Comments
Description
Transcript
GFI EventsManager
GFI 製 品 マニュアル インスト ール ガイド この文書の情報および内容は情報を伝えることのみを目的とし、商品性の黙示保証、特定目的への適 合性、非侵害などの明示的または暗示的な一切の保証なく、「現状のまま」で提供されます。GFI Software は、この文書の使用に起因し得る間接的損害を含むあらゆる損害に対し、一切の責任を負い ません。記載されている情報は、一般に利用可能な情報源から得たものです。ここに記載するデータの 正確さを確保するための十分な努力をしていますが、GFI はその情報の完全性、正確さ、最新性、また は妥当性を主張、約束、または保証せず、誤植、古い情報、または誤りに対しての責任も負わないもの とします。GFI は、本書に記載されている情報の正確さや完全性に関して、明示的または暗黙的な保証 をせず、法的責任も負わないものとします。 本書中に誤りがあるとお考えの場合は、弊社までご連絡ください。できるだけ早く確認いたします。 ここに記載されているすべての製品名および企業名は、それぞれの所有者の商標である可能性がありま す。 GFI EventsManager の著作権は GFI Software Ltd. に帰属します。- 1999-2013 GFI Software Ltd. All rights reserved. 本文書のバージョン: 13.0.0 最終更新日: 25/09/2015 目次 はじめに GFI EventsManager について GFI EventsManager の動作の仕組み 段階 1: イベント の収集 段階 2: イベント 処理 本ガイド で使用される慣例 GFI EventsManager のインスト ール 展開シナリオ ローカルエリア ネット ワーク (LAN) 内における GFI EventsManager 非武装地帯 (DMZ) における GFI EventsManager ワイド エリア ネット ワーク (WAN) における GFI EventsManager システム要件 ハード ウェア要件 対応オペレーティング システム (32 ビット および 64 ビット ) 他のソフト ウェア コンポーネント スト レージ要件 ファイアウォール ポート およびプロト コル ファイアウォール許可 イベント ソース設定 ウイルス対策の例外 コンピューターの識別に関する注意事項 Microsoft® Vista 以降を実行するコンピューターからのイベント ログの収集 設定のインポート およびエクスポート 設定をファイルにエクスポート ファイルから設定をインポート 他のインスタンスから設定をインポート GFI EventsManager のアップグレード 旧バージョンからのアップグレード 新しい GFI EventsManager インスタンスのインスト ール インスト ール手順 インスト ールのテスト Process events - Local computer Process events - Local domain Process events - Selected machines ト ラブルシューティング ド キュメント GFI SkyNet テクニカル サポート の依頼 7 7 9 10 10 10 12 12 14 15 17 18 18 18 19 19 19 20 20 20 21 21 22 22 24 26 28 28 37 37 47 47 49 52 55 55 55 55 用語集 56 索引 60 図一覧 スクリーンショット 1: GFI EventsManager は、既 存 のあらゆる IT インフラに組 み込 むことができます。 7 スクリーンショット 2: GFI EventsManager の運 用 段 階 9 スクリーンショット 3: リモート サイト からGFI EventsManager のメイン インスタンスにデータをエクスポート 17 スクリーンショット 4: 設 定 をファイルにエクスポート 22 スクリーンショット 5: エクスポート 先 の指 定 23 スクリーンショット 6: エクスポート 設 定 の選 択 23 スクリーンショット 7: ファイルから設 定 をインポート 24 スクリーンショット 8: 設 定 ファイルの場 所 を指 定 25 スクリーンショット 9: インポート する設 定 の選 択 25 スクリーンショット 10: GFI EventsManager の別 のインスタンスから設 定 をインポート 26 スクリーンショット 11: インスタンスの場 所 を指 定 27 スクリーンショット 12: GFI EventsManager の別 のインスタンスからインポート する設 定 を選 択 27 スクリーンショット 13: 前 提 ソフト ウェアのアップグレード チェック 29 スクリーンショット 14: DLib データベース サーバー 30 スクリーンショット 15: DLib データベース サーバー EULA 30 スクリーンショット 16: DLib インスト ール フォルダー 31 スクリーンショット 17: DLib データベース サーバーのインスト ールを開 始 31 スクリーンショット 18: 古 いバージョンのファイルを削 除 32 スクリーンショット 19: GFI EventsManager セット アップ ウィザード の初 期 画 面 32 スクリーンショット 20: GFI EventsManager EULA 33 スクリーンショット 21: GFI EventsManager 登 録 の詳 細 33 スクリーンショット 22: イベント ログ監 視 用 のリモート ログオン資 格 情 報 34 スクリーンショット 23: GFI EventsManager インスト ール フォルダー 35 スクリーンショット 24: GFI EventsManager インスト ール完 了 35 スクリーンショット 25: 自 動 更 新 チェック 36 スクリーンショット 26: バックエンド データベースの設 定 36 スクリーンショット 27: 前 提 ソフト ウェアのアップグレード チェック 38 スクリーンショット 28: DLib データベース サーバー 39 スクリーンショット 29: DLib データベース サーバー EULA 39 スクリーンショット 30: DLib インスト ール フォルダー 40 スクリーンショット 31: DLib データベース サーバーのインスト ールを開 始 40 スクリーンショット 32: GFI EventsManager セット アップ ウィザード の初 期 画 面 41 スクリーンショット 33: GFI EventsManager EULA 42 スクリーンショット 34: GFI EventsManager 登 録 の詳 細 42 スクリーンショット 35: イベント ログ監 視 用 のリモート ログオン資 格 情 報 43 スクリーンショット 36: GFI EventsManager インスト ール フォルダー 44 スクリーンショット 37: GFI EventsManager インスト ール完 了 44 スクリーンショット 38: 自 動 更 新 チェック 45 スクリーンショット 39: バックエンド データベースの設 定 45 スクリーンショット 40: Process events - Local computer 47 スクリーンショット 41: コンソールのメイン アクション 48 スクリーンショット 42: Process events - Local domain 49 スクリーンショット 43: Automatic Network Discovery ウィザード 50 スクリーンショット 44: ネット ワーク上 で検 出 するイベント ソースのタイプを選 択 50 スクリーンショット 45: ネット ワーク検 索 の進 行 状 況 51 スクリーンショット 46: Process events - Selected machines 52 スクリーンショット 47: Add new event source ウィザード 53 表一覧 表 1: GFI EventsManager エンジン 10 表 2: 本 マニュアルで使 用 される用 語 と慣 例 11 表 3: GFI EventsManager が対 応 するデバイス 14 表 4: GFI EventsManager を DMZ にインスト ールすることの利 点 15 表 5: ハード ウェア要 件 18 表 6: スト レージ要 件 19 表 7: ファイアウォール ポート およびプロト コル 19 表 8: ファイアウォール許 可 20 表 9: イベント ソース設 定 20 表 10: GFI EventsManager のアップグレード 28 表 11: EventsManager.exe を使 用 してインスト ールされるコンポーネント 37 表 12: Quick Launch Console オプション 48 表 13: 新 規 イベント ソースを手 動 で追 加 53 はじめに フォレンジックや法令順守のために情報を記録しなければならない組織にとって、日々生成される大量のシス テム イベント ログの重要性が高まっています。インシデント やセキュリティ上の懸念に対処し、ビジネスの継続 性への脅威に対抗するためには、リアルタイムでネット ワーク全体のイベント ログを監視、分析、およびレポート することが不可欠です。 GFI EventsManager は、イベント ログの監視と管理を一元的に自動で行うことで、この途方もないタスクを支 援します。大手ベンダー製品からカスタム製品まで、アプリケーションとデバイスの両方が生成する幅広いイベ ント タイプに対応しています。 この章では、GFI EventsManager を使用したイベント 管理の実現方法に関する情報を提供します。 本 章 のト ピック: GFI EventsManager について 7 GFI EventsManager の動 作 の仕 組 み 9 本 ガイド で使 用 される慣 例 GFI EventsManager について スクリーンショット 1: GFI EventsManager は、既 存 のあらゆる IT インフラに組 み込 むことができます。 GFI EventsManager は、既存のあらゆる IT インフラに組み込むことができる結果重視のイベント ログ管理ソ リューションであり、ネット ワーク全体のイベント 管理に関連するタスクを自動化および簡略化します。 GFI EventsManager の機能によって、以下のことができます。 10 l l l l l l l l l l l テキスト ログ、Windows®イベント ログ、Syslog、SNMP ト ラップ メッセージ、アクティブ監 視 イベ ント 、カスタム イベント ログなど、GFI EventsManager が対 応 するさまざまなイベント ログによっ て、コンピューターやネット ワーク デバイスを自 動 的 に監 視 する HTTP/HTTPS/FTP サイト が利 用 可 能 であることの継 続 的 なチェック、サーバー ロール クエリ、 ファイアウォール クエリなどのアクティブ監 視 機 能 によって、ネット ワーク上 で稼 動 するコンピュー ターやサービスを監 視 する ルーター、ファイアウォール、センサー、サーバー、データベース エンジンなどの重要なシステムやデバイス を監査することで運用の問題を追跡し、セキュリティとパフォーマンスを最適化する 侵 入 攻 撃 を検 出 する自 動 化 されたネット ワーク セキュリティ システムを作 成 、管 理 する SOX、PCI DSS、Code of Connection、HIPAA、データ保 護 法 などのさまざまな規 制 や法 律 を 遵 守 する ハード ウェアの故 障 などの災 害 につながるイベント を積 極 的 に検 出 する。このようなイベント が 処 理 されると GFI EventsManager は早 期 警 告 を発 するため、ユーザーはこれを制 御 し修 正 措 置 を取 ることができます システムのダウンタイムや設定ミスによるリスクや事業損失を最小化する 広 範 な機 能 を持 つイベント ブラウザにより、任 意 の数 のデータベースからのイベント を簡 単 に閲 覧 する。これにより、最 小 限 の入 力 でフォレンジック調 査 を実 施 できます あらゆる事 態 に備 えるため、ネット ワークで発 生 する最 も重 要 なイベント について把 握 しておく べき情 報 を収 集 およびハイライト し、イベント ログを自 動 的 に処 理 およびアーカイブする 広 範 なレポート のリスト から技 術 IT レベルおよび管 理 レベルのレポート を生 成 し、また既 存 のレ ポート または収 集 したイベント から新 しいレポート を作 成 する ネット ワークのセキュリティ イベント を追跡し、ビジネスを保護する セキュリティ侵害やネット ワーク脅威の 原因となっているユーザーを特定する 全機能の一覧は、http://www.gfi.com/eventsmanager#features を参照してください。 GFI EventsManager の動作の仕組み スクリーンショット 2: GFI EventsManager の運 用 段 階 GFI EventsManager の運用機能は、以下の段階に分割されます。 l l 段 階 1: イベント の収 集 段 階 2: イベント 処 理 段階 1: イベント の収集 イベント の収集段階において、GFI EventsManager は特定のイベント ソースからログを収集します。これは、 Event Retrieval Engine および Event Receiving Engine という 2 つのイベント 収集エンジンを使用してアー カイブされます。 表 1: GFI EventsManager エンジン エンジン 説明 Event Retrieval Engine ネット ワーク接続されたイベント ソースから Windows® イベント ログやテキスト ログを収集するために使用され ます。イベント 収集の処理において、このエンジンは以下のことを行います。 1. イベント ソースにログオンする 2. ソースからイベント を収集する 3. 収集したイベント を GFI EventsManagerサーバーに送信する 4. イベント ソースからログオフする Event Retrieval Engine は、特定の間隔でイベント を収集します。イベント の収集間隔は、GFI EventsManager 管理コンソールから設定できます。 SQL Server® リス ナー リスナーは、リアルタイムでスキャンされた Microsoft® SQL Server® からト レース メッセージを受信します。受 信すると、GFI EventsManager はメッセージをただちに処理します。 Oracle Retrieval Engine Oracle Retrieval Engine は定期的に Oracle サーバーに接続し、特定の監査テーブルから監査を収集しま す。Microsoft® Windows® Event Retrieval Engine と同様に、GFI EventsManager は Oracle サーバーが 生成したイベント を処理します。 Log Receiving Engine Event Receiving Engine は、Syslog サーバーおよび SNMP ト ラップ サーバーとして機能します。つまり、ネット ワーク上のさまざまなソースから送信された Syslog および SNMP ト ラップのイベント やメッセージをリッスンして 収集します。Event Retrieval Engine とは異なり、Event Receiving Engine はイベント ソースから直接メッ セージを受信します。このため、イベント を収集するためにイベント ソースにリモート でログオンする必要はあり ません。さらに、Syslog および SNMP ト ラップのイベント やメッセージはリアルタイムで収集されるため、収集の 時間間隔を設定する必要がありません。 デフォルト では、Event Receiving Engine は Syslog メッセージをポート 514 で、SNMP ト ラップ メッセージを ポート 162 でリッスンします。ただし、いずれのポート 設定も GFI EventsManager 管理コンソールからカスタマ イズできます。 段階 2: イベント 処理 この段階において、GFI EventsManager は収集したイベント に対して一連のイベント 処理ルールを実行しま す。イベント 処理ルールは、以下のことを指示します。 l l l l l 収 集 したログを分 析 し、処 理 したイベント を Critical、High、Medium、Low または Noise (不 要 なイベント または繰 り返 しイベント ) に分 類 する 特 定 の条 件 を満 たすイベント をフィルターする 重 要 なイベント に関 する電 子 メール、SMS およびネット ワーク アラート をト リガーする 重 要 なイベント に対 して、実 行 ファイルやスクリプト の実 行 など、修 復 アクションをト リガーする 必 要 に応 じ、バックエンド データベースに収 集 されたイベント をアーカイブする GFI EventsManager では、イベント 処理ルールを実行することなくイベント をアーカイブするように設定できま す。その場合、収集したログにルールは適用されませんが、イベント 処理段階においてはアーカイブが実行さ れます。詳細は、管理者ガイド のイベント 処理ルールを参照してください。 重要 GFI EventsManager の主要なモジュールの一部は、管理者特権で実行する必要があります。 これらのモジュールの詳細は、http://go.gfi.com/?pageid=esm_process_rights の記事を参 照してください。 本ガイド で使用される慣例 以下の表に、本ガイド で使用する一般的な用語と慣例を説明します。 表 2: 本 マニュアルで使 用 される用 語 と慣 例 用語 説明 GFI EventsManager の操作に不可欠な追加情報および参考資料。 よくある問題に関する重要なお知らせと注意事項。 > 特定の機能にアクセスするための段階的な指示。 太字テキスト ノード 、メニュー オプション、またはコマンド ボタンなどの選択対象項目。 斜体テキスト カスタム パスやファイル名などの、該当する値に置き換える必要のあるパラメーターおよび値。 コード コマンド やアド レスなど、入力するテキスト 値を示します。 GFI EventsManager のインスト ール この章では、考えられる GFI EventsManager の展開シナリオを説明します。GFI EventsManager と監視が必 要なネット ワーク デバイスやコンピューターとの間で完全な通信ができるよう、製品をインスト ールする前にシス テム要件およびコンピューターの設定を確認する必要があります。 本 章 のト ピック: 展 開 シナリオ 12 システム要 件 18 設 定 のインポート およびエクスポート 22 GFI EventsManager のアップグレード 28 新 しい GFI EventsManager インスタンスのインスト ール 37 展開シナリオ GFI EventsManager は、ネット ワーク上での位置に関係なく、最低限のシステム要件を満たす任意のコン ピューターにインスト ールできます。Microsoft® Windows® Vista 以降のオペレーション システムからイベント ロ グを収集したい場合、GFI EventsManager は Microsoft® Windows® Vista、7、Server 2008 または Server 2012 を実行するマシンにインスト ールする必要があります。 GFI EventsManager を使用し、以下によって生成されるイベント ログを管理できます。 l l インスト ールした同 一 のコンピューター インスト ールしたコンピューターから到 達 可 能 なすべてのサーバー、ワークステーションおよびネット ワーク デバイス 図 1: GFI EventsManager 展 開 シナリオ このセクションには、以下の環境における GFI EventsManager の展開についての情報が記載されています。 l l l ローカルエリア ネット ワーク (LAN) - 本 番 環 境 のメイン ネット ワーク、サーバーおよびワークステー ションのアクティビティを監 視 します 非 武 装 地 帯 (DMZ) - メール サーバー、Web サーバー、DNS サーバーなどの公 衆 サービスが生 成 するイベント を監 視 します ワイド エリア ネット ワーク (WAN) - 地 理 的 に散 在 するコンピューターやネット ワーク デバイスが生 成 するイベント を監 視 します ローカルエリア ネット ワーク (LAN) 内における GFI EventsManager GFI EventsManager は、Windows® ベースのネット ワークに加え、Linux や Unix システムを使用する混合環境 にも展開できます。 図 2: LAN における GFI EventsManager の展 開 ローカルエリア ネット ワーク (LAN) にインスト ールした場合、GFI EventsManager は LAN に接続する以下のよう なあらゆるハード ウェアやソフト ウェアが生成した Windows® イベント 、テキスト ログ、Syslog メッセージ、SNMP ト ラップおよび SQL Server® 監査メッセージを管理できます。 表 3: GFI EventsManager が対 応 するデバイス デバイス 例 ワークステーションおよびラップト ップ エンド ユーザー コンピューターおよびシステム サーバー Web サーバー、メール サーバー、DNS サーバーなど ネット ワーク デバイス ルーターやスイッチなど、パフォーマンス ログを生成するデバイス ソフト ウェア GFI EndPointSecurity や GFI LanGuard など、ログを生成するアプリケーショ ン 特化したサービス Microsoft® インターネット インフォメーション サーバー (IIS) PABX、キーレス アクセス システム、侵入検知シス テムなど GFI EventsManager によって、ネット ワークに接続したあらゆるデバイスを監 視できます。 GFI EventsManager GFI EventsManager のインストール | 14 非武装地帯 (DMZ) における GFI EventsManager GFI EventsManager は、LAN 内にまたは直接 DMZ 内にインスト ールすることで、DMZ 内のマシンが生成する イベント を監視できます。通常ファイアウォールやルーターがこの領域をネット ワーク ト ラフィック フィルタリング機 能によって保護しているため、以下のことを確認する必要があります。 l l GFI EventsManager が使 用 する通 信 ポート がブロックされていないこと。GFI EventsManager が使 用 する通 信 ポート についての詳 細 は、http://go.gfi.com/?pageid=esm_ports を参 照 し てください。 DMZ で稼 働 中 のコンピューターに対 し、GFI EventsManager が管 理 者 特 権 を有 すること。 重要 ファイアウォール ポート および許可を有効にして LAN と DMZ の間でコンピューター、サーバーおよ びネット ワーク デバイスが通信できるようにするのではなく、GFI EventsManager を直接 DMZ 内 にインスト ールすることを GFI はお勧めします。 図 3: DMZ は、組 織 内 の LAN とインターネットの間 に位 置 します。 DMZ は、企業等の「内側」のネット ワークと「外の世界」(インターネット ) との間に位置する中立のネット ワーク です。DMZに GFI EventsManager を展開することは、以下のように、DMZ のハード ウェアおよびソフト ウェア シ ステムが生成するイベント の管理を自動化する助けとなります。 表 4: GFI EventsManager を DMZ にインストールすることの利 点 DMZ における自 動化 説明 Web サーバーや メール サーバーの イベント の管理を 自動化 DMZ ネット ワークは通常、HTTP サーバー、FTP サーバー、メール サーバーなどインターネット 特有の役割を持 つハード ウェアおよびソフト ウェア システムを稼動するために使用されます。 したがって、以下のサーバーが生成するイベント を自動的に管理するよう GFI EventsManager を展開すること ができます。 l GFI EventsManager LAMP Web プラット フォームにおいて Apache Web サーバーが生成する W3C Web ログを含む、Web GFI EventsManager のインストール | 15 DMZ における自 動化 説明 l l l l サーバー Microsoft® インターネット インフォメーション サーバー (IIS) が生成する W3C Web ログを含む、 Windows® ベースの Web サーバー Sun Solaris v.9 以降が生成する Syslog 監査サービス メッセージを含む、Linux/Unix および Windows® ベースのメール サーバー DNS サーバー イベント の管理を自動化 パブリック DNS サーバーを持っている場合、DNS サーバーを DMZ で稼動することが多いはずです。した がって、Windows® DNS サーバー ログに保存されたものを含む DNS サーバー イベント を自動的に収 集および処理するために GFI EventsManager を使用できます。 DNS サーバー イベ ント の管理を自動 化 パブリック DNS サーバーを持っている場合、DNS サーバーを DMZ で稼動することが多いはずです。したがって、 Windows® DNS サーバー ログに保存されたものを含む DNS サーバー イベント を自動的に収集および処理す るために GFI EventsManager を使用できます。 ネット ワーク アプラ イアンス イベント の 管理を自動化 ルーターとファイアウォールは、DMZ でよく見られるネット ワーク アプライアンスです。特化したルーターやファイア ウォール (Cisco IOS シリーズのルーターなど) は、組織内のネット ワークを保護するだけでなく、システムの運用 パフォーマンスを向上させることができるポート アド レス変換 (PAT) などの特化した機能を提供します。 DMZ に GFI EventsManager を展開することで、そのようなネット ワーク アプライアンスが生成するイベント を収 集できます。たとえば、GFI EventsManager を Syslog サーバーとして動作するよう設定し、Cisco IOS が生成 した Syslog メッセージをリアルタイムで収集できます。 GFI EventsManager GFI EventsManager のインストール | 16 ワイド エリア ネット ワーク (WAN) における GFI EventsManager GFI EventsManager は、地理的に異なる場所に複数のサイト がある環境にインスト ールすることができます。 スクリーンショット 3: リモート サイトからGFI EventsManager のメイン インスタンスにデータをエクスポート これは、GFI EventsManager のインスタンスを各サイト にインスト ールすることで実現できます。定期的に (スケ ジュールに基づいて) リモート サイト からイベント をエクスポート して中央データベースにインポート することで、イ ベント ログを完全に一元管理できます。 その後、イベント ブラウザによってリモート サイト のイベント を表示できるようになります。リモート サイト に関する 情報のレポート も、中央データベースのデータを用いて生成できます。リモート データベースに保存された情報 を表示またはレポート するには、Switch Database オプションを使用します。 注意 詳細は、管理者ガイド の データベースの保守を参照してください。 GFI EventsManager GFI EventsManager のインストール | 17 システム要件 GFI EventsManager をインスト ールするには、ホスト コンピューターが以下に示すシステム要件を満たす必要 があります。高ト ラフィックのネット ワークで大量のイベント ソースを管理する予定の場合、より高いシステム性 能を持つコンピューターの使用を検討してください。以下に関する情報は、次のセクションを参照してください。 l l l l l l l l l l ハード ウェア要 件 対 応 オペレーティング システム (32 ビット および 64 ビット ) 他 のソフト ウェア コンポーネント スト レージ要 件 ファイアウォール ポート およびプロト コル ファイアウォール許 可 イベント ソース設 定 ウイルス対 策 の例 外 コンピューターの識 別 に関 する注 意 事 項 Microsoft® Vista 以 降 を実 行 するコンピューターからのイベント ログの収 集 ハード ウェア要件 以下の表に、GFI EventsManager のハード ウェア要件を示します。 表 5: ハードウェア要 件 ハード ウェア コンポーネント 仕様 プロセッサ 2.5 GHz デュアルコア以上 RAM 3 GB ハード ディスク 10 GB の空き容量 注意 ハード ディスク サイズは環境によって異なり、上記要件に指定したサイズは、インスト ールおよ びイベント のアーカイブに最低限必要な値です。 対応オペレーティング システム (32 ビット および 64 ビット ) GFI EventsManager は、以下のいずれかのオペレーティング システムを実行するコンピューターにインスト ールで きます。 l l l l l l l l l l Windows® Server 2012 - Foundation、Essentials、Standard または Datacenter Windows® Server 2008 - Standard または Enterprise Windows® Server 2008 R2 – Standard または Enterprise Windows® Server 2003 SP2 - Standard または Enterprise Windows® 8 - Standard、Professional または Enterprise Windows® 7 - Enterprise、Professional または Ultimate Windows® Vista SP1 - Enterprise、Business または Ultimate Windows® XP Professional SP3 Windows® SBS 2008 Windows® SBS 2003 GFI EventsManager GFI EventsManager のインストール | 18 注意 GFI EventsManager は、Server Core インスト ールされたオペレーション システムにはインスト ー ルできません。 他のソフト ウェア コンポーネント GFI EventsManager が完全に機能するよう、以下の追加ソフト ウェア コンポーネント をインスト ールすることをお 勧めします。 l l l Microsoft® .NET framework 4.0 Microsoft® Data Access Components (MDAC) 2.8 以 降 メール サーバー (電 子 メール アラート が必 要 な場 合 ) 注意 Microsoft® Data Access Components (MDAC) 2.8 は、http://go.gfi.com/?pageid=esm_ mdac からダウンロード できます。 スト レージ要件 以下のスト レージ要件は、イベント ログの平均サイズ (イベント あたり 535 バイト ) に基づきます。以下の使用 は、インフラの要求に応えるために必要なハード ディスク サイズを示します。 表 6: ストレージ要 件 ハード ディスク領域 イベント 数 1 GB のスト レージに保存できるイベント 2,006,994 500 GB のスト レージに保存できるイベント 1,003,497,032 ファイアウォール ポート およびプロト コル 以下の表に、GFI EventsManager ホスト のファイアウォールで許可する必要があるポート とプロト コルを示しま す。 表 7: ファイアウォール ポートおよびプロトコル ポート プロト コル 説明 135 UDP および TCP ターゲット マシンは、このポート を使用して、利用可能な動的ポート に関する情報を発行します。GFI EventsManager がターゲット マシンと通信するには、この情報が必要です。 139 および 445 UDP および TCP GFI EventsManager がターゲット マシンからイベント ログの説明を取得するために使用します。 162 UDP および TCP GFI EventsManager が SNMP ト ラップを受信するために使用します。GFI EventsManager をインスト ールしたコ ンピューターにおいて、このポート が開いていることを確認してください。 514 UDP および TCP GFI EventsManager が Syslog メッセージを受信するために使用します。 1433 UDP および TCP GFI EventsManager が SQL Server® バックエンド データベースと通信するために使用します。GFI EventsManager をインスト ールしたマシンおよびMicrosoft® SQL Server®において、このポート が開いていること を確認してください。 1521 UDP および TCP Oracle Server の監査ログを収集するために使用します。この接続のデフォルト ポート は 1521 です。Oracle Listener の設定においてこのポート を手動で変更した場合、ファイアウォールの設定もそれに合わせます。 GFI EventsManager GFI EventsManager のインストール | 19 ポート プロト コル 説明 49153 UDP および TCP GFI EventsManager が Microsoft® Windows® Vista または Microsoft® Windows® 7 のイベント ソースからイベ ント を収集するために使用します。 ファイアウォール許可 以下の表に、GFI EventsManager ホスト のファイアウォールで許可する必要のある規則を示します。 表 8: ファイアウォール許 可 ファイアウォール許 可および監査ポリ シー Windows® Server 2008 Windows® Server 2003 Windows® XP Windows® 7 Windows® Vista リモート イベント ロ グ管理 有効 該当せず 該当せず 有効 有効 ファイルとプリンター の共有 有効 有効 有効 有効 有効 ネット ワーク ディスカ バリ 有効 該当せず 該当せず 有効 有効 監査ポリシー: オブ ジェクト アクセス 有効 該当せず 該当せず 有効 有効 監査ポリシー: プロ セス追跡 有効 該当せず 該当せず 有効 有効 監査ポリシー: 監 査アカウント 管理 有効 有効 有効 有効 有効 監査ポリシー: 監 査システム イベント 有効 有効 有効 有効 有効 注意 詳細は、管理者ガイド のイベント ソースの許可を手動で有効にするまたはイベント ソースの許 可を自動で有効にするを参照してください。 イベント ソース設定 以下の表に、イベント ソースにおいて必要な設定を示します。イベント ソースとは、GFI EventsManager で監 視したいコンピューターのことです。 表 9: イベント ソース設 定 ログ タイプ Windows®イベント 説明 ログ リモート レジスト リを有効にします。 処理 テキスト ログ処理 Windows® 共有によってソース フォルダーにアクセスできる必要があります。 Syslog および SNMP ト ラップ処理 GFI EventsManager をインスト ールしたコンピューター/IP にメッセージを送信するためのソース/送信者 を設定します。 Windows® Vista 以降 のマシンのスキャン Windows® Vista 以降を実行するコンピューターに GFI EventsManager をインスト ールします。 システム監査 イベント ソースの監査を有効にします。詳細は、管理者ガイド のイベント ソース許可を手動で有効に するまたはイベント ソース許可を自動で有効にするを参照してください。 ウイルス対策の例外 GFI EventsManager が実行しているコンピューターにウイルス対策アプリケーションがインスト ールされている場 合、以下のことを確認してください。 GFI EventsManager GFI EventsManager のインストール | 20 l l l GFI EventsManager が使用するポート のト ラフィックがブロックされていない esmui.exe および esmproc.exe のファイアウォール越しアクセスが許可されている GFI EventsManagerフォルダーがリアルタイム ウイルス対策スキャンから除外されている コンピューターの識別に関する注意事項 GFI EventsManager は、コンピューター名または IP によってコンピューターを識別します。NETBIOS 対応のコン ピューター名を使用する場合、DNS サービスが名前解決用に適切に設定されていることを確認してください。 信頼性に欠ける名前解決は、全体的なシステム パフォーマンスの低下につながります。NETBIOS over TCP/IP を無効にした場合にも GFI EventsManager を使用できますが、IP でコンピューターを指定する必要が あります。 Microsoft® Vista 以降を実行するコンピューターからのイベント ログの収集 GFI EventsManager を Microsoft® Windows® XP にインスト ールして、Microsoft® Windows® Vista 以降のイ ベント を監視することはできません。Microsoft® Windows® Vista と Microsoft® Windows® 7 では、イベント ロ ギングとイベント ログ管理において、広範囲な構造変更が導入されました。この中でも、以下の変更が最も 重要です。 l l l 新 しい XML ベースの形 式 によるイベント ログ。これにより、システムに起 きた出 来 事 をすべて 報 告 するための、より構 造 化 されたアプローチが可 能 となります。 4 つの異 なるグループでのイベント 分 類 : 管 理 、処 理 、分 析 、デバッグ 古 い evt ファイル形 式 に代 わる新 しいファイル形 式 (evtx) これらの変更のため、Microsoft® Windows® Vista 以降からイベント ログを収集して処理するには、以下のオ ペレーティング システムを実行するコンピューターに GFI EventsManager をインスト ールする必要があります。 l l l Windows® Vista Windows® 7 Windows® Server 2008 注意 Windows® Vista 以降のコンピューターに GFI EventsManager をインスト ールした場合に Windows® XP のイベント を収集することは可能です。 注意 GFI EventsManager が Windows® Vista 以降のコンピューターからイベント ログを収集するため に非ド メイン アカウント を使用している場合、ターゲット マシンのユーザー アカウント 制御 (UAC) を無効にする必要があります。詳細は、管理者ガイド のユーザーアカウント 制御 (UAC) の無 効化を参照してください。 GFI EventsManager GFI EventsManager のインストール | 21 設定のインポート およびエクスポート 提供されたインポート /エクスポート ツールにより、GFI EventsManager のインスタンス間でシームレスに設定を 移動できます。これは、災害の際に GFI EventsManager を設定しなくても済むよう、ディザスタリカバリの一環 としても行うことができます。以下の設定を、GFI EventsManager を使用してインポート またはエクスポート でき ます。 l l l l イベント ソース イベント 処 理 ルール イベント ブラウザ フィルター オプション (既 定 の分 類 アクション、アラート オプション、データベース運 用 など) このセクションには、以下に関する情報が記載されています。 l l l 設 定 をファイルにエクスポート ファイルから設 定 をインポート 他 のインスタンスから設 定 をインポート 設定をファイルにエクスポート GFI EventsManager の設定をエクスポート するには: 1. File > Import and Export Configurations... をクリックします。 スクリーンショット 4: 設 定 をファイルにエクスポート 2. 特定の設定をファイルにエクスポート を選択し、次へ をクリックします。 GFI EventsManager GFI EventsManager のインストール | 22 スクリーンショット 5: エクスポート先 の指 定 3. エクスポート したファイルの保存先を指定するか、Browse... をクリックして保存先を探します。次へ をクリッ クします。 スクリーンショット 6: エクスポート設 定 の選 択 4. エクスポート したい設定を選択し、Next をクリックします。 GFI EventsManager GFI EventsManager のインストール | 23 5. GFI EventsManager が設定をエクスポート するのを待ち、OK をクリックします。 ファイルから設定をインポート ファイルから設定をインポート するには: 1. File > Import and Export Configurations... をクリックします。 スクリーンショット 7: ファイルから設 定 をインポート 2. Import the desired configurations from a file を選択し、Next をクリックします。 GFI EventsManager GFI EventsManager のインストール | 24 スクリーンショット 8: 設 定 ファイルの場 所 を指 定 3. インポート したファイルの保存先パスを指定するか、Browse... をクリックして保存先を探します。次へ をク リックします。 ] スクリーンショット 9: インポートする設 定 の選 択 4. インポート したい設定を選択し、Next をクリックします。 GFI EventsManager GFI EventsManager のインストール | 25 5. GFI EventsManager が設定をインポート するのを待ち、OK をクリックします。 注意 GFI EventsManager が他の設定を検出した場合、上書きするか両方の設定を統合するかを 選びます。 他のインスタンスから設定をインポート GFI EventsManager の別のインスタンスから設定をインポート するには: 1. File > Import and Export Configurations... をクリックします。 スクリーンショット 10: GFI EventsManager の別 のインスタンスから設 定 をインポート 2. [ の別のインスタンスから設定をインポート ] を選択して、次へ をクリックします。 GFI EventsManager GFI EventsManager のインストール | 26 スクリーンショット 11: インスタンスの場 所 を指 定 3. 設定をインポート したいインスタンスの、インスト ール フォルダーのパスを指定します。または、Browse... をク リックしてインポート 元を探します。次へ をクリックします。 スクリーンショット 12: GFI EventsManager の別 のインスタンスからインポートする設 定 を選 択 4. インポート したい設定を選択し、Next をクリックします。 GFI EventsManager GFI EventsManager のインストール | 27 5. 設定がインポート されるのを待ち、OK をクリックします。 注意 GFI EventsManager が他の設定を検出した場合、上書きするか両方の設定を統合するかを 選びます。 GFI EventsManager のアップグレード GFI EventsManager 2011 よりも古いバージョンからのアップグレード は、完全にはサポート されていません。基 盤となる技術の変更により、一部の設定が失われる可能性があります。GFI EventsManager 次のいずれかの 方法を使用してアップグレード できます。 表 10: GFI EventsManager のアップグレード 方 法 説明 自 動 新しいセット アップを実行しウィザード を完了することで、アップグレード を行いデータを保持します。詳細は、旧バージョンから のアップグレード を参照してください。 手 動 GFI EventsManager の古いバージョンから設定とイベント をエクスポート し、Database Operations と インポート /エクスポート ツールを使用して新しいバージョンにインポート します。詳細は、管理者ガイド のメンテナンス ジョブの作成と 設定のインポー ト およびエクスポート を参照してください。 旧バージョンからのアップグレード 注意 アップグレード を開始する前に、システムで実行中のウイルス対策ソフト ウェアをすべて無効にし ます。 新しいバージョンにアップグレード するには: 1. EventsManager.exe をダブルクリックします。 GFI EventsManager GFI EventsManager のインストール | 28 スクリーンショット 13: 前 提 ソフトウェアのアップグレード チェック 2. インスト ーラーは、製品をインスト ールする前にインスト ールされている必要のあるシステム コンポーネント のリ スト を表示します。(必要な場合) Install をクリックし、不足しているシステム コンポーネント のインスト ールを開 始します。 GFI EventsManager GFI EventsManager のインストール | 29 スクリーンショット 14: DLib データベース サーバー 3. システム コンポーネント がインスト ールされた後、DLib データベース サーバーのインスト ール ウィザード が自動 的に開きます。ウィザード の初期画面で、Next をクリックします。 スクリーンショット 15: DLib データベース サーバー EULA 4. 使用許諾契約書をよくお読みください。I accept the terms in the License Agreement を選択し、Next をクリックします。 GFI EventsManager GFI EventsManager のインストール | 30 スクリーンショット 16: DLib インストール フォルダー 5. Next をクリックしてデータベース サーバーをデフォルト のフォルダーにインスト ールするか、Change... をクリック して別のインスト ール先フォルダーを選択します。 スクリーンショット 17: DLib データベース サーバーのインストールを開 始 6. Install をクリックし、DLib データベース サーバーのインスト ールを開始します。指示されたら、Finish をクリッ クします。 GFI EventsManager GFI EventsManager のインストール | 31 注意 データベース サーバーがインスト ールされた後、インスト ーラーは GFI EventsManager 管理コン ソールのインスト ール ウィザード を自動的に開きます。 7. Yes をクリックして前のバージョンの GFI EventsManager をアンインスト ールし、新しいバージョンをインスト ー ルします。No をクリックすると、インスト ールを中止します。 注意 管理コンソールのインスタンスを同じコンピューターで 2 つ実行することはできません。 スクリーンショット 18: 古 いバージョンのファイルを削 除 8. Yes をクリックして古いバージョンの GFI EventsManager のファイルの削除を確認するか、No をクリックしてイ ンスト ールを中止します。 スクリーンショット 19: GFI EventsManager セットアップ ウィザードの初 期 画 面 9. GFI EventsManager セット アップ ウィザード の初期画面で、Next をクリックします。 GFI EventsManager GFI EventsManager のインストール | 32 スクリーンショット 20: GFI EventsManager EULA 10. 使用許諾契約書をよくお読みください。I accept the terms in the License Agreement を選択し、 Next をクリックします。 スクリーンショット 21: GFI EventsManager 登 録 の詳 細 11. User Name および License Key フィールド に、ユーザー名およびライセンス キーを入力します。30 日間 無料ライセンス キーを登録するには、Register をクリックします。次へ をクリックします。 GFI EventsManager GFI EventsManager のインストール | 33 スクリーンショット 22: イベント ログ監 視 用 のリモート ログオン資 格 情 報 12. GFI EventsManager がリモート コンピューターにログオンするために使用するログオン資格情報を入力しま す。 注意 ド メイン管理者アカウント を使用するか、または GFI EventsManager が管理するすべてのリモー ト コンピューターに対して管理者特権を有するアカウント を使用することをお勧めします。 GFI EventsManager GFI EventsManager のインストール | 34 スクリーンショット 23: GFI EventsManager インストール フォルダー 12. Next をクリックして管理コンソールをデフォルト のフォルダーにインスト ールするか、Change... をクリックして 別のインスト ール先フォルダーを選択します。 スクリーンショット 24: GFI EventsManager インストール完 了 14. インスト ール をクリックして、インスト ールを開始します。 15. インスト ールが完了したら、Finish をクリックします。 GFI EventsManager GFI EventsManager のインストール | 35 スクリーンショット 25: 自 動 更 新 チェック 16. インターネット 接続を検出すると、GFI EventsManager は自動的に GFI の更新サーバーから製品の更新 をダウンロード しようとします。Auto Update ダイアログの情報セクションを展開してダウンロード 中の更新を表 示するには、Details をクリックします。 スクリーンショット 26: バックエンド データベースの設 定 注意 製品更新が適用された後、Switch Database Server ダイアログが開きます。このダイアログ は、管理コンソールをデータベース サーバーにリンクするために使用します。データベース サー バーは、管理コンソールから切り替えることができます。詳細は、管理者ガイド のファイル保存 データベース間の切り替えを参照してください。 17. D-Lib データベース サーバーがインスト ールされているコンピューターを指定します。使用したいデータベース の場所に従って、以下の情報を入力します。 l l ローカルホスト にある場 合 、localhost (デフォルト ) と入 力 します リモート コンピューターにある場 合 、コンピューター名 またはIP アド レスを入 力 します OK をクリックします。 注意 インスト ールが完了すると、管理コンソールが自動的に開きます。手動で開くには、[スタート ] > [すべてのプログラム] > GFI EventsManager > Management Console をクリックします。 GFI EventsManager GFI EventsManager のインストール | 36 注意 GFI EventsManager 2012 の設定データは削除されません。データは新しいインスト ール フォル ダー (%install folder%\Data_Old) にコピーされます。このフォルダーのデータは、以前の設定を 保持するために使用されます。 注意 インスト ールをテスト し、すべてのコンポーネント が正常にインスト ールされたことを確認します。 詳細は、インスト ールのテスト を参照してください。 新しい GFI EventsManager インスタンスのインスト ール 以下の表の一覧に示すコンポーネント は、EventsManager.exe を使用してインスト ールできます。 表 11: EventsManager.exe を使 用 してインストールされるコンポーネント コンポーネント 説明 システム コン ポーネント GFI EventsManager が完全に機能するには、以下のシステム コンポーネント が必要です。 l l l l l l l Visual C++ 2010 redistributable Microsoft® .NET Framework 2.0 Microsoft® .NET Framework 4.0 Microsoft® SQL Server® Compact 3.5 SP2 MSXML6 Microsoft® SQL Server® Native Client Microsoft® SQL Server® Management Objects Collection DLib データベー ス サーバー DLib データベース サーバーは、GFI EventsManager が処理済みのログを保存するコンポーネント です。この データベース サーバーは、GFI EventsManager を実行しているコンピューターにも、独立のリモート コンピュー ターまたはネット ワーク ド ライブにもインスト ールできます。 GFI EventsManager ネット ワークのコンピューターやデバイスが生成したイベント を管理および監視できる、実際の製品です。 インスト ール手順 GFI EventsManager をインスト ールするには： 1. EventsManager.exe をダブルクリックします。 GFI EventsManager GFI EventsManager のインストール | 37 スクリーンショット 27: 前 提 ソフトウェアのアップグレード チェック 2. インスト ーラーは、製品をインスト ールする前にインスト ールされている必要のあるシステム コンポーネント のリ スト を表示します。(必要な場合) Install をクリックし、不足しているシステム コンポーネント のインスト ールを開 始します。 GFI EventsManager GFI EventsManager のインストール | 38 スクリーンショット 28: DLib データベース サーバー 3. システム コンポーネント がインスト ールされた後、DLib データベース サーバーのインスト ール ウィザード が自動 的に開きます。ウィザード の初期画面で、Next をクリックします。 スクリーンショット 29: DLib データベース サーバー EULA 4. 使用許諾契約書をよくお読みください。I accept the terms in the License Agreement を選択し、Next をクリックします。 GFI EventsManager GFI EventsManager のインストール | 39 スクリーンショット 30: DLib インストール フォルダー 5. Next をクリックしてデータベース サーバーをデフォルト のフォルダーにインスト ールするか、Change... をクリック して別のインスト ール先フォルダーを選択します。 スクリーンショット 31: DLib データベース サーバーのインストールを開 始 6. Install をクリックし、DLib データベース サーバーのインスト ールを開始します。指示されたら、Finish をクリッ クします。 GFI EventsManager GFI EventsManager のインストール | 40 注意 データベース サーバーがインスト ールされた後、インスト ーラーは GFI EventsManager 管理コン ソールのインスト ール ウィザード を自動的に開きます。 スクリーンショット 32: GFI EventsManager セットアップ ウィザードの初 期 画 面 7. ウィザード の初期画面で、Next をクリックします。 GFI EventsManager GFI EventsManager のインストール | 41 スクリーンショット 33: GFI EventsManager EULA 8. 使用許諾契約書をよくお読みください。I accept the terms in the License Agreement を選択し、Next をクリックします。 スクリーンショット 34: GFI EventsManager 登 録 の詳 細 9. User Name および License Key フィールド に、ユーザー名およびライセンス キーを入力します。30 日間無 料ライセンス キーを登録するには、Register をクリックします。次へ をクリックします。 GFI EventsManager GFI EventsManager のインストール | 42 スクリーンショット 35: イベント ログ監 視 用 のリモート ログオン資 格 情 報 10. GFI EventsManager がリモート コンピューターにログオンするために使用するログオン資格情報を入力しま す。 注意 ド メイン管理者アカウント を使用するか、または GFI EventsManager が管理するすべてのリモー ト コンピューターに対して管理者特権を有するアカウント を使用することをお勧めします。 GFI EventsManager GFI EventsManager のインストール | 43 スクリーンショット 36: GFI EventsManager インストール フォルダー 11. Next をクリックして管理コンソールをデフォルト のフォルダーにインスト ールするか、Change... をクリックして 別のインスト ール先フォルダーを選択します。 スクリーンショット 37: GFI EventsManager インストール完 了 12. インスト ール をクリックして、インスト ールを開始します。 13. インスト ールが完了したら、Finish をクリックします。 GFI EventsManager GFI EventsManager のインストール | 44 スクリーンショット 38: 自 動 更 新 チェック 14. インターネット 接続を検出すると、GFI EventsManager は自動的に GFI の更新サーバーから製品の更新 をダウンロード しようとします。Auto Update ダイアログの情報セクションを展開してダウンロード 中の更新を表 示するには、Details をクリックします。 スクリーンショット 39: バックエンド データベースの設 定 注意 製品更新が適用された後、Switch Database Server ダイアログが開きます。このダイアログ は、管理コンソールをデータベース サーバーにリンクするために使用します。データベース サー バーは、管理コンソールから切り替えることができます。詳細は、管理者ガイド のファイル保存 データベース間の切り替えを参照してください。 15. D-Lib データベース サーバーがインスト ールされているコンピューターを指定します。使用したいデータベース の場所に従って、以下の情報を入力します。 l l リモート コンピューターにある場 合 、コンピューター名 またはIP アド レスを入 力 します ローカルホスト にある場 合 、localhost (デフォルト ) と入 力 します OK をクリックします。 注意 インスト ールが完了すると、管理コンソールが自動的に開きます。手動で開くには、[スタート ] > [すべてのプログラム] > GFI EventsManager > Management Console をクリックします。 GFI EventsManager GFI EventsManager のインストール | 45 注意 インスト ールをテスト し、すべてのコンポーネント が正常にインスト ールされたことを確認します。 詳細は、インスト ールのテスト を参照してください。 GFI EventsManager GFI EventsManager のインストール | 46 インスト ールのテスト 必要なコンポーネント がすべてインスト ールされた後、管理コンソールが自動的に開きます。デフォルト では、 起動時に Quick Launch Console を開くように設定されています。 本 章 のト ピック: Process events - Local computer 47 Process events - Local domain 49 Process events - Selected machines 52 Process events - Local computer このオプションにより、自動的に localhost をイベント ソースとして追加して localhost が生成するログの処理を 開始できます。 ローカル コンピューターからのイベント を処理するには: スクリーンショット 40: Process events - Local computer 1. Process events - Local computer をクリックします。 GFI EventsManager インストールのテスト | 47 スクリーンショット 41: コンソールのメイン アクション 2. localhost ログの処理が開始された後、以下のことをできます。 表 12: Quick Launch Console オプション アイコン 説明 Browse events 重要なイベント を検索、分析およびフィルターするのに役立つ、組み込みのイベント ブラウザおよびフォレンジック ツール にアクセスします。詳細は、管理者ガイド の保存されたイベント の閲覧を参照してください。 Generate reports 即時のまたはスケジュールされたレポート 生成、自動レポート 配布などの、レポーティング機能にアクセスします。詳細 は、管理者ガイド のレポーティングを参照してください。 View dashboard GFI EventsManager ステータス ダッシュボード にアクセスします。このダッシュボード では、GFI EventsManager が収集 および処理する最重要イベント をグラフ表示できます。詳細は、管理者ガイド のアクティビティ監視を参照してくださ い。 Customize Syslog の有効化、SNMP ト ラップの処理、システム チェック、重要なイベント の通知など、GFI EventsManager の設定 をカスタマイズします。詳細は、管理者ガイド から以下の資料を参照してください。 l l l l l GFI EventsManager イベント ソースの管理 イベント 処理ルールの設定 データベース保守オプションの設定 アラート と既定のアクションの設定 アクティブ監視の設定 インストールのテスト | 48 注意 ログが正常に処理されていることを確認するには、Status タブ > Job Activity に移動し、 Operational History セクションにアクティビティ ログがあることを確認します。 Process events - Local domain このオプションにより、GFI EventsManager と同じド メインまたはワークグループのコンピューターを 1 つまたは複 数追加できます。Automatic Network Discovery ウィザード により、追加したいイベント ソースのタイプを選択 し、その後検出されたソースを一覧表示できます。 同じド メインまたはワークグループのコンピューターからのイベント を処理するには: スクリーンショット 42: Process events - Local domain 1. Process events - Local domain をクリックします。Automatic Network Discovery ウィザード が開きま す。 注意 ウィザード は、Configuration タブ > Event Sources からも起動できます。左枠から、All event sources を右クリックし、Scan local domain を選択します。 GFI EventsManager インストールのテスト | 49 スクリーンショット 43: Automatic Network Discovery ウィザード 2. ウィザード の初期画面で、Next をクリックします。 スクリーンショット 44: ネットワーク上 で検 出 するイベント ソースのタイプを選 択 3. ネット ワーク上でウィザード が検出を試みるイベント ソースのタイプを選択します。次へ をクリックします。 GFI EventsManager インストールのテスト | 50 スクリーンショット 45: ネットワーク検 索 の進 行 状 況 注意 指定された資格情報でログオンできないコンピューターを GFI EventsManager が検出した場 合、選択した各コンピューターについて代替のログオン資格情報を指定できます。 4. リスト からコンピューターを選択し、ユーザー名とパスワード を入力します。OK をクリックして Alternative Credentials ダイアログを閉じます。 注意 必要なソースがすべて追加されるまで、この手順を繰り返します。 5. Next と Finish をクリックします。 注意 GFI EventsManager と同じド メインまたはワークグループに加わった新しいコンピューターを自動 的に追加するには、同期オプションを設定する必要があります。詳細は、管理者ガイド のイベ ント ソースを自動で追加を参照してください。 GFI EventsManager インストールのテスト | 51 Process events - Selected machines このオプションでは、以下の方法により特定のコンピューターを手動で追加できます。 l l l コンピューター名 および IP を入 力 する 到 達 可 能 なド メインおよびワークグループからコンピューターを選 択 する 各 行 に 1 つのコンピューター名 を格 納 するテキスト ファイルからコンピューターをインポート する 選択したマシンのイベント を処理するには: スクリーンショット 46: Process events - Selected machines 1. Process events - Selected machines をクリックします。 1. Add New Event Source ダイアログが開きます。 GFI EventsManager インストールのテスト | 52 スクリーンショット 47: Add new event source ウィザード 3. 次の表で、利用可能なオプションを説明します。 表 13: 新 規 イベント ソースを手 動 で追 加 オプション 説明 Add Add the following computers フィールド に、コンピューターの名前または IP アド レスを入力します。Add をクリックし て、指定したコンピューターを Computer リスト に追加します。 注意 すべてのイベント ソースを選択したグループに追加するまで、この手順を繰り返します。 注意 Syslog や SNMP ト ラップは IP アド レスを使用してイベント のソースを判別するため、Syslog および SNMP ト ラップの ソースを追加するときは、コンピューター名ではなくソースの IP アド レスを使用することをお勧めします。 Remove Computer リスト から 1 台以上のコンピューターを選択し、Remove をクリックしてそれらのコンピューターをリスト から削 除します。 Select... Select... をクリックし、Select Computers... ダイアログを起動します。 1. Domain ド ロップダウン メニューで、利用可能なソースをスキャンするド メインを選択し、Search をクリックします。 2. 検索結果リスト から、追加するコンピューターを選択します。 3. OK をクリックして Select Computers... ダイアログを閉じ、Add New Event Sources... ダイアログに戻ります。 Import... Import... をクリックして、テキスト ファイルからコンピューターをインポート します。テキスト ファイルには、行ごとにコン ピューター名または IP アド レスが 1 つだけ記述されていることを確認してください。 4. Finish をクリックして設定を確定します。GFI EventsManager は、デフォルト のログオン資格情報を使用し て、追加されたイベント ソースのスキャンを直ちに試みます。詳細は、管理者ガイド の イベント ソース ログオ ン資格情報の設定 を参照してください。 GFI EventsManager インストールのテスト | 53 注意 同期が有効でない場合、Network Discovery Wizard を使用して、イベント ソースを自動で 検索および追加できます。Network Discovery Wizard を起動するには、イベント ソース ツ リーで All event sources を右クリックし、Scan local domain を選択します。詳細は、管理者 ガイド のイベント ソースを自動で追加を参照してください。 注意 ログが正常に処理されていることを確認するには、Status タブ > Job Activity に移動し、 Operational History セクションにアクティビティ ログがあることを確認します。 GFI EventsManager インストールのテスト | 54 ト ラブルシューティング 以下のセクションを参照し、GFI EventsManager で発生した問題を解決してください。 l l l l l ド キュメント GFI SkyNet テクニカル サポート の依 頼 Web フォーラム ト ラブルシューティング ウィザード ド キュメント 本マニュアルがご期待に沿わなかった場合や、本資料には改善の余地があるとお考えの場合、以下宛てに 電子メールでお知らせください。[email protected] GFI SkyNet GFI には、よく起きる問題の解決方法を含む、広範囲なナレッジ ベース リポジト リが用意されています。GFI Skynet は、技術サポート の質問とパッチの最新の一覧を常に備えています。本ガイド の情報によってインス ト ール問題を解決できない場合、GFI SkyNet (http://kb.gfi.com/) を参照してください。 テクニカル サポート の依頼 上記のどの情報源でも問題を解決できない場合は、オンライン サポート 依頼フォームに記入するか、または 電話で、GFI テクニカル サポート チームに連絡してください。 l l オンライン: サポート リクエスト フォームに記 入 し、次 のページに記 載 されている解 説 に忠 実 に 従 って、サポート リクエスト を送 信 してください。 http://support.gfi.com/supportrequestform.asp 電 話 : 最 寄 りのテクニカル サポート の正 確 な電 話 番 号 を確 かめるには、次 にアクセスしてくださ い。http://www.gfi.com/company/contact.htm 注意 テクニカル サポート に連絡する場合、事前に顧客 ID をご用意ください。顧客 ID とは、次の GFI 顧客領域で最初にライセンス キーを登録されたときに割り当てられたオンライン アカウント 番号のことです。http://customers.gfi.com お寄せいただいたご質問には、お客様の時間帯に応じて、24 時間以内にお答えします。 GFI Web フォーラムでは、ユーザー相互のテクニカル サポート を利用できます。Web フォーラムには、 http://forums.gfi.com からアクセスできます。 GFI EventsManager トラブルシューティング | 55 用語集 A Actions イベント が特 定 の条 件 を満 たしたときに実 行 されるアクティビティです。たとえば、イベント が Critical と分 類 さ れるたびにアクションが実 行 されるようにすることができます。GFI EventsManager は、電 子 メール アラート 、イベ ント のアーカイブ、スクリプト の実 行 などのアクションに対 応 しています。 C COM+ Network Access クライアント マシンがサーバーのアプリケーションやサービスにアクセスできるようにするには、このファイアウォール 許 可 を有 効 にします。これにより、GFI EventsManager はすべてのサーバーのリソースにアクセスできるようにな ります。この許 可 についての詳 細 は、次 の資 料 を参 照 してください。http://technet.microsoft.com/enus/library/cc731967.aspx I IPsec インターネット プロト コル セキュリティは、ネット ワークまたはネット ワーク通 信 のパケット 処 理 層 におけるセキュリ ティに関 する一 連 のプロト コルのフレームワークです。従 来 のセキュリティ アプローチでは、通 信 モデルのアプリ ケーション層 においてセキュリティ対 策 を行 っていました。IPsec は、仮 想 プライベート ネット ワークの実 装 および プライベート ネット ワークへのダイヤルアップ接 続 によるリモート ユーザー アクセスに特 に有 用 であると言 われてい ます。IPsec の大 きな利 点 は、個 々 のユーザーのコンピューターに手 を加 えることなくセキュリティ対 策 を行 える ことです。 N Noise 同 一 のイベント を繰 り返 し報 告 するログ エント リーです。 S SMS アラート 特 定 のイベント が発 生 したことを受 信 者 に伝 える SMS 通 知 です。GFI EventsManager では、モデム機 能 付 き 携 帯 電 話 、電 子 メールから SMS への Web ベースのゲート ウェイなど、様 々 な媒 体 を介 して SMS アラート を送 信 できます。 SNMP Traps 障 害 やセキュリティ侵 害 などの重 要 なイベント が発 生 した際 にアクティブなネット ワーク コンポーネント (ハブ、 ルーター、ブリッジなど) によって生 成 および SNMP サーバーに送 信 される通 知 やアラート です。SNMP ト ラップに 含 まれるデータには、設 定 、ステータス、これまでのデバイス故 障 回 数 などの統 計 情 報 があります。 SNMP オブジェクト 識 別 子 (OID) SNMP オブジェクト 識 別 子 は、一 連 のド ット 付 きの数 字 で構 成 されるアド レスです。例 : 1.3.6.1.4.1.2682.1). これらの数 字 により、全 ネット ワーク中 の特 定 のデバイス (ハブなど) を一 意 に識 別 し、検 索 します。SNMP OID は、SNMP メッセージのアセンブルにおいて重 要 な要 素 です。個 々 のベンダーは、特 に自 社 のデバイスに関 連 GFI EventsManager 用 語 集 | 56 付 けられた OID のみを含 む MIB を作 成 することが多 いです。個 々 のベンダーは、特 に自 社 のデバイスに関 連 付 けられた OID のみを含 む MIB を作 成 することが多 いです。 Syslog メッセージ UNIX または Linux 系 システムにおいて、重 要 なイベント が発 生 した際 に最 も一 般 的 に生 成 され Syslog サー バーに送 信 される通 知 やアラート です。Syslog メッセージは、ワークステーションやサーバーの他 、Cisco ルーター や Cisco PIX ファイアウォールなどのアクティブなネット ワーク デバイスおよびアプライアンスによって生 成 され、故 障 やセキュリティ侵 害 などのアクティビティを記 録 します。 W W3C ログ W3C は、World Wide Web Consortium によって開 発 された一 般 的 なログ フォーマット です。W3C ログはテキス ト ベースの単 層 ファイルであり、主 に Microsoft Internet Information Server (IIS) などの Web サーバーによっ て、Web ログなど Web 関 連 イベント の記 録 に使 用 されます。 Windows イベント ログ Windows OS が動 作 中 のコンピューター システムで発 生 したイベント を説 明 するエント リーの集 合 です。 ア アーカイブ SQL Server をベースとする、GFI EventsManager のバックエンド データベースに保 存 されたイベント の集 合 です。 アラート 特 定 のイベント が発 生 したことを受 信 者 に伝 える通 知 です。GFI EventsManagercan は、電 子 メール アラー ト , SMS アラート およびネット ワーク アラート を生 成 できます。 イ イベント ログ ネット ワークまたはコンピューター システムで発 生 したイベント を説 明 するエント リーの集 合 です。GFI EventsManager は、以 下 のような異 なる種 類 のイベント ログに対 応 しています。Windows イベント ログ、W3C ログ、Syslog、SNMP ト ラップ、SQL Server 監 査 イベント など。 イベント 処 理 ルール イベント ログに対 して適 用 される一 連 の指 示 です。 イベント 分 類 Critical、High、Medium、Low または Noise の、イベント の分 類 です。 インターネット プロト コル セキュリティ コンピューター間 の通 信 セッションにおけるネット ワーク パケット の暗 号 化 および認 証 に使 用 される公 開 標 準 の フレームワークです。暗 号 化 サービスを使 用 することで、IPsec はデータの整 合 性 、認 証 および機 密 性 を確 保 します。 GFI EventsManager 用 語 集 | 57 オ オブジェクト 監 査 ユーザーによるオブジェクト (ファイル、フォルダー、プリンターなど) へのアクセス イベント を監 査 するには、この監 査 機 能 を有 効 にします。詳 細 については、http://technet.microsoft.com/en-us/library/cc976403.aspx を参 照 してください。 ネ ネット ワーク アラート 特 定 のイベント が発 生 したことを受 信 者 に知 らせる、Netsend メッセージと呼 ばれるネット ワーク メッセージです。 これらのメッセージは、インスタント メッセンジャー システムまたはプロト コルを通 じて送 信 され、受 信 者 のデスク ト ップのシステム ト レイにポップアップとして表 示 されます。ネット ワーク アラート を設 定 するには、Netsend メッ セージ送 信 先 コンピューターの名 前 または IP アド レスを指 定 する必 要 があります。 ネット ワーク ディスカバリ スキャン可 能 なネット ワークに接 続 されたマシンの情 報 を GFI EventsManager が収 集 できるようにするには、こ のファイアウォール許 可 を有 効 にします。詳 細 については、http://technet.microsoft.com/enus/library/cc181373.aspx を参 照 してください。 フ ファイルとプリンターの共 有 GFI EventsManager がターゲット マシンのイベント 定 義 にアクセスできるようにするには、このファイアウォール許 可 を有 効 にします。詳 細 については、http://technet.microsoft.com/en-us/library/cc779133 (WS.10).aspx を参 照 してください。 リ リモート イベント ログ管 理 GFI EventsManager がリモート マシンにアクセスしイベント を収 集 するために必 要 です。詳 細 については、 http://technet.microsoft.com/en-us/library/cc766438.aspx を参 照 してください。 ル ルール セット イベント 処 理 ルールの集 合 です。 ルール セット フォルダー ルール セット を格 納 するフォルダーです。 未 未 分 類 イベント イベント 処 理 ルールで設 定 したどのイベント 処 理 条 件 も満 たさなかったイベント です。 GFI EventsManager 用 語 集 | 58 監 監 査 アカウント 管 理 ユーザー アカウント やグループの作 成 や削 除 、ユーザー アカウント の有 効 化 または無 効 化 、ユーザー パスワー ド の設 定 または変 更 などのアカウント 管 理 操 作 が実 行 されたときにイベント を生 成 します。詳 細 については、 http://technet.microsoft.com/en-us/library/cc737542(WS.10).aspx を参 照 してください。 監 査 システム イベント ユーザーがターゲット コンピューターを再 起 動 またはシャット ダウンするなどの重 要 なシステム イベント が発 生 し たとき、またはセキュリティ ログに影 響 するイベント が発 生 したときにイベント を生 成 します。詳 細 については、 http://technet.microsoft.com/en-us/library/cc782518(WS.10).aspx を参 照 してください。 監 査 プロセス追 跡 プログラムの起 動 や終 了 、およびその他 の重 要 なセキュリティ情 報 を含 む間 接 的 オブジェクト アクセス情 報 など の、アクションを追 跡 するイベント を生 成 します。詳 細 については、http://technet.microsoft.com/enus/library/cc775520(WS.10).aspx を参 照 してください。 管 管 理 情 報 ベース MIB (管 理 情 報 ベース) は、データ辞 書 またはコード ブックに相 当 します。MIB は、オブジェクト 識 別 子 (OID) を ルーターなどのアクティブなネット ワーク オブジェクト に関 連 する読 み取 り可 能 なラベル他 様 々 なパラメーターに 関 連 付 けます。その主 な機 能 は、SNMP が有 効 なネット ワーク デバイスから送 信 された SNMP メッセージのアセ ンブルと解 釈 です。MIB に保 存 された情 報 は階 層 的 に整 理 され、通 常 は SNMP などのプロト コルを用 いてア クセス可 能 です。 電 電 子 メール アラート 特 定 のイベント が発 生 したことを受 信 者 に伝 える電 子 メール通 知 です。電 子 メール アラート を有 効 にするに は、アクティブなメール サーバーにアクセスできる必 要 があります。 GFI EventsManager 用 語 集 | 59 索引 D Database Operations 28 DLib 31, 40 DLib データベース サーバー 30, 37 DMZ 15 既 既定の分類アクション 22 非 非武装地帯 (DMZ) 13, 15 DNS 13-14, 16, 21 G GFI EndPointSecurity 14 GFI LanGuard 14 L LAN 13-15 Q Quick Launch Console 47-48 S SNMP 10, 19 Syslog 8, 10, 16, 19, 48, 53 T Text Logs 8, 14 W WAN 13, 17 イ イベント ソース 22 イベント ブラウザ 22 イベント 処理ルール 22 インスト ール 1, 27 ス ステータス 48 チ チェック 29, 38 デ データベース 8 フ ファイアウォール 8, 15, 18 GFI EventsManager 索 引 | 60 米国、カナダ、中米および南米 4309 Emperor Blvd, Suite 400, Durham, NC 27703, USA 電話: +1 (888) 243-4329 FAX: +1 (919) 379-3402 [email protected] 英国およびアイルランド 共和国 Magna House, 18-32 London Road, Staines-upon-Thames, Middlesex, TW18 4BP, UK 電話: +44 (0) 870 770 5370 FAX: +44 (0) 870 770 5377 [email protected] ヨーロッパ、中東およびアフリカ GFI House, Territorials Street, Mriehel, BKR 3000, Malta 電話: +356 2205 2000 FAX: +356 2138 2419 [email protected] オースト ラリアおよびニュージーランド 83 King William Road, Unley 5061, South Australia 電話: +61 8 8273 3000 FAX: +61 8 8273 3099 [email protected]