監査証跡を暗号化し、改ざん防止する方法
情報システムの処理内容やプロセスを記録し追跡する監査証跡は、業務上アクセスしなくてはならない重要情報へのアクセスや操作に、不正がないかを監査するためにあります。
システム監査をする方法がなければ、重要な情報に不正操作があっても、原因の調査や追究が行えません。重要な情報を監査も出来ないような状態にしておく事は、リスクが大きいと考えられます。
また、記録しておくという事そのものが、不正な操作の抑止力にもなります。
例えば、防犯カメラの設置率とその付近の治安の高さは比例しているのは有名な話かと思います。
さて監査証跡の保存、管理を行う際に注意しなければいけないのがそのデータには機密情報を含んでいることです。管理者あるいは監査者以外から閲覧を防ぐ必要があり、そのための仕組みとして暗号化があります。秘密鍵を持っているユーザーのみがデータを再生できる権利を有することで機密が第三者の目に触れることを防ぎます。
また、システム監査の際にデータが改ざんされていることを防ぐ必要もあります。デジタル署名、タイムスタンプを施すことでデータの原本性を確保することが重要です。
今回は監査証跡に暗号化を施し、タイムスタンプとデジタル署名をデータに付与する手順、そしてデータを復号して再生可能な状態にする手順を合わせてご紹介します。
まず初めに
1.
CA認証局から発行された証明書
2.
サーバー発行の秘密鍵
を用意します。
今回は例としてOneidentity社のSafeguard for Privileged
Session(以下SPS)というリモート接続の監査証跡を管理できる製品でご説明します。
それではまずSPSに該当ファイルをアップロードしていきます。
SPSのwebインターフェースで Policies>Audit Policies をメニューから選択し、ポリシーの設定を行います。
Enable encryption(暗号化)、Enable timestamping(タイムスタンプ)、Enable signing(デジタル署名)にチェックを入れたのちにファイルのアップロードを行います。
1.
Enable encryption欄下のEncryption cert (X.509)のファイル選択ボタンを押し、CA認証局から発行された証明書をアップロードします。
2.
Enable signing欄下のX.509 certicateのファイル選択ボタンを押し、CA認証局から発行された証明書をアップロードします。
3. Enable signing欄下の Private key のファイル選択ボタンを押し、サーバー発行の秘密鍵をアップロードします。
4. 設定名称を変更し、Commitボタンを押します。
次に各接続にポリシーを適用させます。ここではSSH接続を例に設定を行います。
SSH Control > Connectionsをメニューから選択します。
ポリシーを適用させたい接続を確認し、展開アイコンを押します。
その後、下へとスクロールすると以下のような画面になるのでAudit policy の選択ボックスを先ほど設定した名前の設定名に変更します。
Commitボタンを押し、接続設定を完了します。
それでは実際に監査証跡を閲覧する場合に暗号化が施されているか確認します。
Searchをメニューから選択し、閲覧したい監査証跡を確認してください。その後、Detailボタンを選択し、右上のメニューから監査証跡をダウンロードします。
次にダウンロードしたファイルを専用のプレイヤーで再生します。
ファイルをプレイヤーで開くと上の画像のような画面になります。
このままでは監査証跡を再生することはできません。
暗号化したファイルを複合化するため先ほどのファイルをインポートしていきます。
インポートボタンを選択しキーと証明書のアップロード画面を開きます。
それではまずCA証明書のインポートを行います。
…ボタンを押して該当証明書ファイルを選択後、「ロード」を選択します。
インポート成功と出たら、完了です。
次に秘密鍵のインポートを行います。
同じように秘密鍵をアップロードしていきます。
…ボタンを押して該当秘密鍵ファイルを選択後、「ロード」を選択します。
完了すると先ほど再生不可だった監査証跡ファイルが再生可能になっており、かつTimestamp及びデジタル署名にチェックが入っているのが確認できました。
このようにSPSでは監査証跡を暗号化することによって第三者への漏えいリスクを抑えることに貢献します。
また技術者のみならず、専門的な知識がない方でも、プレイヤーで再生した映像によってどのような操作が行われたのか確認ができるので、より信頼性が高い仕組みとなっています。
SPSを利用した監査証跡の暗号化についてご説明しました。
期間中はライセンスを無制限で開放しています。是非この機会に試し下さい。
お申込みは、こちら からご連絡下さい。
詳しくは製品紹介ページ・製品ガイドをご参照ください。
