PAM360のManageEngine Log360 UEBAとの連携

ManageEngine PAM360は、ManageEngine Log360 UEBA（ユーザーおよびエンティティ行動分析）と連携し、特権アクセスアクティビティに関するインテリジェントな行動ベースのインサイトを提供します。Log360 UEBAは、監査ログを分析し、リスクスコアの割り当て、異常な行動パターンの特定、詳細な監査レポートの生成によって、異常や潜在的なセキュリティ脅威を検出する、機械学習を活用したアドオンです。

この連携により、PAM360は、設定されたサーバーの詳細情報と認証情報を使用して、ユーザーとリソースの両方のアクティビティを含む監査証跡データをAPI経由でLog360 UEBAに送信します。このデータは定期的に処理され、グラフ、リスク傾向、異常レポートなどの直感的な可視化形式で提示されるため、管理者は不規則なアクティビティを特定しリスクをプロアクティブに調査できます。

構成が完了すると、Log360 UEBAからの監査インサイトに、PAM360内の［高度な分析］タブから直接アクセスできます。データは監査レポートと異常レポートに分類され、ユーザー行動の傾向や通常パターンからの逸脱を明確に把握できます。これにより、組織は脅威を検出し、規制要件に準拠して情報に基づいたセキュリティ上の意思決定を行う能力を強化できます。

pam360-ueba-integration

メモ：

PAM360-Log360 UEBA統合は、Log360 UEBAビルド4023以降でのみサポートされています。

本書の終わりには、以下について学ぶことになります：

  1. 前提条件
  2. PAM360でのRPA連携の構成
  3. Log360 UEBAレポートのPAM360での表示
  4. 重要検討ポイント

1.前提条件

  1. 接続タイプをLog360 UEBAサーバーのHTTPSに変更します。連携は、PAM360がHTTPSを使って、リモート接続をするため、HTTPS接続としてのみ機能します。Log360 UEBAサーバーの接続タイプの変更方法についての詳細は、ここ をクリックしてください。接続タイプを変更したら、 本ドキュメント に記載の手順にしたがって、SSL証明書をLog360 Serverで生成および適用します。
  2. HTTPSが有効になったら、下の手順にしたがって、有効なSSL証明書をPAM360にインポートします：
    1. PAM360サービスを停止します。
    2. コマンドプロンプトを管理者権限で開き、<PAM360-Installation-Directory>/bin フォルダに移動し、以下のコマンドを実行してください：
      importCert.bat <Absolute-Path-of-the-Log360-UEBA-Certificate>
    3. PAM360サービスを再起動します。

2.PAM360でのRPA連携の構成

PAM360コンソールで、下の手順にしたがって、連携を有効にします：

  1. ［管理］>>［連携］>>［ManageEngine］の順に移動します。
  2. ManageEngine Log360 UEBAで、［有効にする］をクリックします。開いたLog360 UEBA統合ダイアログボックスには、以下の詳細を入力します：
    1. ホスト名 - Log360 UEBAが実行されているホストマシン。
    2. ポート - Log360 UEBAがリッスンしているポート番号。

認証パスワードを入力する前に、以下の2つのケースを検討します：

  1. PAM360とLog360 UEBAサーバーの両方が同じマシンにある
  2. PAM360とLog360 UEBAサーバーが別のマシンにある

2.1 PAM360とLog360 UEBAサーバーの両方が同じマシンにある

PAM360とLog360 UEBAサーバーの両方が同じマシンにある場合、認証パスワードは必要ありません。この場合は、以下のとおりにします：

  1. Log360 UEBA統合ダイアログボックスで、ホスト名とポートを入力します。
  2. Requires Authenticationオプションにはチェックを入れないままにして、［有効にする］をクリックします。
    ueba-1

2.2 PAM360とLog360 UEBAサーバーが別のマシンにある

PAM360 ServerとLog360 UEBA サーバーが別のマシンにある場合、認証パスワードは必須です。この場合は、以下のとおりにします：

  1. Log360 UEBA統合ダイアログボックスで、ホスト名とポートを入力します。
  2. ［Requires Authentication］チェックボックスを選択し、パスワードを入力します。このパスワードは、Log360 UEBAが実行されているサーバーのログインパスワードです。
  3. ［有効にする］をクリックして、構成を保存します。
    ueba-2

    メモ：

    この連携は、ユーザー名「admin」でのみ機能します。これは、Log360 UEBAスーパー管理者アカウントのデフォルトユーザー名です。現時点で、Log360 UEBAは、Active DirectoryユーザーとカスタムユーザーがLog360 UEBAにあるPAM360連携をサポートしていません。

連携プロセスはこれで完了です。現在、PAM360のすべての既存監査証跡は、Log360 UEBAにすぐに送信されます。これは、一回限りの操作です。この後、監査データは1時間ごとにPAM360から送信されます。現時点で、この連携は、PAM360の2つのタイプの監査データのみをサポートしています：リソース監査とユーザー監査。

ケース2が適用される場合、Log360 UEBAレポートダッシュボードは、Google ChromeとMicrosoft Edgeブラウザでは想定どおり機能しない場合があります。それらのブラウザのいずれかを使用している場合は、下記の対応手順のいずれかにしたがってください：

  1. この手順では、完全修飾ドメイン名(FQDN)をホスト名として入力します。たとえば：[hostname].[domain].[top level domain]
  2. 新しいタブを開き、chrome://settings/に進み、Cookies and other site dataをクリックして、［Allow all cookies〛オプションを選択します。次に、新しいタブを開き、chrome://flags/に移動して、検索バーにキーワードsamesiteを入力し、その横にあるドロップダウンから、［Disabled］を選択して、 ［SameSite by default cookies］ オプションを無効にします。
  3. 次に、ブラウザを再起動します。

3.Log360 UEBAレポートのPAM360での表示

連携が完了したら、下の手順にしたがって、Log360 UEBAレポートをPAM360で表示します：

  1. 精密分析タブに移動します。
  2. 左ペインの［ManageEngine Log360 UEBA］をクリックします。ここで、［Resource Anomaly］または［User Anomaly］を選択します。選択ごとに、リソースとユーザー監査レポートの分析が右のダッシュボード領域に表示されます。ダッシュボードについての詳細は、ここをクリックしてください。
    advanced-analytics6-ueba

    advanced-analytics7-ueba
  3. Log360 UEBAダッシュボードは、以下のブラウザで正常に機能します：IE 11以上、Mozilla Firefox 4以上、Microsoft Edge、およびGoogle Chrome。

ケース2に手順を適用した場合、Log360 UEBAレポートダッシュボードは、Google ChromeおよびMicrosoft Edgeブラウザで想定どおり機能しない場合があります。回避手順を確認するには、こちら をクリックしてください。

4.重要検討ポイント

  • 現時点では、Log360 UEBAには、別のPAM360 サーバーからデータを個別レポートして分離するプロビジョンがないため、PAM360 サーバー1基とLog360 UEBA サーバー1基のみ連携できます。そのため、複数のPAM360サーバーを1基のLog360 UEBAサーバーと連携しようとすると、データが損失される可能性があります。
  • Log360 UEBAに送信されるすべての監査トレイルは、Log360 UEBAサーバーに保存され、永久にそのまま保存されます。PAM360で監査レコードをパージすると、Log360 UEBAに保存されたデータは削除されます。
  • 連携が有効になると、PAM360のすべての既存監査データは、Log360 UEBAにすぐに送信されます。初回レポート以降、監査データは、PAM360から1時間ごとに送信されます。
  • Log360 UEBA サーバーライセンスの有効期限が切れ、フリーエディションに移行した場合、Log360 UEBAは、PAM360から監査トレイルを取り込むを停止します。この結果、ＰＡＭ360のLog360 UEBAダッシュボードには、新しいレポートは表示されなくなります。ただし、ライセンスの有効期限切れ前に生成された異常レポートは、連携が手動で無効にされないかぎり、PAM360にそのまま残ります。
  • 監査トレイルがPAM360でどのように記録されるか構成するには、［監査］タブに進み、［監査アクション］ >> ［リソース監査の設定］または［ユーザー監査の設定］の順にクリックします。リソースとユーザー監査タイプに適用された構成設定は、Log360 UEBAに送信された監査データに適用されます。ただし、Log360 UEBAに送信された監査ログタイプをPAM360の監査トレイルへの記録方法に影響を与えずに制御することはできません。

PAM360の監査についての詳細は、ここをクリックしてください。