3 監査収集プラグイン

この章では、監査収集プラグインおよびその作成方法について説明します。

この章の項目は次のとおりです。

監査収集プラグインについて
マッパー・ファイルについて
データベース表の収集プラグイン
XMLファイルの収集プラグイン
セキュア・ターゲットの収集属性
監査データの前処理

3.1 監査収集プラグインについて

収集プラグインは、コードの記述を必要とせずにデータベース表またはXMLファイルの監査証跡に格納されている監査データを取得できます。

収集プラグインは、テンプレートベースの汎用コレクタです。ユーザーはマッパー・ファイルを指定して、証跡から監査データを収集する必要があります。

Audit Vault Serverフィールドへのセキュア・ターゲット・フィールドのマッピング情報、およびセキュア・ターゲット・タイプと監査証跡の他の詳細を指定するXMLマッパー・ファイルを準備することで、収集プラグインが作成されます。モデルXMLマッパー・ファイルは、「データベース表の収集プラグインのマッパー・ファイル」および「XMLファイルの収集プラグインのマッパー・ファイル」で説明されています。

このプロセスは、コーディングの必要はありません。Audit Vaultは、マッパー・ファイルの解釈に必要なすべてのコードを含み、それらを使用して監査証跡から監査データを適切に収集します。

収集プラグインは、2つのタイプの監査証跡をサポートします。

データベース表: データベース表の収集プラグインは、マッパー・ファイルの情報を使用して、監査表から監査データを収集できます。
XMLファイル: XMLファイルの収集プラグインは、マッパー・ファイルの情報を使用して、単一のディレクトリに存在するXML監査ファイルから監査データを収集できます。

データベース表またはXMLファイル証跡の収集プラグインを使用するには、次の手順を実行します。

セキュア・ターゲットの監査証跡のXMLマッパー・ファイルを作成します。この章では、一般的なマッパー・ファイルを説明し、「データベース表のマッパー・ファイルの作成」および「XMLファイルの監査収集のマッパー・ファイルの作成」で作成に重点を置いて説明します。
このセキュア・ターゲット・タイプのplugin-manifestファイルを作成します。「プラグイン・マニフェスト・ファイルの説明」を参照してください。
マッパー・ファイルおよびplugin-manifestファイルをパッケージ化して、収集プラグインを作成します。第4章「監査収集プラグインのパッケージ化」を参照してください。

セキュア・ターゲットおよびそのセキュア・ターゲットに必要な収集属性を追加した後に、Audit Vault Serverでこの収集プラグインをデプロイし、これを使用して監査データを収集できます。「セキュア・ターゲットの収集属性」を参照してください。

3.2 マッパー・ファイルについて

マッパー・ファイルは、主に監査証跡から収集する必要があるセキュア・ターゲット・フィールド、およびこれらのセキュア・ターゲットのAudit Vault Serverフィールドへのマップ方法の情報を含むXMLファイルです。マッパー・ファイルはセキュア・ターゲット・タイプに固有で、securedTargetTypeやsecuredTargetVersionなどのセキュア・ターゲット情報を含みます。

マッパー・ファイルには次のような詳細情報を記述します。

サポートされているセキュア・ターゲット名およびセキュア・ターゲット・バージョン。
セキュア・ターゲット・フィールドからAudit Vault Serverフィールドへのマッピング情報。
各監査レコードを一意に識別するマーカーを作成するセキュア・ターゲット・フィールド。
監査証跡タイプがデータベース表である場合の監査表およびデータソース・クラス名。
監査証跡タイプがXMLファイルである場合のイベント時間のタイムスタンプ形式。

収集プラグインの一部としてマッパー・ファイルをパッケージ化します。プラグインのパッケージ化プロセス時に、マッパー・ファイルをtemplatesフォルダに配置します。「監査収集プラグインのディレクトリ構造」を参照してください。

3.3 データベース表の収集プラグイン

データベース表の収集プラグインは、表タイプの証跡からの監査データの収集をサポートします。単一の監査表から監査データを収集します。マッパー・ファイルで監査表の詳細を指定できます。これらのマッパー・ファイルは、「データベース表の収集プラグインのマッパー・ファイル」に示したスキーマに準拠する必要があります。

この項の項目は次のとおりです。

データベース表の収集プラグインの要件
データベース表の収集プラグインの監査証跡の例
データベース表のマッパー・ファイルの作成

3.3.1 データベース表の収集プラグインの要件

次の基準を満たしている場合、セキュア・ターゲットのデータベース表から監査証跡を読み取るためのデータベース表の収集プラグインを使用できます。

監査データは、単一のデータベース表に格納する必要があります。
セキュア・ターゲット・システムには、この表に格納されている監査データを読み取る権限を持つユーザーが存在します。
監査表の列を様々なAudit Vaultコア・フィールドおよびラージ・フィールドにマップできます。

また、単一または複数のフィールドを拡張およびマーカー・フィールドにマップできます。Audit Vaultコア・フィールド、拡張フィールドおよびマーカー・フィールドにマップされるフィールドは、Stringデータ型であるか、Stringに変換できる必要があります。CLOBなどのラージ・データ型は使用できません。CLOBデータ型を指定した列は、CommandTextやCommandParamなどのAudit Vaultラージ・フィールドを使用する必要があります。
監査証跡は、CommandClass Audit Vaultコア・フィールドにマップされるフィールドを含む必要があります。

CommandClassコア・フィールドの値は、NULL以外である必要があります。NULLである場合、レコードが無効なレコードとみなされるため、適切なマッピングを指定する必要があります。
監査ファイルは、UserNameコア・フィールドにマップできるフィールドを持つ必要があります。レコードがNULLのUserNameフィールドを持つ場合、レコードは無効とみなされます。
収集プラグインは、ラージ・フィールドの発行されたコマンドのテキストおよびコマンドに渡されるパラメータを収集できます。他のフィールドはAVDFのラージ・フィールドにマップできません。
監査証跡は、単調に増加する、つまり新しい監査レコードが証跡に挿入されるたびにフィールドの値が増加するタイプTimestampのフィールドを含む必要があります。このフィールドはマッパー・ファイルのEventTimeUTCコア・フィールドにマップする必要があります。任意の監査レコードでこのフィールド値がNULLになると、コレクタは異常な状況とみなして停止します。
監査証跡は、各監査レコードを一意に識別する単一の列または列のグループを含む必要があります。

付録B「スキーマ」のスキーマを参照してください。

3.3.2 データベース表の収集プラグインの監査証跡の例

この項には、章全体でサンプルのマッパー・ファイルの作成および構造を示すために使用される監査証跡の列の詳細が含まれます。

表3-1に、表AUDの監査データを生成および格納する仮のセキュア・ターゲット・タイプDBSOURCEの構造を示します。

表3-1 AUD監査表データ・フィールドおよびマッピング

セキュア・ターゲット・フィールド	データ型	Audit Vault Serverフィールド	マップするフィールド・タイプ
`USER_ID`	`varchar`	`UserName`	コア・フィールド
`OS_USER_ID`	`varchar`	`OSUserName`	コア・フィールド
`ACTION`	`int`	`CommandClass`	コア・フィールド
`STATUS`	`int`	`EventStatus`	コア・フィールド
`EVENT_TIME`	`timestamp`	`EventTimeUTC`	コア・フィールド
`OBJ_NAME`	`varchar`	`TargetObject`	コア・フィールド
`OBJ_CREATOR`	`varchar`	`TargetOwner`	コア・フィールド
`USER_HOST`	`varchar`	`ClientHostName`	コア・フィールド
`SQL_TEXT`	`clob`	`CommandText`	コア・フィールド
`SQL_BIND`	`clob`	`CommandParam`	コア・フィールド
`TERMINAL`	`varchar`	拡張フィールド	拡張フィールド
`DB_ID`	`varchar`	拡張フィールド	拡張フィールド
`INSTANCE`	`varchar`	拡張フィールド	拡張フィールド
`PROCESS`	`int`	拡張フィールド	拡張フィールド
`SESSION_ID`	`int`	マーカー・フィールド	マーカー・フィールド
`ENTRY_ID`	`int`	マーカー・フィールド	マーカー・フィールド

すべてのセキュア・ターゲット・フィールドがコア・フィールドにマップされるわけではありません。コア・フィールドにマップされないセキュア・ターゲット・フィールドは、拡張フィールドまたは監査レコードの一意性をテストする、指定したマーカー・フィールドにマップされます。

3.3.3 データベース表のマッパー・ファイルの作成

この項では、データベース表の収集プラグインのXMLマッパー・ファイルの作成方法について説明します。このタイプのマッパー・ファイルに使用される各XML要素および属性について簡単に説明します。第A.1項「AVDFフィールド」で、すべてのフィールドの説明を読むことができます。

3.4 XMLファイルの収集プラグイン

XMLファイルの収集プラグインは、XMLファイル・タイプの証跡からの監査データの収集をサポートします。これらのXML監査ファイルは、すべて単一のディレクトリに存在する必要があります。マッパー・ファイルでXML監査データの詳細を指定できます。このXMLマッパー・ファイルは、スキーマ「XMLファイルの収集プラグインのマッパー・ファイルのスキーマ」に準拠する必要があります。

この項の項目は次のとおりです。

XMLファイルの収集プラグインの要件
XMLファイルの収集プラグインの監査証跡の例
XMLファイルの監査収集のマッパー・ファイルの作成

3.4.1 XMLファイルの収集プラグインの要件

XMLファイルが次の基準を満たしている場合、XML監査レコード・ファイルから監査証跡を読み取る収集プラグインを使用できます。

監査証跡は、単一のディレクトリ・パスの1つ以上のXMLファイルに格納する必要があります。
ユーザーは、XML監査ファイルを含むディレクトリの読取り権限を持つ必要があります。
このディレクトリのXMLファイルは、有効な正しい形式のXMLドキュメントである必要があります。
ファイルおよびレコード開始要素は、マッパー・ファイルで指定されたとおりである必要があります。
すべての監査レコード要素は、監査XMLファイルの同じレベルである必要があります。
監査XMLファイルのすべての監査レコード要素は同じである必要があります。
各監査レコード要素下では、すべてのフィールド要素が同じレベルであるか、監査レコード開始要素の1つ下のレベルである必要があります。
XML監査ファイルは、CommandClassコア・フィールドにマップできる要素値を持つ必要があります。レコードがNULLのCommandClassフィールドを持つ場合、レコードは無効とみなされます。
XML監査ファイルは、UserNameコア・フィールドにマップできる要素値を持つ必要があります。レコードがNULLのUserNameフィールドを持つ場合、レコードは無効とみなされます。
XMLファイルでは、各監査レコードは、要素値のいずれかとしてタイムスタンプを持つ必要があります。

タイムスタンプ要素の値は、単調に増加する、つまりフィールドの値が新しい監査レコードが証跡に挿入されるたびに増加する必要があります。タイムスタンプ値は、必ずNot Nullである必要があります。タイムスタンプ形式は、SimpleDateFormat Javaクラスに従う必要があります。

このフィールドはマッパー・ファイルのEventTimeUTCコア・フィールドにマップする必要があります。イベント時間のマッピングがマッパー・ファイルに指定されていないか、監査レコードのイベント時間のフィールド値でNULLが検出される場合、収集プラグインが停止します。
監査証跡は、XML監査ファイルの各監査レコードを一意に識別する監査レコードの単一の要素値または要素値のグループを含む必要があります。
XMLファイルのすべての監査レコードで共有される共通情報は、監査レコード要素と同じレベルのファイル開始要素の下にあるXMLファイルの先頭に存在する必要があります。
監査データのセキュア・ターゲットが複数のXML形式を持つ監査ファイルを作成する場合、ユーザーは、異なる開始要素を持つ各監査ファイル形式の個別のマッパー・ファイルを指定する必要があります。

3.4.2 XMLファイルの収集プラグインの監査証跡の例

この項には、章全体でXMLファイルの収集プラグインのサンプルのマッパー・ファイルの作成および構造に使用される監査証跡の例が含まれます。

例3-1 XML監査レコードのサンプル

<?xml version="1.0" encoding="UTF-8"?>
<Audit>
    <AuditRecord>
        <Audit_type>1</Audit_type>
        <User_id>scott</User_id>
        <Os_user_id>usr1</Os_user_id>
        <Action>select</Action>
        <Status>0</Status>
        <Event_time>2010-11-11 12:23:59.166</Event_time>
        <Obj_name>emp</Obj_name>
        <Terminal>t1</Terminal>
        <Db_id>136</Db_id>
        <Session_id>170191</Session_id>
        <Entry_id>1</Entry_id>
    </AuditRecord>
    <AuditRecord>
        <Audit_type>3</Audit_type>
        <User_id>scott</User_id>
        <Os_user_id>usr1</Os_user_id>
        <Action>delete</Action>
        <Status>1</Status>
        <Event_time>2010-11-11 12:33:59.166</Event_time>
        <Obj_name>emp</Obj_name>
        <Terminal>t1</Terminal>
        <Db_id>136</Db_id>
        <Session_id>170191</Session_id>
        <Entry_id>2</Entry_id>
    </AuditRecord>
</Audit>

表3-2に、XML監査ファイルの監査データを生成および格納する仮のセキュア・ターゲット・タイプXMLSOURCEの監査レコード構造およびAudit Vault Serverフィールドへのマッピングを示します。

表3-2 XML監査レコードの監査データ・フィールドおよびマッピング

セキュア・ターゲット・フィールド	Audit Vault Serverフィールド	マップするフィールド・タイプ
`USER_ID`	`UserName`	コア・フィールド
`OS_USER_ID`	`OSUserName`	コア・フィールド
`ACTION`	`CommandClass`	コア・フィールド
`STATUS`	`EventStatus`	コア・フィールド
`EVENT_TIME`	`EventTimeUTC`	コア・フィールド
`OBJ_NAME`	`TargetObject`	コア・フィールド
`OBJ_CREATOR`	`TargetOwner`	コア・フィールド
`USER_HOST`	`ClientHostName`	コア・フィールド
`SQL_TEXT`	`CommandText`	コア・フィールド
`SQL_BIND`	`CommandParam`	コア・フィールド
`TERMINAL`	拡張フィールド	拡張フィールド
`DB_ID`	拡張フィールド	拡張フィールド
`INSTANCE`	拡張フィールド	拡張フィールド
`PROCESS`	拡張フィールド	拡張フィールド
`SESSION_ID`	マーカー・フィールド	マーカー・フィールド
`ENTRY_ID`	マーカー・フィールド	マーカー・フィールド

3.4.3 XMLファイルの監査収集のマッパー・ファイルの作成

この項では、XMLファイルの収集プラグインのマッパー・ファイルを作成するために従う必要があるプロセスについて説明します。完全な例は、「XMLファイルの収集プラグインの例」を参照してください。

このマッパー・ファイルの収集プラグインのマッピングを次のように指定する必要があります。

最上位要素
```
<AVXMLCollectorTemplate securedTargetType="XMLSOURCE" maxSecuredTargetVersion="11.0" 
```
```
         version="1.0">
```
AVXMLCollectorTemplateは最上位要素です。securedTargetType、maxSecuredTargetVersionおよびversion属性は必須です。minSecuredTargetVersion属性はオプションです。

minSecuredTargetVersion、maxSecuredTargetVersionおよびversion属性の受け入れられる形式は、12.2,10.3.2、11.2.3.0などのピリオドで区切られた数値を使用します。
ヘッダー情報
```
<HeaderInfo>
  <StartTag>Audit</StartTag>
</HeaderInfo>  
  
```
HeaderInfoは必須です。監査レコード・ファイルの最上位要素の名前を付ける1つの子要素StartTagを含みます。
レコード情報
```
<RecordInfo>
  <StartTag>AuditRecord</StartTag>    
</RecordInfo>
```
RecordInfoは、XML監査ファイルの監査レコードの開始要素を提供します。RecordInfoは必須です。

StartTagは、XML監査ファイルの各監査レコードの開始要素です。
フィールド・マッピング情報
```
<FieldMappingInfo>  
```
FieldMappingInfoは、子要素CoreFields、LargeFields、ExtensionFieldおよびMarkerFieldに含まれるセキュア・ターゲット・フィールドから様々なAudit Vaultフィールドへのマッピング情報を提供します。

フィールド・マッピングには、セキュア・ターゲット・フィールド名を保持する<Name>要素を含む<Map>要素およびセキュア・ターゲットがマップされるAudit Valueフィールド名を保持する<MapTo>要素が含まれます。

セキュア・ターゲット・フィールドからAudit Vault Serverフィールドへの多対1のマッピングは指定しないでください。たとえば、次の例は無効です。
```

      
```
- コア・フィールド
```
<CoreFields>
```
  CoreFieldsは、セキュア・ターゲット・フィールドからAudit Vault Serverのコア・フィールドへのマッピングを提供します。コア・フィールド・マッピングで指定されているセキュア・ターゲット・フィールドは、SQLデータ型の文字列または文字列に変換できるデータ型である必要があります。
  
  次の要素は、「コア・フィールド」で説明されているコア・フィールドを含みます。
```
<Map>
 <Name>EVENT_TIME</Name>
  <MapTo>EventTimeUTC</MapTo>
  <TimestampPattern>yyyy-MM-dd HH:mm:ss.SSS</TimestampPattern>
</Map>
```
  EventTimeUTCは、イベント時間のマッピング情報を提供します。TimestampPatternの値は、イベント時間のタイムスタンプ形式を指定します。EventTimeUTCおよびTimestampPatternは必須です。
```
<Map>
  <Name>USER_ID</Name>
  <MapTo>UserName</MapTo>
</Map>   
  
```
  UserNameは、アクションを実行したユーザーを表します。マッピングが提供されていない場合、監査データ収集は引き続き正常に開始されますが、各監査レコードは無効とみなされます。
```
<Map>
  <Name>OS_USER_ID</Name>
  <MapTo>OSUserName</MapTo>
</Map>  
    
```
```
<Map>
  <Name>ACTION</Name>
  <MapTo>CommandClass</MapTo>
</Map>  
```
  CommandClassは、イベントのアクションを表します。マッピングが提供されていない場合、監査データ収集は引き続き正常に開始されますが、すべての監査レコードは無効とみなされます。
```
        <Transformation>
          <ValueTransformation from="1" to="CREATE"/>
          <ValueTransformation from="2" to="INSERT"/>
          <ValueTransformation from="3" to="SELECT"/>
          <ValueTransformation from="4" to="CREATE"/>
          <ValueTransformation from="15" to="READ"/>
          <ValueTransformation from="30" to="LOGON"/>
          <ValueTransformation from="34" to="LOGOFF"/>
          <ValueTransformation from="35" to="ACQUIRE"/>
        </Transformation>   
  
```
  CommandClassは、セキュア・ターゲットからAudit Vault Server CommandClassフィールドへのValueTransformation値を持つTransformationフィールドを含みます。これらの変換は必須です。
  
  to属性は、「アクションおよびターゲット・タイプ」で説明するように、CommandClassフィールドの値です。イベントをこれらの値のいずれかに意味的にマップできる場合は、そうすることをお薦めします。できない場合は、監査イベントを生成したアクションを適切に反映する値を使用します。
```
<Map>
  <Name>OBJ_NAME</Name>
  <MapTo>TargetObject</MapTo>
</Map>
```
```
<Map>
  <Name>USER_HOST</Name>
  <MapTo>ClientHostName</MapTo>
</Map>
```
```
<Map>
  <Name>OBJ_CREATOR</Name>
  <MapTo>TargetOwner</MapTo>
</Map>
```
```
<Map>
  <Name>STATUS</Name>
  <MapTo>EventStatus</MapTo>
        <Transformation>          
          <ValueTransformation from="0" to="FAILURE"/>
          <ValueTransformation from="1" to="SUCCESS"/>
          <ValueTransformation from="2" to="UNKNOWN"/>
        </Transformation>
</Map>
```
  EventStatusは、セキュア・ターゲットからAudit Vault EventStatusフィールドへのValueTransformation値を持つTransformationフィールドを含みます。これらの変換は必須です。
```
</CoreFields>   
 
```
- ラージ・フィールド情報
```
<LargeFields>     
  <Map>
    <Name>SQL_TEXT</Name>
    <MapTo>CommandText</MapTo>
  </Map>
```
```
  <Map>
   <Name>COMMAND_PARAMETER</Name>
   <MapTo>CommandParam</MapTo>
  </Map>        
```
```
</LargeFields>
  
```
  LargeFieldsは、Audit Vault Serverのラージ・フィールドにマップされるセキュア・ターゲット・フィールドです。指定されたセキュア・ターゲット・フィールドは、SQLデータ型CLOBまたはStringであるか、Stringに変換できる必要があります。
  
  ラージ・フィールドは、「ラージ・フィールド」で説明されています。
- 拡張フィールド
```
<ExtensionField>      
   <Name>DB_ID</Name>
   <Name>INSTANCE</Name>
   <Name>PROCESS</Name>
   <Name>TERMINAL</Name>
</ExtensionField>  
  
```
  ExtensionFieldは、Audit Vault Serverの拡張フィールドに名前/値ペアとして格納する必要があるセキュア・ターゲット・フィールド名です。指定されたセキュア・ターゲット・フィールドは、SQLデータ型CLOBまたはStringであるか、Stringに変換できる必要があります。
  
  「拡張フィールド」を参照してください。
- マーカー・フィールド
```
<MarkerField>       
  <Name>SESSION_ID</Name>  
  <Name>ENTRY_ID</Name>
</MarkerField> 
 
```
  MarkerFieldは、各監査レコードを一意に識別するセキュア・ターゲット・フィールドのリストを含みます。指定されたセキュア・ターゲット・フィールドは、SQLデータ型CLOBまたはStringであるか、Stringに変換できる必要があります。MarkerFieldは必須です。
  
  マーカー・フィールドは、「マーカー・フィールド」で説明されています。

3.5 セキュア・ターゲットの収集属性

Audit Vault Serverに収集プラグインをデプロイしてセキュア・ターゲットを登録した後でプラグインが監査証跡から収集を開始する前に、セキュア・ターゲットの収集属性を設定する必要があります。

AVCLIコマンドALTER SECURED TARGETを使用して、収集属性を定義します。

必要なセキュア・ターゲット属性は次のとおりです。

securedTargetVersion(必須): セキュア・ターゲットの現在のバージョン。このバージョン情報により、収集プラグインのtemplatesディレクトリに複数のマッパー・ファイルがある場合、監査証跡の正しいマッパー・ファイルを選択できます。

ATCIntervalTime: 収集プラグインは、監査データが証跡から収集された最後の時間をファイルに書き込みます。この情報は、証跡から監査データをクリーンアップする一部のサード・パーティ・ユーティリティに役立ちます。収集プラグインは監査データのクリーンアップを実行せず、この情報をファイルに書き込むだけなので注意してください。ATCTimeIntervalは、収集プラグインがファイルの時間情報を更新する頻度を指定します。属性の値は分単位です。

TimeZoneoffset(必須): UTCタイムゾーンのセキュア・ターゲットのイベント時間のオフセット。これにより、コレクタがタイムゾーンを調整してイベント時間をAudit Vault Serverに正しく報告できます。イベント時間自体にタイムゾーン情報が含まれる場合、この属性はXMLファイルの収集プラグインには必要ありません。

3.6 監査データの前処理

一般に、収集プラグインは、この章で示される要件に準拠する監査証跡を収集するためにのみ使用できます。

ただし、収集プラグインを使用して監査レコードを直接収集できない他の理由がある場合に、間接的に実行できます。

これらの監査証跡の前処理をして、収集プラグインで収集できる形式でデータベース表またはXMLファイルのエントリを生成できる場合があります。たとえば、Linux、UNIXおよびWindowsのIBM DB2では、db2auditプログラムを実行して、固有のバイナリ形式からテキスト・ファイルに監査レコードを抽出する必要があります。新しいレコードを抽出するため、DB2ソフトウェアを所有するユーザーとしてこのプログラムを定期的に実行する必要があります。

収集プラグインを定義してファイルを直接読み取ることはできませんが、ファイルを定期的に読み取り、新しい監査レコードを抽出し、ディレクトリの新しいXMLファイルに書き込むプログラムを記述できる場合があります。このプログラムを実行するたびに、新しいレコードのみを含む新しいXMLファイルを作成することができます。収集プラグインを定義してこれらのXMLファイルを読み取り、監査レコードをAudit Vault Serverに収集できます。