アマゾンウェブサービス (aws) 対応製品のご紹介 ·...
TRANSCRIPT
インフォサイエンス株式会社プロダクト事業部
Infoscience Corporationwww.infoscience.co.jp [email protected]: 03-5427-3503 Fax: 03-5427-3889
アマゾン ウェブ サービス (AWS) 対応製品のご紹介
~ 統合ログ管理システム Logstorage ~
PDT-L072-20190523
インフォサイエンス株式会社 概要
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 2
パッケージラインナップ設立
1995年10月
代表者宮 紀雄
事業内容
•プロダクト事業部パッケージソフトウェア「Logstorage」シリーズの開発
•SaaS事業
メンバーシップマネジメントソリューション「Jimzen」の開発
所在地
東京都港区芝浦2丁目4番1号 インフォサイエンスビル
統合ログ管理システム「Logstorage」
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 4
「Logstorage」とは
様々なシステムに異なるフォーマットで散在するログを管理・分析する、純国産の統合ログ管理システムです。内部統制、情報漏えい対策、サイバー攻撃対策、システム運用監視、業務効率改善など、多様な目的に対応できる、統合ログ分野でのデファクトスタンダード製品です。
出典:ミック経済研究所「【ガバナンス&監査編 2018年版】サイバーセキュリティソリューション市場の現状と将来展望(統合ログ管理市場)」
12年連続市場シェアNo.13100社への導入実績
出荷本数シェア
47.4%
Logstorage
ログ収集機能
[受信機能]・Syslog / FTP(S) / 共有フォルダ / SNMP
[ログ送信・取得機能]・Agent・EventLogCollector・SecureBatchTransfer
ログ保管機能
ログ検知機能 検索・集計・レポート機能
・ポリシーに合致したログのアラート・ポリシーはストーリー的に定義可能(シナリオ検知)
・ログの圧縮保存/高速検索・ログの改ざんチェック機能・ログに対する意味(タグ)付け・ログの暗号化保存・保存期間を経過したログを自動アーカイブ・ログの保存領域管理機能
・ログの検索/集計/レポート生成・検索結果に対する、クリック操作による絞込み・レポートの定期自動実行(HTML/PDF/CSV/TXT/XML)・レポートの出力形式のカスタマイズ
<Logstorage システム構成>
機能・システム構成
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 5
ログ収集実績/連携製品
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 6
日本国内で利用されているソフトウェア・機器を中心に250種以上のログ収集実績
[OSシステム・イベント]・Windows
・Solaris
・AIX
・HP-UX
・Linux
・BSD
[Web/プロキシ]・Apache
・IIS
・BlueCoat
・i-FILTER
・squid
・WebSense
・WebSphere
・WebLogic
・Apache Tomcat
・Cosminexus
[ネットワーク機器]・Cisco PIX/ASA
・Cisco Catalyst
・NetScreen/SSG
・PaloAlto PA
・VPN-1
・Firewall-1
・Check Point IP
・SSL-VPN
・FortiGate
・NOKIA IP
・Alteon
・SonicWall
・FortiGate
・BIG-IP
・IronPort
・ServerIron
・Proventia
[クライアント操作]・LanScope Cat
・InfoTrace
・CWAT
・MylogStar
・IVEX Logger
・秘文・SeP
・QND/QOH
[データベース]・Oracle
・SQLServer
・DB2
・PostgreSQL
・MySQL[サーバアクセス]・ALogコンバータ・VISUACT
・File Server Audit
・CA Access Control
[データベース監査]・PISO
・Chakra
・SecureSphere DMG/DSG
・SSDB監査・AUDIT MASTER
・IPLocks
・Guardium
[メール]・MS Exchange
・sendmail
・Postfix
・qmail
・Exim[ICカード認証]・SmartOn
・ARCACLAVIS Revo [その他]・VMware vCenter
・SAP R/3 (ERP)
・NetApp (NAS)
・ex-SG (入退室管理)
・MSIESER
・iSecurity
・Desk Net’s
・HP NonStop Server
…その他
[運用監視]・Nagios
・JP1
・Systemwalker
・OpenView
[アンチウィルス]・Symantec AntiVirus
・TrendMicro InterScan
・McAfee VirusScan
・HDE Anti Vuris
[Lotus Domino]・Lotus Domino
・Notes AccessAnalyzer2
・Auge AccessWatcher
[複合機]・imageRunner
・Apeos
・SecurePrint!
【Logstorage アライアンス製品】
LanScope Cat SecureCube / AccessCheck
CWAT InfoTrace
MylogStar IVEX Logger シリーズ
i-FILTER MaLion
VISUACT SSDB監査
PISO SKYSEA Client View
Palo Alto Networks Next-Generation Firewall
アマゾン ウェブ サービス
(AWS)
秘文
パブリッククラウドのログを管理する目的とは?
脅威対策 システム運用
考え方は通常のシステムと同じだが・・・
ログ管理を始めるタイミングがカギとなる
一般的なシステム構築
パブリッククラウド構築
設計 構築 試験 運用
設計 構築 試験 運用
ログ管理
ログ管理
一般的なシステム構築では運用開始とともにログ管理を行うケースが大半だが、パブリッククラウド構築はより早い段階からログ管理を行う必要がある
「クラウドファースト」=「ログファースト」
パブリッククラウドのログ管理
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 8
コンプライアンス
クラウドは「ログファースト」
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 9
パブリッククラウドのログ管理は「構築前」から
オンプレミスでの作業 パブリッククラウドでの作業
H/W調達 実機を購入 API/Webでインスタンス作成
データセンター設置 データセンター搬入 同上
ネットワーク接続、設定 ケーブル結線ルーター設定の操作
API/Webで設定
ファイアウォール設置、設定 ファイアウォール設定の操作 同上
• パブリッククラウドシステムの構築はWebGUIやAPIで操作が行われるため、作業/操作内容が把握しづらい
• 構築時のログを残しておくことで、障害/セキュリティ事象に際して、環境の再現を容易に行うことが出来る
パブリッククラウド上のH/Wの構築状況や操作/設定内容を把握するには、構築が始まる「前」からログを収集し、構築状況を「可視化」する必要がある
•クラウドのログ管理
– クラウド利用者の操作ログ(SaaS/PaaS/IaaS共通)
– クラウド基盤上で稼働するシステムのログ
PaaS/IaaS上のシステム(サービス、リソース)のログ
→ システムは複雑化。監査・管理対象は増え続けます。
クラウドのログについて
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 10
オンプレミス環境:データーセンター
売上
基幹系
在庫
会計生産
EC
業務系
通販
分析顧客
ファイルサーバ
社内インフラ
メールサーバ
人事
給与
ログサーバ
社内系
AWS Cloud
VPC
Public subnet
Elastic Load Balancing
(ELB)AWS
CloudTrail
AWS
Config
Amazon
CloudWatch
Logs
Instances
Instance
Instance
Instance
Logstorage 構成例
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 11
•Logstorage 構成例
Logstorageは、オンプレミス・クラウド・ハイブリットのいずれの環境においても構築可能です。
・オンプレミスとAWS上のログを各環境のLogGateで収集して保管。検索結果だけをAWSから取得することで、AWSからの転送コストを削減
・収集したログ(=アーカイブログ)をAmazon EBSより安価なAmazonS3に転送することで、ストレージのコストを削減
社内ルータ
LogGate(ログ収集サーバ)
Console(管理/GUIサーバ)
社内システム
社内環境(オンプレミス) AWS Cloud
Customer
gateway
LogGate(ログ収集サーバ)
AWS CloudTrail, Amazon CloudWatch,
AWS Config等 各サービス
業務システム
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 12
Logstorage / Logstorage AWS 対応製品- AWS上のログ管理 -
Amazonが提供するパブリック・クラウドサービスで、 サーバ、ストレージ、ネットワーク、データベース、その他、ITインフラに必要なリソースを柔軟に、かつ低価格で提供。
AWS とは
Compute
AmazonEC2
AmazonLambda
Amazon API Gateway
Amazon Route 53
Elastic LoadBalancing
AWSDirect Connect
AmazonVPC
Storage
Amazon Simple Storage Service
AWS Storage Gateway
AmazonGlacier
Database
AmazonRDS
Amazon ElastiCache
AmazonRedshift
Security, Identity and Compliance
AWS Identity and Access
Management
AWS Key Management
Service
AWS WAF
Management & Governance
AWS CloudTrail
Amazon CloudWatch
AWS Config
AWS Management
Console
AWS CloudFormation
ITインフラのコスト削減・運用負荷軽減などの観点から、AWSの利用が急速に進んでいる
13Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
Amazon Web Services(AWS)
Networking
AWS Elastic Beanstalk
Amazon Elastic Container
Service
Amazon CloudFront
Amazon Elastic File System
Amazon Elastic Block Store
AWS Single Sign-On
Amazon DynamoDB
AWS Auto Scaling
「Native AWS Security-Logging Capabilities」で、情報が公開されています。
ログが一元管理されている訳ではないため、各サービス毎に対応策を検討する必要があります。
例えば、AWS CloudTrailは画面でログを参照できますが、過去90日までしか参照できません。また、Amazon S3バケットにログを出力することもできますが、ログの内容を把握するのは容易ではありません。
AWSログに関連する機能
AWSでの監査対象と仕様について
14Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
Logstorageでは、ログの長期保管を行い、参照することが可能です!!
AWSのログ出力は意外と複雑
課題1:多様なログの出力方式
15Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
AWS CloudTrail のログ出力 Amazon CloudWatch Logs のログ出力
S3 bucket
.gz形式で出力1ファイルに複数のイベント数分~毎にファイル出力される
Amazon CloudWatch
CloudWath Logs 内部で保持APIで取得する必要あり
API
サービス毎に異なるログ出力方式に対応する必要があります
gzipファイルに含まれる複数のイベントの取得
APIを実装しないと読めない、etc...
AWS CloudTrail
AWSのログ出力は意外と複雑
課題2:特定のログを探すのが大変
16Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
上記はAmazon EC2起動とEC2停止の2操作のログです。大量に存在するログの中から、参照したいログを特定するには限度があり、運用方法を検討する必要があります。
例:AWS CloudTrail のログ
{"Records": [{"eventVersion": "1.0","userIdentity": {"type": "IAMUser","principalId": "EX_PRINCIPAL_ID","arn": "arn:aws:iam::123456789012:user/Alice","accessKeyId": "EXAMPLE_KEY_ID","accountId": "123456789012","userName": "Alice"},"eventTime": "2014-03-06T21:22:54Z","eventSource": "ec2.amazonaws.com","eventName": "StartInstances","awsRegion": "us-east-2","sourceIPAddress": "205.251.233.176","userAgent": "ec2-api-tools 1.6.12.2","requestParameters": {"instancesSet": {"items": [{"instanceId": "i-ebeaf9e2"}]}},"responseElements": {"instancesSet": {"items": [{"instanceId": "i-ebeaf9e2","currentState": {"code": 0,"name": "pending"},"previousState": {"code": 80,"name": "stopped"}}]}}},{"eventVersion": "1.0","userIdentity": {"type": "IAMUser","principalId": "EX_PRINCIPAL_ID","arn": "arn:aws:iam::123456789012:user/Alice","accountId": "123456789012","accessKeyId": "EXAMPLE_KEY_ID","userName": "Alice"},"eventTime": "2014-03-06T21:01:59Z","eventSource": "ec2.amazonaws.com","eventName": "StopInstances","awsRegion": "us-east-2","sourceIPAddress": "205.251.233.176","userAgent": "ec2-api-tools 1.6.12.2","requestParameters": {"instancesSet": {"items": [{"instanceId": "i-ebeaf9e2"}]},"force": false},"responseElements": {"instancesSet": {"items": [{"instanceId": "i-ebeaf9e2","currentState": {"code": 64,"name": "stopping"},"previousState": {"code": 16,"name": "running"}}]}}}]}
システム構成の把握が大変
課題3:システム構成の把握が難しい
17Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
Amazon VPCなどのネットワーク構成やAmazon EC2・Amazon EBS等の関連性を把握するには一工夫する必要があります。
収集・解析
保管
・ログの圧縮/高速検束機能・ログの暗号化保存機能・ログの改ざんチェック機能・ログに対する自動タグ付け機能・ログの自動アーカイブ機能
検索・分析
・ログの検索/集計/レポート/検知機能・検索結果からクリック操作による絞込み機能・あらゆる種類のログの横断検索/分析機能・レポートの定期自動出力機能・AWSログ分析用分析テンプレート
・AWSの各サービスからのログ自動収集機能・JSON形式のログの解析/変換機能
Logstorage / AWS 対応概要
Logstorage / AWS 対応イメージ
Logstorage / AWS 対応
18Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
Logstorage / Logstorage連携パック for AWS は、オンプレミス上のログに加え、AWS上で生成されるあらゆるログデータを「収集・解析」「保管」「検索・分析」「レポート」するための統合ログ管理ツールです。 AWS上のリソースのライフサイクルの管理、コンプライアンス準拠、セキュリティ分析、運用上のトラブルシューティングなど、幅広く活用することができます。
AWS上に点在するログ(情報)と関連サービス
AWS上のあらゆるアクティビティの監査・監視が可能に!!
AWS上のログ取得のポイント
19Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
AWSサービスに対するアクセスログ
AWS CloudTrail
AWS ConfigAWSサービス・リソースの構成変更履歴
Amazon CloudWatch LogsAmazon EC2インスタンス内のアクセスログVPC内の通信ログ(VPC Flow Logs)
例)Amazon EC2インスタンスの作成/停止/削除AWS管理画面(Management Console)へのログイン
例)Amazon EC2インスタンスタイプの変更Amazon EC2が停止から起動に状態変更
例)Amazon EC2内のWindowsイベントログ/Linux syslogVPC内のインバウンド・アウトバウンド通信
Amazon RDSAmazon RDSの監査ログ
例)SQLクエリーログ
AWS BillingAWS請求情報
Amazon S3Amazon S3のアクセスログ
ELBELBのアクセスログ
AWSアカウントのAPIコールを記録するサービス
コンプライアンス準拠 社内規定や規制基準に応じたAWSリソースの管理について説明するためにこれらの情報を用いることができる
リソースのライフサイクル管理
あるAWSリソースの作成から削除まで追跡することができる
運用上のトラブルシューティング
リースに対して最近行われた変更を特定することができる
セキュリティ面の分析 不適切な権限でのアクセスのため拒否されたAPIコールを見ることができる
・ユーザーがある期間に行った操作は?・どのAWSユーザーが、いつ、何を、どのように
操作したか?・操作がどの接続元(IPアドレス)から行われたか?
AWS CloudTrail とは
以下のような問いに答えることができます。
AWS Cloud Trail とは
21Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
AWS Cloud
AmazonVPC
AmazonEC2
AmazonRDS
AWS Identity and
Access Management
AWSLambda
AWS WAF
AWS CloudTrail
Bucket Topic
Log Analysis Apps from AWS partners
AWS CloudTrail のイベント通知を利用
AWS CloudTrail ログ収集の仕組み(1)
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 22
Amazon S3 のイベント通知を利用
AWS CloudTrail ログ収集の仕組み(2)
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 23
管理コンソールに、不正にアクセスされていないか
誤ったインスタンスの削除は無いか
管理の接続は無いか?
承認されていないユーザからのアクセスは無いか
AWS CloudTrail レポート例
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 24
構成変更の通知、構成履歴、AWSリソースのインベントリー情報を提供するサービス
AWS Config とは
検出AWS Config はアカウント内のすべてのリソースを検出し、一貫性のある形式で表示します。すべてのリソースおよびその設定属性のスナップショットにより、アカウント内のリソースの完全なインベントリーが作成されます。
リソースが作成、アップデート、削除されるとAWS Config は設定の変更を Amazon Simple Notification Service (SNS) に通知します。AWS Config はリソース同士の関連性を表示するため、1つのリソースに対する変更が他のリソースにどう影響するか確認できます。
変更管理
監査とコンプライアンスリソースの設定をいつでも視覚的に確認できるため、AWS Config は社内のセキュリティポリシーや各種法令に準拠するために役立ちます。
トラブルシューティングAWS Config を使用することで、リソースに対する最近の変更を特定でき、運用上の問題をすばやく解決できます。
セキュリティとインシデント分析AWS Config のデータによってリソースの設定を継続的にモニタリングでき、設定内容をチェックすることで潜在的なセキュリティの脆弱性を発見できます。何らかの問題が発生した場合、AWS Config を使用して過去の任意の時点における設定を調査できます。
ユースケース
AWS Config 画面
AWS Config とは
26Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
AWS Config Partner / AWS Official Blog で紹介されました!!
URL: https://aws.amazon.com/jp/config/partners/logstorage/
AWS Config Partner - Logstorage
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 27
Configスナップショットレポート(構成図)
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 28
Configスナップショットをわかりやすく図示一目でAWSの構成が把握可能
AWS Config のイベント通知を利用
AWS Config ログ収集の仕組み(1)
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 29
Amazon S3 のイベント通知を利用
AWS Config ログ収集の仕組み(2)
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 30
Amazon EC2インスタンス上のログやネットワーク上の通信ログを収集するサービス。各EC2インスタンス内に Amazon CloudWatch Logs エージェント をインストールすることで、WindowsイベントログやLinux syslogの収集が可能。また、VPC内のネットワークインターフェイス間で行き来する IP トラフィックに関する情報をキャプチャできるようにする機能であるVPC Flow Logsの収集が可能です。
Amazon CloudWatch Logs とは
・Windows イベントログ・Linuxシスログ・その他テキストログ
AmazonEC2
CloudWatch エージェント
AmazonCloudWatch Logs
VPC Flow Logs
・ネットワーク通信ログ(ACCEPT/REJECT)
Amazon CloudWatch Logs とは
33Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
Amazon CloudWatch Logs 対応機能 構成
検索・集計
監査レポート
LogDBログ収集スクリプト
AWS Cloud
VPC Flow Logs レポート例/REJECT
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 34
どのような通信先/ポートにREJECTされた通信があったか
REJECTされた通信の接続元は?
REJECTされた通信のプロトコルは?(1-ICMP / 6-TCP / 17-UDP)
REJECTされた通信
ACCEPT/REJECTの比率は?(REJECT通信が異常に多く無いか)
VPC Flow Logs レポート例/通信量
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 35
全体の通信バイト数(時系列)
全体の通信パケット数(時系列)
Network-Interface毎の通信バイト数(時系列)
Network-Interface毎の通信パケット数
(時系列)
Amazon EC2 イベントログ / syslog レポート例
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 36
ログの横断検索不正な権限昇格は無いか
システムエラーの監視
不正なアカウントの利用は無いか (Linux)
不正なアカウントの利用は無いか(Windows)
AWS Cloud
マネージド型リレーショナルデータベースサービス。Oracle 、Amazon Aurora、MySQL、MariaDB、Microsoft SQL Server、PostgreSQL といった一般的な 6 種類のデータベースエンジンから選択可能。柔軟にスケーラビリティができ、自動バックアップ 、スナップショットによるバックアップ、マルチAZ配置など、高い可用性と耐久性を容易に実現することが可能。
Amazon RDSとは
DBinstance
AmazonRDS
LogDB
検索・集計
監査レポート
Amazon RDS とは
38Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
ログ収集スクリプト
Amazon RDS連携機能 構成
ログ変換スクリプト
・監査ログ※Logstorageが収集可能なログ1行の最大長は32KB(32,767Byte)です。
収集したログが32KB超える場合は、先頭32KBのみをLogDSに取込み、受信した全行はillegal.logに出力されます。
DBinstance
Amazon RDS(Oracle) 検索イメージ
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 39
データベースへのログイン、テーブルへのSQLクエリ操作などが把握可能
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 40
その他の機能- Billing- Amazon S3- Elastic Load Balancing- Amazon S3/Glacier へのログアーカイブ
請求情報を可視化、長期的な分析が可能に
AWSのBillingデータを利用し、利用金額の観点から、AWSサービスの利用状況を把握する。・既に利用していないサービスで料金が発生していないか把
握し不要なサービスを止める。・EC2毎の利用コストを把握し、スポットインスタンス/リ
ザーブドインスタンスの切替を検討する。・部署/ユーザ単位での利用金額を把握し、適切な費用配賦
を行う。
AWS Billing ~請求情報の可視化・分析~
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 41
ログ収集スクリプト LogDB
AWS Billing 連携機能 構成
AWS Billing 対応
42Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
ログフォーマット定義
レポートテンプレート
② Amazon S3オブジェクトをダウンロード
① Billingレポート(.csv)を出力
Bucket
AWS Cloud
AWS Cost
Usage Report
AWS Cloud
ログ収集スクリプトLogDB
S3アクセスログ/ELB通信ログ 対応機能 構成
Amazon S3 / Elastic Load Balancing アクセスログ対応
43Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
ログフォーマット定義
レポートテンプレート
アクセス
アクセス
① Elastic Load Balancing アクセスログ を出力
② Put 通知
③ Amazon SQSメッセージを取得
④ S3オブジェクトをダウンロード
① Amazon S3アクセスログ を出力
Bucket Bucket
Instance Instance
Amazon Simple Queue Service
Amazon S3 / Amazon S3 Glacier へのログバックアップ
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 44
過去ログをS3/Gracierにバックアップ
Amazon S3
Amazon S3 Glacier
1GB/約3円
1GB/約1円
自動アーカイブ
LogDB
アーカイブ機能拡張(S3対応)
運用例・LogDB上に1年間保存
⇒ 1年以上3年未満のログはS3上に保存⇒ 3年以上前のログはGlacier上に保存
ログ保管ストレージのコストを大幅にカット
Amazon EBS
1GB/約6円
AWS Cloud
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 45
Logstorage / AWS連携 導入事例[事例1] cloudpack(アイレット株式会社)様
[事例2] ハンズラボ株式会社様
[事例3] GMOフィナンシャルホールディングス株式会社様
[事例4] データセンター事業者様
[事例1] cloudpack(アイレット株式会社)様
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 46
Logstorage導入目的
・各種セキュリティ認証の取得(PCI DSS / ISO27001)
・SOC2 への取り組み・上記への対応を通じ、セキュリティ
への取り組みについて客観的な評価に基づく透明性の確保、高度なセキュリティ体制の実現
ログ収集対象
ルータ
スイッチ
認証サーバ
踏み台サーバ
NATインスタンス
セキュリティ端末
その他、セキュリティ管理サーバ
全顧客の AWS CloudTrail ログ
全顧客の AWS Config ログ
ログ収集対象
Logstorage導入環境
○SOC 2報告書
【S3 Put Eventを利用したCloudTrailログの収集】
【PCI DSSレポートテンプレート(一部)】
○PCI DSS認証
『無償で提供されるLogstorageのPCI DSSテンプレートには、テンプレートが対応するPCI DSS要件番号が記載されており、監査がスムーズに進んだ。』『Logstorageは、PCI DSSで求められるログの暗号化と改ざん検出に標準機能で対応しており、別の製品と組み合わせる必要なく対応できた。』『結果、PCI DSS認証取得において、ログに関する指摘事項はなかった。』
『Logstorageを利用したログの一元管理はSOC2対応でも踏襲した。AWSを対象としたフルマネージドサービス事業で、国内で初めてSOC 2報告書を受領した。』
『LogstorageはAMIでも提供されるため、インストールには殆ど手間が掛からなかった。』『多くのお客様のCloudTrailのログを効率的に収集するために必要としていた S3 Put Event に対応してもらえたのは助かった。』
○その他
[事例1] cloudpack様のコメント
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 47
[事例2] ハンズラボ株式会社様
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 48
Logstorage導入目的
・内部統制、PCI DSS対応が主な目的で、AWS上のログデータを素早く検索できるようにするため・エンジニア全員がAWSを使用しており、だれが/いつ/どこで/何をしたのか 監視する必要がある
・全てのログを一箇所で統合管理するため
Logstorage導入環境
詳細は以下URLをご確認ください。↓↓↓
https://www.logstorage.com/case/case_handslab.html
[事例3] GMOフィナンシャルホールディングス株式会社様
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 49
Logstorage導入目的
・AWS上にある環境の【見える化】のため・構成図の作成から担当者へメール送信の運用フェーズを自動化できる機能を兼ね備えていた為、
導入を決定・AWS LambdaとAmazon CloudWatchを使用し、インスタンスの起動・停止の自動化を実現
詳細は以下URLをご確認ください。↓↓↓
https://www.logstorage.com/case/case_gmofh.htmlLogstorage導入環境
[事例4] データセンター事業者様
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 50
お客様(DC事業者様)が提供する「包括的システム運用サービス」。 SecureCube AccessCheck + Logstorageを導入する事で、DC事業者様が自社データセンター内で預かるお客様サーバ、及びAWS上のEC2インスタンス等の運用をより安全に、セキュアに行うことで、各種コンプライアンス要求に対応
Console
LogGate
運用担当者操作端末
Gateway
ManagerEC2インスタンス
LogGate
AWS VPN
お客様A
EC2インスタンス
お客様B
お客様 データセンター
お客様サーバ(運用監視対象サーバ)
ログデータ連携
監査担当者操作端末
・データセンター内のサーバ、及びAWS上のEC2インスタンスに対するメンテナンスは、全てAccessCheck上での申請・承認を経て、AccessCheckのゲートウェイ経由でアクセスする。⇒ 承認が無いアクセスは許可しない
・データセンターのサーバ、ネットワーク機器、AccessCheck、及びAWS上のEC2インスタンスのログをLogstorageに収集・統合管理し、日次で監査。⇒ AccessCheckゲートウェイを経由しない、違反アクセスなども監査
・データセンター内のログと、AWS上のログを統合管理し、1つのLogstorageコンソールにて透過的にログを監査する。⇒ ハイブリッド環境においても、ログの監査を容易に
Logstorage + AccessCheck によるハイブリッド環境でのアクセス管理・ログ管理
ログ
Firewall
ログ
Firewall /VPNAccessCheck
AWS Cloud
製品の内容
製品名称 「Logstorage AWS対応製品」
含まれる機能 ログ収集/解析モジュール・AWS CloudTrail, AWS Config, Amazon CloudWatch Logs, AWS Billing,
Amazon S3(アクセスログ), Amazon ELB(通信ログ), Amazon RDS に対応
ログフォーマット・AWS 各サービスのログフォーマット(スキーマ)定義。
検索/集計/レポートテンプレート・AWS各サービスのログを分析するためのテンプレート。
ライセンス価格 ¥300,000※別途Logstorage本体ライセンスが必要。※別途Logstorageクライアントライセンスが必要。※保守は別途20%(初年度必須)
AWS対応製品 ライセンス内容
Logstorage AWS対応製品 ライセンス
52Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
クライアントライセンスの考え方
追加クライアントはログ収集対象のAWSアカウントID、ログ収集対象サービス分のライセンスが必要になります。
例2) AWSアカウント3つ、AWS CloudTrail / AWS Config からログを収集
例1)AWSアカウント1つ、AWS CloudTrail / AWS Config / Amazon CloudWatch Logs からログを収集
AWSアカウントID
CloudTrail
Config
CloudWatch Logs
× = 3クライアントライセンス
AWSアカウントIDCloudTrail
Config× = 6クライアントライセンスAWSアカウントID
AWSアカウントID
クライアントライセンスの考え方 [1/2]
53Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
クライアントライセンスの考え方 [2/2]
54Copyright(C) 2019 Infoscience Corporation. All Rights Reserved.
例3)AWSアカウント1つ、AWS CloudTrail / AWS Config / Amazon CloudWatch Logs / AWS Billing / Amazon S3 / Elastic Load Balancing / Amazon RDS(対応する全サービス)からログを収集
AWSアカウントID
CloudTrail
Config
CloudWatch Logs
=Billing
S3
ELB
× 7クライアントライセンス
クライアントライセンスの考え方
RDS
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 55
・「Logstorage」は、インフォサイエンス株式会社の登録商標です。・「アマゾン ウェブサービス」「Amazon Web Services」「AWS」は、Amazon.com, Inc.またはその関連会社の商標です。
製品HP、試用版のご案内
試用版のお申込み
製品HP
https://www.logstorage.com/trial/ami_trial.html
https://www.logstorage.com/aws/
AWS Test Drive
https://www.logstorage.com/trial/testdrive.html
製品HP、試用版、お問い合わせ先
Copyright(C) 2019 Infoscience Corporation. All Rights Reserved. 56
インフォサイエンス株式会社プロダクト事業部
TEL 03-5427-3503 FAX 03-5427-3889
mail : [email protected]
お問い合わせ先