XDASv2イベントは、次のカテゴリに分類されます。
識別情報は、特定のユーザまたはエンティティを表すために使用するトークンです。あるアクションに対する非難または賞賛は、システム内での一連のアクティビティの識別情報に送付されます。アカウントは、通常識別情報に関連付けられた識別子のセットに、属性を関連付けるために、アプリケーションドメインに存在します。識別情報は、ある人間に設定することができ、また人間や定期的にスケジュールされるシステムアクティビティの代わりに機能する別のサービスのような自動化された識別情報にすることもできます。両方のケースで、アカウント管理は、永続的なアカウントの作成と見なされ、一連の限定的または無制限のシステム権限を持つ識別情報が属性に関連付けられます。
メモ:アカウントセキュリティトークンの変更イベントは、アカウントの変更の観点から定義することもできましたが、アカウントセキュリティトークンの変更が監査セキュリティに不可欠と考えられるため、それ自体のイベントが与えられます。
表 H-2 アカウント管理イベントの分類
|
イベント名 |
イベント Identifier |
対応するeDirイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
アカウントの作成 |
0.0.0.0 |
DSE_CREATE_ENTRY DSE_LDAP_ADD DSE_LDAP_ADDRESPONSE DSE_NAME_COLLISION |
新規アカウントを作成します |
このイベントは、上で定義されているようなアカウントが作成される状況の場合に適宜検討してください。 |
|
アカウントを削除する |
0.0.0.1 |
DSE_DELETE_ENTRY DSE_LDAP_DELETE DSE_LDAP_DELETERESPONSE DSE_MOVE_SOURCE_ENTRY DSE_REMOVE_ENTRY |
既存のアカウントを削除します |
このイベントには、アカウント作成の反対のセマンティック上の意味があります。このイベントは、上で説明したようなアカウントが削除される場合に必ず使用します。 |
|
アカウントを無効にする |
0.0.0.2 |
DSE_LOGIN DSE_ADD_VALUE |
既存のアカウントを無効にします |
このイベントは、識別子データベース内の特定レコードが管理者または自動化されたセキュリティプロセスによって無効にされ、再度有効にされるまで使用できなくなるような状況に関連する場合に検討してください。 |
|
アカウントを有効にする |
0.0.0.3 |
DSE_ADD_VALUE |
既存のアカウントを有効にします |
このイベントは、上で定義されているアカウントの無効化イベントと対になるイベントです。 |
|
アカウントの問い合わせ |
0.0.0.4 |
DSE_SEARCH DSE_DSA_READ DSE_INSPECT_ENTRY DSE_LDAP_SEARCH DSE_LDAP_SEARCHENTRYRESPONSE DSE_LDAP_COMPARE |
既存のアカウントを問い合わせます |
特定アカウントの属性情報を要求する場合は必ず、アカウントの照会イベントを検討してください。 |
|
アカウントの変更 |
0.0.0.5 |
DSE_MERGE_ENTRIES DSE_ADD_VALUE DSE_DELETE_ATTRIBUTE DSE_DELETE_VALUE DSE_LDAP_MODDN DSE_LDAP_MODDNRESPONSE DSE_LDAP_MODIFY DSE_LDAP_MODIFYRESPONSE DSE_MODIFY_ENTRY DSE_MODIFY_RDN DSE_RENAME_ENTRY |
既存のアカウントを変更します |
特定アカウントの属性情報変更を要求する場合は必ず、アカウントの変更イベントを検討してください。 |
|
アカウントセキュリティトークンの変更 |
0.0.0.6 |
DSE_CHGPASS |
既存のアカウントセキュリティトークンを変更します |
アカウントセキュリティトークンは、パスワード、またはユーザアカウントに関連付けられた、その他のタイプの認証用データの場合があります。この場合、ユーザアカウントとは、ユーザ、アプリケーション、またはシステムサービスが認証を受けるために使用するアカウントで、認証後にそのアカウントの権限を使用して処理するようなアカウントのタイプを意味しています。 |
このセクションでは、次のアカウント管理イベントの例を示します。
メモ:次の各セクションで紹介する例は、参考のためにのみ示しています。
［アカウントの作成］をクリックして、ユーザアカウントを作成するためのイベントを生成します。JSON形式の次のような出力が生成されます。
Jan 08 15:06:03 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SLES11-SP2,O=mycom"},"Entity" : {"SysAddr" : "100.1.1.2","SysName" : "SLES11-SP2.my.com"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32805"}},"Target" : {"Data" : {"ClassName" : "User","Name" : "CN=USER,O=mycom"}},"Action" : {"Event" : {"Id" : "0.0.2.0","Name" : "CREATE_ACCOUNT","CorrelationID" : "eDirectory#25#0ef05b4c-e864-4d4c-f7a9-4c5bf00e64e8","SubEvent" : "DSE_CREATE_ENTRY"},"Time" : {"Offset" : 1389173763},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
前の例は、XML形式では(JSON形式から変換した場合)次のように表示されます。
<Source>eDirectory#DS</Source>
<Observer>
<Account>
<Domain>MYTREE</Domain>
<Name>CN=SLES11-SP2,O=mycom</Name>
</Account>
<Entity>
<SysAddr>100.1.1.2</SysAddr>
<SysName>SLES11-SP2.my.com</SysName>
</Entity>
</Observer>
<Initiator>
<Account>
<Name>CN=admin,O=mycom</Name>
<Id>32805</Id>
</Account>
</Initiator>
<Target>
<Data>
<ClassName>User</ClassName>
<Name>CN=USER,O=mycom</Name>
</Data>
</Target>
<Action>
<Event>
<Id>0.0.2.0</Id>
<Name>CREATE_ACCOUNT</Name>
<CorrelationID>eDirectory#25#0ef05b4c-e864-4d4c-f7a9-4c5bf00e64e8</CorrelationID>
<SubEvent>DSE_CREATE_ENTRY</SubEvent>
</Event>
<Time>
<Offset>1389173763</Offset>
</Time>
<Log>
<Severity>7</Severity>
</Log>
<Outcome>0</Outcome>
<ExtendedOutcome>0</ExtendedOutcome>
</Action>
［アカウントの削除］をクリックして、次の例に示すように、ユーザアカウントを作成するためのイベントを生成します。
Jan 08 15:17:10 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SLES11-SP2,O=mycom"},"Entity" : {"SysAddr" : "100.1.1.2","SysName" : "SLES11-SP2-164.my.com"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32805"}},"Target" : {"Data" : {"Name" : "CN=USER,O=mycom"}},"Action" : {"Event" : {"Id" : "0.0.0.1","Name" : "DELETE_ACCOUNT","CorrelationID" : "eDirectory#25#bc9563e5-d322-43c5-fb91-e56395bc22d3","SubEvent" : "DSE_REMOVE_ENTRY"},"Time" : {"Offset" : 1389174430},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［アカウントの無効化］をクリックして、次の例に示すように、ユーザアカウントを無効にするためのイベントを生成します。
Jan 08 10:18:34 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Domain" : "MYTREE"},"Entity" : {"SysAddr" : "0.0.0.0:0"},"Assertions" : {"NullPassword" : "FALSE","bindery login" : "FALSE"}},"Target" : {"Data" : {"ClassName" : "NCP Server","Name" : "CN=SRV1,O=mycom"}},"Action" : {"Event" : {"Id" : "0.0.0.2","Name" : "DISABLE_ACCOUNT","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_LOGIN"},"Time" : {"Offset" : 1389847714},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［アカウントの有効化］をクリックして、次の例に示すように、ユーザアカウントを有効にするためのイベントを生成します。
Jan 08 10:18:34 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32809"},"Entity" : {"SysAddr" : "100.1.2.142:40645"}},"Target" : {"Data" : {"Attribute Name" : "Object Class","Attribute Value" : "ndsLoginProperties","Name" : "dc=LDAPValidate","Syntax" : "20"}},"Action" : {"Event" : {"Id" : "0.0.0.3","Name" : "ENABLE_ACCOUNT","CorrelationID" : "eDirectory#41#4477577d-b132-4d62-9e89-7d57774432b1","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1389847714},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［アカウントの照会］をクリックして、次の例に示すように、ユーザアカウントを問い合わせるためのイベントを生成します。
Jan 08 10:18:34 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Domain" : "MYTREE"},"Entity" : {"SysAddr" : "0.0.0.0:0"}},"Target" : {"Data" : {"Name" : "CN=Test User1,dc=LDAPValidate"}},"Action" : {"Event" : {"Id" : "0.0.0.4","Name" : "QUERY_ACCOUNT","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_DSA_READ"},"Time" : {"Offset" : 1389847714},"Log" : {"Severity" : 7},"Outcome" : "1","ExtendedOutcome" : "-603"}}
［アカウントの変更］をクリックして、次の例に示すように、ユーザアカウントを問い合わせるためのイベントを生成します。
Jan 08 10:18:34 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Domain" : "MYTREE"},"Entity" : {"SysAddr" : "0.0.0.0:0"}},"Target" : {"Data" : {"Attribute Flag" : "2","Name" : "CN=Test User1,dc=LDAPValidate"}},"Action" : {"Event" : {"Id" : "0.0.0.5","Name" : "MODIFY_ACCOUNT","CorrelationID" : "eDirectory#0#fa79e19c-034a-445b-6292-9ce179fa4a03","SubEvent" : "DSE_MODIFY_ENTRY"},"Time" : {"Offset" : 1389847714},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［アカウントセキュリティトークンの変更］をクリックして、次の例に示すように、ユーザアカウントを問い合わせるためのイベントを生成します。
Jan 08 10:18:34 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32809"},"Entity" : {"SysAddr" : "100.1.2.142:40645"}},"Target" : {"Data" : {"Name" : "CN=Test User1,dc=LDAPValidate"}},"Action" : {"Event" : {"Id" : "0.0.0.6","Name" : "MODIFY_ACCOUNT_SECURITY_TOKEN","CorrelationID" : "eDirectory#41#d0f97989-ac20-401f-03ab-8979f9d020ac","SubEvent" : "DSE_CHGPASS"},"Time" : {"Offset" : 1389847714},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
セッションとは、イニシエータを通信のストリームと関連付けることです。セッションは、LinuxホストまたはWindowsホストへのログインの場合のように、ユーザのサーバへの接続を表す場合があり、またブラウザクライアントとWebサーバ間の永続トランザクションを維持するためにcookieを使用する場合のように、接続レス環境での一連の関連トランザクションを表す場合もあります。
表 H-3 セッション管理イベントの分類
|
イベント名 |
イベント Identifier |
対応するeDirectoryイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
セッションの作成 |
0.0.1.0 |
DSE_LDAP_CONNECTION |
新規セッションを作成します |
このイベントは、新規セッション(上で定義した)が作成されるたびに報告される必要があります。 |
|
［セッションを終了する］ |
0.0.1.1 |
DSE_LOGOUT |
既存のセッションを終了します |
このイベントは、既存セッション(上で定義した)が終了されるたびに報告される必要があります。 |
|
セッションの変更 |
0.0.1.3 |
DSE_CHANGE_CONN_STATE |
ユーザセッション属性を変更します |
このイベントは、既存セッションで属性情報が変更されるたびに報告される必要があります。 |
次の各セクションに、セッション管理イベントの例を示します。
［セッションの作成］をクリックして、次の例に示すように、セッションを作成するためのイベントを生成します。
Jan 08 10:18:34 eDirectory : INFO {"Source" : "eDirectory#LDAP","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Entity" : {"SysAddr" : "164.99.136.142:40645"},"Assertions" : {"netAddress" : "164.99.136.142:50590","operationTime" : "01/16/14 10:18:34"}},"Target" : {"Data" : {"connection" : "231405696"}},"Action" : {"Event" : {"Id" : "0.0.1.0","Name" : "CREATE_SESSION","CorrelationID" : "eDirectory#4294967295#","SubEvent" : "DSE_LDAP_CONNECTION"},"Time" : {"Offset" : 1389847714},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［セッションの変更］をクリックして、次の例に示すように、セッションを変更するためのイベントを生成します。
Jan 08 10:19:34 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "0.0.0.0:0"},"Assertions" : {"NetAddress" : "164.99.136.142"}},"Target" : {"Data" : {"Name" : "CN=SRV1,O=mycom","newFlags" : "1","oldFlags" : "0"}},"Action" : {"Event" : {"Id" : "0.0.1.3","Name" : "MODIFY_SESSION","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_CHANGE_CONN_STATE"},"Time" : {"Offset" : 1389847774},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
このイベントセットは、ドメイン内のデータ項目とリソースエレメントの作成および管理に関連しています。データ項目またはリソースエレメントのタイプは、ドメインによって異なります。たとえば、オペレーティングシステム内のファイルとディレクトリ、デバイスの特殊なファイル、および共有メモリセグメント、データベース内のテーブルとレコード、電子メールシステム内のメッセージです。データ項目という用語は、このコンテキストで任意のタイプのリソースエレメントを指すために使用されます。
表 H-4 データ項目およびリソースエレメント管理イベントの分類
|
イベント名 |
イベント Identifier |
対応するeDirイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
データ項目の作成 |
0.0.2.0 |
DSE_CREATE_BACKLINK DSE_CREATE_ENTRY DSE_CREATE_SUBREF DSE_LDAP_ADD DSE_LDAP_ADDRESPONSE DSE_NAME_COLLISION DSE_SPLIT_DONE DSE_SPLIT_PARTITION |
データ項目を作成します |
このイベントは、セキュリティ関連のデータ項目またはリソースエレメントが作成されるたびに報告されます。 |
|
データ項目の削除 |
0.0.2.1 |
DSE_DELETE_ENTRY DSE_JOIN_PARTITIONS DSE_LDAP_DELETE DSE_LDAP_DELETERESPONSE DSE_MOVE_SOURCE_ENTRY DSE_REMOVE_ENTRY DSE_REMOVE_ENTRY_DIR DSE_REMOTE_SERVER_DOWN |
データ項目を削除します |
このイベントは、セキュリティ関連のデータ項目またはリソースエレメントが削除されるたびに報告されます。 |
|
データ項目の属性の変更 |
0.0.2.3 |
DSE_ABORT_PARTITION_OP DSE_ADD_PROPERTY DSE_ADD_REPLICA DSE_ADD_VALUE DSE_CHANGE_REPLICA_TYPE DSE_CHECK_SEV DSE_DEFINE_ATTR_DEF DSE_DEFINE_CLASS_DEF DSE_DELETE_ATTRIBUTE DSE_DELETE_PROPERTY DSE_DELETE_VALUE DSE_LDAP_MODDN DSE_LDAP_MODDNRESPONSE DSE_GEN_CA_KEYS DSE_LDAP_MODIFY DSE_LDAP_MODIFYRESPONSE DSE_LDAP_PASSWDMODIFY DSE_MERGE_ENTRIES DSE_MODIFY_CLASS_DEF DSE_MODIFY_ENTRY DSE_MODIFY_RDN DSE_MOVE_SUBTREE DSE_MOVE_TREE DSE_MUTATE_ENTRY DSE_PARTITION_STATE_CHG DSE_PARTITION_EVENT DSE_RECERT_PUB_KEY DSE_REMOVE_ATTR_DEF DSE_REMOVE_BACKLINK DSE_REMOVE_CLASS_DEF DSE_REMOVE_REPLICA DSE_RENAME_ENTRY DSE_STREAM DSE_UPDATE_ATTR_DEF DSE_UPDATE_CLASS_DEF DSE_UPDATE_REPLICA DSE_UPDATE_SCHEMA DSE_UPDATE_SEV |
データ項目の属性を変更します |
このイベントは、セキュリティ関連のデータ項目またはリソースエレメント(値、またはデータ項目の属性のいずれか)が変更されるたびに報告されます。 |
|
データ項目の属性の問い合わせ |
0.0.2.2 |
DSE_CHECK_SEV DSE_COMPARE_ATTR_VALUE DSE_DSA_READ DSE_INSPECT_ENTRY DSE_LDAP_COMPARE DSE_LDAP_COMPARERESPONSE DSE_LDAP_SEARCH DSE_LDAP_SEARCHENTRYRESPONSE DSE_LDAP_SEARCHRESPONSE DSE_LIST_CONT_CLASSES DSE_LIST_PARTITIONS DSE_LIST_SUBORDINATES DSE_READ_ATTR DSE_READ_REFERENCES DSE_REFERRAL DSE_SEARCH DSE_STREAM DSE_VERIFY_PASS DSE_LOW_LEVEL_JOIN |
データ項目の属性を問い合わせます |
このイベントは、セキュリティ関連のデータ項目またはリソースエレメント(値、またはデータ項目の属性のいずれか)が照会されるたびに報告されます。 |
次のセクションに、データ項目およびリソースエレメント管理イベントを生成するための例をいくつか示します。
［データ項目の作成］をクリックして、次の例に示すように、データ項目を作成するためのイベントを生成します。
Jan 17 12:15:31 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "DYN_MARA","Name" : "CN=SLES11-SP2-164,O=novell"},"Entity" : {"SysAddr" : "164.99.179.164","SysName" : "SLES11-SP2-164.labs.blr.novell.com"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=novell","Id" : "32797"}},"Target" : {"Data" : {"ClassName" : "Computer","Name" : "CN=TEST-COM,O=novell"}},"Action" : {"Event" : {"Id" : "0.0.6.0","Name" : "CREATE_DATA_ITEM","CorrelationID" : "eDirectory#15#d40ca920-e43e-4ecc-79b4-20a90cd43ee4","SubEvent" : "DSE_CREATE_ENTRY"},"Time" : {"Offset" : 1389941131},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［データ項目の削除］をクリックして、次の例に示すように、データ項目を削除するためのイベントを生成します。
Jan 08 10:18:35 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32809"},"Entity" : {"SysAddr" : "164.99.136.142:40645"}},"Target" : {"Data" : {"ClassName" : "User","Name" : "CN=NewTest User1,dc=LDAPValidate","newRDN" : "á°¸à¶\u0092"}},"Action" : {"Event" : {"Id" : "0.0.2.1","Name" : "DELETE_DATA_ITEM","CorrelationID" : "eDirectory#41#7ba31085-4e90-47fd-0aa6-8510a37b904e","SubEvent" : "DSE_MOVE_SOURCE_ENTRY"},"Time" : {"Offset" : 1389847715},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［データ項目の属性の変更］をクリックして、次の例に示すように、データ項目の属性を変更するためのイベントを生成します。
Jan 08 10:18:36 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32809"},"Entity" : {"SysAddr" : "100.1.2.164:40645"}},"Target" : {"Data" : {"Attribute Name" : "modifiersName","Attribute Value" : "CN=admin,O=mycom","ClassName" : "User","Name" : "CN=NewTest User2,OU=tmp,dc=LDAPValidate","Syntax" : "3"}},"Action" : {"Event" : {"Id" : "0.0.2.3","Name" : "MODIFY_DATA_ITEM_ATTRIBUTE","CorrelationID" : "eDirectory#41#0bbad762-4cd7-4063-4091-62d7ba0bd74c","SubEvent" : "DSE_DELETE_VALUE"},"Time" : {"Offset" : 1389847716},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［データ項目の属性の照会］をクリックして、次の例に示すように、データ項目の属性を照会するためのイベントを生成します。
Jan 08 10:18:36 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Id" : "4278190081"},"Entity" : {"SysAddr" : "100.1.2.164:35218"}},"Target" : {"Data" : {"Name" : "CN=SRV1,O=mycom"}},"Action" : {"Event" : {"Id" : "0.0.2.2","Name" : "QUERY_DATA_ITEM_ATTRIBUTE","CorrelationID" : "eDirectory#19#","SubEvent" : "DSE_READ_ATTR"},"Time" : {"Offset" : 1389847716},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
このイベントセットは、サービスまたはアプリケーションの管理に関連しています。たとえば、RPM Package Managerは、パッケージがインストールまたはLinuxシステムから削除されると、これらのイベントを発生させる場合があります。Windows 32のシステムイベントログに送信されるWindows 32のサービスコントロールマネージャ(SCM)イベントは、OpenXDASv2にインポートされる際に、これらのイベントに変換されることがあります。このイベントセットは、1つのアプリケーションドメイン内のインストール可能な実行可能モジュールのインストール、削除、設定などの概念を含み、はるかにドメイン固有でもある可能性があります。重要な考え方は、報告対象のイベントにセキュリティ上の意味があることを確認することです。
表 H-5 サービスまたはアプリケーション管理イベントの分類
|
イベント名 |
イベント Identifier |
対応するeDirイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
サービスの有効化 |
0.0.3.5 |
DSE_CHANGE_MODULE_STATE |
サービスまたはアプリケーションを有効にします |
このイベントは、サービス、操作、または機能が有効にされると報告されます。 |
|
サービスの無効化 |
0.0.3.4 |
DSE_CHANGE_MODULE_STATE |
サービスまたはアプリケーションを無効にします |
このイベントは、サービス、操作、または機能が無効にされると報告されます。 |
次の各セクションに、サービスまたはアプリケーションの管理に関連するイベントの例を示します。
［サービスの有効化］をクリックして、次の例に示すように、サービスを有効にするためのイベントを生成します。
Jan 08 15:06:03 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "GMC1-OESMARA","Name" : "CN=SLES11-SP3-191,O=novell"},"Entity" : {"SysAddr" : "164.99.179.191","SysName" : "sles11-sp3-191"}},"Initiator" : {"Account" : {"Domain" : "GMC1-OESMARA","Name" : "CN=SLES11-SP3-191,O=novell"}},"Target" : {"Data" : {"Module State" : "Loaded","Name" : "libspmdclnt.so"}},"Action" : {"Event" : {"Id" : "0.0.3.5","Name" : "ENABLE_SERVICE","CorrelationID" : "eDirectory#4294967295#","SubEvent" : "DSE_CHANGE_MODULE_STATE"},"Time" : {"Offset" : 1390473064},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［サービスの無効化］をクリックして、次の例に示すように、サービスを無効にするためのイベントを生成します。
Jan 08 16:04:58 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "GMC1-OESMARA","Name" : "CN=SLES11-SP3-191,O=novell"},"Entity" : {"SysAddr" : "164.99.179.191","SysName" : "sles11-sp3-191"}},"Initiator" : {"Account" : {"Domain" : "GMC1-OESMARA","Name" : "CN=SLES11-SP3-191,O=novell"}},"Target" : {"Data" : {"Module State" : "Unloaded","Name" : "libssldp.so"}},"Action" : {"Event" : {"Id" : "0.0.3.4","Name" : "DISABLE_SERVICE","CorrelationID" : "eDirectory#4294967295#","SubEvent" : "DSE_CHANGE_MODULE_STATE"},"Time" : {"Offset" : 1390473298},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
このイベントクラスは、サービスおよびアプリケーションの使用に関連しています。イベントクラスは、通常プログラムまたはプロシージャの実行、および処理環境の操作にマップされます。
表 H-6 サービスまたはアプリケーション利用イベントの分類
|
イベント名 |
イベント Identifier |
対応するeDirイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
サービスの起動 |
0.0.4.0 |
DSE_START_UPDATE_SCHEMA |
サービスまたはアプリケーションを起動します |
このイベントは、セキュリティ関連のサービスが起動されると報告されます。 |
|
サービスの停止 |
0.0.4.1 |
DSE_END_UPDATE_SCHEMA |
サービスまたはアプリケーションを停止します |
このイベントは、サービスが停止されると報告されます。 |
|
プロセスコンテキストの変更 |
0.0.4.3 |
DSE_CHANGE_TREE_NAME DSE_LDAP_MODLDAPSERVER DSE_MERGE_TREE DSE_PART_STATE_CHG_REQ DSE_REPAIR_TIME_STAMPS DSE_RESET_DS_COUNTERS DSE_SERVER_ADDRESS_CHANGE DSE_SERVER_RENAME DSE_SET_NEW_MASTER DSE_SYNTHETIC_TIME |
処理コンテキストを変更します |
このイベントは、プロセスコンテキストのいずれかの属性が変更されると報告されます。このイベントは、オペレーティングシステムにある程度固有ですが、他のドメイン固有のアプリケーションでの使用もいくつか見られます。 |
次の各セクションに、サービスまたはアプリケーション利用イベントの例を示します。
［サービスの起動］をクリックして、次の例に示すように、サービスを起動するためのイベントを生成します。
Jan 08 10:18:37 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Domain" : "MYTREE"},"Entity" : {"SysAddr" : "0.0.0.0:0"}},"Target" : {"Data" : {"Name" : "dc=Events"}},"Action" : {"Event" : {"Id" : "0.0.4.0","Name" : "INVOKE_SERVICE","CorrelationID" : "eDirectory#0#a23fbaea-c482-4d6b-a98c-eaba3fa282c4","SubEvent" : "DSE_PURGE_START"},"Time" : {"Offset" : 1389847717},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［サービスの停止］をクリックして、次の例に示すように、サービスを停止するためのイベントを生成します。
Jan 08 10:18:37 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Domain" : "MYTREE"},"Entity" : {"SysAddr" : "0.0.0.0:0"}},"Target" : {"Data" : {"Name" : "CN=SLES11-SP2-164,O=mycom"}},"Action" : {"Event" : {"Id" : "0.0.4.1","Name" : "TERMINATE_SERVICE","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_SYNC_SVR_OUT_END"},"Time" : {"Offset" : 1389847717},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［プロセスコンテキストの変更］をクリックして、次の例に示すように、プロセスコンテキストのいずれかの属性が変更された場合にイベントを生成します。
Jan 08 10:30:18 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "0.0.0.0:0"}},"Action" : {"Event" : {"Id" : "0.0.4.3","Name" : "MODIFY_PROCESS_CONTEXT","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_SET_BINDERY_CONTEXT"},"Time" : {"Offset" : 1389848418},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
ピアの関連付けイベントは、ユーザまたは識別情報の、グループとの関連付け、またはあるドメイン固有コンテキスト内の2ユーザの関連付けに関連します。たとえば、LDAPユーザをグループに追加したり、ドメイン固有の目的でアプリケーションの識別情報関連付けデータベース内の2ユーザを関連付けたりすることです。これらのイベントは、フェデレーションのために、異なる認証ドメイン内での識別情報の関連付けにも関連します。
たとえば、ドメインAにある1つの識別情報がドメインBによって管理されるサービスに要求する場合、ピアの関連付けが、これらのドメイン間で必要になります。この関連付けは、よく「信頼関係」と呼ばれます。実装の観点から見ると、信頼関係の設定は、多くの場合ドメインBで特定の識別情報を設定することによって行われます。この識別情報は、ドメインA内の識別情報から受信した要求のプロキシ(代理人)として使用されます。信頼関係は、非常に複雑になる可能性がありますが、ドメインA内の個々の識別情報がドメインBの特定の識別情報と個々の関連付けを保持できます。
表 H-7 ピアの関連付け管理イベントの分類
|
イベント名 |
イベント Identifier |
対応するeDirイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
ピアの関連付けの作成 |
0.0.5.0 |
DSE_ADD_MEMBER |
ピアとの関連付けを作成します |
このイベントは、新しいピアの関連付けが作成されると報告されます。 |
|
ピアの関連付けの停止 |
0.0.5.1 |
DSE_DELETE_MEMBER DSE_DELETE_VALUE |
ピアとの関連付けを停止します |
このイベントは、既存のピアの関連付けが破棄されると報告されます。 |
次の各セクションに、ピアの関連付け管理イベントの例を示します。
［ピアの関連付けの作成］をクリックして、次の例に示すように、新しいピアの関連付けが作成された場合にイベントを生成します。
Jan 08 10:18:14 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32809"},"Entity" : {"SysAddr" : "100.1.2.3:37573"}},"Target" : {"Data" : {"Attribute Name" : "LDAP Screen Level","Attribute Value" : "29257","ClassName" : "LDAP Server","Name" : "CN=LDAP Server - SLES11-SP2-164,O=mycom","Syntax" : "8"}},"Action" : {"Event" : {"Id" : "0.0.5.0","Name" : "CREATE_PEER_ASSOCIATION","CorrelationID" : "eDirectory#38#c92dfc98-2b8c-4116-0197-98fc2dc98c2b","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1389847694},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［ピアの関連付けの停止］をクリックして、次の例に示すように、既存のピアの関連付けが破棄された場合にイベントを生成します。
Jan 08 10:18:14 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32809"},"Entity" : {"SysAddr" : "100.1.2.3:37573"}},"Target" : {"Data" : {"Attribute Name" : "modifiersName","Attribute Value" : "CN=admin,O=mycom","ClassName" : "LDAP Server","Name" : "CN=LDAP Server - SLES11-SP2-164,O=mycom","Syntax" : "3"}},"Action" : {"Event" : {"Id" : "0.0.5.1","Name" : "TERMINATE_PEER_ASSOCIATION","CorrelationID" : "eDirectory#38#c92dfc98-2b8c-4116-0197-98fc2dc98c2b","SubEvent" : "DSE_DELETE_VALUE"},"Time" : {"Offset" : 1389847694},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
リソースコンテンツアクセスイベントは、認証ドメインによって保護されたデータファイルのアクセスに関連します。このデータファイルは、ファイルシステムのファイル、データベースのレコード、Webページなどの可能性があります。アプリケーションの実装時に、リソースへのアクセスに対するセキュリティの保護を検討してください。リソースへのアクセスは、高い帯域幅のプロセスになる可能性があります。このため、セキュリティ関連のイベントだけを報告する必要があります。このような実装は、アプリケーション管理者によってアプリケーションレベルで設定できるようにする(つまり、ポリシーベースにする)必要があります。これは、このようなアプリケーションでインフラストラクチャとユーザインタフェースをさらに追加して、管理者が監査する必要があるリソースへのアクセスイベントを管理できるようにし、セキュリティコンテキストで重要でないイベントを特定できるようにすることを意味しています。
表 H-8 データ項目またはリソースエレメントコンテンツアクセスイベントの分類
|
イベント名 |
イベント Identifier |
対応するeDirイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
データ項目の関連付けの作成 |
0.0.6.0 |
DSE_ADD_VALUE |
データ項目との関連付けを作成します |
このイベントは、識別情報によって特定のデータ項目に対する権限が付与された場合、つまり識別情報とデータ項目間で信頼関係が確立されると報告されます。 |
|
データ項目の関連付けの停止 |
0.0.6.1 |
DSE_DELETE_ATTRIBUTE DSE_DELETE_VALUE |
データ項目との関連付けを停止します |
このイベントは、識別情報から特定のデータ項目に対する権限が取り消された場合、つまり識別情報とデータ項目間で信頼関係が取り消されると報告されます。 |
|
データ項目の関連付けの変更 |
0.0.6.3 |
DSE_BKLINK_OPERATOR DSE_BKLINK_SEV DSE_CHANGE_OBJ_SECURITY DSE_CHANGE_PROP_SECURITY DSE_CHANGE_SECURITY_EQUALS |
データ項目との関連付けのコンテキストを変更します |
このイベントは、識別情報と特定のデータ項目間で前に確立された関係に対する権限が変更されると報告されます。 |
次の各セクションに、データ項目とリソースエレメント管理イベントの例を示します。
［データ項目の関連付けの作成］をクリックして、次の例に示すように、識別情報によって特定のデータ項目に対する権限が付与された場合にイベントを生成します。
Jan 08 10:20:18 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=SLES11-SP2-164,O=mycom","Id" : "32833"},"Entity" : {"SysAddr" : "100.1.2.164:39570"}},"Target" : {"Data" : {"Attribute Name" : "Local Received Up To","Attribute Value" : "2918332558536081408","ClassName" : "Tree Root","Syntax" : "9"}},"Action" : {"Event" : {"Id" : "0.0.0.0","Name" : "CREATE_DATA_ITEM_ASSOCIATION","CorrelationID" : "eDirectory#21#bf97ffb6-91d0-4019-6988-b6ff97bfd091","SubEvent" : "DSE_ADD_VALUE"},"Time" : {"Offset" : 1389847818},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［データ項目の関連付けの停止］をクリックして、次の例に示すように、識別情報から特定のデータ項目に対する権限が取り消された場合にイベントを生成します。
Jan 08 10:20:18 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=SLES11-SP2-164,O=mycom","Id" : "32833"},"Entity" : {"SysAddr" : "100.1.2.164:39570"}},"Target" : {"Data" : {"Attribute Name" : "syncPanePoint","ClassName" : "Tree Root","Syntax" : "9"}},"Action" : {"Event" : {"Id" : "0.0.6.1","Name" : "TERMINATE_DATA_ITEM_ASSOCIATION","CorrelationID" : "eDirectory#21#bf97ffb6-91d0-4019-6988-b6ff97bfd091","SubEvent" : "DSE_DELETE_ATTRIBUTE"},"Time" : {"Offset" : 1389847818},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
役割管理イベントはデータ項目の観点からも分類できますが、役割管理が識別情報を管理するシステムにとって重要であるため、XDASv2分類内で、それら自体のカテゴリも与えられました。
表 H-9 役割管理イベントの分類
|
イベント名 |
イベント Identifier |
対応するeDirイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
ロールの作成 |
0.0.8.0 |
DSE_CREATE_ENTRY DSE_LDAP_ADD DSE_LDAP_ADDRESPONSE DSE_NAME_COLLISION DSE_ADD_ENTRY |
新規ロール(役割)を作成します |
新規ロールを作成するか、または新規ロールの作成が試みられます。 |
|
ロールの削除 |
0.0.8.1 |
DSE_DELETE_ENTRY DSE_DELETE_VALUE DSE_LDAP_DELETE DSE_LDAP_DELETERESPONSE DSE_MOVE_SOURCE_ENTRY DSE_REMOVE_ENTRY |
既存のロール(役割)を削除します |
既存ロールを削除するか、または既存ロールの削除が試みられます。 |
|
ロールの変更 |
0.0.8.5 |
DSE_ADD_VALUE DSE_DELETE_ATTRIBUTE DSE_DELETE_VALUE DSE_LDAP_MODIFY DSE_LDAP_MODIFYRESPONSE DSE_MERGE_ENTRIES DSE_MODIFY_ENTRY DSE_MODIFY_RDN DSE_RENAME_ENTRY |
役割属性を変更します |
役割属性が変更されるか、または役割属性の変更が試みられます。 |
|
ロールの問い合わせ |
0.0.8.4 |
DSE_LDAP_SEARCH DSE_LDAP_COMPARE |
役割属性を問い合わせます |
役割属性が照会されるか、または役割属性の照会が試みられます。 |
次の各セクションに、役割管理イベントの例を示します。
［ロールの作成］をクリックして、次の例に示すように、新規ロール(役割)が作成されるか、または新規ロールの作成が試みられた場合にイベントを生成します。
Jan 08 10:18:34 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32809"},"Entity" : {"SysAddr" : "164.99.136.142:40645"}},"Target" : {"Data" : {"Name" : "dc=LDAPValidate"}},"Action" : {"Event" : {"Id" : "0.0.8.0","Name" : "CREATE_ROLE","CorrelationID" : "eDirectory#41#4477577d-b132-4d62-9e89-7d57774432b1","SubEvent" : "DSE_ADD_ENTRY"},"Time" : {"Offset" : 1389847714},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［ロールの削除］をクリックして、次の例に示すように、既存ロール(役割)が削除されるか、または既存ロールの削除が試みられた場合にイベントを生成します。
Jan 08 10:18:35 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32809"},"Entity" : {"SysAddr" : "164.99.136.142:40645"}},"Target" : {"Data" : {"ClassName" : "User","Name" : "CN=NewTest User1,dc=LDAPValidate","newRDN" : "á°¸à¶\u0092"}},"Action" : {"Event" : {"Id" : "0.0.8.1","Name" : "DELETE_ROLE","CorrelationID" : "eDirectory#41#7ba31085-4e90-47fd-0aa6-8510a37b904e","SubEvent" : "DSE_MOVE_SOURCE_ENTRY"},"Time" : {"Offset" : 1389847715},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［ロールの変更］をクリックして、次の例に示すように、役割属性が変更されるか、役割属性の変更が試みられた場合にイベントを生成します。
Jan 08 10:20:23 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=SLES11-SP2-164,O=mycom","Id" : "32833"},"Entity" : {"SysAddr" : "100.1.2.164:39570"}},"Target" : {"Data" : {"Attribute Name" : "Convergence","ClassName" : "domain","Name" : "dc=Events","Syntax" : "8"}},"Action" : {"Event" : {"Id" : "0.0.8.5","Name" : "MODIFY_ROLE","CorrelationID" : "eDirectory#21#e01904e8-b3b2-4012-3c98-e80419e0b2b3","SubEvent" : "DSE_DELETE_ATTRIBUTE"},"Time" : {"Offset" : 1389847823},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［ロールの照会］をクリックして、次の例に示すように、役割属性が問い合わされたとき、または役割属性の問い合わせが試みられたときにイベントを生成します。
Jan 08 10:19:35 eDirectory : INFO {"Source" : "eDirectory#LDAP","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "cn=admin,o=mycom"},"Entity" : {"SysAddr" : "164.99.136.142:42181"},"Assertions" : {"msgID" : "14","netAddress" : "164.99.136.142:50596","operationTime" : "01/16/14 10:19:34"}},"Target" : {"Data" : {"Data" : ", search filter: (objectclass=inetOrgPerson)","DataLen" : "44","Name" : "cn=Test User1,dc=LDAPValidate","connection" : "231405696","searchScope" : "base"}},"Action" : {"Event" : {"Id" : "0.0.8.4","Name" : "QUERY_ROLE","CorrelationID" : "eDirectory#4294967295#","SubEvent" : "DSE_LDAP_SEARCH"},"Time" : {"Offset" : 1389847775},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
例外イベントはごくまれに生成されるために、生成されると重要であると見なされます。たとえば、企業の重要なサーバのシャットダウンは、誰かの許可なしに起こりえないため例外的です。
表 H-10 例外イベントの分類
|
イベント名 |
イベント Identifier |
対応するeDirイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
システムの起動 |
0.0.9.0 |
DSE_AGENT_OPEN_LOCAL DSE_RELOAD_DS |
システムを起動します |
このイベントは、サーバ、システム、またはミッションクリティカルなアプリケーションが起動すると報告されます。 |
|
システムのシャットダウン |
0.0.9.1 |
DSE_AGENT_CLOSE_LOCAL |
システムをシャットダウンします |
このイベントは、サーバ、システム、またはミッションクリティカルなアプリケーションがシャットダウンすると報告されます。 |
|
データストアのバックアップ |
0.0.9.6 |
DSE_BACKUP_ENTRY |
データストアをバックアップします |
このイベントは、サーバ、システム、またはミッションクリティカルなアプリケーションが重要なデータストアをバックアップすると報告されます。 |
|
データストアの回復 |
0.0.9.7 |
DSE_RESTORE_ENTRY |
データストアを回復します |
このイベントは、サーバ、システム、またはミッションクリティカルなアプリケーションが重要なデータストアを回復すると報告されます。 |
次の各セクションに、例外イベントの例を示します。
［システムの起動］をクリックして、次の例に示すように、サーバ、システム、またはミッションクリティカルなアプリケーションが起動するとイベントを生成します。
Jan 08 16:18:58 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "GMC1-OESMARA","Name" : "CN=SLES11-SP3-191,O=novell"},"Entity" : {"SysAddr" : "164.99.179.191","SysName" : "sles11-sp3-191"}},"Initiator" : {"Account" : {"Domain" : "GMC1-OESMARA","Name" : "CN=SLES11-SP3-191,O=novell"},"Entity" : {"SysAddr" : "0.0.0.0:0"}},"Action" : {"Event" : {"Id" : "0.0.9.0","Name" : "START_SYSTEM","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_AGENT_OPEN_LOCAL"},"Time" : {"Offset" : 1390474138},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［システムのシャットダウン］をクリックして、次の例に示すように、サーバ、システム、またはミッションクリティカルなアプリケーションがシャットダウンするとイベントを生成します。
Jan 08 16:18:47 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "GMC1-OESMARA","Name" : "CN=SLES11-SP3-191,O=novell"},"Entity" : {"SysAddr" : "164.99.179.191","SysName" : "sles11-sp3-191"}},"Initiator" : {"Account" : {"Domain" : "GMC1-OESMARA","Name" : "CN=SLES11-SP3-191,O=novell"},"Entity" : {"SysAddr" : "0.0.0.0:0"}},"Action" : {"Event" : {"Id" : "0.0.9.1","Name" : "SHUTDOWN_SYSTEM","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_AGENT_CLOSE_LOCAL"},"Time" : {"Offset" : 1390474127},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［データストアの回復］をクリックして、次の例に示すように、サーバ、システム、またはミッションクリティカルなアプリケーションがデータストアを回復するとイベントを生成します。
Jan 08 10:18:35 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Domain" : "MYTREE"},"Entity" : {"SysAddr" : "100.1.2.164:32146"}},"Target" : {"Data" : {"Name" : "OU=tmp,dc=LDAPValidate"}},"Action" : {"Event" : {"Id" : "0.0.9.5","Name" : "RECOVER_DATA_STORE","CorrelationID" : "eDirectory#12#a565474e-e320-4121-2e9a-4e4765a520e3","SubEvent" : "DSE_RESTORE_ENTRY"},"Time" : {"Offset" : 1389847715},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
XDASv1では、認証をセッション属性の変更として規定していました。XDASv2では、認証が監査にとって不可欠なため、認証を最も重要なイベントとして規定しています。
表 H-11 認証イベントの分類
|
イベント名 |
イベントID |
eDirectoryイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
認証セッション |
0.0.11.0 |
DSE_LDAP_BIND DSE_LDAP_BINDRESPONSE DSE_LOGIN |
新しい識別情報がセッションに関連付けられます。 |
ユーザがセッションを認証すると、新しい識別情報がそのセッションに関連付けられます。その結果、この識別情報は、保護されたリソースの要求を承認するために使用されます。 |
|
セッションを認証しない |
0.0.11.1 |
DSE_LDAP_UNBIND |
ユーザが既存の認証セッションから自分の識別情報の関連付けを積極的に解除します。 |
ユーザが自分のWebブラウザで［ログアウト］ボタンをクリックすると、前に認証された識別情報が既存の認証済みセッションから削除されます。 |
|
アクセストークンの作成 |
0.0.11.4 |
DSE_ALLOW_LOGIN DSE_GEN_CA_KEYS DSE_RECERT_PUB_KEY |
SAMLv2、WS-*、OAuth、またはその他のアクセストークンは要求に応じて提供されています。 |
リソースのアクセストークンは、サービスのコンシューマに送信するためにサービス(または識別情報)プロバイダによって作成されています。アクセスは、時間枠によって制限されます。具体的には、事前に合意されたトークン内の名前と値のペアによって指定されたコントラクトの観点からの、要求されたリソース、またはその他の制限的条件によって制限されます。アクセストークンを作成して送信する処理は、保護されたリソースへの限定的な特定の権限を持つ新しい擬似識別情報の開始を意味しています。この擬似識別情報は、この識別情報と将来の許可イベントとの間の相関識別子として使用できます。アクセストークンの背後にあるシステムユーザの実際の識別情報は、コンシューマに表示することも非表示にすることもできます。 |
次の各セクションに、認証イベントの例を示します。
［認証セッション］をクリックして、次の例に示すように、ユーザがセッションを認証して、新しい識別情報がそのセッションに関連付けられた場合にイベントを生成します。
Jan 08 10:11:50 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "CN=admin,O=mycom","Id" : "32809"},"Entity" : {"SysAddr" : "100.1.2.164:54162"},"Assertions" : {"NetAddress" : "100.1.2.164","NullPassword" : "FALSE","bindery login" : "FALSE"}},"Target" : {"Data" : {"ClassName" : "User","Name" : "CN=SRV1,O=mycom"}},"Action" : {"Event" : {"Id" : "0.0.11.0","Name" : "AUTHENTICATE_SESSION","CorrelationID" : "eDirectory#25#","SubEvent" : "DSE_LOGIN"},"Time" : {"Offset" : 1389847310},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［セッションを認証しない］をクリックして、次の例に示すように、ユーザがセッションを認証して、新しい識別情報がそのセッションに関連付けられた場合にイベントを生成します。
Jan 08 10:20:26 eDirectory : INFO {"Source" : "eDirectory#LDAP","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Name" : "cn=admin,o=mycom"},"Entity" : {"SysAddr" : "164.99.136.142:42181"},"Assertions" : {"msgID" : "54","netAddress" : "164.99.136.142:50596","operationTime" : "01/16/14 10:20:26"}},"Target" : {"Data" : {"connection" : "231405696"}},"Action" : {"Event" : {"Id" : "0.0.11.1","Name" : "UNAUTHENTICATE_SESSION","CorrelationID" : "eDirectory#4294967295#","SubEvent" : "DSE_LDAP_UNBIND"},"Time" : {"Offset" : 1389847826},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
［アクセストークンの作成］をクリックして、次の例に示すように、リソースのアクセストークンがサービスのコンシューマに送信するためにサービス(または識別情報)プロバイダによって作成された場合にイベントを生成します。
Jan 08 10:18:34 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "MYTREE","Name" : "CN=SRV1,O=mycom"},"Entity" : {"SysAddr" : "100.1.2.164","SysName" : "SLES11-SP2-164"}},"Initiator" : {"Account" : {"Domain" : "MYTREE"},"Entity" : {"SysAddr" : "0.0.0.0:0"}},"Target" : {"Data" : {"ClassName" : "NCP Server","Name" : "CN=SRV1,O=mycom"}},"Action" : {"Event" : {"Id" : "0.0.11.4","Name" : "CREATE_ACCESS_TOKEN","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_ALLOW_LOGIN"},"Time" : {"Offset" : 1389847714},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}
オペレーショナルイベントは、サービスまたはアプリケーションの操作に関連します。オペレーショナルイベントは、通常プログラムの操作に関連するイベント、またはアプリケーションのモジュールに関連する操作にマップされます。
表 H-12 オペレーショナルイベントの分類
|
イベント名 |
イベントID |
eDirectoryイベント |
説明 |
使用対象: |
|---|---|---|---|---|
|
eDirオペレーショナルID |
0.1.0.3.0.0 |
DSE_CRC_FAILURE DSE_DELETE_SUBTREE DSE_DELETE_UNUSED_EXTREF DSE_DSA_BAD_VERB DSE_LDAP_UNKNOWNOP DSE_LOST_ENTRY DSE_NEW_SCHEMA_EPOCH DSE_NO_REPLICA_PTR DSE_PURGE_ENTRY_FAIL DSE_RESEND_ENTRY |
サービスまたはアプリケーションの操作に関連するイベント。 |
イベントをログに記録してeDirectoryの操作IDを生成するために使用されます。 |