23.3 CEFによる監査

システム要件

NetIQ Audit iManagerプラグインをインストールして使用するには、iManager 3.1以降が必要です。要件とダウンロード手順については、NetIQ iManagerの製品ページを参照してください。

CEF用のiManagerプラグインのインストール

CEF用のiManagerプラグインは、eDirectory 9.2プラグインにバンドルされています。または、NetIQダウンロードサイトからeDirectoryプラグインをダウンロードできます。

iManagerプラグインをインストールするには:

CEFプロパティファイルの設定

eDirectoryメディアでは、サンプルプロパティファイルであるauditlogconfig.properties.templateファイルがconfigdir (n4u.server.configdir)ディレクトリに格納されています。

表 23-1に、LinuxオペレーティングシステムとWindowsオペレーティングシステム上のauditlogconfig.propertiesファイルのデフォルトの場所を示します。

/etc/opt/novell/eDirectory/conf/
auditlogconfig.properties

<Install Path>/novell/nds/auditlogconfig.properties
 

プロパティファイルを設定してから、環境をeDirectory 9.2から最新バージョンにアップグレードする場合、インストーラはプロパティファイルを置き換えません。代わりに、アップグレードプロセスがこのファイル(auditlogconfig.properties)を更新してカスタマイズ内容が保持されるようにします。

iManagerのインストール後、CEFを設定できます。CEF環境設定は、単純なテキストベースのauditlogconfig.properties環境設定ファイルに保存されます。実際の要件に応じてこのファイルをカスタマイズできます。

CEF auditlogconfig.propertiesファイルには次の情報が含まれています。

Linux

# Set the level of the root logger to DEBUG and attach appenders.
#log4j.rootLogger=debug, S, R

# Defines appender S to be a SyslogAppender. 
#log4j.appender.S=org.apache.log4j.net.SyslogAppender

# Defines location of Syslog server.
#log4j.appender.S.Host=localhost
#log4j.appender.S.Port=port

# Specify protocol to be used (UDP/TCP/SSL)
#log4j.appender.S.Protocol=TCP

# Specify SSL certificate file for SSL connection.
# File path should be given with double backslash.
#log4j.appender.S.SSLCertFile=/etc/opt/novell/mycert.pem

# Minimum log-level allowed in syslog.
#log4j.appender.S.Threshold=INFO

# Defines the type of facility.
#log4j.appender.S.Facility=USER

# Defines caching for SyslogAppender.
# Inputs should be yes/no
#log4j.appender.S.CacheEnabled=no

# Cache location directory
# Directory should be available for creating cache files
#log4j.appender.S.CacheDir=/var/opt/novell/eDirectory

# Cache File Size
# Cache File Size should be in the range of 50MB to 4000MB
#log4j.appender.S.CacheMaxFileSize=500MB

# Layout definition for appender Syslog S.
#log4j.appender.S.layout=org.apache.log4j.PatternLayout
#log4j.appender.S.layout.ConversionPattern=%c: %m%n

# Defines appender R to be a Rolling File Appender.
#log4j.appender.R=org.apache.log4j.RollingFileAppender

# Log file for appender R.
#log4j.appender.R.File=/var/opt/novell/eDirectory/log/cef-events.log

# Max size of log file for appender R.
#log4j.appender.R.MaxFileSize=100MB

# Set the maximum number of backup files to keep for appender R.
# Max can be 13. If set to zero, then there will be no backup files.
#log4j.appender.R.MaxBackupIndex=10

# Layout definition for appender Rolling log file R.
#log4j.appender.R.layout=org.apache.log4j.PatternLayout
#log4j.appender.R.layout.ConversionPattern=%d{MMM dd HH:mm:ss} %c %m%n

Windows

# Brief description for appenders and their options are provided.
# For detailed decriptions refer to log4cxx documentation.

# Set the level of the root logger to DEBUG and attach appenders.
#log4j.rootLogger=debug, S, R

# Defines appender S to be a SyslogAppender.
#log4j.appender.S=org.apache.log4j.net.SyslogAppender

# Defines location of Syslog server.
#log4j.appender.S.Host=localhost
#log4j.appender.S.Port=port

# Specify protocol to be used (UDP/TCP/SSL).
#log4j.appender.S.Protocol=SSL

# Specify SSL certificate file for SSL connection.
# File path should be given with double backslash.
#log4j.appender.S.SSLCertFile=C:\\Novell\\mycert.pem

# Minimum log-level allowed in syslog.
#log4j.appender.S.Threshold=INFO

# Defines the type of facility.
#log4j.appender.S.Facility=USER

# Defines caching for SyslogAppender.
# Inputs should be yes/no
#log4j.appender.S.CacheEnabled=yes

# Cache location directory
# Directory should be available for creating cache files
#log4j.appender.S.CacheDir=C:\\NetIQ\\eDirectory

# Cache File Size
# Cache File size should be in the range of 50MB to 4000MB
#log4j.appender.S.CacheMaxFileSize=500MB

# Layout definition for appender Syslog S.
#log4j.appender.S.layout=org.apache.log4j.PatternLayout
#log4j.appender.S.layout.ConversionPattern=%c: %m%n

# Defines appender R to be a Rolling File Appender.
#log4j.appender.R=org.apache.log4j.RollingFileAppender

# Log file for appender R.
# File path should be given with double backslash.
#log4j.appender.R.File=C:\\cef-events.log

# Max size of log file for appender R.
#log4j.appender.R.MaxFileSize=100MB

# Set the maximum number of backup files to keep for appender R.
# Max can be 13. If set to zero, then there will be no backup files.
#log4j.appender.R.MaxBackupIndex=10

# Layout definition for appender Rolling log file R.
#log4j.appender.R.layout=org.apache.log4j.PatternLayout
#log4j.appender.R.layout.ConversionPattern=%d{MMM dd HH:mm:ss} %c %m%n

auditlogconfig.propertiesファイルの内容を検討する前に、以下の考慮事項を確認することをお勧めします。

次の表に、auditlogconfig.propertiesファイル内設定に関する情報を示します。

表 23-2に、米国で解釈される日付と時刻のパターンの例を示します。指定されている日付と時刻は、米国太平洋タイムゾーンの2012年7月4日12時8分56秒です。

log4j.appender.R.layout.ConversionPattern=%c: %m%n

監査用のCEFの設定

モジュールのロードとアンロード

CEFイベントを設定したら、次のコマンドを実行して、CEFモジュールをロードまたはアンロードします。

ndsdサーバの起動時に自動的にcefauditdsモジュールをロードするには:

cefauditdsモジュールを手動でロードまたはアンロードするには:

CEFイベントキャッシングの有効化

eDirectory 9.2では、必要に応じて、CEFイベントをエージェントのSyslogアペンダキャッシュにローカルに保存することができます。イベントをキャッシュに保存することにより、エージェントが監査サーバと通信できない場合にも、生成された監査イベントが保持され、監査データが消失しないように守られます。エージェントコンピュータが監査サーバと再び通信できるようになると、エージェントは、キャッシュに保存されたイベントの再送信を試みます。

CEFのイベントキャッシングはデフォルトでは無効となっています。イベントキャッシングを有効にするには、次の手順を実行します。

CEFイベントタイプについて

イベントを次のカテゴリに記録するように、CEFを設定できます。

次のデフォルトセットのイベントタイプを監査できます。

CEFイベントのコレクタの使用

コレクタを使用してCEFイベントを収集する方法について詳しくは、Sentinel Plug-insページのeDirectoryコレクタ資料を参照してください。

CEF監査イベントのフィルタ処理について

CEFは、フィルタとイベント通知を使用して、特定のタイプのイベントが発生したとき、または、発生しなかったときにレポートを作成できます。1つまたは複数の固有オブジェクトクラスまたは属性のイベントを、イベントタイプに応じてフィルタ処理することもできます。CEFは、生成されたすべてのイベントをeDirectoryサーバで設定済みのフィルタに照らして評価し、それらのフィルタに一致するイベントのみをログに記録します。

このセクションでは、システムフィルタと通知の設定に必要な情報を提供します。

CEF実装スキーマ

このドキュメントでは、CEFプロトコルを定義し、標準の実装方法の詳細を記します。ここでは、標準で使用されるヘッダと定義済みの拡張について説明します。

Jan 18 11:07:53 host CEF:Version|Device Vendor|Device Product|Device
Version|Device Event Class ID|Name|Severity|[Extension]

Oct 31 16:29:37 NetIQ CEF:0|NetIQ|eDirectory|9.1|CEF0B035D|AUTHENTICATE|1|dvc=164.99.179.194 dvchost=SLES12SP2-194 rt=Oct 31 2017 16:29:37 dtz=IST sourceServiceName=CN\=SLES12SP2-194,OU\=server,OU\=co,O\=in sproc=eDirectory#DS src=164.99.179.194 spt=0 suser=CN\=admin,OU\=novell,OU\=co,O\=in duser=CN\=admin,OU\=novell,OU\=co,O\=in cs2Label=Class Name cs2=User cs3Label=Tree Name cs3=TEST-CEF-AGN cs4Label=Correlation ID cs4=eDirectory#16# cs6Label=Server Name cs6=CN\=SLES12SP2-194,OU\=server,OU\=co,O\=in flexString2Label=SubEvent flexString2=DSE_AUTHENTICATE flexNumber2Label=Grouping flexNumber2=309 cat=Security reason=0 outcome=Success

CEFイベント

XDASイベントについて詳しくは、セクション I.0, eDirectoryイベントとCEFイベントのマッピング を参照してください。