Microsoft PowerPoint - セミナー資料 ppt

Transcription

1 結局 はどう使われているのか? ~ 目指すべき管理の姿とは ~ 2010 年 8 月 25 日インフォサイエンス株式会社プロダクト事業部 Infoscience Corporation info@logstorage.com Tel: Fax: Contents 1. インフォサイエンスのご紹介 2. 統合管理システムが求められる背景 3. なぜ 統合管理システムを活用できないのか 4. 統合管理システムの活用例 5. 統合管理システム Logstorage 6. まとめ Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 2

2 インフォサイエンス株式会社概要 設立 1995 年 10 月 代表者宮紀雄 事業内容 パッケージソフトウェアの開発 データセンタ運営 受託システム開発サービス 包括システム運用サービス < 開発から運用までの業務フェーズ概要 > 所在地東京都港区芝浦 2 丁目 4 番 1 号インフォサイエンスビル 運用の現場から生まれたパッケージソフトウェア Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 3 Logstorage 沿革 情報漏えい事件の多発 クラウドコンピューティング 仮想化 個人情報保護法施行 日本版 SOX 法施行 PCIDSS 管理に対するニーズが様々な社会的背景により拡大している 出荷本数 4 年連続シェア No.1 ファーストリリース Ver.1 (2002 年 2 月 ) 大量データ対応 (DB レス化の実現 ) Ver.2 (2003 年 9 月 ) 情報セキュリティ IT システム運用管理 検索 分析の高速化レポート機能強化 Ver.3 (2006 年 11 月 ) 内部統制 高圧縮 超高速検索 Windows イベント解析 Ver.4.0 (2010 年 5 月 ) 2002 年 2004 年 2006 年 2008 年 2010 年 ミック経済研究所調べ出典 : 情報セキュリティソリューション市場の現状と将来展望 2009 ( 統合管理市場 ) Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 4

3 統合管理システムが求められる背景 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 5 管理を取り巻く状況 各種サーバ 機器 ファイルサーバファイルサーバ DB DBサーバ UNIX UNIXサーバ Web/Proxy Web/Proxyサーバ 複合機複合機 ロギングツールロギングツール ロギングツールロギングツール ロギングツールロギングツール ロギングツールロギングツール 入退出管理入退出管理 送信 送信 統合管理システム統合管理システム 送信送信 アプライアンスサーバアプライアンスサーバ 送信 ネットワーク機器ネットワーク機器 送信送信 PC PCクライアント ロギングツールロギングツール Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 6

4 統合管理システムは何をしてくれるのか の安全保管 管理の効率化 データ 管理コンソールの一元化の長期保管 ( 圧縮保存 ) の保護 ( 原本証明 / 暗号化 / バックアップ ) の一元化に対するアクセス権限の一元化 情報漏洩対策内部統制 Pマーク PCI DSS ISMS による活動内容の可視化 / 属人化の排除 見づらいを見易く ( の内容を解釈した上で 誰が見てもわかる形で表示 ) これらが実現出来ていないケースが多い 何故か? あらゆるを横串にした検索 追跡 ( ユーザ ID ファイル名 ホスト名 発生時間等をキーに から行動や流れを追跡 ) 不正な兆候の検出 レポート ( ポリシー違反やルール違反をから検出し レポート ) Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 7 なぜ 統合管理システムを活用できないのか Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 8

5 管理に関するガイドライン コンピュータセキュリティ管理ガイド 情報処理推進機構 (IPA) より 2009 年 3 月公開 米国国立標準技術研究所 (NIST) Special Publication の翻訳 URL: 統合管理サービスガイドライン DataBase Security Consortium 統合 WG 現在 統合管理サービスガイドライン第 0.9 版 を 2010 年 8 月 24 日に公開 パブリックコメント募集中 URL: Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 9 統合管理 を一箇所に集める 収集した大量なを どう見れば良いかわからない見たい / 重要なが他の不要なに埋もれている閲覧可能な形でを収集 / 保管出来ていないが追跡できない ( ユーザ名,IPアドレス, ファイル名 ) 追跡に利用するキー項目が 異なる間で統一されていない出力されるレポートを見ても何が起きてるかわからないレポートの出力結果から 不正や誤りを把握できない ( そもそも ) が正しく取れていないが全部 / 一部欠落している Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 10

6 問題点 1: そのまま取られている Web Proxy アクセスの例 アクセスすると < 記録される > ( 中略 ) < インフォサイエンスコーポレートサイト TOP ページ > 1 アクセスで 75 行ものが記録される これを統合管理システムにそのまま取り込んでいる!!??? Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 11 問題点 2: 追跡できない [1/2] 追跡できない ユーザ ID をキーに検索しようとしても??? < 保管のイメージ > 時刻 デバイス ユーザ ID メッセージ :12:24 Server A :13:02 Server C yamada :13:16 Server D domain1 administrator :13:23 Server B root :13:28 Server A サーバや機器によって記録されるユーザ ID がバラバラで追跡出来ない Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 12

7 問題点 3: 無意味なレポート の分析レポート? テンプレートを利用してレポート出力してみても??? 単なるのフィルタリングレポートになっているレポートを見ても 何が起こっているかわからない!! Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 13 問題点 4: が正しく取れていない [1/2] 収集できるの長さに制限がある DB アクセス :02:11, ,yamada, select user_id,user_name from :04:43, ,suzuki, select user_id,user_name from 一定サイズを超える部分が捨てられる タイムスタンプ IPアドレス ユーザID SQL 文 (128byteまで) スキーマ ( 定義されたの項目 ) SQL 文がそのまま記録される DB アクセスを取得する場合は致命的 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 14

8 問題点 4: が正しく取れていない [2/2] フォーマットの変更に対応出来ない タイムスタンプ IP アドレス ユーザ ID SQL 文 タイムスタンプ IP アドレス ホスト名 ( 追加 ) ユーザ ID SQL 文 スキーマ通りの スキーマと異なる 問題なし が一部 / 全部欠落する 管理システム タイムスタンプ IP アドレス ユーザ ID SQL 文 スキーマ ( 定義された項目 ) 収集対象のアプリケーション 機器のバージョンアップ等での項目は変化する Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 15 つまり... 明らかに無駄なも含めて大量に収集されているを追跡するためのキー項目が統一されていない意味のあるレポートを出力する仕組みが無いシステムの問題により正しくが取られていない 活用出来る状態でが管理されていない Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 16

9 統合管理システムの活用例 - Logstorage の活用 - Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 17 Point1 収集のフィルタ 収集のフィルタ < フィルタ前の Proxy > Proxy 用フィルタ イベント用イベント用フィルタイベント用フィルタフィルタ 6 7 ( 中略 ) Web Web Proxy Proxyサーバ フィルタはカスタマイズ可能 < フィルタ後の Proxy > 1 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 18

10 Point2 の追跡性の確保 [1/2] の追跡性 ( ユーザ ID での追跡例 ) いついつ? 誰が誰が? どうしたどうした? 何処で何処で?/?/ 何に対して? Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 19 Point2 の追跡性の確保 [2/2] 共通 ID 付与の実現方法 収集対象サーバ 機器 3 共通 ID 付与 / 保存 共通 ID 付与フィルタ 1 送信 2 共通 ID 取得 共通 ID マスタ (DB, CSV 等 ) サーバ 機器名 ID ネットワーク機器 A A0001 ネットワーク機器 B B0001 共通 ID yamada yamada サーバ A yamada 入退出管理 yamada 共通 ID を付与した 2008/6/15 08:56, ,A0001, login success.., yamada 2008/6/15 08:56, ,B0001, shutdown.., yamada 共通 ID を付与し 追跡時のキーとして利用する 2008/6/15 08:56, ,50001, login failure.., yamada Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 20

11 Point3 意味のあるレポート 意味のあるレポートとは何か ~ 情報漏洩事件の例 ~ Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 21 某社情報漏洩事件の例 自身の ID IDで PC PCにイン PC 認証 顧客情報検索システムに過去に所属していた担当者の ID IDでイン 顧客情報を取得 システムのアクセス 取得した顧客情報をファイルサーバに保管 ファイルサーバアクセス 外部媒体 (CD) への保存をオペレータに依頼 ( 申請 承認無し ) PC 操作 漏洩 は記録されていたのに 何故チェックできなかったのか? Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 22

12 不十分なモニタリング? 個別のを見ても不自然さが無い PC オペレータ ファイルサーバ ( ユーザ C) 4 サーバ上の顧客 2009/7/24 10:10 情報をCDにコピーユーザAがファイルAを作成 2009/7/24 11:00 ユーザCがファイルAをCDに書込み 顧客情報システム 申請システム 2009/7/24 10:00 ユーザBがPC01からイン 2009/7/24 10:05 ユーザBが顧客情報にアクセス 2009/3/31 14:00 アカウント ( ユーザ B) の削除申請 (2009/7/24 11:00 に行われた CD 書込の申請は無し ) 2 取得した顧客情報をサーバにコピー 1 ユーザ B として顧客情報にアクセス 3 CD 書込み依頼 5 CD を行為者に渡す 2009/7/24 09:00 ユーザ A が PC01 にイン PC 行為者 ( ユーザA) Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 23 モニタリングの例 申請データ と 実作業 を突合する 削除申請されたアカウントが 正しく削除されているか 承認されていない外部媒体使用が無いか 削除申請されたアカウントでシステムが利用されていないか or CSV 申請システム 2009/3/31 14:00 アカウント ( ユーザB) の削除申請 突合による不正操作の抽出顧客情報システム 2009/7/24 10:00 ユーザBがPC01からイン Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 24

13 申請内容と作業の突合 申請内容と作業の突合 1 作業者は対象サーバへの作業申請を行う 2 承認者は申請内容の承認を行う - 承認後 申請内容をストレージが収集 3 作業者は対象サーバに対して作業を行う - 作業中のアクセスをストレージが収集 4 作業者は作業完了後 作業完了報告を行う 5 Logstorage のレポート機能を利用し 作業中のアクセス及び申請内容の突合せをレポートする 変更 アカウントの登録 削除 各種サーバの設定変更 作業時のシステム送信 5 レポート自動出力 作業対象サーバ 申請内容の送信 1 作業申請 4 作業完了報告 3 設定変更 作業者 ワークフローシステム 2 承認 6 承認者はレポートの内容を確認し 申請外の作業が実施されていない事を確認する - 申請時間外に作業が行われていないか - 申請されたアカウントで作業が行われていたか 申請内容と実作業内容の突合レポート レポート機能レポート機能 6 作業内容の確認 承認者 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 25 レポート例 1 突合レポートの例 ワークフロー側ワークフロー側 ( ( 申請情報申請情報 ) ) 作業時に利用するユーザ 作業時に利用するユーザ ID ID 作業時間 作業時間 FROM-TO FROM-TO サーバ側サーバ側 ( ( 実作業情報実作業情報 ) ) インユーザ インユーザ ID ID イン時間 イン時間 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 26

14 レポート例 2 マスタ連携レポートの例 に含まれない情報も 社員 部署マスタとの連携により出力 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 27 レポート例 3 インの連続失敗 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 28

15 統合管理システム Logstorage Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 29 Logstorage システム構成と機能 受信機能 Syslog / FTP(S)/ File / SNMP / Agent / WMI 等の収集方法をサポート 出力元 ルータ /IDS/ ファイアウォール等 各種サーバ 保管機能 Agent の圧縮保存 / 高速検索 の改ざんチェック機能 に対する意味 ( タグ ) 付け の暗号化保存 保存期間を経過したを自動アーカイブ の保存領域管理機能 受信機能 LogGate 保管機能 検知機能 SNMP トラップ 外部コマンド実行 検知機能 メール送信 ポリシーに合致したのアラート ポリシーはストーリー的に定義可能 ( シナリオ検知 ) コンソールサーバ 検索検索 検索 集計 レポート機能 の検索 / 集計 / レポート生成 検索結果に対する クリック操作による絞込み レポートの定期自動実行 (HTML/PDF/CSV/TXT/XML) レポートの出力形式のカスタマイズ 管理者 監査人 (Web ブラウザ ) Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 30 検索集計レポート 分析分析

16 統合管理で重要と考えるポイント Think Big, Start Small - 柔軟性 / 拡張性の高いシステムを最初は小さく入れる - リーズナブルなライセンス体系 スケーラブルなシステム構成 フレキシブルな管理機能 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 31 スモールスタート可能なライセンス体系 スモールスタート & ハイスケーラビリティ フェーズ 1 フェーズ 2 小規模小規模 ~ 超大規模まで 幅広いライセンス体系と拡張の柔軟性フェーズ3 収集対象収集対象 LogGate LogGate LogGate LogGate LogGate フェーズ1 Console 検索 分析 ライセンスライセンス AL AL 版 (35 (35 万円万円 )) EP EP 版 (200 (200 万円万円 ~) ~) WG WG 版 (65 (65 万円万円 ~) ~) AD AD 版 (700 (700 万円万円 ~) ~) Web ブラウザ Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 32

17 柔軟なフォーマット管理機能 元 App1, 2010/05/07 08:58:27, 00, 0, U0002, APP 名 APP 名 発生日発生日 発生時間発生時間 アクション ( 行動 ) アクション ( 行動 ) 成否成否 ユーザID ユーザID IPアドレス IPアドレス の各項目の意味が分りづらい 00: イン 01: パスワード変更 99: アウト 0: 成功 1: 失敗 U00001: 山田太郎 U00002: 鈴木一郎 U00003: 佐藤花子 Logstorage での表示 特許番号特許 名称情報管理装置及び情報管理プラム 発生時刻 アプリケーション名 アクション 成否 ユーザ ID ユーザ名 IP アドレス 2010/05/07 08:58:27 App1 イン 成功 U00002 鈴木一郎 の各項目の意味が分りやすい Logstorage Logstorage により変換 付与された情報により変換 付与された情報 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 33 圧倒的な収集実績と定義テンプレート 日本国内で利用されているものを中心に 200 種以上の収集実績 [OSシステム イベント] [Web/ プロキシ ] [ ネットワーク機器 ] [ メール ] [OSシステム イベント] [Web/ プロキシ ] [ ネットワーク機器 ] [ メール ] Windows Apache Cisco PIX MS Exchange Windows Apache Cisco PIX MS Exchange Solaris IIS Cisco Catalyst sendmail Solaris IIS Cisco Catalyst sendmail AIX BlueCoat NetScreen Postfix AIX BlueCoat NetScreen Postfix HP-UX i-filter PaloAlto PA qmail HP-UX i-filter PaloAlto PA qmail Linux squid SSG Exim Linux squid SSG Exim BSD WebSense VPN-1 その他 BSD WebSense VPN-1 その他 その他 WebSphere Firewall-1 その他 WebSphere Firewall-1 WebLogic SSL-VPN WebLogic SSL-VPN Apache Tomcat FortiGate [ アンチウィルス ] [ クライアント操作 ] Apache Tomcat FortiGate [ アンチウィルス ] [ クライアント操作 ] Cosminexus NOKIA IP Cosminexus NOKIA IP Symantec AntiVirus その他 SonicWall Symantec AntiVirus LanScope Cat その他 SonicWall TrendMicro InterScan LanScope Cat BIG-IP TrendMicro InterScan InfoTrace InfoTrace BIG-IP McAfee VirusScan IronPort McAfee VirusScan MylogStar MylogStar IronPort その他 [ データベース ] IVEX Logger ServerIron その他 [ データベース ] IVEX Logger ServerIron 秘文 Oracle SmartCS 秘文 Oracle SmartCS CWAT SQLServer その他 CWAT SQLServer [ 複合機 ] その他 SeP DB2 [ 複合機 ] SeP DB2 QND/QOH PostgreSQL imagerunner QND/QOH PostgreSQL imagerunner その他 MySQL [Lotus Domino] Apeos その他 MySQL その他 [Lotus Domino] Apeos SecurePrint! その他 その他 Lotus Domino SecurePrint! その他 Lotus Domino [ サーバアクセス ] Notes AccessAnalyzer2 [ サーバアクセス ] Notes AccessAnalyzer2 [ データベース監査ツール ] Auge AccessWatcher ALogコンバータ [ データベース監査ツール ] Auge AccessWatcher [ その他 ] ALogコンバータ その他 [ その他 ] VISUACT PISO その他 VMware vcenter VMware vcenter VISUACT PISO SAP R/3 (ERP) File Server Audit Chakra SAP R/3 (ERP) File Server Audit Chakra NetApp (NAS) CA Access Control その他 SecureSphere CA Access Control その他 SecureSphere [ 運用監視 ] NetApp (NAS) SSDB 監査 [ 運用監視 ] ex-sg ( 入退室管理 ) ex-sg ( 入退室管理 ) SSDB 監査 AUDIT MASTER JP1 MSIESER ( パケットキャプチャ ) AUDIT MASTER JP1 MSIESER ( パケットキャプチャ ) IPLocks Systemwalker isecurity (iseries/as400) [ICカード認証] IPLocks Systemwalker isecurity (iseries/as400) [ICカード認証] SQLGuard OpenView その他 SQLGuard OpenView その他 SmartOn SmartOn その他 ARCACLAVIS その他 その他 その他 ARCACLAVIS その他 その他 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 34

18 Logstorage 連携製品 Logstorage 連携パック提供製品 開発元 販売元エムオーテックス株式会社株式会社ソリトンシステムズ株式会社ラネクシーデジタルアーツ株式会社株式会社シーイーシー NRIセキュアテクノロジーズ株式会社株式会社システムエグゼ株式会社アクアシステムズ株式会社インサイト テクノロジー株式会社ニューシステムテクノロジー株式会社アークン / 米 Imperva センドメール株式会社オージェテクノロジー株式会社株式会社網屋アイベクス株式会社ジャパンシステム株式会社株式会社アシストセキュリティフライデー株式会社株式会社日本システムディベロップメント 製品名 LanScope Cat InfoTrace MylogStar i-filter SecurePrint! SecureCube / AccessCheck SSDB 監査 AUDIT MASTER PISO Chakra SecureSphere DMG Sendmail Auge AccessWatcher ALogコンバータ IVEX Logger シリーズ ARCACLAVIS Revo 監査れポータル VISUACT File Server Audit 2010 年 6 月現在 [ 管理対象を限定した特別エディション [ 管理対象を限定した特別エディション ] ] Logstorage Logstorage アライアンス版アライアンス版 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 35 Windows イベント収集 解析機能 EventLogCollector Ver.4 新機能 解析対象 種別 内容 ローカルオン ローカルからのオン / オン失敗 リモートオン リモートからのオン / オン失敗 ファイルアクセス ファイルの読み込み / 書き込み / 削除 / 名前変更 / 印刷 プロセス起動 終了 プロセスの起動 / 終了 管理者操作 管理者 (Administrators) 操作 Windowsファイアウォール ファイアウォールの有効 / 無効 ルール作成 / 変更 / 削除 ポート許可 / ブロック システム設定変更 イベントの削除 / 時刻変更 / タスクスケジュール登録 / サービス登録 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 36

19 まとめ Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 37 統合管理システムのポイントまとめ 理解可能 かつ追跡可能な形でを管理すること のフォーマットは変わる事を前提として管理すること に機密情報を含むケースは多い に対してアクセス権を設定すること 本来あるべき正しい状態と 実際に起こった状態 ( ) を突合する事により 価値のあるレポートが生まれる 統合管理は 始めてみなければわからない事も多い まずは小さく始めて ( スモールスタート ) 改善 拡張するというアプローチが有効 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 38

20 開発元 インフォサイエンス株式会社 東京都港区芝浦 2-4-1インフォサイエンスビル お問い合わせ先 インフォサイエンス株式会社プロダクト事業部 TEL FAX mail : info@logstorage.com Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 39 END 結局 はどう使われているのか? ~ 目指すべき管理の姿とは ~ 2010/8/25 インフォサイエンス株式会社プロダクト事業部稲村大介 Copyright(C) 2010 Infoscience Corporation. All Rights Reserved. 2010/8/25 40