1.3.1　監査ログフォーマットを把握する

(a)　日付情報

監査ログの日付情報のフォーマットは，次の表から選択できます。

表1‒2　監査ログフォーマットの要素（日付情報）

項番	種別	形式
1	日時	YYYY/MM/DD hh:mm:ss
2		YYYY-MM-DD hh:mm:ss
3		YYYY-MM-DDThh:mm:ss.sTZD
4		YYYY-MM-DDThh:mm:ss.sssTZD
5		1970/01/01からの経過秒数
6	日付	YYYY/MM/DD
7		YYYY-MM-DD
8		YY/MM/DD
9		DD/MMM/YYYY
10	年	YY※
11		YYYY
12	月	MM※
13		MMM
14	日	DD※
15	時刻	hh:mm:ss
16		hh:mm:ss.sss
17		hh:mm:ss.ssssss
18	時	hh※
19	分	mm※
20	秒	ss※
21		ss.sss
22		ss.ssssss

例えば，メッセージテキストに次のような日付情報があるとします。

2008/01/09△14:48:26.687△[Information]△KMMV4010-I△業務プログラムAを開始します。△[MANAGER01,3388(gyoumu.exe),GYOUMU001,StartStop]

（凡例）

下線部：日付情報に当たる情報を示します。

△：半角スペースを示します。

「2008/01/09△14:48:26.687」のままでは，表1-2の監査ログフォーマットに該当する種別および形式がありません。このような場合は，「2008/01/09」と「14:48:26.687」に分割して，次のように対応づけます。

• 「2008/01/09」は，表1-2の「日付」種別の「YYYY/MM/DD」形式に該当するので，「YYYY/MM/DD」形式に対応づけます。

• 「14:48:26.687」は，表1-2の「時刻」種別の「hh:mm:ss.sss」形式に該当するので，「hh:mm:ss.sss」形式に対応づけます。

表1-2の形式に該当するように，メッセージテキストを分割して，対応づけてください。

なお，メッセージテキストに年の情報がない場合は，自動的に年の情報が付加されます。年の情報は，次のように付加されます。

• メッセージテキストに出力された月情報が，ログが収集された月以前の場合

  「ログが収集された時点の年」の情報が付加されます。

• メッセージテキストに出力された月情報が，ログが収集されたの月よりも後の場合

  「ログが収集された時点の年 - 1」の情報が付加されます。

例えば，メッセージテキストに出力された月が12月で，2009年1月にログが収集された場合，2008年12月として年の情報が付加されます。

(b)　監査ログの収集カテゴリ

監査ログの収集カテゴリは，ログが出力される契機となった事象の種別を指します。正規化ルールエディタでは，「監査事象の種別」と表示されます。

メッセージテキストに，監査ログの収集カテゴリが次の表のどれかで表示される場合は，そのメッセージテキストの要素を対応づけます。

表1‒3　監査ログ収集カテゴリ

項番	カテゴリ	説明
1	StartStop	ソフトウェアの起動と終了を示す事象です。
2	Authentication	管理者やユーザが，接続・認証を試みて成功・失敗したことを示す事象です。
3	AccessControl	管理者やユーザが，管理リソースまたはセキュリティリソースへのアクセスを試みて成功・失敗したことを示す事象です。
4	ConfigurationAccess	管理者が許可された運用操作を実行し，操作が正常終了・失敗したことを示す事象です。
5	Failure	ソフトウェアの異常を示す事象です。
6	LinkStatus	機器間のリンク状態を示す事象です。
7	ExternalService	日立オープンミドルウェア製品と外部サービスとの通信結果を示す事象です。
8	ContentAccess	重要なデータへのアクセスを試みて成功・失敗したことを示す事象です。
9	Maintenance	管理者や保守員が保守操作を実行し，操作が正常終了・失敗したことを示す事象です。
10	AnomalyEvent	しきい値オーバーなどの異常が発生したことを示す事象です。
		異常な通信の発生を示す事象です。
11	ManagementAction	プログラムの重要なアクションの実行を示す事象や，ほかの監査カテゴリを契機とし実行するアクションを示す事象です。

例えば，次のメッセージテキストの場合は，下線部の情報を対応づけます。

2008/01/09△14:48:26.687△[Information]△KMMV4010-I△業務プログラムAを開始します。△[MANAGER01,3388(gyoumu.exe),GYOUMU001,StartStop]

（凡例）

△：半角スペースを示します。

下線部：監査ログの収集カテゴリに当たる情報を示します。

監査ログの収集カテゴリに当たる情報がメッセージテキストにない場合は，次のように対処してください。

• Windowsイベントログに対応する正規化ルールを定義する場合

  表1-3のうち，該当するカテゴリの文字列を，変換後の監査ログに埋め込んでください。例えば，サービスの起動と終了に関するイベントログの場合は，「StartStop」という文字列を，変換後の監査ログに埋め込みます。文字列の埋め込みについては，「1.4.2　文字列の埋め込みを検討する」を参照してください。

• ログファイルに対応する正規化ルールを定義する場合

  メッセージテキスト中に，監査ログの収集カテゴリに当たる情報がない場合，正規化ルールエディタで正規化ルールを定義できません。

  ただし，監査ログ収集対象プログラムから収集されるログの監査ログの収集カテゴリが，すべて同じ場合にかぎり，正規化ルールエディタで正規化ルールを定義できます。

  例えば，ある監査ログ収集対象プログラムから収集される全ログの監査ログの収集カテゴリが起動／終了であれば，文字列「StartStop」を変換後の監査ログに埋め込めます。一つでも監査ログの収集カテゴリが「Authentication」のログがある場合は，文字列を埋め込めません。文字列の埋め込みについては，「1.4.2　文字列の埋め込みを検討する」を参照してください。

(c)　監査ログの結果

監査ログの結果は，成功か失敗かなどの事象の結果情報を指します。正規化ルールエディタでは，「監査事象の結果」と表示されます。

メッセージテキストに，監査ログの結果が次のどれかで表示される場合は，そのメッセージテキストの要素を対応づけます。

• Success

• Audit_Success

• Failure

• Error

• Critical

• Audit_Failure

• Failed

• Occurrence

• Warning

• Information

• Verbose

• None

• Occurred

例えば，次のメッセージテキストの場合は，下線部の情報を対応づけます。

2008/01/09△14:48:26.687△[Information]△KMMV4010-I△業務プログラムAを開始します。△[MANAGER01,3388(gyoumu.exe),GYOUMU001,StartStop]

（凡例）

△：半角スペースを示します。

下線部：監査ログの結果に当たる情報を示します。

なお，対応づけた監査ログの結果は，監査ログフォーマットに変換されると，次の3種類で表示されます。

表1‒4　監査ログの結果

変換前の監査ログの結果	変換後の監査ログの結果
Success	Success
Audit_Success
Failure	Failure
Error
Critical
Audit_Failure
Failed
Occurrence	Occurrence
Warning
Information
Verbose
None
Occurred

監査ログの結果に当たる情報がメッセージテキストにない場合は，次のように対処してください。

• Windowsイベントログに対応する正規化ルールを定義する場合

  JP1イベント属性値の「拡張属性（固有情報）−Windowsログ種類」を対応づけてください。

  JP1イベント属性値については，「1.4.1　JP1イベント属性値との対応づけを検討する」を参照してください。

• ログファイルに対応する正規化ルールを定義する場合

  メッセージテキストに，監査ログの結果に当たる情報がない場合，正規化ルールエディタで正規化ルールを定義できません。

  ただし，監査ログ収集対象プログラムから収集されるログの監査ログの結果が，すべて同じ場合にかぎり，正規化ルールエディタで正規化ルールを定義できます。

  例えば，ある監査ログ収集対象プログラムから収集される全ログの監査ログの結果が「成功」であれば，文字列「Success」を変換後の監査ログに埋め込めます。一つでも監査ログの結果が「失敗」のログがある場合は，文字列を埋め込めません。文字列の埋め込みについては，「1.4.2　文字列の埋め込みを検討する」を参照してください。