/ Windows/Solaris/AIX/HP-UX Oracle/SQLServer/DB2/ /Linux/BSD PostgreSQL/MySQL /Linux/BSD PostgreSQL/MySQL [ クライアント操作 ] [ ネットワーク機器 ] [ クライアント操作 ] [ ネットワーク機器 ] LanScope Cat/InfoTrace/ Cisco PIX/Cisco Catalyst/ LanScope Cat/InfoTrace/ Cisco PIX/Cisco Catalyst/ IVEX Logger/ 秘文 /CWAT NetScreen/SSG/VPN-1/ IVEX Logger/ 秘文 /CWAT NetScreen/SSG/VPN-1/ SeP/QND/QOH Firewall-1/SSL-VPN SeP/QND/QOH Firewall-1/SSL-VPN /FortiGate/NOKIA IP /FortiGate/NOKIA IP /SonicWall/BIG-IP /SonicWall/BIG-IP /IronPort/ServerIron [ サーバアクセス ] /IronPort/ServerIron [ サーバアクセス ] /PaloAlto PA /PaloAlto PA ALogコンバータ /VISUACT/ ALogコンバータ /VISUACT/ File Server Audit/ File Server Audit/ CA Access Control CA Access Control [Web/ プロキシ ] [Web/ プロキシ ] Apache/IIS/BlueCoat/ Apache/IIS/BlueCoat/ i-filter/squid/websense/ [ICカード認証] i-filter/squid/websense/ [ICカード認証] WebSphere /WebLogic/ WebSphere /WebLogic/ SmartOn/ARCACLAVIS Apache Tomcat /Cosminexus SmartOn/ARCACLAVIS Apache Tomcat /Cosminexus [ データベース監査ツール ] [ データベース監査ツール ] PISO/Chakra/SecureSphere/ PISO/Chakra/SecureSphere/ SSDB 監査 /IPLocks/SQLGuard SSDB 監査 /IPLocks/SQLGuard [Lotus Domino] [Lotus Domino] Lotus Domino/ Lotus Domino/ Notes AccessAnalyzer2/ Notes AccessAnalyzer2/ Auge AccessWatcher Auge AccessWatcher [ 運用監視 ] [ 運用監視 ] JP1/Systemwalker/OpenView JP1/Systemwalker/OpenView [ 複合機 ] [ 複合機 ] imagerunner/apeos imagerunner/apeos [ アンチウィルス ] [ アンチウィルス ] Symantec AntiVirus/ Symantec AntiVirus/ TrendMicro InterScan/ TrendMicro InterScan/ McAfee VirusScan McAfee VirusScan [ メール ] [ メール ] MS Exchange /sendmail/ MS Exchange /sendmail/ Postfix/qmail/Exim Postfix/qmail/Exim [ その他 ] [ その他 ] SAP R/3 (ERP) SAP R/3 (ERP) NetApp (NAS) NetApp (NAS) e-sg ( 入退室管理 ) e-sg ( 入退室管理 ) MSIESER ( パケットキャプチャ ) MSIESER ( パケットキャプチャ ) isecurity (iseries/as400) isecurity (iseries/as400) 文録 (MSOffice 操作 ) 文録 (MSOffice 操作 ) * ミック経済研究所調べ出典 : 情報セキュリティ市場の現状と将来展望 2009( 統合ログ管理市場 )

29 各種メーカーとの協業 / 連携製品 国産メーカーを中心とした連携製品 約 2ヶ月に 1 製品のペースでリリース 開発元 販売元 製品名 開発下 販売元 製品名 エムオーテックス株式会社 LanScope Cat ( クライアント操作ログ アラートログ収集 ) 株式会社ソリトンシステム InfoTrace ( クライアント操作ログ収集 ) デジタルアーツ株式会社 i-filter (Web フィルタ アクセスログ収集 ) アイベクス株式会社 IVEX Meta Logger ( シンクライアント操作ログ収集 ) 株式会社インサイト テクノロジー PISO ( データベースアクセスログ収集 ) 株式会社アイ ビー イー ネット タイム ARCACLAVIS Revo (IC カード認証ログ収集 ) 株式会社ニューシステムテクノロジー Chakra ( データベースアクセスログ収集 ) 株式会社アシスト 監査れポータル (IT 全般統制評価支援レポート ) 株式会社アークン / 米 Imperva SecureSphere DMG ( データベースアクセスログ収集 ) セキュリティフライデー株式会社 VISUACT ( ファイルサーバアクセスログ収集 ) 株式会社網屋 ALog コンバータ ( ファイルサーバアクセスログ収集 ) 株式会社日本システムディベロップメント File Server Audit ( ファイルサーバアクセスログ収集 ) オージェテクノロジー株式会社 Auge AccessWatcher (Lotus Domino/Notes アクセスログ収集 ) 株式会社システムエグゼ SSDB 監査 (SQL Server アクセスログ収集 ) センドメール株式会社 Sendmail (MTA, メール転送エージェント ) 株式会社アクアシステムズ AUDIT MASTER (Oracle アクセスログ収集 ) [ 管理対象を限定した特別エディション [ 管理対象を限定した特別エディション ] ] Logstorage Logstorage アライアンス版アライアンス版 [ ログの自動収集 [ ログの自動収集 / 管理管理 / 各種テンプレートパック各種テンプレートパック ] ] Logstorage Logstorage 連携パック連携パック etc

30 まとめ

31 統合ログ管理システム活用のまとめ まとめ 統合ログ管理を始める場合 まずはスモールスタートで ログの追跡性を意識した統合ログ管理の構築を 最低限のログの取捨選択を ( 迷わず捨てられるログはある ) ログに対するニーズは変化 / 増加し続ける 柔軟性を!! 正しい統合ログ管理基盤の構築により 活用範囲は広がる!! 業務効率改善 グリーン IT マーケティング IT 運用管理 今夏 ログ管理に関するガイドライン ノウハウ集を当社からリリースする予定です ご期待下さい!!

32 [ 参考 ] 統合ログ管理による Gumblar( ガンブラー ) 対策

33 Logstorage による Gumblar 対策 Logstorage による Gumblar 対策攻撃者 悪意のある Web サイト [3] 改ざん [2] ウィルス配置 正規の Web サイト Gumblar 被害の流れ [1] ID 詐取 通常の Web サイト管理 [4] サイト閲覧 [5] 誘導 + ウィルス感染 Logstorage の導入により可能になる対応 Web サイト管理者 コンテンツのロールバック FTP アクセスログ収集 一般ユーザ アラート / レポート 予定していない時間に Web サイトの更新が発生していないか? リアルタイムアラート ( メール等 ) 定期レポート出力 ( 日時 /1 時間毎など )

34 開発元 インフォサイエンス株式会社 東京都港区芝浦 インフォサイエンスビル お問い合わせ先 インフォサイエンス株式会社プロダクト事業部 TEL FAX mail : info@logstorage.com

35 END 結局 ログはどう使われているのか? ~ 目指すべきログ管理の姿とは ~ 2010/3/10 インフォサイエンス株式会社プロダクト事業部稲村大介