EventLog Analyzer：
高機能なイベントログ管理
ソフトウェア
Windowsデバイスは、多くの企業ネットワークで最も広く採用されています。これらのデバイスが生成する膨大なイベントログデータに対応するため、セキュリティ管理者には、ログ収集・解析・相関分析・アーカイブといったプロセスを自動化し、エンドツーエンドのWindowsイベントログ管理を実現できる高機能なログ管理ツールが必要です。EventLog Analyzerは、こうした要件を満たすソリューションです。
EventLog Analyzerのイベントログ管理機能
Syslog管理とは、Syslogの収集・解析・分析・保存を一元的に自動化する手法であり、リアルタイム分析、脅威検出、コンプライアンス対応を実現します。ManageEngine EventLog Analyzerは、Cisco、Palo Alto、Fortinet、Juniper、Check Pointをはじめとする30以上のベンダーからのSyslog管理を一元化します。
1,000種類以上のデバイスタイプから収集したSyslogの生データを実用的な情報へと変換し、RFC 3164、RFC 5424、CEF形式に対応しています。
イベントログ収集
イベントログ管理ツールに求められる重要な機能の一つが、あらゆるソースからイベントログを収集することです。EventLog Analyzerのイベントログ収集機能は、エージェントレスおよびエージェントベースの両方のログ収集方式に対応しており、高い柔軟性を備えています。
1. エージェントレスによるイベントログ収集
この方式は、Windowsデバイスの標準機能を利用してイベントログを収集します。EventLog Analyzerは、ネットワーク内のWindowsデバイスと通信し、WMI、DCOM、RPCといったメカニズムを介してイベントログを取得します。
2. エージェントベースによるイベントログ収集
Windowsデバイスの標準機能が利用できない状況に対応するため、EventLog Analyzerにはイベントログ収集エージェントが同梱されています。このエージェントをログソースにインストールすることで、EventLog Analyzerのサーバーとの通信およびイベントログの送信が可能になります。
イベントログフィルター
ネットワーク上で生成されるイベントログの大部分は、日常的な操作を記録したものです。このことにより、次の2つの課題が生じます。
- セキュリティ上の意味を持つイベントログの特定
- 収集したすべてのイベントログを保存するために必要なストレージ容量の確保
EventLog Analyzerは、これらの課題に対応するためのイベントログフィルター機能を提供します。この機能を使用することで、収集したログの中からセキュリティ上重要なものを絞り込むことができます。フィルターは、イベントログのソース、ユーザー、またはログの構成要素に基づいてカスタマイズできます。なお、すべてのイベントログはEventLog Analyzerによって自動的にアーカイブされ、必要なときにいつでも参照できます。
イベントログ解析
収集したイベントログを最大限に活用するには、ログ管理ツールによるログの解析が不可欠です。EventLog Analyzerには、イベントログの正規化・解析・インデックス化を行うイベントログ解析が組み込まれています。
イベントログ解析の仕組み
たとえば、デバイス名とユーザー名の両方を含むログを考えます。この情報はログに記録されていても、どちらがデバイス名でどちらがユーザー名かは一見して判断できません。EventLog Analyzerのイベントログ解析は、Windowsイベントログを分解し、デバイス名やユーザー名といった各情報を個別のログとして抽出します。抽出された情報は、それぞれ適切なセクションに分類されます。
イベントログ分析と相関分析
ログ分析は、イベントログ管理ツールがセキュリティツールとして効果的に機能するために重要です。EventLog Analyzerは、ログ解析を活用してイベントログ分析を効率化します。さらに、EventLog Analyzerの相関分析エンジン がこの機能を強化します。
EventLog Analyzerの相関分析エンジンは、データベースからWindowsイベントログを自動的に取得し、他のソースから収集した正規化済みのログと照合します。これにより、手作業によるログデータの相関分析という煩雑な作業が不要になります。そのため、ネットワークへの攻撃を示す一連のイベントを検知しやすくなります。
イベントログ検索とフォレンジック分析
IT管理者は、組織内でフォレンジックログ分析を実施する必要が生じることがあります。フォレンジックログ分析では、必要な情報を見つけるためにログを検索しますが、Windowsイベントログは量が膨大なため、手作業で見つけるのは現実的ではありません。
EventLog Analyzerには、習得しやすく使いやすい専用の検索モジュールが搭載されています。ワイルドカードおよびブール演算子を使用した検索クエリに対応しており、グループ検索や範囲検索も実行できます。EventLog Analyzerでは、継続的なプロンプトを活用して論理的なクエリを組み立てることで、Windowsイベントログを検索できます。クエリに一致するすべてのログが結果として表示されます。
イベントログアーカイブ
収集したイベントログの適切なアーカイブと廃棄は、イベントログ管理サイクルの重要な工程です。加えて、主要なITセキュリティ規制機関は、組織のイベントログアーカイブ体制を精査します。多くの規制では、イベントログを完全に削除する前に保存しておくべき日数が定められています。
EventLog Analyzerを導入することで、組織はイベントログのアーカイブを自動化できます。収集したイベントログをアーカイブに移行するまでの日数、およびアーカイブ済みのイベントログを完全に削除するまでの日数をそれぞれ設定できます。これらの値は、業務上遵守すべきコンプライアンス要件と内部監査の要件に基づいて決定できます。EventLog Analyzerのイベントログアーカイブ機能は、HIPAA、SOX、GLBA、PCI DSS、GDPRなど、主要なIT規制への準拠を支援します。
