File Server Audit

また導入時の手間だけではなく、導入後のシステムにも目を向けてみよう。

イベントログ収集型システムの場合、ファイルサーバでWindows監査ログを取得する必要があるために、ファイルサーバに負荷がかかり、ファイルサーバのパフォーマンスが悪化する可能性がある。ただでさえ「データ量の増加や、セキュリティソフトのインストールによって、サーバのパフォーマンスに不満…」というユーザーも多い中、これ以上、ファイルサーバに負荷をかけることは避けたいところだ。

File Server Audit は、ネットワークを監視するタイプのアクセスログ監視ツール。ファイルサーバに負荷をかけないため、現状のネットワークやシステムに、大きな手を加えることなく、従来通りのパフォーマンスを維持することが可能だ。

過去に何らかのログ解析を行ったことがあるユーザーならば、こんな感想を抱いたことがあるのではないだろうか？

「1つの操作で出力されるログが多く、重要なポイントを見逃してしまいがち！」

これはファイルを更新する際に自動的に生成されるテンポラリファイルなど、ログを追う際に本来不要な要素までが含まれているためだ。何が何でもログに残せばいいというわけではない。むしろ1つのログに対する表示行が多すぎることで、重要な部分も埋没してしまうという、負の要素すらあるのだ。

File Server Audit の場合、「いつ」「誰が」「何に」「何をした」といった必要情報が一目でわかるよう、1つのログに対する表示は1行に収まるように工夫されている。（下図参照）

File Server Audit とクライアントエージェント型の導入時間と運用時間/年との試算を見てみよう（日本システムディベロップメント試算、2007年、詳細は下表）。導入に必要な時間をそれぞれ比較すると、クライアントエージェント型の導入時間が6120分なのに対し、File Server Audit はわずか70分。導入時間と年間運用時間を合わせて比較すると、File Server Audit はなんと160分の1。大幅に時間が削減できるので、その分のコストメリットは膨大なものになるだろう。

■Samba、NASに対応
File Server Auditは、Samba、NASにも対応。Windowsベース以外のファイルサーバも監視可能なので、より幅広い環境で利用できる。

■Active Directoryに対応
ドメインコントローラを監視対象とすることで、ログオン・ログオフのログも統合管理が可能だ。

■サーバ管理者とログ管理者の分離
ファイルサーバと独立して設置することにより、サーバ管理とログ管理の権限を分離。サーバ管理者によるログの改竄を防止できる。

【課題】
●部門ごとに設置されているファイルサーバの情報漏洩対策に、情報システム部門の目が届きにくい。
●かといって全ファイルサーバの面倒を、情報システム部門が行うことは、負荷増大につながるので避けたい。
●仮に情報システム部門が、一元化してログ監視を行おうとしても、現場の業務に精通しているわけではないので、「適正な行為なのか」「何が漏洩してはいけないデータなのか」の判断までは行えない。

【File Server Auditで解決！】
●部門ごとのファイルサーバ個別に、File Server Auditを導入して、それぞれのアクセスログは、各部門の管理者がチェックする体制に！
●部門の業務内容を熟知している管理者によるログ監視で、より厳密なチェックが可能になり、情報システム部門の負荷も軽減される。
●アクセスログの監視を、部門管理者が行っていることを公表することで、抑止効果もアップ！

ログの絞込みにより、

　●休日なのにデータ持ち出しに関する作業をしているユーザーはいないか
　●退職直前の社員など、重点的に監視したいユーザーがどんな作業をしているか
　●漏洩すると特に影響が大きいファイルへアクセスしているのは誰か
　●コピーや読み込みなど情報漏洩に直結する作業はしていないか

などといった解析が可能になる。

「ログオンに失敗」＝「本来権限を持っていない作業を行おうとした」ケースを洗い出すことも可能なので、不正アクセスに対するログの把握もできる。
また、検索結果では操作の内容を色分けして表示可能。注意すべきログを直感的に識別できる（【特長3】の図参照）。

　●情報漏洩に直結する特定のファイルへアクセスするユーザーがいる
　●特定のユーザーがファイルのコピーを行っている
　●本来一般の社員がアクセスしないサーバにログオン（＝不正アクセス）を行おうとしたユーザーがいる
　●改ざんされると影響が大きいファイルに書き込みが行われている

このようにあらかじめ指定した条件に一致するアクセスがあった際に、メールでアラート通知を行うことができるので、危険な操作が行われても、リアルタイムで把握できる。リアルタイムでの危機察知ができることにより、迅速な対応が可能になる。