23.1 CEFによる監査

システム要件

Audit OpenText Identity Consoleアプリケーションをインストールして使用するには、OpenText Identity Console 1.5以上が必要です。要件やダウンロード手順については、「OpenText Identity Consoleのインストールの計画 」を参照してください。

CEF用のOpenText Identity Consoleのインストール

OpenText Identity Consoleアプリケーションをインストールするには:

CEFプロパティファイルの設定

OpenText eDirectoryメディアでは、サンプルプロパティファイルであるauditlogconfig.properties.templateファイルがconfigdir (n4u.server.configdir)ディレクトリに格納されています。

次の表に、LinuxオペレーティングシステムとWindowsオペレーティングシステム上のauditlogconfig.propertiesファイルのデフォルトの場所を示します。

/etc/opt/novell/eDirectory/conf/
auditlogconfig.properties

<Install Path>/novell/nds/auditlogconfig.properties
 

プロパティファイルを設定してから、環境をOpenText eDirectory 9.2から最新バージョンにアップグレードする場合、インストーラはプロパティファイルを置き換えません。代わりに、アップグレードプロセスがこのファイル(auditlogconfig.properties)を更新してカスタマイズ内容が保持されるようにします。

OpenText Identity Consoleのインストール後に、CEFを設定できます。CEF環境設定は、単純なテキストベースのauditlogconfig.properties環境設定ファイルに保存されます。実際の要件に応じてこのファイルをカスタマイズできます。

CEF auditlogconfig.propertiesファイルには次の情報が含まれています。

Linux

# Set the level of the root logger to DEBUG and attach appenders.
#log4j.rootLogger=info, S, R

# Defines appender S to be a SyslogAppender. 
#log4j.appender.S=org.apache.log4j.net.SyslogAppender

# Defines location of Syslog server.
#log4j.appender.S.Host=localhost
#log4j.appender.S.Port=port

# Specify protocol to be used (UDP/TCP/SSL)
#log4j.appender.S.Protocol=TCP

# Specify SSL certificate file for SSL connection.
# File path should be given with double backslash.
#log4j.appender.S.SSLCertFile=/etc/opt/novell/mycert.pem

# Minimum log-level allowed in syslog.
#log4j.appender.S.Threshold=INFO

# Defines the type of facility.
#log4j.appender.S.Facility=USER

# Defines caching for SyslogAppender.
# Inputs should be yes/no
#log4j.appender.S.CacheEnabled=no

# Cache location directory
# Directory should be available for creating cache files
#log4j.appender.S.CacheDir=/var/opt/novell/eDirectory

# Cache File Size
# Cache File size should be in the range of 50MB to 4000MB in limited growth mode
# Cache File size should be set as 0MB to enable infinite growth of cache file
#log4j.appender.S.CacheMaxFileSize=500MB

# Layout definition for appender Syslog S.
#log4j.appender.S.layout=org.apache.log4j.PatternLayout
#log4j.appender.S.layout.ConversionPattern=%c: %m%n

# Defines appender R to be a Rolling File Appender.
#log4j.appender.R=org.apache.log4j.RollingFileAppender

# Log file for appender R.
#log4j.appender.R.File=/var/opt/novell/eDirectory/log/cef-events.log

# Max size of log file for appender R.
#log4j.appender.R.MaxFileSize=100MB

# Set the maximum number of backup files to keep for appender R.
# Max can be 13. If set to zero, then there will be no backup files.
#log4j.appender.R.MaxBackupIndex=10

# Layout definition for appender Rolling log file R.
#log4j.appender.R.layout=org.apache.log4j.PatternLayout
#log4j.appender.R.layout.ConversionPattern=%d{MMM dd HH:mm:ss} %c %m%n

Windows

# Brief description for appenders and their options are provided.
# For detailed decriptions refer to log4cxx documentation.

# Set the level of the root logger to DEBUG and attach appenders.
#log4j.rootLogger=info, S, R

# Defines appender S to be a SyslogAppender.
#log4j.appender.S=org.apache.log4j.net.SyslogAppender

# Defines location of Syslog server.
#log4j.appender.S.Host=localhost
#log4j.appender.S.Port=port

# Specify protocol to be used (UDP/TCP/SSL).
#log4j.appender.S.Protocol=SSL

# Specify SSL certificate file for SSL connection.
# File path should be given with double backslash.
#log4j.appender.S.SSLCertFile=C:\\Novell\\mycert.pem

# Minimum log-level allowed in syslog.
#log4j.appender.S.Threshold=INFO

# Defines the type of facility.
#log4j.appender.S.Facility=USER

# Defines caching for SyslogAppender.
# Inputs should be yes/no
#log4j.appender.S.CacheEnabled=yes

# Cache location directory
# Directory should be available for creating cache files
#log4j.appender.S.CacheDir=C:\\NetIQ\\eDirectory

# Cache File Size
# Cache File size should be in the range of 50MB to 4000MB in limited growth mode
# Cache File size should be set as 0MB to enable infinite growth of cache file
#log4j.appender.S.CacheMaxFileSize=500MB

# Layout definition for appender Syslog S.
#log4j.appender.S.layout=org.apache.log4j.PatternLayout
#log4j.appender.S.layout.ConversionPattern=%c: %m%n

# Defines appender R to be a Rolling File Appender.
#log4j.appender.R=org.apache.log4j.RollingFileAppender

# Log file for appender R.
# File path should be given with double backslash.
#log4j.appender.R.File=C:\\cef-events.log

# Max size of log file for appender R.
#log4j.appender.R.MaxFileSize=100MB

# Set the maximum number of backup files to keep for appender R.
# Max can be 13. If set to zero, then there will be no backup files.
#log4j.appender.R.MaxBackupIndex=10

# Layout definition for appender Rolling log file R.
#log4j.appender.R.layout=org.apache.log4j.PatternLayout
#log4j.appender.R.layout.ConversionPattern=%d{MMM dd HH:mm:ss} %c %m%n

auditlogconfig.propertiesファイルの内容を検討する前に、以下の考慮事項を確認することをお勧めします。

次の表に、auditlogconfig.propertiesファイル内設定に関する情報を示します。

次の表に、米国で解釈される日付と時刻のパターンの例を示します。指定されている日付と時刻は、米国太平洋タイムゾーンの2012年7月4日12時8分56秒です。

log4j.appender.R.layout.ConversionPattern=%c: %m%n

監査用のCEFの設定

モジュールのロードとアンロード

CEFイベントを設定したら、次のコマンドを実行して、CEFモジュールをロードまたはアンロードします。

ndsdサーバの起動時に自動的にcefauditdsモジュールをロードするには:

cefauditdsモジュールを手動でロードまたはアンロードするには:

CEFイベントキャッシングの有効化

OpenText eDirectory 9.2では、必要に応じて、CEFイベントをエージェントのSyslogアペンダキャッシュにローカルに保存することができます。イベントをキャッシュに保存することにより、エージェントが監査サーバと通信できない場合にも、生成された監査イベントが保持され、監査データが消失しないように守られます。エージェントコンピュータが監査サーバと再び通信できるようになると、エージェントは、キャッシュに保存されたイベントの再送信を試みます。

CEFのイベントキャッシングはデフォルトでは無効となっています。イベントキャッシングを有効にするには、次の手順を実行します。

CEFイベントタイプについて

イベントを次のカテゴリに記録するように、CEFを設定できます。

次のデフォルトセットのイベントタイプを監査できます。

CEFイベントのコレクタの使用

コレクタを使用してCEFイベントを収集する方法について詳しくは、Sentinel Plug-insページのOpenText eDirectoryコレクタ資料を参照してください。

CEF監査イベントのフィルタ処理について

CEFは、フィルタとイベント通知を使用して、特定のタイプのイベントが発生したとき、または、発生しなかったときにレポートを作成できます。1つまたは複数の固有オブジェクトクラスまたは属性のイベントを、イベントタイプに応じてフィルタ処理することもできます。CEFは、生成されたすべてのイベントをOpenText eDirectoryサーバで設定済みのフィルタに照らして評価し、それらのフィルタに一致するイベントのみをログに記録します。

このセクションでは、システムフィルタと通知の設定に必要な情報を提供します。

CEF実装スキーマ

このドキュメントでは、CEFプロトコルを定義し、標準の実装方法の詳細を記します。ここでは、標準で使用されるヘッダと定義済みの拡張について説明します。

Jan 18 11:07:53 host CEF:Version|Device Vendor|Device Product|Device
Version|Device Event Class ID|Name|Severity|[Extension]

Apr 15 19:43:37 eDirectory CEF:0|NetIQ|eDirectory|9.2.2|CEF0B035D|AUTHENTICATE|4|dvc=164.99.179.219 dvchost=WIN-ADKHVNQHFCR rt=1586960017190 dtz=India Standard Time sourceServiceName=CN\=WIN19,O\=novell sproc=eDirectory#DS src=164.99.179.219 spt=0 suser=CN\=admin,O\=novell duser=CN\=admin,O\=novell cs2Label=Class Name cs2=User cs3Label=Tree Name cs3=WIN19_tree cs4Label=Correlation ID cs4=eDirectory#24# cs6Label=Server Name cs6=CN\=WIN19,O\=novell flexString2Label=SubEvent flexString2=DSE_AUTHENTICATE flexNumber2Label=Grouping flexNumber2=2131 cat=Security reason=0 outcome=Success msg=CN\=admin,O\=novell (Class: User) authenticated from  to server CN\=WIN19,O\=novell : Success

CEFイベント

CEFイベントの詳細については、セクション G.0, OpenText eDirectoryイベントとCEFイベントのマッピングを参照してください。