レポート作成、アラート、SIEM
Keeperのレポート・アラートモジュールの詳細なイベントログ機能でコンプライアンス要件に対応
概要
Keeperのレポート・アラートモジュール (Advanced Reporting and Alerts Module, ARAM) では、Keeper管理者やコンプライアンスチームが、全体的な利用状況とポリシーへの準拠状況を監視できます。
改ざん防止のイベントログ
ARAMは、改ざんできない追記専用の監査システムとして設計されています。イベントデータは操作発生時に一度だけ書き込まれ、その後変更できません。権限の高低を問わず、管理者は監査イベントを変更、抑制、削除できません。API、管理コンソール、コマンドラインのいずれからも、記録済みのイベントデータを変更できません。
管理者の操作自体も同様にログに記録されます。管理者がロールポリシー、強制設定、イベントアラートルール、レポート構成を変更すると、実行した管理者の情報とともに監査イベントが記録されます。管理者は監査証跡を改ざんできず、監視対象を変更しようとする行為自体も記録されます。
監査データの独立したコピーが必要な場合、イベントはほぼリアルタイムで外部SIEMの接続先へストリーミングされます。顧客が管理するSIEMに配信されたイベントは、Keeper管理者が操作できない場所に置かれ、調査およびコンプライアンスのための、改ざんできないもう1つの記録となります。
レポート作成
レポートとアラートダッシュボードには、上位5つのイベント、2つの標準レポート、カスタムレポートの概要が表示されます。「最近のアクティビティ」レポートは標準レポートの1つで、200種類を超えるイベントタイプにわたる直近1000件のイベントを追跡します。レポート・アラートモジュールにアップグレードすると、カスタムレポートの生成と保存、およびアラート通知が利用できます。
[カスタムレポートを追加] をクリックするとカスタムレポートを作成できます。
[適用] をクリックすると、結果をプレビューできます。このレポートを使用する場合は [保存] をクリックします。イベントは、JSON、CSV、SysLogの各形式のファイルとしてエクスポートできます。
IPアドレスに基づく位置情報
IPアドレスに基づく位置情報の精度は、ユーザーの位置の特定に使用されるデータベースによって異なります。また、複数の要因によっても左右されます。レジストリが受信したデータをどの程度正確に検証できるかが最も重要です。IPアドレスに紐付けられている情報が不正確な場合、有用性が低下します。IPアドレスが頻繁に変更されたり、モバイルキャリアがユーザーのインターネットアクセスに集中型のゲートウェイを使用している携帯電話の場合、位置情報の特定は著しく困難になります。また、ユーザーがプロキシやVPNを使用している場合、位置データは必ずしも正しくありません。
Keeperでは、業界で最も信頼されるプロバイダの1つを利用しています。そのプロバイダでは、定期的に公開されている既知のIPアドレスと照合してデータ品質を検証することで、品質保証を行っています。
タイムライングラフ
タイムライングラフの期間は、24時間、7日、30日間から選択できます。任意のイベントが記載された行をクリックすると、その期間内でそのイベントのすべての事例が表示されたレポートが開きます。
アラート
アラートモジュールを使用すると、イベントに基づいたアラートを生成できます。アラートはメールまたはSMSで送信されます。
新しいアラートは、新しいレポートと同様に [アラートを追加] をクリックし、名前とフィルター条件を指定して作成します。受信者は1人以上追加でき、メールアドレス、電話番号 (SMS用)、またはその両方を指定できます。受信者は組織の一員である必要はなく、任意のメールアドレスや電話番号を指定できます。最初の受信者は、イベントを発生させたユーザーがあらかじめ設定されます。これはデフォルトで「オフ」になっており、アラート (メールのみ) を送信するには「オン」に切り替える必要があります。
受信者に通知が過剰に届かないよう、アラートはデフォルトで抑制されます。
アラート頻度が「毎回」の場合、イベントはすべて転送されますが、同時に発生した同一タイプのイベントは重複排除されます。そのため、複数レコードの削除など一括操作や同時に起きた操作では、通知は1件のみとなります。
さらに抑制する場合は、別のアラート頻度を設定できます。たとえば、頻度を「期間中に1回」にし、期間を1時間に設定すると、アラートフィルタに一致するイベントはいずれもアラートの「発生」として扱われますが、メッセージは前回送信から1時間経過した場合にのみ送られます。トグルスイッチでアラートを一時停止する方法もあります。一時停止中も「発生」は蓄積されますが、実際のメッセージは送信されません。再開後、フィルタに一致する次のイベントでメッセージが送られ、一時停止中に発生したイベント件数が含まれます。
以下は、メールでのアラートの例です。
アラート履歴は、**「送信済みアラート」**タブで閲覧できます。個々のアラートの詳細も確認できます。
外部のSIEMログ
サードパーティのSIEMソリューションを利用している場合、Keeper管理コンソールを構成してライブのイベントデータを外部のSIEM製品へ自動的に送れます。現在対応しているシステムは以下のとおりです。
Azure Monitor (Microsoft Sentinel向け)
イベントデータはKeeperのサーバーから接続先のSIEMコレクタへ送信されます。外部連携の方式は、同時に1つだけ有効にできます。
[セットアップ] をクリックして、外部ログを有効にします。 各ソリューションのセットアップは容易で、通常は統合に必要な属性は少数です。
イベントタイプ
管理コンソール内のデフォルトの「最近のアクティビティ」レポートには、16種類のイベントタイプが含まれています。Keeperのレポート・アラートモジュールでは、200種類を超えるイベントタイプに対応しています。
Keeperエンタープライズによって検出されるイベントは、レポートとアラートの画面のドロップダウンメニューから閲覧できます。
BreachWatch関連イベントを有効にする
デフォルトでは、エンドユーザー端末のBreachWatch関連イベントは収集されず、レポート・アラートモジュールには転送されません。 これらのイベントは、ロールポリシーを介して管理します。この機能を有効にするには、[管理者] 画面から[ロール] > [強制ポリシー] > [ボルト機能] に移動し、[BreachWatch関連イベントをレポート＆アラートおよび接続済み外部ログシステムへ送信] をONに切り替えます。
イベント情報
以下の表は、Keeperのレポート・アラートモジュールで検出されるイベントの一覧です。イベントコードは、ユーザーインターフェースおよびKeeperコマンダーCLIコマンドパラメータ内で使用されます。「メッセージ」フィールドは、アラートモジュールに使用されます。
各イベント内には、レコードUID、共有フォルダUID、チームUID、ユーザー名などの属性が存在する場合があります。これらの属性はイベントメッセージに表示され、サードパーティSIEMプロバイダにも指定された形式で送信されます。
生イベントデータの例
以下は、JSON形式で送信された2つのイベントの例です。「record_update」イベントは特定のレコードに関係するため、レコードUIDが表示されています。
以下は、Syslog形式のイベントの例です。Keeperコマンダーを介してエクスポートしたり、サードパーティ製のSIEMソリューションにエクスポートしたりできます。
「enterprise_id」は、同じSIEMコレクタ内にあるさまざまなKeeperエンタープライズのテナントを区別するのに役立ちます。
レコードUIDなどの識別子を検索
イベントデータでは、レコードUID、共有フォルダUID、チームUIDなどのさまざまなタイプのUID値が参照されています。レコードUIDと共有フォルダUIDについては、KeeperコマンダーCLIまたはウェブボルトから確認できます。
SIEMおよびアラート設定の変更を制限する
Keeperのイベントログは改ざんできません。また、Keeper管理者が既存のSIEMまたはアラート設定を変更できないように、バックエンドでロックダウンを適用するようリクエストすることもできます。有効化すると、設定変更には異なる2名のKeeper管理者による承認が必要になります。SIEMおよびアラート設定のロックダウンをリクエストするには、Keeperチームへサポートチケットを作成してください。
コマンダーCLI
KeeperコマンダーCLIを使用すると、コマンドラインとSDKをKeeperのレポートシステムに統合し、高度な用途に対応できます。そのため、イベントデータを実用的なレポートの生成に使用できます。
詳細については、以下のレポート関連コマンドをご参照ください。
最終更新