システム監査について
システム上のアクティビティを 2 つの方法で監査できます。Firepower システムの一部であるアプライアンスによって、Web インターフェイスとユーザとの対話のそれぞれに対して監査レコードが生成され、システム ステータス メッセージがシステム ログに記録されます。
Firepower Management Center バージョン 6.4 コンフィギュレーション ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2020年1月30日
章のタイトル： システムの監査
システムの監査
次のトピックでは、システム上のアクティビティを監査する方法について説明します。
外部ロケーションへの監査ログの送信について
FMC から監査ログを外部の場所に送信する場合は、以下を参照してください。
従来型デバイスの場合は、以下を参照してください。
監査レコード
Firepower Management Center および 7000 および 8000 シリーズ デバイスは、ユーザ アクティビティに関する読み取り専用の監査情報をログに記録します。監査ログは標準イベント ビューに表示され、監査ビュー内の任意の項目に基づいて監査ログ メッセージを表示、ソート、およびフィルタリングできます。監査情報を簡単に削除したり、それに関するレポートを作成したりすることができ、ユーザが行った変更に関する詳細なレポートを表示することもできます。
監査ログには最大 100,000 個のエントリが保存されます。監査ログ エントリの数が 100,000 を超えると、アプライアンスは最も古いレコードをデータベースからプルーニングして、100,000 エントリまで数を削減します。
 （注） |
7000 または 8000 シリーズ デバイスをリブートした直後にすばやく補助 CLI にログインした場合、そこで実行するコマンドは、ローカル Web インターフェイスが使用可能になるまでは監査ログに記録されません。 |
監査レコードの表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス数 |
サポートされるドメイン数 |
アクセス |
|---|---|---|---|---|
|
いずれか（Any） |
いずれか（Any） |
いずれか（Any） |
いずれか（Any） |
Admin |
Firepower Management Center または 7000 および 8000 シリーズ デバイスで、監査レコードのテーブルを表示できます。事前定義された監査ワークフローには、イベントを示す単一のテーブル ビューが含まれます。ユーザは検索する情報に応じてテーブル ビューを操作することができます。また、特定のニーズを満たす情報だけを表示するカスタム ワークフローを作成することもできます。
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
手順
| ステップ 1 |
を使用して監査ログのワークフローにアクセスします。 |
||
| ステップ 2 |
イベントが 1 つも表示されない場合は、時間範囲を調整することを考慮してください。詳細については、イベント時間の制約を参照してください。
|
||
| ステップ 3 |
次の選択肢があります。
|
）をクリックします。詳細については、「監査ログのワークフロー フィールド
次の表で、表示および検索できる監査ログ フィールドについて説明します。
|
フィールド |
説明 |
|---|---|
|
Time |
アプライアンスが監査レコードを生成した日時。 |
|
User |
監査イベントをトリガーとして使用したユーザのユーザ名。 |
|
サブシステム |
監査レコードが生成されたときにユーザがたどったフル メニュー パス。たとえば、 は、監査ログを表示するためのメニュー パスです。 メニュー パスが該当しない数少ないケースでは、[サブシステム（Subsystem）] フィールドにイベント タイプのみが表示されます。たとえば、Login はユーザのログイン試行を分類します。 |
|
メッセージ（Message） |
ユーザが実行したアクション、またはユーザがページでクリックしたボタン。 たとえば、 Firepower システムに対する変更は比較アイコン（ |
|
ソース IP |
ユーザが使用したホストに関連付けられている IP アドレス。 注：このフィールドを検索する場合は、特定の IP アドレスを入力する必要があります。監査ログの検索で IP 範囲を使用することはできません。 |
|
ドメイン（Domain） |
監査イベントがトリガーされたときのユーザの現行ドメイン。 This field is only present if you have ever configured the Firepower Management Center for multitenancy. |
|
設定の変更（Configuration Change） （検索専用） |
設定の変更の監査レコードを検索結果に表示するかどうかを指定します。( |
|
メンバー数（Count） |
各行に表示された情報と一致するイベントの数。[カウント（Count）] フィールドは、複数の同一行が生成される制限を適用した後でのみ表示されることに注意してください。このフィールドは検索できません。 |
[監査イベント（Audit Events）] テーブル ビュー
イベント ビューのレイアウトを変更したり、ビュー内のイベントをフィールド値で制限したりできます。カラムを無効にする場合は、非表示にするカラム見出しの [閉じる] アイコン（
）をクリックした後、表示されるポップアップ ウィンドウで [Apply] をクリックします。カラムを無効にすると、あとで再び追加した場合を除き、そのカラムはセッション有効期間にわたって無効になります。最初のカラムを無効にした場合、[Count] カラムが追加されることに注意してください。
他のカラムを表示/非表示にしたり、無効になったカラムをビューに再び追加したりするには、該当するチェックボックスを選択またはクリアしてから [適用（Apply）] をクリックします。
テーブル ビューの行内の値をクリックすると、テーブル ビューが制約されます（ワークフロー内の次のページにはドリルダウンされません）。
 ヒント |
テーブル ビューでは、必ずページ名に「テーブル ビュー（Table View）」が含まれます。 |
監査ログを使って変更を調査する
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス数 |
サポートされるドメイン数 |
アクセス |
|---|---|---|---|---|
|
いずれか（Any） |
いずれか（Any） |
いずれか（Any） |
いずれか（Any） |
Admin |
監査ログを使用して、システムの変更に関する詳細レポートを表示できます。これらのレポートは、現在のシステム設定を、特定の変更が行われる直前の設定と比較します。
[設定の比較（Compare Configurations）] ページには、変更前のシステム設定と、現在実行中の設定との違いが横並び形式で表示されます。監査イベント タイプ、最終変更時間、および変更を行ったユーザ名が、各設定の上のタイトル バーに表示されます。
2 つの設定の違いは次のように強調表示されます。
-
青は、強調表示されている設定項目が 2 つの設定間で異なっていることを示し、異なっている部分は赤のテキストで表示されます。
-
緑は、強調表示されている設定項目が一方の設定に含まれ、もう一方の設定には含まれないことを示します。
マルチドメイン展開環境では、現在のドメインと子孫ドメインのデータを表示することができます。上位レベルのドメインまたは兄弟ドメインのデータを表示することはできません。
手順
| ステップ 1 |
を選択します。 |
||
| ステップ 2 |
[メッセージ（Message）] カラムの該当する監査ログ イベントの横にある比較アイコン（
|
監査レコードの抑制
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス数 |
サポートされるドメイン数 |
アクセス |
|---|---|---|---|---|
|
いずれか（Any） |
いずれか（Any） |
いずれか（Any） |
いずれか（Any） |
Admin |
監査ポリシーで、Firepower System/ユーザ間の特定のタイプのインタラクションを監査する必要がない場合は、それらのインタラクションによって、Firepower Management Center または 7000 および 8000 シリーズ デバイス上で監査レコードが生成されないように設定できます。たとえば、デフォルトでは、ユーザがオンライン ヘルプを表示するたびに、Firepower System は監査レコードを生成します。このようなインタラクションのレコードを保持する必要がない場合は、これらを自動的に抑制できます。
監査イベントの抑制を設定するには、アプライアンスの admin ユーザ アカウントにアクセスできる必要があり、アプライアンスのコンソールにアクセスできる（またはセキュア シェルを開くことができる）必要があります。
 注意 |
許可された担当者だけが、アプライアンスとその |
手順
|
AuditBlock.type
|
監査ブロック タイプ
それぞれの監査ブロック タイプの内容は、以下の表に記載されているように、特定の形式でなければなりません。ファイル名の大文字/小文字を必ず正しく表記してください。また、ファイルの内容でも大文字と小文字が区別されることに注意してください。
AuditBlock ファイルを追加した場合、サブシステム Audit およびメッセージ Audit FiltertypeChanged を含む監査レコードが監査イベントに追加されることに注意してください。セキュリティ上の理由から、この監査レコードを抑制することはできません。
|
タイプ |
説明 |
|---|---|
|
アドレス（Address） |
|
|
メッセージ |
たとえば |
|
サブシステム |
部分文字列は照合されないことに注意してください。正確な文字列を使用する必要があります。監査対象のサブシステムのリストについては、監査対象のサブシステムを参照してください。 |
|
ユーザ（User） |
|
監査対象のサブシステム
次の表に、監査対象のサブシステムを示します。
|
名前 |
どの機能のユーザ インタラクションを含んでいるか |
|---|---|
|
Admin |
管理機能：システムとアクセス権の設定、時刻の同期、バックアップと復元、デバイス管理、ユーザ アカウントの管理、スケジュール設定など |
|
Alerting |
アラート機能（電子メール アラート、SNMP アラート、Syslog アラートなど） |
|
監査ログ（Audit Log） |
監査イベントの表示 |
|
Audit Log Search |
監査イベントの検索 |
|
Cisco Security Packet Analyzer の統合 |
Cisco Security Packet Analyzer 統合 |
|
コマンド ライン |
コマンドライン インターフェイス |
|
Configuration |
電子メール アラート機能 |
|
contextual cross-launch |
システムに追加された外部リソース、またはダッシュボードとイベント ビューからアクセスされた外部リソース |
|
COOP |
継続的な運用機能 |
|
Date |
イベント ビューの日時範囲 |
|
Default Subsystem |
サブシステムが割り当てられていないオプション |
|
Detection & Prevention Policy |
侵入ポリシーのメニュー オプション |
|
Error |
システム レベルのエラー |
|
eStreamer |
eStreamer 構成 |
|
EULA |
エンド ユーザ ライセンス契約書の確認 |
|
Event |
侵入およびディスカバリ イベント ビュー |
|
Events Clipboard |
侵入イベント クリップボード |
|
Events Reviewed |
レビューされた侵入イベント |
|
Events Search |
あらゆるイベント検索 |
|
ルール更新のインストールの失敗（Failed to install rule update） |
ルール更新のインストール |
|
ヘッダー |
ユーザ ログイン後のユーザ インターフェイスの最初の表示 |
|
Health |
ヘルス モニタリング |
|
Health Events |
ヘルス モニタリング イベントの表示 |
|
Help |
オンライン ヘルプ |
|
高可用性 |
高可用性ペアでの Firepower Management Center の確立と管理 |
|
IDS インパクト フラグ（IDS Impact Flag） |
侵入イベントの影響フラグの設定 |
|
IDS ポリシー（IDS Policy） |
侵入ポリシー |
|
IDS ルール SID： |
SID 別の侵入ルール |
|
Incidents |
侵入インシデント |
|
インストール（Install） |
更新のインストール |
|
Intrusion Events |
侵入イベント |
|
Login |
Web インターフェイスのログイン/ログアウト機能 |
|
ログアウト |
Web インターフェイス ログアウト機能 |
|
メニュー |
あらゆるメニュー オプション |
|
[設定のエクスポート（Configuration export）] > [ |
特定のタイプ/名前の設定のインポート |
|
Permission Escalation |
ユーザ ロールのエスカレーション |
|
Preferences |
ユーザ アカウントのタイム ゾーンや個々のイベント設定などのユーザ設定 |
|
Policy |
侵入ポリシーを含むポリシー |
|
Register |
FMC でのデバイスの登録 |
|
リモート ストレージ デバイス（RemoteStorageDevice） |
リモート ストレージ デバイスの設定 |
|
Reports |
レポート リスト機能およびレポート デザイナ機能 |
|
ルール（Rules） |
侵入ルール（侵入ルール エディタとルールのインポート プロセスを含む） |
|
ルール更新インポート ログ（Rule Update Import Log） |
ルール更新のインポート ログの表示 |
|
Rule Update Install |
ルール更新のインストール |
|
セッションの時間切れ |
Web インターフェイスのセッション タイムアウト |
|
ステータス（Status） |
syslog およびホストやパフォーマンスの統計情報 |
|
System |
システム全体のさまざまな設定 |
|
タスク キュー（Task Queue） |
バックグラウンド プロセス ステータスの表示 |
|
Users |
ユーザ アカウントとロールの作成および変更 |
システム ログ
[システム ログ（System Log）]（syslog）ページには、アプライアンスのシステム ログ情報が表示されます。システム ログには、システムによって生成された各メッセージが表示されます。次の項目が順にリストされます。
-
メッセージが生成された日付
-
メッセージが生成された時刻
-
メッセージを生成したホスト
-
メッセージ自体
システム ログの表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス数 |
サポートされるドメイン数 |
アクセス |
|---|---|---|---|---|
|
いずれか（Any） |
いずれか（Any） |
いずれか（Any） |
グローバルだけ |
Admin/Maint |
システム ログ情報はローカルな情報です。たとえば、Firepower Management Center を使用して、管理対象デバイスのシステム ログ内のシステム ステータス メッセージを見ることはできません。
UNIX ファイル検索ユーティリティ Grep で処理可能なほとんどの構文を使用してメッセージをフィルタ処理できます。つまり、パターン マッチング用に Grep 互換の正規表現を使用できます。
手順
| ステップ 1 |
を選択します。 |
| ステップ 2 |
システム ログ内で特定のメッセージ内容を検索するには、次のようにします。 |
システム ログ フィルタの構文
次の表に、システム ログ フィルタで使用できる正規表現構文を示します。
|
構文のコンポーネント |
説明 |
例 |
|---|---|---|
|
|
任意の文字またはスペースと一致します |
|
|
|
任意の英文字と一致します |
|
|
|
任意の大文字の英文字と一致します |
|
|
|
任意の小文字の英文字と一致します |
|
|
|
任意の数字と一致します |
|
|
|
任意の英数字と一致します |
|
|
|
タブを含む、任意のスペースと一致します |
|
|
|
その前にある文字または式のゼロ個以上のインスタンスと一致します |
|
|
|
ゼロ個または 1 つのインスタンスと一致します |
|
|
\ |
これを使用すると、通常は正規表現構文と解釈される文字を検索できます |
alert\? |
フィードバック