4.3.5　システム監査によるシステムのセキュリティ確保

(1)　監査ログの出力

アプリケーションサーバで構築した業務システムでは，「だれが」「いつ」「何を実施したか」についての情報を，監査ログとして出力できます。

監査ログに出力されるのは，次の情報です。

• システム管理者やシステム運用者が実施した操作の履歴と，それに伴うプログラムの動作の履歴

• J2EEアプリケーションを通してシステムの利用者が実行した操作の履歴と，それに伴うプログラムの動作の履歴

アプリケーションサーバでの監査ログ出力の概要を次の図に示します。

図4‒7　アプリケーションサーバでの監査ログ出力の概要

なお，アプリケーションサーバが出力した監査ログは，JP1と連携して，アプリケーションサーバ以外のミドルウェアが出力する監査ログとまとめて管理できます。

JP1との連携については，「6.　ほかの製品との連携」を参照してください。

ページの先頭へ

(2)　データベースと連携した監査証跡情報の出力

アプリケーションサーバで構築した業務システムのバックエンドでは，多くの場合，データベースが動作しています。データベースには，漏洩や改ざんが許されない重要なデータが多く格納されています。これらの情報は，適正なセキュリティ管理が行われ，厳重に管理される必要があります。

データベースには，「だれが」「いつ」「どのようなデータベースアクセスを実行したか」を示す情報を出力できるものがあります。この情報を，監査証跡情報といいます。

アプリケーションサーバでは，データベースが出力する監査証跡情報に，アプリケーションサーバのどのリクエストでデータベースアクセスが実行されたのかを示す情報を出力できます。この情報とJ2EEアプリケーションで出力するログ情報などを組み合わせると，データベースアクセスが，アプリケーションサーバのどのユーザの操作の延長として実行されたのかを追跡できます。

なお，アプリケーションサーバが監査証跡情報を出力するために連携できるデータベースは，HiRDBです。

データベースと連携した監査証跡情報の出力の概要を次の図に示します。

図4‒8　データベースと連携した監査証跡情報の出力の概要

この例では，システムの利用者（user01）がJ2EEアプリケーションを経由してデータベースにアクセスするときに，次の3種類の情報が出力されています。

• J2EEアプリケーションで出力するユーザログ

• トレース出力用サーバプログラム（パフォーマンストレーサ）が出力する性能解析トレース

• データベースで出力する監査証跡情報

これらの情報には，すべてリクエストを特定するための情報（ルートアプリケーション情報）が出力されています。監査者は，この情報を利用して，データベースアクセスがどのリクエストの延長として実行されたのか，そのリクエストを実行したのはどのユーザなのか，などを検証します。また，性能解析トレースを使用すると，そのリクエストがどのような流れで処理されたのかを検証することもできます。

ページの先頭へ