ベベストプラクテティスガイド EMC ISILO E I ON、EM MC COMMON EVENT E T ENA ABLER R、 V ONIS DATA VARO D ADVAN NTAG GE を使使用したたファイイルシシステム監査査約要約このホワイトペーパーでは、 SMB 環境境で EMC Isilon 、 EMC CEE （Co ommon Eve ent Enabler）、Varonis DatAdvanta D age を使用ししたファイルルシステム監査査ソリューショョンを構成するる場合のベストプラクティススに関するる概要を説明しします。 13 年 10 月 201 pyright © 2013 EMC Corporation.. All rights rreserved.（不不許複 Cop 製・禁禁無断転載） C Corporation は、この資資料に記載されれる情報が、発行日時点でで正確 EMC でああるとみなしています。この情情報は通知ななく変更されるることがあります。の資料に記載さされる情報はは、「現状有姿姿」の条件で提提供されています。この EMC C Corporation は、この資資料に記載されれる情報に関関する、どのような内容にについても表明明保証条項を設設けず、特に、商品性や特特定の目的に対対する適応応性に対する黙黙示の保証ははいたしませんん。の資料に記載さされる、いかななる EMC ソフフトウェアの使使用、複製、頒頒布も、この当該該ソフトウェアライセンスがが必要です。新の EMC 製品品名についてはは、EMC の Web W サイトで EMC Corporration 最新の商商標を参照しててください。 C2、EMC、EM MC のロゴ、C Celerra、Isiilon、および OneFS は、、EMC EMC Corrporation の登録商標またたは商標です。ーツ番号：H12 2428-J パー EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 2 目次次概要要 ....................................................................................................................... 4 EMC C Isilon OneFS の監査査の概要 ............................................................................... 4 監査査のアーキテククチャ ................................................................................................... 5 Varronis DatA Advantage e ......................................................................................... 5 監査査の要件............................................................................................................... 5 必必要なソフトウウェアバージョョン..................................................................................5 Isilon One eFS ソフトウェェア .................................................................................5 EMC Com mmon Eventt Enabler .........................................................................5 Varonis DatAdvantag D ge..................................................................................5 監査査管理 ................................................................................................................. 6 O OneFS WebUI での監査のの有効化 ..........................................................................6 C での監査の有効化 .........................................................................................7 CLI C でのアクセ CLI セスゾーンのの監査構成 .........................................................................7 特特定の監査イベベントの有効化 ..................................................................................8 すべての監査イベントの有効す効化 ................................................................................8 E EMC Commo on Event Enabler のイベベント転送の構構成 .................................................8 V Varonis DatA Advantage の構成 .......................................................................... 11 結論論 ..................................................................................................................... 14 関連連資料 ............................................................................................................... 14 付録録 ..................................................................................................................... 15 監監査ログビューーアー .......................................................................................... 15 監監査イベント ................................................................................................... 15 EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 3 概要要 IT の監査担当者の者は、知的財産産、顧客や従業員の個人情情報、社外秘の企業記録とといった機密情情報を含むむ非構造化デーータがデータセンターで急急増している問問題に直面してています。企業業の機密情報報の安全性性を確保し、政政府の規制を順順守する上でで、非構造化デデータの監査はは必須であるることから、ビジジネスクリテティカルな監査査機能のニーーズが高まってています。監査査を行うことによって、不正行為や不適切切な資格の付付与、不正アククセスの痕跡、、その他リスククの兆候をを示すさまざままな異常など、データ消失のの原因となりううる多くの状況況を検出できまます。金融サーービス、医療療、ライフサイイエンス、メディィア、エンターーテイメント、政政府機関の業業種のお客様はは、データを消消失から守るために策定定された厳格なな規制条件をを満たさなくてははなりません。セググメント主ななビジネス推進進要因金融融サービス SOX X（サーベンススオクスリー）法のコンプラライアンス要件件ヘルルスケア HIP PAA（医療保険険の相互運用用性と責任に関関する米国のの法律） 21 CFR（Part 11）のコンプラ 1 ライアンス要件件ライイフサイエンスス GIN NA（遺伝子情情報差別禁止法法）のコンプラライアンス要件件メデディア/エンターーテイメント MPA AA（アメリカ映映画協会）が定定めるコンテンンツ移動のセセキュリティ要要件政府府機関 STIG（Security Technical T Im mplementatiion Guide）/F FISMA （米国国連邦情報セセキュリティマネネジメント法）ののセキュリティ要件表 1： 1 規制要件規制制要件によってては、管理過程程でのコンププライアンスを実実証するためめに、ファイルルの作成や削除除などのフファイルシステテム操作の監監査が要求されれます。また、ストレージシステムの構シ成変更の追跡跡を目的とした監査が求求められる場合合もあります。。さらには、フファイルデータタや構成の変変更を伴わないいログオンン/ログオフイベントなどのイのアクティビテティを追跡するる必要もありまます。EMC® Isilon® OneFS® 7.1 で拡張されたた監査機能は、SMB ワーククフローと EMC Isilon のククラスター構成成の変更においてこれらのニーズを満満たします。 EM MC Isilo on OneF FS の監査査の概要 EMC C Isilon One eFS では、EM MC Isilon クラスターでのクシステム構成成イベントと SMB プロトコルルアクセススイベントを監監査できます。。監査データははすべて監査査トピックと呼ばばれるファイルルに格納されれ、これによよって収集されれたログデータタは監査ツールによるさらななる処理が可可能です。シスステム構成の監監査を有効ににした場合も無無効にした場合合も、追加の構構成は必要あありません。構構成の監査査を有効にするると、API で処処理されるすべべての構成イイベントが追跡跡され、構成監監査トピックに記記録されまます。構成イベベントは EMC CEE（Comm mon Event Enabler）には E は転送されません。 One eFS 7.1 ではは、SMB プロロトコルイベンントの監査を実実行できます。。プロトコル監監査は必ず有効効化した上上で、アクセスゾーンごとにに構成します。たとえば、システムのアククセスゾーンでではすべてのの SMB プロトコルイベントを監査し、別別のアクセスゾーンではファイル削除にに失敗したケーースのみを監査査することもも可能です。アクセスゾーンののプロトコル監監査を有効化すすると、SMB プロトコルを使プ使用したファイイルアクセスイベントがプロトコル監監査トピックにに記録されますす。プロトコルル監査トピックは、EMC Common Event E ® ® Ena abler をサポーートする監査アアプリケーショョンで使用できき、Varonis DatAdvan ntage などのの監査アププリケーションととの統合も可能能にします。 EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 4 監査査のアーキキテクチャャ One eFS 7.1 ではは、LWIO（Lik kewise Inpu ut/Output）フフィルターマネージャーがが作成されましした。このフィルターマネネージャーは、前処理およびび後処理の IR RP（I/O 要求求パケット）用ののプラグインフレームワワークを提供しします。IRP は、LWIO はでで処理されるププロトコルリククエストをエンンコードするメカカニズムをを提供し、ファイイルシステムムドライバーでで処理されるリリクエストをエンコードしますす。 One eFS 7.1 の場場合、カーネルルが IRP のササービスを終了してから監監査イベントが処理されますす。IRP に、監監査が有効ななアクセスゾーンの設定済ゾ済み監査イベベントが関わるる場合は、監査査のペイロードドが作成されます。監査査イベントは、SMB クライアアントのアクテティビティの開開始元である個個々のノードにに記録されまます。イベンントはその後、バイナリファァイルとして/iffs/.ifsvar/audit/logs に格納されますにす。ログのサイイズが 1 GB に達すると、自動的に新新しいファイルにロールオーーバーされますす。2 年間の監監査ログが必必要とされるる HIPAA などど、さまざまなな規制条件がああることを考慮慮して、監査ロログファイルはクラスターかから削除されません。監査査イベントのログが作成されれると、CEE フォワーダーフサービスによっサって CEE へののイベント転送送が処理されます。イベンントは HTTP PUT 操作によって転送されます。この時点で、CEE E は監査イベベントを定義されれたエンドポイイント（Varon nis DatAdva antage などど）に送信します。監査イベントは Varronis DatAd dvantage によって結合されれます。 Va aronis DatAdva D antage Varonis Systems は、デーータガバナンンスに特化したたソフトウェアアを提供する企企業です。Va aronis DattAdvantage は、監査デーータに基づくレレポートの容易な作成を可可能にし、それれらのレポート作成ツーールを製品の標標準機能としてて提供していまます。 DattAdvantage が作成するロログとレポートトには次のよううなものがありります。 • アクセスの詳詳細なサマリーー：日常的なイイベントの詳細細なログを表示示 • 機密データへへのアクセスにに関する詳細細なサマリー：ファイルアククセスの試行行に関する詳細細なログを表示 • ディレクトリアクセスの統計ア計 • ユーザーアククセスの統計計 • 戦術的アクセセスの統計監査査の要件必要要なソフトウェェアバージョョン Isilon OneFS ソフトウェア • OneFS 7.1 以降 EMC C Common n Event En nabler • CEE 6.1.0 以降以 Varronis DatA Advantage e • DatAdvantage バージョョン 5.8.x 以降降 • Microsoft SQL S Server Microso oft SQL Serrver 2005 Microso oft SQL Serrver 2008 Microso oft SQL Serrver 2012 EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 5 監査査管理 OneFS WebUI での監査査の有効化図 1： 1 OneFS の監査構成の One eFS の WebU UI で監査を有有効化するには、次の手順順に従います。。 1. ［Cluster Ma anagementt］を選択しますす。を選択します。 2. ［Auditing］を 3. ［Enable Pro otocol Acce ess Auditing g］をクリックしします。 4. 監査対象とすするアクセスゾーンを追加ゾします。 5. ［Event Forw warding］セクションで、C Common Event Enablerr がインストーールされたサーーバーの URI（Unifform Resou urce Identiffier）を入力しします。次のような形形式で入力しまます。 http://fully yqualifieddo omain:port//vee 例： http://c cee.example.com:122 228/vee ポート 12228 はデフォルルトの CEE HT TTP リスンポート。ポ EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 6 CLI I での監査のの有効化 On neFS 7.1 add ds the ‘isi au udit’ comman nd. 監査監査を有効にするるには clu uster-1# isi audit setting gs modify --p protocol-aud diting-enable ed on 監査監査を無効にするるには clu uster-1# isi audit setting gs modify --p protocol-aud diting-enable ed off clu uster-1# isi audit setting gs view Prrotocol Auditi ting Enabled:: No Audite ed Zones: Sy ystem CEE Se erver URIs: http://cee.ex h xample.com:12228/vee Ho ostname: clu uster.example.com C Config Auditiing Enabled:: Yes CLI I でのアクセセスゾーンのの監査構成 isii zone zones modify <zo one> --a audit-succes ss {close | crreate | delette | get_secu urity | logofff | logon | re ead | rename e| se et_security | tree_connec ct | write | all} a | --clear-audit-succe ess --a add-audit-su uccess {close e | create | delete d | get_ _security | logoff | logon | read | rena ame | set_security s | tree_conn nect | write | all} --rremove-audit-success <string> < --a audit-failure {close | cre eate | delete e | get_securrity | logoff | logon | rea ad | rename | se et_security | tree_connec ct | write | all} a | --clear-audit-failure re --a add-audit-fa ailure {close | create | de elete | get_s security | log goff | logon | read | rena ame EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 7 特定定の監査イベベントの有効化 isii zone zones modify Systtem –-audit--success cre eate,delete,g get_security clu uster-1# isi zone z zones list -v Nam me: System m Cache Size: S 4.77M Map Untrrusted: SMB Sh hares: Auth Prov viders: Local Prov vider: Yes NetBIOS S Name: All SMB Sh hares: Yes A Auth Prov All viders: Yes U User Mapping g Rules: Ho ome Directorry Umask: 0077 0 S Skeleton Dire ectory: /usr//share/skel Audit Suc ccess: create e, delete, ge et_security Audit Faillure: Zone e ID: 1 すべべての監査イイベントの有効効化 isii zone zones modify Systtem –-audit--success all clu uster-1# isi zone z zones list -v Nam me: System m Cache Size: S 4.77M Map Untrrusted: SMB Sh hares: Auth Prov viders: Local Prov vider: Yes NetBIOS S Name: All SMB Sh hares: Yes A Auth Prov All viders: Yes U User Mapping g Rules: Ho ome Directorry Umask: 0077 0 S Skeleton Dire ectory: /usr//share/skel Audit Suc ccess: close, create, dele ete, get_sec curity, logoff, f, logon, read d, rename, se et_security, tree_connec t t, write Audit Faillure: Zone e ID: 1 EMC Commo on Event Enabler のイベント転の転送の構成 CEE E によるイベンント転送を可能能にするにはは、監査エンドポイントを構成成する必要ががあります。CE EE の構成成変更は、Win ndows のレジジストリエディィター（reged dit）で行いますす。 1. レジストリを開開きます（［スタタート］ > ［フファイル名を指指定して実行］ > 「regeditt」と入力）。 2. 次のキーに移移動します。H HKLM¥Softw ware¥EMC¥ ¥Celerra Eve ent Enabler¥CE EPP¥Audit¥ ¥Configuration 3. エンドポイントトのストリンググ値を次のよううに編集しますす。 • Varonis s Probe が同同じマシンにイインストールされれている場合合は、この値にに Varonis を指指定。 EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 8 • Varonis s Probe が別のマシンにインストールされている場合は、この値に Varonis s@<ProbeIP>を指定（< <ProbeIP>のの部分は Varronis Probe サーバーの IP I アドレス）。図 2： 2 EMC CEE E の構成例：監査の有効効化 [HK KEY_LOCAL_M MACHINE¥SOF FTWARE¥EMC¥ ¥CEE¥CEPP¥A Audit¥Confi iguration] Enabled = (REG_DWORD D) 0x000000 001 例：単一のローカルエンドポポイント [HK KEY_LOCAL_M MACHINE¥SOF FTWARE¥EMC¥ ¥CEE¥CEPP¥A Audit¥Confi iguration] EndPoint = (REG_SZ) Varonis EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 9 リモモートのエンドポイントもサポポートされておおり、EndPoint_Name@ @IP_Address s の形式で指指定します。例：単一のリモーートエンドポイイント [HK KEY_LOCAL_M MACHINE¥SOF FTWARE¥EMC¥ ¥CEE¥CEPP¥A Audit¥Confi iguration] EndPoint = (REG_SZ) Var ronis@10.7. .1.2 複数数のエンドポイイントは、セミココロンで区切って入力しますす。例：複数のリモーートエンドポイイント [HK KEY_LOCAL_M MACHINE¥SOF FTWARE¥EMC¥ ¥CEE¥CEPP¥A Audit¥Confi iguration] EndPoint = (REG_SZ) Var ronis@192.1 168.22.3;Va aronis@192. .168.33.2 何ららかの変更を行行うと、EMC Celerra® Antivirus A Ag gent（CAVA）サービスの再再起動が必要要になります。ササービスの再再起動は、、サーバーマネージャーまマまたは CLI（コマンドラインインターフェイイス）で行いまます。 C:¥ ¥>net stop "emc cava" " The e EMC CAVA service wa as stopped successful lly. C:¥ ¥>net start t "emc cava a" The e EMC CAVA service is s starting. . The e EMC CAVA service wa as started successful lly. EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 10 Varronis DattAdvantag ge の構成 EMC C Isilon クラスターを追加加するには、次次の手順に従いいます。 1. ［Monitored d File Serve er］ページの［Resources］］ツールバーでで［Add］をクリリックします。［File Serve er Wizard］がが開きます。 3 Varonis の管理コンソソール図 3： EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 11 図 4： 4 ［Varonis s File Systtem Wizarrd］ - ［Common］ 2. 左側のメニュューで［Comm mon］をクリッククし、次のパララメーターを指指定します。 • Data Co ollection De etails • Probe：ドロップダウンンリストから、、ファイルサーーバーに使用用するプローブブを選択しますす。 • File Serrver Details s • File Serrver name：追加する EM MC Isilon クララスターの名前前解決した名名前または IP アドレスを入力力します。 • FileWalk Credentia als：ファイルルシステムの操操作には、ディィレクトリのクロール（FileW Walk）、イベントの収集（設定定されているる場合）、ローーカルアカウウントでのユーーザーのクロロール（ADwallk、設定されてている場合）がが含まれます。 • ユーザーー名：イベントトの収集に使用用されるユーザーアカウンントの名前を入入力します。入入力形式は DO OMAIN¥username です。 • パスワーード：アカウントのパスワーードを入力しますす。 • File Serrver Type：［EMC Celerra］を選択しします。 EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 12 図 5： 5 ［Varonis s File Systtem Wizarrd］ - ［Conffiguration］］ 3. 左側のメニュューで［Config guration］をククリックし、次のパラメーターーを指定します。 • EMC Ce elerra Event Collection n Options • 方法：ドロップダウンドリストから、方方法を選択しまます。 CEP PA：この方法法では EMC CEE C が使用さされます。 EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 13 結論論 One eFS 7.1 ではは、システム構構成の変更や SMB プロトココルイベントをを監査する機能能が提供されれます。 EMC C の CEE エココシステムとのの統合により、プロトコル監監査イベントを Varonis DatAdvantage e に転送すすることも可能能です。 Varonis DatAd dvantage で提供されるロでログやレポートトにより、IT の監査担当者のは、規制やコンプライアンスの要件をを満たすのに必必要なデータをを得ることがでできます。関連連資料 • 「Config guring DatA Advantage 5.8 5 for EMC C Celerra CEPA Event Collection」 • 「EMC CEE C Release e 6.1 Using g the Comm mon Event Enabler forr Windows」」（P/N 302-00 00-085 Rev 02） EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 14 付録録監査査ログビューーアー One eFS 7.1 ではは、クラスターーに保存されたたバイナリ形式式の監査ロググを表示するツツールが提供さされます。iisi_audit_viewer コマンンドを使用して、プロトコルままたは構成のログを見ることとができます。。 Us sage: isi_aud dit_viewer [ -n <nodeid> > | -t <topic c> | -s <starrttime>| -e <end dtime> | -v ] -n <nod deid> : 表示すするノードを指定指定(デフォルト：ローカルノードド) -t <topiic> : 表示するするトピックを選択択。トピッククは"config"またはま "protoco ol"（デフォルト：： "config") -s <starrt> : <startttime>以降のの時刻の監査ロログを表示 -e <end d> : <endttime>までの時時刻の監査ロググを表示 -v verbo ose : レコードドの印刷前に開開始/終了時刻のの範囲を出力例：ローカルノーードのプロトコルル監査ログをを表示する ster-1# isi_ _audit_view wer -t proto ocol clus 例：日付の範囲にに該当するプロトコル監査ログを表示すする isi_audit_viewer -t protoc col -s "2013-08-18 12 2:00:00" -e e "2013-08--19 12:00:00" 監査査イベントイベベントユーザーーの操作 cre eate ファイルままたはフォルダダーを作成するるファイルままたはフォルダダーを開く共有をマウントする delete ファイルままたはフォルダダーを削除するる get_security ファイルままたはフォルダダーのプロパテティを表示するる log gon ネットワーークドライブのの割り当て log goff マップされれたドライブのの接続を解除すする rea ad ファイルままたはフォルダダーを表示するる ren name ファイルままたはフォルダダーの名称を変更する sett_security ファイルままたはディレククトリの権限をを変更する tre ee_connect ネットワーークドライブのの割り当てファイルままたはフォルダダーのセキュリリティ設定を表表示する wrrite ファイルをを変更する表 2： 2 OneFS の SMB イベンント監査 EMC Isilon、EMC Common Eventt Enabler、V Varonis を使用したファイルルシステム監監査ベストプララクティスガイイド 15