情報処理安全確保支援士 2011年 秋期 午後2 問02

　 　A社は、従業員数20,000名の製造会社であり、東日本と西日本にそれぞれ10の支社をもっている。A社は、内部統制強化の一環として、システムの運用に関わる内部統制について外部監査人による監査を受けた。監査の結果、システムの特権を与えられた管理者やオペレータなど（以下、特権ID利用者という）の操作（以下、特権操作という）に対する監視について、次の2点が指摘された。 　・特権操作のログを取得していないシステムがある。 　・どのシステムにおいても特権操作のログに対する分析が行われていない。 　 　これまで、A社情報システム部では、特権操作に対する監視方法をシステムごとに個別に検討、実装してきたことから、特権操作のログを取得、収集保存及び分析（以下、合わせてログ管理という）する方法がシステムごとに異なっていた。情報システム部は、監査における指摘を踏まえ、特権操作に対して全システム共通のログ管理方法を定め、共通のログ管理システムを構築することとし、システムのログ管理について、次のとおり計画した。 　・大量の個人情報又は財務データを処理している、本社営業管理システム、会計管理システム、経理システム及び支社営業管理システム（以下、主要4システムという）のログ管理のため、本年度中に、ログ管理システムを稼働させる。 　・主要4システムへの適用後の評価に従って、ログ管理システムの設計及び運用の見直しを行い、ログ管理システムを利用してログ管理を行うシステムを順次増やす。 　 〔A社のシステム環境〕 　A社は、東京と大阪に自社のデータセンタ（以下、DCという）を構えており、東京DCでは本社及び東日本の支社における業務処理を、大阪DCでは西日本の支社における業務処理を行っている。両DC間は広域イーサネットで接続されており、本社及び各支社からは広域イーサネットを介して両DCのシステムを利用できる。 　各DC内のマシン室には、汎用機が2台ずつ、UNIXサーバが150台ずつ、PCサーバが150台ずつ配置されている（以下、汎用機、UNIXサーバ及びPCサーバを合わせてサーバという）。両DCには、マシン室に隣接してオペレータ室があり、マシン室とオペレータ室はLANで接続されている。 　各DCでは電源設備の定期保守作業のために、半年に1回、4時間程度、DC内の全サーバを停止する。電源設備の保守作業は、東京DCと大阪DCでは異なる日に行われるように調整されている。 　 〔特権IDの利用〕 　特権ID利用者は、各個人に1台ずつ割り当てられた管理端末からネットワークを介して各サーバにアクセスしてシステム管理又は運用の作業を行っている。管理端末は、本社に200台、東京DCと大阪DCのオペレータ室にそれぞれ10台ずつ配置されており、利用者IDとパスワードによる認証機能によって、本人でなければ操作できない仕組みになっている。管理端末のIPアドレスは、東京DC及び大阪DCそれぞれにあるaサーバによって動的に割り当てられる仕組みになっており、同じ管理端末でも割り当てられるIPアドレスが異なることがある。 　主要4システムにおいては、A社の情報セキュリティポリシに従い、マシン室の内部・外部間で個人情報又は財務データを通信する場合の暗号化、並びに個人情報又は財務データを外部記憶媒体に保管する場合の暗号化を行っている。特権ID利用者が管理端末から各サーバにアクセスする際の通信においても、暗号化を行っている。 　サーバと管理端末の配置場所、時刻設定の方法及び特権ID利用者の利用者IDの割当て方法を表1に、特権ID利用者の役割名称、担当者、作業場所及び作業内容を表2に、それぞれ示す。

　特権ID利用者は合計220名である。特権ID利用者は、定型のシステム運用以外に特権操作を含む作業を行う場合、事前に自分の氏名と所属、作業で使用する利用者ID、作業開始日時、作業時間、作業目的及び作業の概要を記載した作業申請書を自社の管理責任者に提出する。各社の管理責任者は、作業内容が業務上必要なものであることを確認し、承認印を押印する。通常時、各社の管理責任者は、担当者に対する作業指示や作業の管理を行っている。何かの事情で担当者の手が足りなくなった場合、各社の管理責任者が特権操作を行うことがあるので、各社の管理責任者は特権ID利用者を兼務しており、利用者IDが割り当てられている。 　特権ID利用者のうち、情報システム部の従業員は、アプリケーション管理者又はインフラ管理者のどちらか一方を担当しており、自分が所属するグループの作業内容を詳しく理解している。各システムの構築はSIベンダに委託している。各システムのオペレータが行う運用手順は、手順の概要を記した引継ぎ資料と口頭説明によって委託先のSIベンダからオペレータに直接引き継がれてきた。さらに、情報システム部の従業員の中にオペレータの役割をもつ者がいないこともあり、オペレータが行うシステム運用の詳細を知っている者はいない。 　　 〔設計の前提条件〕 　情報システム部のX部長は、ログ管理システムの基本設計をY主任に指示した。Y主任がログ管理に関する十分な経験と知識をもっていなかったことから、X部長は、専門家の参加が必要と判断し、SIベンダのE社にログ管理システムの基本設計への参加を依頼した。E社の情報セキュリティスペシャリストのT氏は、最初にY主任から、ログ管理システムを開発することになった経緯やA社のシステム環境についての説明を受けた。後日、Y主任は、T氏の助言を受けながら、設計の前提条件を次のように整理し、X部長の承認を得た。 　(1) ログ管理システムを次の三つの機能からなるシステムとする。 　　ログ取得機能　　：監視の対象とする特権操作について、記録すべきデータをログファイルとして出力する機能 　　ログ収集保存機能：複数のログファイルを収集し、フォーマットの変更を行って、一つのログデータベースに統合し、ログファイルと併せて保存する機能 　　ログ分析機能　　：与えられた条件に従い、ログデータベースから疑わしい特権操作のログを抽出する機能

　(2) 監視の対象とする特権操作を、次の3種類とする。 　　特権操作1：特権ID利用者による各サーバへのログオン及びログオフ 　　特権操作2：各システムのデータベース（DB）に保管された個人情報及び財務データに対する参照及び更新 　　特権操作3：各サーバのOS及びミドルウェアのコマンド、スクリプト及びプログラムの実行、並びに設定情報の参照及び更新 　 　主要4システムにおいて監視の対象とする特権操作を表3に示す。

　(3) 各特権操作に対して記録すべきデータ項目は、次の五つとする。 　　① 特権操作が行われた日時 　　② 特権操作に利用された利用者ID 　　③ 特権操作が行われたサーバのホスト名又はサーバのIPアドレス 　　④ 特権操作の内容 　　⑤ 特権操作の結果（成功又は失敗。エラーメッセージなどの補助的情報で成功と失敗が判別できる場合は、結果が記録されなくてもよい。）

　主要4システムの各特権操作に対して記録すべき特権操作の内容を表4に示す。 　

　(4) 構築費用を抑えるため、製品の標準機能を最大限に活用する。 　 〔利用する製品の仕様〕 　T氏は、ログ管理システムに利用できる製品として、次の二つの製品を選んだ。 　製品R：管理端末でログを取得し、収集保存及び分析をPCサーバで行う製品 　製品S：各サーバのOS及びミドルウェアが取得したログをUNIXサーバで収集保存及び分析する製品 　 　T氏は、OS及びミドルウェアの標準機能、製品Rの機能並びに製品Sの機能に関する調査を行った。主要4システムのOS及びミドルウェアの標準機能で共通に取得できるログのデータ項目を図1に、主要4システムのDBMSにおけるDBアクセスに関するログ取得機能を表5に、製品Rの仕様を図2に、製品Sの仕様を図3に、それぞれ示す。

　 〔ログ取得機能の設計〕 　以上の検討結果に基づき、T氏は、ログ取得機能の実装方法として、次の二つの案をY主任に説明した。 　・各サーバのOS及びミドルウェアの標準機能を利用する。 　・製品Rを利用する。 　　なお、製品Sはログ取得機能をもたないので、ログ取得機能には利用できない。 　 　Y主任は、T氏の案以外にも、通信経路でログを取得する、ネットワークフォレンジックと呼ばれている案もあるのではないかと質問した。T氏は、通信経路でログを取得する案は採用できないことを説明した。 　T氏は、図1を基に、主要4システムにおける特権操作1については、OS及びミドルウェアの標準機能で必要なログのデータ項目を取得できると判断した。一方、ログオフの操作に、パラメタなしの“exit”、“logoff”、“logout”といったコマンドが使われることから、製品Rでは必要なデータ項目が取得できず、分析の際にもそのデータ項目の値を判別できない場合があると判断した。 　T氏は、これらの検討結果から、特権操作1について設計の前提条件を満たすためには、製品Rでなく、OS及びミドルウェアの標準機能を使うべきだと判断した。 　次にT氏は、特権操作2に関するログ取得機能の実装方法を検討するために、主要4システムのDBMSが稼働している各サーバについて、サーバ資源の利用状況及びDBアクセス数全体に占める特権操作2の割合を調査した。T氏は、サーバ資源の利用状況から、DBMSの標準機能によってログを取得すると、各システムの業務処理への影響が大きいと考えた。また、T氏は、各システムのDBアクセス数は同程度で、その中での特権操作の割合が5％だったことから、システムによってはログの保存及び分析のために大量のディスク資源を追加する必要があると考えた。T氏は、これらの検討結果から、特権操作2に対しては、DBMSの標準機能よりも製品Rを使う方が適切と判断した。 　さらに、T氏は、図1及び図2を基に、特権操作3に対しては、OS及びミドルウェアの標準機能よりも製品Rを使う方が適切と判断した。 　 　Y主任は、T氏の案をまとめ、X部長の承認を得た。 　 〔ログ収集保存機能の設計〕 　次に、Y主任とT氏は、特権操作1のログに対する収集保存機能の設計を行った。 　製品Rの収集保存機能は、製品Rで取得したログを対象とした機能である一方、製品Sの収集保存機能は、主要4システムの管理及び運用に使われているOS及びミドルウェアのログ全てに適用できることから、T氏は、製品Sを採用することを提案した。 　そこで、Y主任は、東京DCにSサーバを配置し、両DCのログデータを一括して収集する方法（以下、案1という）を考えた。案1の構成を図4に示す。

　サーバの中には、ログデータに割り当てられたディスク領域が一杯になると、新しいログデータで古いログデータを先頭から上書きするものがある。このことから、T氏は、ログが収集できない時間帯が発生する案1では、特別な運用対策が必要となることを指摘し、そうした対策の必要がないように、DCごとにSサーバを配置してログデータを収集する方法（以下、案2という）を提案した。案2の構成を図5に示す。

　Y主任はT氏の指摘を認め、X部長も案2の構成とすることを承認した。 　次に、Y主任とT氏は、特権操作2及び特権操作3のログに対する収集保存の方法を検討した。Y主任は、東京DCにRサーバを配置してログを収集保存する方法を考えた。図6に特権操作2及び特権操作3のログに対する収集保存の方法案を示す。

　T氏は、収集保存の対象となる特権操作2及び特権操作3のログが大量になることから、ログの最大データ量とログ収集に必要なネットワークの伝送速度を見積もり、現在のシステム環境への影響を評価することをY主任に提案した。Y主任は、見積りに関する基礎数値を設定し、①A社全体で発生する特権操作2及び特権操作3に対する30日分のログの最大データ量と②製品Rを使って本社の管理端末200台から東京DCにログを収集するために必要なネットワークの伝送速度を見積もった。見積りに関する基礎数値を図7に示す。

　Y主任とT氏は、見積結果から、現在のシステム環境への影響はないと判断し、東京DCにRサーバを配置してログを収集保存する方法について、X部長の承認を得た。 　次に、Y主任は、ログファイル及びログデータベースのバックアップに関する運用規程を定める必要があると考え、現在のシステム運用を考慮して、その案を作成した。図8にログファイル及びログデータベースのバックアップに関する運用規程案を示す。

　T氏は、特権操作2に関するログのデータ項目の内容を考慮し、運用規程案に追加すべき点を指摘した。③Y主任は運用規程案に項目を追加し、これまでの検討結果をまとめ、X部長の承認を得た。 　　 〔ログ分析機能の設計〕 　次にY主任とT氏は、ログ分析機能の設計を行った。Y主任は、他社で発生している情報漏えい事件の内容から、業務時間（月曜日から金曜日の9:00から17:00）外に行われた特権操作を優先的に監視する必要があると考えた。Y主任は、毎月第2金曜日に行われる運用報告会議において、前月のログに対する確認作業の結果を、各社の管理責任者がX部長に報告することを考えた。Y主任が考えたログ分析機能及び確認作業の内容は次のとおりである。

　ログ分析機能：特権操作1に関するログから、業務時間外に行われた特権操作1のログを抽出する。 　確認作業　　：抽出された特権操作1のログについて、関連する作業申請書と特権操作2及び特権操作3に関するログを基に、操作内容の必要性を確認し、確認者の氏名と確認結果を記録する。 　 　Y主任は、情報システム部の従業員では一部の特権ID利用者について個々の操作内容の必要性を十分に確認できないことから、各社の管理責任者が確認作業を行う案に修正した。しかし、T氏は、その修正案には、特権操作の確認として不十分な点が別にあることを指摘し、改善案を提案した。Y主任は改善案に従って手順を修正し、これまでの検討結果をまとめ、X部長の承認を得た。 　Y主任とT氏は引き続きログ分析機能の設計を行い、無事にログ管理システムの基本設計を完了した。