23.2 XDASを使用した監査

Syslogアペンダの有効化

監査メッセージを一カ所で集中管理するには、Syslogアペンダを使用します。加えて、Syslogサーバは災害発生時に優れたバックアップサポートを提供します。

Syslogアペンダを有効にするには、xdasxconfig.propertiesファイルに次の変更を加えます。

Syslog SSL接続用の証明書の生成

Syslog接続用の証明書を生成するには:

ローリングファイルアペンダの有効化

監査ソリューションが個別のサーバに制限されている場合は、ファイルアペンダをお勧めします。また、このソリューションは、セットアップするコンポーネントの数が少なく立ち上げが容易なため、デモンストレーションに向いています。

ローリングファイルアペンダを有効にするには、xdasconfig.propertiesファイルに次の変更を加えます。

iManagerプラグインを使用したXDASの設定

監査するXDASイベントの設定

XDASアカウント管理イベントのフィルタリング

アカウント用のフィルタリングを設定して、特定のイベントのみを検索することができます。たとえば、誰かがeDirectoryでユーザアカウントを作成したら通知が届くようにするには、新しいユーザオブジェクトの作成に関するイベントをログに記録するため、ユーザオブジェクトクラスを選択するフィルタを作成できます。

アカウントフィルタリングを設定するには、［アカウント管理イベント］リンクをクリックして、クラスを選択してから、［OK］をクリックしてアプリケーションを終了します。

アカウント管理イベントのフィルタを設定するには:

設定済みのフィルタを使用して、XDAS監査モジュールは選択済みオブジェクトクラスと属性に関して生成されたイベントすべてをチェックし、それらのイベントをログに記録します。

XDASトラスト管理イベントのフィルタリング

［トラスト管理イベント］リンクをクリックし、トラスト管理イベントのフィルタを設定します。たとえば、誰かがeDirectoryで新しいトラストを作成したら通知が届くようにするには、新しいトラストの作成に関するイベントをログに記録するため、グループオブジェクトクラスを選択するフィルタを作成できます。

トラスト管理イベントのフィルタを設定するには:

フィルタを設定すると、XDAS監査モジュールはすべての選択済みオブジェクトクラスと属性に関して生成されたイベントすべてをチェックし、それらのイベントをログに記録します。

XDASデータ項目管理イベントのフィルタリング

［データ項目管理イベント］リンクをクリックし、XDASデータ項目のフィルタを設定します。XDASイベントを収集するオブジェクトのXDASデータ項目を設定できます。オブジェクトクラスを選択し、それらの属性を設定できます。

データ項目管理イベントのフィルタを設定するには:

設定済みのフィルタを使用して、XDAS監査モジュールはすべての選択済みオブジェクトクラスと属性に関して生成されたイベントをチェックし、それらのイベントをログに記録します。

除外フィルタを使用したeDirectoryイベントのフィルタリング

［除外フィルタ］リンクをクリックして、イベントを生成する必要がないオブジェクトクラスと属性のためのフィルタを設定します。オブジェクトクラスを選択し、それらの属性を設定できます。

不要なeDirectoryイベントのフィルタを設定するには:

設定済みのフィルタを使用して、XDAS監査モジュールは、すべての選択済みオブジェクトクラスと属性に関するイベントの生成を停止します。

XDAS JSONスキーマ

{
    "id":"XDAS",
    "title":"XDAS Version 2 JSON Schema",
    "description":"A JSON representation of an XDAS event record.",
    "type":"objectr",
    "properties":{
      "Source":{
        "description":"The original source of the event, if applicable.",
        "type":"string",
        "optional":true
      },
      "Observer":{
        "description":"The recorder (ie., the XDAS service) of the event.",
        "type":"object",
        "optional":false,
        "properties":{
          "Account":{"$ref":"account"},
          "Entity":{"$ref":"entity"}
        }
      },
      "Initiator":{
        "description":"The authenticated entity or access  that causes an event.",
        "type":"object",
        "optional":false,
        "properties":{
          "Account":{"$ref":"account","optional":true},
          "Entity":{"$ref":"entity"},
          "Assertions":{
            "description":"Attribute/value assertions about an identity.",
            "type":"object",
            "optional":true
          }
        }
      },
      "Target":{
        "description":"The target object, account, data item, etc of the event.",
        "type":"object",
        "optional":true,
        "properties":{
          "Account":{"$ref":"account"},
          "Entity":{"$ref":"entity"},
          "Data":{                           
            "description":"A set attribute/value pairs describing the target object.",        * 
            "type":"object",        
            "optional":true
          }  
        }
      },
      "Action":{
        "description":"The action describes the event in a uniform manner.",
        "type":"object",
        "optional":false,
        "properties":{
          "Event":{
            "description":"The event identifier in standard XDAS taxonomy.",
            "type":"object",
            "optional":false,
            "properties":{
              "Id":{
                "description":"The XDAS taxonomy event identifier.",
                "type":"string",
                "optional":false,
                "pattern":"/^[0-9]+(\.[0-9]+)*$/" 
              },
              "Name":{
                "description":"A short descriptive name for the specific event.", eg. a new replica is added 
                "type":"string",
                "optional":true
              },
      "CorrelationID":{
          "description":"Correlation ID, source#uniqueID#connID",
                 "type":"string",
                 "optional":true
      }
     },
     "SubEvent":{
      "type":object
      "description": "Describes the actual domain specific event that has occured.",
      "optional":true,
      "properties":{
        "Name"":{
                    "description":"A short descriptive name for this event.",
                    "type":"string",
                    "optional":true
                  },
      }
            }  
          }
          "Log":{
            "description":"Client-specified logging attributes.",
            "optional":true,
            "properties":{
              "Severity":{"type":"integer", "optional":true},
              "Priority":{"type":"integer", "optional":true},
              "Facility":{"type":"integer", "optional":true}
            }
          }
          "Outcome":{
            "description":"The XDAS taxonomy outcome identifier.",
            "type":"string",
            "optional":false,
            "pattern":"/^[0-9]+(\.[0-9]+)*$/"
          }
          "Time":{
            "description":"The time the event occurred.",
            "type":"object",
            "optional":false,
            "properties":{
              "Offset":{
                "description":"Seconds since Jan 1, 1970.",
                "type":"integer"
              },
              "Sequence":{
                "description":"Milliseconds since last integral second.",
                "type":"integer",
                "optional":true
              },
              "Tolerance":{
                "description":"A tolerance value in milliseconds.",
                "type":"integer",
                "optional":true
              },
              "Certainty":{
                "description":"Percentage certainty of tolerance.",
                "type":"integer",
                "optional":true,
                "minimum":0,
                "maximum":100,
                "default":100,
              },
              "Source":{
                "description":"The time source (eg., ntp://time.nist.gov).",
                "type":"string",
                "optional":true
              },
              "Zone":{
                "description":"A valid timezone symbol (eg., MST/MDT).",
                "type":"string",
                "optional":true
              }
            }
      "ExtendedOutcome":{
            "description":"The XDAS taxonomy outcome identifier.",
            "type":"string",
            "optional":false,
            "pattern":"/^[0-9]+(\.[0-9]+)*$/"
           }
        }
      }
    }
  },
  {
    "id":"account",
    "description":"A representation of an XDAS account.",
    "type":"object",
    "properties":{
      "Domain":{
        "description":"A (URL) reference to the authority managing this account.",    /* lets take it as the partition?
        "type":"string"
      },
      "Name":{
        "description":"A human-readable account name.",        - DN
        "type":"string",
        "optional":true
      },
      "Id":{
        "description":"A machine-readable unique account identifier value.",  - EntryID
        "type":"integer"
      }
    }
  },
  {
    "id":"entity",                    - Server details for Target, client address details for the initiator
    "description":"A representation of an addressable entity.",
    "type":"object",
    "properties":{
      "SysAddr":{"type":"string","optional":true},  
      "SysName":{"type":"string","optional":true},
      "SvcName":{"type":"string","optional":true},
      "SvcComp":{"type":"string","optional":true},
    }
  }

XDASフィールドの定義

スキーマ内のこれらのフィールドは、XDAS監査イベント用に定義されたフィールドです。これらのフィールドの一部または全部が他のタイプのイベントに関係している場合もありますが、監査サービスにはこの種の情報が不可欠です。XDAS JSONレコードフォーマットはオープンです。つまり、新しいフィールドは、それがXDAS標準で監査用に定義されたフィールド値と競合しない限り、レコードの任意の場所に追加することができます。そのため、特定のワークフローまたはクライアントセッション内のイベント間の相関データポイントとして使用可能なワークフロー識別子やセッション識別子などの特定のタイプの相関データが存在する場合は、それらのフィールドを追加することができます。フィールドの競合していない名前を選択するだけです。

結果コード

結果コードは、イベントコードによく似た階層数値です。結果コードは、成功または失敗クラスと理由を表します。成功階層は、0.x sub-arcでカプセル化されます。失敗クラスは、1.x階層で表現されます。拒否コードは、2.x階層で表現されます。

イベントの例

イベントの例を以下に示します。

Mar 16 21:46:40 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "164.99.179.142","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "164.99.179.142:43230"}},"Target" : {"Data" : {"ClassName" : "Tree Root","Name" : "TREEUPGRADE","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.3.2","Name" : "QUERY_DATA_ITEM_ATTRIBUTE","CorrelationID" : "eDirectory#5#","SubEvent" : "DSE_LIST_PARTITIONS"},"Time" : {"Offset" : 1489681000},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}