12.4.1　JP1/IM - Managerの資料採取方法

jcfview.exe

(3)

JP1/IM - IM構成管理・ビューアーの画面制御

jcfview_evt.exe

(3)

スレッドダンプ出力イベントの送信

java.exe

(3)

JP1/IM - IM構成管理・ビューアーの画面制御

1

コマンドプロンプトから次のコマンドを実行して結果を採取する。

• whoami /all

• nslookup 監視対象ホスト名

• netsh advfirewall firewall show rule name=all

• netsh advfirewall show allprofiles

• tasklist

• systeminfo

• wmic qfe

• reg export HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Policies\ System 出力ファイル

• reg export HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole 出力ファイル

• reg export HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System 出力ファイル

• wmic /node:"監視対象ホスト名" /user:ユーザー名 /password:パスワード port（任意のWMIコマンド）

• マネージャーホストで実行するコマンド

  date /t

  time /t

• 監視対象ホストにWMI接続して実行するコマンド

  wmic /node:"監視対象ホスト名" /user:ユーザー名 /password:パスワード path Win32_LocalTime

2

WMI接続の認証情報を採取する。

• 物理ホストの場合

  Managerパス\conf\agtless\targets\wmi.ini

• 論理ホストの場合

  共有フォルダ\JP1IMM\conf\agtless\targets\wmi.ini

3

WMI接続のログを採取する。

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\Logging Directoryに指定されたディレクトリ下のログファイル^※

4

マネージャーホストから，コマンドプロンプトで「runas /user:ユーザー名 wbemtest」を実行していることがわかるスクリーンショットを採取する。

ユーザー名は［システム共通設定］画面の［IMホストアカウント］ページの［ユーザー名］に設定する値を指定する。また，コマンドの実行後にパスワード入力を要求された場合は，［IMホストアカウント］ページの［パスワード］に設定する値を指定する。

5

wbemtestで［接続］ボタンをクリックしたときの，名前空間，資格証明のユーザー入力値がわかる状態のスクリーンショットを採取する。

6

wbemtestで［接続］ボタンをクリックしたあとの正しく接続できている状態，または［接続］ボタンをクリックしたあとに表示されるエラーメッセージのスクリーンショットを採取する。

7

wbemtestで［クエリ］ボタンをクリックし，次のクエリを入力して，［適用］ボタンをクリックする。

• Select * From Win32_NTLogEvent Where ( Logfile='System' Or Logfile='Application' )

このクエリを実行したあとに，［クエリ結果］画面に表示されるクエリの実行結果のスクリーンショットを採取する。

1

監視対象ユーザーが監視対象ホストにログインし，コマンドプロンプトから次のコマンドを実行して結果を採取する。

• hostname

• whoami /all

• nslookup マネージャーホスト名

• ipconfig /all

• netstat -na

• netsh advfirewall firewall show rule name=all

• netsh advfirewall show allprofiles

• tasklist 監視対象ホスト名

• systeminfo

• %ProgramFiles%\Common Files\Microsoft Shared\MSInfo\msinfo32.exe /report 出力ファイル

• wmic qfe

• tasklist 監視対象ホスト名

• reg export HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System 出力ファイル

• reg export HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole 出力ファイル

2

WMI接続のログを採取する。

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\Logging Directoryに指定されたディレクトリ下のログファイル^※

3

• ファイアウォールが無効の場合

  Windowsのファイアウォールが有効になっていないことがわかる資料を採取する。

• ファイアウォールが有効の場合

  コマンドプロンプトで次のコマンドを実行して結果を採取する。

  reg export HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile\RemoteAdminSettings 出力ファイル

4

監視対象ホストで正しくイベントログが生成されていることを確認する資料を採取する。

• ［管理ツール］の［イベントビューアー］からアプリケーション，システム，セキュリティのイベントログのバイナリ形式とテキスト形式の両方を保存したもの

1

コマンドプロンプトから次のコマンドを実行して結果を採取する。

• whoami

• nslookup 監視対象ホスト名

• nbtstat -s

• netsh advfirewall firewall show rule name=all

• netsh advfirewall show allprofiles

• net use

• systeminfo

• wmic qfe

• date /t^※

• time /t^※

2

［管理ツール］−［ローカルセキュリティポリシー］−［セキュリティの設定］−［ローカルポリシー］−［ユーザー権利の割り当て］−［ネットワーク経由でのアクセス］を右クリックし，表示されたメニューから［プロパティ］を選択し，設定されたユーザー名がわかるスクリーンショットを採取する。

3

［IMホストアカウント］に設定したユーザー名でログインし，エクスプローラの［アドレス］に「\\リモートの監視対象ホスト名」を入力して接続し，監視対象ファイルを参照できたことがわかる資料を採取する。

1

監視対象ユーザーが監視対象ホストにログインし，コマンドプロンプトから次のコマンドを実行して結果を採取する。

• hostname

• nslookup マネージャーホスト名

• ipconfig /all

• netsh advfirewall firewall show rule name=all

• netsh advfirewall show allprofiles

• net session

• systeminfo

• %ProgramFiles%\Common Files\Microsoft Shared\MSInfo\msinfo32.exe /report 出力ファイル

• wmic qfe

• cacls 監視対象ファイル

• dir /A 監視対象ファイルが配置されているディレクトリ

• net share 共有フォルダ名

• reg export HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters 出力ファイル

• date /t^※

• time /t^※

2

［管理ツール］−［ローカルセキュリティポリシー］−［セキュリティの設定］−［ローカルポリシー］−［ユーザー権利の割り当て］−［ネットワーク経由でのアクセス］を右クリックし，表示されたメニューから［プロパティ］を選択し，設定されたユーザー名がわかるスクリーンショットを採取する。

3

監視対象ファイルを採取する。

1

コマンドプロンプトから次のコマンドを実行して結果を採取する。

• whoami

• nslookup 監視対象ホスト名

• netsh advfirewall firewall show rule name=all

• netsh advfirewall show allprofiles

• systeminfo

• wmic qfe

• マネージャーホストで実行

  date /t

  time /t

• 監視対象ホストにSSH接続して実行

  date

• dir /A 秘密鍵を配置したディレクトリ

2

SSH接続の認証情報を採取する。

• 物理ホストの場合

  Managerパス\conf\agtless\targets\ssh.ini

• 論理ホストの場合

  共有フォルダ\JP1IMM\conf\agtless\targets\ssh.ini

3

配置した秘密鍵を使って，リモートの監視対象ホストにSSH接続できたことがわかる資料を採取する。

1

コンソールから次のコマンドを実行して結果を採取する。

• whoami

• nslookup 監視対象ホスト名

• マネージャーホストで実行

  date

• 監視対象ホストにSSH接続して実行

  Date

• ls -al 秘密鍵を配置したディレクトリ

2

SSH接続の認証情報を採取する。

• 物理ホストの場合

  Managerパス\conf\agtless\targets\ssh.ini

• 論理ホストの場合

  共有フォルダ\JP1IMM\conf\agtless\targets\ssh.ini

3

配置した秘密鍵を使って，リモートの監視対象ホストにSSH接続できたことがわかる資料を採取する。

1

監視対象ユーザーが監視対象ホストにログインし，コンソールから次のコマンドを実行して結果を採取する。

• uname -a

• nslookup マネージャーホスト名

• ifconfig -a

• netstat -i

• netstat -na

• iptables --list

• env

• which コマンド名（コマンド名に次のコマンド名を指定する）

  uname

  ls

  wc

  tail

  head

  grep

  find

• ls -ail 監視対象ファイルが配置されているディレクトリ

• ls -al sshd_configファイルのAuthorizedKeysFileに指定されたディレクトリの上位ディレクトリ

• ls -al sshd_configファイルのAuthorizedKeysFileに指定されたディレクトリ

• Linuxの場合

  dmesg

  rpm -qa

2

次のファイルを採取する。

• /etc/hosts.allow

• /etc/hosts.deny

• 監視対象ファイル

• Linuxの場合

  /etc/nsswitch.conf

  /etc/issue

  /etc/ssh/sshd_config

  /var/log/messages

  /var/log/secure