Cisco IronPort AsyncOS 7.7 for Security Management ユーザ ガイド

ロギングとレポーティング

ロギング データは、メッセージ フローのデバッグ、基本的な日常の動作に関する情報の確認（FTP 接続の詳細、HTTP ログ ファイルなど）、アーカイブのコンプライアンスの目的に使用します。

このロギング データには、Email Security アプライアンスから直接アクセスすることも、任意の外部 FTP サーバに送信してアーカイブまたは読み取ることもできます。アプライアンスに FTP 接続してログにアクセスすることも、バックアップの目的でプレーン テキストのログを外部サーバにプッシュすることもできます。

レポーティング データを表示するには、アプライアンスのグラフィカル ユーザ インターフェイスの [Report] ページを使用します。元データにはアクセスできません。また、Security Management アプライアンス以外には送信できません。

（注） Security Management アプライアンスは、Cisco IronPort スパム検疫（ISQ）データの例外を含む、すべてのレポーティングおよびトラッキング情報を取り出します。ISQ データは、ESA から渡されます。

ログ タイプ

ログ サブスクリプションによって、ログ タイプと名前、ロギング レベル、およびその他の特性（ファイル サイズ、宛先情報など）が関連付けられます。コンフィギュレーション履歴ログ以外のすべてのログ タイプで、複数のサブスクリプションを使用できます。ログ タイプによって、そのログに記録されるデータが決定されます。ログ サブスクリプションを作成するときに、ログ タイプを選択します。詳細については、「ログ サブスクリプション」を参照してください。

AsyncOS は、次のログ タイプを生成します。

ログ タイプの比較

表 13-2 に、各ログ タイプの特徴をまとめます。

ログの取得

ログ ファイルは、 表 13-3 に示すファイル転送プロトコルを使用して取得できます。プロトコルは、グラフィカル ユーザ インターフェイスでサブスクリプションを作成または編集するときに設定するか、CLI の logconfig コマンドを使用して設定します。

ファイル名およびディレクトリ構造

AsyncOS は、ログ サブスクリプションで指定されているログ名に基づいて各ログ サブスクリプションのディレクトリを作成します。ディレクトリ内のログのファイル名は、ログ サブスクリプションで指定されているファイル名、ログ ファイルが開始された時点のタイムスタンプ、および単一文字のステータス コードで構成されます。次の例で、ディレクトリとファイル名の規則を示します。

/<Log_Name>/<Log_Filename>.@<timestamp>.<statuscode>

ステータス コードは、 .c （「current（現在）」の意味）、または .s （「saved（保存済み）」の意味）です。転送できるのは、保存済みステータスのログ ファイルだけです。

ログのロールオーバーおよび転送スケジュール

ログ サブスクリプションは、ログを作成し、最大ファイル サイズおよび最大時間の設定制限に基づいてログ ファイルをロールオーバー（転送）します。いずれかの制限に達すると、ログ ファイルはロールオーバーされます。FTP ポーリング転送メカニズムに基づいたログ サブスクリプションでは、ファイルが作成されると、それらのファイルが取得されるか、システムでログ ファイル用にさらにスペースが必要になるまで、Cisco IronPort アプライアンスの FTP ディレクトリにそれらのファイルが保存されます。

デフォルトでイネーブルになるログ

Security Management アプライアンスは、次のログ サブスクリプションがイネーブルになった状態で事前設定されています。

事前定義されているすべてのログ サブスクリプションでは、ログ レベルが Information に設定されています。ログ レベルの詳細については、「ログ レベルの設定」を参照してください。

適用されているライセンス キーによっては、追加のログ サブスクリプションを設定できます。ログ サブスクリプションの作成および編集については、「ログ サブスクリプション」を参照してください。

ログ ファイル内のタイムスタンプ

次のログ ファイルには、ログ自体の開始日と終了日、AsyncOS のバージョン、および GMT オフセット（ログの開始時からの秒数）が含まれています。

– メール ログ

– セーフリスト/ブロックリスト ログ

– システム ログ

コンフィギュレーション履歴ログの使用

コンフィギュレーション履歴ログは、コンフィギュレーション ファイルと、ユーザ名、ユーザが行った設定変更の説明、ユーザが変更をコミットしたときに入力したコメントをリストする追加のセクションで構成されています。ユーザが変更をコミットするたびに、変更後のコンフィギュレーション ファイルを含む新しいログが作成されます。

コンフィギュレーション履歴ログの例

次のコンフィギュレーション履歴ログの例は、システムにログインできるローカル ユーザを定義するテーブルに、ユーザ（admin）がゲスト ユーザを追加したことを示しています。

CLI 監査ログの使用

表 13-5 に、CLI 監査ログに記録される統計情報を示します。

CLI 監査ログの例

次の CLI 監査ログの例は、 who および textconfig CLI コマンドが入力された PID 16434 の情報を示しています。

FTP サーバ ログの使用

表 13-6 に、FTP サーバ ログに記録される統計情報を示します。

FTP サーバ ログの例

次の FTP サーバ ログの例には、接続（ID:1）が記録されています。着信接続の IP アドレスのほか、アクティビティ（ファイルのアップロードとダウンロード）およびログアウトが示されています。

HTTP ログの使用

表 13-7 に、HTTP ログに記録される統計情報を示します。

表 13-7 HTTP ログに記録される統計情報

HTTP ログの例

次の HTTP ログの例は、管理者ユーザとグラフィカル ユーザ インターフェイスとの対話（システム セットアップ ウィザードの実行など）を示しています。

Cisco IronPort スパム検疫ログの使用

表 13-8 に、Cisco IronPort スパム検疫ログに記録される統計情報を示します。

Cisco IronPort スパム検疫ログの例

次のログの例は、検疫から admin@example.com に 2 個のメッセージ（MID 8298624 と MID 8298625）が解放されたことを示しています。

Cisco IronPort スパム検疫 GUI ログの使用

表 13-9 に、Cisco IronPort スパム検疫 GUI ログに記録される統計情報を示します。

Cisco IronPort スパム検疫 GUI ログの例

次のログの例は、成功した認証、ログイン、およびログアウトを示しています。

Cisco IronPort テキスト メール ログの使用

これらのログには、電子メールの受信、電子メールの配信、およびバウンスの詳細が記録されます。ステータス情報も、1 分ごとにメール ログに書き込まれます。これらのログは、特定のメッセージの配信を理解し、システム パフォーマンスを分析するうえで有益な情報源となります。

これらのログに、特別な設定は必要ありません。ただし、添付ファイル名を表示するには、適切なシステムの設定が必要です。添付ファイル名は、常に記録されるわけではありません。「Security Management アプライアンスでの中央集中型電子メール トラッキングのイネーブル化とディセーブル化」および「トラッキング サービスの概要」を参照してください。

表 13-11 に、テキスト メール ログに表示される情報を示します。

例

ログ ファイルを解釈するためのガイドとして、次のサンプルを使用してください。

（注） ログ ファイルの各行には、番号が割り当てられません。ここでは、単にサンプル用として番号が割り当てられています。

前述のログ ファイルを読み取るためのガイドとして、 表 13-13 を使用してください。

テキスト メール ログ エントリの例

次の例で、さまざまなケースに基づくログ エントリを示します。

メッセージ受信

1 人の受信者に対するメッセージが Cisco IronPort アプライアンスにインジェクトされます。メッセージは正常に配信されます。

正常なメッセージ配信の例

失敗したメッセージ配信（ハード バウンス）

2 人の受信者が指定されたメッセージが Cisco IronPort アプライアンスにインジェクトされます。配信時に、宛先ホストが 5 XX エラーを返しました。これは、メッセージをどちらの受信者にも配信できなかったことを示します。Cisco IronPort アプライアンスは送信者に通知し、キューから受信者を削除します。

最終的に正常に配信されるソフト バウンスの例

メッセージが Cisco IronPort アプライアンスにインジェクトされます。最初の配信試行で、メッセージはソフト バウンスして、その後の配信キューに入れられます。2 回めの試行でメッセージは正常に配信されます。

メッセージ スキャン結果（scanconfig）

次のプロンプトで、メッセージの構成要素を分解できない場合（添付ファイルを削除する場合）の動作を scanconfig コマンドを使用して決定した場合、

メール ログに以下が表示されます。

scanconfig で、メッセージを分解できない場合に配信するように設定した場合。

scanconfig で、メッセージを分解できない場合にドロップするように設定した場合。

添付ファイルのあるメッセージ

この例では、添付ファイル名の識別をイネーブルにするように、条件「Message Body Contains」を含むコンテンツ フィルタが設定されています。

3 つの添付ファイルの 2 番目が Unicode であることに注意してください。Unicode を表示できない端末では、このような添付ファイルは quoted-printable 形式で表示されます。

生成またはリライトされたメッセージ

リライト/リダイレクト アクションなどの一部の機能（ alt-rcpt-to フィルタ、アンチスパム RCPT リライト、 bcc() アクション、アンチウイルス リダイレクションなど）によって、新しいメッセージが作成されます。ログに目を通して結果を確認し、必要に応じて MID や、場合によっては DCID を追加します。次のようなエントリが可能です。

または

（注） 「Rewritten」エントリは、新しい MID の使用を示すログの行の後に表示されます。

Cisco IronPort スパム検疫へのメッセージの送信

メッセージを検疫エリアに送信すると、メール ログでは、RPC 接続を識別する RPC 接続 ID（RCID）を使用して、検疫エリアとの間の移動が追跡されます。次のメール ログでは、メッセージにスパムのタグが付けられ、Cisco IronPort スパム検疫に送信されています。

NTP ログの使用

表 13-14 に、NTP ログに記録される統計情報を示します。

表 13-14 NTP ログに記録される統計情報

NTP ログの例

次の NTP ログの例は、アプライアンスから NTP ホストへの 2 度のポーリングを示しています。

レポーティング ログの使用

表 13-15 に、レポーティング ログに記録される統計情報を示します。

レポーティング ログの例

次のレポーティング ログの例は、情報ログ レベルに設定されたアプライアンスを示しています。

レポーティング クエリー ログの使用

表 13-16 に、レポーティング クエリー ログに記録される統計情報を示します。

レポーティング クエリー ログの例

次のレポーティング クエリー ログの例は、アプライアンスによって、2007 年 8 月 29 日から 10 月 10 日までの期間で毎日の発信メール トラフィック クエリーが実行されていることを示しています。

セーフリスト/ブロックリスト ログの使用

表 13-17 に、セーフリスト/ブロックリスト ログに記録される統計情報を示します。

セーフリスト/ブロックリスト ログの例

次のセーフリスト/ブロックリスト ログの例は、アプライアンスによって 2 時間ごとにデータベースのスナップショットが作成されていることを示しています。送信者がデータベースに追加された時刻も表示されます。

SMA ログの使用

表 13-18 に、SMA ログに記録される統計情報を示します。

次の SMA ログの例は、Email Security アプライアンスからトラッキング ファイルをダウンロードする中央集中型トラッキング サービスと、Email Security アプライアンスからレポーティング ファイルをダウンロードする中央集中型レポーティング サービスを示しています。

ステータス ログの使用

ステータス ログには、 status 、 status detail 、および dnsstatus を含む CLI ステータス コマンドで検出されたシステム統計情報が記録されます。記録期間は、 logconfig の setup サブコマンドを使用して設定します。ステータス ログでレポートされるカウンタまたはレートは、前回カウンタがリセットされた時点からの値です。

ステータス ログの読み取り

表 13-19 に、ステータス ログ ラベル、およびそれと一致するシステム統計情報を示します。

ステータス ログの例

システム ログの使用

表 13-20 に、システム ログに記録される統計情報を示します。

システム ログの例

次のシステム ログの例は、commit を実行したユーザの名前と入力されたコメントを含む、いくつかの commit エントリを示しています。

トラッキング ログについて

トラッキング ログには、AsyncOS の電子メール動作に関する情報が記録されます。ログ メッセージは、メール ログに記録されたメッセージのサブセットです。

トラッキング ログは、メッセージ トラッキング データベースを作成するため、メッセージ トラッキング コンポーネントで使用されます。ログ ファイルはデータベースの作成プロセスで消費されるので、トラッキング ログは一過性のものになります。トラッキング ログの情報は、人による読み取りや解析を目的とした設計になっていません。

トラッキング ログは、リソースの効率性を保つためにバイナリ形式で記録され、転送されます。情報は、論理的にレイアウトされ、Cisco IronPort が提供するユーティリティを使用して変換した後は人による読み取りが可能になります。変換ツールは、次の URL にあります。 http://tinyurl.com/3c5l8r

ログ サブスクリプションの設定

ログ サブスクリプションによって、Cisco IronPort アプライアンスに、またはリモートに保存される個々のログ ファイルが作成されます。ログ サブスクリプションは、プッシュ（別のコンピュータに配信）またはプル（アプライアンスから取得）されます。一般に、ログ サブスクリプションには次の属性があります。

[Management Appliance] > [System Administration] > [Log Subscriptions] ページ（または CLI の logconfig コマンド）を使用して、ログ サブスクリプションを設定します。ログ タイプを入力するプロンプトが表示されます（「ログ タイプ」を参照）。ほとんどのログ タイプで、ログ サブスクリプションの ログ レベル の入力も要求されます。

（注） コンフィギュレーション履歴ログのみ：コンフィギュレーション履歴ログからコンフィギュレーションをロードする可能性がある場合は、コンフィギュレーションにマスクされたパスワードが含まれているとロードできないことに注意してください。[Management Appliance] > [System Administration] > [Log Subscriptions] ページで、パスワードをログに含めるかどうかを尋ねるプロンプトが表示されたら、[Yes] を選択します。CLI の logconfig コマンドを使用する場合は、プロンプトで y を入力します。

ログ レベルの設定

ログ レベルによって、ログに送信される情報量が決定します。ログには、5 つの詳細レベルのいずれかを設定できます。詳細なログ レベルを設定すると、省略されたログ レベルを設定した場合と比べて、大きなログ ファイルが作成され、システム パフォーマンスに大きな影響を与えます。詳細なログ レベル設定には、省略されたログ レベル設定に含まれるすべてのメッセージと、追加のメッセージが含まれます。詳細レベルを上げるほど、システムのパフォーマンスは低下します。

（注） ログ タイプごとに異なるログ レベルを指定できます。

GUI でのログ サブスクリプションの作成

ログ サブスクリプションを作成するには、次の手順を実行します。

ステップ 1 [Management Appliance] > [System Administration] > [Log Subscriptions] ページで、[Add Log Subscription] をクリックします。[New Log Subscription] ページが表示されます。

図 13-1 ログ サブスクリプションの新規作成

ステップ 2 ログ タイプを選択し、ログ名（ログ ディレクトリ用）とログ ファイル自体の名前を入力します。

ステップ 3 該当する場合、最大ファイル サイズとログ レベルを指定します。

ステップ 4 （コンフィギュレーション履歴ログのみ）パスワードをログに含めるかどうかを選択します。

（注） マスクされたパスワードが含まれているコンフィギュレーションはロードできません。コンフィギュレーション履歴ログからコンフィギュレーションをロードする可能性がある場合は、[Yes] を選択してパスワードをログに含めます。

ステップ 5 ログの取得方法を設定します。

ステップ 6 変更を送信し、保存します。

ログ サブスクリプションの編集

ログ サブスクリプションを編集するには、次の手順を実行します。

ステップ 1 [Log Subscriptions] ページの [Log Name] カラムにあるログ名をクリックします。[Edit Log Subscription] ページが表示されます。

ステップ 2 ログ サブスクリプションを更新します。

ステップ 3 変更を送信し、保存します。

ロギングに対する グローバル設定

システムは、テキスト メール ログおよびステータス ログ内にシステム メトリックを定期的に記録します。[Log Subscriptions] ページの [Global Settings] セクションにある [Edit Settings] ボタン（または、CLI の logconfig -> setup コマンド）を使用して、次の情報を設定します。

• システムが測定を記録するまで待機する時間（秒単位）

• メッセージ ID ヘッダーを記録するかどうか

• リモート応答ステータス コードを記録するかどうか

• 元のメッセージのサブジェクト ヘッダーを記録するかどうか

• メッセージごとにログに記録するヘッダー

すべての Cisco IronPort ログには、次の 3 項目を任意で記録できます。

• [Message-ID]：このオプションを設定すると、可能な場合はすべてのメッセージのメッセージ ID ヘッダーがログに記録されます。このメッセージ ID は、受信したメッセージから取得される場合と、AsyncOS で生成される場合があります。例：

• [Remote Response]：このオプションを設定すると、可能な場合はすべてのメッセージのリモート応答ステータス コードがログに記録されます。例：

リモート応答文字列は、SMTP 会話配信時の DATA コマンドへの応答後に受信される、人が読み取ることのできるテキストです。この例では、接続ホストが data コマンドを実行した後のリモート応答が、「queued as 9C8B425DA7」となります。

文字列の先頭にある空白や句読点、および 250 応答の OK 文字は除去されます。文字列の末尾については、空白だけが除去されます。たとえば、Cisco IronPort アプライアンスはデフォルトで、DATA コマンドに対して 250 Ok: Message MID accepted という文字列で応答します。したがって、リモート ホストが別の Cisco IronPort アプライアンスである場合は、「Message MID accepted」というエントリがログに記録されます。

• [Original Subject Header]：このオプションをイネーブルにすると、各メッセージの元のサブジェクト ヘッダーがログに記録されます。

メッセージ ヘッダーのロギング

場合によっては、メッセージがシステムを通過するときに、メッセージのヘッダーの存在と内容を記録する必要があります。[Log Subscriptions Global Settings] ページ（または、CLI の logconfig -> logheaders サブコマンド）で、記録するヘッダーを指定します。Cisco IronPort アプライアンスは、指定されたメッセージ ヘッダーをテキスト メール ログおよびトラッキング ログに記録します。ヘッダーが存在する場合、システムはヘッダーの名前と値を記録します。ヘッダーが存在しない場合は、ログに何も記録されません。

（注） システムは、ロギングに指定したヘッダーに関係なく、メッセージの記録処理中に随時、メッセージに存在するすべてのヘッダーを評価します。

（注） SMTP プロトコルについての RFC は、
http://www.faqs.org/rfcs/rfc2821.html にあります。この RFC には、ユーザ定義のヘッダーが規定されています。

（注） logheaders コマンドを使用してヘッダーをログに記録するように設定している場合、ヘッダー情報は配信情報の後に表示されます。

たとえば、ログに記録するヘッダーとして「date, x-subject」を指定すると、メール ログに次の行が表示されます。

GUI を使用したロギングのグローバル設定

ロギングのグローバル設定を行うには、次の手順を実行します。

ステップ 1 [Log Subscriptions] ページの [Global Settings] セクションにある [Edit Settings] ボタンをクリックします。[Log Subscriptions Global Settings] ページが表示されます。

図 13-2 ログ サブスクリプションのグローバル設定

ステップ 2 システム メトリクスの頻度、メール ログにメッセージ ID ヘッダーを加えるかどうか、リモート応答を加えるかどうか、および各メッセージの元のサブジェクト ヘッダーを加えるかどうかを指定します。

ステップ 3 ログに加えるその他のヘッダーを入力します。

ステップ 4 変更を送信し、保存します。

ログ サブスクリプションのロール オーバー

AsyncOS は、[Log Subscriptions Global Settings] ページ（または CLI の logconfig コマンド）での設定に基づいてログ ファイルをロールオーバーします。また、[Log Subscriptions] ページの [Rollover Now] ボタンをクリックするか、 rollovernow コマンドを使用することによって、必要に応じてログ ファイルをロールオーバーできます。AsyncOS がログ ファイルをロールオーバーすると、次のことが行われます。

• ロールオーバーのタイムスタンプで新規のログ ファイルが作成され、文字「 c 」の拡張子によって現在のファイルとして指示されます。

• 現在のログ ファイルが、保存済みを示す文字「 s 」の拡張子付きに名前変更されます。

• 新たに保存されたログ ファイルがリモート ホストに転送されます（プッシュ ベースの場合）。

• 同じサブスクリプションから以前に失敗したログ ファイルが転送されます（プッシュ ベースの場合）。

• 保持するファイルの合計数を超えた場合は、ログ サブスクリプション内の最も古いファイルが削除されます（ポーリング ベースの場合）。

GUI を使用したログ サブスクリプションのロールオーバー

ログ サブスクリプションをロールオーバーするには、次の手順を実行します。

ステップ 1 [Log Subscriptions] ページで、ロールオーバーするログの右側のチェックボックスをオンにします。

ステップ 2 [All] チェックボックスをオンにして、すべてのログをロールオーバー対象として選択することもできます。

ロールオーバー対象として 1 つまたは複数のログを選択すると、[Rollover Now] ボタンがイネーブルになります。

ステップ 3 [Rollover Now] ボタンをクリックして、選択したログをロール オーバーします。

CLI を使用したログ サブスクリプションのロール オーバー

rollovernow コマンドを使用して、一度にすべてのログ ファイルをロール オーバーするか、リストから特定のログ ファイルを選択します。

グラフィカル ユーザ インターフェイスでの最近のログ エントリの表示

GUI を介してログ ファイルを表示するには、[Log Subscriptions] ページのテーブルの [Log Files] カラムにあるログ サブスクリプションをクリックします。ログ サブスクリプションへのリンクをクリックすると、パスワードを入力するプロンプトが表示されます。次に、そのサブスクリプションのログ ファイルのリストが表示されます。いずれかのログ ファイルをクリックして、ブラウザに表示したり、ディスクに保存したりすることができます。グラフィカル ユーザ インターフェイスを介してログを表示するには、管理インターフェイスで FTP サービスをイネーブルにしておく必要があります。

図 13-3 グラフィカル ユーザ インターフェイスでのログ ファイルの表示

最新のログ エントリの表示（tail コマンド）

AsyncOS では、アプライアンスに設定されたログの最新エントリを表示する tail コマンドをサポートしています。 tail コマンドを実行し、現在設定されているログのうち、表示するログの番号を選択します。Ctrl を押した状態で C を押して、 tail コマンドを終了します。

（注） コンフィギュレーション履歴ログは、tail コマンドを使用して表示することができません。FTP または SCP を使用する必要があります。

例

次に、 tail コマンドを使用してシステム ログを表示する例を示します tail コマンドは、次の例のように、表示するログの名前をパラメータとして指定することもできます。
tail system_logs

ホスト キーの設定

logconfig -> hostkeyconfig サブコマンドを使用して、Cisco IronPort アプライアンスから他のサーバにログをプッシュするときに、SSH で使用するホスト キーを管理します。SSH サーバには、秘密キーと公開キーの 2 つのホスト キーが必要です。秘密ホスト キーは SSH サーバにあり、リモート マシンから読み取ることはできません。公開ホスト キーは、SSH サーバと対話する必要のある任意のクライアント マシンに配信されます。

（注） ユーザ キーを管理する方法については、『Cisco IronPort AsyncOS for Email User Guide』の「Managing Secure Shell (SSH) Keys」を参照してください。

hostkeyconfig サブコマンドによって、次の機能が実行されます。

次の例では、コマンドによってホスト キーがスキャンされ、ホストに追加されます。