セキュリティ



EventSentryの主要な機能の一つがセキュリティイベントログの監視を通して、安全なネットワーク環境を保つことです。

この例では、イベントログの複数バックアップの作成、疑わしいアクティビティの検出、管理者へのEmail連絡、なおによりWindowsベースネットワークのセキュリティを保つことを示します。
目標：
重要なセキュリティ関連のイベントを集中データベースに記録
自動的にイベントログのバックアップを作成
セキュリティイベントログの異常なアクティビティを検出
セキュリティの問題（非承認ディレクトリーへのアクセス）を即時管理者に通知


重要なセキュリティ関連のイベントを集中データベースに記録
セキュリティイベントログをリアルタイムにデータベースに出力すると、１箇所で検索できることに加え、安全なイベントログ保存が可能です。強力なフィルター機能により、正確にどのイベントをデータベースに記録するかを指定できます。全てのイベントまたは重要なイベントグループのみを記録できます。
イベントログのデータへのバックアップはサーバーがクラッシュしたり、使用できなくなったような場合のために有効です。データベースへの問い合わせによりサーバーがデータベースに記録した最終ログの確認が可能です。

EventSentryアプローチ：SQLデータベースを生成しODBCターゲットを追加すると、SQLデータベースに全てのイベントログを集中保存できます。EventSentryの柔軟なアークテクチャによりODBCドライバーを提供するどのようなSQLデータベースでも使用可能です。


自動的にイベントログのバックアップを作成
データベースバックアップに加え、ホストのセキュリティイベントログを指定時刻に自動的に特定ディレクトリーにバックアップし、さらにクリアすることができます。
これらのファイルはファイルはローカルディスクまたは１箇所に保存できます。他のロケーションへのイベントログの保存はサーバーがクラッシュしたような場合にも読むことが可能になります。

EventSentryアプローチ：System Healthの下で、"Backup Event Logs"にバックアップスケジュールを追加します。


セキュリティイベントログの異常なアクティビティを検出

フィルターに閾値機能を使用すると侵入検知的な利用が可能です。通常のフィルターは無条件にイベントをターゲットに送信しますが、閾値は一定の時間にある回数フィルターに一致する場合のみ送信します。
たとえば、２分間に５０回以上の監査の失敗があるとEmailで通知します。異なる目的のために複数の閾値を作成できます。

EventSentryアプローチ：セキュリティイベントログでAudit Failureに一致する閾値フィルターを作成します。カテゴリーを"Account Logon"とし、もっと厳密に指定することもできます。閾値機能で”最低閾値”を設定し、イベントが記録されるようにします。


セキュリティの問題（非承認ディレクトリーへのアクセス）を即時管理者に通知

ある重要なイベントのみ、たとえば管理者アカウントにアカウントログオンに失敗、をEventSentryからEmailで受信することは非常に効果的です。複数のフィルターで異なるタイプのイベントを異なる受信者に送信できます。

EventSentryアプローチ：SMTPターゲットを生成し、イベントログに選択したイベント（たとえばSekurity)があるとEmailで管理者に通知するようなフィルターを作成する。