SHieldWARE NEによる運用操作の監査記録 - Fujitsu...・PCI-DSS対応・作業申請・承認のシステム化・特権操作の記録・ログを1日1回監査

Copyright 2019 FUJITSU SOCIAL SCIENCE LABORATORY LIMITED

SHieldWARE NEによる運用操作の監査記録

株式会社富士通ソーシアルサイエンスラボラトリ

0


作業者が作業申請通りに、作業を行ったかを確認したい

監査法人から管理者のサーバ操作記録について、対策検討の指摘を受けた

特権IDの使い回しが運用課題になっている

内部不正による機密情報の漏えいを抑止したい

証跡管理製品の導入を検討しているが、既存環境は

変更しにくい

こんなことで、お悩みではないですか？

サーバやネットワーク機器の操作記録やIDの共有・貸出を管理できるリモート操作証跡管理製品SHieldWARE NEが解決します

1


SHieldWARE NEの概要

操作端末

ネットワーク上に踏み台サーバとして設置

サーバ・ネットワーク機器

サーバにエージェント追加不要端末にアプリ追加不要

SHieldWARE NEを運用操作専用の「ゲートウェイサーバ」として導入することで、以下が実現出来ます

「操作者の特定」と「サーバへのアクセス制御」

サーバやネットワーク機器の操作の録画

確実で効率的な貸出ＩＤ管理

アクセス制御

操作証跡

ID貸出

システム構成

2

利用イメージ


操作PCからSHieldWARE NEへの接続方法

SHieldWARE NEから対象機器への接続方法

装置接続画面

監査ログの見方

3


①操作PC→SHieldWARE NE

操作PC

操作PCにてブラウザを起動する (InternetExplorer)

ログイン名／パスワードを入力ログインボタンを押す

アドレスバーにSHieldWARE NE 接続用URLを入力する

4


②SHieldWARE NE→接続先装置

装置タブをクリックする

接続する装置をクリックする

接続方法(SSHで接続する)をクリックする

コメントを入力する

5


装置接続画面

接続方法：SSHの場合

接続方法：RDPの場合

6

動画ログ再生の効率化機能


監査ログの見方

※「何をした」は作業時に入力したコメントが表示されます

誰がどの装置にいつ何をした※

再生したいポイントへスキップが可能

倍速再生(最大16倍)が可能

「再生」をクリックすると、サーバに接続してから切断するまでの操作画面が動画で再生されます動画ファイルは画面が変化した差分のみ記録し、作成されます参考：1時間の作業で100MB程度の容量です

動画ログ再生イメージ

一時停止で確認が可能

再生をクリック

録画オプション

7


SHieldWARE NE システム/リソース要件

ハイパーバイザのシステム要件

仮想マシンのリソース要件

VMware vSphere ESXi 5.5, 6.0,6.5,6.7

※ハイパーバイザのリソースは含みません。

20セッションモデル 40セッションモデル 80セッションモデル 200セッションモデル

CPU(Core) 3 5 8 10

メモリ(GB) 4 8 16 32

ディスク容量(GB) 80 140 250 500

ログ暗号化機能を利用する場合は暗号化処理によりメモリリソースを消費しますので以下のリソースが必要です。 (仮想マシンのメモリ変更はお客さまにて実施お願いします。)

20セッションモデル 40セッションモデル 80セッションモデル 200セッションモデル

CPU(Core) 3 5 8 10

メモリ(GB) 6 12 24 48

ディスク容量(GB) 80 140 250 500

※200セッションモデルのみ、RDP同時接続数の性能保証は 100 までとなります。

8


SHieldWARE NE製品構成

ソフトウェア（初期）

保守（初期・年間）

No 製品（ソフトウェア）機能

1 SHieldWARE NE本体基本機能（ﾘﾓｰﾄ接続、ｱｸｾｽ制御、ｾｯｼｮﾝﾛｸﾞ）

2

オプション

録画オプション操作内容を動画で録画する機能 ※CLIの操作内容を記録する際も必要

3 チケットオプション一時IDの払い出し／承認機能

4 認証連携オプション ADと連携し、ログイン認証する機能

5 ADMINコンソールオプションターミナルサービスと連携し、クライアントアプリケーションやブラウザを操作をする機能

6 ソフトウェア保守（年間）本体 1台ごとに発生

7 サーバ管理ライセンス（年間）サーバを管理するためにライセンスが必要

9


SHieldWARE NEによる対策

①アカウント管理

③各サーバへのアクセス管理

②権限の最小化

④外部委託者管理

特権ユーザの特定・個人IDと特権IDとのアカウントのヒモ付けが可能なため、取得したログより個々の操作者を特定することが可能操作者毎に接続先機器のアクセス制御が可能

アクセス制御管理対象機器に対するアクセス可否をユーザ単位できめ細かく指定することが可能

サーバ機器などの操作を録画・リモート操作端末からアクセスしたサーバやルータ、ファイアウォールなどのネットワーク機器の操作画面を映像で録画することで、特権ユーザ(運用者など)のあらゆる操作を記録可能

確実で効果的な貸出ID管理・申請に基づき作業者にチケットを発行し、指定した時間帯に特定サーバにのみアクセスできる一時利用ユーザアカウントを発行することが可能チケット発行には、承認プロセスが必須

10


SHieldWARE NEのポイント

Administrator yamada

suzuki

tanaka

sasaki

特権ユーザの特定・個人IDと特権IDとのアカウントのヒモ付けが可能。取得したログより個々の操作者を特定可能

・利用者情報はAD連携も可能

①アカウント管理

suzuki

yamada

tanaka

sasaki

サーバ

管理者

導入前導入後

suzuki

yamada

tanaka

sasaki

サーバ

Administrator

特権ID１つを複数人で利用しているため区別がつかない

SHieldWARE NEで個人を特定できるためアカウント管理が可能管理者

認証連携オプション

RDP/コンソール接続 RDP

11



サーバA

サーバB

アクセス制御・管理対象機器に対するアクセス可否をユーザ単位できめ細かく指定することが可能

②権限の最小化

yamada

suzuki suzuki

yamada

表示イメージ

クリップボードやファイル転送機能の利用をユーザー単位で許可・禁止できます

アクセス可能なサーバをユーザー単位で制限できます

サーバAへのアクセスサーバBへのアクセスクリップボードファイル転送

yamada ○ × ○ ○

suzuki × ○ × ×

12


サーバ機器などの操作を録画・リモート操作端末からアクセスしたサーバやネットワーク機器(ルータ、ファイアウォールなど)の

操作画面を映像で録画することで、特権ユーザ(運用者)のあらゆる操作を記録可能

障害発生時の追跡用情報として活用可能作業エビデンスの自動取得によりコスト削減可能

参考：1日1時間のGUI作業を行った場合、 1年間のログ容量は約43GBです。

すべてのセッション(RDP、VNC、TELNET、SSH)のレポートを表示可能 1作業が1セッションとして記録される

SHieldWARE NEのポイント ③各サーバへのアクセス管理


13


SSH/TELNET操作の記録･検索装置、ユーザー、時間帯、キーワードを指定した検索が可能


不審なコマンド実行やファイルへのアクセスを発見することが可能 SSH/TELNETの操作はテキスト保存が可能

③各サーバへのアクセス管理


例：キーワード「useradd」を含む操作ログを検索

キーワード「useradd」を含む操作ログを表示操作動画ログの再生や、テキストログとしてダウンロードが可能

14



確実で効果的な貸出ID管理

外部委託者チケット承認者

User ﾁｹｯﾄ番号

Login Time Server 作業申請番号

suzuki － 2015/4/20 20:10:15 10.1.2.30 ・・・

tanaka 001 2015/4/20 20:05:53 10.1.2.50

（Win) 20150501-001

④外部委託者管理

yamada

suzuki

tanaka

サーバ

Administrator

tanaka

申請に基づき作業者にチケットを発行し、指定した時間帯に特定サーバにのみ

アクセスできる一時利用ユーザアカウントを発行することが可能チケット発行には、承認プロセスが必須

suzuki

yamada

定常運用者

チケット:001

チケット利用イメージチケットオプション

外部委託者[tanaka]が共有IDでサーバにアクセス操作した接続履歴も記録可能

15


操作画面記録の効率的な監査

差分あり差分なし

時系列、キーワードによるログの絞り込み

ブランクスキップ機能で非動作画面をスキップし効率的に再生

2倍速～16倍速再生にて監査時間を短縮業務を効率化

工夫① 監査ログサイズを小さくするための工夫

工夫② 監査に要する時間を短縮するための工夫

（例）管理者Aが行った10分間の操作

差分のみ記録

動画再生のコントロールバー

差分のみ記録することでファイルサイズを抑制

動画の圧縮によりファイルサイズを抑制

16


操作画面記録ログの管理（記録～保管）

本体ディスク外部ストレージ（NFS）

操作画面は動画ログとして本体ディスクに記録されます

自動アーカイブ機能により、指定された時間に外部ストレージに移動されます

監査者

外部媒体

録画必要に応じて外部媒体へ保存

操作ログの再生


取得した動画ログはSHieldWARE NEの本体ディスクにて保存可能別途用意した外部ストレージへマウントし、保管可能外部ストレージに保存されている動画は、SHieldWARE NEの本体ディスクに

保存されているとき同様の操作で再生可能

・本体にあるログ、外部ストレージにあるログは共にSHieldWARE NEから[再生] が可能・外部媒体へ保存したログは外部ストレージへリストアすることで[再生]が可能

17


一時貸出IDの払い出し機能

チケットオプションの概要

・SHieldWARE NEのユーザIDを一時払い出しすることにより、臨時の作業にも対応可能

・払い出されたIDは指定した期間のみ利用可能なため、作業完了後のID削除などが不要

となり、システム管理者の負荷を軽減

・メンテナンスなどで一時的に利用できるログインIDを承認者の承認のもとで払い出すことが

可能

・深夜時間帯/休日に急遽作業が必要となり、承認者不在の場合は、事後承認機能にて

作業を実施することも可能

チケットオプション

指定日時に指定したサーバのメンテナンスだけを行える作業チケットの払い出し機能を装備

18


一時貸出IDの払い出し機能（画面イメージ）チケットの発行画面

チケットの承認画面

利用者、対象サーバ、作業内容、IDの有効期限などの情報を設定

作成されたチケットの内容を確認し、承認/否認を実施


19


参考：運用フロー(職員様によるチケット申請)

職員様上長一時利用者

作業開始

職員様

or

接続対象サーバ

利用依頼利用申請

(NEログイン) チケット作成

「利用サーバ」「開始/終了時間」

「承認者」を職員様にて指定

メール確認

メール確認

利用承認

（NEログイン）

承認依頼メール

(自動送信)

チケット承認

承認メール

(自動送信)

承認完了連絡

or


20


参考：運用フロー(作業者によるチケット申請)


作業開始

職員様


利用申請

(NEログイン)

依頼

チケット作成


「承認者」を作業者にて指定

メール確認

利用承認


承認依頼メール

(自動送信)

チケット承認

承認メール

(自動送信)

or

メール確認

「割り当てサーバ」「割り当て承認者」

を伝える


21


参考：緊急時申請承認フロー(事後承認)


作業開始

職員様


利用申請

(NEログイン)

おしらせ

チケット作成

作業内容確認/承認


事後承認メール

(自動送信)

チケット事後承認

or

後日メール確認

事後承認可能なチケットを申請できる IDを事前に伝えておく


「承認者」を作業者にて指定


22


クライアントセグメント

サーバセグメント

操作端末ログ保存用サーバ

証跡ログを NFS/CIFSで転送

ターミナルサーバ

ブラウザやアプリケーションはターミナルサーバで操作

SHieldWARE NEの導入構成例

L3スイッチまたは

ファイアウォール

ネットワーク設定にて、操作端末からサーバへの直接アクセスを禁止

23


・ヘルプデスクの操作記録・データの持ち出し禁止

導入事例製造業A様

営業店サーバ

全国約500店舗

販売店

・販売店へのリモート操作を全てSHieldWARE NEで動画録画・ファイル共用やクリップボード機能を禁止し、ヘルプデスクへのデータの持ち出しを制限（データ受渡は管理グループ経由）・ターミナルサーバや証跡へのアクセスをユーザー単位で制限

サポートセンター

ヘルプデスク要員

全国の販売店のヘルプデスク業務において、販売店のサーバ、端末に対し

リモートログインして行った作業の操作証跡記録を取得

管理者

データ受渡用ファイルサーバ

データ受け渡し依頼データ配置・取り出し

証跡記録

データ配置・取り出し

リモート操作

顧客要件

SHieldWARE NEでの実現 FW

営業員

24


・PCI-DSS対応・作業申請・承認のシステム化・特権操作の記録・ログを１日１回監査

導入事例クレジットB様

・申請された時間に許可されたサーバにのみアクセスが可能な「チケット」を払い出す・作業記録はすべてチケット単位で録画・再生可能

作業申請・承認なしではサーバが利用できないよう厳格なアクセス制御を導入

また、許可された作業についても動画ベースの操作証跡を記録

許可された時間にのみチケットを使い作業対象サーバ

にアクセス可能

ID借用申請書

作業者が管理者に利用申請を行なう(メール)

管理者

チケット：001 作業申請番号： 20100601-001

承認者

作業者承認者は申請内容に対し承認を行なう

管理者は申請のあった利用日時にのみ有効となるチケットを作成し承認申請を行なう

管理者はメールにて申請者に

チケット送付

チケット：001

サーバ

操作の録画記録

作業台帳出力ツール

（個別開発）顧客要件

SHieldWARE NEでの実現

作業台帳

25


・海外社員に対して公開する必要のある国内の業務アプリに対し、リモート操作環境を提供しつつ、証跡記録を残したい

導入事例製造業C様

・SHieldWARE NEで海外拠点

からの利用者操作を動画で記録・人員の定着率が低い海外拠点については、SHieldWARE NEの

簡易シングルサインオンの機能を使い、アカウント/パスワードを隠ぺいして運用させることにより情報漏えいのリスクを回避

海外からの利用者

海外利用者向け業務端末

リモート操作

国内利用者国内利用者

接続先機器への自動ログイン機能を利用することで業務端末のアカウント/ パスワードを隠ぺいする

海外からの利用者

海外工場海外支店

国内本社

海外拠点からの業務アクセスを動画記録

顧客要件


26


・開発環境と運用環境を完全に分離することは困難なため、開発者が運用環境に行った操作を全て記録することでリスクを減らしたい

導入事例リース業D様

・開発者が運用系サーバを操作する

際は、SHieldWARE NEで全ての

操作内容を動画で記録・操作内容の記録による不正の抑止、責任者の定期的な操作内容の確認により、開発者による不正操作のリスクを軽減し、監査をクリア

運用系サーバ

開発者

運用系サーバ

拠点拠点

開発環境運用環境

運用系サーバ

本社

責任者

顧客要件


外部監査により指摘された、開発環境と運用環境が分離されていないリスクを

SHieldWARE NEを導入することにより対策

動画確認

操作画面記録

27


SHieldWARE NE導入実績

豊富な実績数

SHieldWARE NEは、 189社／23,830サーバへの導入／運用実績による高い信頼性をご提供いたします

金融、政府機関、通信などのミッションクリティカルな基盤での安定稼働実績による高い信頼性をご提供いたします

SHieldWARE NE 23,830台 189社

※2019年7月現在

業種導入会社数管理対象

機器数

金融４４３,１５５

製造・流通３３７,４５５

官公庁・ヘルスケア３２４,９９０

通信・サービス・データセンタ６２６,９６０

その他１８１,２７０

28


SHieldWARE NEの製品仕様

対応プロトコル GUI RDP / VNC

CLI SSH / TELNET

最大同時セッション数 20 / 40 / 80 200

最大管理対象機器数 1200 3000

最大登録ユーザー数一般ユーザーと管理者ユーザーの合計 1000 2000

一時利用ユーザー 1000 1000

製品仕様

独自OSにアプリケーションをインストール済みのVAとして提供

従来のハードウェアアプライアンスと異なり、ハードウェアの制約がないため、他の機器と同様の保守管理が可能 ※基本OSのインストールは不要です。VMWAREにデプロイします。

VMwareに搭載可能なVA（Virtual Appliance）として提供

※200セッションモデルのみ、RDP同時接続数の性能保証は 100 までとなります。

29

http://images.google.co.jp/imgres?imgurl=http://upload.wikimedia.org/wikipedia/de/thumb/1/11/VMware_logo.svg/800px-VMware_logo.svg.png&imgrefurl=http://de.wikipedia.org/wiki/Datei:VMware_logo.svg&usg=__sIP98Skfnoo5XZYZl5OeasD2fQo=&h=182&w=800&sz=20&hl=ja&start=16&tbnid=Dq7VRHylm449wM:&tbnh=33&tbnw=143&prev=/images?q=vmware+logo&gbv=2&hl=ja

特権ID管理システム「SHieldWARE NE」の機能(ご参考)

Copyright 2019 FUJITSU SOCIAL SCIENCE LABORATORY LIMITED 30


機能禁止コマンド実行通知

管理者

作業者

リモート接続

SSH/TELNET

ログイン

監視対象コマンド：A, B, C ・・・（複数指定可能） Email：[email protected]

禁止コマンド実行通知設定

事前に設定した禁止コマンドを作業者が実行した場合に検知し、

メールで管理者([email protected])へ通知することが可能

禁止コマンド実行

31


機能サーバへの自動ログオン

管理対象機器のID/PASSを作業者へ通知して作業実施

SHieldWARE NE が管理対象機器へ代理認証

Administrator

root

ID：root

パスワード：****

サーバへの自動ログオン設定

SHieldWARE NEに、サーバに接続するためのユーザIDとパスワードを

設定しておくことにより、管理対象機器への接続時に自動ログインすることが可能自動ログインはRDP/VNC/SSH接続の場合に利用可能

作業者

作業者にrootのパスワードを教えなくてはいけない・・・。

パスワードを後で変更しておかなくては・・。管理者

リモート接続

RDP/SSH

作業者

事前にユーザID・パスワード情報を登録しておく

作業者にパスワードを教えない運用が可能

作業後のパスワード変更作業が不要管理者

32

■録画ファイルを暗号化する機能 SHieldWARE NEの録画ファイルが暗号化され、SHieldWARE NE を介して参照しないと解読できない状態になります。外部ストレージにアーカイブした際は CLI 操作ログ(SSH/TELNET)をテキスト形式でアーカイブしたファイルのみは SHieldWARE NE を介さず復号することができます

■2段階認証/2要素認証機能・アカウント登録時に設定したメールアドレスに発行されたワンタイムパスワードを通知・スマホ端末アプリにワンタイムパスワードを通知(TOTP)

■PCI-DSS 3.2 要件未使用アカウント自動ロックアウト機能ログイン履歴データを元に指定された日数以上休眠状態の(ログイン実績がない) アカウントを自動的にロックアウトします


新機能のご紹介

33


補足：アクセス権限のグループ管理

役割（ロール）によりユーザーのアクセス権限をグループ化して管理することが可能

管理対象機器もグループ管理が可能

グループで管理することにより、ユーザーや管理対象機器が増えたときの設定を効率化することが可能

運用チームB

機器操作自分のログ参照

運用チームA

機器操作自分のログ参照

オペレータA

オペレータB

オペレータC

オペレータD

Aシステム（装置グループ）

サーバA

サーバB

Bシステム（装置グループ）

サーバC

サーバD

サーバE

運用チームBに「オペレータE」が増えた場合は、追加したユーザを「運用チームB」という役割にヒモ付ける

オペレータE

サーバE

ユーザー役割管理対象機器

オペレータE

Bシステムの装置「サーバE」が増えた場合は、追加したサーバを「Bシステム」という装置グループに登録する

権限付与権限付与

34


導入前

補足：アプリケーション操作の記録

従来PCで動かしていたクラサバアプリをターミナルサーバ上で動かしてその操作画面を録画

SHieldWARE NE

運用者PC サーバ

アプリケーションクライアント

サーバ運用者PC Windows

ターミナルサーバ

・SHieldWARE NEで対応していないプロトコルの通信がある（RDP、VNC、TELNET、SSH以外）・IEではなく、chromeやFirefoxに対応しているアプリケーションがある・PCでアプリケーションを開いてサーバを操作する環境

ブラウザや各種アプリケーションクライアントの操作など、SHieldWARE NEで

対応していないプロトコルを使って操作する場合でも、Windowsターミナルサーバの

アプリケーション操作を録画することで証跡を取得可能

RDP接続

アプリケーション通信

ターミナルサーバの画面導入後アプリケーションクライアント

録画

証跡が残せない


35


補足：認証連携機能

SHieldWARE NEログイン画面

認証連携機能を使用すると、ActiveDirectory,RADIUSサーバでパスワード認証を

行うことが可能

ActiveDirectoryの場合はSHieldWARE NEにユーザを同期して取り込むことが可能

ローカル認証のユーザ、認証サーバ連携のユーザが混在しても使用可能

(異なるユーザIDである必要があります)

入力されたID/Passで認証サーバへパスワード認証を実施

ActiveDirectoryサーバ

認証結果がOKの場合 SHieldWARE NEへのログインが完了

ログイン完了

認証連携オプション

36

補足：ADMINコンソール機能

デスクトップ表示アプリ起動

自動起動(アプリ画面のみ表示)

ターミナルサーバ内の指定したプログラムのみを画面表示するため、作業者に対し特定の作業のみ

実施可能な環境にすることが可能

SHieldWARE NEで対応していないプロトコルでの接続となる接続先(サーバアプリ)にも、

作業者にパスワードを秘匿にした自動接続が可能 ※指定した実行プログラムが引数に対応している必要があります

予め、実行プログラムに引数(接続先IP、ID、Pass)をSHieldWARE NEに設定して登録することで、・アプリケーション通信先にパスワード秘匿で自動接続・アプリケーションを閉じれば強制的にログアウト

機能なしの場合

接続先/ID/Pass 入力

ターミナルサーバ (RDP接続)選択

192.1.1.2

fujitsu

**********

アプリ起動は作業者にて実施する必要あり

機能ありの場合

ID/Pass作業者にて実施する必要あり

その他操作について制限なし。

vCenter Server (ADMINコンソール接続)選択

アドミンコンソールオプション

Copyright 2019 FUJITSU SOCIAL SCIENCE LABORATORY LIMITED 37


記載の内容は、2019年10月現在のものです。

株式会社富士通ソーシアルサイエンスラボラトリ (富士通ＳＳＬ)

https://www.fujitsu.com/jp/group/ssl/

E-mail：[email protected]

お問い合わせ

38

Documents

SHieldWARE NEによる 運用操作の監査記録 - Fujitsu...・PCI-DSS対応 ・作業申請・承認のシステム化 ・特権操作の記録 ・ログを1日1回監査

SHieldWARE NEによる運用操作の監査記録 - Fujitsu...・PCI-DSS対応・作業申請・承認のシステム化・特権操作の記録・ログを1日1回監査