PAM360 のセッション イベント監視

PAM360のセッションイベント監視機能により、管理者はPAM360エージェントを使用して、Windowsセッションにおけるユーザーのキーストロークおよびシステムイベントを監視できます。コマンド、キーストローク、およびシステムイベントをキャプチャすることで、この機能はユーザーの操作とシステムの動作に対する明確な可視性を提供し、監査、セキュリティ監視、およびコンプライアンスレポートを強化します。

PAM360エージェントがシステムイベントロギングおよびキーストロークロギングモジュールを有効にしてマシンにインストールされている場合、対象システムへの管理セッション（PAM360が開始したセッション）と非管理セッション（直接ログインまたは外部クライアント経由）の両方について、すべてのシステムイベントとユーザーキーストロークをキャプチャします。これにより、PAM360の集中ワークフロー外でアクセスが発生した場合でも、完全なアクティビティ記録と継続的な監査可視性が確保されます。

このヘルプ ドキュメントでは、次のトピックについて詳しく説明します。

1. 前提条件
2. セッションイベント監視モジュールを使用したPAM360エージェントのインストール
3. PAM360エージェントサービスへのアクセス制限
4. セッション イベントの監視
5. イベントを検索
6. 制限
7. トラブルシュートのヒント

1.前提条件

• セッションイベント監視は、64bitのWindows オペレーティングシステムでのみサポートされています。
• PAM360エージェントは、システムイベントロギングおよびキーストロークロギングモジュールを有効にした状態で対象マシンにインストールする必要があります。エージェントはセッションを監視してシステムイベントとユーザーキーストロークをキャプチャし、完全なセッション監視と監査可視性を確保します。

2.セッションイベント監視モジュールを使用したPAM360エージェントのインストール

PAM360のセッションイベント監視は、エージェントベースのデータ収集を利用して、特権アクティビティの完全な可視性と監査カバレッジを提供します。対象マシン全体でセッションイベントとユーザーキーストロークをキャプチャするには、必要なモジュールを有効にした状態でPAM360エージェントを関連する対象マシンにインストールする必要があります。

システムレベルのアクティビティを記録するには、システムイベントロギングを有効にしてPAM360エージェントをインストールする必要があります。これにより、PAM360は、管理セッションと非管理セッションの両方について、セッションのログオンとログオフ、プログラムの開始と終了、アクティブウィンドウの変更などの主要なセッション関連システムイベントをキャプチャできます。

ユーザーのキーストロークをキャプチャするには、PAM360エージェントをキーストロークロギングモジュールを有効にした状態で有効化またはインストールする必要があります。キーストロークログモジュールは、対象マシン上のすべてのユーザーキーストロークと、サポートされているコマンドライン環境で実行されたコマンドを記録し、PAM360を通じて開始されたセッションだけでなく、システムへの直接ログインについてもアクティビティが確実にキャプチャされるようにします。

PAM360エージェントのインストールまたは各エージェントモジュールの有効化の詳細については、こちらのドキュメントを参照してください。

3.PAM360エージェントサービスへのアクセス制限

PAM360エージェントサービスへのアクセスを制限することで、エンドユーザーがサービスを停止し、対象マシンのセッションイベントおよびキーストロークログをバイパスするのを防ぎます。標準ユーザーアカウントはデフォルトではサービスを停止できませんが、Windows管理者アカウントは停止できます。厳格な監視を実施するには、ユーザーにアクセス用の標準ユーザーアカウントをプロビジョニングし、管理者ユーザーのサービス制御を制限することを推奨します。管理者アクセスを制限するには、次の手順に従ってください。

1. 専用の管理者アカウントを作成し、このアカウントのみがPAM360エージェントサービスの起動、停止、または変更を行えるようにサービス権限を設定します。
2. エージェントは更新のためにサービスアクセスを必要とするため、このサービスアカウントには完全な権限があることを確認してください。この設定はPAM360のWebインターフェースから行うことはできず、対象マシン上で手動で実行する必要があります。
3. サービス権限は、以下のコマンドを使用して表示および変更できます。
   

   sc sdshow <service_name>

   sc sdset <service_name> "<SDDL>"

4.セッション イベントの監視

PAM360エージェントが対象システムにインストールされると、PAM360インターフェースからのセッション（管理セッション）または直接/ネイティブクライアントアクセスによるセッション（非管理記録セッション）のいずれかを通じてセッションが開始されるたびに、セッションアクティビティを継続的にキャプチャします。エージェントは、セッションのログオンおよびログオフ、プログラムの起動および終了、アクティブウィンドウの変更、サポートされているコマンドライン環境で入力されたコマンドを含むユーザーのキーストロークなど、システムイベントを記録します。

キャプチャされたすべてのアクティビティは、それぞれのセッション監査に関連付けられ、PAM360にセッションイベントデータとして保存されます。これらのセッションイベントを表示するには、以下の手順に従ってください。

1. 「監査」タブ→「管理セッション」/「非管理セッション」→「記録済みセッション」に移動し、対象のセッションを特定して、リソースに対応する「アクション」コラムの「セッションイベント」アイコンをクリックします。
   
2. 管理セッションの場合：セッションイベントページでは、記録されたセッションの再生が左側に表示され、対応するセッションイベントが右側に一覧表示されます。イベントを確認することで、セッション中に何が発生したかを把握できます。各イベントにはタイムスタンプが含まれており、セッション記録をナビゲートする際の参照として使用できます。
   
3. 非管理セッションの場合：これらのセッションは直接開始され、PAM360をバイパスするため、記録されたイベントを表示できるのはセッションイベントページのみとなります。PAM360は現在、管理外で確立された接続の再生データをキャプチャまたは保存していないため、これらのセッションではセッション再生はサポートされていません。一覧表示されたイベントを確認することで、セッション中に実行されたアクションを把握でき、各イベントには発生した正確なタイムスタンプが表示されます。
4. イベント検索バーの横にある「フィルター」オプションを使用して、特定のイベントタイプに絞り込みます。セッション中にキャプチャされるイベントタイプは以下のとおりです。
   1. セッションログオン - ターゲットシステムへのユーザーログイン。
   2. セッションログオフ - ユーザーのログアウトまたはセッションの終了。
   3. プログラムが開始されました - セッション中に開始されたプロセス。
   4. プログラムは終了しました - セッション中に閉じられたまたは終了したプロセス。
   5. コマンドが実行されました - サポートされているコマンドラインセッションで実行されたコマンド（現時点ではWindowsコマンドプロンプトに限定）。
   6. アクティブウィンドウ - セッション中のアクティブなアプリケーションまたはシステムウィンドウの変化。
   7. キーストローク - セッション中にマシン上でユーザーが入力したキーストローク。
5. イベントフィルターの下に、表示されるイベントをさらに絞り込むための以下のオプションがあります：
   1. バックグラウンドプログラムを除外する - このオプションを選択すると、バックグラウンドのシステムプロセスおよびサービスによって生成されたイベントが非表示になり、セッション中にユーザーが開始したアクティビティのみに集中できます。
   2. エージェントイベントを除外する - このオプションを選択すると、PAM360エージェント自体によってトリガーされたイベントが除外され、対象システム上でユーザーが実行したアクションのみが表示されます。

5.イベントを検索

「イベントを検索」機能を使用すると、複数のセッションにわたるグローバル検索が可能です。管理セッションまたは非管理セッションの上部パネルにある「イベントを検索」をクリックして開始します。

イベント検索ページには、管理対象および非管理対象のすべてのセッションとその詳細が表示されます。検索フィールドにキーワードを入力して、セッション中に発生した関連イベントを取得します。管理セッションおよび非管理セッションフィルターを使用して結果を絞り込みます。結果からセッションを選択すると、そのキーワードに関連するイベントが表示されます。

6.制限

• コマンドレベルの監視は、現時点ではconhost.exeを通じて実行されたWindowsコマンドプロンプト（cmd.exe）に対してのみサポートされています。
• セッションイベント監視は、VNC、ランディングサーバー、またはPAM360 Remote Connectを介してアクセスされたセッションではサポートされていません。ただし、これらのセッション中に実行されたアクティビティは引き続き記録され、「セッションイベント」ビュー内の「非管理セッション」にのみ表示されます。
• PAM360 Remote Connectのセッションイベントは、セッションがPAM360を通じて起動された場合でも、セッションイベントビューの「非管理セッション」の下に記録されて表示されます。
• 読み取り専用（RO）サーバーを通じて開始されたセッションのセッションイベントは、プライマリサーバーがダウンしている場合には記録されません。これは、ManageEngine PAM360 Session LoggerがROサーバーでサポートされていないためです。
• MS SQL高可用性モデルでは、セカンダリサーバー上で開始された接続のセッションイベントは記録され、「非管理対象セッション」の下に表示されます。

7.トラブルシュートのヒント

ビルド8500以降、PAM360エージェントにセッションイベントモジュールをインストールすると、Session Loggerという名前の追加の依存サービスがインストールされ、標準のPAM360エージェントサービスと並行して実行されます。Session Loggerの起動に失敗してエラーコード193が返される場合、以下のいずれかの原因が考えられます。

• PAM360エージェントが64ビット以外のWindowsマシンにインストールされている場合。PAM360エージェントが64ビットのWindowsオペレーティングシステムのみをサポートしている。
• サービスコントロールマネージャー（SCM）がエージェントの実行ファイルを見つけられない場合。これは、Cドライブ上の競合または実行ファイルのパスが正しくないために発生することがあります。このような場合は、マシンを再起動してください。再起動後、競合するファイルの名前変更を求めるポップアップが表示される場合があります。このアクションを完了することで、サービスの起動に関する問題が解決されます。