Infoscience Corporation
www.infoscience.co.jp[email protected] Tel: 03-5427-3503 Fax: 03-5427-3889
- Logstorage ELC Analytics -
ご紹介資料
インフォサイエンス株式会社
プロダクト事業部
インフォサイエンス株式会社 概要
設立
1995
年10月
代表者
宮 紀雄
事業内容
•
パッケージソフトウェア「Logstorage」シリーズの開発
•
データセンタ運営
•
受託システム開発サービス
•
包括システム運用サービス
所在地
東京都港区芝浦2丁目4番1号 インフォサイエンスビル
＜開発から運用までの業務フェーズ概要＞
システム運用から生まれたパッケージソフトウェア
Logstorage
シリーズ
「ELC Analytics」は統合ログ管理市場で6年連続No.1のシェアを誇る「Logstorage」の
エンジン、ユーザインターフェースを継承しつつ、サーバログの管理に特化する事で圧倒
的なコストパフォーマンスを実現した「サーバログ管理ツール」です。
あらゆるログを統合管理
サーバログの監視・分析
・OS
・PC操作
・サーバ操作
・複合機
・運用監視
・データベース
・DB監査ツール
・メール
・ネットワーク機器
・アンチウィルス
・認証
・Web・プロキシ
・ストレージ
・その他
6
年連続 国内シェアNo.1
(*)
サーバログの管理機能がオールインワン
[
主なログ収集対象]
[
ログ収集対象]
・Windows Server イベントログ
・NetApp ONTAPイベントログ
・NetApp ステータスログ
・EMC VNX/DART イベントログ
・VMware vSphere/vCenter イベントログ
ELC Analytics
とは
ELC Analytics はサーバのアクセスログやステータスログを「収集・解析」「保管」「検索・分析」
「レポート」するための、サーバログ管理ツールです。セキュリティ対策、システム監査などの他、
ストレージ・リソースの利用状況の把握など、幅広く活用することができます。
複雑なログを見やすく
膨大なログを圧縮保管
データベース不要
ストレージの利用効率も向上
多くのログ管理製品ではRDBMSを外部に用意する必要
があり、ライセンス上、また性能上の問題を抱えている
事が少なくありません。
ELC Analytics
は「LogDB」を内部で使用しており、外
部にRDBMSなどを必要としません。
OS
のイベントログは複雑で、そのままの形で保管して
も、それを分析する事は極めて困難です。
ELC Analytics
はイベントログを変換し「誰が」「いつ
」「何に対して」「何をしたか?」という、実際のユー
ザ操作に変換することが可能です。
ログは膨大な量になりやすく、その保管は頭の痛い問題
です。ELC Analyticsは、独自開発したログ専用のデータ
ベース「LogDB」を内部で使用しており、高い圧縮率で
ログを保管しつつ、高速な検索・分析を行うことが可能
です。
NetApp
ストレージ向けに「ステータスコレクタ機能」
を持っています。これは、NetAppストレージのリソー
ス使用状況を収集・管理する機能で、ストレージの適切
なリソース配分を行い、利用効率を劇的に改善すること
が可能です。
ELC Analytics
によるイベントログ解析
イベントログは、そのままの形式では内容の理解が非常に困難です。例えば、Windows OS上で1度ファイ
ルをオープンしただけで、10レコード以上のログが出力される事があります。
イベントログを正しく管理・監査する為には、ユーザの操作とログを結びつける解析処理が必須です。
生ログは読めない・・・
ELC Analytics
は複雑なログを解析し、人間が見て理解できる形式に変換します
日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 成功／失敗2013-03-01 00:00:00 FS01 ファイル読み込み infoscience yamada D:¥common¥ 顧客リスト.xls 成功 2013-03-01 01:00:00 FS01 ファイル書き込み infoscience yamada D:¥common¥ 顧客リスト.xls 成功 2013-03-01 02:00:00 FS01 ファイルリネーム infoscience yamada D:¥common コピー ～ 顧客リスト.xlsx －
日時 サーバ名 アクション ドメイン名 ユーザ 接続元ホスト名 接続元IPアドレス 成功／失敗
2013-03-01 00:00:00 FS01 ログオン
（ローカル認証） infoscience yamada － － 成功
2013-03-01 01:00:00 FS01 ログオン
Logstorage ELC Analytics
機能
- 検索
- 集計
- レポート
ELC Analytics
のシステム構成
収集・解析
保管
・ログの圧縮保存／高速検索機能
・ログの暗号化／改ざんチェック機能
・ログの自動アーカイブ機能
分析
・ログの検索／集計／レポート
・検索結果からクリック操作による絞込み
・レポートの定期自動出力
・エージェントレス(非常駐プログラム)
による自動ログ収集機能
・イベントログの解析／変換機能
検索機能
・ログの高速検索
・ログの追跡機能
-
クリック操作によるログの絞込み
-
検索結果画面のカスタマイズ機能
・検索条件設定・保存機能
-
パターン化された検索条件を定型化
・特定のログをハイライトして表示
ログの検索・追跡
＜検索条件設定画面＞
追跡したいユーザを
クリック操作で絞り込み
＜ログの追跡例＞
クリック
集計機能
•
集計項目を指定し、自由なログ分析が可能
•
集計結果のトップ10 の出力や、閾値を設定した出力などが可能
•
集計結果を表形式またはグラフ形式（折れ線／棒／円／2軸）により可視化
•
集計条件を保管して作業を定型化、集計結果のCSVダウンロードが可能
ログの分析
＜集計条件設定画面＞
＜集計結果例＞
レポート機能
• 1
時間/1日/1週間/1か月毎の定期レポート出力可能
• PDF/HTML/CSV/XML
等のフォーマットで出力可能
•
生成されたレポートを自動的にメールに添付して送信可能
自動レポート出力
＜レポート出力設定画面＞
＜レポート例＞
グループ／ユーザ管理機能
グループ・ユーザ単位でのアクセス制御
・検索／集計／レポート機能の使用権限をグループ／ユーザ単位で設定可能
・ログ収集対象／アプリケーション毎にアクセス権限を設定可能
・Logstorage上のユーザとLDAP/ADで管理されているユーザの連携が可能
＜アクセス制御／機能＞
＜アクセス制御／ログ収集対象＞
＜アクセス制御／アプリケーション＞
取得対象ログ（イベントログ）
ログ収集～保存の流れ - Windowsイベントログ
ELC Analytics
サーバ
Windows
LogDB
イベントログ
変換後ログ
変換処理
イベントログ
・監査ログ出力設定を行う
・ELC Analytics により配置されるプログラムに
より、イベントログを定期的にコピー転送する
ELC Analyticsサーバ上の共有フォルダ にイベントログを定期的にコピー転送ログの収集処理はWindows Server側に配置されるプログラム（非常駐型）により行わ
れます。イベントログは定期的にELC Analyticsサーバ上に転送され、ログの解析・保管
が行われます。
【ログ収集のイメージ】
原本としての生ログ、分析用の変換後ログの両方を保管
最大10分の1に圧縮し、高速検索・分析を実現
ログ収集～保存の流れ - NetAppイベントログ
ELC Analytics
サーバ
NetApp
ストレージ
LogDB
イベントログ
変換後ログ
変換処理
イベントログ
原本としての生ログ、分析用の変換後ログの両方を保管
最大10分の1に圧縮し、高速検索・分析を実現
・監査ログ出力設定を行う
・CIFS Audit Save によりログを出力
① sshを使用してCIFS Audit Save を実行
② 出力されたイベントログをコピー転送で収集
ログの収集処理はELC Analyticsサーバの指示によって実行されます。NetAppストレージ
上に出力されたイベントログを定期的にコピー転送します。
【ログ収集のイメージ】
ログ収集～保存の流れ - EMCイベントログ
ログの収集処理はELC Analyticsサーバの指示によって実行されます。EMCストレージ上
に出力されているイベントログをネットワーク経由で読み出します。
ELC Analytics
サーバ
EMC
ストレージ
LogDB
イベントログ
変換後ログ
変換処理
イベントログ
「Celerra Data Mover Security Management
Console
」を使用し、監査ログ出力設定を行う
定期的に監査ログを取得
【ログ収集のイメージ】
原本としての生ログ、分析用の変換後ログの両方を保管
最大10分の1に圧縮し、高速検索・分析を実現
EMC
ストレージ
取得できるログ –
Windows/NetApp/EMC
イベントログ
日時 サーバ名 アクション ドメイン名 ユーザ 接続元ホスト名 接続元IPアドレス 成功／失敗
2013-03-01 00:00:00 FS01 ログオン（ローカル認証） infoscience yamada － － 成功 2013-03-01 01:00:00 FS01 ログオン（リモート認証） infoscience yamada YAMADA-WORK 192.168.0.1 成功
2013-03-01 02:00:00 FS01 ログオフ infoscience yamada － － －
「いつ」「誰が」Windows認証を行ったかを記録します。
日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 成功／失敗
2013-03-01 00:00:00 FS01 ファイル読み込み infoscience yamada D:¥common¥ 顧客リスト.xls 成功 2013-03-01 01:00:00 FS01 ファイル書き込み infoscience yamada D:¥common¥ 顧客リスト.xls 成功 2013-03-01 02:00:00 FS01 ファイルリネーム infoscience yamada D:¥common コピー ～ 顧客リスト.xlsx － 2013-03-01 03:00:00 FS01 ファイル削除 infoscience yamada D:¥common コピー ～ 顧客リスト.xlsx 成功
「いつ」「誰が」ファイルにアクセスしたかを記録します。
日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 プロセスID 親プロセスID
2013-03-01 00:00:00 FS01 アプリケーション起動 infoscience yamada C:¥Program Files¥Adobe¥Reader 11.0¥Reader¥ AcroRd32.exe 6120 4508 2013-03-01 00:10:00 FS01 アプリケーション終了 Infoscience yamada C:¥Program Files¥Adobe¥Reader 11.0¥Reader¥ AcroRd32.exe 6120 －
「いつ」「誰が」どのようなアプリケーションを実行したかを記録します。
Windows NetApp EMC認証ログ
ファイルアクセスログ
アプリケーション実行ログ
Windows NetApp EMC
取得できるログ –
Windows/NetApp/EMC
イベントログ
日時 サーバ名 アクション ドメイン名 ユーザ 元の時刻 新しい時刻 2013-03-01 00:00:00 FS01 時刻の変更 infoscience yamada 13:14:01 2013/03/19 13:14:20 2013/03/19 日時 サーバ名 アクション ドメイン名 ユーザ 2013-03-01 00:00:00 FS01 セキュリティイベントログの消去 infoscience yamada 日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 実行設定 2013-03-01 00:00:00 FS01 スケジューラーへのタスクの登録、編集 infoscience yamada D:¥DataExchange¥ DataExchange.bat 設定日: 2013/03/19, 開始時刻: 2:00 間隔: 毎日, .
日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 登録名
2013-03-01 00:00:00 FS01 新しいサービスの登録 NT AUTHORITY SYSTEM C:¥Program
Files¥LogstorageAgentDotNet¥
AgentDotNetService.exe AgentDotNetService
Windows EMC
Windows NetApp EMC
Windows Windows
設定変更ログ／時刻の変更
設定変更ログ／セキュリティイベントログの消去
設定変更ログ／スケジューラへのタスク登録、編集
設定変更ログ／新しいサービスの登録
「いつ」「誰が」システム時刻を変更したのかを記録します。
「いつ」「誰が」セキュリティイベントログを消去したのかを記録します。
「いつ」「誰が」どのような内容でスケジューラにタスクを登録したのかを記録します。
どのような内容で新しいサービスを登録したのかを記録します。
日時 サーバ名 アクション ドメイン名 ユーザ 操作の詳細
2013-03-01 00:00:00 FS01 管理者操作 infoscience Administrator ユーザーアカウントの作成： FS01¥TEST_USER 2013-03-01 01:00:00 FS01 管理者操作 infoscience Administrator ユーザーアカウントの変更： FS01¥USER_A 2013-03-01 02:00:00 FS01 管理者操作 infoscience Administrator ユーザーアカウントの削除： FS01¥TEST_USER 2013-03-01 03:00:00 FS01 管理者操作 infoscience Administrator グループの作成： FS01¥GROUP_A
2013-03-01 04:00:00 FS01 管理者操作 infoscience Administrator グループの変更： FS01¥GROUP_A 2013-03-01 05:00:00 FS01 管理者操作 infoscience Administrator グループの削除： FS01¥GROUP_A
2013-03-01 06:00:00 FS01 管理者操作 Infoscience Administrator グループにユーザの追加： Builtin¥AdministratorsにFS01¥TEST_USERが追加された 2013-03-01 07:00:00 FS01 管理者操作 Infoscience Administrator グループのユーザの削除： Builtin¥AdministratorsのFS01¥TEST_USERが削除された 2013-03-01 08:00:00 FS01 管理者操作 infoscience Administrator ポリシー設定の変更： 監査ポリシーの変更
「ユーザの新規登録」や「ポリシー変更」など、特権管理者しか行えない操作履歴を記録します。
Windows NetApp EMC取得できるログ –
Windows/NetApp/EMC
イベントログ
管理者操作ログ
日時 サーバ名 アクション ドメイン名 ユーザ 印刷対象 プリンタ名
2013-03-01 00:00:00 FS01 プリント infoscience yamada D:¥common¥顧客リスト.xls LBP9600C
「いつ」「誰が」「どのファイルを」印刷したのかを記録します。
Windows日時 サーバ名 アクション ドメイン名 ユーザ ファイルパス ファイル名 プロセスID ポート番号 プロトコル
2013-03-01 05:00:00 FS01 ポート許可 NT AUTHORITY SYSTEM C:¥Program
Files¥VMware¥VMware Player¥
vmware-authd.exe 2648 902 TCP
2013-03-01 06:00:00 FS01 ポート拒否 NT AUTHORITY SYSTEM C:¥WINDOWS¥system32¥ lsass.exe 1536 500 UDP
Windows
ファイアウォールの設定変更の内容を記録します。
取得できるログ –
Windows/NetApp/EMC
イベントログ
Windows
ファイアウォールの変更ログ
Windows 日時 サーバ名 アクション ドメイン名 ユーザ 詳細 2013-03-01 00:00:00 FS01 有効化 NT AUTHORITY SYSTEM 新しい設定: 操作モード: 有効 元の設定: 操作モード: 無効 2013-03-01 01:00:00 FS01 無効化 NT AUTHORITY SYSTEM 新しい設定: 操作モード: 無効 元の設定: 操作モード: 有効2013-03-01 02:00:00 FS01 ルール作成 NT AUTHORITY SYSTEM 新しい設定: 名前: Syslog(TCP) ポート番号: 5140 プロトコル: TCP 状態: 有効 スコープ: すべてのサブ ネット
2013-03-01 03:00:00 FS01 ルール変更 NT AUTHORITY SYSTEM 新しい設定: 名前: Syslog(TCP) ポート番号: 5140 プロトコル: TCP 状態: 有効 スコープ: ローカル サブ ネットのみ 元の設定: 名前: Syslog(TCP) ポート番号: 5140 プロトコル: TCP 状態: 有効 スコープ: すべて のサブネット
2013-03-01 04:00:00 FS01 ルール削除 NT AUTHORITY SYSTEM 新しい設定: 名前: - ポート番号: - プロトコル: - 状態: - スコープ: - 元の設定: 名前: Syslog(Logstorage) ポート番号: 5140 プロトコル: TCP 状態: 有効 スコープ: すべてのサブネット
<
ファイアウォールルールの有効化・無効化／ルール作成・変更・削除＞
取得できるログの一覧 - Windows/NetApp/EMC
操作
ログオフ
○
○
○
ログオン（リモート認証）
○
○
○
ログオン（ローカル認証）
○
○
○
アプリケーション起動・終了
○
－
－
ファイル読込み
○
○
○
ファイル書込み
○
○
○
ファイル削除
○
○
○
ファイルリネーム
○
○
○
プリント
○
－
－
セキュリティイベントログの消去
○
○
○
時刻の変更
○
－
○
スケジューラーへのタスクの登録、編集
○
－
－
新しいサービスの登録
○
－
－
Windowsファイアウォールのルール作成・変更・削除
○
－
－
Windowsファイアウォールの有効化・無効化
○
－
－
Windowsファイアウォールのポート許可・拒否
○
－
－
管理者操作
○
○
○
取得対象ログ（イベントログ以外）
ログ収集～保存の流れ – NetAppステータス
ログの収集処理はELC Analyticsサーバの指示によって実行されます。HTTP/HTTPSに
より、NetAppストレージのステータス情報を収集します。
ELC Analytics
サーバ
NetApp
ストレージ
LogDB
ステータスログ
ステータスログを分析しやすい形に意味付けし、LogDBに保管
・HTTP/HTTPSによる管理者アクセスを有効に
し、ステータス情報を収集可能にします。
HTTP/HTTPS
によりステータス情報を収集
【ログ収集のイメージ】
NetApp
ストレージ
取得できるログ – NetAppステータス
アグリゲート
(Aggregate)
name
size-total
files-total
size-used
size-percentage-used
size-available
files-used
files-private-used
state
mount-state
mirror-status
raid-status
ボリューム
(Volume)
name
size-total
files-total
size-used
percentage-used
size-available
files-used
files-private-used
state
raid-status
mirror-status
containing-aggregate
クオータ
(Quota)
quota-type
quota-target
quota-user-name
quota-user-id
tree
volume
disk-used
disk-limit
soft-disk-limit
threshold
files-used
file-limit
soft-file-limit
システム
(System)
sys_read_latency (average)
sys_write_latency (average)
sys_avg_latency (average)
net_data_recv (rate)
net_data_sent (rate)
disk_data_read (rate)
disk_data_written (rate)
cpu_busy (percent)
avg_processor_busy (percent)
total_processor_busy (percent)
NetApp
ステータスレポート
アグリゲート上の容量のボリュームへの割り当ては適切か？
ストレージの無駄な使用実態は無いか?
いつ頃ストレージの拡張が必要になるのか?
(
ストレージプール)
アグリゲート
ボリューム 200GB 使用率:50% ボリューム 300GB 使用率:90%一部開放
追加確保
＜ステータス分析による改善例＞
NetApp
ステータスレポート
・アグリゲート／ボリューム／クォータ毎の使用容量の把握が可能
・ストレージのCPU／メモリ／ネットワーク／IOの状況の把握が可能
ボリューム 550GB 使用率:50% ボリューム 250GB 使用率:50% ボリューム 500GB 使用率:25%＜ステータスレポート例＞
ログ収集～保存の流れ – VMwareイベント
ログの収集処理はELC Analyticsサーバの指示によって実行されます。Webサービスを
利用してVMwareサーバ上のイベントログを収集します。
ELC Analytics
サーバ
VMware
サーバ
LogDB
イベント
最大10分の1に圧縮して保管、高速検索・分析を実現
デフォルトで利用可能になっているWebサービス
を利用してイベントを収集します。
Web
サービスを利用してイベントを収集
【ログ収集のイメージ】
取得できるログ - VMware
タイムスタンプ サーバ アクション イベントクラス データセンター ホスト ターゲット ユーザー タイプ 説明 2013/03/31 00:00:00 ESX01 セッション イベント UserLoginSession Event 10.0.0.1 192.168.0.1 192.168.0.1 root 情報 ユーザー [email protected] がログイ ンしました 2013/03/31 00:00:00 ESX01 アラーム イベント AlarmCreated Event ー ー ー ー 情報 データセンター 上で作成されたアラー ム「ストレージに接続できません」 2013/03/31 00:00:00 ESX01 クラスタ イベント ClusterCreated Event10.0.0.1 ー ClusterTest Administrator 情報 10.0.0.1 のクラスタ ClusterTest での HA フェイルオーバー レベルに十分な リソースがありません 2013/03/31 00:00:00 ESX01 データストア イベント DatastoreDestroyed Event 10.0.0.1 ー ー Administrator 情報 未構成データストア datastore1 が削除 されました 2013/03/31 00:00:00 ESX01 データセンター イベント DatacenterCreated Event 新規データセンター ー ー Administrator 情報 データセンター 新規データセンター がフォルダ データセンター に作成さ れました 2013/03/31 00:00:00 ESX01 ホスト イベント HostAddedEvent 10.0.0.1 192.168.0.1 192.168.0.1 Administrator 情報 ホスト192.168.0.1がデータセンター10.0.0.1に追加されました 2013/03/31 00:00:00 ESX01 リソースプール イベント ResourcePool DestroyedEvent
10.0.0.1 ー ClusterTest Administrator 情報 10.0.0.1 の ClusterTest のリソース プール pool_test が削除されました 2013/03/31 00:00:00 ESX01 仮想マシン イベント VmPoweredOn Event 10.0.0.1 192.168.0.1 10.0.0.1 Administrator 情報 10.0.0.1の192.168.0.1がパワーオン状 態です 2013/03/31 00:00:00 ESX01 許可 イベント PermissionAdded Event ー ー ー Administrator 情報 データセンター の Users の権限が作成 されました。ロールは ネットワーク消 費者、伝達は 有効 です。
