Oracle® Fusion Middleware

Oracle Adaptive Access Manager管理者ガイド

11g リリース2 (11.1.2)

B70199-04(原本部品番号:E27207-08)

2013年9月

Oracle Adaptive Access Managerを使用して効果的に静的なポリシー、パターンおよび予測ポリシーを作成し、リスク分析を実行する方法を説明する管理者向けのドキュメントです。リスクベースの認証方法を設定する手順についても説明します。

Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド 11g リリース2 (11.1.2)

B70199-04

Copyright © 2007, 2013, Oracle and/or its affiliates. All rights reserved.

原本主著者:  Priscilla Lee

原本協力者:  Niranjan Ananthapadmanabha、Mandar Bhatkhande、Sree Chitturi、Josh Davis、Jordan Douglas、Philomina Dorai、Sunil Kumar Joshi、Daniel Joyce、Karthik Kandasamy、Wei Jie Lee、Derick Leo、Srinivas Nagandla、Paresh Raote、Jatin Rastogi、Kuldeep Shah、Nandini Subramani、Elangovan Subramanian、Vidhya Subramanian、Dawn Tyler、Sachin Vanungare、Saphia Yunaeva、Xiaobin Zheng。

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントが、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供される場合は、次のNoticeが適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle およびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

目次

図一覧

表一覧

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

このガイドの最新情報

- Oracle Adaptive Access Manager 11gリリース2 (11.1.2)での変更点

- Oracle Adaptive Access Manager 11gリリース1 (11.1.1)での変更点

- Oracle Adaptive Access Manager 10gから11gでの変更点

第I部 Oracle Adaptive Access Managerスタート・ガイド

1 Oracle Adaptive Access Managerの概要

- 1.1 Oracle Adaptive Access Managerの概要

- 1.2 Oracle Adaptive Access Managerの機能

- 1.2.1 自動学習

- 1.2.2 構成可能なリスク・エンジン

- 1.2.3 仮想認証デバイス

- 1.2.4 デバイスのフィンガープリント処理

- 1.2.5 ナレッジベース認証

- 1.2.6 回答ロジック

- 1.2.7 OTP Anywhere

- 1.2.8 モバイル・アクセス・セキュリティ

- 1.2.9 Universal Risk Snapshot

- 1.2.10 不正調査ツール

- 1.2.11 ポリシー管理

- 1.2.12 ダッシュボード

- 1.2.13 レポート

- 1.3 Oracle Adaptive Access Managerコンポーネント・アーキテクチャ

- 1.4 デプロイメント・オプション

- 1.5 Oracle Adaptive Access Manager 11gリリース2 (11.1.2)の機能

- 1.6 Oracle Adaptive Access Manager 11.1.2.0とOracle Adaptive Access Manager 11.1.1.3.0の機能比較

- 1.7 システム要件と動作保証情報

2 OAAM環境の設定

- 2.1 ベース環境の設定について

- 2.2 前提条件

- 2.3 CLI環境の設定

- 2.3.1 CLI作業フォルダの設定

- 2.3.2 CLIスクリプト起動のプロパティの指定(オプション)

- 2.3.3 資格証明ストア・フレームワーク(CSF)構成の設定

- 2.3.3.1 Database Details MBeanを含まないCSFを使用したOAAMデータベースの詳細の構成

- 2.3.3.2 Database Details MBeanを含むCSFを使用したOAAMデータベースの詳細の構成

- 2.3.4 Oracle Adaptive Access Managerデータベース資格証明の設定

- 2.3.5 資格証明ストア・フレームワークでデータベース資格証明を設定するかわりに永続性を使用する方法

- 2.4 暗号化およびデータベース資格証明の設定

- 2.4.1 暗号化およびデータベース資格証明の設定の前提条件

- 2.4.2 構成値を暗号化するためのエンコードされた秘密鍵の設定

- 2.4.3 データベース値を暗号化するためのエンコードされた秘密鍵の設定

- 2.4.4 エンコードされた秘密鍵の生成

- 2.4.5 資格証明ストア・フレームワークへのエンコードされた対称鍵の追加

- 2.4.6 資格証明ストア・フレームワークでのOracle Adaptive Access Managerデータベース資格証明の設定

- 2.4.7 データベースおよび構成値の構成に使用するデータベース資格証明およびエンコードされた秘密鍵のバックアップ

- 2.5 OAAMユーザーの作成

- 2.6 OAAMスナップショットのインポート

- 2.7 IPロケーション・データのインポート

- 2.8 OAAM管理コンソールのすべてのタイムスタンプに使用されるタイム・ゾーンの設定

- 2.9 OTPの有効化

3 共通の管理およびナビゲーションのスタート・ガイド

- 3.1 デプロイメント内でのコンポーネントの起動と停止

- 3.2 OAAM管理コンソールへのアクセス・レベルについて

- 3.3 Oracle Adaptive Access Manager 11gへのサインイン

- 3.4 OAAM管理コンソールとコントロールの使用

- 3.4.1 ナビゲーション・パネルについて

- 3.4.2 ナビゲーション・ツリーについて

- 3.4.2.1 ナビゲーション・ツリーの構造

- 3.4.2.2 ナビゲーション・ツリーのメニューとツールバー

- 3.4.3 ポリシー・ツリーについて

- 3.4.4 管理ページについて

- 3.4.4.1 検索ページ

- 3.4.4.2 詳細ページ

- 3.4.5 ダッシュボードについて

- 3.4.6 オンライン・ヘルプについて

- 3.5 検索、作成、インポートの使用

- 3.6 Microsoft Excelスプレッドシートへの結果のエクスポート

第II部 カスタマ・サービスおよびフォレンジック

4 CSRケースの管理およびサポート

- 4.1 概要と概念

- 4.1.1 ケース

- 4.1.1.1 CSRケース

- 4.1.1.2 エスカレーション済ケース

- 4.1.2 カスタマ・サービス担当(CSR)

- 4.1.3 CSRマネージャ

- 4.1.4 「ロック済」ステータス

- 4.1.5 一時許可

- 4.1.6 ケース・ステータス

- 4.1.7 重大度レベル

- 4.1.8 有効期限日

- 4.1.9 カスタマ・リセット

- 4.2 CSRおよびCSRマネージャ・ロールの権限について

- 4.3 スタート・ガイド

- 4.4 ケース検索ページの使用

- 4.4.1 ケースの検索

- 4.4.2 ケース・リストの表示

- 4.4.3 現在使用中のケースのリストの表示

- 4.4.4 オープン・ケースおよびクローズ済ケースの検索

- 4.4.5 説明キーワードによるケースの検索

- 4.4.6 ケース・リストの表示

- 4.5 「ケース詳細」ページの使用

- 4.5.1 ケース・アクション

- 4.5.2 ケース詳細の表示

- 4.5.3 ユーザー詳細の表示

- 4.6 ケース・アクティビティの表示

- 4.6.1 ケース履歴の表示

- 4.6.2 ケース・ログの検索

- 4.6.3 エスカレーション済ケースのログおよびノートの表示

- 4.7 カスタマ・セッションの表示

- 4.7.1 カスタマ・セッション履歴の表示

- 4.7.2 カスタマ・セッションの検索

- 4.7.3 デバイスIDまたは日付範囲によるカスタマ・セッションの検索

- 4.7.4 認証ステータスまたはアラート・レベルによるセッション履歴のフィルタ

- 4.7.5 セッション履歴内のトランザクションの表示

- 4.8 CSRケースの作成

- 4.8.1 ケースの作成

- 4.8.2 別のケースに類似のケースの作成

- 4.9 カスタマ・リセットの実行

- 4.9.1 イメージのリセット

- 4.9.2 フレーズのリセット

- 4.9.3 イメージおよびフレーズのリセット

- 4.9.4 デバイスの登録解除

- 4.9.5 OTPプロファイルのリセット

- 4.9.6 仮想認証デバイスのリセット

- 4.9.7 OTPのロック解除

- 4.9.8 すべての登録データ、チャレンジ・カウンタおよびOTP連絡先および配信情報のリセット

- 4.10 チャレンジ質問のリセットの実行

- 4.10.1 チャレンジ質問関連アクションの実行

- 4.10.2 チャレンジ質問のリセット

- 4.10.3 チャレンジ質問および質問セットのリセット

- 4.10.4 カスタマを次の質問に進ませる

- 4.10.5 質問のロック解除(KBA)

- 4.10.6 KBA電話チャレンジの実行

- 4.11 一時許可の有効化

- 4.12 ケース・アクションの実行

- 4.12.1 ケースへのノートの追加

- 4.12.2 ケースの重大度レベルの変更

- 4.12.3 ケースのステータスの変更

- 4.12.3.1 ケースのステータスの「保留中」への変更

- 4.12.3.2 ケースのクローズ

- 4.12.3.3 クローズ済ケースを開く

- 4.12.4 有効期限の延長

- 4.12.5 CSRケースのエージェント・ケースへのエスカレーション

- 4.12.6 CSRケースのバルク編集

- 4.13 レポートの使用

- 4.14 マルチテナントについて

- 4.14.1 マルチテナントの有効化

- 4.14.2 権限の変更

- 4.14.3 ケースへのアクセスについて

- 4.14.4 セッションの検索

- 4.14.5 OAAMにおけるマルチテナントの例

- 4.14.5.1 CSRによるケースの作成

- 4.14.5.2 CSRが組織およびログインの組合せに対して正常にケースを作成できない場合

- 4.14.5.3 CSRが組織およびログインの組合せに対して正常にケースを作成できる場合

- 4.14.5.4 複数の組織IDに対するアクセス権を持つCSRがケースを作成できない場合

- 4.14.5.5 複数の組織IDに対するアクセス権を持つCSRが正常にケースを作成できる場合

- 4.14.5.6 いずれの組織にもアクセスできないCSRがケースを作成しようとした場合

- 4.14.5.7 CSRによるケースへのアクションの実行

- 4.14.5.8 CSRによるケース詳細の表示

- 4.14.5.9 CSRによるセッションの検索

- 4.14.5.10 エージェントによるケースの作成

- 4.14.5.11 CSRによるケースの検索

- 4.15 CSRケースのシナリオ

- 4.15.1 カスタマ・セッション検索およびケース作成のシナリオ

- 4.15.2 チャレンジ質問のリセットのシナリオ

- 4.15.3 イメージおよびフレーズのリセットのシナリオ

- 4.15.4 CSRケースのバルク編集のシナリオ

- 4.15.5 CSRマネージャによるバルク・ケース編集のシナリオ

- 4.15.6 質問の依頼フローのシナリオ

- 4.16 ベスト・プラクティスと推奨事項

5 OAAMを使用した調査

- 5.1 不正調査について

- 5.1.1 不正調査について

- 5.1.2 不正調査ロールについて

- 5.1.3 マルチテナント・アクセス制御について

- 5.1.4 エージェント・ケースについて

- 5.1.5 エージェント・ケースの作成について

- 5.1.5.1 手動で作成されるケース

- 5.1.5.2 自動生成ケース

- 5.1.5.3 エスカレーション済ケース

- 5.1.6 調査ワークフローについて

- 5.1.7 ケースの所有権について

- 5.1.8 調査のためのエージェント・ケースの使用について

- 5.1.9 ケースのクローズについて

- 5.1.10 エージェント・ケースのフィードバックについて

- 5.2 調査コンソールを使用するOAAM調査および分析の理解

- 5.2.1 エージェント・ケースの検索ページについて

- 5.2.2 セッションおよびトランザクション検索ページについて

- 5.2.2.1 セッション検索

- 5.2.2.2 トランザクション検索

- 5.2.3 ユーティリティ・パネルについて

- 5.2.4 「ケース・ノート」パネルについて

- 5.2.5 「トランザクションの比較」タブについて

- 5.2.6 フィールドの追加と削除について

- 5.2.7 「グループに追加」オプションについて

- 5.2.7.1 グループへのデータ追加のシナリオ

- 5.2.8 エージェント・ケースへのセッションのリンクについて

- 5.2.9 エージェント・ケース・タブについて

- 5.3 調査コンソールの使用

- 5.3.1 セッションおよびトランザクションにおける高アラートの検索

- 5.3.2 確認する疑わしいトランザクションの検索

- 5.3.3 トランザクションおよびエンティティ・データの表示

- 5.3.4 関連するセッションとトランザクションの識別

- 5.3.5 「フィルタ済トランザクション」ページからのトランザクションの表示

- 5.3.6 トランザクションとカスタマ詳細のパラメータの比較

- 5.3.6.1 トランザクション・データ比較のシナリオ

- 5.3.7 不正なトランザクションで使用されたデータ要素のグループへの追加

- 5.3.7.1 既存のグループからの選択

- 5.3.7.2 データ要素を追加する新規グループの作成

- 5.3.8 セッションをケースにリンクするトランザクションの選択

- 5.3.9 処置とともにケースを閉じる

- 5.3.10 現在のステータスが「新規」である自動生成されたエージェント・ケースとオープン・ケースの検索

- 5.3.11 リンク・セッションの表示

- 5.3.12 トランザクション・データおよびサマリー・データなどの関連トランザクションの詳細の表示

- 5.3.12.1 サマリー情報の表示

- 5.3.12.2 トランザクション・データの表示

- 5.3.12.3 セッション・データの表示

- 5.3.13 トランザクションまたはセッション指向の結果の表示

- 5.3.14 同じトランザクションの複数インスタンスの比較

- 5.3.14.1 トランザクション・データ比較のシナリオ

- 5.3.15 ケース・ノートの追加

- 5.3.16 処置とともにケースを閉じる

- 5.3.17 新しくエスカレーションされたケースを開く

- 5.3.18 ケース・ログの表示

- 5.3.19 ユーザー・データの表示

- 5.3.20 「ケース詳細」の表示

- 5.3.21 様々な基準に基づく疑わしい可能性のあるセッションの検索

- 5.3.22 指定した基準に一致するセッションのリストの表示

- 5.3.23 セッションのフォレンジック・レコードおよび一般詳細の表示

- 5.3.23.1 セッションのサマリー

- 5.3.23.2 チェックポイント

- 5.3.23.3 セッション・トランザクション

- 5.3.23.4 セッション・ユーザー

- 5.3.23.5 セッション・デバイス

- 5.3.23.6 セッション・ロケーション

- 5.3.23.7 例による問合せ

- 5.3.24 トランザクションの検索

- 5.3.25 単一トランザクション・タイプのエンティティによるトランザクションの検索

- 5.3.25.1 エンティティ・フィールドによる検索のシナリオ

- 5.3.25.2 ATMカードによるATMトランザクション検索のシナリオ

- 5.3.25.3 すべてのアカウント番号および各送金の金額をリストするシナリオ

- 5.3.26 エンティティおよびトランザクション・データの組合せによるトランザクションの検索

- 5.3.26.1 エンティティおよびトランザクション・データによる検索のシナリオ

- 5.3.27 複数トランザクション・タイプのエンティティによるトランザクションの検索

- 5.3.27.1 異なるトランザクションにおけるクレジット・カード検索(ショッピング・カートおよび小売りE-Commerce)のシナリオ

- 5.3.28 セッション検索ページから詳細ページを開く

- 5.3.29 セッションの特定のアラートの表示

- 5.3.30 トランザクション検索結果の表示

- 5.3.30.1 トランザクション詳細表示のシナリオ

- 5.3.31 新規ケースへのセッションのリンク

- 5.3.32 ケース詳細からケースへのセッションのリンク

- 5.3.33 エンティティのグループの検証

- 5.3.34 詳細分析のためのリンク・セッションのエクスポート

- 5.3.35 リンク・セッションのリンク解除

- 5.3.36 後での参照、移植性およびオフライン調査のためのケース詳細の保存

- 5.3.37 調査およびフォレンジック用OAAM BI Publisherレポートの使用

- 5.3.37.1 セッション・アクティビティ集計

- 5.3.37.2 ケース処置によるセッションの検索

- 5.4 ケースの管理

- 5.4.1 エージェント・ケースの検索

- 5.4.2 エージェント・ケースの作成

- 5.4.2.1 エージェント・ケースの手動作成

- 5.4.2.2 他のエージェント・ケースと同様のケースの作成

- 5.4.2.3 検索して選択および新規ケースの作成機能

- 5.4.2.4 エージェント・ケースを自動的に作成するためのOAAMの設定

- 5.4.3 複数のケースを閉じる

- 5.4.4 ケースの重大度レベルの変更

- 5.4.5 ケースのステータスの変更

- 5.4.5.1 手動によるケースのステータスの変更

- 5.4.6 エージェント・ケースのバルク編集

- 5.5 ベスト・プラクティスと推奨事項

6 調査のための追加詳細の表示

- 6.1 詳細ページの概要

- 6.2 詳細ページの構成について

- 6.3 詳細ページ表示の前提条件

- 6.3.1 マルチテナント・アクセス

- 6.3.2 セッション詳細でのトランザクションの表示

- 6.4 セッションの検索

- 6.5 セッションをMicrosoft Excelスプレッドシートにエクスポート

- 6.6 グループへの追加

- 6.6.1 セッションからグループへの追加

- 6.6.2 詳細ページからグループへの追加

- 6.7 「セッション詳細」ページの使用

- 6.8 セッション詳細を使用した上位レベルからのイベントの確認

- 6.8.1 ポリシー・エクスプローラ

- 6.8.2 セッション詳細を使用したランタイム情報の表示

- 6.9 詳細ページの調査および重要性について

- 6.10 アラートの表示

- 6.11 「ユーザー詳細」ページの使用

- 6.11.1 ユーザー詳細: 「サマリー」タブ

- 6.11.2 ユーザー詳細: 「グループ」タブ

- 6.11.3 ユーザー詳細: 「デバイス」タブ

- 6.11.4 ユーザー詳細: 「ロケーション」タブ

- 6.11.5 ユーザー詳細: 「セッション」タブ

- 6.11.6 ユーザー詳細: 「アラート」タブ

- 6.11.7 ユーザー詳細: フィンガープリント・データ

- 6.11.8 ユーザー詳細: 「ポリシー」タブ

- 6.11.9 ユーザー詳細でのタスク

- 6.11.9.1 一般的なユーザー情報、登録情報およびプロファイル情報の表示

- 6.11.9.2 登録中にユーザーが実行したアクションの表示

- 6.11.9.3 ユーザーに関する統計の表示

- 6.11.9.4 ユーザーが追加情報を取得する際に使用する様々なデバイスの検索および表示

- 6.11.9.5 ユーザーが関連付けられている様々なユーザー・グループの検索および表示

- 6.11.9.6 ユーザーが追加情報を取得する際に使用する様々なロケーションの検索および表示

- 6.11.9.7 ユーザーに対してトリガーおよび生成されたすべてのアラートの検索および表示

- 6.11.9.8 すべてのログイン・セッションの検索および表示、またはユーザーの特定期間のログイン・セッションの検索

- 6.11.9.9 ユーザーに対して実行されたルールの表示

- 6.11.9.10 ユーザーに対して作成されたフィンガープリントの検索および表示

- 6.11.9.11 ユーザー・グループへのユーザーの追加

- 6.11.9.12 新しいユーザー・グループの作成、および新規作成したグループへのユーザーの追加

- 6.11.9.13 ユーザー・グループからのユーザーの削除

- 6.11.9.14 グループ、アラート、デバイス、ロケーション、セッション、ポリシー、ルールおよびフィンガープリントの他の詳細ページへのナビゲート

- 6.12 IPまたはロケーション(国、都道府県または市区町村)の詳細ページの使用

- 6.12.1 ロケーション詳細: 「サマリー」タブ

- 6.12.2 ロケーション詳細: 「グループ」タブ

- 6.12.3 ロケーション詳細: 「ユーザー」タブ

- 6.12.4 ロケーション詳細: 「デバイス」タブ

- 6.12.5 ロケーション詳細: 「アラート」タブ

- 6.12.6 ロケーション詳細: 「セッション」タブ

- 6.12.7 ロケーション詳細: 「フィンガープリント」タブ

- 6.12.8 ロケーション(国、都道府県、市区町村またはIP)詳細でのタスク

- 6.12.8.1 ロケーションに関する一般情報の表示

- 6.12.8.2 ロケーションが関連付けられているか所属している様々なロケーション・グループの検索および表示

- 6.12.8.3 既存のロケーション・グループへのロケーションの追加

- 6.12.8.4 ロケーション・グループの作成、およびそのグループへのロケーションの追加

- 6.12.8.5 ロケーション取得の追加情報からログインした様々なユーザーの検索および表示

- 6.12.8.6 ロケーション取得の追加情報からログインした様々なデバイスの検索および表示

- 6.12.8.7 ロケーションに対してトリガーおよび生成されたすべてのアラートの検索および表示

- 6.12.8.8 すべてのログイン・セッションの検索および表示、またはロケーションの特定期間のログイン・セッションの検索

- 6.12.8.9 ロケーションに対して作成されたフィンガープリントの検索および表示

- 6.12.8.10 グループ、アラート、デバイス、ユーザー、セッションおよびフィンガープリントのその他の詳細ページへのナビゲート

- 6.13 「デバイス詳細」ページの使用

- 6.13.1 デバイス詳細: 「サマリー」タブ

- 6.13.2 デバイス詳細: 「グループ」タブ

- 6.13.3 デバイス詳細: 「ユーザー」タブ

- 6.13.4 デバイス詳細: 「ロケーション」タブ

- 6.13.5 デバイス詳細: 「アラート」タブ

- 6.13.6 デバイス詳細: 「セッション」タブ

- 6.13.7 デバイス詳細: 「フィンガープリント・データ」タブ

- 6.13.8 デバイス詳細でのタスク

- 6.13.8.1 デバイスに関する一般情報の表示

- 6.13.8.2 デバイスに対して作成されたFlashとブラウザのフィンガープリント情報の表示

- 6.13.8.3 デバイスが関連付けられているか所属している様々なデバイス・グループの検索および表示

- 6.13.8.4 デバイス・グループのデバイスの追加/削除

- 6.13.8.5 デバイス・グループの作成とそのグループへのデバイスの追加

- 6.13.8.6 デバイスを使用してログインし追加情報を取得した様々なユーザーの検索および表示

- 6.13.8.7 デバイスを使用してログインし追加情報を取得した様々なロケーションの検索および表示

- 6.13.8.8 デバイスに対してトリガーおよび生成されたすべてのアラートの検索および表示

- 6.13.8.9 すべてのログイン・セッションの検索および表示、またはデバイスの特定期間のログイン・セッションの検索

- 6.13.8.10 デバイスに対して作成されたフィンガープリントの検索および表示

- 6.13.8.11 グループ、アラート、ユーザー、ロケーション、セッションおよびフィンガープリントのその他の詳細ページへのナビゲート

- 6.14 「フィンガープリント詳細」ページの使用

- 6.14.1 フィンガープリント詳細: 「サマリー」タブ

- 6.14.2 フィンガープリント詳細: 「ユーザー」タブ

- 6.14.3 フィンガープリント詳細: 「デバイス」タブ

- 6.14.4 フィンガープリント詳細: 「ロケーション」タブ

- 6.14.5 フィンガープリント詳細: 「セッション」タブ

- 6.14.6 フィンガープリント詳細: 「アラート」タブ

- 6.14.7 フィンガープリント詳細でのタスク

- 6.14.7.1 デジタル・フィンガープリントの詳細の表示

- 6.14.7.2 ブラウザ・フィンガープリントの詳細の表示

- 6.14.7.3 フィンガープリントが使用された様々なユーザーの検索および表示

- 6.14.7.4 フィンガープリントが使用された様々なデバイスの検索および表示

- 6.14.7.5 フィンガープリントが使用された様々なロケーションの検索および表示

- 6.14.7.6 すべてのログイン・セッションの検索および表示、またはフィンガープリントの特定期間のログイン・セッションの検索

- 6.14.7.7 ユーザー、デバイス、セッションおよびロケーションのその他の詳細ページへのナビゲート

- 6.15 「アラート詳細」ページの使用

- 6.15.1 アラート詳細: 「サマリー」タブ

- 6.15.2 アラート詳細: 「ユーザー」タブ

- 6.15.3 アラート詳細: 「デバイス」タブ

- 6.15.4 アラート詳細: 「ロケーション」タブ

- 6.15.5 アラート詳細: 「セッション」タブ

- 6.15.6 アラート詳細: フィンガープリント・データ

- 6.15.7 アラート詳細でのタスク

- 6.15.7.1 アラートに関する一般情報の表示

- 6.15.7.2 アラートが関連付けられているアラート・グループの表示

- 6.15.7.3 アラート・グループからのアラートの追加

- 6.15.7.4 アラート・グループの作成、およびそのグループへのアラートの追加

- 6.15.7.5 アラートが生成された様々なユーザーの検索および表示

- 6.15.7.6 アラートが生成された様々なデバイスの検索および表示

- 6.15.7.7 アラートが生成された様々なロケーションの検索および表示

- 6.15.7.8 すべてのログイン・セッションの検索および表示、またはアラートの特定期間のログイン・セッションの検索

- 6.15.7.9 作成されたフィンガープリントの検索および表示

- 6.15.7.10 グループ、ユーザー、デバイス、ロケーション、セッションおよびフィンガープリントのその他の詳細ページへのナビゲート

- 6.16 「セッション詳細」使用のシナリオ

- 6.16.1 セッション検索のシナリオ

- 6.16.2 「セッション詳細」ページ使用のシナリオ

- 6.16.3 不正なデバイスの確認およびグループへの追加のシナリオ

- 6.16.4 過去1週間のセッションのエクスポート

- 6.16.5 「ユーザー詳細」および「フィンガープリント詳細」使用のシナリオ

- 6.16.6 デバイス詳細およびロケーション詳細の使用のシナリオ

- 6.16.7 IP詳細の確認とグループへの追加のシナリオ

- 6.16.8 IPアドレスの範囲からのセッションの表示

- 6.16.9 ユーザーが特定のデバイスやIPからログインに失敗していないかどうかの確認

- 6.16.10 このIPからログインしたユーザーがスペイン語のブラウザを使用したかどうかの確認

- 6.16.11 あるロケーションから不正目的で使用されたデバイスをリスクのあるグループに追加するシナリオ

- 6.16.12 高リスク・デバイスのグループに疑わしいデバイスを追加するシナリオ

- 6.16.13 デバイスとIPアドレスを高リスクとマークするシナリオ

- 6.16.14 疑わしいセッションを検索し高リスク・グループにデバイスを追加するシナリオ

- 6.16.15 アラート・メッセージによるセッション検索のシナリオ

- 6.16.16 地理によるセッション検索のシナリオ

- 6.16.17 カンマ区切り値による検索のシナリオ

- 6.16.18 検索セッション結果の行をMicrosoft Excelスプレッドシートにエクスポートするシナリオ

- 6.16.19 検索セッション結果の列をMicrosoft Excelスプレッドシートにエクスポートするシナリオ

第III部 ナレッジベース認証およびワンタイム・パスワードの構成と管理

7 ナレッジベース認証の管理

- 7.1 概要と概念

- 7.1.1 ナレッジベース認証

- 7.1.2 KBAのユーザー・フロー

- 7.1.3 登録

- 7.1.4 チャレンジ・レスポンス処理

- 7.1.5 チャレンジ・レスポンスの構成

- 7.1.6 チャレンジ質問

- 7.1.7 質問セット

- 7.1.8 登録ロジック

- 7.1.9 検証

- 7.1.10 回答ロジック

- 7.1.11 失敗カウンタ

- 7.1.12 KBAのリセット

- 7.1.12.1 チャレンジ質問のリセット

- 7.1.12.2 チャレンジ質問および選択元の質問セットのリセット

- 7.1.12.3 ユーザーを次の質問に進ませる

- 7.1.12.4 ユーザーのロック解除

- 7.1.12.5 質問の依頼(KBA電話チャレンジ)

- 7.1.13 質問およびカテゴリ・ロジックの無効化

- 7.1.14 ロック済ステータス

- 7.2 KBA管理での構成へのアクセス

- 7.3 KBAの設定

- 7.3.1 KBAプロパティの設定

- 7.3.1.1 KBAの有効化

- 7.3.1.2 質問リストの制御

- 7.3.1.3 KBA質問のランダム化

- 7.3.2 OAAMスナップショットのインポート

- 7.3.3 ポリシーをユーザー・グループにリンク

- 7.3.4 登録およびチャレンジ・アクションの構成

- 7.3.5 新規カテゴリの作成

- 7.3.6 新規問の作成

- 7.3.7 チャレンジ質問の登録構成

- 7.3.8 質問回答の検証構成

- 7.3.9 回答ロジックの構成

- 7.3.9.1 一般的なレスポンス・エラー

- 7.3.9.2 回答ロジックのレベル

- 7.3.9.3 回答の検証構成

- 7.4 チャレンジ質問の管理

- 7.4.1 チャレンジ質問の検索

- 7.4.2 質問詳細および統計の表示

- 7.4.3 別の質問と類似する質問の作成

- 7.4.4 質問の編集

- 7.4.5 質問のインポート

- 7.4.6 質問のエクスポート

- 7.4.7 質問の削除

- 7.4.8 質問の無効化

- 7.4.9 質問のアクティブ化

- 7.4.10 チャレンジ質問の削除または非アクティブ化(移行)

- 7.5 システムにおける回答登録の検証管理

- 7.5.1 検証ページの使用

- 7.5.2 新規検証の追加

- 7.5.3 既存の検証の編集

- 7.5.4 検証のインポート

- 7.5.5 検証のエクスポート

- 7.5.6 検証の削除

- 7.6 カテゴリの管理

- 7.6.1 カテゴリの検索

- 7.6.2 カテゴリの編集

- 7.6.3 カテゴリの削除

- 7.6.4 カテゴリのアクティブ化

- 7.6.5 カテゴリの非アクティブ化

- 7.7 登録ロジックにおけるグローバル検証の削除

- 7.8 回答ロジック用の英語の省略形および等価のカスタマイズ

- 7.9 KBAのシナリオ

- 7.9.1 チャレンジ質問作成のシナリオ

- 7.9.2 KBA登録ロジック設定のシナリオ

- 7.9.3 KBA電話チャレンジによってCSRがユーザーを認証するシナリオ

- 7.9.4 KBA質問の編集

- 7.9.5 KBA回答ロジックの編集

- 7.10 KBAのガイドラインおよび推奨される要件

- 7.10.1 ユーザーに対するチャレンジの頻度

- 7.10.2 登録の段階的ロールアウト

- 7.10.2.1 フェーズ1: 登録なし

- 7.10.2.2 フェーズ2: オプション登録

- 7.10.3 チャレンジ質問の設計のガイドライン

- 7.10.4 質問を管理する場合のベスト・プラクティス

- 7.10.5 回答入力の推奨される要件

- 7.10.6 その他のKBAの推奨される要件

8 OTP Anywhereの設定

- 8.1 概要と概念

- 8.1.1 ワンタイム・パスワードとは

- 8.1.2 帯域外OTP提供について

- 8.1.3 OTPの機能

- 8.1.4 OTP失敗カウンタ

- 8.1.5 チャレンジ・タイプ

- 8.1.6 KBAとOTP

- 8.2 クイック・スタート

- 8.3 OTP設定のロードマップ

- 8.4 OTPを構成するための前提条件

- 8.4.1 SOAスイートのインストール

- 8.4.2 デリバリ・チャネルの構成

- 8.4.2.1 電子メール・ドライバ

- 8.4.2.2 SMPPドライバ

- 8.5 ユーザー・メッセージング・サービス(UMS)統合のためのOAAMプロパティの設定

- 8.6 OTPチャレンジの有効化

- 8.7 登録とプリファレンスの有効化

- 8.8 登録ページの設定

- 8.8.1 OTP登録およびチャレンジのオプトアウトの有効化

- 8.8.2 登録ページのチェック・ボックスおよびフィールドの構成

- 8.8.2.1 「ご使用条件」チェック・ボックスの構成

- 8.8.2.2 登録とプリファレンスのページのテキスト・フィールドの構成

- 8.9 OTPチャレンジを使用するためのポリシーおよびルールの構成

- 8.10 OTP登録テキストとメッセージのカスタマイズ

- 8.10.1 ご使用条件のカスタマイズ

- 8.10.2 モバイル入力登録フィールドのカスタマイズ

- 8.10.3 登録ページのメッセージのカスタマイズ

- 8.10.4 チャレンジ・メッセージのカスタマイズ

- 8.10.5 OTPメッセージのカスタマイズ

- 8.11 その他の構成タスク

- 8.11.1 ワンタイム・パスワードの有効期限の構成

- 8.11.2 ワンタイム・パスワード生成の構成

- 8.11.3 失敗カウンタの構成

- 8.11.4 OTPのチャレンジ・タイプ・デバイスの構成

9 KBAチャレンジとOTPチャレンジ

- 9.1 KBAおよびOTPの使用

- 9.2 KBAおよびOTPのリスク範囲

- 9.3 KBAおよびOTPのシナリオ

- 9.3.1 常にチャレンジ、グループごと

- 9.3.2 高リスク、常にチャレンジによるCSR OTPプロファイル・リセット、グループごと

- 9.3.3 未登録低リスク・ユーザー(リスク・スコア500以下)

- 9.3.4 登録済低リスク・ユーザー(リスク・スコア500以下)

- 9.3.5 未登録高リスク・ユーザー(リスク・スコア500以上)

- 9.3.6 登録済高リスク・ユーザー(リスク・スコア500以上)

- 9.3.7 高リスク・ロックアウトの登録

- 9.3.8 高リスク除外

- 9.3.9 複数バケット・パターンによるOTPチャレンジ

第IV部 ポリシー構成の管理

10 OAAMポリシーの概要およびリファレンス

- 10.1 OAAMで使用可能なポリシーについて

- 10.2 基本的な概念

- 10.2.1 ルールとは

- 10.2.2 ルールの仕組み

- 10.2.3 ルール関連アクティビティにおけるセキュリティ管理者ロール

- 10.2.4 条件とは

- 10.2.5 ポリシーとは

- 10.2.6 アクションおよびアラートとは

- 10.2.7 ポリシー・セットとは

- 10.2.8 スコアリング・エンジンとは

- 10.2.9 スコアとは

- 10.2.10 重みとは

- 10.2.11 スコアの伝播とは

- 10.2.12 リスク・スコアリングで行われる処理

- 10.2.13 トリガー組合せとは

- 10.2.14 トリガー組合せの機能

- 10.2.15 ネストされたポリシーとは

- 10.2.16 スコアリング・オーバーライドとは

- 10.2.17 アクション・オーバーライドおよびアラート・オーバーライドとは

- 10.2.18 グループとは

- 10.2.18.1 グループの使用

- 10.2.18.2 ユーザー・グループ・リンク

- 10.2.18.3 アクション・グループとアラート・グループの使用

- 10.3 ルール処理について

- 10.3.1 ルール・エンジン

- 10.3.2 条件の順序

- 10.3.3 条件の評価

- 10.3.4 チェックポイント

- 10.3.5 アプリケーション・フローの制御

- 10.3.6 メッセージング

- 10.3.7 ルール処理の例: OAAMデバイス最大速度ルールの設定の機能

- 10.3.8 次のトリガーの機能

- 10.3.9 条件評価の例: ユーザー: 最終成功からの速度

- 10.4 OAAM認証、パスワード管理およびカスタマ・ケアのフローについて

- 10.4.1 認証フロー

- 10.4.2 パスワードを忘れた場合のフロー

- 10.4.3 パスワード・リセット(KBAチャレンジ)フロー

- 10.4.4 OAAMによるモバイル・サービス・フロー

- 10.5 OAAMのセキュリティ・ポリシーおよび自動学習ポリシーについて

- 10.5.1 認証前ポリシー

- 10.5.1.1 OAAM認証前

- 10.5.2 デバイス識別ポリシー

- 10.5.2.1 OAAMベース・デバイスIDポリシー

- 10.5.2.2 OAAMモバイル・デバイスIDポリシー

- 10.5.3 Authentipadポリシー

- 10.5.3.1 OAAM AuthentiPad

- 10.5.4 認証後ポリシー

- 10.5.4.1 OAAM認証後セキュリティ

- 10.5.4.2 OAAM予測分析

- 10.5.4.3 自動学習(パターン・ベース)ポリシー: OAAMではユーザーがプロファイルを持ちます

- 10.5.4.4 自動学習(パターン・ベース)ポリシー: OAAMユーザー対自分自身

- 10.5.4.5 自動学習(パターン・ベース)ポリシー: OAAMユーザー対すべてのユーザー

- 10.5.5 登録ポリシー

- 10.5.5.1 OAAM登録

- 10.5.6 チャレンジ・ポリシー

- 10.5.6.1 OAAMチャレンジ

- 10.5.7 カスタマ・ケア・ポリシー

- 10.5.7.1 OAAMカスタマ・ケア質問依頼

- 10.6 ユース・ケース

- 10.6.1 ユース・ケース: WebZIPブラウザ

- 10.6.2 ユース・ケース: IPアドレスのリスクが高いユーザーへのOTPチャレンジ

- 10.6.3 ユース・ケース: アノニマイザIPアドレス - グループから

- 10.6.4 ユース・ケース: パターン・ベース評価

11 ポリシー、ルールおよび条件の管理

- 11.1 OAAMポリシーについて

- 11.2 検出およびポリシー開発について

- 11.2.1 セキュリティ・ポリシー開発プロセス

- 11.2.1.1 概要

- 11.2.1.2 ポリシーの編集: 調査およびトラブルシューティング

- 11.2.1.3 新規ポリシー: 検出および調査

- 11.2.1.4 既存ポリシーの編集または新規ポリシーの作成: 要件および計画

- 11.2.1.5 既存ポリシーの編集または新規ポリシーの作成: 構成

- 11.2.1.6 既存ポリシーの編集または新規ポリシーの作成: テスト

- 11.2.1.7 既存ポリシーの編集または新規ポリシーの作成: 本番環境へのデプロイ

- 11.2.2 検出プロセスの概要

- 11.2.3 サンプル・シナリオ: トランザクション・セキュリティ

- 11.2.3.1 問題記述

- 11.2.3.2 使用可能な入力

- 11.2.3.3 評価

- 11.2.3.4 結果

- 11.2.3.5 変換

- 11.2.3.6 アラート

- 11.2.4 サンプル・シナリオ: ログイン・セキュリティ

- 11.2.4.1 問題記述

- 11.2.4.2 使用可能な入力

- 11.2.4.3 評価

- 11.2.4.4 結果

- 11.2.4.5 変換

- 11.2.4.6 処置

- 11.2.5 評価およびデプロイメント

- 11.3 ポリシーの作成

- 11.4 ポリシーのすべてのユーザーまたはユーザーIDグループへのリンク

- 11.5 ルールの作成

- 11.5.1 ルール作成プロセスの開始

- 11.5.2 一般的なルール情報の指定

- 11.5.3 事前条件の構成

- 11.5.4 条件のルールへの追加

- 11.5.5 ルールの結果の指定

- 11.5.6 ポリシーへのルールの追加またはコピー

- 11.6 トリガー組合せの設定

- 11.7 ポリシー、グループおよび条件におけるグループの使用

- 11.8 ポリシーの管理

- 11.8.1 ポリシー検索ページへのナビゲート

- 11.8.2 ポリシーの検索

- 11.8.3 ポリシーまたはポリシー・リストの表示

- 11.8.4 ポリシー詳細の表示

- 11.8.5 ポリシーの一般情報の編集

- 11.8.6 ポリシーのアクティブ化または無効化

- 11.8.7 ポリシーの削除

- 11.8.8 ポリシーの別のチェックポイントへのコピー

- 11.8.9 ルールのポリシーへのコピー

- 11.8.10 トリガー組合せの順序の変更

- 11.8.11 トリガー組合せの削除

- 11.9 ルールの管理

- 11.9.1 ルール検索ページへのナビゲート

- 11.9.2 ルールの検索

- 11.9.3 ルールの詳細の表示

- 11.9.4 ルールの編集

- 11.9.5 ルール・パラメータの編集

- 11.9.6 ルールのアクティブ化と無効化

- 11.9.7 ルールの削除

- 11.9.8 条件のルールからの削除

- 11.10 条件の管理

- 11.10.1 条件の検索

- 11.10.2 ルールの条件の詳細の表示

- 11.10.3 ルール内の条件の順序の変更

- 11.10.4 条件の削除

- 11.11 エクスポートおよびインポート

- 11.11.1 ポリシーのエクスポート

- 11.11.2 ポリシーのインポート

- 11.11.3 既存のポリシーと同じ名前を持つポリシーのインポート

- 11.11.4 条件のインポート

- 11.11.5 条件のエクスポート

- 11.12 ルール内のポリシーの評価

- 11.13 ベスト・プラクティス

12 グループの管理

- 12.1 グループについて

- 12.1.1 グループ・タイプについて

- 12.1.2 グループ特性について

- 12.1.3 グループの用途について

- 12.1.4 グループ作成およびユーザー編集のフローについて

- 12.2 グループ検索ページへのナビゲート

- 12.3 グループの検索

- 12.4 グループの詳細の表示

- 12.5 グループの作成

- 12.5.1 グループの定義

- 12.5.2 グループへのメンバーの追加

- 12.5.3 グループへのASN、汎用整数、汎用ロング、汎用文字列、IPキャリア、第2レベル・ドメインおよびトップ・レベル・ドメインの追加

- 12.5.4 グループへの市区町村、都道府県および国の追加

- 12.5.4.1 市区町村グループへの市区町村の追加

- 12.5.4.2 都道府県グループへの都道府県の追加

- 12.5.4.3 国グループへの国の追加

- 12.5.5 グループへのIP範囲、ユーザーID、デバイス、ユーザー名、IPアドレスおよびインターネット・サービス・プロバイダの追加

- 12.5.5.1 要素を選択してメンバーとしてグループに追加

- 12.5.5.2 要素(メンバー)を作成してグループに追加

- 12.5.6 グループへのアラートの追加

- 12.5.6.1 既存のアラートを選択してアラート・グループに追加

- 12.5.6.2 新規アラートを作成してアラート・グループに追加

- 12.5.7 グループへの認証ステータス、接続タイプ、接続スピード、ルーティング・タイプ、トランザクション・ステータスおよびアクションの追加

- 12.5.7.1 要素を選択してメンバーとしてグループに追加

- 12.5.7.2 アクション・グループへのアクションの追加

- 12.5.8 グループへのエンティティの追加

- 12.6 グループの管理

- 12.6.1 グループのメンバーの編集

- 12.6.2 グループのメンバーの削除

- 12.6.3 ユーザー・グループからのユーザーの削除

- 12.6.4 グループのエクスポートおよびインポート

- 12.6.4.1 グループのエクスポート

- 12.6.4.2 グループのインポート

- 12.6.5 グループの削除

- 12.6.6 グループの直接更新

- 12.7 ユース・ケース

- 12.7.1 ユース・ケース: グループの移行

- 12.7.2 ユース・ケース: アラート・グループの作成とメンバーの追加

- 12.7.3 ユース・ケース: グループからのユーザーの削除

- 12.7.4 ユース・ケース: ブラック・リストに記載された国からのユーザーのブロック

- 12.7.5 ユース・ケース: 会社で要求されるユーザーのブロック

- 12.7.5.1 ブラックリスト国ポリシーの作成(1): 不正な国ポリシーおよびルールの作成

- 12.7.5.2 ブラックリスト国ポリシーの作成(2): 国グループの作成

- 12.7.5.3 ブラックリスト国ポリシーの作成(3): 不正の高アラート・グループの作成

- 12.7.5.4 ブラックリスト国セキュリティ・ポリシーの作成(4/5): ブロック・アクション・グループの作成

- 12.7.5.5 ブラックリスト国セキュリティ・ポリシーの作成(5/5): 不正な国ルールへのグループの付加

- 12.7.6 ユース・ケース: 特定の国からのユーザーのブロック

- 12.7.7 ユース・ケース: 特定のIPアドレスからのユーザーのみを許可

- 12.7.8 ユース・ケース: 特定のデバイスからのユーザーのチェック

- 12.7.9 ユース・ケース: 特定のユーザーの監視

- 12.8 ベスト・プラクティス

13 ポリシー・セットの管理

- 13.1 概要と概念

- 13.1.1 ポリシー・セット

- 13.1.2 アクション・オーバーライドおよびスコア・オーバーライド

- 13.1.3 始める前に

- 13.2 「ポリシー・セット詳細」ページへのナビゲート

- 13.3 ポリシー・セット詳細の表示

- 13.4 スコア・オーバーライドの追加または編集

- 13.5 アクション・オーバーライドの追加または編集

- 13.6 ポリシー・セットの編集

- 13.7 ユース・ケース

- 13.7.1 ユース・ケース: ポリシー・セット - オーバーライド

- 13.7.2 ポリシー・セット - オーバーライド(評価の順序)

- 13.8 ポリシー・セットのベスト・プラクティス

14 システム・スナップショットの管理

- 14.1 概念

- 14.1.1 スナップショット

- 14.1.2 スナップショットの格納

- 14.1.3 スナップショット・メタデータ

- 14.1.4 バックアップ

- 14.1.5 リストア

- 14.1.6 リストアで行われる処理

- 14.2 スナップショットの制限事項について

- 14.3 システム・スナップショット検索ページへのナビゲート

- 14.4 スナップショットの検索

- 14.5 スナップショットのインポート

- 14.6 スナップショットの詳細の表示

- 14.7 バックアップの作成

- 14.7.1 システム・データベースへの現在のシステムのバックアップ

- 14.7.2 データベースおよびファイルへのシステム構成のバックアップ

- 14.7.3 ファイルへの現在のシステムのバックアップ

- 14.8 スナップショットのリストア

- 14.8.1 選択したスナップショットをリストアする手順

- 14.8.2 スナップショットのロードおよびリストア

- 14.8.3 スナップショットのリストアに関する考慮事項

- 14.8.3.1 稼働中システムでのスナップショット(単一サーバー)

- 14.8.3.2 (同じデータベースに接続されている)複数サーバー・システムでのスナップショット・リストア

- 14.8.3.3 異なるバージョンを実行している複数サーバーでのスナップショット・リストア

- 14.9 スナップショットの削除

- 14.10 ユースケース

- 14.10.1 システム・スナップショットのインポート/エクスポート

- 14.10.2 ユース・ケース: ユーザーが調査用のレコードとしてポリシー・セットをエクスポート

- 14.10.3 ユース・ケース: ユーザーがシステム全体を置換

- 14.10.4 ユース・ケース: ユーザーがインポートするポリシー・セットを指定

- 14.11 スナップショットのベスト・プラクティス

第V部 自動学習

15 自動学習の管理

- 15.1 概要と概念

- 15.1.1 自動学習

- 15.1.2 パターン

- 15.1.3 メンバー・タイプおよび属性

- 15.1.4 バケット

- 15.1.5 パターン・ルール評価

- 15.1.6 バケットの移入

- 15.2 自動学習プロパティ

- 15.3 パターン属性

- 15.4 パターン属性演算子

- 15.4.1 各

- 15.4.2 次と等しい

- 15.4.3 次より小さい

- 15.4.4 次より大きい

- 15.4.5 次以下

- 15.4.6 次以上

- 15.4.7 次と等しくない

- 15.4.8 次に含まれる

- 15.4.9 次に含まれない

- 15.4.10 次と相似

- 15.4.11 次と相似でない

- 15.4.12 範囲

- 15.4.12.1 固定範囲

- 15.4.12.2 ステップ(または増分)を含む固定範囲

- 15.4.12.3 ステップを含む非連結上限範囲

- 15.5 システムの自動学習を有効化するためのクイック・スタート

- 15.6 自動学習の使用を始める前に

- 15.6.1 認証に関連するベース・エンティティのインポート

- 15.6.2 自動学習プロパティの有効化

- 15.6.3 サーバーへの自動学習ポリシーのインポート

- 15.6.4 ネイティブ統合での自動学習の使用

- 15.7 ユーザー・フロー

- 15.7.1 新しいパターンの作成

- 15.7.2 パターンの編集

- 15.8 パターン検索ページへのナビゲート

- 15.9 パターンの検索

- 15.10 パターン詳細ページへのナビゲート

- 15.11 パターン詳細の表示

- 15.11.1 特定のパターンの詳細の表示

- 15.12 パターンの作成と編集

- 15.12.1 パターンの作成

- 15.12.2 属性の追加

- 15.12.3 パターンのアクティブ化および非アクティブ化

- 15.12.3.1 パターンのアクティブ化

- 15.12.3.2 パターンの非アクティブ化

- 15.12.4 パターンの編集

- 15.12.5 パターン・ステータスの変更

- 15.12.6 メンバー・タイプの追加または変更

- 15.12.7 評価優先度の変更

- 15.12.8 属性の編集

- 15.12.9 属性の削除

- 15.13 パターンのインポートおよびエクスポート

- 15.13.1 パターンのインポート

- 15.13.2 パターンのエクスポート

- 15.14 パターンの削除

- 15.15 自動学習データ/プロファイリング・データの使用

- 15.15.1 自動学習条件を使用するポリシーの作成

- 15.15.2 自動学習条件とポリシーとの関連付け

- 15.15.3 セッション詳細の確認

- 15.16 トランザクション・ベースのパターンの使用

- 15.17 自動学習パターン分析が機能しているかどうかの確認

- 15.18 自動学習ルールが機能しているかどうかの確認

- 15.19 自動学習のデバッグ

- 15.20 ユース・ケース

- 15.20.1 ユース・ケース: ログイン時間が通常と異なるユーザーに対するチャレンジ

- 15.20.2 ユース・ケース: パターンのテスト

- 15.20.3 ユース・ケース: 時間外アクセスの追跡

- 15.20.4 ユース・ケース: 1日の特定時間のユーザー・ログインがX回を超える

- 15.20.5 ユース・ケース: パターンに含まれる複数のメンバー・タイプ

- 15.20.6 ユース・ケース: 市区町村の使用

- 15.20.7 ユース・ケース: エンティティの動作に対する自動学習の適応

- 15.20.8 ユース・ケース: 単一バケット・パターン

- 15.20.9 ユース・ケース: パターンの使用

- 15.20.10 ユース・ケース: 都道府県外からのログイン

- 15.20.11 ユース・ケース: 電信送金する金額(ドル)のパターン

- 15.20.12 ユース・ケース: ユーザーごとのHR従業員レコードへのアクセス・パターン

- 15.20.13 ユース・ケース: 全ユーザーのHR従業員レコードへのアクセス・パターン

- 15.20.14 ユース・ケース: 出荷先住所の国のパターン

- 15.20.15 ユース・ケース: 出荷先住所の国のパターンと請求の不一致

- 15.20.16 ユース・ケース: 出荷先住所の国のIPパターン

- 15.20.17 ユース・ケース: ブラウザのロケール・パターン

- 15.20.18 ユース・ケース: 出荷先住所の国別のクレジット・カード・パターン

- 15.20.19 ユース・ケース: 金額(ドル)の範囲と時間別のクレジット・カード・パターン

16 構成可能なアクションの管理

- 16.1 概要と概念

- 16.1.1 構成可能なアクション

- 16.1.2 アクション・テンプレート

- 16.1.3 構成可能なアクションのデプロイ

- 16.2 構成可能なアクションの作成

- 16.2.1 新規アクション・テンプレートの定義

- 16.2.2 既存のアクション・テンプレートの使用

- 16.2.3 アクション・インスタンスの作成

- 16.3 アクション・テンプレート検索ページへのナビゲート

- 16.4 アクション・テンプレートの検索

- 16.5 アクション・テンプレートの詳細の表示

- 16.6 新規アクション・テンプレートの作成

- 16.7 アクション・インスタンス検索ページへのナビゲート

- 16.8 アクション・インスタンスの検索

- 16.9 アクション・インスタンスの作成およびチェックポイントへの追加

- 16.10 カスタム・アクション・インスタンスの作成

- 16.11 アクション・テンプレートの編集

- 16.12 アクション・テンプレートのエクスポート

- 16.13 アクション・テンプレートのインポート

- 16.14 アクション・テンプレートのテスト環境からの移行

- 16.15 アクション・テンプレートの削除

- 16.16 構成可能なアクション・インスタンスのリストの表示

- 16.17 アクション・インスタンスの詳細の表示

- 16.18 アクション・インスタンスの編集

- 16.19 既存のアクション・インスタンスの削除

- 16.20 標準の構成可能なアクション

- 16.20.1 CaseCreationActionの定義

- 16.20.2 AddItemtoListActionの定義

- 16.20.3 グループへの追加

- 16.20.4 MoveItemBetweenListsアクションの定義

- 16.21 ユース・ケース

- 16.21.1 ユース・ケース: デバイスのブラック・リストへの追加

- 16.21.2 デバイスの監視リスト・アクションへの追加の例

- 16.21.3 カスタム構成アクションの例

- 16.21.4 ユース・ケース: ケースの作成

17 予測分析

- 17.1 重要な用語

- 17.1.1 予測分析

- 17.1.2 データ・マイニング

- 17.1.3 ODM

- 17.1.4 予測モデル

- 17.2 前提条件

- 17.3 初期設定

- 17.4 フィードバックを提供し、トレーニング・データを更新するためのODMモデルの再作成

- 17.5 ポリシーの評価

- 17.6 予測分析ルール条件のチューニング

- 17.7 カスタム・データベース・ビューの追加

- 17.8 カスタム付与の追加

- 17.9 新規ODMモデルの追加

- 17.10 カスタム入力データ・マッピングの追加

- 17.10.1 使用する状況

- 17.10.2 OAAM属性を使用したカスタム入力データ・マッピングの作成

- 17.10.3 カスタム属性を使用したカスタム入力データ・マッピングの作成

第VI部 トランザクションの管理

18 OAAMでのトランザクションのモデル化

- 18.1 概要

- 18.2 ユース・ケース

- 18.3 ユース・ケースの設定

- 18.4 OAAMエンティティおよびトランザクションの観点での、OAAMでトランザクションをモデル化する方法の決定

- 18.5 エンティティ定義およびトランザクション定義の作成後

- 18.6 医療分野のデプロイメント

19 エンティティの作成および管理

- 19.1 概念

- 19.2 エンティティ定義の作成

- 19.2.1 エンティティ要素

- 19.2.1.1 データ要素

- 19.2.1.2 表示要素

- 19.2.1.3 IDスキーム

- 19.2.1.4 リンクされたエンティティ

- 19.2.1.5 エンティティ・キー

- 19.2.2 単純なエンティティ定義の作成の概要

- 19.2.3 複雑なエンティティ定義の作成の概要

- 19.2.4 エンティティ定義の作成

- 19.2.4.1 初期手順

- 19.2.4.2 データ要素の追加および編集

- 19.2.4.3 IDスキームの要素の選択

- 19.2.4.4 表示スキームのデータの指定

- 19.2.4.5 エンティティ間の関係を反映するアソシエーションの作成

- 19.2.4.6 エンティティ作成中のエンティティのパージの設定

- 19.2.4.7 エンティティのアクティブ化

- 19.2.5 エンティティ定義作成時の処理

- 19.3 エンティティの管理

- 19.3.1 エンティティ・アソシエーションの管理

- 19.3.2 エンティティ定義の検索

- 19.3.3 特定のエンティティの詳細の表示

- 19.3.4 エンティティ使用状況の表示

- 19.3.5 エンティティの編集

- 19.3.6 エンティティの削除またはリンク解除

- 19.3.7 関係名の変更

- 19.3.8 エンティティのインポートおよびエクスポート

- 19.3.8.1 エンティティのエクスポート

- 19.3.8.2 エンティティのインポート

- 19.3.9 エンティティの非アクティブ化および削除

- 19.3.9.1 エンティティの非アクティブ化

- 19.3.9.2 エンティティの削除

- 19.4 ターゲットを指定したエンティティ・データのパージの設定

- 19.5 ベスト・プラクティス

20 トランザクションの管理

- 20.1 トランザクション処理

- 20.2 トランザクション定義の作成の概要

- 20.3 トランザクションを分析するための前提条件

- 20.4 トランザクション定義の作成および使用

- 20.4.1 「トランザクション」ページを開く

- 20.4.2 トランザクション定義の作成

- 20.4.3 トランザクションへの既存のエンティティの追加

- 20.4.4 トランザクションへの新規エンティティの追加

- 20.4.5 OAAM用のトランザクション・データの定義

- 20.4.6 クライアント・エンドからのトランザクションのソース・データ

- 20.4.7 ソース・データのマップ

- 20.4.7.1 トランザクション・データとソース・データのマップ

- 20.4.7.2 エンティティとソース・データのマップ

- 20.4.7.3 マッピングの編集

- 20.4.8 定義のアクティブ化

- 20.4.9 ポリシーのモデル化

- 20.4.10 トリガー結果の構成

- 20.4.11 クライアント・アプリケーションの統合

- 20.5 トランザクション定義の管理

- 20.5.1 トランザクション定義の検索

- 20.5.2 トランザクション定義の表示

- 20.5.3 トランザクション定義の編集

- 20.5.4 トランザクション定義の削除

- 20.5.5 トランザクション定義のエクスポート

- 20.5.6 トランザクション定義のインポート

- 20.5.7 トランザクション定義のアクティブ化

- 20.5.8 トランザクション定義の非アクティブ化

- 20.6 トランザクション定義別のトランザクション・データのターゲット・パージ設定

- 20.7 トランザクション検索

- 20.8 OAAMトランザクションのユース・ケース

- 20.8.1 トランザクションのユース・ケースの実施

- 20.8.2 ユース・ケース: トランザクション頻度チェック

- 20.8.3 ユース・ケース: 疑わしい送金先口座に対するトランザクション頻度および金額のチェック

- 20.8.4 ユース・ケース: ブラックリストに記載された預金口座および送金先口座に対するトランザクション・チェック

- 20.8.5 ユース・ケース: トランザクション・パターン

第VII部 OAAMオフライン環境

21 OAAMオフライン

- 21.1 概念

- 21.1.1 OAAMオフラインとは

- 21.1.2 OAAMオフラインのアーキテクチャ

- 21.1.3 ジョブ

- 21.1.4 ロード・ジョブの説明とその設定方法

- 21.1.5 実行ジョブの説明とその設定方法

- 21.1.6 ロード・ジョブと実行ジョブ

- 21.1.7 データ・ローダー

- 21.1.8 実行タイプ

- 21.1.9 OAAMオフラインのユーザー・インタフェース

- 21.1.9.1 ダッシュボードの違い

- 21.1.9.2 ロード・ジョブ、実行ジョブおよびロードおよび実行ジョブのインタフェース

- 21.1.9.3 ジョブ・キュー

- 21.2 アクセス制御

- 21.3 OAAMオフライン・システムのインストールと構成

- 21.3.1 概要

- 21.3.2 OAAMオフラインのインストール

- 21.3.3 オフライン・データベース・スキーマの作成

- 21.3.4 データベース接続の構成

- 21.3.5 OAAMオフラインへのログイン

- 21.3.6 環境の設定

- 21.3.6.1 スナップショットのインポート

- 21.3.6.2 Oracle Adaptive Access Manager用の暗号化とデータベース資格証明の設定

- 21.3.6.3 自動学習の有効化

- 21.3.6.4 構成可能なアクションの有効化

- 21.3.6.5 IPロケーション・データのインポート

- 21.4 ジョブのスケジュール

- 21.5 ポリシーとルールのテスト

- 21.5.1 OAAMオフラインを使用した新しいデプロイメント

- 21.5.2 OAAMオフラインを使用した既存のデプロイメント

- 21.6 OAAMオフラインに関する注意事項

- 21.7 OAAMオフラインの監視

- 21.7.1 ダッシュボードを使用したローダー処理の監視

- 21.7.2 ルール・ロギングの有効化

- 21.7.3 パフォーマンス監視のデータベース問合せログ

- 21.7.4 Oracle Adaptive Access Managerのサーバー・ログ

- 21.7.5 データベース・チューニング

- 21.7.6 管理性

- 21.8 OracleまたはMicrosoft Server SQL Server以外のデータベースからのロード

- 21.8.1 OracleまたはMicrosoft Server SQL Server以外のデータベース用のオフライン・ローダー・データベース・プラットフォームの指定

- 21.8.2 OAAM以外のデータベースのビューの作成

- 21.8.2.1 OAAM_LOAD_DATA_VIEW

- 21.8.2.2 スキーマ例

- 21.9 実行するチェックポイントの変更

- 21.10 移行

- 21.11 ユース・ケース

- 21.11.1 ユース・ケース: 複数のスケジュール済ジョブを含むデプロイメントのアップグレード

- 21.11.2 ユース・ケース: リスク評価をオフラインで実行するソリューションの構成

- 21.11.3 ユース・ケース: 同じデータに対する複数回のログイン分析の実行(データのリセット)

- 21.11.4 ユース・ケース: 監視データのロールアップ

- 21.11.5 ユース・ケース: ダッシュボードの監視データの統合

- 21.11.6 ユース・ケース: 複数のソースからのトランザクション・データのロードとリスク評価の実行

- 21.11.7 ユース・ケース: OAAMオフラインの使用(標準的なロード)

- 21.12 ベスト・プラクティス

- 21.12.1 ワーカー/ライター・スレッドの構成

- 21.12.2 I/Oの性能に優れたデータベース・サーバー

- 21.12.3 データベースの索引

- 21.12.4 メモリー・バッファ・サイズの設定

- 21.12.5 入力データの質

- 21.12.6 デバイス・データの構成

- 21.12.7 可用性

- 21.12.8 OAAMローダーとファイル・ベースおよびカスタム・ローダー

- 21.12.9 カスタム・ローダーの使用方法

第VIII部 ジョブのスケジュール

22 OAAMでのジョブのスケジューリングと処理

- 22.1 アクセス制御

- 22.2 OAAMのジョブの概要

- 22.2.1 ジョブ・インタフェース

- 22.2.2 ジョブ・キュー

- 22.2.3 ジョブの検索

- 22.3 ジョブ作成ウィザードの起動

- 22.3.1 ジョブの作成: 一般

- 22.3.2 ジョブの作成: ロードの詳細(「ロード」ジョブと「ロードおよび実行」ジョブの場合)

- 22.3.3 ジョブの作成: 実行の詳細(「実行」ジョブと「ロードおよび実行」ジョブの場合)

- 22.3.4 ジョブの作成: データ・フィルタ

- 22.3.5 ジョブの作成: スケジュール

- 22.3.5.1 ジョブの優先度

- 22.3.5.2 スケジュール・タイプ

- 22.3.5.3 取消し時間

- 22.3.6 ジョブの作成: サマリー

- 22.4 ジョブの作成

- 22.4.1 ロード・ジョブの作成

- 22.4.1.1 ロード・ジョブ・タイプの選択とジョブ詳細の指定

- 22.4.1.2 カスタム・ローダーのロードの詳細の指定

- 22.4.1.3 OAAMデータ・ローダーのロードの詳細の指定

- 22.4.1.4 特定の日付より後に作成されたすべてのデータをロードする指定

- 22.4.1.5 日付範囲内に作成されたデータをロードする指定

- 22.4.1.6 1回実行されるロード・ジョブのスケジュール

- 22.4.1.7 定期的に実行されるロード・ジョブのスケジュール(繰返し)

- 22.4.1.8 ロード・ジョブのサマリーの詳細の確認

- 22.4.2 実行ジョブの作成

- 22.4.2.1 実行ジョブ・タイプの選択とジョブ詳細の指定

- 22.4.2.2 実行タイプとしてのデフォルトまたはカスタム実行の選択

- 22.4.2.3 分析するレコード・セットの指定

- 22.4.2.4 実行される分析のスケジュール

- 22.4.2.5 実行ジョブのサマリーの詳細の確認

- 22.4.3 ロードおよび実行ジョブの作成

- 22.4.3.1 ロードおよび実行ジョブ・タイプの選択と詳細の指定

- 22.4.3.2 ロードおよび実行ジョブのローダー・タイプの選択

- 22.4.3.3 ロードおよび実行ジョブのデータ・フィルタの指定

- 22.4.3.4 1回実行されるロードおよび実行ジョブのスケジュール

- 22.4.3.5 定期的に実行されるロードおよび実行ジョブのスケジュール(繰返し)

- 22.4.3.6 ロードおよび実行ジョブのサマリーの詳細の確認

- 22.4.4 監視データのロールアップ・ジョブの作成

- 22.4.4.1 監視データのロールアップ・ジョブについて

- 22.4.4.2 監視データのロールアップのタイプの選択と詳細の指定

- 22.4.4.3 ロールアップ単位およびカットオフ時間の指定

- 22.4.4.4 1回実行される監視データのロールアップ・ジョブのスケジュール

- 22.4.4.5 定期的に実行される監視データのロールアップのスケジュール(繰返し)

- 22.4.4.6 監視データのロールアップのサマリーの詳細の確認

- 22.5 ジョブの管理

- 22.5.1 ジョブの実行について

- 22.5.1.1 バルク・リスク分析ジョブ実行

- 22.5.1.2 実行データのリセット

- 22.5.1.3 グループの移入

- 22.5.1.4 パターン・バケットとメンバーシップ

- 22.5.1.5 アクション、アラート、スコア

- 22.5.2 ジョブの再スケジュールに関する注意事項

- 22.5.3 ジョブの即時実行

- 22.5.4 ジョブの一時停止

- 22.5.5 一時停止したジョブの再開

- 22.5.6 ジョブの取消し

- 22.5.7 ジョブの有効化

- 22.5.8 ジョブの無効化

- 22.5.9 ジョブの削除

- 22.5.10 ジョブ詳細の表示

- 22.5.11 ジョブのインスタンスの表示

- 22.5.12 ジョブ・ログの表示

- 22.5.13 ジョブ・キューの表示およびソート

- 22.5.13.1 ジョブ・キューの表示

- 22.5.13.2 ジョブ・キューのソート

- 22.6 ジョブの編集

- 22.6.1 ジョブの編集

- 22.6.2 監視データのロールアップの編集

- 22.7 移行

- 22.8 ユース・ケース

- 22.8.1 ユース・ケース: OAAMログイン・データのロードおよびチェックポイントの実行(繰返し)

- 22.8.2 ユース・ケース: トランザクション・データのロードおよびチェックポイントの実行(繰返し)

- 22.8.3 ユース・ケース: 即時実行ジョブの作成

- 22.8.4 ユース・ケース: 将来実行ジョブの作成

- 22.8.5 ユース・ケース: 繰返し実行ジョブの作成

- 22.8.6 ユース・ケース: ジョブ・キューの表示

- 22.8.7 ユース・ケース: ジョブの実行ログの表示

- 22.8.8 ユース・ケース: ジョブが正常に実行されたかどうかの確認

- 22.8.9 ユース・ケース: ジョブの実行順序の表示

第IX部 レポートおよび監査

23 OAAM管理機能およびパフォーマンスの監視

- 23.1 Oracle Adaptive Access Managerダッシュボードを使用したパフォーマンス・データおよび管理機能の監視

- 23.1.1 ダッシュボードとは

- 23.1.2 一般的な用語および定義

- 23.1.3 ナビゲーション

- 23.1.4 Oracle Adaptive Access Managerにおけるダッシュボードの使用

- 23.1.4.1 パフォーマンス

- 23.1.4.2 サマリー

- 23.1.4.3 ダッシュボード

- 23.2 Dynamic Monitoring Systemを使用したパフォーマンスの監視

- 23.2.1 ログイン情報(件数のみ)

- 23.2.2 ルール・エンジンの実行情報(件数および実行時間)

- 23.2.3 APIの実行情報(件数および実行時間)

- 23.3 Fusion Middleware Controlを使用したパフォーマンス・データおよび管理機能の監視

- 23.3.1 Fusion Middleware Controlの表示

- 23.3.2 ベース・ドメイン11gファーム・ページの表示

- 23.3.3 「Oracle Adaptive Access Managerクラスタ」ホーム・ページ

- 23.3.4 Oracle Adaptive Access Managerサーバー・ホーム・ページ

- 23.4 ユース・ケース

- 23.4.1 ユース・ケース: ダッシュボードにおけるルール・パフォーマンスのトレンドの表示

- 23.4.2 ユース・ケース: 現在のアクティビティの表示

- 23.4.3 ユース・ケース: 集計データの表示

- 23.4.4 ユース・ケース: 追加のセキュリティ管理者および不正調査担当者のユース・ケース

- 23.4.5 ユース・ケース: 追加のビジネス・アナリストのユース・ケース

- 23.4.6 ユース・ケース: OTPパフォーマンス・データの表示

24 レポートおよび監査

- 24.1 OAAMレポートの構成

- 24.1.1 Oracle BI Publisherとは

- 24.1.2 OAAMレポートおよびFusion Middleware監査用のOracle BI Publisher設定

- 24.1.2.1 Oracle BI Publisherの入手およびインストール

- 24.1.2.2 レポート・データベースへのOAAMレポートのコピー

- 24.1.2.3 OAAMレポート用のデータソースの設定

- 24.1.3 レポートの表示/実行

- 24.1.4 プリファレンスの設定

- 24.1.5 Oracle BI Publisherカタログおよびレポートの翻訳の追加

- 24.1.6 レポートのローカライズ

- 24.1.7 レポートのスケジュール

- 24.1.8 OAAMレポート

- 24.1.8.1 共通レポート

- 24.1.8.2 デバイス・レポート

- 24.1.8.3 KBAレポート

- 24.1.8.4 ロケーション・レポート

- 24.1.8.5 パフォーマンス・レポート

- 24.1.8.6 セキュリティ・レポート

- 24.1.8.7 サマリー・レポート

- 24.1.8.8 ユーザー・レポート

- 24.1.9 カスタムOAAMレポートの作成

- 24.1.9.1 データ・モデルの作成

- 24.1.9.2 ユーザー定義列挙の数値型コードと読取り可能な名前のマッピング

- 24.1.9.3 値リストの追加

- 24.1.9.4 地理的位置データの追加

- 24.1.9.5 セッションおよびアラートの追加

- 24.1.9.6 例

- 24.1.9.7 レポート定義へのレイアウトの追加

- 24.1.10 OAAMトランザクション・レポートの作成

- 24.1.10.1 エンティティおよびトランザクション情報の取得

- 24.1.10.2 エンティティ・データのマッピング情報の取得

- 24.1.10.3 トランザクション・データのマッピング情報の取得

- 24.1.10.4 トランザクション・レポートの作成

- 24.2 OAAMイベントの監査

- 24.2.1 監査の概要

- 24.2.2 監査レコードの格納について

- 24.2.3 監査可能なOracle Adaptive Access Managerイベント

- 24.2.3.1 カスタマ・ケア・イベント

- 24.2.3.2 KBA質問イベント

- 24.2.3.3 ポリシー管理イベント

- 24.2.3.4 ポリシー・セット管理イベント

- 24.2.3.5 グループ/リスト管理イベント

- 24.2.3.6 パターン管理イベント

- 24.2.3.7 動的アクション管理イベント

- 24.2.3.8 エンティティ管理イベント

- 24.2.3.9 トランザクション管理イベント

- 24.2.3.10 スナップショット管理イベント

- 24.2.3.11 OAAMサーバー管理イベント

- 24.2.3.12 ユーザー詳細イベント

- 24.2.3.13 インポート・イベント

- 24.2.4 Oracle Adaptive Access Managerの監査の設定

- 24.2.4.1 リポジトリ作成ユーティリティを使用した監査スキーマの作成

- 24.2.4.2 監査データベース用のデータソースの構成

- 24.2.4.3 監査の有効化

- 24.2.4.4 Oracle Business Intelligence Publisher監査レポートの設定

- 24.2.4.5 WebLogic Serverの再起動

- 24.2.5 Fusion Middleware監査フレームワーク・レポートの生成

- 24.2.6 Fusion Middleware共通ユーザー・アクティビティ・レポートの実行

- 24.2.7 監査レポート・フィルタの設定

- 24.2.8 Oracle Business Intelligence Publisherのスケジューラの構成

- 24.2.9 カスタム・レポートの設計および作成

- 24.3 ユース・ケース

- 24.3.1 ユース・ケース: BIPレポート

- 24.3.1.1 説明

- 24.3.1.2 手順

- 24.3.2 ユース・ケース: 「ログイン・サマリー」レポート

第X部 デプロイメント管理

25 プロパティ・エディタの使用

- 25.1 プロパティ検索ページへのナビゲート

- 25.2 プロパティの検索

- 25.3 プロパティの値の表示

- 25.4 列挙の表示

- 25.5 新規データベース・タイプ・プロパティの作成

- 25.6 データベースおよびファイル・タイプ・プロパティの値の編集

- 25.7 データベース・タイプ・プロパティの削除

- 25.8 データベースおよびファイル・タイプ・プロパティのエクスポート

- 25.9 データベース・タイプ・プロパティのインポート

- 25.10 プロパティ・エディタにおける列挙の編集

第XI部 コマンドライン・インタフェース

26 Oracle Adaptive Access Managerのコマンドライン・インタフェース・スクリプト

- 26.1 CLIの概要

- 26.2 CLIの使用

- 26.2.1 インポートまたはエクスポートのための使用状況情報の取得

- 26.2.2 コマンドライン・オプション

- 26.2.2.1 コマンドの構文

- 26.2.2.2 CLIのパラメータ

- 26.2.2.3 インポートおよびエクスポートのサポートされているモジュール

- 26.2.2.4 ファイルのインポート

- 26.2.2.5 ファイルのエクスポート

- 26.2.2.6 インポート・オプション

- 26.2.2.7 同じトランザクションでの、複数タイプのエンティティのインポート

- 26.2.2.8 複数のモジュールおよび追加のオプション(共通と固有)

- 26.2.2.9 トランザクション処理

- 26.2.2.10 ロケーション・データベースのアップロード

- 26.2.3 グローバリゼーション

- 26.3 IPロケーション・データのインポート

- 26.3.1 Oracle Adaptive Access Managerデータベースへのロケーション・データのロード

- 26.3.1.1 SQL Serverデータベースの設定

- 26.3.1.2 IPロケーション・ローダー・プロパティの設定

- 26.3.1.3 MaxMind IPデータのロードの設定

- 26.3.1.4 暗号化の設定

- 26.3.1.5 ロケーション・データのロード

- 26.3.2 システム動作

- 26.3.3 Quova/Neustarのファイル・レイアウト

- 26.3.3.1 ルーティング・タイプ・マッピング

- 26.3.3.2 接続タイプ・マッピング

- 26.3.3.3 接続スピード・マッピング

- 26.3.4 Oracle Adaptive Access Managerの表

- 26.3.4.1 アノニマイザ

- 26.3.4.2 ロケーション・ロードの表

- 26.3.5 ロードが成功したときの確認

- 26.3.6 IPロケーション・データに関するトラブルシューティングのヒント

第XII部 マルチテナント

27 CSRおよびエージェント操作のためのマルチテナント・アクセス制御

- 27.1 マルチテナント・アクセス制御

- 27.2 アプリケーションID (クライアント側)から組織ID (管理側)へのマッピング

- 27.3 マルチテナントのアクセス制御の設定

- 27.3.1 マルチテナントのアクセス制御の設定

- 27.3.2 CSRに対する特定の組織へのアクセスの提供

- 27.3.2.1 WebLogicの使用

- 27.3.2.2 Oracle Internet Directoryへのユーザーおよびグループの追加

- 27.3.2.3 LDAPストアへのユーザーおよびグループの追加

- 27.4 効果

- 27.5 マルチテナント・アクセス制御のユース・ケース

- 27.5.1 CSRおよびCSRマネージャのアクセス制御

- 27.5.2 エージェントのアクセス制御

- 27.5.3 CSRケースのAPIデータのアクセス制御

- 27.6 トラブルシューティング/FAQ

- 27.6.1 マルチテナント・アクセス制御を設定したはずなのに、CSRや調査担当者がまだすべてのケースにアクセスできる

- 27.6.2 マルチテナント・アクセス制御を設定し、プロパティがtrueに設定されていることを確認したのに、CSRおよび調査担当者がすべてのケースにアクセスできる

- 27.6.3 マルチテナント・アクセス制御を設定するとセキュリティ管理者およびシステム管理者は影響を受けるか

- 27.6.4 CSRおよび調査担当者は複数の組織にアクセスできるか

- 27.6.5 以前のアクセスに関係なくCSRまたは調査担当者のアクセスを特定の組織のみに制限できるか

- 27.6.6 CSRおよび調査担当者がケースにアクセスできない。何が問題なのか

第XIII部 トラブルシューティング

28 パフォーマンスに関する考慮事項およびベスト・プラクティス

- 28.1 パフォーマンスのトラブルシューティング

- 28.2 パフォーマンス監視およびトラブルシューティング・ツール

- 28.3 パフォーマンスのベスト・プラクティス

- 28.3.1 ポリシーとルール

- 28.3.2 ロギング

- 28.3.3 データベース

- 28.3.4 メモリー

- 28.3.5 ネットワーク

- 28.3.6 ハードウェア

29 FAQ/トラブルシューティング

- 29.1 複雑な問題を解決するための手法

- 29.1.1 簡単な手法

- 29.1.2 分断攻略

- 29.1.3 厳密な分析

- 29.1.4 分析のプロセス・フロー

- 29.1.4.1 問題の記述

- 29.1.4.2 問題の詳述

- 29.1.4.3 最初から機能していなかった要素

- 29.1.4.4 「である」および「でないが、かもしれない」

- 29.1.4.5 考えられる原因の展開

- 29.1.4.6 考えられる各原因の詳述書に対するテスト

- 29.1.4.7 原因の確定

- 29.1.4.8 失敗

- 29.2 トラブルシューティング・ツール

- 29.3 ポリシー、ルールおよび条件

- 29.4 グループ

- 29.5 自動学習

- 29.6 構成可能なアクション

- 29.7 エンティティおよびトランザクション

- 29.8 KBA

- 29.9 ケース管理

- 29.10 ジョブ

- 29.11 ダッシュボード

- 29.12 コマンドライン・インタフェース

- 29.13 インポート/エクスポート

- 29.14 ロケーション・ローダー

- 29.15 デバイス登録

- 29.16 タイム・ゾーン

- 29.17 暗号化

- 29.18 ローカライゼーション

- 29.19 各種の暗号化アルゴリズムの使用および新しい暗号化拡張機能への追加

- 29.20 仮想認証デバイス

- 29.20.1 Oracle WebLogicのタイムアウト・セッション・オプション

- 29.21 OAAMスキーマ

- 29.22 アップグレード

第XIV部 付録

A OAAMの使用

- A.1 調査 - アラート中心のフロー

- A.2 調査 - セッション中心のフロー

- A.3 調査 - 自動生成されたエージェント・ケースのフロー

- A.4 エスカレーション済エージェント・ケース

- A.5 トランザクションの検索: フィルタ1の追加

- A.6 トランザクションの検索: フィルタ2の追加

- A.7 電信送金する金額(ドル)のパターン

- A.8 出荷先住所の国のパターンと請求の不一致

- A.9 ブラウザのロケール・パターン

- A.10 出荷先住所の国別のクレジット・カード・パターン

- A.11 リンクされたエンティティ

B 条件リファレンス

- B.1 使用可能な条件

- B.2 説明

- B.3 自動学習条件

- B.3.1 パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです

- B.3.2 パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

- B.3.3 パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

- B.3.4 パターン(認証): エンティティはN回にわたるパターンのメンバーです

- B.3.5 パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです

- B.3.6 パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです

- B.3.7 パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです

- B.3.8 パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです

- B.3.9 パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

- B.3.10 パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

- B.3.11 パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

- B.3.12 パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

- B.4 デバイス条件

- B.4.1 デバイス: ブラウザ・ヘッダー・サブストリング

- B.4.2 デバイス: デバイスが特定のタイプであるかどうかの確認

- B.4.3 デバイス: ユーザーの初回デバイス

- B.4.4 デバイス: 過剰使用

- B.4.5 グループ内のデバイス

- B.4.6 デバイス: 登録済

- B.4.7 デバイス: 期間内の指定ステータス以外

- B.4.8 デバイス: ユーザーの使用数

- B.4.9 デバイス: ユーザー件数

- B.4.10 デバイス: ユーザー・ステータス件数

- B.4.11 デバイス: 最終ログインからの速度とIPグループの無視

- B.4.12 デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認

- B.5 ロケーション条件

- B.5.1 ロケーション: グループ内ASN

- B.5.2 ロケーション: 市区町村グループ内

- B.5.3 ロケーション: キャリア・グループ内

- B.5.4 ロケーション: 国グループ内

- B.5.5 ロケーション: グループ内のIP接続タイプ

- B.5.6 ロケーション: 範囲グループ内のIP

- B.5.7 ロケーション: IP回線スピード・タイプ

- B.5.8 ロケーション: IP最大ユーザー数

- B.5.9 ロケーション: グループ内IPルーティング・タイプ

- B.5.10 ロケーション: AOLからのIP

- B.5.11 ロケーション: 都道府県グループ内

- B.5.12 ロケーション: IP接続タイプ

- B.5.13 ロケーション: IP最大ログイン数

- B.5.14 ロケーション: IP過剰使用

- B.5.15ロケーション: 期間内の指定ステータス以外

- B.5.16 ロケーション: グループ内IP

- B.5.17 ロケーション: グループ内ドメイン

- B.5.18 ロケーション: グループ内のIP接続スピード

- B.5.19 ロケーション: グループ内ISP

- B.5.20 ロケーション: グループ内トップ・レベル・ドメイン

- B.5.21 ロケーション: IP複数デバイス

- B.5.22 ロケーション: IPルーティング・タイプ

- B.5.23 ロケーション: IPタイプ

- B.5.24 ロケーション: ユーザー・ステータス件数

- B.6 セッション条件

- B.6.1 セッション: パラメータ値の確認

- B.6.1.1 パラメータ

- B.6.1.2 使用例

- B.6.2 セッション: グループ内のパラメータ値の確認

- B.6.3 セッション: 正規表現のパラメータ値の確認

- B.6.3.1 パラメータ

- B.6.3.2 使用例

- B.6.4 セッション: 2つの文字列パラメータ値の確認

- B.6.5 セッション: 文字列値の確認

- B.6.5.1 パラメータ

- B.6.5.2 使用例

- B.6.6 セッション: 時間単位条件

- B.6.7 セッション: 2つのパラメータ値の比較

- B.6.8 セッション: フィルタ条件を使用した現在のセッションの確認

- B.6.9 セッション: リスク・スコア分類の確認

- B.6.10 セッション: Cookie不一致

- B.6.11 セッション: ブラウザ・フィンガープリントにおける不一致

- B.6.12 セッション: 現在の日時との比較

- B.6.13 セッション: IP変更

- B.6.14 セッション: カンマ区切り値内にある値の確認

- B.7 システム条件

- B.7.1 システム - ブール・プロパティの確認

- B.7.1.1 パラメータ

- B.7.1.2 使用例

- B.7.2 システム - 十分なパターン・データの確認

- B.7.3 システム: 任意のパターンに対して十分なデータが使用可能かどうかが確認されます

- B.7.4 システム - 整数プロパティの確認

- B.7.5 システム - リクエスト日の確認

- B.7.6 システム - 文字列プロパティの確認

- B.8 トランザクション条件

- B.8.1 トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認

- B.8.2 トランザクション: フィルタ条件を使用した現在のトランザクションの確認

- B.8.3 トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認

- B.8.4 トランザクション: トランザクションでエンティティが使用された回数の確認。

- B.8.5 トランザクション: フィルタ条件を使用したトランザクション集計および件数の確認

- B.8.6 トランザクション: フィルタ条件を使用したトランザクション件数の確認

- B.8.7 トランザクション: 2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)の比較

- B.8.8 トランザクション: 2つの異なる期間でのトランザクション件数の比較

- B.8.9 トランザクション: 2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較

- B.8.10 トランザクション: 指定件数の一意トランザクション・エンティティ件数の確認

- B.9 ユーザー条件

- B.9.1 ユーザー: 失効セッション

- B.9.2 ユーザー: 使用されるデバイス

- B.9.3 ユーザー: 特定のタイプのデバイスが使用されているかどうかの確認

- B.9.4 ユーザー: 特定のタイプの登録済デバイス数の確認

- B.9.5 ユーザー: 最終成功からの速度

- B.9.6 ユーザー: 最終成功ログインからの速度

- B.9.7 ユーザー: 制限内における最終成功ログインからの速度

- B.9.8 ユーザー: 最終成功ログインからの距離

- B.9.9 ユーザー: 制限内での最終成功ログインからの距離

- B.9.10 ユーザー: 認証イメージ割当済

- B.9.11 ユーザー: 認証モード

- B.9.12 ユーザー: 期間内のステータス件数

- B.9.13 ユーザー: 期間内のチャレンジ

- B.9.14 ユーザー: チャレンジ・チャネル失敗

- B.9.15 ユーザー: チャレンジ質問失敗

- B.9.16 ユーザー: チャレンジ失敗 - 最小失敗数

- B.9.17 ユーザー: チャレンジの最大失敗数

- B.9.18 ユーザー: チャレンジ失敗が以前の最終チャレンジに一致

- B.9.19 ユーザー: OTP失敗の確認

- B.9.20 ユーザー: 複数の失敗

- B.9.21 ユーザー: グループ内

- B.9.22 ユーザー: グループでのログイン

- B.9.23 ユーザー: グループ内のユーザー・グループ

- B.9.24 ユーザー: アクション件数

- B.9.25 ユーザー: 期間内のアクション件数

- B.9.26 ユーザー: 最終セッション・アクションの確認

- B.9.27 ユーザー: アカウント・ステータス

- B.9.28 ユーザー: クライアントおよびステータス

- B.9.29 ユーザー: 質問ステータス

- B.9.30 ユーザー: イメージ・ステータス

- B.9.31 ユーザー: フレーズ・ステータス

- B.9.32 ユーザー: プリファレンス構成済

- B.9.33 ユーザー: 情報の確認

- B.9.34 ユーザー: ユーザー・データのチェック

- B.9.35 ユーザー: ユーザー・データのチェック

- B.9.36 ユーザー: ユーザー・エージェント率の一致

- B.9.37 ユーザー: ユーザー・エージェントの一致

- B.9.38 ユーザー: 不正なユーザー・リクエストの確認

- B.9.39 ユーザー: 異常なユーザー・リクエストの確認

- B.9.40 ユーザー: ユーザーはN回にわたるパターンのメンバーです

- B.9.41 ユーザー: ユーザーの初回国

- B.9.42 ユーザー: ユーザーの初回国

- B.9.43 ユーザー: グループの初回国

- B.9.44 ユーザー: ユーザーの初回都道府県

- B.9.45 ユーザー: ユーザーの初回都道府県

- B.9.46 ユーザー: ユーザーの初回市区町村

- B.9.47 ユーザー: ユーザーの初回市区町村

- B.9.48 ユーザー: 初回ログイン

- B.9.49 ユーザー: 初回IPキャリア

- B.9.50 ユーザー: ユーザーの初回IP

- B.9.51 ユーザー: ユーザーの初回ISP

- B.9.52ユーザー: 初回ログイン時間の確認

- B.9.53 ユーザー: 初回ASN

- B.9.54 ユーザー: ユーザーの初回キャリア

- B.9.55 ユーザー: 最大国数

- B.9.56 ユーザー: 最大都道府県数

- B.9.57 ユーザー: 最大市区町村数

- B.9.58 ユーザー: 期間内の最大ロケーション数

- B.9.59 ユーザー: 時間内の最大IP数

- B.9.60 ユーザー: ユーザーの国失敗件数

- B.9.61 ユーザー: ログイン件数の確認

- B.9.62 ユーザー: 最終ログイン・ステータス

- B.9.63 ユーザー: 指定時間内の最終ログイン

- B.9.64 ユーザー: ログイン時間の確認

- B.9.65 ユーザー: 指定時刻間のログイン時間

- B.9.66 ユーザー: 現在のIPと一致する最終IP

- B.9.67 ユーザー: 期間内のロケーション使用

- B.9.68 ユーザー: チェックポイント・スコア

C OAAMプロパティ

- C.1 OAAMプロパティ

- C.1.1 エージェント・ケース・プロパティ

- C.1.2 自動学習プロパティ

- C.1.3 構成可能なアクション・プロパティ

- C.1.4 カスタマ・ケア・プロパティ

- C.1.5 データベース・アクティビティ

- C.1.6 デバイス登録プロパティ

- C.1.7 デジタル・フィンガープリント・プロパティ

- C.1.8 暗号化されたデータ・マスキング・プロパティ

- C.1.9 暗号化

- C.1.10 エンティティ・プロパティおよびトランザクション・プロパティ

- C.1.11 ファジー・ロジック

- C.1.12 グループ・プロパティ

- C.1.13 調査プロパティ

- C.1.14 KBAプロパティ

- C.1.15 モバイル・プロパティ

- C.1.16 オフライン・スケジューラ・プロパティ

- C.1.17 OTPプロパティ

- C.1.18 ポリシー・プロパティ、ルール・プロパティおよび条件プロパティ

- C.1.19 プロパティ・エディタ・プロパティ

- C.1.20 プロキシ・プロパティ

- C.1.21 SOAP構成プロパティ

- C.1.22 ステータス: アカウント・ステータス・プロパティ

- C.1.23 ステータス: 認証ステータス

- C.1.24 ステップアップ認証プロパティ

- C.1.25 タイム・ゾーン・プロパティ

- C.1.26 ユーザー・インタフェース・プロパティ

- C.1.27 仮想認証デバイス・プロパティ

- C.1.28 パフォーマンス

- C.2 列挙

- C.2.1 新規ケース・ステータスの追加

- C.2.2 新規アラート・レベルの追加

- C.2.3 ケース・ステータスへの事前に作成したノートの追加

- C.2.4 新規ケース重大度の追加

- C.2.5 ケース・ステータスの自動変更の構成

- C.2.6 CSRケースの有効期限動作の構成

- C.2.6.1 CSRケースの有効期限動作の無効化

- C.2.6.2 CSRケースの有効期限動作の設定

- C.2.7 エージェント・ケースの有効期限動作の構成

- C.2.7.1 エージェント・ケースの有効期限動作の無効化

- C.2.7.2 エージェント・ケースの有効期限動作の設定

- C.2.8 エージェント・ケースのアクセス権の構成

D アーカイブおよびパージ手順の設定

- D.1 概要

- D.2 データベースでのスクリプトの設定

- D.2.1 非EBRスキーマ

- D.2.2 EBRスキーマ

- D.3 アーカイブ・スクリプトおよびパージ・スクリプトの実行

- D.4 パーティション・メンテナンス・スクリプトの実行

- D.4.1 週次パーティションの削除

- D.4.2 月次パーティションの削除

- D.5 OLTP (オンライン・トランザクション処理)表の最小データ保存ポリシー

- D.6 パージ・スクリプトを実行する際のベスト・プラクティス/ガイドライン

- D.7 アーカイブおよびパージの対象となるデータの詳細

- D.7.1 ログインおよびデバイス・データ

- D.7.2 ルールおよびポリシー・ログ・データ

- D.7.3 トランザクションおよびエンティティ・データ

- D.7.4 自動学習データ

- D.7.5 プロファイル・データ

- D.7.6 ケース関連データ

- D.7.7 監視データ

- D.8 関連ストアド・プロシージャのリスト

E デバイスのフィンガープリント処理および識別

- E.1 OAAMデバイスのフィンガープリント処理

- E.1.1 フィンガープリント処理のタイプ

- E.1.1.1 Webブラウザ・ベースのフィンガープリント処理

- E.1.1.2 Flashフィンガープリント処理

- E.1.1.3 モバイル・デバイスのフィンガープリント処理

- E.1.1.4 カスタム・クライアントのフィンガープリント処理

- E.1.2 デバイスのフィンガープリントの構成

- E.1.2.1 セキュアなCookieおよびブラウザの特性

- E.1.2.2 Flash共有オブジェクトおよびデバイス特性

- E.1.2.3 ネイティブ・モバイル・アプリケーション

- E.1.2.4 IPインテリジェンスおよび履歴コンテキスト

- E.1.3 標準フィンガープリント処理の設定

- E.1.4 ネイティブ統合とデバイスのフィンガープリント処理

- E.1.5 ネイティブ統合でのFlashフィンガープリント処理の設定

- E.1.6 カスタム・フィンガープリント処理の設定

- E.1.7 ネイティブ統合でのモバイル・デバイス・フィンガープリントの変更

- E.1.8 フィンガープリント・データの表示

- E.1.8.1 セッション詳細

- E.1.8.2 ユーザー詳細: フィンガープリント・データ

- E.1.8.3 ロケーション詳細: 「フィンガープリント」タブ

- E.1.8.4 デバイス詳細

- E.1.8.5 「フィンガープリント詳細」ページ

- E.1.8.6 アラート詳細: フィンガープリント・データ

- E.2デバイス識別

- E.2.1 デバイスIDの割当て

- E.2.2 デバイス識別ポリシー

- E.2.2.1 OAAMベース・デバイスIDポリシー

- E.2.2.2 OAAMモバイル・デバイスIDポリシー

- E.2.2.3 OAAMデバイスIDポリシー

- E.2.3 ネイティブ統合とデバイスID

- E.2.4 デバイス識別の拡張

- E.2.4.1 前提条件

- E.2.4.2 カスタム・デバイス識別拡張の開発

- E.2.4.3 相互作用の概要

- E.2.4.4 コンパイル、アセンブルおよびデプロイ

- E.2.4.5 拡張の実装に関する重要な注意

- E.3 ユース・ケース

- E.4 デバイスのフィンガープリント処理のトラブルシューティング

- E.5 デバイス識別とフィンガープリント処理でよくある質問

- E.5.1 カスタム属性のユース・ケース

- E.5.1.1 カスタム属性が使用可能な場合

- E.5.1.2 カスタム属性が使用不可でFlashがインストールされていない場合

- E.5.1.3 カスタム属性の検索

- E.5.1.4 Flash Cookieをクリア

- E.5.1.5 Secure Cookiesを削除しましたか。

F グローバリゼーション・サポート

- F.1 サポートされている言語

- F.2 ダッシュボード

- F.3 ナレッジベース認証

- F.3.1 回答ロジックの音声アルゴリズム

- F.3.2 キーボード・ファット・フィンガリング

- F.3.3 登録に関する質問の追加

G OAAMアクセス・ロール

- G.1 OAAMのユーザーおよびロールの理解

- G.2 CSR (OAAMCSRGroup)

- G.3 CSRマネージャ(OAAMCSRManagerGroup)

- G.4 不正調査担当者(OAAMInvestigatorGroup)

- G.5 不正調査マネージャ(OAAMInvestigationManagerGroup)

- G.6 セキュリティ管理者(OAAMRuleAdministratorGroup)

- G.7 システム管理者(OAAMEnvAdminGroup)

- G.8 OAAMSOAPServicesGroup

- G.9 監査者

H パターン処理

- H.1 パターン・データ処理

- H.2 パターン・データ処理をトリガーするためのAPI

- H.2.1 updateTransaction

- H.2.2 updateAuthStatus

- H.2.3 processPatternAnalysis

I SOAP Webサービス・アクセスの構成

- I.1 Webサービス・アクセス

- I.2 要件

- I.3 OAAMのサーバー側設定

- I.4 クライアント側設定

- I.4.1 SOAPユーザーのパスワードでのクライアント・キーストアの設定

- I.4.2 SOAP認証の無効化

- I.4.3 SOAPクラスの指定

- I.4.4 SOAPサーバー側URLの指定

- I.4.5 SOAPコール・タイムアウトの指定

- I.5 サーバーでのSOAPサービス認証の無効化

J ロギングの構成

- J.1 ロギング構成ファイル

- J.2 Oracle Adaptive Access Managerロガー

- J.3 ロギング・レベル

- J.4 ハンドラ

- J.4.1 ファイル・ハンドラの構成

- J.4.2 コンソール・ロギングとファイル・ロギングの両方の構成

- J.5 oracle.oaamログのリダイレクト

- J.6 ロギング・レベルの設定

K ルールおよびフィンガープリント・ロギング

- K.1 概要

- K.2 ルール・ロギング

- K.2.1 ルール・ロギングの有効化

- K.2.2 ルールをロギングするタイミングの指定

- K.2.3 プロセス・フロー

- K.2.4 プロパティ設定の組合せと結果

- K.2.5 ロギングするルールの構成

- K.2.5.1 仕組み

- K.2.5.2 例

- K.3 詳細ルール・ロギング

- K.3.1 詳細ロギングの時間しきい値の構成

- K.3.2 フィンガープリント・ルール・ロギングの有効化

- K.3.3 フィンガープリント・ロギングと詳細ロギングの両方を実行するためのプロパティの指定

用語集

索引

図一覧

- 1-1 アクセス・セキュリティ

- 1-2 OAAMデプロイメント・オプション

- 2-1 資格証明ストアでのデータベース資格証明の設定

- 2-2 タイム・ゾーン構成

- 3-1 Oracle Adaptive Access Managerのコンポーネントの分散

- 3-2 Oracle Adaptive Access Managerのサインイン

- 3-3 OAAM管理コンソール

- 3-4 ナビゲーション・ツリー

- 3-5 メニューとツールバー

- 3-6 「表示」メニュー

- 3-7 「アクション」メニュー

- 3-8 ポリシー・ツリー

- 3-9 結果のメニューとツールバー

- 3-10 ケース詳細

- 4-1 CSRケース検索ページ

- 4-2 ケース詳細

- 4-3 ログの検索

- 4-4 「セッション」タブ

- 4-5 ケースの作成

- 4-6 類似作成

- 4-7 カスタマ・リセット

- 4-8 チャレンジ質問

- 4-9 質問の依頼フロー

- 4-10 ノートの追加

- 5-1 調査インタフェース

- 5-2 セッション検索ページ

- 5-3 トランザクションの検索

- 5-4 ワークフローの置換

- 5-5 グループに追加するデータ型の選択

- 5-6 データ要素を追加する新規グループの作成

- 5-7 新規グループへの追加

- 5-8 「トランザクション詳細」ページにおけるトランザクション・データの表示

- 5-9 「トランザクション詳細」ページにおけるアラートの表示

- 5-10 フィルタ結果の表示

- 5-11 トランザクションの比較

- 5-12 トランザクションの比較の表示

- 5-13 フィルタの適用

- 5-14 セッション詳細

- 5-15 トランザクション検索結果の表示

- 5-16 リンク・ボタン

- 5-17 リンク・セッション検索

- 5-18 リンクに関するノートの追加

- 5-19 「ケース詳細」ページ

- 6-1 セッション検索ページ

- 6-2 既存のグループへの追加

- 6-3 セッション・パラメータを追加する新しいグループの作成

- 6-4 ポリシー・エクスプローラ

- 6-5 セッション検索

- 6-6 ロケーション詳細(米国): デバイス

- 6-7 ロケーション詳細(米国): グループ

- 6-8 ロケーション詳細: ユーザー

- 6-9 ロケーション詳細: アラート

- 6-10 ユーザー詳細: サマリー

- 6-11 プロファイル・データ

- 6-12 ユーザー詳細: グループ

- 6-13 ユーザー詳細: 「デバイス」タブ

- 6-14 ユーザー詳細: ロケーション

- 6-15 ユーザー詳細: 「セッション」タブ

- 6-16 ユーザー詳細: アラート

- 6-17 フィンガープリント・タイプによる検索

- 6-18 アプレット・フィンガープリント検索

- 6-19 モバイル・フィンガープリント検索

- 6-20 ブラウザ・フィンガープリント検索での「フィールドの追加」

- 6-21 Flashフィンガープリント検索での「フィールドの追加」

- 6-22 ブラウザおよびFlashフィンガープリントの結果の表示

- 6-23 ユーザー詳細: ポリシー

- 6-24 ロケーション詳細(米国): グループ

- 6-25 ロケーション詳細: ユーザー

- 6-26 ロケーション詳細(米国): デバイス

- 6-27 ロケーション詳細: アラート

- 6-28 ロケーション詳細: フィンガープリント・データ

- 6-29 デバイス詳細: フィンガープリント・データ

- 6-30 デジタル・フィンガープリント・データの表示

- 6-31 ブラウザ・フィンガープリント・データの表示

- 6-32 フィンガープリント詳細: ユーザー

- 6-33 フィンガープリント詳細: デバイス

- 6-34 フィンガープリント詳細: ロケーション

- 6-35 フィンガープリント詳細: セッション

- 6-36 フィンガープリント詳細: アラート

- 6-37 「アラート」パネル

- 6-38 アラート詳細: サマリー

- 6-39 アラート詳細: ユーザー

- 6-40 アラート詳細: デバイス

- 6-41 アラート詳細: ロケーション

- 6-42 アラート詳細: セッション

- 6-43 アラート詳細: フィンガープリント・データ

- 7-1 セキュリティ質問登録のドロップダウン・メニュー

- 7-2 グローバル検証の追加

- 7-3 回答ロジック

- 7-4 質問検索ページ

- 7-5 「検証」ページ

- 8-1 OTP導入

- 8-2 Oracle User Messaging Service

- 10-1 ポリシー検索ページ

- 10-2 ポリシー構造

- 10-3 ポリシー詳細の「ルール」タブ

- 10-4 スコアリング

- 10-5 トリガー組合せの構造

- 10-6 トリガー組合せの例

- 10-7 ポリシーおよびチェックポイント

- 10-8 認証フロー

- 10-9 パスワードを忘れた場合のフロー

- 10-10 パスワードのリセット

- 10-11 OAAM認証前フロー

- 10-12 OAAMベース・デバイスIDフロー図

- 10-13 OAAMモバイル・デバイスIDフロー図

- 10-14 OAAM AuthentiPadフロー

- 10-15 OAAM認証後セキュリティ・フロー

- 10-16 OAAM予測分析ポリシー・フロー

- 10-17 自動学習(パターン・ベース)ポリシー: 「OAAMユーザー・プロファイルの有無」のフロー

- 10-18 自動学習(パターン・ベース)ポリシー: OAAMユーザー対自分自身のフロー

- 10-19 自動学習(パターン・ベース)ポリシー: OAAMユーザー対すべてのユーザー・フロー

- 10-20 OAAM登録フロー

- 10-21 OAAMチャレンジ・フロー

- 10-22 カスタマ・ケア質問依頼フロー

- 11-1 ポリシー検索ページ

- 11-2 「ポリシー」ページ

- 11-3 新規ポリシー

- 11-4 ルールの作成

- 11-5 新規ルール

- 11-6 条件の追加

- 11-7 条件の追加

- 11-8 条件のパラメータ

- 11-9 トリガー組合せ

- 11-10 ポリシー検索ページ

- 11-11 ポリシー詳細の「サマリー」タブ

- 11-12 ポリシー詳細の「ルール」タブ

- 11-13 ルール検索ページ

- 11-14 ポリシーのインポート

- 12-1 グループ作成フロー

- 12-2 グループ検索

- 12-3 「グループの作成」画面

- 12-4 メンバーの検索および選択

- 12-5 メンバーの追加

- 12-6 アラートの作成

- 12-7 アクションの検索

- 12-8 ブラックリストに記載された国

- 15-1 ログイン時間

- 15-2 単一バケット

- 15-3 国の複数バケット

- 15-4 バケット評価

- 15-5 「範囲」比較演算子

- 15-6 パターン検索ページ

- 15-7 新しいパターン

- 15-8 属性の追加

- 15-9 バケットを使用した時間外アクセスの追跡

- 16-1 カスタム構成アクションの開発およびデプロイ

- 16-2 「構成可能なアクション」ウィザードのフロー

- 19-1 単純なエンティティ

- 19-2 住所エンティティ

- 19-3 住所エンティティのエンティティ・インスタンス

- 19-4 「新規エンティティ」ページ

- 19-5 エンティティ・データ

- 19-6 エンティティのIDスキーム

- 19-7 エンティティの表示

- 19-8 「エンティティのリンク」ダイアログ

- 19-9 「リンクされたエンティティ」タブ

- 19-10 エンティティ定義の検索

- 19-11 エンティティを開く

- 19-12 エンティティの使用状況

- 20-1 トランザクション定義作成プロセス

- 20-2 データの関係

- 20-3 既存のエンティティの追加

- 20-4 リンクされたエンティティ

- 20-5 小売りE-Commerceのデータ

- 20-6 小売りE-Commerceのソース・データ

- 20-7 小売りE-Commerceのマッピング

- 20-8 エンティティ・データのマッピング

- 20-9 小売りE-Commerceのパージ

- 21-1 OAAMオフラインのアーキテクチャ

- 21-2 データ・ローダー

- 23-1 「パフォーマンス」パネル

- 23-2 「サマリー」パネル

- 23-3 5つのダッシュボード

- 23-4 データ型選択後の選択項目

- 23-5 パフォーマンスごとのデータ型の表示

- 23-6 合計およびトレンド・ビュー

- 23-7 ツールチップ

- 23-8 Fusion Middleware Controlのログイン

- 23-9 Oracle Adaptive Access Managerファーム・ホームページ

- 23-10 「ファーム」メニュー

- 23-11 動的メニュー

- 25-1 「プロパティ」ページ

- 27-1 マルチテナント・アクセス制御のシナリオ

- 27-2 アプリケーションIDから組織IDへのマッピング

- 28-1 パフォーマンスごとのデータ型の表示

- 29-1 自動学習処理

- A-1 エンティティのサマリー

- A-2 エンティティのサマリー

- D-1 データ増大の問題がないためにパージされない表

- D-2 保存期間

- D-3 パージまたはアーカイブの判定

- E-1 フィンガープリント・タイプによる検索

- E-2 アプレット・フィンガープリント検索

- E-3 モバイル・フィンガープリント検索

- E-4 ブラウザおよびFlashフィンガープリントの結果の表示

- E-5 ロケーション詳細: フィンガープリント・データ

- E-6 デバイス詳細: フィンガープリント・データ

- E-7 デジタル・フィンガープリント・データの表示

- E-8 ブラウザ・フィンガープリント・データの表示

- E-9 フィンガープリント詳細: ユーザー

- E-10 フィンガープリント詳細: デバイス

- E-11 フィンガープリント詳細: ロケーション

- E-12 フィンガープリント詳細: セッション

- E-13 フィンガープリント詳細: アラート

- E-14 アラート詳細: フィンガープリント・データ

- E-15 デバイスIDポリシーのトリガー組合せ1-3

表一覧

- 1-1 Oracle Adaptive Access Managerの機能

- 1-2 Oracle Adaptive Access Managerの防御メカニズム

- 1-3 Oracle Adaptive Access Managerのデプロイメント・オプション

- 2-1 OAAMベース環境の設定

- 2-2 oaam_cli.propertiesに記載されているCLIスクリプト起動プロパティ

- 3-1 OAAMの機能

- 3-2 選択したノードの「新規作成」

- 3-3 「表示」メニューのコマンド

- 3-4 「アクション」のコマンド

- 3-5 ポリシー・ツリーの記号

- 3-6 開いているページ

- 3-7 結果のメニューとツールバー

- 4-1 CSRおよびCSRマネージャ・ロールの権限

- 4-2 検索フィルタ

- 4-3 ログ検索フィルタ

- 4-4 セッション検索フィルタ

- 4-5 ケース・ステータス

- 4-6 CSRアクセス

- 5-1 不正調査ロールの権限

- 5-2 マルチテナントによる不正調査担当者の使用環境

- 5-3 調査ワークフロー

- 5-4 日付および時間フィールドの演算子

- 5-5 「アラート詳細」タブ

- 5-6 トランザクションの検索フィルタ

- 5-7 トランザクションのサマリー情報

- 5-8 「トランザクション詳細」のトランザクション・データ

- 5-9 アラート・セッション・データ

- 5-10 トランザクション詳細

- 5-11 「リンク・セッション」列

- 5-12 「アラート詳細」タブ

- 5-13 サマリーおよびトランザクション・データ

- 5-14 トランザクションのサマリー情報

- 5-15 「トランザクション詳細」のトランザクション・データ

- 5-16 アラート・セッション・データ

- 5-17 フィルタ・ページの検索結果

- 5-18 ログ検索フィルタ

- 5-19 ユーザー・データ

- 5-20 ケース詳細

- 5-21 セッション検索フィルタ

- 5-22 セッション検索結果

- 5-23 セッション・チェックポイント・アクション

- 5-24 チェックポイント内のポリシー

- 5-25 ユーザーに関する基本情報

- 5-26 登録情報

- 5-27 プロファイル・データ

- 5-28 基本情報

- 5-29 フィンガープリント情報

- 5-30 ロケーション詳細

- 5-31 トランザクションの検索フィルタ

- 5-32 セッション検索結果

- 5-33 「アラート詳細」タブ

- 5-34 トランザクション検索結果

- 5-35 検索フィルタ

- 5-36 ケース・ステータス

- 6-1 セッション検索フィルタ

- 6-2 検索セッションの結果

- 6-3 グループへの追加およびグループからの削除

- 6-4 「グループに追加」ダイアログのフィルタ

- 6-5 「グループに追加」のフィールド

- 6-6 ユーザー詳細のタブ

- 6-7 ユーザー詳細: ユーザーに関する基本情報

- 6-8 ユーザー詳細: 登録情報

- 6-9 ユーザー詳細: プロファイル・データ

- 6-10 ユーザー詳細: グループ・フィルタ

- 6-11 ユーザー詳細: 「デバイス」タブ

- 6-12 ユーザー詳細: 「ロケーション」タブ

- 6-13 ユーザー詳細: 「セッション」タブ

- 6-14 ユーザー詳細: アラート・フィルタ

- 6-15 ユーザー詳細: 「フィンガープリント・データ」タブ

- 6-16 グループ・フィルタ

- 6-17 「ロケーション」タブ

- 6-18 アラート・フィルタ

- 6-19 「セッション」タブ

- 6-20 ロケーション詳細のタブ

- 6-21 国詳細

- 6-22 都道府県詳細

- 6-23 市区町村詳細

- 6-24 IP詳細

- 6-25 ロケーション詳細: グループ・フィルタ

- 6-26 ロケーション詳細: 「ユーザー」タブ

- 6-27 ロケーション詳細: 「デバイス」タブ

- 6-28 ロケーション詳細: アラート・フィルタ

- 6-29 「セッション」タブ

- 6-30 フィンガープリント・データ

- 6-31 ロケーション詳細: グループ・フィルタ

- 6-32 デバイス詳細のタブ

- 6-33 デバイス詳細の基本情報

- 6-34 デバイス詳細のフィンガープリント情報

- 6-35 デバイス詳細: グループ・フィルタ

- 6-36 デバイス詳細: 「ユーザー」タブ

- 6-37 デバイス詳細: 「ロケーション」タブ

- 6-38 デバイス詳細: アラート・フィルタ

- 6-39 「セッション」タブ

- 6-40 デバイス詳細: フィンガープリント・データ

- 6-41 グループ・フィルタ

- 6-42 「ユーザー」タブ

- 6-43 「ロケーション」タブ

- 6-44 アラート・フィルタ

- 6-45 「セッション」タブ

- 6-46 フィンガープリント詳細のタブ

- 6-47 フィンガープリント詳細: 「ユーザー」タブ

- 6-48 フィンガープリント詳細: 「デバイス」タブ

- 6-49 フィンガープリント詳細: 「ロケーション」タブ

- 6-50 フィンガープリント詳細: 「セッション」タブ

- 6-51 フィンガープリント詳細: 「アラート」タブ

- 6-52 フィンガープリント詳細: 「ユーザー」タブ

- 6-53 フィンガープリント詳細: 「ユーザー」タブ

- 6-54 フィンガープリント詳細: 「ロケーション」タブ

- 6-55 「アラート詳細」タブ

- 6-56 アラート詳細: 「サマリー」タブ

- 6-57 アラート詳細: 「ユーザー」タブ

- 6-58 アラート詳細: 「デバイス」タブ

- 6-59 「ロケーション」タブ

- 6-60 「セッション」タブ

- 6-61 ユーザー詳細: 「フィンガープリント・データ」タブ

- 6-62 アラート詳細: 「ユーザー」タブ

- 6-63 「デバイス」タブ

- 6-64 「ロケーション」タブ

- 6-65 ユーザー詳細: 「フィンガープリント・データ」タブ

- 7-1 質問およびカテゴリのロジックでの無効化の結果

- 7-2 KBAの設定

- 7-3 回答ロジック・アルゴリズム例

- 7-4 質問検索基準

- 7-5 質問アクション・メニュー・コマンド

- 7-6 検証アクション・メニュー・コマンド

- 7-7 検証パラメータ

- 7-8 質問検索基準

- 8-1 OTPチャレンジ・タイプ

- 8-2 OTPを有効化するためのクイック・スタート

- 8-3 OTP設定タスク

- 8-4 ベンダーへの接続

- 8-5 UMSサーバーURLおよび資格証明

- 8-6 SMSチャレンジ・タイプのプロパティ

- 8-7 電子メール・チャネル・タイプのプロパティ

- 8-8 OTPプロファイルの登録とプリファレンス設定の有効化

- 8-9 「ご使用条件」チェック・ボックス

- 8-10 OTP登録入力プロパティ

- 8-11 モバイル入力 - プロパティ・ファイル

- 8-12 モバイル入力

- 8-13 電子メール入力

- 8-14 電子メール入力

- 8-15 ご使用条件のメッセージング

- 8-16 「ご使用条件」および「プライバシ・ポリシー」ポップアップ画面メッセージ

- 8-17 モバイル入力 - リソース・バンドル

- 8-18 登録リソース・バンドル

- 8-19 チャレンジ・タイプ・リソース・バンドルのアイテム

- 8-20 チャレンジ・タイプ・リソース・バンドルのアイテム

- 8-21 OAAMのOTP最大失敗回数ルールの詳細

- 8-22 認証デバイス・タイプ

- 10-1 スコアリング・エンジン

- 10-2 複数条件

- 10-3 ユース・ケース1

- 10-4 ユース・ケース2

- 10-5 ユース・ケース3

- 10-6 OAAMチェックポイントと責務

- 10-7 OAAM認証前ポリシー・サマリー

- 10-8 OAAM認証前ポリシー・ルールの詳細

- 10-9 OAAMベース・デバイス・ポリシー・サマリー

- 10-10 OAAMベース・デバイス・ポリシー・ルールの詳細

- 10-11 OAAMベース・デバイスIDポリシー: トリガー組合せ

- 10-12 OAAMモバイル・デバイスIDポリシー・サマリー

- 10-13 OAAMモバイル・デバイスIDポリシー・ルールの詳細

- 10-14 OAAMモバイル・デバイスIDポリシーのトリガー組合せ

- 10-15 OAAM AuthentiPadポリシーのサマリー

- 10-16 OAAM AuthentiPadポリシー・ルールの詳細

- 10-17 OAAM AuthentiPadポリシーのトリガー組合せ

- 10-18 OAAM認証後セキュリティ・ポリシー・サマリー

- 10-19 OAAM認証後セキュリティ・ポリシー・ルールの詳細

- 10-20 OAAM予測分析ポリシー・サマリー

- 10-21 OAAM予測分析ポリシー・ルールの詳細

- 10-22 自動学習(パターン・ベース)ポリシー: OAAMユーザー・プロファイルの有無のサマリー

- 10-23 自動学習(パターン・ベース)ポリシー・ルールの詳細: OAAMユーザー・プロファイルの有無

- 10-24 自動学習(パターン・ベース)ポリシー: 「OAAMではユーザーがプロファイルを持ちます」のトリガー組合せ

- 10-25 自動学習(パターン・ベース)ポリシー: OAAMユーザー対自分自身のサマリー

- 10-26 自動学習(パターン・ベース)ポリシー・ルールの詳細: OAAMユーザー対自分自身

- 10-27 自動学習(パターン・ベース)ポリシー: OAAMユーザー対すべてのユーザーのサマリー

- 10-28 自動学習(パターン・ベース)ポリシー・ルールの詳細: OAAMユーザー対すべてのユーザー

- 10-29 OAAM登録ポリシー・サマリー

- 10-30 OAAM登録ポリシー・ルールの詳細

- 10-31 OAAMチャレンジ・ポリシー・サマリー

- 10-32 OAAMチャレンジ・ポリシー・ルールの詳細

- 10-33 OAAMチャレンジのトリガー組合せ

- 10-34 OAAMカスタマ・ケア質問依頼ポリシー

- 10-35 OAAMカスタマ・ケア質問依頼ルールの詳細

- 10-36 「使用されたWebZIP」ルール

- 11-1 ポリシー開発アクターの例

- 11-2 ポリシーの編集: 調査/トラブルシューティング

- 11-3 新規ポリシー: 検出/調査

- 11-4 問題記述のマッピング

- 11-5 問題記述のマッピング

- 11-6 ポリシーの構成

- 11-7 「新規ルール」ページ

- 11-8 ルールの詳細の「条件」タブ

- 11-9 「結果」タブ

- 11-10 トリガー組合せ

- 11-11 「トリガー組合せ」のツールバー・オプション

- 11-12 ポリシー検索フィルタ基準

- 11-13 ポリシー詳細の「サマリー」タブ

- 11-14 ポリシーのチェックポイントへのコピー

- 11-15 ルールの結果

- 11-16 ルールの詳細の「サマリー」タブ

- 11-17 条件検索のフィールド

- 12-1 グループ・タイプ

- 12-2 グループ特性のサマリー

- 12-3 グループの用途

- 12-4 グループ検索フィルタの基準

- 12-5 新規メンバーの作成(検索オプションなし)

- 12-6 作成パラメータ

- 12-7 既存リストのフィルタリングによるメンバーの追加(作成オプションなし)

- 12-8 既存要素の検索または新規要素の作成

- 12-9 要素の検索

- 12-10 作成パラメータ

- 12-11 アラートの検索

- 12-12 アラートの作成パラメータ

- 12-13 既存要素の検索および追加のみ(作成オプションなし)

- 12-14 グループに追加

- 12-15 グループのメンバーの編集

- 12-16 不正な国ポリシー

- 12-17 国グループ

- 12-18 不正の高アラート・グループ

- 12-19 ブロック・グループ

- 14-1 システムの「検索」フィルタ基準

- 15-1 自動学習プロパティ

- 15-2 パターン属性

- 15-3 検索フィルタの基準

- 15-4 自動学習のクラスおよびロギング

- 15-5 出荷先住所の国パターン

- 16-1 アクション・テンプレートの検索フィルタ基準

- 16-2 アクション・インスタンスの検索フィルタ基準

- 17-1 oracle.oaam.odm.model.enumのプロパティ

- 17-2 カスタム・マッピング

- 18-1 データ・フィールドとソース・キー

- 20-1 検索フィルタの基準

- 20-2 トランザクション・ルールの構成

- 20-3 トランザクション頻度チェック

- 20-4 疑わしい送金先口座に対するトランザクション頻度および金額のチェック

- 20-5 ブラックリストに記載された預金口座および送金先口座に対するトランザクション・チェック

- 20-6 トランザクション・パターン

- 21-1 ジョブ

- 21-2 OAAMローダーとカスタム・ローダー

- 21-3 オフライン環境

- 21-4 OAAMオフラインの設定タスク

- 21-5 OAAM_LOAD_DATA_VIEW

- 21-6 LOGINS

- 22-1 オンライン・ジョブ・スケジューリング・システム

- 22-2 オフライン環境

- 22-3 ジョブ

- 22-4 ジョブ・アクション

- 22-5 検索フィルタ

- 22-6 結果表のツールバー・アクション

- 22-7 OAAMのジョブ・タイプ

- 22-8 カスタム・ローダーとOAAMローダー

- 22-9 OAAMローダーの詳細

- 22-10 「スケジュール」ページのオプション

- 22-11 ジョブの優先度の例

- 22-12 スケジュール・タイプ

- 22-13 スケジュール・タイプの例

- 22-14 データベース接続パラメータ

- 22-15 ロード・ジョブの特性

- 22-16 スケジュールの詳細

- 22-17 実行タイプ

- 22-18 1回実行される実行ジョブのスケジュールの詳細

- 22-19 繰返し実行ジョブのスケジュールの詳細

- 22-20 データベース接続パラメータ

- 22-21 1回実行される実行ジョブのスケジュールの詳細

- 22-22 スケジュールの詳細

- 22-23 カットオフ時間のデフォルト値

- 22-24 1回実行される実行ジョブのスケジュールの詳細

- 22-25 スケジュールの詳細

- 22-26 ジョブの削除

- 22-27 ジョブ・インスタンスのフィルタ

- 22-28 ジョブ・ログのフィルタ

- 22-29 ジョブの編集

- 22-30 ジョブ・ログのフィルタ

- 23-1 一般的なダッシュボードの用語および定義

- 23-2 パフォーマンスのデータ型

- 23-3 サマリーのデータ型

- 23-4 ロケーションごとのデータ型

- 23-5 パフォーマンスごとのデータ型

- 23-6 ログイン情報

- 23-7 ルール・エンジンの実行

- 23-8 APIの実行

- 24-1 VCRYPT_TRACKER_USERNODE_LOGS

- 24-2 VCRYPT_ALERT

- 24-3 データ型に関する情報

- 24-4 カスタマ・ケア・イベント

- 24-5 KBA質問イベント

- 24-6 ポリシー管理イベント

- 24-7 ポリシー・セット管理イベント

- 24-8 グループ管理イベント

- 24-9 パターン管理イベント

- 24-10 動的アクション管理イベント

- 24-11 エンティティ管理イベント

- 24-12 トランザクション管理イベント

- 24-13 スナップショット管理イベント

- 24-14 OAAMサーバー管理ユーティリティ・イベント

- 24-15 ユーザー・イベント

- 24-16 インポート・イベント

- 25-1 検索フィルタの基準

- 26-1 CLIのパラメータ

- 26-2 サポート・モジュール

- 26-3 IPローダー・プロパティ

- 26-4 Quova/Neustarのファイル・レイアウト

- 26-5 ルーティング・タイプ・マッピング

- 26-6 接続タイプ・マッピング

- 26-7 接続スピード・マッピング

- 26-8 アノニマイザ・データ

- 27-1 CSRおよびエージェントのマルチテナント使用環境

- 28-1 キャッシュ・サイズ・プロパティ

- 29-1 トラブルシューティング・ツール

- 29-2 トラブルシューティングのヒント

- 29-3 問題およびヒント

- A-1 データ・フィールドとソース・キー

- B-1 ルール条件

- B-2 デバイスID条件

- B-3 パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです

- B-4 「パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです」条件のパラメータ

- B-5 パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

- B-6 「パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」パラメータ

- B-7 表B-7 パターン(認証): エンティティは、特定の率より少ないパターンのメンバーです(イメージ内のすべてのエンティティを含む)

- B-8 「パターン(認証): エンティティは、特定の率より少ないパターンのメンバーです(イメージ内のすべてのエンティティを含む)」パラメータ

- B-9 パターン(認証): エンティティはN回にわたるパターンのメンバーです

- B-10 「パターン(認証): エンティティはN回にわたるパターンのメンバーです」パラメータ

- B-11 パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです

- B-12 「パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです」パラメータ

- B-13 パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです

- B-14 「パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです」パラメータ

- B-15 パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです

- B-16 「パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです」パラメータ

- B-17 パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです

- B-18 「パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです」パラメータ

- B-19 パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

- B-20 「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」パラメータ

- B-21 パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

- B-22 「パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)」パラメータ

- B-23 パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

- B-24 「パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」パラメータ

- B-25 パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

- B-26 「パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」パラメータ

- B-27 デバイス: ブラウザ・ヘッダー・サブストリング

- B-28 「デバイス: ブラウザ・ヘッダー・サブストリング」パラメータ

- B-29 デバイス: デバイスが特定のタイプであるかどうかの確認

- B-30 「デバイス: デバイスが特定のタイプであるかどうかの確認」パラメータ

- B-31 デバイス: ユーザーの初回デバイス

- B-32 「デバイス: ユーザーの初回デバイス」パラメータ

- B-33 デバイス: 過剰使用

- B-34 「デバイス: 過剰使用」パラメータ

- B-35 デバイス:グループ内

- B-36 「デバイス:グループ内」パラメータ

- B-37 デバイス: 登録済

- B-38 「デバイス: 登録済」パラメータ

- B-39 デバイス: 期間内の指定ステータス以外

- B-40 「デバイス: 期間内の指定ステータス以外」パラメータ

- B-41 デバイス: ユーザーの使用数

- B-42 「デバイス: ユーザーの使用数」パラメータ

- B-43 デバイス: ユーザー件数

- B-44 「デバイス: ユーザー件数」パラメータ

- B-45 デバイス: ユーザー・ステータス件数

- B-46 「デバイス: ユーザー・ステータス件数」パラメータ

- B-47 デバイス: 最終成功ログインからの速度

- B-48 「デバイス: 最終ログインからの速度とIPグループの無視」パラメータ

- B-49 デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認

- B-50 「デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認」パラメータ

- B-51 ロケーション: グループ内ASN

- B-52 「ロケーション: グループ内ASN」パラメータ

- B-53 ロケーション: グループ内の市区町村

- B-54 「ロケーション: グループ内の市区町村」パラメータ

- B-55 ロケーション: キャリア・グループ内

- B-56 「ロケーション: キャリア・グループ内」パラメータ

- B-57 ロケーション: 国グループ内

- B-58 「ロケーション: 国グループ内」パラメータ

- B-59 ロケーション: グループ内のIP接続タイプ

- B-60 ロケーション: グループ内のIP接続タイプ

- B-61 ロケーション: 範囲グループ内のIP

- B-62 「ロケーション: 範囲グループ内のIP」パラメータ

- B-63 ロケーション: IP回線スピード・タイプ

- B-64 「ロケーション: IP回線スピード・タイプ」パラメータ

- B-65 ロケーション: IP最大ユーザー数

- B-66 「ロケーション: IP最大ユーザー数」パラメータ

- B-67 ロケーション: グループ内IPルーティング・タイプ

- B-68 「ロケーション: グループ内IPルーティング・タイプ」パラメータ

- B-69 ロケーション: AOLからのIP

- B-70 「ロケーション: AOLからのIP」パラメータ

- B-71 ロケーション: 都道府県グループ内

- B-72 ロケーション: 都道府県グループ内パラメータ

- B-73 ロケーション: IP接続タイプ

- B-74 「ロケーション: IP接続タイプ」パラメータ

- B-75 ロケーション: IP最大ログイン数

- B-76 「ロケーション: IP最大ログイン数」パラメータ

- B-77 ロケーション: IP過剰使用

- B-78 「ロケーション: IP過剰使用」パラメータ

- B-79 ロケーション: 期間内の指定ステータス以外

- B-80 「ロケーション: 期間内の指定ステータス以外」パラメータ

- B-81 ロケーション: グループ内IP

- B-82 「ロケーション: グループ内IP」パラメータ

- B-83 ロケーション: グループ内ドメイン

- B-84 「ロケーション: グループ内ドメイン」パラメータ

- B-85 ロケーション: グループ内のIP接続スピード

- B-86 「ロケーション: グループ内のIP接続スピード」パラメータ

- B-87 ロケーション: グループ内ISP

- B-88 「ロケーション: グループ内ISP」パラメータ

- B-89 ロケーション: グループ内トップ・レベル・ドメイン

- B-90 「ロケーション: グループ内トップ・レベル・ドメイン」パラメータ

- B-91 ロケーション: IP複数デバイス

- B-92 「ロケーション: IP複数デバイス」パラメータ

- B-93 ロケーション: IPルーティング・タイプ

- B-94 「ロケーション: IPルーティング・タイプ」パラメータ

- B-95 ロケーション: IPタイプ

- B-96 「ロケーション: IPタイプ」パラメータ

- B-97 ロケーション: ユーザー・ステータス件数

- B-98 「ロケーション: ユーザー・ステータス件数」パラメータ

- B-99 セッション: パラメータ値の確認

- B-100 「セッション: パラメータ値の確認」パラメータ

- B-101 セッション: グループ内のパラメータ値の確認

- B-102 「セッション: グループ内のパラメータ値の確認」パラメータ

- B-103 セッション: 正規表現のパラメータ値の確認

- B-104 「セッション: 正規表現のパラメータ値の確認」パラメータ

- B-105 セッション: 2つの文字列パラメータ値の確認

- B-106 「セッション: 2つの文字列パラメータ値の確認」パラメータ

- B-107 セッション: 文字列値の確認

- B-108 「セッション: 文字列値の確認」パラメータ

- B-109 曜日

- B-110 「曜日」パラメータ

- B-111 セッション: 2つのパラメータ値の比較

- B-112 「セッション: 2つのパラメータ値の比較」パラメータ

- B-113 セッション: フィルタ条件を使用した現在のセッションの確認

- B-114 「セッション: フィルタ条件を使用した現在のセッションの確認」パラメータ

- B-115 セッション: リスク・スコア分類の確認

- B-116 「セッション: リスク・スコア分類の確認」パラメータ

- B-117 セッション: Cookie不一致

- B-118 「セッション: Cookie不一致」パラメータ

- B-119 セッション: ブラウザ・フィンガープリントにおける不一致

- B-120 「セッション: ブラウザ・フィンガープリントにおける不一致」パラメータ

- B-121 セッション: 現在の日時との比較

- B-122 「セッション: 現在の日時との比較」パラメータ

- B-123 セッション: IP変更

- B-124 「セッション: IP変更」パラメータ

- B-125 セッション: カンマ区切り値内にある値の確認

- B-126 「セッション: カンマ区切り値内にある値の確認」パラメータ

- B-127 システム - ブール・プロパティの確認

- B-128 「システム - ブール・プロパティの確認」パラメータ

- B-129 システム - 十分なパターン・データの確認

- B-130 システム - 十分なパターン・データの確認パラメータ

- B-131 システム: 任意のパターンに対して十分なデータが使用可能かどうかが確認されます

- B-132 「システム: 任意のパターンに対して十分なデータが使用可能かどうかが確認されます」パラメータ

- B-133 システム - 整数プロパティの確認

- B-134 「システム - 整数プロパティの確認」パラメータ

- B-135 システム - リクエスト日の確認

- B-136 「システム - リクエスト日の確認」パラメータ

- B-137 システム - 文字列プロパティの確認

- B-138 「システム - 文字列プロパティの確認」パラメータ

- B-139 トランザクション条件の継続時間タイプ

- B-140 トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認

- B-141 「トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認」パラメータ

- B-142 トランザクション: フィルタを使用した現在のトランザクションの確認

- B-143 トランザクション: フィルタを使用した現在のトランザクションの確認パラメータ

- B-144 トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認

- B-145 「トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認」パラメータ

- B-146 トランザクション: トランザクションでエンティティが使用された回数の確認。

- B-147 「トランザクション: トランザクションでエンティティが使用された回数の確認。」パラメータ

- B-148 トランザクション: トランザクションでエンティティが使用された回数の確認。

- B-149 トランザクション: フィルタを使用したトランザクション集計および件数の確認パラメータ

- B-150 「システム - 文字列プロパティの確認」パラメータ

- B-151 トランザクション: フィルタを使用したトランザクション件数の確認パラメータ

- B-152 2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)

- B-153 「トランザクション: 2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)の比較」パラメータ

- B-154 トランザクション: 2つの異なる期間でのトランザクション件数の比較

- B-155 「トランザクション: 2つの異なる期間でのトランザクション件数の比較」パラメータ

- B-156 トランザクション: 2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較

- B-157 「トランザクション: 2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較」パラメータ

- B-158 トランザクション: 指定件数の一意トランザクション・エンティティ件数の確認

- B-159 「トランザクション: 指定件数の一意トランザクション・エンティティ件数の確認」パラメータ

- B-160 ユーザー: 失効セッション

- B-161 ユーザー: ユーザー・データのチェック

- B-162 「ユーザー: ユーザー・データのチェック」パラメータ

- B-163 ユーザー: 特定のタイプのデバイスが使用されているかどうかの確認

- B-164 「ユーザー: 特定のタイプのデバイスが使用されているかどうかの確認」パラメータ

- B-165 ユーザー: 特定のタイプの登録済デバイス数の確認

- B-166 「ユーザー: 特定のタイプの登録済デバイス数の確認」パラメータ

- B-167 ユーザー: 最終成功からの速度

- B-168 ユーザー: 最終成功からの速度

- B-169 ユーザー: 最終成功からの速度パラメータ

- B-170 ユーザー: 制限内における最終成功ログインからの速度

- B-171 「ユーザー: 制限内における最終成功ログインからの速度」パラメータ

- B-172 ユーザー: 最終成功ログインからの距離

- B-173 「ユーザー: 最終成功ログインからの距離」パラメータ

- B-174 ユーザー: 制限内での最終成功ログインからの距離

- B-175 「ユーザー: 制限内での最終成功ログインからの距離」パラメータ

- B-176 ユーザー: 認証イメージ割当済

- B-177 ユーザー: 認証イメージ割当済

- B-178 ユーザー: 認証モード

- B-179 「ユーザー: 認証モード」パラメータ

- B-180 ユーザー: 期間内のステータス件数

- B-181 「ユーザー: 期間内のステータス件数」パラメータ

- B-182 ユーザー: 期間内のチャレンジ

- B-183 ユーザー: 期間内のチャレンジ

- B-184 ユーザー: チャレンジ・チャネル失敗

- B-185 ユーザー: チャレンジ・チャネル失敗

- B-186 ユーザー: チャレンジ質問失敗

- B-187 ユーザー: チャレンジ質問失敗

- B-188 ユーザー: チャレンジ失敗 - 最小失敗数

- B-189 「ユーザー: チャレンジ失敗 - 最小失敗数」パラメータ

- B-190 ユーザー: チャレンジの最大失敗数

- B-191 ユーザー: チャレンジの最大失敗数

- B-192 ユーザー: チャレンジ失敗が以前の最終チャレンジに一致

- B-193 「ユーザー: チャレンジ失敗が以前の最終チャレンジに一致」パラメータ

- B-194 ユーザー: OTP失敗の確認

- B-195 「ユーザー: OTP失敗の確認」パラメータ

- B-196 ユーザー: 複数の失敗

- B-197 「ユーザー: 複数の失敗」パラメータ

- B-198 ユーザー: グループ内

- B-199 「ユーザー: グループ内」パラメータ

- B-200 ユーザー: グループでのログイン

- B-201 「ユーザー: グループでのログイン」パラメータ

- B-202 ユーザー: グループ内のユーザー・グループ

- B-203 「ユーザー: グループ内のユーザー・グループ」パラメータ

- B-204 ユーザー: アクション件数

- B-205 「ユーザー: アクション件数」パラメータ

- B-206 ユーザー: 期間内のアクション件数

- B-207 「ユーザー: 期間内のアクション件数」パラメータ

- B-208 ユーザー: 最終セッション・アクションの確認

- B-209 ユーザー: 最終セッション・アクションの確認

- B-210 ユーザー: アカウント・ステータス

- B-211 「ユーザー: アカウント・ステータス」パラメータ

- B-212 ユーザー: クライアントおよびステータス

- B-213 「ユーザー: クライアントおよびステータス」パラメータ

- B-214 ユーザー: 質問ステータス

- B-215 「ユーザー: 質問ステータス」パラメータ

- B-216 ユーザー: イメージ・ステータス

- B-217 ユーザー: イメージ・ステータス

- B-218 ユーザー: フレーズ・ステータス

- B-219 「ユーザー: フレーズ・ステータス」パラメータ

- B-220 「ユーザー: プリファレンス構成済」パラメータ

- B-221 ユーザー: プリファレンス構成済

- B-222 ユーザー: 情報の確認

- B-223 「ユーザー: 情報の確認」パラメータ

- B-224 ユーザー: 情報の確認

- B-225 「ユーザー: ユーザー・データのチェック」パラメータ

- B-226 ユーザー: ユーザー・データのチェック

- B-227 ユーザー: ユーザー・データのチェック

- B-228 ユーザー: ユーザー・エージェント率の一致

- B-229 ユーザー: ユーザー・エージェント率の一致

- B-230 ユーザー: ユーザー・エージェントの一致

- B-231 ユーザー: ユーザー・エージェントの一致

- B-232 ユーザー: 不正なユーザー・リクエストの確認

- B-233 「ユーザー: 不正なユーザー・リクエストの確認」パラメータ

- B-234 ユーザー: 異常なユーザー・リクエストの確認

- B-235 ユーザー: 異常なユーザー・リクエストの確認

- B-236 User: ユーザー: ユーザーはN回にわたるパターンのメンバーです

- B-237 ユーザー: ユーザーはN回にわたるパターンのメンバーです

- B-238 ユーザー: ユーザーの初回国

- B-239 「ユーザー: ユーザーの初回国」パラメータ

- B-240 ユーザー: ユーザーの初回国

- B-241 ユーザー: ユーザーの初回国

- B-242 ユーザー: グループの初回国

- B-243 「ユーザー: グループの初回国」パラメータ

- B-244 ユーザー: ユーザーの初回都道府県

- B-245 「ユーザー: ユーザーの初回都道府県」パラメータ

- B-246 ユーザー: ユーザーの初回都道府県

- B-247 「ユーザー: ユーザーの初回都道府県」パラメータ

- B-248 ユーザー: ユーザーの初回市区町村

- B-249 「ユーザー: ユーザーの初回市区町村」パラメータ

- B-250 ユーザー: ユーザーの初回市区町村

- B-251 「ユーザー: ユーザーの初回市区町村」パラメータ

- B-252 ユーザー: 初回ログイン

- B-253 ユーザー: 初回IPキャリア

- B-254 「ユーザー: 初回IPキャリア」パラメータ

- B-255 ユーザー: ユーザーの初回IP

- B-256 「ユーザー: ユーザーの初回IP」パラメータ

- B-257 ユーザー: ユーザーの初回ISP

- B-258 ユーザー: ユーザーの初回ISP

- B-259 ユーザー: 初回ログイン時間の確認

- B-260 「ユーザー: 初回ログイン時間の確認」パラメータ

- B-261 ユーザー: 初回ASN

- B-262 ユーザー: 初回ASN

- B-263 ユーザー: ユーザーの初回キャリア

- B-264 ユーザー: ユーザーの初回キャリア

- B-265 ユーザー: ユーザーの初回キャリア

- B-266 「ユーザー: 最大国数」パラメータ

- B-267 ユーザー: 最大都道府県数

- B-268 「ユーザー: 最大都道府県数」パラメータ

- B-269 ユーザー: 最大市区町村数

- B-270 「ユーザー: 最大市区町村数」パラメータ

- B-271 ユーザー: 期間内の最大ロケーション数

- B-272 ユーザー: 期間内の最大ロケーション数

- B-273 ユーザー: 時間内の最大IP数

- B-274 「ユーザー: 時間内の最大IP数」パラメータ

- B-275 ユーザー: ユーザーの国失敗件数

- B-276 「ユーザー: ユーザーの国失敗件数」パラメータ

- B-277 ユーザー: ログイン件数の確認

- B-278 「ユーザー: ログイン件数の確認」パラメータ

- B-279 ユーザー: 最終ログイン・ステータス

- B-280 「ユーザー: 最終ログイン・ステータス」パラメータ

- B-281 ユーザー: 指定時間内の最終ログイン

- B-282 「ユーザー: 指定時間内の最終ログイン」パラメータ

- B-283 ユーザー: ログイン時間の確認

- B-284 「ユーザー: ログイン時間の確認」条件のパラメータ

- B-285 ユーザー: 指定時刻間のログイン時間

- B-286 ユーザー: 指定時刻間のログイン時間

- B-287 ユーザー: 現在のIPと一致する最終IP

- B-288 「ユーザー: 現在のIPと一致する最終IP」パラメータ

- B-289 ユーザー: 期間内のロケーション使用

- B-290 「ユーザー: 期間内のロケーション使用」条件のパラメータ

- B-291 ユーザー: チェックポイント・スコア

- B-292 「ユーザー: チェックポイント・スコア」条件のパラメータ

- C-1 エージェント・ケース・プロパティ

- C-2 自動学習プロパティ

- C-3 構成アクション・プロパティ

- C-4 カスタマ・ケア・プロパティ

- C-5 データベース・アクティビティ

- C-6 デバイス登録プロパティ

- C-7 デジタル・フィンガープリント・プロパティ

- C-8 暗号化されたデータ・マスキング・プロパティ

- C-9 暗号化プロパティ

- C-10 エンティティ・プロパティおよびトランザクション・プロパティ

- C-11 ファジー・ロジック・プロパティ

- C-12 グループ・プロパティ

- C-13 調査プロパティ

- C-14 KBAプロパティ

- C-15 モバイル・プロパティ

- C-16 オフライン・スケジューラ・プロパティ

- C-17 OTPプロパティ

- C-18 ポリシー・プロパティ、ルール・プロパティおよび条件プロパティ

- C-19 プロパティ・エディタ・プロパティ

- C-20 プロキシ・プロパティ

- C-21 SOAP Webサービス・アクセス・プロパティ

- C-22 アカウント・ステータス

- C-23 認証ステータス

- C-24 ステップアップ認証プロパティ

- C-25 タイム・ゾーン - アメリカ、カナダおよび大西洋

- C-26 タイム・ゾーン - ヨーロッパ、アフリカおよび大西洋

- C-27 タイム・ゾーン - アジア、ヨーロッパおよびアフリカ

- C-28 タイム・ゾーン - ヨーロッパおよびアジア

- C-29 タイム・ゾーン - アジア、オーストラリア、太平洋など

- C-30 ユーザー・インタフェース・プロパティ

- C-31 仮想認証デバイス・プロパティ

- C-32 パフォーマンス・プロパティ

- C-33 新規ステータスの列挙

- C-34 新規アラート・レベルの列挙

- C-35 事前に作成したノートの列挙の追加

- D-1 アーカイブとパージのルーチン・パラメータ

- D-2 データのタイプ別のアーカイブおよびパージ・スクリプト

- D-3 アーカイブおよびパージの基準

- D-4 最小データ保存ポリシー

- D-5 ログインおよびデバイス

- D-6 ルールおよびポリシー・ログ・データの表

- D-7 トランザクションおよびエンティティ・データの表

- D-8 自動学習データの表

- D-9 プロファイル・データの表

- D-10 ケース関連データの表

- D-11 監視データの表

- E-1 モバイルCookie

- E-2 デバイスのフィンガープリント処理API

- E-3 デバイス詳細のフィンガープリント情報

- E-4 フィンガープリント詳細: 「ユーザー」タブ

- E-5 フィンガープリント詳細: 「デバイス」タブ

- E-6 flashFingerprint.do URLに対するパラメータ

- E-7 vcrypt.fingerprint.type.enumの要素

- G-1 サポート担当者

- G-2 サポート・マネージャ

- G-3 不正調査担当者

- G-4 不正調査マネージャ

- G-5 セキュリティ管理者

- G-6 システム管理者

- G-7 監査者

- H-1 updateTransactionのパラメータと戻り値

- H-2 updateAuthStatusのパラメータ

- H-3 processPatternAnalysis

- J-1 Oracle Adaptive Access Managerロガー

- J-2 ロギング・レベル

- J-3 ハンドラ・クラス

はじめに

『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』では、不正行為の監視および検出を行うための、Oracle Adaptive Access Managerの一連のツールの管理および使用に関する詳細な情報を提供します。

対象読者

このドキュメントは次のユーザーを対象としています。

ユーザー

説明

調査担当者およびサポート担当者

調査担当者(不正調査担当者および不正調査マネージャ)およびサポート担当者(CSRおよびCSRマネージャ)は、Oracle Adaptive Access Managerのケース管理ツールを使用して、日々セキュリティおよびカスタマ・ケースを処理します。該当者は、ユーザー・アクティビティとセキュリティの問題に関する詳細な知識を持ちます。セキュリティ管理者は、調査担当者やサポート担当者と連携して、ポリシーの調整が必要かどうか、または新しいポリシーを作成する必要があるかどうかを判断します。

セキュリティ管理者

セキュリティ管理者(ルール管理者)は、様々なソースからインテリジェンスを集めてニーズを識別したり、それに対応するための要件を策定します。インテリジェンスのソースとしては、調査担当者、業界レポート、不正対策ネットワーク、コンプライアンス指令、会社ポリシーなどがあります。

セキュリティ管理者は、アナリストからの要件に基づいてポリシーを計画、構成およびデプロイします。

システム管理者

システム管理者は、環境レベルのプロパティおよびトランザクションを構成します。

ドキュメントのアクセシビリティについて

オラクル社のアクセシビリティへの取組みの詳細は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docaccを参照してください。

Oracleサポートへのアクセス

Oracleのお客様は、My Oracle Supportにアクセスして電子サポートを受けることができます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoまたはhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs (聴覚障害者向け)を参照してください。

関連ドキュメント

詳細は、Oracle Fusion Middleware 11g リリース2 (11.1.2)のドキュメント・セットに含まれる次のドキュメントを参照してください。

- Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド

- Oracle Fusion Middleware Oracle Adaptive Access Manager Java APIリファレンス

- Oracle Fusion Middleware Oracle Identity and Acess Managementインストレーション・プランニング・ガイド

- Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・プランニング・ガイド

- Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド

- Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド

- Oracle Fusion Middleware Oracle Identity and Access Managementアップグレードおよび移行ガイド

- Oracle Fusion Middleware高可用性ガイド

- Oracle Fusion Middleware管理者ガイド

- Oracle Fusion Middlewareパフォーマンスおよびチューニング・ガイド

- Oracle Fusion Middleware Oracle Access Management管理者ガイド

- 『Oracle Fusion Middleware Web Servicesセキュリティおよび管理者ガイド』

- 『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

このガイドの最新情報

この章では、新機能と、このマニュアルの変更内容および更新内容について説明します。詳細は次の項を参照してください。

- Oracle Adaptive Access Manager 11gリリース2 (11.1.2)での変更点

- Oracle Adaptive Access Manager 11gリリース1 (11.1.1)での変更点

- Oracle Adaptive Access Manager 10gから11gでの変更点

Oracle Adaptive Access Manager 11gリリース2 (11.1.2)での変更点

Oracle Adaptive Access Manager 11gリリース2 (11.1.2)には、Oracle Adaptive Access Manager 11gリリース1 (11.1.1)では利用できなかった重要な機能や拡張機能が多数追加されています。新機能および拡張機能のリストは次のとおりです。

領域

機能および拡張機能

モバイル・セキュリティの強化

モバイル・セキュリティは、次のように強化されました。

- モバイル・ブラウザのユーザー操作性の向上

- モバイル用に調整されたセキュリティ・ポリシー

- モバイル・アプリケーション開発者用のRESTサービスとSDK

- 強化されたモバイル・デバイスのフィンガープリント処理

- 地理空間ロケーション認識

- 紛失および盗難されたモバイル・デバイスのセキュリティ

トランザクション自動学習

新しいトランザクション自動学習は、次のとおりです。

- カスタマイズ可能なパターン化

- トランザクション・ルール条件

調査ツール

調査をより迅速で簡単にするために、新しい調査ツールが追加されました。

- 改善されたケース管理

- ユーティリティ・パネルのクイック検索

- ユーティリティ・パネルのメモ・ペイン

- トランザクションの検索

- トランザクションおよびエンティティ・データ、アラート・メッセージ、地理的なロケーション、IPアドレス範囲用の追加検索フィルタ

- トランザクション詳細

- トランザクションの比較

- 効率化されたホワイト・リスト/ブラック・リスト作成

- OAAMの単一のインスタンスで複数のアプリケーション・テナントの保護を可能にする、カスタマ・サービス担当インタフェース用のマルチテナント・アクセス制御

- エンティティをグループに簡単に追加できるようにする、セッションの検索および詳細ページでのグループに追加機能

エンティティ拡張機能

エンティティの拡張は、次のとおりです。

- リンクされたエンティティ

- エンティティのCRUD操作

- ターゲットを指定したパージ

アクセス監視ツールキット

アクセス監視ツールキットは、次のとおりです。

- JMSQインタフェース

- データベース・ビュー生成

このガイドで追加または更新された情報については、次の表を参照してください。

新しい章/項

情報

仮想認証デバイスに関する新しい項

詳細は、1.2.3項「仮想認証デバイス」を参照してください。

モバイル・アクセス・セキュリティに関する新しい項

詳細は、1.2.8項「モバイル・アクセス・セキュリティ」を参照してください。

不正調査ツールに関する新しい項

詳細は、1.2.10項「不正調査ツール」を参照してください。

トランザクションの検索と比較、ユーティリティ・パネルの機能、および「セッション詳細」ページの機能強化など調査に関する章を改訂

詳細は、第5章「OAAMを使用した調査」を参照してください。

KBAチャレンジとOTPチャレンジに関する新しい章

詳細は、第9章「KBAチャレンジとOTPチャレンジ」を参照してください。

OAAMポリシーの概念およびリファレンスに関する新しい章

詳細は、第10章「OAAMポリシーの概念およびリファレンス」を参照してください。

トランザクション・ベースのパターンに関する新しい項

詳細は、第15章「トランザクション・ベースのパターンの使用」を参照してください。

トランザクションのモデル化に関する新しい章

詳細、第18章「OAAMでのトランザクションのモデル化」を参照してください。

画面の例を追加してエンティティに関する章を更新

詳細は、第19章「エンティティの作成および管理」を参照してください。

トランザクションの章を更新

詳細は、第20章「トランザクションの管理」を参照してください。

パフォーマンスに関する考慮事項およびベスト・プラクティスに関する新しい章

詳細は、第28章「パフォーマンスに関する考慮事項およびベスト・プラクティス」を参照してください。

トラブルシューティングとよくある質問に関する新しい項

詳細は、第29章「FAQ/トラブルシューティング」を参照してください。

OAAMの使用に関する新しい付録

詳細は、付録A「OAAMの使用」を参照してください。

条件に関する章の新しい項

詳細は、付録B「条件リファレンス」を参照してください。

OAAMのプロパティに関する新しい付録

詳細は、付録C「OAAMプロパティ」を参照してください。

Oracle Adaptive Access Manager 11gリリース1 (11.1.1)での変更点

Oracle Adaptive Access Manager 11gリリース2 (11.1.1)には、Oracle Adaptive Access Manager 10gでは使用できなかった重要な機能や拡張機能が多数追加されています。11gに関する次のトピックは、このマニュアルに記載されています。

領域

機能および拡張機能

インタフェース

Oracle Adaptive Access Managerのユーザー・インタフェースに追加された豊富な機能

- ナビゲーションおよびポリシーのツリー。迅速かつ視覚的に各機能にアクセスできます。

- タブとアコーディオン・パネルで、マルチタスク処理に必要な画面が節約されます。

- 実行のユース・ケース・フローを取得するフローを整理しました。たとえば、ルールのフローは検索、作成、編集、ルールのコピーです。

- 検索とフィルタリングを強化。検索とフィルタを列で直接保存できます。

- Oracle Adaptive Access Managerの画面を追加、改善。Oracle Adaptive Access Managerでは、不正分析とフォレンジック処理の操作性が向上しています。

- 高度な表には、列の追加と削除、列の位置およびサイズの変更、列の連結解除を行うコントロールが表示されます。

- アラート・メッセージ、地理的なロケーションおよびIP範囲を対象とする検索フィルタを追加しました。

- 検索結果をExcelファイル形式にエクスポートできるエクスポート機能。

- エンティティをグループに簡単に追加できるようにする、セッションの検索および詳細ページでの新しい「グループに追加」機能。

- Oracle Adaptive Access Managerからドキュメントに直接アクセスできます。

セキュリティ・ポリシー

新しく更新されたセキュリティ・ポリシーには、次の機能が導入されています。

- 精度とリスク分析を改善するパターンとその他の技法。

- Oracle Data Minerに加え、ルール条件を追加して学習パターンを改善。独自に最適化されたリアルタイムのリスク分析ソリューションを作成でき、動作のプロファイリング機能が前バージョンより向上しています。

ポリシーの作成

ポリシー作成時の新機能により、次の操作が可能になります。

- ポリシーのチェックポイントへのコピー
ポリシーを他のチェックポイントにコピーできます。ポリシーのコピー時には、ネストされたポリシー、トリガー組合せ、事前条件、グループ・リンクなどのすべての詳細がコピーされます。

- トリガー組合せの構成がさらに容易に
設計が新しくなってトリガーの組合せの定義と管理が容易になり、アクションおよびアラートの追加とオーバーライドが可能になります。

- ネストされた条件の実行
新しい条件では、ネストされたポリシーの実行がサポートされます。

- ビュー・インジケータ
インジケータが使用できるようになり、ポリシー、ルール、トリガーの組合せ、グループ・リンク、ポリシーでの条件などにリンクされているポリシーの数が表示されます。

ルールの作成

ルールの作成がさらに簡単になります。

- 製品からルール・テンプレートが削除され、ルールの作成が簡略化されました。

- 任意のチェックポイント下にある別のポリシーにルールをコピーできます。

OTP Anywhere

OTP Anywhereでは、リスク・ベースのセカンダリ・ユーザー・チャレンジに使用される自動生成のワンタイム・パスワードのためのユニバーサル配信オプションを作成できるため、基本的な認証フローに高度なセキュリティが追加されます。

調査

調査をより迅速で簡単にするために、新しい調査ツールが追加されました。

- 「詳細」画面。調査者やセキュリティ管理者などのパワー・ユーザーがデータ・ポイントを相互参照して、迅速かつ簡単に関連データを検索できます。

- 新しいエージェント・ケースによりフォレンジック調査をより速く、より簡単に、より正しく実行できます。イベントは、自動的にケースを作成するように構成できます。調査担当者は、OAAMにより取得された複雑なデータ関係を簡単に利用して、インシデントに関連するデータをすばやく表示したり、関連する状況をすぐに見つけることができます。

暗号化キー

Oracle Adaptive Access Managerで必要な暗号化キーは、Fusion Middleware Controlを使用して安全に管理できるため、キーストア・ファイルを作成する必要がありません。

Universal Risk Snapshot

スナップショットを作成できるため、セキュリティ管理者は異なる環境間でセキュリティ・データを簡単に移行したり、セキュリティ構成を既知の状態にリストアできます。

マルチテナント

OAAMの単一のインスタンスで複数のアプリケーション・テナントの保護を可能にする、カスタマ・サービス担当インタフェース用のマルチテナント・アクセス制御

OAAMバッチ・リスク分析

Oracle Adaptive Access Managerのバッチ・リスク分析ツールは、次の用途に使用できます。

- 高リスク・トランザクションを分析、検出およびアラートするスタンドアロンのセキュリティ・ツール

- リアルタイム環境のカスタマに影響を与えることなく、オフラインのカスタマ・データを使用して、新しいポリシーとルールを作成および検証する検索および開発ツール

- リアルタイム環境のカスタマに影響を与えることなく、実際のカスタマおよびトランザクション・データに対して、ルールのチューニングとルール動作の検証を行う、補助的なバッチ分析ツール

監査

管理操作のほとんどが、Oracle Audit Serviceを使用して監査できるようになりました。監査イベントは、標準の監査レポートを使用して閲覧できます。

Webサービス

Oracle Adaptive Access ManagerのWebサービスは、Oracle Web Servicesを使用して実装されます。

アプリケーション・ログ

Oracle Adaptive Access Manager 11gでは、log4jではなくJavaのロギングを使用します。ロギングはFusion Middleware Controlを使用して構成できます。

Dynamic Monitoring Systemとの統合

パフォーマンス・メトリックの一部は、Dynamic Monitoring Systemと統合されています。これらのメトリックとその関連レポートは、Fusion Middleware Controlを使用して表示できます。

Oracle Adaptive Access Manager 10gから11gでの変更点

Oracle Adaptive Access Manager 10gから11gに移行するカスタマは、主要な変更に気付きます。これらの変更の目的は、アイデンティティ管理スイート製品全体で使用される用語に整合性を持たせて、管理を容易にすることです。

Oracle Adaptive Access Manager 11gでは、用語が次の表のように変更されています。

一般的な用語の変更点

10gの用語

11gの用語

ランタイム

チェックポイント

チェックポイントは、Adaptive Access Managerがルール・エンジンを使用してセキュリティ・データを収集および評価するときに、セッション内に指定されるポイントです。

モデル

ポリシー

ポリシーには、各チェックポイントでリスクのレベルを評価するために使用される、セキュリティ・ルールおよび構成が含まれます。

手動オーバーライド

トリガー組合せ

トリガー組合せは、一連の特定のルールがトリガーされた場合に生成される追加の結果およびポリシー評価です。

アプリケーションID

組織ID

管理の観点から、各アプリケーションまたはプライマリ・ユーザー・グループは組織IDに変換されます。アプリケーションIDという用語は組織IDという名前に変更されており、これは特定のユーザーのプライマリ・ユーザー・グループを表します。

OAAMサーバー側では、アプリケーションIDという用語は以前と同じです。プロキシと通信するときに、OAAMサーバーは、アプリケーションを一意に識別するアプリケーションIDを渡します。

概念の変更点

Oracle Adaptive Access Manager 11gでは、概念が次の表のように変更されています。

10gの概念

11gR1の概念

OAAM Adaptive Risk Manager

ルール・エンジンはOAAMサーバーの一部になりました。管理コンソールは、OAAM管理という名前の別のアプリケーションになりました。

OAAM Adaptive Strong Authenticator

仮想認証デバイス、ナレッジベース認証(KBA)およびワンタイム・パスワード認証など、エンド・ユーザー・フローはOAAMサーバーに含まれるようになりました。

ルール・テンプレート

この概念は製品から削除されました。

ポリシー・タイプ

この概念は製品から削除されました。

Oracle Adaptive Access Manager 11gの概念の詳細は、次の各章を参照してください。

- 第1章「Oracle Adaptive Access Managerの概要」

- 第10章「OAAMポリシーの概念およびリファレンス」

Webアプリケーションのデプロイに関する変更点

Oracle Adaptive Access Manager 11gでは、アプリケーションのデプロイメントが次のように変更されています。

- OAAMサーバー: Adaptive Risk Manager (ルール・エンジン)、Adaptive Strong Authenticator (エンド・ユーザー・インタフェース・フロー)、Webサービス、LDAP統合、およびネイティブ統合を除くすべてのデプロイメント・タイプで使用されるユーザーWebアプリケーションを含むランタイム・コンポーネント

- OAAM管理: すべての環境、Adaptive Strong Authenticator、およびAdaptive Risk Manager機能の管理コンソール。カスタマ・サービスおよび不正調査ケース管理機能も含まれています。

Oracle Adaptive Access Manager 11gのWebアプリケーションの詳細は、1.3項「Oracle Adaptive Access Managerコンポーネント・アーキテクチャ」を参照してください。

アーキテクチャおよびデプロイメントの変更点

11gでのアーキテクチャおよびデプロイメントの変更点を次に示します。

- 管理ユーザー・インタフェースは、OAAM Adminという別のWebアプリケーションになりました。

- Adaptive Strong Authenticatorは、OAAMサーバーWebアプリケーションの一部としてデプロイされるようになりました。

- OAAM Webアプリケーションは、EARファイルとしてパッケージ化されています。これらを展開することはお薦めしませんし、サポートもされません。

Oracle Adaptive Access Manager 11gのアーキテクチャとデプロイメントの詳細は、1.3項「Oracle Adaptive Access Managerコンポーネント・アーキテクチャ」を参照してください。

第I部

Oracle Adaptive Access Managerスタート・ガイド

このマニュアルのこの部では、Oracle Adaptive Access Manager 11gの概要について説明します。

第I部は、次の章で構成されています。

- 第1章「Oracle Adaptive Access Managerの概要」

- 第2章「OAAM環境の設定」

- 第3章「共通の管理およびナビゲーションのスタート・ガイド」

1 Oracle Adaptive Access Managerの概要

Oracle Adaptive Access Manager (OAAM)は、Oracle Access Management Suite Plusの主要コンポーネントです。業界のアクセス管理サービスをすべて備えたこのスイート全体にわたって、リスクを意識した、コンテキスト駆動型のアクセス管理を提供します。

この章には次の項が含まれます:

- 1.1項「Oracle Adaptive Access Managerの概要」

- 1.2項「Oracle Adaptive Access Managerの機能」

- 1.3項「Oracle Adaptive Access Managerコンポーネント・アーキテクチャ」

- 1.4項「デプロイメント・オプション」

- 1.5項「Oracle Adaptive Access Manager 11gリリース2 (11.1.2)の機能」

- 1.6項「Oracle Adaptive Access Manager 11.1.2.0とOracle Adaptive Access Manager 11.1.1.3.0の機能比較」

- 1.7項「システム要件と動作保証情報」

1.1 Oracle Adaptive Access Managerの概要

Oracle Adaptive Access Managerには、不正や誤用の防止に役立つ革新的かつ包括的な機能セットが備えられています。Oracle Adaptive Access Managerでは、標準の認証メカニズムの強化、革新的なリスク・ベースのチャレンジ方法、直感的なポリシー管理、およびIdentity and Access Management Suiteとサード・パーティ製品にわたる統合によって、独自の柔軟性と有効性を実現しています。Oracle Adaptive Access Managerには、不正や誤用に対処するための、アクセスの複数のチャネルをまたいだリアルタイムおよびバッチのリスク分析が備えられています。複数のデータ型に対するリアルタイムの評価が、発生した時点で不正を防止するのに役立ちます。Oracle Adaptive Access Managerを使用すると、イントラネットやエクストラネットを経由して、コンシューマ、リモートの従業員またはパートナに、機密データ、トランザクションおよびビジネス・プロセスを公開する場合の安全性を高めることができます。

Oracle Adaptive Access Managerには、デバイスのフィンガープリント処理、リアルタイムの動作に関するプロファイリングおよびリスク分析など、Webチャネルとモバイル・チャネルの両方で利用可能な豊富な機能が用意されています。また、回答ロジックおよびOTP Anywhereのサーバー生成ワンタイム・パスワードを使用するナレッジベース認証(KBA)のチャレンジ・インフラストラクチャなど、リスク・ベースの認証方式も用意されています。ワンタイム・パスワードは、ショート・メッセージ・サービス(SMS)、電子メールまたはインスタント・メッセージ(IM)デリバリ・チャネルを経由して帯域外で配信されます。また、Oracle Adaptive Access Managerでは、Oracle Identity Managementとの統合を標準で利用できます。Oracle Identity Managementは業界最高レベルのアイデンティティ管理およびWebシングル・サイン・オン製品であり、主要なエンタープライズ・アプリケーションと統合されます。

機能は、表1-1にまとめられているように、2つの主要な分野に分けることができます。

表1-1 Oracle Adaptive Access Managerの機能

機能

説明

リアルタイムまたはオフラインでのリスク分析

Oracle Adaptive Access Managerには、アクセス・リクエスト、イベントまたはトランザクションのリスクを計算し、不正や誤用を防止するための適切な結果を判断する機能が備えられています。リスク評価の部分は、ユーザーのアイデンティティの確認およびアクティビティが疑わしいかどうかの判断のみに使用されます。

リスク分析をサポートする機能は次のとおりです。

- ルール・エンジン

- エンティティ

- トランザクション

- パターン

- アラート

- アクション

- 構成可能なアクション

不正を防止するためにエンド・ユーザーが使用する機能

Oracle Adaptive Access Managerでは、フィッシング、ファーミングおよびマルウェアからユーザーを保護します。仮想認証デバイスによって、エントリ・ポイントで資格証明データが保護されます。これにより、ユーザーのコンピュータまたはインターネット上の、盗難に対して脆弱である可能性があるいかなる場所にも資格証明が存在しなくなるため、最大限の保護が実現されます。また、Oracle Adaptive Access Managerには、リスク・ベースの認証、ブロック、構成可能なアクションなど、他のシステムで禁止するための禁止方法も用意されています。

エンド・ユーザーに対するセキュリティをサポートする機能は次のとおりです。

- 仮想認証デバイス

- ナレッジベース認証(KBA)

- OTP Anywhere

- セキュリティ・ポリシー

Oracle Adaptive Access Managerを使用すると、企業はフィッシング、マルウェア、トランザクションおよび内部者の不正行為など、強力な不正攻撃から企業自身とそのオンライン・ユーザーも保護できます。表1-2は、不正攻撃の脅威とOracle Adaptive Access Managerの防御メカニズムをまとめたものです。

表1-2 Oracle Adaptive Access Managerの防御メカニズム

脅威

Oracle Adaptive Access Managerの攻勢

フィッシング

フィッシングに対するOracle Adaptive Access Managerの攻勢:

- フィッシング・サイトがOAAMの仮想デバイス(TextPad、QuestionPad、KeyPadおよびPinPad)のユーザー操作を複製することは容易ではありません。そのため、ユーザーがユーザー操作でなんらかの違いに気付いた場合、パスワードやPINコードを入力しない可能性が高くなります。

- ユーザーが登録する個別のイメージとフレーズは、ユーザーが有効なWebサイトにログインするたびに表示され、ユーザーとサーバーとの間の共有シークレットとして機能します。この共有シークレットが表示されない場合や、間違った内容が表示された場合、ユーザーはそこからヒントを得ることができます。

- OAAMの仮想デバイスに表示される「新鮮な」タイムスタンプは、それがこのセッション用に作成されたものだということをエンド・ユーザーに示します。そのため、フィッシング・サイト上で古い仮想デバイスが再表示された場合は、それが疑わしいサイトであることをエンド・ユーザーに示すことができます。

- フィッシング行為が成功してユーザーのログイン資格証明が盗まれたとしても、リアルタイム・リスク分析、行動プロファイリングおよびリスク・ベースのチャレンジによって、盗まれた資格証明を使用することは非常に困難になります。不正行為者が正規ユーザーとまったく同じ行動をすることはほぼ確実にないため、不正行為者はOracle Adaptive Access Managerによってチャレンジまたはブロックされるからです。

マルウェア

マルウェアに対するOracle Adaptive Access Managerの攻勢:

- 仮想認証デバイスでは、キー・ロガーをはじめ、ユーザーの認証資格証明を盗もうとする様々な形式のマルウェアに対処します。

- KeyPadおよびPinPadは、Oracle Adaptive Access Managerのみがデコードできるランダムな数値の文字列を回線を通じて送信します。したがって、機密データが収集されたり、サーバーに送信されたりすることがないため、それらのデータが自動化された手段によって簡単に漏洩することはありません。

- 同一のテクノロジによって、あらゆる機密データ・ポイントを保護できます。たとえば、ユーザーの社会保障番号がサーバーに安全に伝達されるようにするには、仮想デバイスを使用して入力します。

トランザクションの不正

トランザクションの不正に対するOracle Adaptive Access Managerの攻勢:

- Oracle Adaptive Access Managerは、リアルタイムおよびバッチ・ベースのリスク分析の両方をセッション、トランザクション、イベントおよびコンテキスト・データに対して実行します。

- これらの評価の結果には、アラート、ブロッキング、リスク・ベースのチャレンジまたは他のシステムに作用するカスタム統合アクションがあります。

- 仮想デバイスを実装することにより、トランザクション・インタフェースの自動ナビゲーションおよびログイン後のユーザー・セッションをハイジャックするようプログラムされたマルウェアを防止できます。たとえば、PinPadを使用してトランザクションの宛先アカウント番号を入力した場合、マルウェアがこのプロセスを簡単にナビゲートすることはできません。また、入力して送信されるランダムなデータは実際のアカウント番号ではないため、実際の番号が不正に変更されることはありません。

内部者の不正

内部の不正に対するOracle Adaptive Access Managerの攻勢:

- Oracle Adaptive Access Managerはユーザーの動作をプロファイルし、アクセス・リクエストに関連付けられているリスクをリアルタイムに評価します。従業員/パートナ/契約者が異常な行動を示した場合、セキュリティおよびコンプライアンス分析者が確認できるようにアラートが生成されます。

- リスク・ベースのKBAまたはOTPチャレンジによって不正ななりすましを阻止できます。

1.2 Oracle Adaptive Access Managerの機能

Oracle Adaptive Access Managerを使用すると、オンラインによる状況依存型の認証および認可を使用した高度なセキュリティを実現できます。したがって、状況が評価され、様々なデータのタイプに応じて予防的な措置が講じられます。

この項では、認証、不正の監視および不正の検証に使用される主要なコンポーネントや機能について概説します。

1.2.1 自動学習

Oracle Adaptive Access Managerは、動作のプロファイルおよび異常性の検出を実現するために、リアルタイムの自動学習と予測による自動学習を独自に掛け合わせて採用しています。これにより、Oracle Adaptive Access Managerではリスクの高いアクティビティを認識し、不正や誤用を防ぐための措置を事前に講じることができます。また、Oracle Adaptive Access Managerでは動作の評価と学習がリアルタイムに行われるため、各ユーザーおよびユーザー全体の通常の動作がどのようなものか継続的に学習されます。自動学習に加えて、不正およびコンプライアンスに関して経験豊富な調査担当者からの継続的なフィードバックによって、OAAMエンジンはどのような内容を不正や誤用と見なすのかを学習します。このように、Oracle Adaptive Access Managerでは、組織内の人的能力および様々な形式の機械学習の両方を最大限に利用して不正や誤用を防止します。

そのわかりやすい例が、看護師の動作に関するプロファイリングとアクセス時間の評価です。多くの場合、看護師は数か所の病院に勤務しています。彼らは様々な時間帯のシフトで勤務することが考えられますが、いずれの月においても、様々な時間帯の中でもある1つの時間帯で勤務することが多くなります。そのような場合、Oracle Adaptive Access Managerは看護師の勤務時間と医療記録システムへのアクセスを追跡します。ある看護師の同月内の勤務時間帯のほとんどが夜間であったときに、10:00 amと12:00 pmの間にその看護師からアクセス・リクエストがあったとしたら、それは異常な動作ということになります。この場合、当然ながら、不正や誤用が発生しているわけではありませんが、リスクは上昇します。そのため、この看護師はOracle Adaptive Access Managerによって追加の本人確認をチャレンジされる可能性があります。この看護師が昼間の勤務で各種アプリケーションや情報にアクセスすると、Oracle Adaptive Access Managerは、これが通常の動作であり、リスクが低いことをリアルタイムに学習します。

自動不正防止ソリューションの主な目的の一つは、不要な手動プロセスを排除し、人がアクセス評価に直接関与した場合に発生しうる矛盾やコストの多くを除去することです。Oracle Adaptive Access Managerはリスク評価の自動化のみならず、動作の変化の追跡も行います。そのため、これを人的に行う必要はありません。動的リスク評価に基づき、ブロッキングやチャレンジ・メカニズムなどの様々な形式の禁止方法を使用して、不正防止の予防的措置を講じることができます。このように、Oracle Adaptive Access Managerは、人的介入をほとんどまたは一切必要とせずに不正を防止します。ただし、調査担当者がエンド・ユーザーに直接確認したり、追加のコンテキスト情報に基づいて最終決定を下したりする必要がある場合、Oracle Adaptive Access Managerはそれらの予見をシームレスに収集して将来のリスク評価の精度を高めます。

1.2.2 構成可能なリスク・エンジン

OAAMのリスク・エンジンは、高度に構成可能なコンポーネントに基づき、柔軟性に優れたアーキテクチャを使用しています。Oracle Adaptive Access Managerでは、3つのリスク評価方式が採用されており、これらの方式はリアルタイムのリスク評価を行うために連携して機能します。構成可能なルール、リアルタイムでの動作に関するプロファイリングおよび予測分析の組合せは、Oracle Adaptive Access Managerが有する業界固有の特徴です。管理者はセキュリティ・ポリシーや関連するオブジェクトの作成、編集および削除を、ビジネス・ユーザーが使いやすい管理コンソールを直接操作して簡単に行えます。ビジネス・ユーザーはOAAMポリシーの理解と管理、およびダッシュボードやレポートの表示をグラフィカル・ユーザー・インタフェースで行えるため、ITリソースにほとんどまたは一切依存しません。セキュリティ・ルールは、任意の数の構成可能なルールの条件を組み合せて作成します。アクセス・ベースおよびトランザクション・ベースのルールはいずれも、Oracle Adaptive Access Managerで使用可能な条件のライブラリから作成されます。

また、Oracle Adaptive Access Managerは、プロセスに基づいた完全に透過的で監査可能なルールを使用して動作のプロファイルおよびリスクの評価も行います。これにより、高パフォーマンスや優れた柔軟性を実現し、さらには、セッション内で特定のアクションが行われたあるいは行われなかった経緯と理由を完全に可視化できます。Oracle Adaptive Access Managerがエンド・ユーザーのアクセスをブロックした場合は、評価されたデータおよび実行された個々の評価を正確に示す完全な監査証跡が残されます。

1.2.3 仮想認証デバイス

Oracle Adaptive Access Managerには、既存のWebアプリケーションのログイン・フローを強化する豊富な機能が用意されています。Oracle Adaptive Access Managerを使用すると、認証のタイプに関係なく、セキュリティのレベルを向上させることができます。内部者の不正、セッション・ハイジャック、資格証明の盗難およびその他の脅威は、厳密な資格証明認証のみによって排除することはできません。リスク・ベースのチャレンジ・レイヤーを既存の認証の背後に追加すると、ユーザーの操作性に及ぼす影響を最小限に抑えてセキュリティのレベルを向上させることができます。

Oracle Adaptive Access Managerの仮想認証デバイスのスイートは、サーバーとエンド・ユーザーのみが知っている、パーソナライズされた画像やフレーズのフィッシングに対処します。KeyPadおよびPinPadを使用すると、エンド・ユーザーの実際の資格証明を取得したり送信しないことによって、ユーザーの資格証明の入力中におけるセキュリティを保証できます。これにより、マルウェアやその他の類似の脅威による盗難から資格証明が保護されます。仮想認証デバイスはサーバー・ドリブンであり、すべての機能は、キー・ロガーやその他の一般的なマルウェアによってセキュリティが損なわれる可能性のある、クライアント側のソフトウェアやロジックを一切使用することなく提供されます。また、Oracle Adaptive Access Managerでは、認証を試行しているのが有効なユーザーである可能性の高さを判断するために、それぞれのアクセスに対して、デバイスのフィンガープリント処理および動作に関するプロファイリングを実行します。

以降では、仮想認証スイートに含まれる各種テキスト・パッドについて説明します。

TextPad

TextPadは、通常のキーボードを使用してパスワードやPINを入力するためのパーソナライズされたデバイスです。このデータ入力方法は、主に、フィッシングからの防御に役立ちます。TextPadは、一般的に、大規模なデプロイメントにおいて、すべてのユーザーのデフォルトとしてデプロイされます。その後、各ユーザーが必要に応じて個別に別のデバイスにアップグレードできます。ユーザーが登録した個人イメージおよびフレーズは、ユーザーが有効なサイトにログインするたびに表示され、ユーザーとサーバーとの間の共有シークレットとして機能します。この共有シークレットが表示されないか、間違った内容が表示されると、ユーザーは気付きます。

PinPad

PinPadは、数値PINを入力するための軽量な認証デバイスです。

QuestionPad

QuestionPadは、通常のキーボードを使用してチャレンジ質問への回答を入力するためのパーソナライズされたデバイスです。QuestionPadでは、チャレンジ質問を質問イメージに組み込むことができます。他の適応性の高い厳密認証デバイスと同様、QuestionPadはフィッシングの問題の解決にも役立ちます。

KeyPad

KeyPadはパーソナライズされたグラフィック・キーボードであり、これを使用して、従来のキーボードで入力できる英数字や特殊文字を入力できます。KeyPadはパスワードやその他の機密データの入力に最適です。たとえば、クレジット・カード番号を入力できます。

図1-1に、プロファイルをすぐに登録するか、登録をスキップして後で行うかというオプションをユーザーに提供するオーセンティケータ・ページを示します。

図1-1 アクセス・セキュリティ

1.2.4 デバイスのフィンガープリント処理

Oracle Adaptive Access Managerでは、独自のクライアントレス・テクノロジおよび拡張可能なクライアント統合フレームワークの両方を、デバイスのフィンガープリント処理で使用できます。使用されたデバイスは、昇格したリスク・レベルを検出するために追跡およびプロファイルされます。デバイスは、ログインとトランザクションの実行に使用されます。デスクトップ・コンピュータ、ラップトップ・コンピュータ、モバイル・デバイス、その他のWeb対応デバイスが含まれます。OAAMカスタマは、クライアント・ソフトウェアを追加せずに標準ブラウザからのアクセスとモバイル・ブラウザからのアクセスの両方を保護したり、 JAVAアプレットなど、カスタムで作成したクライアントを統合したりできます。モバイル・アプリケーションへのアクセスを保護する場合、カスタマおよびパートナはMobile and Social SDKおよびRESTインタフェースを使用して、OAAMデバイスのフィンガープリント処理機能を簡単に統合できます。Oracle Adaptive Access Managerでは、ユーザー・セッションごとに、1回のみ使用できる一意のCookie値を生成して一意のデバイスIDにマップします。デバイスのCookie値は、後続のフィンガープリント処理プロセスごとに別の一意の値でリフレッシュされます。ユーザー・セッション中にフィンガープリント処理プロセスを複数回実行することにより、セッション中の変更を検出できます。変更されている場合は、セッション・ハイジャックが行われたことがわかります。Oracle Adaptive Access Managerはデバイス属性の包括的なリストを監視します。使い捨てのCookieおよび複数の属性の評価がサーバー側のロジックとクライアントの拡張機能で実行されるため、OAAMのデバイスのフィンガープリント処理は柔軟であり、デプロイが容易で、安全性にも優れています。

1.2.5 ナレッジベース認証

Oracle Adaptive Access Managerは、標準の第2認証をナレッジベース認証(KBA)質問の形式で提供します。KBAインフラストラクチャにより登録、回答、チャレンジ質問が処理されます。KBAは第2認証方法であるため、第1認証の成功後に示されます。

KBAは個人的情報の知識に基づいて個人を認証するのに使用され、知識はリアルタイムで対話型の質問および回答のプロセスによって実証されます。カスタマを認証するのにチャレンジ質問を使用することが適切であるかどうかは、Oracle Adaptive Access Managerのルール・エンジンと組織のポリシーによって判断されます。

次の画面にセキュリティ質問ページの例を示します。このページでは、ユーザーに質問セットが提示されます。質問セットは複数のメニューに分割されており、ここから質問を選択します。ユーザーが回答を入力するQuestionPadも用意されています。

1.2.6 回答ロジック

回答ロジックを使用すると、基本的には正しいが、細かい誤入力、省略形、スペル・ミスなどを含む回答を許容することによって、ナレッジベース認証(KBA)質問のユーザビリティを向上させることができます。たとえば、回答ロジックで省略形が有効化されている場合、ユーザーが「What street did you live on in high school?」という質問チャレンジを受けて「1st St.」と回答し、この内容は基本的には正しいものの、6か月前に登録したときには「First Street」と入力した場合などです。回答ロジックで、構成可能な変形を正しい回答の形式で許容することで、登録されたチャレンジ質問のユーザビリティが劇的に向上し、企業がセキュリティとユーザビリティのバランスを調整できます。

1.2.7 OTP Anywhere

OTP Anywhereは、リスク・ベースのチャレンジ・メカニズムであり、構成済のアウト・オブ・バンド・チャネルを経由してエンド・ユーザーに送信されるサーバー生成のワンタイム・パスワードから構成されます。サポートされているOTPデリバリ・チャネルには、ショート・メッセージ・サービス(SMS)、電子メールおよびIM(インスタント・メッセージ)があります。OTP Anywhereは、ナレッジベース認証(KBA)チャレンジを補完するために、またはKBAのかわりに使用できます。Oracle Adaptive Access Managerでは、革新的なチャレンジ・プロセッサ・フレームワークが提供されます。このフレームワークを使用すると、サード・パーティ認証製品またはサービスをOAAMリアルタイム・リスク評価と組み合せた、リスク・ベースのカスタム・チャレンジ・ソリューションを実装できます。KBAとOTP Anywhereはいずれも、実質的にこのチャレンジ・プロセッサ・フレームワークを内部で使用します。SMS経由のOTP Anywhereでは、個人の携帯電話を2つ目の要素として使用します。そのため、エンド・ユーザーにハードウェアやソフトウェアをプロビジョニングすることなくIDの保証レベルが高まります。

1.2.8 モバイル・アクセス・セキュリティ

Oracle Adaptive Access Managerにはモバイル・セキュリティ機能が用意されています。これらの機能は、ASDKやRESTful Webサービスを使用して、直接またはOracle Access ManagementのMobile and Social Access Servicesコンポーネントを介して使用できます。ユーザーは、OAAMで保護されたWebアプリケーションにモバイル・ブラウザを介してアクセスすると、開発を必要とせずにモバイル・フォーム・ファクタ用に最適化されたユーザー・インタフェースおよびフローをナビゲートできます。Oracle Adaptive Access Managerで使用可能なセキュリティ・ポリシーは、モバイル・デバイスからのユーザー・アクセスが発生すると動的に調整されます。

これにより、分析の範囲とリスク評価の精度が改善され、誤検出が減少します。たとえば、アクセス・リクエストが携帯接続を経由している場合のIPジオロケーションの速度ルールの動作は、Wi-Fi接続を使用している場合の動作とは異なります。

カスタマがOracle Access Management SuiteのMobile and Social (MS) Access Servicesコンポーネントを使用する場合、Oracle Adaptive Access Managerによって、デバイス・フィンガープリント、デバイス登録、モバイル固有のリスク分析、リスク・ベースのチャレンジ・メカニズム、紛失および盗難デバイスの管理が強化されます。Mobile Access Servicesでは、企業が既存のアクセス・セキュリティ・ソリューションを拡張して、Webアクセス・チャネルおよびモバイル・アクセス・チャネルの両方に対処できます。

1.2.9 Universal Risk Snapshot

エンタープライズ・デプロイメントにおいて変更管理は重要です。中でも基幹のセキュリティ・コンポーネントに関する変更管理は特に重要になります。Universal Risk Snapshot機能を使用すると、管理者は一度の操作でOAAMポリシー、依存コンポーネント、およびバックアップ、障害時リカバリおよび移行の構成のフル・コピーを保存できます。スナップショットをデータベースに保存して高速リカバリに使用したり、ファイルに保存して環境と外部バックアップとの間の移行に使用できます。スナップショットのリストアは、差異の内容と、競合の解決に必要なアクションを目に見える形で正確に把握できる自動プロセスです。

1.2.10 不正調査ツール

Oracle Adaptive Access Managerには、セキュリティ・アナリストやコンプライアンス担当者が使用するための合理化された強力なフォレンジック・インタフェースが用意されています。エージェントには、調査結果および調査ワークフローの管理のためのリポジトリが用意されています。ユーザーは、容易にアラートを評価し、関連するアクセス・リクエストやトランザクションを特定して、不正や誤用を見つけることができます。セキュリティ・アナリストおよびコンプライアンス担当者は、調査を行うときにノートを記録し、疑わしいセッションをケースにリンクします。これはすべての調査結果を収集し、将来のリアルタイム・リスク分析に反映するためです。

次の図に、エージェント・ケース詳細ページの例を示します。「ケース詳細」ページには、ケースに取り組んでいる不正調査担当者、ステータス、重大度レベル、説明、最後に実行されたアクション、実行された日時など、ケースに関する一般的な詳細が表示されます。

エージェント・ケース

トランザクションの検索および比較

Oracle Adaptive Access Managerには直感的なインタフェースが用意されており、セキュリティ・アナリストおよびコンプライアンス担当者はこれを使用し、リスク分析の対象となったトランザクションを検索および比較できます。各トランザクションの全データおよびコンテキストは、暗号化されたデータ・フィールドにも使用できます。これにより、セキュリティおよびコンプライアンスの専門家は、ユーザー・アクティビティを深く把握するとともに、管理者などのエンタープライズ・ユーザーからデータを保護できます。複数のトランザクションを並べて比較できるので、調査範囲を既知の高リスク・トランザクションから、当初それ自体では高リスクに見えなかった可能性のあるトランザクションにまで広げる場合にきわめて有用です。

次の図に、「トランザクションの比較」インタフェースの例を示します。この例では、4件のトランザクションのセッションおよびトランザクション詳細が比較されています。

ユーティリティ・パネル

調査ユーティリティ・パネルには、セキュリティ・アナリストやコンプライアンス担当者が調査プロセスにおいて何度も実行するような共通の操作のための永続的なインタフェースが用意されています。クイック検索もケース・ノートも、他の機能の使用状況にかかわらず常に使用できます。そのため、任意のプロセスからの調査結果を組み合せて、疑わしいセッションやトランザクションを検索できます。また、ユーティリティ・パネルでは、あらゆる見解や調査結果をケース・ノートに収集できます。

次の図に、ユーティリティ・パネルの例と目的の検索を実行する個別のデータ・ポイントを示します。

1.2.11 ポリシー管理

組織では、ポリシーおよびルールを使用して、不正を監視および管理したり、ビジネス要素を評価できます。ポリシーとルールは、パターンまたはプラクティス、または日々の業務運用で実行する可能性のある特定アクティビティを処理するように設計されています。Oracle Adaptive Access Managerを使用すると、ルールの集合がいつ実行されるか、様々なシナリオの検出に使用される条件、評価するグループ、およびアクティビティが検出されたときにどのアクションを実行するのが適切であるかを定義できます。

1.2.12 ダッシュボード

Oracle Adaptive Access Managerダッシュボードには、読みやすい方法でデータを編成して示すユーザー・インタフェースに、複数のコンポーネントからの統合された情報が表示されます。Oracle Adaptive Access Managerダッシュボードには、主要なメトリックの監視データバージョンが表示されます。管理者は、セキュリティの観点からの、アプリケーション・アクティビティに関する最新のデータを簡単に確認できます。示されるレポートは、一般的なトレンドを視覚化および追跡するのに役立ちます。

1.2.13 レポート

Oracle Adaptive Access Managerを介して、レポートを使用できます。カスタマイズ可能なレポート機能を使用するために、Oracle Business Intelligence Publisherの限定版ライセンスが含まれています。

Oracle Identity Management BI Publisher Reportsは、Oracle BI Publisherを使用して、Oracle Identity Management製品データベースの情報について問合せおよびレポートを行います。最小限の設定では、Oracle Identity Managementレポートを作成、管理および配信するための共通の方法がOracle Identity Management BI Publisher Reportsによって提供されます。

Oracle Identity Management BI Publisher Reportsに含まれているレポート・テンプレートは標準のOracle BI Publisherテンプレートであり、それぞれのテンプレートは、カスタマイズしてルック・アンド・フィールを変更できます。Oracle Identity Management製品のスキーマ定義を利用できる場合は、その情報を使用して独自のカスタム・レポートを変更および生成できます。

1.3 Oracle Adaptive Access Managerコンポーネント・アーキテクチャ

Oracle Adaptive Access Managerは、プラットフォームのプレゼンテーション層、ビジネス・ロジック層およびデータ層を区分するJ2EEベースの複数層デプロイメント・アーキテクチャに基づいています。層がこのように分離されているため、Oracle Adaptive Access Managerは、お客様のパフォーマンス要件に合せてすばやくスケールできます。このアーキテクチャでは、Java、XML、およびオブジェクト・テクノロジを組み合せた、最も柔軟なサポートされているクロス・プラットフォームJ2EEサービスを利用できます。Oracle Adaptive Access Managerは、このアーキテクチャによって、スケーラブルでフォルト・トレラントなソリューションとなっています。

ルール・エンジンやエンド・ユーザーのインタフェース・フローを含むランタイム・コンポーネントは1つの管理対象サーバーに含まれている一方で、管理コンソールの機能はその管理対象サーバーに分散されています。管理コンソールには、カスタマ・サービスおよびセキュリティ・アナリストのケース管理機能が含まれており、この機能は、通話の量が多くなる可能性があるコール・センターの従業員が常に使用できる必要があります。

使用されているデプロイ方法に応じて、トポロジが少し変わります。ネイティブ・アプリケーション統合のデプロイメントでは、ランタイム・コンポーネントが組み込まれ、管理コンソールが、デプロイメントに追加される、唯一の追加的な管理対象サーバーとなります。また、Oracle Adaptive Access Managerは、パフォーマンスに対する高い要求に対応するために、完全にステートレスであり、クラスタ化デプロイメントを完全にサポートします。さらに、Oracle Databaseのすべての高可用性機能は、Oracle Adaptive Access Managerで使用することがサポートされています。

Oracle Adaptive Access Managerは、次の2つのコンポーネントで構成されています。

- OAAM_ADMIN: このコンポーネントは、OAAM_SERVERアプリケーションの管理と構成のために使用されます。このコンポーネントは、Oracle JAVA ADF FrameworkのIdentity Managementシェルを使用して開発されており、J2EEコンテナにWebアプリケーションとしてデプロイされます。これは、EARファイルとしてパッケージされています。

- OAAM_SERVER: このコンポーネントは、1つのWebアプリケーション内にOAAM AdminサブコンポーネントとOAAM Serverサブコンポーネントが含まれています。OAAM_SERVERコンポーネントはEARファイルとしてパッケージ化されており、Javaクラスに加えてサーブレットとJSPで構成されています。OAAM_SERVERのサブコンポーネントについては、次にレイヤー別に説明します。

- プレゼンテーション・レイヤー: 通常、JSP、サーブレットなどのサービスを提供するWebアプリケーション。プレゼンテーション・レイヤーは、厳密認証機能を提供します。これはビジネス・レイヤーによって提供されるインタフェース(SOAPまたはJavaネイティブ)を使用してそのサービスにアクセスします。

- ビジネス・ロジック・レイヤー: このレイヤーには、リスク分析エンジンを実装するコア・アプリケーション・ロジックが含まれています。このレイヤーは、プレゼンテーション・レイヤーのためのJavaおよびSOAPインタフェースを提供します。Javaインタフェースを使用する場合、ビジネス・ロジック・レイヤーとプレゼンテーション・レイヤーを1つのWebアプリケーションの一部とすることができます。SOAPインタフェースの場合は、これらのレイヤーは異なるアプリケーションとしてデプロイされます。

- データ・アクセス・レイヤー: サポートされているリレーショナル・データベースに接続するためのデータ・アクセス・コンポーネントが含まれています。Oracle Adaptive Access Managerは、リレーショナル・データベースにJavaオブジェクトを格納するための強力で柔軟なフレームワークを提供するOracle TopLinkを使用します。

1.4 デプロイメント・オプション

図1-2に示すように、Oracle Adaptive Access Managerでは、ほとんどのデプロイメント・ニーズを満たすために、多くのデプロイメント・オプションをサポートしています。どのデプロイメント・タイプを採用するかは、通常、必要なユース・ケースと保護する対象となるアプリケーションに基づいて決定します。

図1-2 OAAMデプロイメント・オプション

図1-2は、次のシナリオを示しています。

- SOAPサービス・ラッパーAPI統合のシナリオ。アプリケーションは、OAAMネイティブ・クライアントAPI (SOAPサービス・ラッパーAPI)を使用してOracle Adaptive Access Managerと通信します。

- In-Proc統合のシナリオ。関与するのはローカルAPIコールのみであるため、リモート・サーバーのリスク・エンジン・コール(SOAPコール)は関係ありません。

- UIOプロキシ・シナリオ。リバース・プロキシがクライアント(ブラウザ)とサーバー(Webアプリケーション)の間のHTTPトラフィックをインターセプトします。そのトラフィックがOAAMにリダイレクトされ、次にOAAMサーバーがOAAM管理と通信します。

- OAAM管理コンソール。管理およびカスタマ・サービスと、不正調査ケース管理機能が含まれます。

表1-3では、OAAMデプロイメントのタイプについて説明しています。

表1-3 Oracle Adaptive Access Managerのデプロイメント・オプション

デプロイメント

説明

シングル・サインオン統合

仮想デバイス、デバイスのフィンガープリント処理、リアルタイムのリスク分析およびリスク・ベースのチャレンジを含む高度なログイン・セキュリティを実現するために、Oracle Adaptive Access Managerには、Oracle Access Management Access Managerとの標準的な統合が備えられています。11g以降、 Oracle Adaptive Access ManagerとAccess Managerの統合には、基本と拡張の2つのバージョンがあります。基本統合では、Oracle Adaptive Access ManagerをAccess Managerの実行時サーバーに埋め込みます。これには、Oracle Adaptive Access Managerから使用できる、ログイン・セキュリティの数多くのユース・ケースが含まれており、フットプリントが削減されます。カスタマは、拡張機能と拡張性を得るために、拡張統合を使用してデプロイできます。OTP Anywhere、チャレンジ・プロセッサ・フレームワーク、共有ライブラリ・フレームワーク、安全なセルフサービスのパスワード管理フローなどの機能を使用するには、拡張統合オプションが必要となります。また、必要に応じて、システム・インテグレータを介して、Oracle Adaptive Access Managerとサード・パーティのシングル・サインオンを統合することもできます。

図1-2に、このオプションは示されていません。

ユニバーサル・インストール・オプションのリバース・プロキシ

Oracle Adaptive Access Managerは、ログイン・リクエストを捕捉し、高度なログイン・セキュリティを提供するために、Apacheモジュールを使用してデプロイできます。使用できるフローは、拡張シングル・サインオン統合オプションの場合と同じです。

Oracleユニバーサル・インストール・オプション(UIO)デプロイメントの主要な利点は、保護されるアプリケーションとの統合がほとんどまたは一切必要なく、シングル・サインオン(SSO)も必要ないことです。

ネイティブ・アプリケーション統合

Oracle Adaptive Access Managerは、非常に高いパフォーマンスと高度にカスタマイズ可能なセキュリティを実現するために、アプリケーションとネイティブ統合できます。ネイティブ統合では、保護されるアプリケーション内に、プロセス内のOAAMが組み込まれます。アプリケーションでは、Oracle Adaptive Access Manager APIを直接起動して、リスクとチャレンジのフローにアクセスします。

Webサービス・アプリケーション統合

ネイティブ統合に似た高度な要件を持ち、かつ、直接的なJava API統合ではなくSOAP Webサービスを使用することが必要なカスタマは、このオプションを選択できます。

Java Message Serviceキュー統合

複数のアプリケーションやデータ・ソースを必要とするアクセス監視要件のあるカスタマは、セキュリティおよびコンプライアンスについて率先した姿勢で措置を講じることができるようになりました。付属のJava Message Service Queue (JMSQ)を使用すると、カスタマはほぼリアルタイムのリスク分析を実装できるため、疑わしい不正や誤用を積極的に特定できます。

図1-2に、このオプションは示されていません。

1.5 Oracle Adaptive Access Manager 11gリリース2 (11.1.2)の機能

Oracle Adaptive Access Management 11.1.2では、次の表で説明する新機能および拡張機能が提供されています。

領域

機能および拡張機能

モバイル・セキュリティの強化

モバイル・セキュリティは、次のように強化されました。

- より優れたモバイル・ブラウザUX

- モバイル用に調整されたセキュリティ・ポリシー

- モバイル・アプリケーション開発者用のRESTサービスとSDK

- 強化されたモバイル・デバイスのフィンガープリント処理

- 地理空間ロケーション認識

- 紛失および盗難されたモバイル・デバイスのセキュリティ

トランザクション自動学習

新しいトランザクション自動学習は、次のとおりです。

- カスタマイズ可能なパターン化

- トランザクション・ルール条件

調査ツール

調査をより迅速で簡単にするために、新しい調査ツールが追加されました。

- 改善されたケース管理

- ユーティリティ・パネルのクイック検索

- ユーティリティ・パネルのメモ・ペイン

- トランザクションの検索

- トランザクションおよびエンティティ・データ、アラート・メッセージ、地理的なロケーション、IPアドレス範囲用の追加検索フィルタ

- トランザクション詳細

- トランザクションの比較

- 効率化されたホワイト・リスト/ブラック・リスト作成

- OAAMの単一のインスタンスで複数のアプリケーション・テナントの保護を可能にする、カスタマ・サービス担当インタフェース用のマルチテナント・アクセス制御

- エンティティをグループに簡単に追加できるようにする、セッションの検索および詳細ページでのグループに追加機能

エンティティ拡張機能

エンティティの拡張は、次のとおりです。

- リンクされたエンティティ

- エンティティのCRUD操作

- ターゲットを指定したパージ

アクセス監視ツールキット

アクセス監視ツールキットは、次のとおりです。

- JMSQインタフェース

- データベース・ビュー生成

1.6 Oracle Adaptive Access Manager 11.1.2.0とOracle Adaptive Access Manager 11.1.1.3.0の機能比較

機能

10.1.4.5

11.1.1.3.0

11.1.2

リアルタイムおよびオフライン・ルール・エンジン

X

X

X

仮想認証デバイス

X

X

X

ナレッジベース認証

X

X

X

適応デバイス識別*

X

X

X

基本セキュリティ・ポリシー(継続的な更新)

X

X

X

リアルタイム・ダッシュボード(改善)

X

X

X

カスタマ・サービス・モジュール

X

X

X

アクティビティ・データへのリアルタイム・アクセス

X

X

X

アクション、アラートおよびリスク・スコアリング

X

X

X

ルール条件

X

X

X

最適化されたログ・データ管理

X

X

X

ルール・データ・オブジェクトの拡張されたキャッシング

X

X

X

拡張された統合API

X

X

X

ルール作成ユーザー・インタフェース

X

X

X

トランザクション定義およびマッピング・ユーザー・インタフェース

X

X

X

データ・エンティティ定義およびマッピング・ユーザー・インタフェース

X

X

X

動作パターン構成インタフェース

X

X

X

構成可能なアクション

X

X

X

サーバー生成のワンタイム・パスワード(OTP)

可(すべてのデプロイメント・タイプ)

可(すべてのデプロイメント・タイプ)

カスタマイズ可能なレポートBI Publisher (付属)

X

X

X

ツリー・ベースのナビゲーションおよびポリシー参照

X

X

表形式のマルチタスク・ユーザー・インタフェース

X

X

カスタマイズ可能な検索画面

X

X

共通監査フレームワーク

X

X

より優れたモバイル・ブラウザUX

X

モバイル用に調整されたセキュリティ・ポリシー

X

モバイル・アプリケーション開発者用のRESTサービスとSDK

X

強化されたモバイル・デバイスのフィンガープリント処理

X

地理空間ロケーション認識

X

紛失および盗難されたモバイル・デバイスのセキュリティ

X

カスタマイズ可能なパターン化

X

トランザクション・ルール条件

X

改善されたケース管理

X

ユーティリティ・パネルのクイック検索

X

ユーティリティ・パネルのメモ・ペイン

X

トランザクションの検索

X

トランザクション詳細

X

トランザクションの比較

X

効率化されたホワイト・リスト/ブラック・リスト作成

X

リンクされたエンティティ

X

エンティティのCRUD操作

X

ターゲットを指定したパージ

X

JMSQインタフェース

X

データベース・ビュー生成

X

統合されたOracle Identity Managerパスワード管理フロー

X

X

Oracle Installerとリポジトリ作成ユーティリティ

X

X

Oracleパッチ

X

X

Oracle Adaptive Access Managerオフライン・ユーザー・インタフェース

X

X

X

モデルの記録

X

グローバリゼーション

X

X

X

統合

10.1.4.5

11.1.1.3.0

11g (11.1.2)

Oracle Access Management Access Manager統合

X

X

X

Oracle Identity Manager統合

X

X

Juniper SSL VPN統合

X

1.7 システム要件と動作保証情報

ハードウェアとソフトウェアの要件、プラットフォーム、データベースおよびその他の情報の詳細は、システム要件と動作要件のドキュメントを参照してください。いずれのドキュメントもOracle Technology Network (OTN)から入手できます。

OTNには次でアクセスできます:

http://www.oracle.com/technetwork

システム要件のドキュメントには、ハードウェアとソフトウェアの要件、ディスク領域とメモリーの最小要件、必要なシステム・ライブラリ、パッケージまたはパッチなどの情報が記載されています。

動作要件のドキュメントには、サポートされているインストール・タイプ、プラットフォーム、オペレーティング・システム、データベース、JDK、ディレクトリ・サーバーおよびサードパーティ製品が記載されています。

2 OAAM環境の設定

この章では、Oracle Adaptive Access Manager環境を初めて設定する場合の詳細を示します。Oracle Adaptive Access Managerをインストールする場合、実行可能ファイル、jarファイル、ライブラリなどのバイナリ・ファイルをインストールします。次に、構成ツールを使用してソフトウェアを構成します。

既存のOracle Adaptive Access ManagerをOracle Adaptive Access Manager 11gリリース2 (11.1.2)にアップグレードする方法は、『Oracle Fusion Middleware Oracle Identity and Access Managementアップグレードおよび移行ガイド』を参照してください。

この章では、次の内容を説明します。

- 2.1項「ベース環境の設定について」

- 2.2項「前提条件」

- 2.3項「CLI環境の設定」

- 2.4項「暗号化およびデータベース資格証明の設定」

- 2.5項「OAAMユーザーの作成」

- 2.6項「OAAMスナップショットのインポート」

- 2.7項「IPロケーション・データのインポート」

- 2.8項「OAAM管理コンソールのすべてのタイムスタンプに使用されるタイム・ゾーンの設定」

- 2.9項「OTPの有効化」

2.1 ベース環境の設定について

インストール・プロセス(インストール後の手順も含む)が完了した後で、グラフィカル・ユーザー・インタフェースまたはコマンドライン・ツールを使用して認証メカニズム、リスク・ベースのチャレンジ方法、ポリシー管理および統合を管理するには、Oracle Adaptive Access Managerのベース環境を設定する必要があります。

表2-1に、ベースとなるOracle Adaptive Access Manager環境を設定する高レベル・タスクの概要を示します。

表2-1 OAAMベース環境の設定

番号

タスク

情報

1

前提条件を確認します。

詳細は、「前提条件」を参照してください。

2

CLI環境を設定します。

詳細は、「CLI環境の設定」を参照してください。

3

暗号化とデータベース資格証明を設定します。

詳細は、「暗号化およびデータベース資格証明の設定」を参照してください。

4

OAAMユーザーを作成します。

詳細は、「OAAMユーザーの作成」を参照してください。

5

OAAMスナップショットをインポートします。

詳細は、「OAAMスナップショットのインポート」を参照してください。

6

IPロケーション・データをインポートします。

詳細は、「IPロケーション・データのインポート」を参照してください。

7

タイムゾーンの設定。

詳細は、「OAAM管理コンソールですべてのタイムスタンプに使用されるタイム・ゾーンの設定」を参照してください。

8

デプロイメントで使用する場合はOTPを有効化します。

詳細は、「OTPの有効化」を参照してください。

2.2 前提条件

このマニュアルのすべてのタスクは、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』で説明されているようにOracle Adaptive Access Manager 11gをインストールし、初期構成を完了していることを前提としています。

注意:

OAAMで推奨されるデータベースのバージョンは、Oracle Database Enterprise Editionです。

2.3 CLI環境の設定

Oracle Adaptive Access Managerのコマンドライン・インタフェース(CLI)スクリプトでは、Oracle Adaptive Access Manager管理コンソールを使用しないで様々なタスクを実行できます。

CLI環境の設定には、次のタスクが含まれます。

1. CLI作業フォルダの設定

2. CLIスクリプト起動のプロパティの指定(オプション)

3. 資格証明ストア・フレームワーク(CSF)の構成の設定

4. Oracle Adaptive Access Managerデータベース資格証明の設定

2.3.1 CLI作業フォルダの設定

この項では、CLIフォルダ$IDM_ORACLE_HOME/oaam/cliを作業ディレクトリ(oaam_cliなど)にコピーします。

注意:

IDM_ORACLE_HOMEフォルダ(Oracle Identity Managementソフトウェアをインストールしたフォルダ)内にあるファイルを編集または変更することは推奨されないため、このタスクが必要になります。

1. 作業ディレクトリを作成します。
mkdir work

cd work

mkdir oaam_cli

2. 次のコマンドを実行して、oaam_cliフォルダを作業ディレクトリにコピーします。

UNIXの場合:

次のコマンドを実行します。

cp -r IDM_ORACLE_HOME/oaam/cli ~/work/oaam_cli

Windowsの場合

次のコマンドを実行します。

xcopy/s   IDM_ORACLE_HOME\oaam\cli   c:\work\oaam_cli

フォルダ全体がコピーされるように、求められたらD=directoryを選択します。

2.3.2 CLIスクリプト起動のプロパティの指定(オプション)

CLIスクリプトは起動時に、ミドルウェアのホームの場所とOracle WebLogicのインストール場所を必要とします。11.1.2.1.0以降では、これらをoaam_cli.propertiesで指定するオプションがあります。以前のバージョンでは、この情報を含む環境変数を設定するか、この情報をコマンドラインで入力する必要がありました。

表2-2 oaam_cli.propertiesに記載されているCLIスクリプト起動プロパティ

プロパティ

環境変数

定義

oaam.adminserver.mw.home

ORACLE_MW_HOME

ミドルウェアのホームの場所。

oaam.server.wls.home

WLS_HOME

Oracle WebLogicのみ。Oracle WebLogicのインストール場所。

2.3.3 資格証明ストア・フレームワーク(CSF)構成の設定

資格証明ストアは、ユーザー名とパスワードの組合せ、チケットまたは公開鍵証明書を保持できるリポジトリです。Oracle Platform Security Servicesは資格証明ストア・フレームワーク(CSF)を備えています。これは、アプリケーションで資格証明を安全に作成、読取り、更新および管理する際に使用できる一連のAPIです。OAAMではCSF APIを使用して資格証明にアクセスします。資格証明はOracle WebLogic Serverドメイン内のCSFに格納され、Oracle Fusion Middleware Enterprise Manager ControlまたはOracle WebLogic Scripting Tool (WLST)を使用して管理します。

CSFに格納されているOAAM暗号化キーにアクセスするには、次のいずれかのメカニズムを選択します。

- Mbeanを含まないCSF

- Mbeanを含むCSF

2.3.3.1 Database Details MBeanを含まないCSFを使用したOAAMデータベースの詳細の構成

このアプローチに関する重要な注意事項は次のとおりです。

- この方法では、Oracle Adaptive Access Managerコマンドライン・ユーティリティ・スクリプトをWebLogic Serverと同じコンピュータで実行する必要があります。

- この方法では、WebLogic管理者とパスワードを指定する必要はありません。

- Oracle Adaptive Access Managerがクラスタ化された環境にデプロイされている場合、この方法はお薦めしません。

このメカニズムを使用するには、cliフォルダをコピーした作業フォルダに移動し、conf/bharosa_properties/oaam_cli.propertiesファイルをテキスト・エディタで開いて、次のプロパティを設定します。

プロパティ名

プロパティ値に関する注意事項

oaam.csf.useMBeans

false

oaam.jps.config.filepath

jps-config-jse.xmlの絶対ファイル・パスを設定します。通常、このファイルは次のディレクトリにあります。

$DOMAIN_HOME/config/fmwconfig

oaam.db.url

Oracle Adaptive Access Managerデータベースの有効なJDBC URLを指定します。誤入力がないことを確認します。

oaam.db.additional.properties.file

追加のToplinkプロパティがない場合は、空白のままにします。

それ以外の場合は、追加のToplinkプロパティを含むプロパティ・ファイルの名前を指定します。ファイルがoaam_cli.propertiesと同じフォルダにあることを確認します。

oaam.db.driver

oracle.jdbc.driver.OracleDriver

この値を変更するのは、Oracle Adaptive Access ManagerスキーマがOracle以外のデータベースにある場合のみです。

oaam.db.min.read-connections

1

必要のないかぎり、この値は変更しないでください。

oaam.db.max.read-connections

25

必要のないかぎり、この値は変更しないでください。

oaam.db.min.write-connections

1

必要のないかぎり、この値は変更しないでください。

oaam.db.max.write-connections

25

必要のないかぎり、この値は変更しないでください。

2.3.3.2 Database Details MBeanを含むCSFを使用したOAAMデータベースの詳細の構成

このアプローチに関する重要な注意事項:

- Oracle Adaptive Access Managerがクラスタ化された環境にデプロイされている場合、この方法をお薦めします。

- この方法では、Oracle Adaptive Access Manager WebLogic Serverにリモートで接続できます。

- この方法では、Oracle Adaptive Access Manager WebLogic管理者ユーザーとパスワードを指定する必要があります。

MBeanを含むCSFを使用してOracle Adaptive Access Managerデータベースの詳細を構成するには、cliフォルダをコピーした作業フォルダに移動し、conf/bharosa_properties/oaam_cli.propertiesファイルをテキスト・エディタで開いて、次のプロパティを設定します。

プロパティ名

プロパティ値に関する注意事項

oaam.csf.useMBeans

true (trueを維持する)

oaam.adminserver.hostname

WebLogic管理サーバーが実行されるホスト名

oaam.adminserver.port

WebLogic管理サーバーのポート番号。通常は7001

oaam.db.url

Oracle Adaptive Access Managerデータベースの有効なJDBC URLを指定します。誤入力がないことを確認します。

oaam.db.additional.properties.file

追加のOracle Toplinkプロパティがない場合は、空白のままにします。

それ以外の場合は、追加のOracle Toplinkプロパティを含むプロパティ・ファイルの名前を指定します。ファイルがoaam_cli.propertiesと同じフォルダにあることを確認します。

oaam.db.driver

oracle.jdbc.driver.OracleDriver

この値を変更するのは、Oracle Adaptive Access ManagerスキーマがOracle以外のデータベースにある場合のみです。

oaam.db.min.read-connections

1

必要のないかぎり、この値は変更しないでください。

oaam.db.max.read-connections

25

必要のないかぎり、この値は変更しないでください。

oaam.db.min.write-connections

1

必要のないかぎり、この値は変更しないでください。

oaam.db.max.write-connections

25

必要のないかぎり、この値は変更しないでください。

2.3.4 Oracle Adaptive Access Managerデータベース資格証明の設定

資格証明ストア・フレームワークでのデータベース資格証明の構成には、次の手順があります。

- Oracle Enterprise Manager Fusion Middleware Controlを使用して、データベース資格証明(ユーザー名とパスワード)をOracle Adaptive Access Managerがインストールされているドメインの資格証明ストア・フレームワークに追加します。これらの資格証明は、Oracle Adaptive Access Managerコマンドライン・ユーティリティで使用されます。

- WebLogic管理サーバーおよびOracle Adaptive Access Managerデータベースの詳細を使用して、Oracle Adaptive Access Manager CLIユーティリティで使用されるプロパティ・ファイルを構成します。

資格証明ストアの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。図2-1に、データベース資格証明の設定を示します。

CSFでデータベース資格証明を設定する手順は、2.4.6項「資格証明ストア・フレームワークでのOracle Adaptive Access Managerデータベース資格証明の設定」を参照してください。

図2-1 資格証明ストアでのデータベース資格証明の設定

2.3.5 資格証明ストア・フレームワークでデータベース資格証明を設定するかわりに永続性を使用する方法

CSFでOracle Adaptive Access Managerデータベース資格証明を設定するかわりに、persistence.xmlを使用する場合は、次の手順に従ってください。ただし、このアプローチは推奨されておらず、サポートもされていません。

1. cliフォルダをコピーした作業フォルダに移動します。テキスト・エディタでファイルconf/bharosa_properties/oaam_cli.propertiesを開き、oaam.db.toplink.useCredentialsFromCSFのプロパティ値をfalseに設定します。

2. 次の例のように、関連するeclipselink.jdbcプロパティを編集して、Oracle Adaptive Access Managerデータベース接続の詳細をMETA-INF/persistence.xmlファイルで更新します。

<property name="eclipselink.jdbc.driver" value="oracle.jdbc.driver.OracleDriver"/>
<property name="eclipselink.jdbc.url" value="jdbc:oracle:thin:@dbhost.mydomain.example.com:1521/SERVICE_NAME"/>
<property name="eclipselink.jdbc.user" value="OAAM_DB_USER"/>
<property name="eclipselink.jdbc.password" value="DB_Password"/>

ここで

eclipselink.jdbc.driverは、ドライバ・クラスの完全修飾名です。

eclipselink.jdbc.urlは、ドライバ固有のURLです。

eclipselink.jdbc.userは、データベース接続に使用されるユーザー名です。

eclipselink.jdbc.passwordは、データベース接続の検証に使用されるパスワードです。

2.4 暗号化およびデータベース資格証明の設定

oaam_serverおよびoaam_adminの初回起動時に暗号化キーが存在しない場合は自動的に生成されます。

Oracle Adaptive Access Managerでは、秘密鍵を使用して、資格証明ストア・フレームワークに格納されたデータが暗号化されます。暗号化では、Oracle Adaptive Access Manager内のデータが不正なアクセスから保護されます。この処理では、メソッドとキーを使用して、プレーン・テキストを判読不可能な形式にエンコードします。暗号化された情報を復号化し、再度読めるようにするには、キーが必要です。キーを所有し、認可されているユーザーは、同じキーを使用して暗号化された情報を復号化できます。

秘密鍵について

Oracle Adaptive Access Managerでは、資格証明ストア・フレームワークに格納されたデータを暗号化するには秘密鍵を設定する必要があります。これらの秘密鍵は、Oracle Enterprise Manager Fusion Middleware Controlを使用して、WebLogicサーバーの資格証明ストア・フレームワークに追加できます。

OAAMが機能するために必要な3つのキーを作成する必要があります。

- oaam_db_key

- DESede_db_key_alias

- DESede_config_key_alias

oaam_db_keyはデータベースにアクセスするために使用され、手動で追加する必要があります。oaam_db_keyの詳細は、2.3.4項「Setting Up Oracle Adaptive Access Managerデータベース資格証明の設定」を参照してください。

DESedeキーはデータを暗号化するために使用されます。この項の冒頭で説明したように、これらのキーが存在しない場合は、OAAMサーバーによって最初の起動時に作成されます。その DESedeキーを使用することも、独自のキーを作成することもできます。

独自のDESedeキーを使用する場合は、作成および暗号化について次の2つの選択肢があります。

- 独自の秘密鍵(文字列)を用意し、encodeKey.shを使用してエンコードしてその値を保存するか、または

- generateEncodedKey.shを使用して1つの手順でキーを生成してエンコードします。

値がサーバーによって生成される場合、またはgenerateEncodedKey.shを使用する場合、秘密のフレーズはわかりません。エンコードされた値のみがわかります。この値はバックアップする必要があります。独自の秘密鍵を使用する場合は、エンコードされた値を再生成できます。

暗号化の設定

暗号化の設定には、次の手順があります。

- 構成値とデータベースの両方の秘密鍵(対称鍵)が使用可能であることを確認します。秘密鍵がない場合は、genEncodedKeyコマンドを使用して、エンコードされた対称鍵を生成します。

- encodeKeyコマンドのbase64encodeオプションを使用してキーをエンコードします。genEncodedKeyコマンドを使用してキーを生成した場合、この手順は必要ありません。

- Oracle Enterprise Manager Fusion Middleware Controlを使用して、エンコードされた秘密鍵をOracle Adaptive Access Managerがインストールされているドメインの資格証明ストア・フレームワークの別名に追加します。
資格証明ストアは、ユーザー名とパスワード、または一般的な資格証明(証明書)を格納するためのリポジトリです。資格証明ストアを使用するメリットは、アプリケーションにパスワードがクリアテキストで格納されず、パスワード保護に独自のソリューションを考案する必要がないことです。これにより、管理者および開発者は、一貫性のある資格証明リポジトリを使用して作業できる可能性が高くなります。

2.4.1 暗号化およびデータベース資格証明の設定の前提条件

Oracle Adaptive Access Managerの暗号化およびデータベース資格証明の設定の前提条件は次のとおりです。

1. Oracle Adaptive Access Managerのインストール・フォルダへのアクセス権がない場合は、ドメインの作成中にOracle Adaptive Access Manager 11gがOracle Enterprise Manager Fusion Middleware Controlを使用して構成されていることを確認します。

2. Oracle Adaptive Access Managerのインストール・フォルダへのアクセス権がある場合は、MW_HOME\IDM_ORACLE_HOME\oaam\cliフォルダでコマンドライン・スクリプトを実行できることを確認します。

3. JDKがインストールされていることを確認し、javaコマンドを実行してjavaコマンドがパスにあることをチェックします。

注意:

Oracle Adaptive Access Manager 10.1.4.5からOracle Adaptive Access Manager 11gにアップグレードする場合は、Upgrade Assistantによって秘密鍵がOracle Adaptive Access Manager 10.1.4.5からOracle Adaptive Access Manager 11gの資格証明ストア・フレームワークに自動的に移行されるため、2.4.2項「構成値を暗号化するためのエンコードされた秘密鍵の設定」、2.4.3項「データベース値を暗号化するためのエンコードされた秘密鍵の設定」および2.4.4項「エンコードされた秘密鍵の生成」を省略できます。

2.4.2 構成値を暗号化するためのエンコードされた秘密鍵の設定

構成値を暗号化するためにエンコードされた秘密鍵を設定するには、次の手順を実行します。

1. Oracle Adaptive Access Managerのコマンドライン・フォルダMW_HOME\IDM_ORACLE_HOME\oaam\cliに移動します。

2. ファイルconfig_secret_key.fileを作成し、次のように入力してファイルに秘密鍵を追加します。
tobase64=secret-key

注意:

- 秘密鍵が存在せず、エンコードされた秘密鍵の生成手順が必要な場合は、2.4.4項「エンコードされた秘密鍵の生成」を参照してください。

- これはアルゴリズムを暗号化するための自分のキーです。

- 3DESでは任意のキーを使用できますが、24文字以上にする必要があります。

3. 次のコマンドを実行し、Base64アルゴリズムを使用してキーをエンコードします。

1. UNIXの場合

encodeKey.sh config_secret_key.file

2. Windowsの場合

encodeKey.cmd config_secret_key.file

エンコーディング・コマンドが正常に実行された場合は、次のような出力が表示されます。

base64encode is done!
Base64 Encoded value =encoded_value

KeyStoreコマンドが正常に実行されなかった場合は、次のようなエラーが表示されます。

Exception in thread "main" java.lang.NoClassDefFoundError: while resolving
class: com.bharosa.vcrypt.common.util.KeyStoreUtil at
java.lang.VMClassLoader.resolveClass(java.lang.Class)
(/usr/lib/libgcj.so.5.0.0) at java.lang.Class.initializeClass()
(/usr/lib/libgcj.so.5.0.0) at java.lang.Class.forName(java.lang.String,
boolean, java.lang.ClassLoader) (/usr/lib/libgcj.so.5.0.0) at
java.lang.Class.forName(java.lang.String) (/usr/lib/libgcj.so.5.0.0)

4. 画面に表示されたキーのエンコード済の値を書き留めます。空白がないことを確認します。これは、資格証明ストア・フレームワークに追加するために必要です。

2.4.3 データベース値を暗号化するためのエンコードされた秘密鍵の設定

データベース値を暗号化するために秘密鍵を設定するには、次の手順を実行します。

1. Oracle Adaptive Access Managerのコマンドライン・フォルダMW_HOME\IDM_ORACLE_HOME\oaam\cliに移動します。

2. ファイルdb_secret_key.fileを作成し、次のように入力してファイルに秘密鍵を追加します。
tobase64=secret-key

注意:

- 秘密鍵が存在せず、エンコードされた秘密鍵の生成手順が必要な場合は、2.4.4項「エンコードされた秘密鍵の生成」を参照してください。

- これはアルゴリズムを暗号化するための自分のキーです。

- 3DESでは任意のキーを使用できますが、24文字以上にする必要があります。

3. 次のコマンドを実行し、Base64アルゴリズムを使用してキーをエンコードします。

1. UNIXの場合

encodeKey.sh db_secret_key.file

2. Windowsの場合

encodeKey.cmd db_secret_key.file

エンコーディング・コマンドが正常に実行された場合は、次のような出力が表示されます。

base64encode is done!
Base64 Encoded value = encoded_value

KeyStoreコマンドが正常に実行されなかった場合は、次のようなエラーが表示されます。

Exception in thread "main" java.lang.NoClassDefFoundError: while resolving
class: com.bharosa.vcrypt.common.util.KeyStoreUtil at
java.lang.VMClassLoader.resolveClass(java.lang.Class)
(/usr/lib/libgcj.so.5.0.0) at java.lang.Class.initializeClass()
(/usr/lib/libgcj.so.5.0.0) at java.lang.Class.forName(java.lang.String,
boolean, java.lang.ClassLoader) (/usr/lib/libgcj.so.5.0.0) at
java.lang.Class.forName(java.lang.String) (/usr/lib/libgcj.so.5.0.0)

4. 画面に表示されたキーのエンコード済の値を書き留めます。空白がないことを確認します。これは、資格証明ストア・フレームワークに追加するために必要です。

2.4.4 エンコードされた秘密鍵の生成

エンコードされた秘密鍵を生成するには、次の手順を実行します。

1. 次のコマンドを実行します。

1. UNIXの場合

genEncodedKey.sh sample.db_3des_input.properties

2. Windowsの場合

genEncodedKey.cmd sample.db_3des_input.properties

2. コマンドが正常に実行された場合は、次のような出力が表示されます。

Generated key = encoded_key

注意:

生成されたキーはすでにエンコードされているため、エンコードする必要はありません。

2.4.5 資格証明ストア・フレームワークへのエンコードされた対称鍵の追加

ドメインの作成後にOAAMサーバーを起動すると、OAAMサーバーによって自動的に秘密鍵が生成されます。異なる秘密鍵を使用しない場合は、それらの自動生成された秘密鍵を使用できます。

資格証明ストア・フレームワークに秘密鍵を追加するには、次の手順を実行します。

1. Webブラウザを使用してOracle Enterprise Manager Fusion Middleware Control (http://weblogic_admin_server:port/em)にログインし、WebLogic管理者資格証明を使用してログインします。

2. 左パネルのナビゲーション・ツリーで「WebLogicドメイン」アイコンを展開します。

3. OAAMドメインを選択して右クリックし、メニュー・オプションで「セキュリティ」、サブ・メニューで「資格証明」を選択します。

4. 「oaam」という名前のマップがあるかどうかを確認します。ない場合は、「マップの作成」オプションをクリックし、「マップ名」をoaamと入力します。「OK」をクリックしてマップを保存します。

5. 「oaam」をクリックしてマップを選択します。次に「キーの作成」をクリックします。

6. ポップアップ画面で、「マップの選択」がoaamに設定されていることを確認します。

7. 次の値を入力します。

- キー名: DESede_db_key_alias (キーがデータベース関連の場合)またはDESede_config_key_alias (構成/アプリケーション関連の場合)。誤入力や空白がないことを確認します。

- タイプ: Generic。

- 資格証明値: 対称鍵のエンコード済の値

8. 「説明」フィールドに説明を入力します。

9. 「OK」をクリックして、秘密鍵を資格証明ストア・フレームワークに保存します。

10. 別名および秘密鍵を必ずバックアップしてください。
バックアップは、ドメインを再作成し、ドメインで既存のOracle Adaptive Access Managerデータベースを指す必要がある場合に必要になります。

注意:

多くの重要な管理操作で暗号化されたデータが必要とされるため、秘密鍵を失った場合、Oracle Adaptive Access Managerデータベースの既存のデータはすべて使用できなくなります。

2.4.6 資格証明ストア・フレームワークでのOracle Adaptive Access Managerデータベース資格証明の設定

資格証明ストア・フレームワークでOracle Adaptive Access Managerデータベース資格証明を設定するには、次の手順を実行します。

1. Webブラウザを使用してOracle Enterprise Manager Fusion Middleware Control (http://weblogic_admin_server:port/em)にログインし、WebLogic管理者資格証明を使用してログインします。

2. 左パネルのナビゲーション・ツリーで「WebLogicドメイン」アイコンを展開します。

3. OAAMドメインを選択して右クリックし、メニュー・オプションで「セキュリティ」、サブ・メニューで「資格証明」を選択します。

4. 「oaam」という名前のマップがあるかどうかを確認します。ない場合は、「マップの作成」オプションをクリックし、「マップ名」をoaamと入力します。「OK」をクリックしてマップを保存します。

5. 「oaam」をクリックしてマップを選択します。次に「キーの作成」をクリックします。

6. ポップアップ画面で、「マップの選択」がoaamに設定されていることを確認します。

7. 次の値を入力します。

- キー: oaam_db_key。誤入力や空白がないことを確認します。

- タイプ: Password

- ユーザー名: OAAMのデータベース・ユーザー名

- パスワード: OAAMのデータベース・パスワード

8. 説明を入力します。

9. 「OK」をクリックして、秘密鍵を資格証明ストア・フレームワークに保存します。

2.4.7 データベースおよび構成値の構成に使用するデータベース資格証明およびエンコードされた秘密鍵のバックアップ

使用したエンコードされた秘密鍵をバックアップする必要があります。Oracle Adaptive Access Manager 11gドメインを再作成する必要がある場合は、これらのキーが必要になることがあります。エンコードされた秘密鍵および別名を必ず書き留めてください。

1. Oracle Enterprise Manager Fusion Middleware Controlにログインします。

2. 左パネルでWebLogicドメインを開き、OAAMドメインを選択します。

3. OAAMドメインから「セキュリティ」を選択し、「資格証明」を選択します。

4. oaamを開き、タイプ「汎用」に関連付けられた対称鍵関連のエントリを選択します。

5. 「編集」を選択します。

6. 「資格証明」セクションに移動し、対称鍵関連のエントリをコピーして、鍵の名前を書き留めます。

7. 前述の手順を繰り返し、データベースおよび構成の鍵をバックアップします。

注意:

Oracle Adaptive Access Manager 11gドメインを削除して再作成する場合は、Oracle Adaptive Access Managerデータベースの既存のデータが正しく復号化されるように、暗号化鍵を設定するときに必ずバックアップした秘密鍵を使用してください。

2.5 OAAMユーザーの作成

Oracle Adaptive Access Managerユーザーは、自分に割り当てられているロールに基づいて機能にアクセスできます。このような管理者ロールは、それぞれの職務別に割り当てられる特定の権限を持ちます。

新規ユーザーを作成し、Oracle WebLogic管理コンソールを使用して、WebLogic管理ドメインで関連するOracle Adaptive Access Managerロールを割り当てることができます。1人のユーザーに複数のロールを割り当てるのは避けることをお薦めします。複数のロールが割り当てられたユーザーは、異なるグループのすべての権限を持つことになります。

外部LDAPストアでユーザーおよびグループの作成を行う場合は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』を参照してください。

OAAMユーザーを作成するには、次の手順を実行します。

1. WebLogic管理ドメインのOracle WebLogic管理コンソールにログインします。

2. 左パネルで「セキュリティ・レルム」を選択します。

3. 「セキュリティ・レルムの概要」ページで、レルムの名前(myrealmなど)を選択します。

4. 「レルム名」ページの「設定」で、「ユーザーとグループ」→「ユーザー」を選択します。

5. 「新規」をクリックし、セキュリティ・レルムにユーザー(user1など)を作成するのに必要な情報を指定します。

6. 新規作成したユーザーのuser1をクリックします。

7. 「グループ」タブをクリックします。

8. OAAM接頭辞のあるグループをすべて、ユーザーuser1に割り当てます。

9. 「保存」をクリックします。

2.6 OAAMスナップショットのインポート

Oracle Adaptive Access Managerには、ポリシー、依存コンポーネントおよび構成のフル・スナップショットが付属しています。oaam_base_snapshot.zipファイルは、MW_HOME/IDM_ORACLE_HOME/oaam/initディレクトリに配置されています。

1. 次のURLを使用して、Oracle Adaptive Access Manager管理コンソール(OAAM管理)にログインします。

http://host:port/oaam_admin

2. 次の手順に従ってスナップショット・ファイルをシステムにロードします。

1. ナビゲーション・ツリーで、「環境」にある「システム・スナップショット」を開きます。

2. 「ファイルからロード」ボタンをクリックします。
「スナップショットのロードおよびリストア」ダイアログが表示されます。

3. 「現在のシステムをすぐにバックアップ」の選択を解除し、「続行」をクリックします。
ダイアログが開き、現在のシステムをバックアップしないように選択したため続行するかどうかを尋ねるメッセージが表示されます。

4. 現在のシステムをバックアップしないように選択したため続行するかどうかを尋ねるメッセージのダイアログが表示されたら、「続行」をクリックします。
ロードするスナップショットを選択するための「スナップショットのロードおよびリストア」ページが表示されます。

5. oaam_base_snapshot.zipを参照し、「ロード」ボタンをクリックしてスナップショットをシステム・データベースにロードします。

6. 「OK」→「リストア」をクリックします。

スナップショットには、OAAMにインポートする必要のある次の項目が含まれています。

- 英語(アメリカ合衆国)のチャレンジ質問
登録、新規アカウントのオープン、またはリセットなどの別のイベントの際、ユーザーは質問のリストから様々な質問を選択し、回答を入力します。チャレンジ質問と呼ばれるこれらの質問は、ユーザーを認証するために使用されます。

ユーザーが登録のための質問に回答できるようにするには、サポート対象の言語での質問がシステムに存在している必要があります。これらの質問では、OAAMサーバーへのログインも必要な場合があります。

- エンティティの定義
認証の際に追跡されるアクターは認証エンティティと呼ばれ、ユーザー、市区町村、デバイスなどが含まれます。これらのベース・エンティティは、パターンに使用される条件を有効にする際に必要となります。

- 標準パターン
パターンは、1つのバケットを定義したり、複数のバケットを動的に作成する際に、Oracle Adaptive Access Managerによって使用されます。Oracle Adaptive Access Managerでデータが収集され、パターン・パラメータに基づいてこれらのバケットにメンバーが移入されると、動的に変化するメンバーシップとバケットの分散についてルールによるリスク評価が実行されます。

- 標準の構成可能なアクション
構成可能なアクションとは、チェックポイント実行後に結果アクションまたはリスク・スコアリングあるいはその両方に基づいてトリガーされるアクションです。構成可能なアクションは、アクション・テンプレートを使用して作成されます。

注意:

Oracle Adaptive Access Manager 10.1.4.5からOracle Adaptive Access Manager 11gにアップグレードする場合、Oracle Adaptive Access Manager 11gのアクション・テンプレートがグローバル化されたことにより違いが生じたため、標準のアクション・テンプレートの名前や説明が多少異なっています。

- 標準ポリシー
ポリシーは、ビジネス・アクティビティや日常操作において発生する潜在的に危険なアクティビティを評価して対処できるように作成されています。

- 任意のグループ
OAAMには、ルール、ユーザー・グループ、およびアクションとアラート・グループに使用されるアイテムのコレクションが付属しています。

いずれかのプロパティをカスタマイズする必要がある場合は、そのスナップショットを新しいテスト・システムにインポートし、変更を加えてエクスポートし、新しいシステムにインポートしてください。または、スナップショットを新しいシステムにインポートしてプロパティを直接変更することで、テスト・システムを完全に除外できます。

注意:

11.1.1.3.0から11.1.2にアップグレードする場合には、スナップショットをインポートしないでください。この手順は、最初の初期設定の場合にのみ適用できます。スナップショットのインポートは、既存の環境を上書きし、新規のものと置き換えます。アップグレードの場合には、エンティティに対応した個別のzipファイル、定義またはポリシーをインポートします。

ポリシー、コンポーネント、および構成のアップグレードの場合は、バックアップを実行してから個別のファイルをインポートします。指定可能なベンダーは、次のとおりです。

- ベース・ポリシーは、MW_HOME/IDM_ORACLE_HOME/oaam/initディレクトリにあるoaam_policies.zipに含まれています。

- ベース認証を必要とするエンティティは、MW_HOME/IDM_ORACLE_HOME/oaam/initディレクトリにあるAuth_EntityDefinition.zipファイルに含まれています。

- デフォルト・パターンは、MW_HOME/IDM_ORACLE_HOME/oaam/initディレクトリにあるOOB_Patterns.zipファイルに含まれています。

2.7 IPロケーション・データのインポート

リスク・ポリシーは、IPロケーション・データを使用して特定のIPアドレス(ロケーション)に関連する不正のリスクを判断します。

ログインまたはトランザクションのロケーションを確認するには、このデータをOAAMデータベースにアップロードする必要があります。OAAMデータベースにデータをロードする方法は、26.3項「IPロケーション・データのインポート」を参照してください。

2.8 OAAM管理コンソールのすべてのタイムスタンプに使用されるタイム・ゾーンの設定

タイム・ゾーンでは、同じローカル・タイムを常に共有する地域が識別されます。

タイム・ゾーンはOracle Adaptive Access Manager全体で様々な目的に使用されます。タイムスタンプでは、アラートが生成された時間、ジョブのプロセス開始日と終了日、検索ページなどを示すことができます。ほとんどの場合、ユーザーは、それぞれのローカル・タイムゾーンで操作することを望みます。管理者は、OAAM管理コンソールの優先タイム・ゾーンを構成できます。

プロパティはシステム全体のタイム・ゾーン設定であり、ユーザーごとの設定ではありません。すべてのユーザーは、単一のタイム・ゾーン内に含まれる必要があります。

タイム・ゾーンとブラウザのロケール・フォーマットは相互に独立していることに注意してください。たとえば、ブラウザをen-gbに設定したが、oaam.adf.time zoneをAmerica/Los_Angelesに設定した場合、タイムスタンプはイギリスのロケール・フォーマットによって書式設定されますが、タイム・ゾーンは太平洋時間のままとなります。

プロパティ・エディタを使用して、oaam.adf.timezoneを希望するタイム・ゾーンに設定します。

例:

oaam.adf.timezone = Atlantic/Reykjavik

図2-2に、「プロパティ」ページと、タイム・ゾーンについて更新するプロパティを示します。

図2-2 タイム・ゾーン構成

プロパティ・エディタの使用方法は、第25章「プロパティ・エディタの使用」を参照してください。

C.1.25項「タイム・ゾーン・プロパティ」にリストされているタイム・ゾーン。

2.9 OTPの有効化

OTP Anywhereは、二次リスク・ベースのチャレンジ・ソリューションであり、構成済の帯域外チャネルを経由してエンド・ユーザーに送信されるサーバー生成のワンタイム・パスワードで構成されます。サポートされているOTPデリバリ・チャネルには、ショート・メッセージ・サービス(SMS)、電子メールおよびインスタント・メッセージがあります。

OTPの有効化の詳細は、8項「OTP Anywhereの設定」を参照してください。

3 共通の管理およびナビゲーションのスタート・ガイド

この章では、OAAM管理コンソールのログインとナビゲーションに必要な最初の手順について説明します。

この章では、次の内容を説明します。

- 3.1項「デプロイメント内でのコンポーネントの起動と停止」

- 3.2項「OAAM管理コンソールへのアクセス・レベルについて」

- 3.3項「Oracle Adaptive Access Manager 11gへのサインイン」

- 3.4項「OAAM管理コンソールとコントロールの使用」

- 3.5項「検索、作成、インポートの使用」

- 3.6項「Microsoft Excelスプレッドシートへの結果のエクスポート」

3.1 デプロイメント内でのコンポーネントの起動と停止

様々な起動および停止コマンドの理解に役立つように、図3-1に、WebLogicサーバーにおけるOracle Adaptive Access Managerコンポーネントの分散を示します。

図3-1 Oracle Adaptive Access Managerのコンポーネントの分散

注意:

バッチ処理が使用される場合は、図に示されているものに加えて、別の管理対象サーバー、つまりOAAMオフライン・サーバーがあります。

次の手順では、データベース、管理サーバーおよび管理対象サーバーを起動する方法について説明します。

1. データベースを起動します。

1. ORACLE_HOME環境変数をデータベースのOracleホームに設定します。

2. ORACLE_SID環境変数をデータベースのSIDに設定します。

3. Net Listenerを起動します。

ORACLE_HOME/bin/lsnrctl start

4. データベース・インスタンスを起動します。

ORACLE_HOME/bin/sqlplus /nolog
SQL> connect SYS as SYSDBA
SQL> startup

2. WebLogic管理サーバーを起動します。

DOMAIN_HOME/bin/startWeblogic.sh

3. OAAM管理サーバーをホストしている管理対象サーバーを起動します。

DOMAIN_HOME/bin/startManagedWeblogic.sh oaam_admin_server1

4. オンライン・サーバーおよびオフライン・サーバーを起動します。

DOMAIN_HOME/bin/startManagedWeblogic.sh server_name

次の手順では、OAAM管理コンソール、オンライン・サーバーおよびオフライン・サーバーを停止する方法について説明します。コンポーネントを停止するには、逆の手順を実行します。

1. OAAM管理対象サーバー、オフライン・サーバーおよびOAAM管理サーバーを停止します。例:

DOMAIN_HOME/bin/stopManagedWeblogic.sh oaam_admin_server1
DOMAIN_HOME/bin/stopManagedWeblogic.sh oaam_server_server1
DOMAIN_HOME/bin/stopManagedWeblogic.sh oaam_offline_server1

2. WebLogic管理サーバーを停止します。

DOMAIN_HOME/bin/stopWeblogic.sh

3. データベースを停止します。

1. データベース・インスタンスを停止します。

ORACLE_HOME/bin/sqlplus /nolog
SQL> connect SYS as SYSDBA
SQL> shutdown
SQL> quit

2. Netリスナーを停止します。

ORACLE_HOME/bin/lsnrctl stop

3.2 OAAM管理コンソールへのアクセス・レベルについて

OAAM管理には、セキュリティ調査担当者、カスタマ・サービス担当(CSR)、セキュリティ管理者およびシステム管理者のための機能が備えられています。使用できる機能とナビゲーションは、ロールによって異なります。詳細については、付録G「OAAMアクセス・ロール」を参照してください。

Oracle Adaptive Access Managerを使用するには、OAAMユーザーが必要になります。新規ユーザーを作成し、Oracle WebLogic管理コンソールを使用して、WebLogic管理ドメインで関連するOracle Adaptive Access Managerロールを割り当てることができます。1人のユーザーに複数のロールを割り当てるのは避けることをお薦めします。複数のロールが割り当てられたユーザーは、異なるグループのすべての権限を持つことになります。詳細は、2.5項「OAAMユーザーの作成」を参照してください。

3.3 Oracle Adaptive Access Manager 11gへのサインイン

この項では、OAAM管理にサインインする方法について説明します。

サインインするときに使用できる機能は、ロールおよびビジネス要件に基づいています。

An Oracle Adaptive Access Managerの「サインイン」ページを図3-2に示します。

図3-2 Oracle Adaptive Access Managerのサインイン

OAAM管理にサインインするには、次の手順を実行します。

1. ブラウザ・ウィンドウで、Oracle Adaptive Access Manager 11gの「サインイン」ページのURLを入力します。

http://host:port/oaam_admin/

ここで

- hostには、管理対象のOracle Adaptive Access Manager管理サーバーを指定します。

- portには、OAAM管理の管理対象サーバー・ポートを指定します。

- /oaam_admin/には、OAAM管理の「サインイン」ページを指定します。

2. 「サインイン」ページで、資格証明を入力します。

3. 「サインイン」ボタンをクリックします。
正常にログインすると、「Fraud Prevention」タブが、開いたナビゲーション・ツリーとともに左側に表示されます。

サインアウトするには、OAAM管理の右上隅にある「サインアウト」リンクを選択します。

3.4 OAAM管理コンソールとコントロールの使用

サインインが成功したら、Oracle Adaptive Access ManagerにOAAM管理コンソールが表示されます。

OAAM管理コンソールは、左側のナビゲーション・パネルと右側のアクティブなメイン・ページに分かれています。

ユーザーは、ナビゲーション・パネルを使用してOracle Adaptive Access Managerのすべての環境、Adaptive Strong Authenticator機能およびAdaptive Risk Manager機能にアクセスできます。パネル内の名前の付いたノードによって、これらのアイテムが識別されます。

最初は、OAAM管理の右側で開いているアクティブなページはありません。まずノードを開く必要があります。

図3-3に、アクティブなページが開いているOAAM管理を示します。

図3-3 OAAM管理コンソール

ノードを開くと新しいタブが開き、対応する詳細または検索ページが表示されます。名前の付いたタブによって、開いている各ページが識別されます。通常、アクティブなページでは、アイテムを作成、表示および変更できます。

同時に最大10ページを開くことができ、マルチタスキングが可能です。

注意:

10個を超えるタブを開こうとすると、エラーが発生し、開いておくことができるタブは10個のみであることを示すメッセージが表示されます。手動で1つ以上のタブを閉じてから、新しいタブを開くことができます。

複数のページが開いている場合は、アクティブなページと他に開いているページの名前の付いたタブのみが表示されます。名前の付いたタブをクリックすると、対応するページに戻ることができます。

次の項では、OAAM管理の詳細について説明します。

- ナビゲーション・パネルについて

- ナビゲーション・ツリーについて

- ポリシー・ツリーについて

- 管理ページについて

3.4.1 ナビゲーション・パネルについて

OAAM管理では、Oracle Adaptive Access Managerの様々な機能に簡単にアクセスできるナビゲータが提供されます。

OAAM管理のナビゲーション・パネルには、次のツリーが含まれます。

- ナビゲーション・ツリーについて

- ポリシー・ツリーについて

3.4.2 ナビゲーション・ツリーについて

図3-4に示すナビゲーション・ツリーは折りたたみおよび展開可能なツリーで、Oracle Adaptive Access Managerの機能にすばやく視覚的にアクセスできます。

3.4.2.1 ナビゲーション・ツリーの構造

ナビゲーション・ツリーには、アクションの実行対象となるOracle Adaptive Access Manager製品内の個々の機能とアイテムのグループを識別する名前の付いたノードが含まれます。

注意:

Oracle Adaptive Access Managerユーザーは、自分に割り当てられているロールに基づいて機能にアクセスできます。ユーザー・ロールごとに表示されるノードの詳細は、付録G「OAAMアクセス・ロール」を参照してください。たとえば、「ダッシュボード」ノードと「セッション」ノードはCSRマネージャには表示されません。

図3-4にナビゲーション・ツリーを示します。

図3-4 ナビゲーション・ツリー

ナビゲーション・ツリーには、アクセス・レベルに応じて次のノードが表示されます。

表3-1 OAAMの機能

機能

機能

ダッシュボード

集計とトレンドを通じてアクティビティを表示します。

セッション

ユーザー・アクティビティの詳細(フォレンジック・レコード)を検索して表示します。

ケース

カスタマ・サービスの問題を追跡および解決し不正を調査するツールが提供されます。「ケース」はオフラインでは使用できません。

ポリシー・セット

スコアリング・エンジンとアクション/スコア・オーバーライドが含まれます。

ポリシー

各チェックポイントでリスクのレベルを評価するために使用される、セキュリティおよび自動学習ルールと構成が含まれます。

ルール

ルールを含むポリシーのコンテキスト外のルールを検索して表示します。ルールはユーザー・アクティビティの評価に使用される条件の集合です。

条件

OAAMで使用可能なルール条件を検索して表示します。条件は、セキュリティ・ポリシーの基本構築ブロックです。

グループ

グループの作成と管理に使用する一連のツールが提供されます。グループも同様のアイテムの集合です。

パターン

動作をプロファイルするパターンを検索、作成、管理します。ルールによってパターンが評価され、リスク・レベルが査定されます。

エンティティ

ユーザー定義のデータ構造。異なるトランザクション間でも再利用できます。

トランザクション

アプリケーションのイベント/トランザクション分析をサポートするデータ構造およびマッピングを定義します。

構成可能なアクション

カスタム・アクションを作成します。

KBA

回答に使用するチャレンジ質問、検証およびロジックのアルゴリズムのレベルと、登録に使用する質問カテゴリおよびロジックのアルゴリズムのレベルに影響を与えるタスクを管理するためのフレームワーク。

質問

KBA質問を検索、編集、作成します。

検証

KBA質問登録およびチャレンジ処理で使用される回答検証を検索、編集および作成します。

カテゴリ

KBA質問のカテゴリを検索、編集および作成します。

登録ロジック

KBA登録処理を制御するロジックの構成を編集します。

回答ロジック

KBAチャレンジ・レスポンス処理を制御するロジックの構成を編集します。これには、登録されている回答が有効となるために必要なユーザーの回答の精度に関するチューニングも含まれます。

環境

構成システムのプロパティおよびスナップショット用のツールです。

システム・スナップショット

システム構成の全体をバックアップおよびリストアします。

プロパティ

システム構成プロパティを表示および編集します。

スケジューラ

ジョブを管理します。

3.4.2.2 ナビゲーション・ツリーのメニューとツールバー

図3-4に示すように、ナビゲーション・ツリーの上にはニューとツールバーが表示されます。メニューでは、ナビゲーション・ツリーで選択されたアイテムに対するアクションを実行するときに使用可能なコマンドが提供されます。ほとんどのメニュー・コマンドは、すばやいアクセスを実現するために、ツールバーのコマンド・ボタンとしても提供されています。

図3-5 メニューとツールバー

新規作成

「新規作成」では、選択したノードに対応する作成ページを開きます。「新規作成」は、該当する特定のノードでのみ使用できます。表3-2 選択したノードの「新規作成」に、「新規作成」をクリックして開くことができるページのリストを示します。

表3-2 選択したノードの「新規作成」

ノード

サブノード

作成ページまたはダイアログ

ダッシュボード

該当なし

セッション

該当なし

ケース

ケースの作成

ポリシー・セット

該当なし

ポリシー

新規ポリシー

ルール

該当なし

条件

該当なし

グループ

グループの作成

パターン

新規パターン

エンティティ

新規エンティティ

トランザクション

新規トランザクション

構成可能なアクション

アクション・テンプレート

新規アクション・テンプレート

アクション・インスタンス

新規アクション・インスタンス

KBA

該当なし

質問

新規質問

検証

該当なし

カテゴリ

新規カテゴリ

登録ロジック

該当なし

回答ロジック

該当なし

スケジューラ

該当なし

ジョブ

ジョブの検索

ジョブ・キュー

ジョブ・キュー

環境

該当なし

スナップショット

該当なし

プロパティ

新規プロパティ

オープン

「オープン」では、選択したノードに対応するページを開きます。

インポート

「インポート」では、選択したノードのインポート・ダイアログを開きます。

「表示」メニュー

図3-6 「表示」メニューに、「表示」メニューとそのコマンドを示します。ナビゲーション・ツリーで選択時に使用できないメニュー項目はグレーで表示されます。

図3-6 「表示」メニュー

「表示」メニューのコマンドの説明は表3-0にあります。

表3-3 「表示」メニューのコマンド

コマンド

説明

閉じる

すぐにノードを閉じます。

下をすべて開く

選択したアイテムの下にあるすべてのアイテムをすぐに表示します。

下をすべて閉じる

選択したアイテムの下にあるノードとすべてのアイテムをすぐに閉じます。

すべて開く

ナビゲーション・ツリーのすべてのノード、サブノードおよびリーフ・ノードを、すぐに表示します。

すべて閉じる

ナビゲーション・ツリーのすべてのノード、サブノードおよびリーフ・ノードをすぐに閉じます。

最初にスクロール

最初のノードにスクロールします。

最後にスクロール

最後のノードにスクロールします。

「アクション」メニュー

図3-7は「アクション」メニューを示し、このメニューではナビゲーション・ツリーの選択されたアイテムに対する適切なコマンドが提供されます。たとえば、ナビゲーション・ツリーの「ポリシー」を選択し、コマンドの1つである「新規ポリシー」を選択した場合、「アクション」メニューを使用して「新規ポリシー」ページを開き、新しいポリシーを作成できます。

図3-7 「アクション」メニュー

表3-4 「アクション」のコマンド

コマンド

説明

ポリシーのリスト

アイテム、検索または詳細ページを開きます。

新規ポリシー

新しいページがアクティブになり、それに情報を入力して新しいアイテムを定義できます。

ポリシーのインポート

インポート・ダイアログを表示し、アイテムを検索およびインポートできるようにします。

3.4.3 ポリシー・ツリーについて

図3-8に示すように、ポリシー・ツリーでは、ポリシー階層と、様々なポリシー、ユーザー・グループおよびチェックポイント間の関係のビジュアル表現が提供されます。

ポリシー・ツリーのアイテムをダブルクリックすると、そのアイテムの動的なタブが開きます。これにより、管理者はコンテキスト内で構成を確認および編集できます。

ポリシー・ツリーを開くと、各チェックポイントの下にあるユーザー・グループとポリシーの詳細を表示できます。

たとえば、「パスワード忘れ」ポリシーは「パスワード忘れ」チェックポイントの下にあり、「すべてのユーザー」がそのポリシーに割り当てられています。

図3-8 ポリシー・ツリー

ポリシーはポリシー・ツリー内の最後のレベルです。ネストされたポリシーを参照するときを除いて、それより下にドリルダウンすることはできません。

表3-5は、ポリシー・ツリーに表示されるアイコンの記号を示しています。

表3-5 ポリシー・ツリーの記号

アイコン

定義

説明

チェックポイント

チェックポイントは、ルールを実行するためのポリシーがコールされる決定および施行ポイントです。

ポリシー

システム内の使用可能なポリシーです。

無効なポリシーはグレー表示されます。

複数のユーザー・グループにリンクされているポリシーは太字で強調表示されます。

ポリシーのポリシー詳細ページを開くには、「ポリシー」ノードをダブルクリックします。ポリシー詳細ページは、コンテキスト・メニューの「選択項目を開く」をクリックして開くこともできます。

ネストされたポリシーを表示するには、ポリシー・ノードを開きます。

すべてのユーザー

ポリシーが「すべてのユーザー」にリンクされています。

ユーザー・グループ

ポリシーが「ユーザー」にリンクされています。

ユーザー・グループなし

ポリシーにユーザーが関連付けられていません。

トリガー組合せ

ポリシー内にトリガー組合せが存在します。

詳細...

ポリシーのサマリー情報を表示できます。

ポリシー・ツリーの「詳細」アイコンをクリックすると、ポリシーのサマリー情報を表示できます。

3.4.4 管理ページについて

ナビゲーション・ツリーには、個々の機能とアイテムのグループが整列されています。コンポーネントを開くには、ナビゲーション・ツリーでそのノードをダブルクリックします。そのノードの詳細または検索ページが、コンソールの右側の新しいタブに表示されます。名前の付いたタブは、書類フォルダのタブのように開いている各ページを識別します。

アクティブなページのみが表示され、開いている他のページの名前付きタブが1行に収まるかぎり含まれます。名前の付いたタブをクリックすると、対応するページに戻ることができます。

表3-6に、ノードとそれに対応するページを示します。

表3-6 開いているページ

ノード

サブノード

ページ

ダッシュボード

ダッシュボード

セッション

セッション

ケース

ケース検索ページ

ポリシー・セット

「ポリシー・セット」ページ

ポリシー

ポリシー検索ページ

ルール

ルール検索ページ

条件

条件検索ページ

グループ

グループ検索ページ

パターン

パターン検索ページ

エンティティ

エンティティ定義検索ページ

トランザクション

トランザクション検索ページ

構成可能なアクション

該当なし

アクション・テンプレート

アクション・テンプレート検索ページ

アクション・インスタンス

アクション・インスタンス検索ページ

KBA

該当なし

注意: 「KBA」はオフライン・モードでは使用できません。

質問

質問検索ページ

検証

検証検索ページ

カテゴリ

カテゴリ検索ページ

登録ロジック

「登録ロジック」ページ

回答ロジック

「回答ロジック」ページ

環境

該当なし

システム・スナップショット

スナップショット検索ページ

プロパティ

プロパティ検索ページ

スケジューラ

ジョブ

新規ジョブ

ジョブ・キュー

3.4.4.1 検索ページ

検索ページは、環境、適応性の高い厳密認証および適応性の高いリスク管理機能と、類似したアイテムのグループを管理するための開始位置です。

検索ページを開くには、次のいずれかの操作を実行します。

- ナビゲーション・ツリーのノードをダブルクリックします。

- ナビゲーション・ツリーのノードを右クリックし、表示されたコンテキスト・メニューの「リスト」コマンドを選択します。

- ナビゲーション・ツリーのノードを選択し、「アクション」メニューの「リスト」コマンドを選択します。

検索ページを初めて表示した場合、検索フィルタおよび「検索結果」表が表示されます。「検索結果」表は最初は空です。アイテムのリストを表示するには、「検索」ボタンをクリックする必要があります。

アイテムを検索するには:

1. ドロップダウン・リストから検索基準を選択します。使用できる基準のリストは、機能によって異なります。

2. 一致させる文字列をテキスト・ボックスに入力します。

3. 検索範囲を絞り込むには、フィルタを選択または指定します。

4. 「検索」ボタンをクリックすると検索がトリガーされ、「検索結果」表に結果が表示されます。

指定した基準に一致するすべてのアイテムが検索結果として返されるため、該当するタイプのすべてのアイテムのリストを取得する場合は、フィールドを空のままにします。

3.4.4.1.1 検索フォームの要素

この項では、検索フォームの要素について説明します。

検索

属性検索基準フィールドを使用してアイテムを検索できます。

リセット

「リセット」ボタンを使用すると、検索基準をリセットできます。

保存済の検索

保存済の検索を作成し、セッションが終了するまで保持できます。検索基準を入力し、「保存」ボタンをクリックすると、「保存済の検索のパーソナライズ」ダイアログが開きます。「保存済の検索のパーソナライズ」ダイアログは、入力した検索基準の保存方法を指定するために使用されます。検索にはmyspecialsearchなどの名前を付けることができ、この名前は「保存済の検索」リストに表示されます。

3.4.4.1.2 検索結果の表

「検索結果」表には、検索で見つかった一致が最大200件表示されます。

列名の横にある「昇順ソート」および「降順ソート」ボタンを使用すると、結果をソートできます。

アイテムの説明が長すぎてすべて表示されない場合は、表示されているテキストの上にカーソルを合わせると、説明全体が表示されます。

「検索結果」表のアイテムを選択したら、そのアイテムに対してアクションを実行できます。これを行うには、ツールバーのいずれかのアイコンをクリックするか、「アクション」メニューのコマンドを選択します。

詳細を表示するには、そのアイテムに対応する使用可能なリンクをクリックします。

3.4.4.1.3 検索結果のメニューとツールバー

メニューとツールバーは、「検索結果」表の上に表示されます。図3-9に、パターン検索ページからの検索結果のメニューとツールバーを示します。

図3-9 結果のメニューとツールバー

「アクション」メニューとそのコマンド・ボタンでは、ナビゲーション・ツリーと「検索結果」表で選択されたアイテムに対する適切なコマンドが提供されます。

図3-9のコマンド・ボタンは、選択したアイテムによっては表示されない場合があります。

表3-7 結果のメニューとツールバー

ボタン

定義

説明

作成

新しいページが開き、そこに情報を入力して、選択したタイプの新しいアイテムを追加できます。新しいページは、アクティブなページとしてナビゲーション・ツリーの右側に開きます。

削除

選択したアイテムを削除します。

類似作成

既存のアイテムと同様の新しいアイテムを作成します。

アクティブ化

選択したアイテムをアクティブ化します。

非アクティブ化

選択したアイテムを非アクティブ化します。

連結解除

結果表の連結を解除します。

3.4.4.1.4 すべて選択

「検索結果」表の左上隅にある「行」列のヘッダーをクリックすると、すべての結果をアクションの実行対象として選択できます。

3.4.4.1.5 作成およびインポート

通常、新しいアイテムの作成およびアイテムのインポートを行うためのボタンは、コンソールの右上隅にあります。

3.4.4.1.6 複数のタブを閉じる

タブを閉じるための小さいボタンがコンソールの右上隅にあり、これを使用して、表示されているタブを閉じることができます。

複数のタブが開いている場合は、「複数のタブを閉じる」ダイアログが表示されます。複数のタブを閉じるには、タブの名前を強調表示し、「OK」をクリックします。

3.4.4.2 詳細ページ

特定のアイテムの詳細ページを開くと、その詳細を表示できます。

図3-10に、ケース詳細ページを示します。

図3-10 ケース詳細

3.4.5 ダッシュボードについて

ダッシュボードでは、集計およびトレンド経由でアクティビティのリアルタイム・ビューが示されます。

ダッシュボードは、次の3つのセクションに分割されています。

- 「パフォーマンス」パネル(セクション1)は、リアルタイム・データを示します。システム内のトラフィックのパフォーマンスを示します。パフォーマンスに基づき、異なる種類のデータのトレンド・グラフが表示されます。

- 「サマリー」パネル(セクション2)は、時間範囲および異なるデータ型に基づく集計データを示します。

- 「ダッシュボード」パネル(セクション3)は、履歴データを示します。詳細ダッシュボードは一定の時間範囲におけるデータのトレンドを示すために使用されます。

3.4.6 オンライン・ヘルプについて

オンライン・ヘルプ・ドキュメントにアクセスするには、任意のウィンドウの右上隅にある「ヘルプ」をクリックしてヘルプ・ウィンドウを起動します。関連するトップ・レベルの検索または詳細ページのヘルプ・トピックが表示されます。これらのヘルプ・トピックには、Oracle Fusion Middleware Adaptive Access Manager管理者ガイドのオンライン・バージョンで提供される情報へのリンクが含まれます。

Oracle Adaptive Access Manager 11gの管理のオンライン・ヘルプを選択すると、オンライン・ドキュメントのいくつかのトピックが表示されます。

「ヘルプ」を選択して表示されるトピックは、英語と日本語のみで表示されます。オンライン・ヘルプは、9つの管理言語には翻訳されていません。

次の図は、オンライン・ヘルプ・ウィンドウの例を示しています。

3.5 検索、作成、インポートの使用

Oracle Adaptive Access Managerでは、複数の方法で検索、作成およびインポートを行うことができます。

検索

選択内容に応じて、次の方法で「検索」ページを開くことができます。

- ナビゲーション・ツリーのノードをダブルクリックします。

- ナビゲーション・ツリーのノードを右クリックし、表示されたコンテキスト・メニューの「itemのリスト」を選択します。

- ナビゲーション・ツリーのノードを選択し、「アクション」メニューの「itemのリスト」を選択します。

- ナビゲーション・ツリー・ツールバーの「itemのリスト」ボタンをクリックします。

作成

選択内容に応じて、次の方法で「作成」ページを開くことができます。

- コンソールの右上にある「新規item」ボタンをクリックします。

- ナビゲーション・ツリーのノードを右クリックし、コンテキスト・メニューの「新規item」を選択します。

- ナビゲーション・ツリーのノードを選択し、「アクション」メニューの「新規item」を選択します。

- ナビゲーション・ツリー・ツールバーの「新規itemsの作成」ボタンをクリックします。

- 「検索結果」ツールバーの「新規itemの作成」ボタンを選択します。

- 「検索結果」の「アクション」メニューから「新規item」を選択します。

インポート

選択内容に応じて、次の方法で「インポート」ページを開くことができます。

- コンソールの右上にある「itemのインポート」ボタンをクリックします。

- ナビゲーション・ツリーのノードを右クリックし、コンテキスト・メニューの「itemのインポート」を選択します。

- ナビゲーション・ツリーのノードを選択し、「アクション」メニューの「itemのインポート」を選択します。

- ナビゲーション・ツリー・ツールバーの「itemsのインポート」ボタンをクリックします。

3.6 Microsoft Excelスプレッドシートへの結果のエクスポート

ポリシー、質問、検証、スナップショット、プロパティ、エンティティ、トランザクション、条件、グループ、パターンなどの検索ページから、結果のレポートを生成できます。

結果をMicrosoft Excelスプレッドシートにエクスポートするには:

1. 必要な行をすべてエクスポートできるように、oaam.export.max.rows.allowedプロパティが構成されていることを確認します。このプロパティによって、選択できる行の最大数が制限されます。

2. 検索ページの検索結果から、任意の行を選択します。

3. 「Excelにエクスポート」ボタンをクリックします。
エクスポートの確認ダイアログが表示されたら、選択したリストを表示できます。選択した行のエクスポート表には、ID番号と表示名の列が表示されるため、選択した行をエクスポート前に簡単に識別および確認できます。

4. 「エクスポート」をクリックして、行をMicrosoft Excelにエクスポートします。

第II部

カスタマ・サービスおよびフォレンジック

このマニュアルのこの部では、Oracle Adaptive Access Managerのカスタマ・サービスおよびフォレンジックの各ツールに関する情報を提供します。

次の章で構成されます。

- 第4章「CSRケースの管理およびサポート」

- 第5章「OAAMを使用した調査」

- 第6章「調査のための追加詳細の表示」

4 CSRケースの管理およびサポート

Oracle Adaptive Access Managerでは、カスタマ・サービス担当(CSR)ケースを作成およびサポートするための一連のツールが提供されます。

この章は、CSRおよびCSRマネージャがケースを管理するための情報を提供し、次の項で構成されています。

- 4.1項「概要と概念」

- 4.2項「CSRおよびCSRマネージャ・ロールの権限について」

- 4.3項「スタート・ガイド」

- 4.4項「ケース検索ページの使用」

- 4.5項「「ケース詳細」ページの使用」

- 4.6項「ケース・アクティビティの表示」

- 4.7項「カスタマ・セッションの表示」

- 4.8項「CSRケースの作成」

- 4.9項「カスタマ・リセットの実行」

- 4.10項「チャレンジ質問のリセットの実行」

- 4.11項「一時許可の有効化」

- 4.12項「ケース・アクションの実行」

- 4.13項「レポートの使用」

- 4.14項「マルチテナントについて」

- 4.15項「CSRケースのシナリオ」

- 4.16項「ベスト・プラクティスと推奨事項」

4.1 概要と概念

この項では、カスタマ・サービス担当(CSR)およびCSRマネージャと、ケースの作成およびサポートのためにOracle Adaptive Access Managerのツール・セットを使用する方法について概説します。

4.1.1 ケース

ケースは、カスタマおよびカスタマの様々なアカウント・アクティビティをサポートするためにCSRが実行するすべてのアクションの記録です。各ケースには、一意のケース識別番号であるケース番号が割り当てられます。

Oracle Adaptive Access Managerを使用する企業のユーザーは、イメージ、フレーズ、チャレンジ質問などの、Oracle Adaptive Access Managerのユーザーが使用する機能や、アカウントに関するすべての問題に関するサポートを、企業に電話で求めることができます。CSRはケース管理機能を使用して、ユーザーおよびユーザーの様々なアカウント・アクティビティをサポートするためにCSRが実行するすべてのアクションを記録するケースを作成します。

4.1.1.1 CSRケース

CSRケースは、オンラインおよび電話における通常の業務範囲に関連するカスタマ・サービス状況において、カスタマにサポートを提供する際に使用されます。CSRケースは、特定のユーザーに対して作成されます。

4.1.1.2 エスカレーション済ケース

CSRは、ケースを解決できず、調査担当者による追加調査を必要とする場合、または特定のユーザーに関連する疑わしいアクティビティがあると判断し、調査担当者による追加調査を求める場合に、ケースをエスカレーションします。エスカレーションされたケースはエージェント・ケースとして扱われ、CSRには表示されなくなります。ただし、すべてのエージェントがエスカレーション済ケースを処理できます。

4.1.2 カスタマ・サービス担当(CSR)

カスタマ・サービス担当は、カスタマからの問合せに対する連絡窓口としての職務を遂行するために、様々な種類の企業に雇用されています。CSRは、OAAM管理コンソールに対する限定されたアクセス権を持っています。その主な機能は、所属企業のカスタマが、十分なレベルのサービスおよびカスタマからの問合せに基づく低リスクの問題に対するサポートを受けられるようにすることです。カスタマの苦情を処理する際には、企業が規定するガイドラインに従って問題の解決を試みる必要があります。これらの手順には、ケースのオープン、カスタマとの会話中のノートの入力、苦情の有効性を判別するための質問、カスタマのプロファイル情報の変更または更新、および必要に応じて、対応するための適切な権限を持つCSRマネージャへのケースの受渡しが含まれる場合があります。マルチテナント・デプロイメントでは、CSRは組織に限定されたケースにのみアクセスできます。

4.1.3 CSRマネージャ

CSRマネージャはCSRケースの全体的な管理を担当します。CSRマネージャは、CSRのアクセス権および責任のすべてを持ち、次のようなさらに多くの操作へのアクセス権を持ちます。

- ケースのバルク編集

- 一時的なアカウント・アクセス権の付与

- 有効期限の延長

CSRには、これらのアクションを実行する権限はありません。CSRマネージャは定期的にCSRケースを検索し、ステータスを確認して、必要に応じてクリーンアップします。

4.1.4 「ロック済」ステータス

ユーザーがチャレンジに失敗すると、アカウントからロックアウトされます。アカウントのステータスは「ロック済」です。「ロック済」ステータスが使用されるのは、ナレッジベース認証(KBA)またはワンタイム・パスワード(OTP)機能が使用中の場合のみです。

- ナレッジベース認証(KBA): オンライン・チャレンジの場合は、オンライン・カウンタが失敗の最大数に達すると、カスタマがセッションからロックアウトされます。電話チャレンジの場合、失敗の最大数に達し、それ以上チャレンジ質問が残っていない場合に、カスタマがロックアウトされます。

- ワンタイム・パスワード: OTPの場合は、構成済の配信方法によってユーザーに使い捨てのパスワードが送信され、ユーザーがOTPコードを入力する際に再試行回数を超えると、アカウントがロックされます。

ロックアウトされたら、CSRがステータスを「ロック解除」にリセットしてからでないと、そのアカウントを使用してシステムに入ることができません。

4.1.5 一時許可

一時許可では、ログインまたはトランザクションの実行をブロックされているカスタマに、一時的なアカウント・アクセス権を付与します。カスタマは、セキュリティ・ルールがトリガーされた場合にブロックされます。たとえば、出張中のカスタマがブラックリストに記載された国からログインしようとして、システムにブロックされる場合があります。

4.1.6 ケース・ステータス

ケース・ステータスは、ケースの現在の状態です。ケースに使用されるステータス値は、「新規」、「保留中」、「エスカレーション済」または「クローズ済」です。ケースの作成時には、ステータスはデフォルトで「新規」に設定されます。CSRはクローズ済ケースを開けません。CSRマネージャと調査担当者はクローズ済ケースを開けます。エスカレーション済ケースは作成できません。

4.1.7 重大度レベル

重大度レベルは、ケースの重大度をケース担当に伝えるマーカーです。重大度レベルは、ケースの作成者が設定します。使用可能な重大度レベルには、「高」、「中」および「低」があります。

4.1.8 有効期限日

注意:

ケースのタイプによって、使用される用語および動作が異なる場合があります。

有効期限日は、ケースの有効期限が切れる日付です。デフォルトではケースの有効期限が切れるまでの時間は24時間ですが、構成可能です。

- CSRケース: CSRケースの場合、ケースのステータスが現在のステータスから「有効期限切れ」に変わります。ケースは、有効期限が切れるときに任意のステータスを持つことができます。CSRはケースを開くことができますが、ケースに対してアクションを実行することはできません。CSRマネージャは、有効期限が切れたケースを延長できます。

- エスカレーション済ケース: エスカレーション済ケースの場合、ケースのステータスが現在のステータスから「有効期限切れ」に変わります。ケースの有効期限が切れると、有効期限切れのフラグがケースに設定され、そのケースに注意する必要があることがマネージャに伝えられます。たとえば、エスカレーション済ケースが24時間に設定されている場合に、ケースが開かれたままで24時間を超えてアクセスされないと、フラグが「有効期限切れ」に設定されます。不正調査担当者が有効期限が切れたケースにアクセスすると、このケースは再アクティブ化され、有効期限が24時間(または構成されている時間だけ)延長されます。有効期限切れの動作はプロパティ・エディタを使用して構成できます。CSRは、エスカレーション済ケースの有効期限日を変更できません。

4.1.9 カスタマ・リセット

Oracle Adaptive Access Managerでは、不正を防ぐためのパーソナライズの一部として、仮想認証デバイスでイメージおよびフレーズを使用します。カスタマ・リセット機能を使用すると、カスタマのイメージおよびフレーズをリセットして、カスタマのデバイスを登録解除できます。カスタマ・リセット機能は、クローズ済、エスカレーション済または有効期限切れのケースでは使用できません。

4.2 CSRおよびCSRマネージャ・ロールの権限について

カスタマ・サービス担当は、割り当てられたロールに基づいて、Oracle Adaptive Access Managerの様々な機能にアクセスできます。即時利用可能なロールはCSRおよびCSRマネージャです。CSRは、OAAM管理コンソールに対する限定されたアクセス権を持っています。その主な役割は、カスタマからの問合せに基づいてカスタマの低リスクの問題を解決することです。

CSRマネージャは、CSRのアクセス権および責任のすべてを持ち、より機密性の高い操作を行うことができます。CSRマネージャはCSRケースの全体的な管理を担当します。

表4-1 CSRおよびCSRマネージャ・ロールの権限

アクション

CSRの権限

CSRマネージャの権限

ケースの検索

CSRケースの検索

オープン・ケースとクローズ済ケースの検索

CSRケースの検索

オープン・ケースとクローズ済ケースの検索

新規ケース

CSRケースのみの作成

CSRケースのみの作成

ケース詳細の表示

クローズ済ケースの詳細の表示

「セッション」タブにおけるトランザクションの表示(CSRには、問合せからセッション詳細へのアクセス権はありません)

クローズ済ケースの詳細の表示

「セッション」タブにおけるトランザクションの表示

ケースの編集

クローズ済ケースへのノートの追加(他のすべてについては表示のみ)

CSRケースに対するすべてのカスタマおよびKBAリセットの実行

CSRケースに対するKBA電話チャレンジの実行

CSRケースのステータスおよび重大度の変更

クローズ済ケースを再オープンできない

CSRケースへのノートの追加

CSRケースのステータスおよび重大度の変更

CSRケースのバルク編集

ユーザーの一時許可

有効期限の延長

すべてのカスタマ・リセットとKBAリセットの実行

KBA電話チャレンジの実行

4.3 スタート・ガイド

ケース・ツールを使用する前に、4.1項「概要と概念」を読むと、この章で示される概念を理解するのに役立ちます。前述の操作を実行するには、CSRまたはCSRマネージャとしてログインします。ログインすると、ケース検索ページが開きます。

ケース検索ページは、CSRケースを管理するための開始位置です。ケース検索ページでは、次の操作を実行できます。

- 新規ケースの作成

- ケースの類似作成

- ケースのバルク編集

- 検索の実行

CSRである場合、一度に開くことができるケースは1つのみです。

4.4 ケース検索ページの使用

ケース検索ページには、関心を持っているケースの検索に役立つ検索ツールが含まれます。ケース検索ページの例を図4-1に示します。

図4-1 CSRケース検索ページ

フィルタを表4-2に示します。

表4-2 検索フィルタ

フィルタ

説明

組織ID

組織のケースを検索するには、「組織ID」を選択します。

マルチテナント・デプロイメントでは、CSRは組織に限定されたケースにのみアクセスできます。ユーザーがアクセス権を持つ組織名が表示されます。

ユーザー名

特定のユーザーのケースを検索するには、「ユーザー名」フィールドにユーザー名またはユーザー名の一部を入力します。

ユーザーID

ユーザー識別子でケースを検索します。

ケースID

特定のケースを検索するには、ケースIDを入力します。

説明キーワード

説明に含まれるキーワードでケースを検索するには、目的の語を入力します。

重大度レベル

重大度レベルでケースを検索するには、「低」、「高」または「中」を選択します。

ケース・ステータス

ケース・ステータスでケースをフィルタリングするには、「新規」、「保留中」、「クローズ済」または「エスカレーション済」を選択します。

有効期限切れ

有効期限切れかどうかでリストをフィルタリングするには、必要なオプションを選択します。

使用できるオプションは次のとおりです。

- 有効期限切れの非表示

- 有効期限切れのみ表示

作成日

指定の作成日範囲内に作成されたケースを検索するには、範囲の開始日および終了日を入力します。

処置

処置でケースをフィルタリングするには、次のいずれかを選択します。

- 確認済不正

- 重複

- 偽陰性

- 偽陽性

- 問題保留中

- 問題解決済

- 不正ではない

処置は、ケース内の問題が解決された方法を示します。ケースに処置が存在するのは、クローズされている場合のみです。ケースが「クローズ済」以外のステータスを持っている場合、処置は空白のままになります。

最終アクション

ケースで実行された最終アクションに基づいて検索します。

ノート

ログに特定のキーワードが含まれるケースを検索します。たとえば、支払拒否という語が含まれるすべてのケースを検索する場合、「使用デバイスは支払拒否数に関連します」という文が含まれるノートを持つケースがケース・リストに返されます。

作成者

ケースを作成したエージェントのユーザー名で検索します。

現在の所有者

このケースを現在使用している(最終アクションを実行した)エージェントのユーザー名で検索します。

4.4.1 ケースの検索

カスタマからの質問または問題に関する電話を受けた場合、要因の任意の組合せを使用してすべてのカスタマおよびケースをすばやく検索できます。たとえば、カスタマのユーザーIDおよびケース・ステータスの「新規」、「保留中」および「エスカレーション済」を入力して、そのカスタマのオープン・ケースを検索できます。たとえば、1か月前から昨日までの間に作成されたCSRケースを検索できます。

ケースを検索するには:

1. ケース検索ページから、検索フィルタで基準を指定します。

2. 「検索」をクリックします。

ケース番号にはリンクが設定されています。ケース詳細を表示するには、リンクをクリックします。自分がアクセス権を持つグループに属する任意のユーザーに属していたケースのケース詳細を取得できます。アクセス権のあるグループにユーザーが属していない場合、そのケースは検索結果に表示されません。

4.4.2 ケース・リストの表示

検索用に入力した基準に応じて、ケースのリストを「検索結果」表に表示できます。マルチテナント環境では、自分がアクセス権を持っている組織にユーザーが属していない場合、そのユーザーのケースにはアクセスできません。以前ある組織に割り当てられ、その組織内のユーザーに関してケースを作成して処理したことがある場合に、別の組織に再割当てされて、再度ログインすると、ケースを処理したかどうかにかかわらず、新規組織のケースのみが表示されるようになります。

4.4.3 現在使用中のケースのリストの表示

ケース検索ページで、自分が現在使用中のケースを検索するために「現在の所有者」フィールドに自分のユーザー名を入力し、「検索」をクリックします。「検索結果」表に自分が現在使用中のケースのリストが表示されます。

4.4.4 オープン・ケースおよびクローズ済ケースの検索

1. ケース検索ページで、次の「ケース・ステータス」で検索します。

- オープン・ケースを検索する場合は「新規」、「保留中」および「エスカレーション済」

- クローズ済ケースを検索する場合は「クローズ済」

詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

CSRまたはCSRマネージャがケースを開く場合

- 現在の所有者がCSRまたはCSRマネージャになります。

- 「作成者」フィールドは変わりません。

- ケースのステータスは「保留中」です。

3. 次に、CSRまたはCSRマネージャは、一時許可の付与、チャレンジ質問のリセットの実行、その他のアクションなど、必要なアクションを実行できます。

4.4.5 説明キーワードによるケースの検索

説明キーワードによる検索では、ケースの作成時に入力された説明の中に一致する語句を含むすべてのケースが表示されます。

1. ケース検索ページから、説明キーワードを含むケースを検索するためにその説明キーワードを入力し、「検索」をクリックします。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

4.4.6 ケース・リストの表示

説明キーワードによる検索では、ケースの作成時に入力された説明の中に一致する語句を含むすべてのケースが表示されます。

4.5 「ケース詳細」ページの使用

ケース検索ページでケース番号をクリックすると、特定のケースの詳細を確認し、ケースに対して様々なアクションを実行できます。「ケース詳細」ページでは、カスタマのユーザー名、ステータス、重大度レベル、説明など、ケースに関する一般的な詳細が示されます。詳細は、4.5項「「ケース詳細」ページの使用」を参照してください。

図4-2 ケース詳細

4.5.1 ケース・アクション

ケース詳細からは、実行可能なアクション、ケース・アクティビティのログおよびカスタマ・セッションのリストにアクセスすることもできます。「ケース詳細」ページでは、次のオプションを使用できます。

- ノートの追加

- 質問の依頼

- カスタマ・リセット

- 一時許可(CSRマネージャのみ)

- 重大度の変更

- ステータスの変更

- 有効期限日の延長(CSRマネージャのみ)

- ケースのエスカレーション(CSRマネージャのみ)

詳細ページでアクセスできるケースに対してのみアクションを実行できます。ユーザーのグループに対するアクセス権を持っている場合にのみ、ケースを開くことができます。

4.5.2 ケース詳細の表示

ケース詳細には、次の情報が表示されます。

- ケース・ステータス - ケースの現在の状態。ケースに使用されるステータス値は、「新規」、「保留中」、「エスカレーション済」または「クローズ済」です。

- 重大度レベル - 使用可能な重大度レベルには、「高」、「中」および「低」があります。重大度レベルの詳細は、4.1.7項「重大度レベル」を参照してください。

- 説明 - ケースの詳細。説明は必須です。

- ケース作成済 - ケースが作成された日時。

- 最終ケース・アクション - CSRケースで最後に実行されたアクション。

- 最終ケース・アクションの日付 - 最終アクションが実行された日付。

- 最終グローバル・ケース・アクション - このユーザーについて、すべてのCSRケースで実行された最終アクション。エスカレーション済ケースは考慮されません。

- 最終グローバル・ケース・アクションの日付 - オンラインのユーザーに対して実行された最終アクション。

- 有効期限日(CSRケースの場合) - ケースの有効期限が切れる日付。有効期限日の詳細は、4.1.8項「有効期限日」を参照してください。

- 処置 - ケースが閉じられたときに問題がどのように解決されたかの説明。ケースに処置が存在するのは、クローズされている場合のみです。ケースが「クローズ済」以外のステータスを持っている場合、処置は空白のままになります。

4.5.3 ユーザー詳細の表示

ユーザー詳細には、次の情報が表示されます。

- ユーザー名 - ユーザーがログインするために使用する識別子。

- 組織ID - ユーザーが属する組織の一意の識別子。
ユーザー名と組織IDの組合せは、ユーザーがアプリケーションにアクセスするための一意の識別子です。マルチテナント・デプロイメントでは、CSRは組織に限定されたケースにのみアクセスできます。

- 完了した登録 - ユーザーが登録を完了している場合、このフィールドには「はい」と表示され、そうでない場合は「いいえ」と表示されます。ユーザーが登録されるには、次のタスクをすべて完了する必要がある場合があります: パーソナライズ(イメージおよびフレーズ)、チャレンジ質問および回答ならびに電子メールおよび電話番号の登録。

- パーソナライズ・アクティブ - ユーザーのイメージ、フレーズおよび質問が有効である場合、このフィールドには「はい」と表示されます。これらのいずれかがリセットされている場合、このフィールドには「いいえ」と表示されます。

- アクティブな質問 - ユーザーが登録を完了しているが、質問がリセットされており、ユーザーが戻って新しい質問を登録していない場合、このフィールドには「いいえ」と表示されます。ユーザーが登録を完了し、そのユーザーにチャレンジできる質問が存在している場合、このフィールドには「はい」と表示されます。

- OTPアクティブ - サポートされているOTP配信チャネルが登録されている場合、このフィールドには「はい」と表示されます。

- 最終オンライン・アクション - ユーザーが実行した最終アクション。たとえば、ユーザーがブロックされた場合は「ブロック」と表示されます。

- 最終オンライン・アクションの日付 - 最終オンライン・アクションが実行された日付。

- 一時許可 - 一時許可が有効な場合、このフィールドには「はい」と表示され、そうでない場合はこのフィールドには「いいえ」と表示されます。

4.6 ケース・アクティビティの表示

OAAM管理では、ケースの操作中に実行されるすべてのカスタマ・サービス・アクションの一意のログが保持されます。ログは、「ケース詳細」ページの「ログ」タブで参照できます。各ログ・エントリには、ログID、CSRのARM ID、ログ日、アクション、サブアクションおよびノートが含まれます。カスタマとの電話中に、このログを使用してケース履歴を表示できます。

図4-3 ログの検索

4.6.1 ケース履歴の表示

ケース履歴を表示するには:

1. ケース検索ページから、検索フィルタで基準を指定します。
詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
そのケースのアクティビティ・ログを表示します。

4.6.2 ケース・ログの検索

ケース・ログを検索するには:

1. 4.6.1項「ケース履歴の表示」で説明するとおりに、検索するケースのログを表示します。

2. 検索基準を入力し、「検索」をクリックします。

表4-3 ログ検索フィルタ

フィルタ

説明

ノート・キーワード

ケース内でアクションが実行された理由を記述するノートに含まれるキーワード。たとえば、不正の疑いです。

ARM ID

アクションを実行したエージェントのタイプ。たとえば、csrm1です。

ログ日

ケース・アクションの日付。

アクション

ケースに対して実行されたアクション。たとえば、エスカレーションです。

4.6.3 エスカレーション済ケースのログおよびノートの表示

エスカレーション済ケースのログおよびノートを表示するには:

1. ケース検索ページで、ケース・ステータスおよびその他のフィルタで検索してケースを見つけます。
たとえば、Alexのユーザー名のエージェント・ケースを検索します。詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

3. 「ログ」タブをクリックします。
そのケースのアクティビティ・ログが表示されます。

4. 検索基準を入力し、「検索」をクリックします。

4.7 カスタマ・セッションの表示

OAAM管理では、カスタマ・セッションの履歴が保持されます。各セッション・エントリには、セッションID、認証ステータス、ログイン時間、デバイスID、ロケーション、トランザクションおよびアラートが含まれます。セッション情報は、「ケース詳細」ページの「セッション」タブで参照できます。図4-4に示すように、カスタマとの電話中に、「セッション」タブを使用してセッション履歴(そのカスタマの前のセッションのリスト)を表示できます。

図4-4 「セッション」タブ

4.7.1 カスタマ・セッション履歴の表示

カスタマ・セッション履歴を表示するには:

1. ケース検索ページから、検索フィルタで基準を指定します。
詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます。

3. 「セッション」タブをクリックします(図4-4)。

4.7.2 カスタマ・セッションの検索

カスタマ・セッションを検索するには:

1. 4.7.1項「カスタマ・セッション履歴の表示」で説明するとおりに、ケースのセッション・リストを表示します。

2. 検索基準を入力し、「検索」をクリックします。

表4-4 セッション検索フィルタ

フィルタ

説明

セッションID

セッションの識別子。たとえば、11702です。

デバイスID

デバイスの識別子。たとえば、1803です。

認証ステータス

認証ステータス。たとえば、「成功」です。

アラート・レベル

アラート・レベル。たとえば、「情報」です。

トランザクション

実行されたトランザクション。

ログイン時間

トランザクションを実行するためにカスタマがログインした時間。たとえば、5/11/09です。

自分がアクセス権を持っている組織に属するユーザーに属するセッションを検索できます。

4.7.3 デバイスIDまたは日付範囲によるカスタマ・セッションの検索

デバイスIDまたは日付範囲によりカスタマ・セッションを検索するには:

1. 4.7.1項「カスタマ・セッション履歴の表示」で説明するとおりに、ケースのセッション・リストを表示します。

2. デバイスIDによりセッションを検索するには、デバイスのIDを入力します。

3. ログイン日付範囲によりセッションを検索するには、カレンダ・アイコンをクリックし、開始日と終了日を選択します。

4. 「検索」をクリックします。

4.7.4 認証ステータスまたはアラート・レベルによるセッション履歴のフィルタ

認証ステータスまたはアラート・レベルによりカスタマ・セッションのリストをフィルタするには:

1. 4.7.1項「カスタマ・セッション履歴の表示」で説明するとおりに、ケースのセッション・リストを表示します。

2. 認証ステータスによりセッションをフィルタするには、目的の認証ステータスを選択します。

3. アラート・レベルによりセッションをフィルタするには、目的のアラート・レベルを選択します。

4. 「検索」をクリックします。

4.7.5 セッション履歴内のトランザクションの表示

カスタマのトランザクションを表示するには:

1. 4.7.1項「カスタマ・セッション履歴の表示」で説明するとおりに、ケースのセッション・リストを表示します。

2. トランザクションによりログをフィルタします。

3. 「検索」をクリックします。

4.8 CSRケースの作成

CSRケースは、1人のカスタマの関連するカスタマ・ケア・イベントおよびアクションのレコードです。複数ケースでも、カスタマの関連のない問題およびアクションを区別する方法が提供されます。CSRケースは、カスタマのサポート中にCSRが使用します。この項では、新規および類似ケースを作成するための手順について説明します。

4.8.1 ケースの作成

CSRは、自分が権限を持っている組織のユーザーのケースのみを作成できます。新規CSRケースは、オンラインまたは電話でカスタマ・ケア状況が発生した場合に、CSRマネージャまたはCSRにより作成されます。CSRまたはCSRマネージャは、組織IDおよびユーザー名でケースを検索します。

マルチテナント・デプロイメントでは、CSRは組織に限定されたケースにのみアクセスできます。ユーザーが権限のない組織に属している場合は、そのケースを表示できません。

ケースに応じて、CSRまたはCSRマネージャは、新規ケースを作成する必要があるか、またはそのユーザーの既存のケースにより処理できるのかを決定します。

ケースを作成するには:

1. ケース検索ページで、「新規ケース」をクリックします。
「ケースの作成」ダイアログが表示されます。

図4-5 ケースの作成

ナビゲーション・ツリーで「ケース」を右クリックし、表示されるコンテキスト・メニューから「新規ケース」を選択することによって「ケースの作成」ダイアログを開くこともできます。

2. 「組織ID」を選択します。
アクセス権のある「組織ID」のリストが表示されます。リストから「組織ID」を1つ選択できます。

「組織ID」を選択して「ユーザー名」を入力するか、「ユーザーID」を入力できます。

3. 「ユーザー名」を入力します。
ユーザー名は、ユーザーがログインするために使用する識別子です。ユーザー名と組織IDの組合せは、ユーザーがアプリケーションにアクセスするための一意の識別子です。組織IDとユーザー名の一意の組合せがシステム内で使用可能である必要があります。ユーザー名では大文字と小文字が区別されます。ユーザー名が無効であるか、大文字と小文字が正しく使用されていない場合、「作成」を押すとエラー・メッセージが表示されます。

注意: bharosa.uio.default.username.case.sensitiveプロパティがfalseに設定されている場合、ユーザー名はCSRケースの作成時に「ユーザー名」フィールドに入力した実際の大/小文字とは関係なく、小文字で表示されます。

4. 「ユーザーID」を入力します。
ユーザーIDは、ユーザーに対してシステムにより生成される一意の識別子です。

5. 「重大度レベル」リストから重大度レベルを選択します。
使用可能な重大度レベルは、「高」、「中」および「低」です。

6. 「事前に作成した説明」リストから事前に作成した説明を選択し、状況に基づいて自身の詳細を追加します。事前に作成した説明、事前に記載したノートを選択すると、説明をすばやく入力できるため、時間が節約されます。
事前に作成した説明を選択すると、「説明」テキスト・ボックスに説明が自動的に追加されます。事前に作成した説明を選択するたびに、前の説明に追加されます。

「事前に作成した説明」の選択肢は次のとおりです。

- ログイン不可
ユーザーがログインできません。

- 「質問の回答忘れ」
ユーザーがチャレンジ質問に対する回答を忘れました。

- 不正の可能性
ユーザーが不正の被害を受けたのではないかと思っています。

- OTPオーバーライド
ユーザーがOTPを受信できません。

- リクエストのリセット
ユーザーがイメージおよびフレーズをリセットするように要求されました。

「説明」フィールドには英数字および特殊文字を含めることができますが、4000文字を超えることはできません。任意の説明を入力でき、たとえば、カスタマが電話でバンキングを行えないことを伝えた場合、バンキングを行えないという説明を持つケースをそのカスタマに作成できます。「説明」は必須フィールドです。

7. 「作成」または「取消」をクリックします。
どのフィールドも空白のままにはできません。

無効なパラメータが入力された場合は、エラー・メッセージが表示され、新規ケースは作成されません。「取消」をクリックすると、ケース検索ページが表示されます。「作成」をクリックすると、新規ケースが作成され、新しく作成されたケースの「ケース詳細」ページに移動します。

「ケース詳細」ページが表示されたときの状態は次のとおりです。

- 「ケース・ステータス」に「保留中」と表示されます。

- 「作成者」フィールドに、ケースを作成したCSRのユーザー名が表示されます。

- 彼がケースの現在の所有者であるため、「現在の所有者」フィールドに彼のユーザー名が表示されます。

4.8.2 別のケースに類似のケースの作成

既存のケースと同様または「類似」のケースを作成するには:

1. ケース検索ページの「検索結果」表で、ケースの隣にあるチェック・ボックスを選択してケースを選択します。

2. 「類似作成」ボタンをクリックします。
元のケースのデータが事前移入された「ケースの類似作成」ダイアログが表示されます。クローズ済ケースを選択した場合は、「ケースの類似作成」ダイアログにはそのケースからの事前移入データが表示されますが、「ケース・ステータス」が「新規」となる点が異なります。

エスカレーション済ケースを選択した場合は、「類似作成」ダイアログにはそのケースからの事前移入データが表示されますが、「ケース・ステータス」が「新規」となり、「ケース・タイプ」が「CSR」となる点が異なります。

図4-6 類似作成

3. 「説明」フィールドに説明を入力するか、「事前に作成した説明」リストから説明を選択するか、またはその両方を行います。
「説明」は必須フィールドです。同じケースに対して、「事前に作成した説明」リストから複数の説明を何度でも1つずつ選択できます。リストから各説明を選択するたびに、説明のノートも前の説明に追加されます。説明を入力する場合、「説明」フィールドには英数字および特殊文字を含めることができますが、4000文字を超えることはできません。

4. 必要に応じてその他のフィールドを編集します。
すべてのフィールドに入力してください。

5. 「作成」または「取消」をクリックします。
「取消」をクリックすると、ケース検索ページが表示されます。「作成」をクリックすると、元のケースのデータおよび変更内容を含む新規ケースが作成され、新しく作成されたケースの「ケース詳細」ページに移動します。

4.9 カスタマ・リセットの実行

オーセンティケータでは、不正を防ぐために、パーソナライズの一部としてその仮想認証デバイス上でイメージおよびフレーズを使用します。「カスタマ・リセット」を使用すると、カスタマのイメージおよびフレーズをリセットして、そのカスタマのデバイスを登録解除できます。「カスタマ・リセット」はクローズ済、エスカレーション済または有効期限切れのケースでは使用できません。

4.9.1 イメージのリセット

カスタマのイメージをリセットすると、OAAM管理によって、カスタマに新規イメージがランダムに割り当てられます。イメージをリセットしたら、次にWebサイトにログインするときにオーセンティケータによって新規イメージが表示されることをカスタマに通知できます。フレーズは引き続き同じものが使用されます。カスタマが登録されておらず、リセットするイメージを持っていない場合にそのカスタマのイメージをリセットしようとすると、エラー・メッセージが表示されます。

カスタマのイメージをリセットするには:

1. ケース検索ページから、カスタマのイメージをリセットするための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。

2. ケースが存在しない場合は、カスタマのイメージをリセットするためのケースを作成します。

3. 「ケース詳細」ページのメニュー・バーで、「カスタマ・リセット」をクリックします。
「カスタマ・リセット」ダイアログが表示されます。

図4-7 カスタマ・リセット

4. 「ユーザー・アイテム」リストで、「イメージ」を選択します。

5. 「ノート」リストで、追加するノートを選択します。

6. 必要に応じて、アクションを実行する理由を記述するノートを編集します。

7. 「送信」をクリックします。

4.9.2 フレーズのリセット

カスタマのフレーズがリセットされると、新規フレーズがカスタマにランダムに割り当てられます。フレーズをリセットしたら、次にWebサイトにログインするときにオーセンティケータによって新規フレーズが表示されることをカスタマに通知できます。イメージは引き続き同じものが使用されます。

カスタマのフレーズをリセットするには:

1. ケース検索ページから、カスタマのフレーズをリセットするための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。

2. ケースが存在しない場合は、カスタマのフレーズをリセットするためのケースを作成します。

3. 「ケース詳細」ページのメニュー・バーで、「カスタマ・リセット」をクリックします。
「カスタマ・リセット」ダイアログが表示されます。

4. 「ユーザー・アイテム」リストで、「フレーズ」を選択します。

5. 「ノート」リストで、追加するノートを選択します。

6. 「ノート」フィールドで、デフォルトのノートを編集します。

7. 「送信」をクリックします。
カスタマが登録されておらず、リセットするフレーズを持っていない場合は、エラー・メッセージが表示されます。

4.9.3 イメージおよびフレーズのリセット

カスタマのイメージおよびフレーズをリセットすると、OAAM管理により新規イメージおよびフレーズが生成され、カスタマに割り当てられます。その後、次にWebサイトにログインするときにオーセンティケータによって新しい個人イメージおよびフレーズが表示されることをカスタマに通知できます。

カスタマのイメージとフレーズをリセットするには:

1. ケース検索ページから、カスタマのイメージおよびフレーズをリセットするための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。

2. ケースが存在しない場合は、カスタマのイメージおよびフレーズをリセットするためのケースを作成します。

3. 「ケース詳細」ページのメニュー・バーで、「カスタマ・リセット」をクリックします。
「カスタマ・リセット」ダイアログが表示されます。

4. 「ユーザー・アイテム」リストで、「イメージおよびフレーズ」を選択します。

5. 「ノート」リストで、追加するノートを選択します。

6. 「ノート」フィールドで、デフォルトのノートを編集します。

7. 「送信」をクリックします。
カスタマが登録されておらず、リセットするフレーズおよびイメージを持っていない場合は、エラー・メッセージが表示されます。

4.9.4 デバイスの登録解除

デバイスを登録解除すると、OAAM管理によりカスタマのすべてのデバイスが登録解除されます。カスタマは、必要に応じて別のデバイスを登録できます。

カスタマのデバイスを登録解除するには:

1. ケース検索ページから、カスタマのデバイスを登録解除するための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。ケースが存在しない場合は、カスタマのデバイスを登録解除するためのケースを作成します。

2. 「ケース詳細」ページのメニュー・バーで、「カスタマ・リセット」をクリックします。
「カスタマ・リセット」ダイアログが表示されます。

3. 「ユーザー・アイテム」リストで、「デバイスの登録解除」を選択します。

4. 「ノート」リストで、追加するノートを選択します。

5. 「ノート」フィールドで、デフォルトのノートを編集します。

6. 「送信」をクリックします。

4.9.5 OTPプロファイルのリセット

カスタマのOTPプロファイルがリセットされると、OTPを送信するために使用される連絡先情報がシステムにより削除されます。OTPプロファイルがリセットされると、ユーザーが次にログインするときに連絡先情報を登録するよう求められます。OAAMデプロイメントでは、KBAおよびOTPの両方を使用するよう選択している場合があります。この場合は、OTPプロファイルがリセットされたが、質問はまだ有効である場合、カスタマは次にログインするときにOTP情報を再登録するよう求められます。

カスタマのOTPプロファイルをリセットするには:

1. ケース検索ページから、カスタマのOTPプロファイルをリセットするための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。

2. ケースが存在しない場合は、カスタマのOTPプロファイルをリセットするためのケースを作成します。

3. 「ケース詳細」ページのメニュー・バーで、「カスタマ・リセット」をクリックします。
「カスタマ・リセット」ダイアログが表示されます。

4. 「ユーザー・アイテム」リストで、「OTPプロファイルのリセット」を選択します。

5. 「ノート」リストで、追加するノートを選択します。

6. 「ノート」フィールドで、デフォルトのノートを編集します。

7. 「送信」をクリックします。

OTP配信方法のリセット例

JacobはCSRに電話をかけて、自分のOTP配信方法をリセットして電話からショート・メッセージ・サービス(SMS)に変更するよう依頼し、SMSの電話番号を伝えます。

CSRのCarlは、次の手順を実行します。

1. CarlはJacobのログインを検索し、最終ログイン時間および場所について彼に確認します。

2. CarlはJacobのケースを作成し、彼のOTP配信方法をリセットします。

3. Jacobに再度ログインするよう依頼し、新規OTP配信方法を確認します。

4. 完了し、新しいOTPが問題なく動作していることを確認したら、Carlはケースを閉じます。

4.9.6 仮想認証デバイスのリセット

カスタマから仮想認証デバイスをリセットするよう依頼されることがあります。

カスタマの仮想認証デバイスをリセットするには:

1. ケース検索ページから、カスタマの仮想認証デバイスをリセットするための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。

2. ケースが存在しない場合は、カスタマの仮想認証デバイスをリセットするためのケースを作成します。

3. 「ケース詳細」ページのメニュー・バーで、「カスタマ・リセット」をクリックします。
「カスタマ・リセット」ダイアログが表示されます。

4. 「ユーザー・アイテム」リストで、「認証パッドのリセット」を選択します。

5. 「ノート」リストで、追加するノートを選択します。

6. 「ノート」フィールドで、デフォルトのノートを編集します。

7. 「送信」をクリックします。

4.9.7 OTPのロック解除

CSRは、OTPがロックされたために電話をかけてきたカスタマをロック解除します。カスタマをロック解除すると、カスタマのOTP失敗カウンタが0にリセットされます。

カスタマのOTPをロック解除するには:

1. ケース検索ページから、カスタマのOTPをロック解除するための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。

2. ケースが存在しない場合は、カスタマのOTPをロック解除するためのケースを作成します。

3. 「ケース詳細」ページのメニュー・バーで、「カスタマ・リセット」をクリックします。
「カスタマ・リセット」ダイアログが表示されます。

4. 「ユーザー・アイテム」リストで、「OTPのロック解除」を選択します。

5. 「ノート」リストで、追加するノートを選択します。

6. 「ノート」フィールドで、デフォルトのノートを編集します。

7. 「送信」をクリックします。

4.9.8 すべての登録データ、チャレンジ・カウンタおよびOTP連絡先および配信情報のリセット

「カスタマ(すべて)」オプションにより、セキュリティ・フレーズ、イメージ、チャレンジ質問、チャレンジ(質問およびOTP)カウンタおよびOTPプロファイルを含む、すべてのユーザー登録情報がリセットされます。

すべての登録データ、チャレンジ・カウンタおよびOTPプロファイル情報をリセットするには:

1. ケース検索ページから、カスタマのすべての登録データ、チャレンジ・カウンタおよびOTP連絡先および配信情報をリセットするための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。

2. ケースが存在しない場合は、カスタマ用のケースを作成します。

3. 「ケース詳細」ページのメニュー・バーで、「カスタマ・リセット」をクリックします。
「カスタマ・リセット」ダイアログが表示されます。

4. 「ユーザー・アイテム」リストで、「カスタマ(すべて)」を選択します。

5. 「ノート」リストで、追加するノートをクリックします。

6. 「ノート」フィールドで、デフォルトのノートを編集します。

7. 「送信」をクリックします。

4.10 チャレンジ質問のリセットの実行

オーセンティケータでは、不正を防ぐための追加の資格証明として質問を使用します。必要に応じて、カスタマに対して質問関連のアクションを実行できます。チャレンジ質問機能を使用すると、カスタマの次のアイテムをリセットできます。

- 質問のリセット

- 次の質問

- 質問セットのリセット

- 質問のロック解除

- 質問の依頼

4.10.1 チャレンジ質問関連アクションの実行

次の手順に従って、「チャレンジ質問」ダイアログを開きます。

1. ケース検索ページから、カスタマに対してリセットを実行するための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。

2. ケースが存在しない場合は、カスタマ用のケースを作成します。

3. 「ケース詳細」ページのメニュー・バーで、「その他のアクション」を選択し、「チャレンジ質問」をクリックします。
「チャレンジ質問」ダイアログが表示されます。

図4-8 チャレンジ質問

4.10.2 チャレンジ質問のリセット

チャレンジ質問をリセットすると、既存の質問および回答が削除され、カスタマが登録する元となる新規質問セットが生成されます。カスタマには、次にWebサイトにログインするときにチャレンジ質問の登録(質問セットからの新規質問および回答の選択)が必要であることが通知されます。

カスタマのチャレンジ質問をリセットするには:

1. 4.10.1項「チャレンジ質問関連アクションの実行」で説明するとおりに「チャレンジ質問」ダイアログを開きます。

2. 「アイテム」リストで、「質問のリセット」を選択します。

3. 「ノート」リストで、追加するノートを選択します。
たとえば、「質問/回答をお忘れですか」を選択できます。

4. 「送信」をクリックします。
タスクを完了したら、実行したアクションに関するノートを入力し(4.12.1項「ケースへのノートの追加」)、必要に応じてケースのステータスを変更できます(4.12.3項「ケースのステータスの変更」)。

質問のリセット例

Marthaは、自分のチャレンジ質問の回答を忘れたため、CSRに電話をかけて質問のリセットを依頼します。

CSRのCarlは、次の手順を実行します。

1. CarlはMarthaのログインを検索し、最終ログインの時間および場所について彼女に確認します。

2. CarlはMarthaのケースを作成し、彼女の質問をリセットします。

3. 彼はMarthaに、再度ログインして質問を登録するよう伝えます。

4. 彼女が完了し、新規質問が登録されたことを確認したら、Carlはケースを閉じます。

4.10.3 チャレンジ質問および質問セットのリセット

チャレンジ質問セットをリセットすると、チャレンジ質問およびカスタマがそこから質問を登録できる質問セットがリセットされます。カスタマには、次にWebサイトにログインするときにチャレンジ質問の登録が必要であることが通知されます。

カスタマのチャレンジ質問および選択対象の質問セットをリセットするには:

1. 4.10.1項「チャレンジ質問関連アクションの実行」で説明するとおりに「チャレンジ質問」ダイアログを開きます。

2. 「アイテム」リストで、「質問セットのリセット」を選択します。

3. 「ノート」リストで、追加するノートを選択します。

4. 「送信」をクリックします。
タスクを完了したら、実行したアクションに関するノートを入力し(4.12.1項「ケースへのノートの追加」)、必要に応じてケースのステータスを変更できます(4.12.3項「ケースのステータスの変更」)。

4.10.4 カスタマを次の質問に進ませる

カスタマの次の質問をリセットすると、OAAM管理によって、登録済の質問のリストにある次のチャレンジ質問にカスタマが進められます。つまり、彼が現在質問Aを依頼されている場合は、質問BまたはCを依頼されるようになります。カスタマには、次にWebサイトにログインするときに別のチャレンジ質問を依頼されることが通知されます。

カスタマを次の質問に進ませるには:

1. 4.10.1項「チャレンジ質問関連アクションの実行」で説明するとおりに「チャレンジ質問」ダイアログを開きます。

2. 「アイテム」リストで、「次の質問」を選択します。

3. 「ノート」リストで、追加するノートを選択します。

4. 「送信」をクリックします。
タスクを完了したら、実行したアクションに関するノートを入力し(4.12.1項「ケースへのノートの追加」)、必要に応じてケースのステータスを変更できます(4.12.3項「ケースのステータスの変更」)。

4.10.5 質問のロック解除(KBA)

質問をロック解除すると、カスタマは次にログインに成功したときに新しい質問および回答を登録するよう求められます。

質問をロック解除するには、次の手順を実行します。

1. 4.10.1項「チャレンジ質問関連アクションの実行」で説明するとおりに「チャレンジ質問」ダイアログを開きます。

2. 「アイテム」リストで、「質問のロック解除」を選択します。

3. 「ノート」リストで、追加するノートを選択します。

4. 「送信」をクリックします。
質問のロック解除後、必要に応じてケースを閉じることができます(4.12.3項「ケースのステータスの変更」)。

4.10.6 KBA電話チャレンジの実行

ユーザーは、登録済のチャレンジ質問を使用して電話で認証できます。このオプションは、未登録ユーザーまたはKBAを使用していないデプロイメントでは使用できません。

電話認証にカスタマのチャレンジ質問を使用するには:

1. 4.10.1項「チャレンジ質問関連アクションの実行」で説明するとおりに「チャレンジ質問」ダイアログを開きます。

2. 「アイテム」リストで、「質問の依頼」を選択します。

3. 「ノート」リストで、「ユーザー・チャレンジ済」を選択します。
「ユーザー・チャレンジ済」を選択すると、「ノート」フィールドに、アクションを実行する理由を記述するために編集できる「カスタマ質問のリクエストです。」というフレーズが示されます。

4. 「送信」をクリックします。

5. 確認ダイアログで、「OK」をクリックします。
カスタマに対するチャレンジ質問およびカスタマの回答を入力するためのフィールドを示す「質問の依頼」ダイアログが表示されます。

6. カスタマに質問をします。

7. カスタマの回答を「回答」フィールドに入力します。

8. 「送信」をクリックします。
失敗カウンタは、不正行為者をロックアウトして、彼らが回答/質問を取得できないようにするために使用されます。

ユーザーに割り当てられる質問のデフォルトの最大数は3です。電話チャレンジにおける、質問当たりの試行のデフォルトの最大数は3です。電話チャレンジの場合は、CSRがユーザーにかわって回答を入力します。ユーザーの間違った回答を入力した場合、フィールドを空白のままにした場合またはユーザーの画面を閉じた場合には、失敗カウンタが増分します。質問当たりの最大試行回数に達するまで、同じチャレンジ質問が画面に表示されたままになります。次に、別の質問が表示されます。

カスタマには質問当たり3回の試行が与えられるため、電話チャレンジでは最大9回の試行が許可されます。質問に正しく回答すると、失敗カウンタがリセットされ、質問のロック解除などの、ステータスに応じた適切なアクションがシステムにより自動的に実行されます。カスタマが正しい回答を提供せず、失敗の最大数を超えた場合、そのカスタマはロックされます。

図4-9 質問の依頼フロー

質問の依頼例

1. CSRとしてログインし、カスタマのケースを作成して、「質問の依頼」ケース・アクションを使用してKBA質問をします。
ユーザーが正しく回答するかロックされるまで、ユーザーの回答を入力します。

2. ユーザーが質問に正しく回答した場合、次にログインするときにオンラインで新規質問を登録する必要があることをユーザーに通知します。

3. チャレンジ質問の依頼後は、ユーザーの質問のリセットが行われていることを確認します。
ユーザーが登録を求められたことを確認するために、リセット・アクションの前および後にログインして実際に確認する必要があります。

4.11 一時許可の有効化

一時許可を有効にするには:

1. ケース検索ページから、カスタマに対して一時許可を付与するための既存のケースを検索し、ケースが存在する場合は、結果表でそのケース番号をクリックします。

2. ケースが存在しない場合は、カスタマ用のケースを作成します。

3. メニュー・バーで「一時許可」をクリックします。

4. 「許可」リストで、必要な一時許可を選択します。

- シングル・ログイン

- 2時間

- 終了日の選択
「終了日の選択」を選択した場合は、カレンダ・アイコンをクリックして必要な終了日をクリックします。

- 取消
カスタマのアクティブな許可を終了する場合は、「取消」を選択してそれを削除します。

5. 「ノート」リストで、必要なノートのタイプを選択します。

6. ノートを編集して、実行するアクションに関する情報を追加します。
たとえば、実行したアクションに関するノート、およびカスタマが3か月間旅行に出るためにその期間は例外を受け入れる必要があることを追加できます。

7. 「送信」をクリックします。

一時許可の例

Ritaはブロックされたユーザーであり、銀行のアカウントにログインできず、休暇でメキシコにいます。彼女は、住宅ローンの支払が迫っているために、2時間以内にログインして、自分のアカウントに送金する必要があります。彼女はCarl (CSR)に電話をかけて、今から2時間のみログインできるように依頼します。

Carlは次の手順を実行します。

1. CarlはRitaのログインを検索し、最終ログインの時間および場所について彼女に質問します。

2. 彼はその情報を表示されているセッション・データと照合します。

3. CarlはRitaのケースを作成します。

4. 彼はそのケースを開き、Ritaに2時間の一時許可を作成します。

4.12 ケース・アクションの実行

次のケース・アクションを実行できます。

- ケースへのノートの追加

- ケースの重大度レベルの変更

- ケースのステータスの変更

- 有効期限の延長

- CSRケースのエージェント・ケースへのエスカレーション

- CSRケースのバルク編集

4.12.1 ケースへのノートの追加

ケースでアクションを実行するたびに、そのアクションを実行する理由を記述するノートを入力する必要があります。ノートはケース・ログに保存されます。

ケースにノートを追加するには:

1. ケース検索ページからケースを検索します。
詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

3. 右上にある「ノートの追加」をクリックします。
「ノートの追加」ダイアログが表示されます。

図4-10 ノートの追加

4. ノートを入力します。

5. 「送信」をクリックします。
「取消」をクリックすると、「ノートの追加」ダイアログが閉じます。

「送信」をクリックすると、ノートがケース・ログに保存されます。

4.12.2 ケースの重大度レベルの変更

ケースが作成されると、その重要度を示し、管理者がケースをフィルタできるようにするための重大度レベルがケースに割り当てられます。重大度レベルは「ケース詳細」ページに表示されます。

1. ケース検索ページからケースを検索します。
詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

3. 右上にある「その他のアクション」をクリックし、次に「重大度の変更」をクリックします。
「重大度の変更」ダイアログが表示されます。

4. 「重大度」リストで、必要な重大度レベルをクリックします。
使用可能な重大度レベルは、「高」、「中」および「低」です。カスタマが不正を疑っている場合、割り当てる重大度レベルは「高」です。カスタマが異なるイメージを希望している場合、割り当てる重大度レベルは「低」です。必要に応じて、ケースの重大度レベルをエスカレーションまたはエスカレーション解除できます。

5. 「ノート」リストで、必要なノートのタイプを選択します。

6. ノートを編集して、実行するアクションに関する情報を追加します。

7. 「送信」をクリックします。

4.12.3 ケースのステータスの変更

ステータスは、ケースの現在の状態を示します。ケースのステータスは、「新規」、「保留中」または「クローズ済」にすることができます。OAAM管理では、各ケースの作成時に自動的に「新規」のステータスをケースに割り当てます。ケースがエスカレーションされたら、ステータスを「保留中」に変更する必要があります。

1. ケース検索ページからケースを検索します。
詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

3. 右上にある「その他のアクション」を選択し、次に「ステータスの変更」をクリックします。
「ステータスの変更」ダイアログが表示されます。

4. 「ステータス」リストで、必要なステータスをクリックします。
「新規」、「保留中」または「クローズ済」を選択できます。

表4-5 ケース・ステータス

ステータス

定義

新規

作成時のケースのステータス。

保留中

まだ解決されていないケースのステータスです。

クローズ済

問題が解決されたときのケースのステータス。

5. ステータスが「新規」または「保留中」に変更されたら、有効期限日を延長します。

6. ステータスが「クローズ済」に変更されたら、処置を入力します。

7. 「事前に作成したノート」リストから事前に作成したノートを選択します。

8. 問題を説明するノートを追加します。

9. 「送信」をクリックします。
確認ダイアログが表示されます。

10. 「OK」をクリックします。

4.12.3.1 ケースのステータスの「保留中」への変更

「保留中」は、まだ解決されていないケースのステータスです。ケース・ステータスを「保留中」に変更するには:

1. ケース検索ページから新規ケースを検索します。
「ケース・ステータス」に「新規」を選択します。

詳細は、4.4.1項「ケースの検索」を参照してください。

2. 「検索結果」表で、目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

3. 右上にある「その他のアクション」をクリックし、次に「ステータスの変更」をクリックします。
「ステータスの変更」ダイアログが表示されます。

4. 「ステータス」に「保留中」を選択します。

5. 問題を記述するノートを入力します。
「ノート」リストから説明を選択するか、新規ノートを入力します。

6. 「送信」をクリックします。
確認ダイアログが表示されます。

7. 「OK」をクリックします。

4.12.3.2 ケースのクローズ

「クローズ済」は、問題が解決されたときのケースのステータスです。ケースをクローズするには:

1. ケース検索ページから新規または保留中のケースを検索します。
ケース・ステータスに「新規」または「保留中」を選択します。

詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

3. 右上にある「その他のアクション」を選択し、次に「ステータスの変更」をクリックします。
「ステータスの変更」ダイアログが表示されます。

4. 「ステータス」に「クローズ済」を選択します。

5. 「処置」リストから処置を選択します。

6. 「事前に作成したノート」リストから事前に作成したノートを選択します。

7. 問題を詳細に説明するノートを入力します。

8. 「送信」をクリックします。
確認ダイアログが表示されます。

9. 「OK」をクリックします。

4.12.3.3 クローズ済ケースを開く

クローズ済ケースを開くには:

1. ケース検索ページからクローズ済ケースを検索します。
「クローズ済」ケース・ステータスでケースを検索します。

詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

3. 右上にある「その他のアクション」を選択し、次に「ステータスの変更」をクリックします。
「ステータスの変更」ダイアログが表示されます。

4. 「ステータス」リストで、「新規」または「保留中」を選択します。

5. 有効期限日を延長します。

6. 問題を記述するノートを入力します。
既存のノートから選択するか、新規ノートを入力できます。

7. 「送信」をクリックします。

4.12.4 有効期限の延長

有効期限を延長するには:

1. ケース検索ページからケースを検索します。
詳細は、4.4.1項「ケースの検索」を参照してください。

2. 目的のケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

3. 右上にある「その他のアクション」をクリックし、次に「有効期限日の延長」を選択します。

4. 「延長」リストで、必要な有効期限の延長期間の長さを選択します。

5. 「ノート」リストで、追加するノートをクリックします。

6. 「送信」をクリックします。

4.12.5 CSRケースのエージェント・ケースへのエスカレーション

CSRはケースをエスカレーションできます。たとえば、カスタマ・サービス担当が、ユーザーから不正の被害にあったという電話を受けた場合、CSRは不正調査グループにケースをエスカレーションできます。CSRケースをエージェント・ケースにエスカレーションするのに必要な一連の手順を次に示します。

ケースをエスカレーションして調査担当者が確認できるようにするには:

1. 新規CSRケースを作成するか、既存のケースを検索して開きます。
ケースの作成の詳細は、4.8項「CSRケースの作成」を参照してください。

2. 既存のケースを開く場合は、調査担当者に確認を依頼するケースのケース番号をクリックします。
「ケース詳細」ページが表示されます(図4-2)。

3. 右上にある「その他のアクション」をクリックし、次に「エスカレーション」を選択します。
「エスカレーション」ダイアログが表示されます。

4. 「タイプ」リストで、「エージェント・ケースへのエスカレーション」を選択します。

5. 「事前に作成したノート」リストからノートを選択するか、「ノート」テキスト・ボックスにノートを入力するか、またはその両方を行ってノートを指定します。

- 「事前に作成したノート」リストから、エスカレーションの理由を記述するノートを選択します。

- さらに詳細が必要な場合は、「ノート」ボックスにノートを入力します。
調査担当者にとって有用な可能性のある、エンド・ユーザーとの対話中に取得したすべての情報を入力することがベスト・プラクティスです。

ノートは必須です。

6. 「送信」をクリックします。
ケースがエージェント・ケースにエスカレーションされ、CSRにはそのケースを表示する権限がなくなります。

4.12.6 CSRケースのバルク編集

ケース検索ページを使用して、複数のケースの重大度とステータスの変更および有効期限日の延長を一度に行うことができます。たとえば、1年より前のケースをすべて閉じることができます。

ケースのステータスが「新規」または「保留中」に設定されている場合に有効期限を延長できます。処置を変更するオプションは使用できません。ケースのステータスが「クローズ済」に設定されている場合は、「処置」を変更できます。有効期限を変更するオプションは使用できません。

複数のケースのケース設定を一度に変更するには:

1. ケース検索ページを開きます。

2. 必要なケースを選択します。
たとえば、タイプ、有効期限および日付でケースを検索できます。

詳細は、4.4.1項「ケースの検索」を参照してください。

3. 「選択項目のバルク編集」をクリックします。

4. 必要に応じてケース設定を変更し、ノートを追加します。

5. 「OK」をクリックして、バルク編集を実行します。
バルク編集操作が正常に実行されたというメッセージを示す確認ダイアログが表示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。

バルク編集の例

Jackieは、ケースのバック・ログをクリーンアップする必要があります。

1. 彼女は、すべての有効期限切れのケースを検索し、それらをすべて閉じます。

2. また、すべての期限超過ケースを確認して、ステータスを再度「保留中」に更新します。

4.13 レポートの使用

CSRによるOracle Adaptive Access Managerのレポート機能の使用方法の詳細は、第24章「レポートおよび監査機能」を参照してください。

4.14 マルチテナントについて

マルチテナント・デプロイメントでは、CSRのアクセスはCSRがサービスを提供すると想定されている組織のみに限定されています。CSRは、自分が働く組織のユーザーに関連付けられているケースのみを処理できます。エージェントは、自分がアクセス権を持たない他のグループのユーザーのケースは表示および処理しません。

4.14.1 マルチテナントの有効化

マルチテナント・デプロイメントについて、OAAM管理でアクセス制御を有効にするには、bharosa.multitenant.booleanプロパティをtrueに設定する必要があります。デフォルトでは、値はfalseに設定されています。

4.14.2 権限の変更

OAAMアプリケーションのセキュリティ管理者は、CSRに対するアクセス制御を設定できます。CSRは自分のアクセス権を変更できません。アクセス権を変更できるのはシステム管理者のみです。

4.14.3 ケースへのアクセスについて

CSRは、自分がアクセス権を持っているグループのユーザーのケースにアクセスできます。アクセス権のないグループに属するユーザーのケースにはアクセスできません。エージェント・ケースにはCSRはアクセスできません。

マルチテナントが無効になっている場合、CSRマネージャ、調査担当者および調査マネージャは詳細画面にアクセスできます(リンクは表示されません)。マルチテナントが有効になっている場合、CSRマネージャ、調査担当者および調査マネージャは詳細画面にアクセスできません(リンクは表示されません)。CSRは常に詳細画面にアクセスできません。

マルチテナントが有効になっている場合、調査担当者は「セッション詳細」ページから「詳細」ページにアクセスできません(リンクは無効になります)。マルチテナント・アクセス制御は、CSRおよび調査担当者にのみ適用されます。セキュリティ管理者およびシステム管理者はケースへの完全なアクセス権権を持っています。

4.14.4 セッションの検索

CSRおよび調査担当者は、自分がアクセス権を持つ組織のセッションのみを表示できます。調査担当者が複数の組織へのアクセス権を持っている場合、特定の組織のセッションを表示するために検索フィルタを適用できます。ある組織へのアクセス権を持っている場合、そのセッションを組織ID、セッションID、アラート・レベル、ユーザー名、デバイスID、IPアドレス、認証ステータスおよびログイン時間で検索できます。

4.14.5 OAAMにおけるマルチテナントの例

次の例は、カスタマ・ケア画面において、権限に基づいて限定された量のデータがユーザーに表示されることを示しています。

表4-6 CSRアクセス

組織

アプリケーション・ユーザー

管理ユーザー

デフォルト

- demouser1

- demouser2

- demouser3

- democsr1

- democsr2

- democsr3

AAB

- aabuser1

- aabuser2

- aabuser3

- aabcsr1

- aabcsr2

両方の組織

- supercsr1

- supercsr2

組織なし

democsrm1

例では、デフォルトおよびAABの2つの組織があります。

4.14.5.1 CSRによるケースの作成

democsr1という名前のCSRが、デフォルト・グループに対する権限を持っています。

1. CSRのdemocsr1がシステムにログインします。

2. 組織IDにデフォルトを選択します。
デフォルトのみへのアクセス権を持っているため、デフォルトを選択できます。

3. 「ユーザー名」フィールドにdemouser1と入力し、その他の属性を入力します。
demouser1のケースが作成されます。

「ケース詳細」ページが表示されます。

- ケース・ステータスは「保留中」です。

- 「作成者」フィールドにdemocsr1が表示されます。

- 「現在の所有者」フィールドにdemocsr1が表示されます。

4. 彼は「ログ」タブでケースを検索し、ARM IDがdemocsr1である「ケースの作成」アクションを見つけます。

5. ケースに対応するセッションが存在します。

6. CSRのdemocsr1はケースにノートを追加します。(CSRはケースにノートを追加できます。)

7. 「ログ」タブに戻ると、ケースのアクションが「ノートの追加」になっています。

4.14.5.2 CSRが組織およびログインの組合せに対して正常にケースを作成できない場合

aabcsr1という名前のCSRが、AABグループに対する権限を持っています。

1. CSRがシステムにログインします。

2. AABのみへのアクセス権を持っているため、選択できる組織IDはAABのみです。

3. 彼はdemouser1のケースを作成しようとします。

- 組織IDにAABを選択します。

- ユーザー名としてdemouser1を入力します。
demouser1は、デフォルトのメンバーです。

4. 次のエラーが表示されます。
「アプリケーションAABとログインdemouser1の組合せが不正です。」

4.14.5.3 CSRが組織およびログインの組合せに対して正常にケースを作成できる場合

aabcsr1という名前のCSRが、AABグループに対する権限を持っています。

1. CSRがシステムにログインします。

2. AABのみへのアクセス権を持っているため、選択できる組織IDはAABのみです。

3. 彼はdemouser1のケースを作成しようとします。

- 組織IDにAABを選択します。

- ユーザー名としてaabuser1を入力します。
aabuser1はAABのメンバーです。

4. ケースが正常に作成されます。

4.14.5.4 複数の組織IDに対するアクセス権を持つCSRがケースを作成できない場合

supercsr1という名前のCSRは、AABおよびデフォルトのグループに対する権限を持っています。

1. CSRがシステムにログインします。

2. 「AAB」と「デフォルト」の2つの組織IDはドロップダウン・リストから選択できます。

3. 彼はaabuser1のケースを作成しようとします。

- 組織IDにデフォルトを選択します。

- ユーザー名としてaabuser1を入力します。
aabuser1はAABのメンバーです。

4. 組織IDとしてデフォルトを選択してAABユーザーのケースを作成することはできないという情報を示すエラーが表示されます。

4.14.5.5 複数の組織IDに対するアクセス権を持つCSRが正常にケースを作成できる場合

supercsr1という名前のCSRは、AABおよびデフォルトのグループに対する権限を持っています。

1. CSRがシステムにログインします。

2. 「AAB」と「デフォルト」の2つの組織IDはドロップダウン・リストから選択できます。

3. 彼はaabuser1のケースを作成しようとします。

- 組織IDにAABを選択します。

- ユーザー名としてaabuser1を入力します。
aabuser1はAABのメンバーです。

4. ケースが正常に作成されます。

4.14.5.6 いずれの組織にもアクセスできないCSRがケースを作成しようとした場合

democsrm1という名前のCSRは、いずれの組織にもアクセスできません。

1. CSRがシステムにログインします。

2. 彼は新規ケースを作成しようとしますが、いずれの組織に対するアクセス権も持っていないため、組織IDを選択できません。彼は、必要な属性を持った新規ケースを作成できません。

3. 検索を試みた場合、結果が返されません。

4.14.5.7 CSRによるケースへのアクションの実行

aabcsr1という名前のCSRが、AABグループに対する権限を持っています。

1. CSRがシステムにログインします。

2. 検索を実行します。

1. 「組織ID」ドロップダウン・リストに、彼がアクセス権を持っている組織IDがすべて表示されます。

2. CSRは目的の組織IDを選択します。

3. CSRは、検索に必要なデータを指定します。

3. 結果はAABユーザーのみです。
CSRに、彼がアクセス権を持つグループに属するユーザーのケースのみが含まれた結果が返されます。

4.14.5.8 CSRによるケース詳細の表示

aabcsr1という名前のCSRが、AABグループに対する権限を持っています。

1. CSRが、「CSRによるケースへのアクションの実行」のシナリオを完了します。

2. 「検索」ページから、CSRがいずれかのケースIDをクリックします。

1. CSRはケースの詳細を表示できます。

2. 下部ペインに、ケースのアクション・ログが表示されます。

4.14.5.9 CSRによるセッションの検索

aabcsr1という名前のCSRが、AABグループに対する権限を持っています。

1. CSRが、「CSRによるケース詳細の表示」のシナリオを完了します。

2. 「ケース詳細」ページで、CSRが「セッションの検索」をクリックします。
検索問合せで、CSRは自分がアクセス権を持っている組織IDのみを表示できます。

3. CSRは関心のある組織IDを選択し、フィルタの他のデータを入力して、検索を実行します。
彼がアクセス権を持っているグループのユーザーのセッションの結果のみが表示されます。

4.14.5.10 エージェントによるケースの作成

詳細は、第5章「OAAMを使用した調査」を参照してください。

4.14.5.11 CSRによるケースの検索

詳細は、4.4.1項「ケースの検索」を参照してください。

4.15 CSRケースのシナリオ

次の各項で、Oracle Adaptive Access Managerの調査ツールの使用方法に関するシナリオを示します。

4.15.1 カスタマ・セッション検索およびケース作成のシナリオ

CarlはDollar BankのCSRです。

Timはブロックされていてログインできないため、Carlに電話をかけます。

1. Carlはブロック済セッションをユーザーで検索し、Timに属するセッションがないかどうかを確認し、Timに対するブロック済セッションが見つからなかった場合はケースを作成します。

1. Carlは、ブロックされたログインのあるユーザーのセッションを検索する必要があります。

2. CarlはまずTimのセッションを検索して、過去1か月間の彼のログイン履歴を確認する必要があります。

3. 彼は次に、Timに関係している可能性があるケースを検索する必要があります。
CarlはTimに関するケースを見つけられません。

2. Carlは、ブロックされたログイン用の標準テキストを選択して、ケースを作成します。
数日後、Timは再度電話をかけ、ケースについて問い合せます。

3. Carlはケースを見つけ、その有効期限が切れていることを確認します。

4. Carlはケースをエスカレーションします。エスカレーション後、彼の検索にそのケースが表示されなくなります。

JackieはCSRマネージャです。

1. 彼女はログインして、エスカレーション済のケースを検索します。

2. 彼女はTimのケースを見つけ、それを表示します。

3. 彼女はケースのアクション・ログを確認し、誰がケースを作成し、アクションを実行したのかを把握します。

4. 彼女は、自分が使用中であることを示すノートをケースに追加します。

4.15.2 チャレンジ質問のリセットのシナリオ

あなたはAcme Corpのカスタマ・サービス担当であるJerryです。コール・センターで電話に応対し、ユーザーが直面している可能性のある問題についてサポートします。あなたは、チャレンジ質問の回答を忘れたHenryというユーザーからの電話を受けました。回答をリセットする前に、彼の個人情報を確認する必要があります。

自宅住所および社会保障番号の末尾4桁などの個人情報を確認して、他のシステムでHenryを認証する必要があります。彼のユーザーIDはxxxxです。

次に、Henryに対して新規CSRケースを開き、彼のチャレンジ質問をリセットする必要があります。

その後、解決済の処置およびノートとともにケースを閉じる必要があります。

1. OAAM管理にカスタマ・サービス担当としてログインします。
ケース検索ページが表示されます。

2. 他のシステムでHenryのユーザーIDを入力し、自宅住所および社会保障番号の末尾4桁を確認します。

3. ユーザーごとにオープン・ケースを検索します。
「ユーザーID」フィールドにxxxxと入力し、ケース・ステータスに「新規」、「保留中」および「エスカレーション済」を選択して、Henryのオープン・ケースを検索します。

Henryに対する新規、保留中およびエスカレーション済ケースが存在しないため、新規ケースを作成する必要があります。

4. 新規ケースを作成します。

1. ケース検索ページで、次の「新規ケース」ボタンをクリックします。
「ケースの作成」ダイアログが表示されます。

2. 「ユーザーID」フィールドにHenryのユーザー名のxxxxを入力し、組織ID (Henryが属するグループ)を選択します。

3. 重大度レベルに、「重大度レベル」リストから「低」を選択します。
使用可能な重大度レベルは、「高」、「中」および「低」です。

4. 「説明」リストから「質問の回答を忘れました」を選択します。

5. 「作成」をクリックします。
無効なパラメータが入力されると、エラー・メッセージが表示され、新規ケースは作成されません。

「作成」をクリックすると、新規ケースが作成されます。

確認のメッセージが表示されます。

6. 「OK」をクリックして、確認メッセージを閉じます。

5. Henryの質問をリセットします。

1. Henryの質問をリセットするには、「ケース詳細」ページで、「その他のアクション」を選択し、「チャレンジ質問」を選択します。
オーセンティケータでは、不正を防ぐための追加の資格証明として質問を使用します。「チャレンジ質問」ダイアログから、必要に応じて、質問関連のアクションをカスタマに対して実行できます。

2. 「アイテム」リストで、実行する質問関連のアクションとして「質問のリセット」を選択します。

3. 「ノート」リストで、「質問/回答をお忘れですか」を選択します。

4. 「送信」をクリックしてHenryの質問をリセットします。
カスタマのチャレンジ質問をリセットすると、OAAM管理によって既存の質問および回答が削除され、カスタマが登録する元となる新規質問セットが生成されます。

確認のメッセージが表示されます。

5. 「OK」をクリックしてダイアログ・ボックスを閉じます。

6. ノートをケースに追加します。
ケースでアクションを実行するたびに、そのアクションを実行する理由を記述するノートを入力する必要があります。ノートはケース・ログに保存されます。

1. メニュー・バーで「ノートの追加」をクリックし、ケースにノートを追加します。

2. Henryのチャレンジ質問がリセットされたというノートを入力します。

3. 「送信」をクリックします。
「送信」をクリックすると、ノートがケース・ログに保存されます。

確認のメッセージが表示されます。

4. 「OK」をクリックします。

7. 次にログインするときに、チャレンジ質問をもう一度登録する(質問セットから新しい質問と回答を選択する)必要があることをHenryに通知します。

8. 処置とともにケースをクローズします。

1. ケースを閉じるには、「ケース詳細」ページで、「その他のアクション」をクリックし、「ステータスの変更」を選択します。
ケース・ステータスは、ケースの現在の状態を示します。

2. 「ステータス」リストで、「クローズ済」をクリックします。
「クローズ済」は、問題が解決されたときのケースのステータスです。

3. 処置に「問題解決済」を選択します。

4. 「ノート」リストから、問題を記述するノートとして「問題解決済」を選択します。
既存のノートから選択するか、新規ノートを入力できます。

5. 「送信」をクリックします。
確認のメッセージが表示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。

4.15.3 イメージおよびフレーズのリセットのシナリオ

登録した仮想デバイスのパーソナライズが気に入っていないユーザーのNancyからの電話に応対しているとします。彼女にかわって変更するよう依頼されました。オーセンティケータの「ユーザー・プリファレンス」ページでこれを行えることをNancyに説明しましたが、イメージおよびフレーズをリセットするよう求められました。

Nancyに対して新規CSRケースを開き、彼女のイメージおよびフレーズをリセットする必要があります。次にログインするときに仮想認証デバイスに新しいイメージとフレーズが表示されることを、彼女に通知します。

次に、解決済の処置とともにケースを閉じ、関連するノートを入力する必要があります。

1. OAAM管理にカスタマ・サービス担当としてログインします。
ケース検索ページが表示されます。

2. ユーザーごとにオープン・ケースを検索します。
ケースがすでに存在するかどうかを確認するために、ケース番号またはNancyのユーザーIDおよび「オープン」、「保留中」または「エスカレーション済」のケース・ステータスで検索を実行します。

彼女のパーソナライズをリセットするためのオープン・ケースは存在しないため、新規ケースを作成します。

3. 新規ケースをオープンします。

1. 「新規ケース」をクリックしてケースを作成します。

2. 必要な詳細を入力します。

3. 「作成」をクリックします。
無効なパラメータが入力されると、エラー・メッセージが表示され、新規ケースは作成されません。

「作成」をクリックすると、新規ケースが作成され、ケースID番号を示す確認ダイアログが表示されます。

4. 「ケースの作成」確認ダイアログで「OK」をクリックします。
新しく作成したケースの「ケース詳細」ページが表示されます。

4. ユーザーのイメージとフレーズをリセットします。

1. 「ケース詳細」ページのメニュー・バーで、「カスタマ・リセット」を選択します。「カスタマ・リセット」ダイアログが表示されます。

2. 「ユーザー・アイテム」リストで、「イメージおよびフレーズ」を選択します。

3. 「ノート」リストで、追加するノートのタイプを選択します。

4. 「説明」フィールドで、必要に応じて説明を変更します。

5. 「送信」をクリックします。確認ダイアログが表示され、カスタマに新規イメージおよびフレーズが割り当てられたというメッセージが示されます。

6. 確認ダイアログで、「OK」をクリックします。
カスタマのイメージおよびフレーズをリセットすると、OAAM管理により新規イメージおよびフレーズが生成され、カスタマに割り当てられます。

5. 次にログインするときに仮想認証デバイスに新規イメージおよびフレーズが表示されることを、Nancyに通知します。

6. 処置とともにケースをクローズします。

1. メニュー・バーで、「その他のアクション」をクリックし、「ステータスの変更」をクリックします。
「ステータスの変更」ダイアログが表示されます。

2. 「ステータス」リストで、「クローズ済」をクリックします。

3. 処置に「問題解決済」を選択します。

4. 問題を記述するノートを入力します。
既存のノートから選択するか、新規ノートを入力できます。

5. 「送信」をクリックします。確認ダイアログが表示され、ケース・ステータスが正常に保存されたというメッセージが示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。

4.15.4 CSRケースのバルク編集のシナリオ

あなたは、Acme Corpのカスタマ・サービス・マネージャであるMikeです。CSRケースに対する会社のポリシーは、ユーザーの問題が解決されたらすぐにケースを閉じる必要があるというものです。1か月後には、あなたは誤って開いたままになっているCSRケースをすべて閉じます。今日は月の末日であるため、24時間より古く、1か月前より新しいケースをすべてバルククローズします。

CSRケースをバルク編集するには:

1. OAAM管理にカスタマ・サービス担当マネージャとしてログインします。
ケース検索ページが表示されます。

2. 1か月前から昨日までの間に作成された保留中のCSRケースを検索します。

1. 「ケース・ステータス」フィールドで、「保留中」を選択します。

2. 「作成日」に前月の末日の日付および時間を入力します。

3. 「終了日」に24時間前の日付および時間を入力します。

4. 「検索」をクリックします。

3. すべてのケースを選択し、処置およびノートでクローズします。

1. 「検索結果」表にリストされているケースをすべて選択します。

2. 「検索結果」ツールバーで「バルク編集」アイコンをクリックします。
「バルク編集」ダイアログが表示されます。

3. 「ステータス」リストで、「クローズ済」をクリックします。

4. 処置に「問題解決済」を選択します。

5. ケースが誤って開いたままになっていたことを示すノートを入力します。

6. 「OK」をクリックします。バルク編集操作が正常に実行されたというメッセージを示す確認ダイアログが表示されます。

7. 「OK」をクリックしてダイアログ・ボックスを閉じます。

4.15.5 CSRマネージャによるバルク・ケース編集のシナリオ

CarlはDollar BankのCSRマネージャです。彼は毎朝出勤するたびにCSRケースを検索し、ステータスを確認して、必要に応じてクリーンアップします。まず、有効期限切れのCSRケースを検索します。「有効期限切れ」ステータスを持つケースが4つあるため、Carlは各ケースの作成日を確認します。すべてが2日前より古いものです。そのうちの1つには「高」の重大度が付けられており、最終アクションは「一時許可」でした。その他の3つは「低」重大度のケースであり、最終アクションは電話チャレンジでした。彼はこれら3つを選択し、有効期限切れおよび解決済の処置とともに閉じます。Carlは高重大度のケースを開き、ログを確認します。一時許可があと1週間アクティブであることがわかったため、マーカーとしてケースを「有効期限切れ」ステータスのままにします。

1. OAAM管理にログインします。
ケース検索ページが表示されます。

2. 「有効期限切れ」フィールドで、「有効期限切れのみ表示」を選択します。

3. 「ケース・タイプ」フィールドで、「CSR」を選択します。

4. 「検索」をクリックします。
「有効期限切れ」ステータスを持つケースが4つあります。

5. 「検索結果」表で、4つのケースの「作成日」列を確認します。

- すべてが2日前より古いものです。(「作成日」を確認)

- そのうちの1つには「高」の重大度が付けられており、最終アクションは「一時許可」でした。(「ケース重大度」および「最終アクション・タイプ」列を確認)

6. 3つのケースを選択し、「バルク編集」をクリックします。

7. 「ステータス」フィールドで、「クローズ済」を選択します。

8. 「処置」フィールドで、「問題解決済」を選択します。

9. 「ノート」に、有効期限切れおよび解決済と入力します。

10. 「高」重大度のケースのケースIDをクリックします。

11. 「ケース詳細」ページで、ログ・コードおよびノートのログを確認します。

4.15.6 質問の依頼フローのシナリオ

カスタマというユーザーは登録済のユーザーです。彼は過去30日間チャレンジを受けておらず、チャレンジ質問に回答する必要が発生したときには、この質問の回答を完全に忘れていました。彼は他の質問の回答は確実に覚えていますが、その質問には3回とも間違って回答しました。試す前に、彼はブロックされます。彼がカスタマ・サポートに電話をかけると、CSRがケースを作成し、チャレンジ質問を依頼します。彼女は、ユーザーが正しく回答するかロックされるまで、ユーザーの回答を入力します。ユーザーは質問に正しく回答したため、正常にログインできます。CSRは、次にログインするときにオンラインで新規質問を登録する必要があることをユーザーに通知します。CSRがケースを閉じます。

4.16 ベスト・プラクティスと推奨事項

この項では、ベスト・プラクティスと推奨事項について説明します。

- カスタマが不正があると思う場合は、重大度レベルを「高」に割り当てます。たとえば、カスタマが異なるイメージを希望している場合、割り当てられる重大度レベルは「低」です。ケースの重大度レベルは、必要に応じてエスカレーションまたはエスカレーション解除できます。サポート担当者と不正調査担当者はケースの重大度を変更できます。

- カスタマから電話で問合せを受けているときに、不正調査担当者にケースをエスカレーションする必要が発生する場合があります。たとえば、一時許可を有効にする場合、またはカスタマが自分のアカウントから資金が失われていることを電話で報告する場合に、調査担当者が調査できるようにケースをエスカレーションする必要があることがあります。

5 OAAMを使用した調査

Oracle Adaptive Access Managerには、セキュリティ・アナリストやコンプライアンス担当者が使用するための合理化された強力なフォレンジック・インタフェースが用意されています。エージェントには、調査結果および調査ワークフローの管理のためのリポジトリが用意されています。ユーザーは、容易にアラートを評価し、関連するアクセス・リクエストやトランザクションを特定して、不正や誤用を見つけることができます。セキュリティ・アナリストおよびコンプライアンス担当者は、調査を行うときにノートを記録し、疑わしいセッションをケースにリンクします。これはすべての調査結果を収集し、将来のリアルタイム・リスク分析に反映するためです。

この章の内容は次のとおりです。

- 5.1項「不正調査について」

- 5.2項「調査コンソールを使用するOAAM調査および分析の理解」

- 5.3項「調査コンソールの使用」

- 5.4項「ケースの管理」

- 5.5項「ベスト・プラクティスと推奨事項」

5.1 不正調査について

Oracle Adaptive Access Managerでは、不正や誤用を防ぐためのタスクのほとんどが自動化されています。防止は、リスクを分析し、防止措置(非常にリスクが高い状況ではアクセスのブロック、リスクが中程度の場合はKBAやOTPなどのメカニズムによるユーザーに対するチャレンジ)を取ることによって行われます。すべてのOAAMデプロイメントで、エッジ・ケース、偽陰性またはリアルタイムの禁止が不可能であるか望ましくない場合のいずれかの状況において、人による確認の方法が必要になります。これらのシナリオでは、調査担当者が各インシデントを確認し、関連するインシデントを見つけるためのフォレンジック調査を行い、将来のリスク評価において偽陽性や偽陰性が減少するような影響を及ぼすアクションを実行することが必要となります。

調査担当者が必要になるシナリオの例を次に示します。

- Jeffは、BigMartチームの不正アナリストです。彼は不正を特定するために疑わしいトランザクションを確認します。デプロイメントでは主に、ケースの手動作成および調査フローが使用されます。不正アナリストは、各調査の手始めに、重大度の高いアラートを含むトランザクションを検索します。不正が特定されたら、不正アナリストは検索を記録し、各種エンティティをブラック・リストに記載し、処置とともにケースを終了します。

- Jeffは、BigMartチームの不正アナリストです。デプロイメントでは主に、ケースの自動作成および調査フローが使用されます。アナリストは、各調査の手始めに、新しいケースを検索します。ケースが生成されたセッションを詳しく調べます。不正が特定されたら、アナリストは調査結果を記録し、各種エンティティをブラック・リストに記載し、処置とともにケースを閉じます。

- John Smithは、BigBankのカスタマ・サービスに電話をかけ、自分のアカウントからお金が失われていることを伝えます。Johnによると、先週、彼のアカウントから$129が電信送金されましたが、彼はこの送金を行っていません。SarahはBigBankのカスタマ・サービス担当(CSR)です。彼女はJohnのユーザー名jsmithを使ってケース321を開き、Johnから聞いた情報に基づいてノートを入力します。ケースのタイトルにはJohnのユーザー名が表示されるため、このケースを表示するCSRは誰でも、常にこのケースの対象ユーザーが誰なのかがわかります。Sarahはケースをエスカレーションし、24時間以内に調査担当者から連絡があることをjsmithに伝えます。MikeはBigBankセキュリティ・チームで働いています。彼は、カスタマ・サービス関連のセキュリティに関する問題の調査を担当しています。彼は「エスカレーション済」ステータスのケースを検索し、日付でフィルタします。Mikeは、CSRのSarahが新しくエスカレーションしたケースを開きます。Mikeはまず最初に、カスタマおよびユーザー固有のデータとCSRのノートを表示します。彼は、John Smithが行った、金額が$100から$200の間の電信送金トランザクションを検索します。Mikeは見つかったトランザクションを比較して、不正との共通点があるかどうかを判別します。

- Jeffは、Acme Corpのセキュリティ・アナリストです。Acmeには、デプロイメントで定義された、オンライン購入とユーザー・プロファイルを変更するトランザクションがあります。Jeffは、郵便番号が95060である住所を含むトランザクションを検索します。彼はすべてのトランザクション・タイプを選択し、address.zipcodeのフィルタを追加します。問合せを実行すると、結果に郵便番号列が表示されます。郵便番号を追加すると、残りの列の幅が調整され、使用可能な画面スペースが最適化されます。

- Jeffは、Acme Corpのセキュリティ・アナリストです。Acmeには、デプロイメントで定義された、オンライン購入とユーザー・プロファイルを変更するトランザクションがあります。Jeffは、合計金額が$500より多いE-Commerceのトランザクションを検索しています。彼はE-Commerceのトランザクション・タイプを選択し、合計金額のフィルタを追加します。「フィールドの追加」メニューには、特定のエンティティ、エンティティ・データとリンクされたエンティティ・データがすべて含まれています。問合せを実行すると、結果に合計金額列が表示されます。新しい列が追加されると、残りの列の幅が調整され、使用可能な画面スペースが最適化されます。

5.1.1 不正調査について

不正調査の目的は、不正が行われているかどうか、およびその他に関連するインシデントがないかどうかを判別するために、人間の知恵または電子的でない介入(またはその両方)が必要となるリスクの高いシナリオがセキュリティ・ポリシーによって検出された場合に、そのような状況を評価することです。不正調査担当者は、疑わしいセッションとイベント間のトランザクション・データを調査して、関連するインシデントを見つけます。OAAM調査インタフェースは、調査プロセスを簡略化および合理化するように設計されています。

5.1.2 不正調査ロールについて

調査担当者がOracle Adaptive Access Managerにアクセスし、これを使用して調査を行うには、特定の権限が付与された適切なロールを持っている必要があります。ユーザー・ロールによって、アプリケーション内でユーザーが実行できるタスクが決まります。ロールは、ユーザーが実行する作業のタイプに関連付けられます。権限も、各ロールが実行できる機能を指定するために、アプリケーション内で定義されます。ユーザーのロールおよび権限に応じて、使用できるメニューとオプションが異なります。

不正調査担当者および不正調査マネージャは、Oracle Adaptive Access Managerで提供されている標準のロールです。不正調査担当者または不正調査マネージャは、不正シナリオおよび疑わしいパターンの調査を担当します。表5-1に、不正調査担当者に関連付けられている標準の権限をまとめます。

不正調査担当者は、なんらかの理由で調査が必要であるために、CSRケースからエスカレーションされた、自動生成または手動作成のエージェント・ケースを使用して、特定の不正シナリオまたは疑わしいパターンを調査します。不正調査マネージャもケースを調査しますが、不正調査担当者は実行権限を持たないアクションも実行できます。表5-1に、不正調査担当者と不正調査マネージャの権限を並べて示します。

表5-1 不正調査ロールの権限

アクション

調査担当者の権限

調査マネージャの権限

アクション

調査担当者ロールのすべての機能

調査担当者ロールのすべての機能と特別な権限

ケースの検索

- CSRケース、エスカレーション済ケースおよびエージェント・ケースの検索

- オープン・ケースとクローズ済ケースの検索

- CSRケース、エスカレーション済ケースおよびエージェント・ケースの検索

- オープン・ケースとクローズ済ケースの検索

新規ケースの作成脚注 1

エージェント・ケースのみ

エージェント・ケースのみ

ケース詳細の表示

- エスカレーション済ケースの表示

- クローズ済ケースの詳細の表示

- エスカレーション済ケースの表示

- クローズ済ケースの詳細の表示

ケースの編集

- CSRケースとエスカレーション済ケースへのノートの追加

- エージェント・ケースのステータスと重大度の変更

- ケースのバルク編集は不可

- ケースのエスカレーション

- CSRケースとエスカレーション済ケースへのノートの追加

- クローズ済ケースを再度開く

- エージェント・ケースのステータスと重大度の変更

- ケースのバルク編集

- ケースのエスカレーション

セッションの検索

セッションの検索

セッションの検索

セッションのリンク

セッションのリンク

セッションのリンク

セッションのリンク解除

セッションのリンク解除

セッションのリンク解除

リンク・セッションの表示

リンク・セッションの表示

リンク・セッションの表示

グループへの追加

グループへの追加

グループへの追加

ケースへのリンク

ケースへのリンク

ケースへのリンク

すべてのエンティティおよびトランザクション・データをクリア・テキストで表示

不正調査担当者と調査マネージャは、すべてのエンティティおよびトランザクション・データをクリア・テキストで表示できます。他のロールでは、すべての暗号化されたエンティティまたはトランザクション・データ・フィールドでマスキングされたテキストが表示されます。

不正調査担当者と調査マネージャは、すべてのエンティティおよびトランザクション・データをクリア・テキストで表示できます。他のロールでは、すべての暗号化されたエンティティまたはトランザクション・データ・フィールドでマスキングされたテキストが表示されます。

脚注 1 デフォルトでは、調査担当者と調査マネージャのみがエージェント・ケースの作成権限を持っています。調査担当者のアクセス権のプロパティはoaam.permission.creatagentcase=oaam.perm.create.case.type.agentです。CSRは、権限が付与された場合に、エージェント・ケースへのアクセス権を得ることができます。この権限の付与の詳細は、C.2.8項「エージェント・ケースへのアクセスの構成」を参照してください。

5.1.3 マルチテナント・アクセス制御について

マルチテナント・アクセス制御では、各組織のOAAM管理コンソールへのアクセスを処理し、複数テナントの不正調査担当者およびCSRに異なる使用環境が提供されるようにします。ビジネスでは、マルチテナント・アクセス制御を使用して、不正調査担当者によるアクセスを特定の組織IDに限定できます。

たとえば、Second Bankは世界中に何百人もの不正調査担当者を抱える国際銀行です。Second Bankは、コンシューマ・バンキング・アプリケーションおよびビジネス・バンキング・アプリケーションの両方を保護するために、OAAMをデプロイしました。銀行は、コンシューマ・バンキングに関する問題を調査する不正調査担当者とビジネス・バンキングに関する問題のみを調査する不正調査担当者の2つの組織にチームを分割します。マルチテナント・アクセス制御が有効になっている場合、Second Bankでは、これらの不正調査担当者の組織それぞれに表示されるすべてのセッション、ポリシーおよびその他のデータを厳密に制御できます。コンシューマ・バンキングの不正調査担当者がケースを検索、表示、作成および編集する場合は、コンシューマ・バンキングに関連するデータのみが表示されます。同様に、ビジネス・バンキングの不正調査担当者には、ビジネス・バンキングのデータのみが表示されます。

表5-2に、OAAMにおける、マルチテナント・アクセス制御による調査担当者の使用環境をまとめます。

表5-2 マルチテナントによる不正調査担当者の使用環境

タスク

不正調査担当者の使用環境

CSRケースの作成

該当なし

エージェント・ケースの作成

不正調査担当者は、アクセス権を持っている組織のケースのみを作成できます。

ケースの検索

不正調査担当者は、アクセス権を持っている組織のケースを検索および表示できます。

ケース詳細

組織IDは、不正調査担当者が現在属している組織のIDです。不正調査担当者は、アクセス権を持っている組織に属する任意のユーザーに属するケース、またはその組織IDに関連付けられているケースのケース詳細を表示できます。

ケース・アクション

不正調査担当者は、アクセス権を持っているケースに対してケース・アクションを実行できます。

セッション検索および詳細ページ

不正調査担当者は、マルチテナント・アクセス制御が有効になっている場合、詳細ページにアクセスできなくなります。マルチテナント・アクセス制御が無効になっていても、リンクが使用可能な場合は、不正調査担当者は任意のセッション検索から詳細ページにアクセスできます。

セッションの検索

不正調査担当者は、アクセス権を持っている組織のユーザーに属するセッション、およびアクセス権を持っている組織に属するセッションを検索できます。

セッションのリンク

不正調査担当者は、アクセス権を持っている組織に属するケースにセッションをリンクできます。

また、リンクするセッションの検索では、不正調査担当者はアクセス権を持っている組織のセッションのみを表示できます。

マルチテナント・アクセス制御は、ケース管理用のデータ・アクセスに対してのみ適用されます。つまり、マルチテナント・アクセス制御は調査担当者およびCSRロールにのみ適用されます。

5.1.4 エージェント・ケースについて

OAAMには、フォレンジック調査に応じたケース管理機能が用意されています。OAAMエージェント・ケースは、不正セッションおよびトランザクションの調査を管理し実行するために使用される調査結果や調査情報に関するリポジトリです。エージェント・タイプ・ケースに固有な機能の一部を次に示します。エージェント・ケースは、次の操作を実行するために使用されます。

- 調査担当者は、ケースを利用して、調査の過程で収集された情報を取得します。

- ケースは、調査のライフ・サイクルを管理するために使用されます。

- デバイス、ロケーションおよびその他のエンティティをホワイト・リストまたはブラック・リストに記載します。

- 調査結果に基づき、将来のリスク評価に反映します。

- 調査結果をスプレッドシートにエクスポートします。

5.1.5 エージェント・ケースの作成について

不正ケースを作成する決定は、そのソースから行われます。ソースの例は次のとおりです。

- 調査担当者は、指定日から連続的にセッションを監視または分析します。緊急の対応が必要な高い不正アラートを見つけると、調査担当者はエージェント・ケースを提起します。不正調査担当者は、ケースを取得し、さらに詳細な調査を開始します。不正調査担当者は、アラート、ユーザーからの複数のブロック・セッション、デバイスからの複数のブロックされたセッション、高リスク・スコアおよびその他の状況について、エージェント・ケースを作成できます。

- 構成可能なアクションにより、チェックポイント実行後に結果アクションまたはリスク・スコア(またはその両方)に基づいてトリガーされる補足アクションとしてエージェント・ケースが自動的に作成されます。

- CSRは、なんらかの理由で調査が必要な場合にケースをエスカレーションします。

5.1.5.1 手動で作成されるケース

エージェント・ケースを手動で直接作成できるのは調査担当者のみです。エージェント・ケースの作成では、ユーザー情報は表示されず、また必要ありません。エージェント・ケースを作成するために入力する必要があるのは、組織ID、名前および説明のみです。手動で作成されたエージェント・ケースは、ケースの作成時には「保留中」ステータスになっています。

5.1.5.2 自動生成ケース

自動生成ケースは、特定のルールがトリガーされたときにエージェント・ケースを作成するアクションをセキュリティ管理者が構成している場合に作成されます。つまり、特定のイベントの結果として、新しいエージェント・ケースが動的に作成されます。このエージェント・ケースには、その対象であるセッション・データが含まれます。リンク・セッションのユーザー名がケースに自動的に付加されます。調査担当者は、調査の手始めに、ステータスが「新規」であるすべてのケースを検索します。

5.1.5.3 エスカレーション済ケース

エスカレーション済ケースは、CSRが作成した特別なケースです。ケースに関連付けられている疑わしいアクティビティがある場合に、CSRは調査担当者に調査してもらうためにCSRケースを送信します。このケースにはCSRケースを作成するために使用されたユーザーの詳細情報が含まれています。エスカレーションされたケースは、エージェント・ケースとして扱われます。これはCSRには表示されなくなります。これらのケースには「エスカレーション済」ステータスが付けられており、最初にアクセスされたときに、ステータスが自動的に「保留中」に変わります。調査担当者は、調査を開始するために「エスカレーション済」ステータスを持つケースを検索し、「重大度」列の結果でフィルタして、重大度が最高のケースが先頭に表示されるようにします。エスカレーション済ケースを開き、CSRおよびCSRマネージャが入力したノートをログで確認することがベスト・プラクティスです。たとえば、ノートには、CSRが不正なアクティビティと疑われるものを見つけたために、CSRケースをエージェント・ケースにエスカレーションしたことが示されています。ログには、ケースが作成され、エスカレーションされ、アクセスされてから、ステータスが変更されたことが示されています。

「エスカレーション済」ステータスによる検索の例に、CSRマネージャがCSRケースをエスカレーションする場合があります。Mattは、カスタマ固有のセキュリティに関する問題を専門とする不正調査担当者です。彼は、「エスカレーション済」ケース・ステータスを持つすべてのケースを検索します。

エスカレーション済ケースの有効期限が切れると、期限切れフラグがそのケースに設定され、調査担当者にこのケースに対応する必要があることが通知されます。たとえば、エスカレーション済ケースが24時間に設定され、このケースが開いた状態で24時間を超えてアクセスされない場合、フラグが「有効期限切れ」に設定されます。

不正調査担当者が有効期限が切れたケースにアクセスすると、このケースは再アクティブ化され、有効期限が24時間(または構成されている時間だけ)延長されます。ケースの有効期限の構成の詳細は、C.2.7項「エージェント・ケースの有効期限動作の構成」を参照してください。

5.1.6 調査ワークフローについて

OAAMでは3つのワークフローが用意されているため、調査担当者は不正なトランザクションを容易に調査できます。調査ワークフローには、ランタイム・データを検索および比較し、関連インシデントを特定し、調査結果を取得して、将来のリスク分析に反映するためのインタフェースが含まれています。各カスタマ・デプロイメントでは通常、ビジネス・ニーズに合わせて次の3つの共通ワークフローの組合せが使用されます。

- アラート中心

- 自動生成

- エスカレーション済

調査を開始するための手順は、デプロイメントのタイプによって異なります。次の表に、調査ワークフロー・タイプごとの手順とプロセスの開始方法を示します。

表5-3 調査ワークフロー

調査フロー

説明

手順

アラート中心

デプロイメントでは主に、ケースの手動作成が使用されます。新規エージェント・ケースは、疑いのあるアクティビティまたは不正なシナリオが検出され、調査が必要な場合に作成されます。

このプロセスは、次のとおりです。

1. セッションおよびトランザクションにおける高アラートの検索

2. 確認する疑わしいトランザクションの検索

3. トランザクションおよびエンティティ・データの表示

4. 関連するセッションとトランザクションの識別

5. 「フィルタ済トランザクション」ページからのトランザクションの表示

6. トランザクションとカスタマ詳細のパラメータの比較

7. エージェント・ケースへのセッションのリンクについて

8. 不正なトランザクションで使用されたデータ要素のグループへの追加

9. 処置とともにケースを閉じる

自動生成

デプロイでは主に、ケースの自動作成が使用されます。セキュリティ管理者は、特定のルールがトリガーされた場合にエージェント・ケースを作成するアクションを構成します。ルール(単数または複数)がトリガーされると、アクションおよびアラートの他に、ケースが自動生成されます。自動生成されたケースでは、トランザクションの確認が必要です。

このプロセスは、次のとおりです。

1. 現在のステータスが「新規」である自動生成されたエージェント・ケースとオープン・ケースの検索

2. リンク・セッションの表示

3. トランザクション・データおよびサマリー・データなどの関連トランザクションの詳細の表示

4. 関連するセッションとトランザクションの識別

5. トランザクションまたはセッション指向の結果の表示

6. 同じトランザクションの複数インスタンスの比較

7. セッションをケースにリンクするトランザクションの選択

8. ケース・ノートの追加

9. 「グループに追加」オプションについて

10. 処置とともにケースを閉じる

エスカレーション済

デプロイでは、カスタマ・サービスのエスカレーション済ケースおよび調査フローが使用されます。CSRは、不正アクティビティを疑うと、調査担当者が調査できるようCSRケースをエスカレーションします。ケースはエージェント・ケースになります。このケースはカスタマ・サービス・ケースに基づくため、特定のユーザーの情報が詳細に含まれます。

1. 新しくエスカレーションされたケースを開く

2. ケース・ログの表示

3. セッションおよびトランザクション検索ページについて

4. トランザクションおよびエンティティ・データの表示

5. トランザクションとカスタマ詳細のパラメータの比較

6. セッションをケースにリンクするトランザクションの選択

7. ケース・ノートの追加

8. 処置とともにケースを閉じる

アラート中心の調査フロー

不正調査担当者は、各調査の手始めに重大度の高いアラートを含むセッションまたはトランザクションを検索し、疑わしいトランザクションを確認して不正を特定します。調査担当者は、インシデントに関係するデータを表示し、OAAMによって取得された複雑なデータ関係を使用して、関連する状況を検索します。また、データをリンクするケースを作成し、調査対象を絞り込みます。不正を特定したら、調査担当者は調査結果を記録し、エンティティをブラックリストに記載して、処置とともにケースを閉じます。

Henryは、Big MartのオンラインE-Commerce部門のセキュリティ・アナリストです。Henryは、OAAM調査インタフェースから「トランザクションの検索」ページを開きます。彼は「トランザクションの検索」ページで、「トランザクション・タイプ」に小売りE-Commerceを選択し、「アラート・レベル」に「高」を選択して、重大度が高のアラートを持つ、過去1時間以内のオンライン注文トランザクションを問い合せます。

検索結果に7件のトランザクションが返されます。「検索結果」表に、トランザクション、トランザクション・タイプ、トランザクション・ステータスおよびアラートが示されます。「検索結果」表には「トランザクション日」列も含まれており、これは昇順または降順でソートできます。Henryは「トランザクション日」列ヘッダーの下アイコンをクリックして、昇順タイムスタンプにより結果をフィルタします。トランザクション検索ページで、Henryは最初のトランザクションを選択し、その詳細を表示します。「検索結果」表で、彼が「アラート」列の高アラートの横にあるオレンジ色の四角をクリックすると、ポップアップ画面に高アラートの合計数とアラート・メッセージが表示されます。ポップアップ画面には、1つの高アラートが使用頻度の低い複数のクレジット・カードを持つデバイスというメッセージとともに表示されます。

Henryはこれを見て、「検索結果」表の「トランザクションID」をクリックし、「トランザクション詳細」ページを開きます。「トランザクション詳細」ページでは、セッション情報とともに、トランザクションおよびエンティティ・データのランタイム値といったトランザクションの詳細を表示できます。このトランザクションは疑わしいため、先週に同じクレジット・カードとデバイスを使用している他のトランザクションを検索します。ユーティリティ・パネルの「フィルタ」パネルでは、セッションおよびトランザクションに対し目的の検索を同時に実行するための簡単な方法が提供されています。彼は詳細ページから「フィルタ」パネル領域にクレジット・カード番号とデバイスIDをドラッグ・アンド・ドロップし、「時間範囲」フィールドで「週」を選択して、過去1週間に行われたトランザクションとセッションをフィルタします。ユーティリティ・パネルで「検索」ボタンをクリックしてトランザクションをフィルタし、クレジット・カードとデバイスIDに基づいて関連のあるセッションとトランザクションを特定します。

ユーティリティ・パネルの「一致するアイテムが見つかりました」セクションには、セッションもトランザクションも返されません。検索からデバイスIDを一時的に除外するために、「デバイスID」ラベルの前にあるチェック・ボックスの選択を解除し、「検索」をクリックして問合せを再度実行します。「一致するアイテムが見つかりました」セクションには、セッションもトランザクションも返されません。クレジット・カード番号のチェック・ボックスの選択を解除して検索からクレジット・カード番号を除外し、「フィルタ」パネルの「デバイスID」の前にあるチェック・ボックスを選択して、「検索」をクリックし、問合せを再度実行します。20件のトランザクションと4件のセッションが返されます。ユーティリティ・パネルを使用して、関連するセッションとトランザクションを簡単に見つけることができました。

Henryは、ユーティリティ・パネルの「一致するアイテムが見つかりました」セクションで「トランザクションの数」リンクをクリックし、デバイスIDによってフィルタされたトランザクションを表示します。「フィルタ済トランザクション」・ページに、トランザクションのリストが表示されます。Henryは、トランザクションの詳細をまとめて確認したいと思っています。「フィルタ済トランザクション」ページで「トランザクションの表示」フィルタを適用し、表示されているトランザクションの中から最初の6件を比較のために選択して、検索結果ツールバーの「比較」ボタンをクリックし、「トランザクションの比較」タブを開きます。デフォルトでは、最大10件のトランザクションを比較できます。彼はトランザクションおよびエンティティ・データを比較対照します。「連結解除」ボタンをクリックして結果を連結解除し、使用可能な画面スペースを広げます。一致の詳細を強調表示するために、「一致の強調表示」チェック・ボックスを選択し、「前」または「次」矢印をクリックして、一致するデータ要素を上から下に順に強調表示します。強調表示によって、視覚的な比較が可能になり、一致しているデータ要素を見つけることができます。表示されたデータから、各トランザクションで異なるカードを使用して、それぞれ1つの高額アイテムを購入していることがわかります。

Henryは、「トランザクションの表示」フィルタを再度使用して、次の6件を比較のために選択します。彼は、オンライン購入動作において、不正を示す異常なパターンを検出しようとしています。同じパターンが存在します。Henryは、このデバイスを監視リストに追加する必要があると判断します。

トランザクションの比較画面から、Henryはセッション・データ・リストでデバイスIDを選択し、「グループに追加」機能を使用してそれを高リスク・グループに追加します。調査担当者は、「グループに追加」を使用して、該当する管理グループにエンティティ、トランザクション・データおよびセッション要素を追加し、問題のさらに詳細な調査、予測モデルの再作成およびルールの評価に役立てることができます。該当するグループが存在しない場合は、作成できます。

次にHenryは、すべてのトランザクションを選択して、新規ケースに追加します。選択したトランザクションが行われたセッションがケースにリンクされます。セッションおよびトランザクションをケースにリンクすることにより、調査担当者は、不正の可能性がある、潜在的な調査対象のアクティビティに関する仮説を立てることができます。調査担当者は、調査に関係がある可能性のあるセッションをいくつでもリンクできます。彼は調査結果に関するノートを入力し、「確認済不正」の処置をしてケースを閉じます。クローズ済ケースとは、問題が解決されているため、それ以上の調査を必要としないケースのことです。クローズ済ケースには、そのケースでどのように問題が解決されたかを記述する処置が含まれます。

自動生成ケースの調査フロー

調査担当者は、各調査の手始めに、特定のイベントの結果として動的に作成された新規エージェント・ケースを検索します。彼は「新規」ステータスを持つすべてのケースを検索します。不正調査担当者は、最初のケースを選択します。セッションはすでにケースにリンクされているため、彼はそのケースが生成されたセッションを詳細に調査します。リンクされたセッションで、ケースおよびその他のデータを確認します。調査担当者は、インシデントに関係するデータを表示し、OAAMによって取得された複雑なデータ関係を使用して、関連する状況を検索します。不正を特定したら、調査担当者は調査結果を記録し、エンティティをブラックリストに記載して、処置とともにケースを閉じます。

セキュリティ管理者は、特定のルールがトリガーされた場合にエージェント・ケースを作成するアクションを構成します。(詳細は、第16章「構成可能なアクションの管理」を参照してください。)これらの自動生成されたケースでは、トランザクションの確認が必要です。詳細ページには、調査担当者がこのタスクを完了するために必要な情報が含まれています。自動生成されたケースのワークフローの例を次に示します。

Johnは、銀行の不正調査担当者です。Johnは、ブロックされたアクセス・リクエストの結果として動的に作成された新規エージェント・ケースを検索します。

Johnは、リスト内の自動生成されたケースの1つを開き、その処理を開始します。ケースのステータスが自動的に「新規」から「保留中」に変わり、現在のケース所有者がJohnになります。他の調査担当者が、このケースが現在使用中であることを判別できるようになります(ケースの所有者がJohnになり、ステータスが「新規」ではなく「保留中」であるため)。ケースcase_numberが自動的に作成されたときにブロックされたセッションがそのケースにリンクされたため、すべてのセッション・データが取得されて確認できるようになっています。これには、そのセッションでトリガーされた一連のアラートがすべて含まれます。Johnは、5つの異なるアラートがトリガーされたセッションを確認します。Johnは、アラート・メッセージを読んで、この状況で何が発生したのかを容易に理解できます。匿名プロキシであることがわかっているIPからアクセスが試みられたために、高アラートが生成されたことがわかります。匿名プロキシは本当の地理的位置を隠すために犯罪者によって使用されることが多いため、匿名プロキシが使用されている間、銀行のセキュリティ・ポリシーによってバンキングが制限されます。

JohnはこのIPアドレスをクリックして、さらに調査するためにロケーションの詳細を確認します。最も重大度の高いアラートは、IPアドレス(匿名プロキシ)に関するものであることがわかります。これによって、隣のユーザー・インタフェース・タブにIPアドレス詳細ページが開きます。Johnは、「ユーザー」タブを選択し、この高リスクIPアドレスから利用しているユーザー・アカウントを確認します。このロケーションから行われているアクティビティに関与している可能性のある銀行ユーザーが4人いることがわかります。

JohnはIP詳細ページの「セッション」タブをクリックし、このIPアドレスからのセッションをリストします。

彼はすべてのセッションを選択して、作業中のケースcase_numberにリンクします。このようにして、検出したデータと、これらのアクションを実行する理由に関するノートを収集します。このケースでは、すべてのセッションがブロックされていますが、ブロックされていないセッションがある場合には、さらに追跡調査できるようそれらのセッションをケースにリンクすることが非常に有用です(詳細ページのデータを相互参照できない場合、そのような状況を検出できない可能性があるため)。

これで、リンクされたセッションのデータがすべて、ケースcase_numberに取得されました。Johnは、これらのブロックされたアクセス試行で同じデバイスdevice_numberが使用されていたことを確認しました。

Johnはデバイスdevice_numberをクリックして、「デバイス詳細」ページを開きます。「デバイス詳細」で調査担当者は、このデバイスのデータの関係およびセッションも表示できるほか、デバイス自体のフィンガープリント処理の詳細も表示できます。たとえば、使用されたブラウザのロケールです。

Johnは「アラート」タブを開き、アラートのタイプおよびこのデバイスに関連してアクティビティからそれぞれ生成されたアラートの頻度を表示します。たとえば、アノニマイザ・アラートの集計件数は4件であることを表示できます。

Johnはさらに、関連する4つのカスタマ・アカウント所有者に電話をかけて、彼らがこれらのブロックされた試行を行っていないことを確認します。このインシデントについて十分な調査を行ったと考え、不正を確認したので、Johnはこのケースを閉じ、次のインシデントに進むことができます。ケースを閉じる前に、Johnはリンク・セッションをスプレッドシートにエクスポートします。

Johnは、このデバイスは不正なアクセス試行でのみ使用されていると確信したため、このデバイスをブラックリストに記載する必要があると判断します。Johnは、詳細ページから直接デバイスを「制限付きデバイス」グループに追加します。これによって、このデバイスは、他のセッション・データが有効であるように見え、他にトリガーされたルールがなくても、オンライン・バンキングへのアクセスに使用できなくなります。これは非常に重要です。不正の実行者はアプリケーションのセキュリティを何度もテストして、バイパス方法を調べることがよくあるからです。デバイスのフィンガープリントは、不正な試行間で変わらない1つのデータ・ポイントである場合があります。

Johnは、調査結果を要約したノートとともに、確認済の不正としてケースを閉じます。彼のマネージャまたは監査者は、行われたアクション、ノートおよび関与したユーザーを含む、ケース・アクティビティのすべてのログを確認できます。

ケースは「確認済不正」としてマークされているため、不正なアクセス・リクエストで検出された特定のデータの組合せが、リスク評価エンジンに自動的に取り込まれ、不正がどのようなものであるかが学習されます。これによって、将来のリスク評価の正確性が高まります。同様に、確認したアラートが不正によるものではないとわかった場合、Johnはケースを「不正ではない」とマークして閉じます。この場合にも、偽陽性を減らすように将来のリスク評価が調整されます。

エスカレーション済エージェント・ケースの調査フロー

調査担当者は、調査の手始めに、「エスカレーション済」ステータスを持つケースをすべて検索します。彼は、「重大度」列の結果をフィルタして、最も重大度の高いケースが先頭に表示されるようにします。エスカレーション済ケースを開き、CSRおよびCSRマネージャが入力したノートのログを表示します。ケース内のユーザーに基づいてセッションを検索します。調査担当者は、インシデントに関係するデータを表示し、OAAMによって取得された複雑なデータ関係を使用して、関連する状況を検索します。不正を特定したら、調査担当者は調査結果を記録し、エンティティをブラックリストに記載して、処置とともにケースを閉じます。

Mattは、カスタマ固有のセキュリティに関する問題を専門とする調査担当者です。彼は、「エスカレーション済」ケース・ステータスを持つすべてのケースを検索します。

調査担当者は、他の調査担当者が使用中のケースを開かないことがベスト・プラクティスです。調査担当者が初めてケースにアクセスすると、ステータスが自動的に「保留中」に変わります。これによって調査担当者は、他の調査担当者がすでにそのケースを使用しているかどうかを判断できます。Mattは、エスカレーション済ケースを開きます。ステータスが自動的に「エスカレーション済」から「保留中」に変わり、現在の所有者がMattになります。エスカレーション済ケースを開き、CSRおよびCSRマネージャが入力したノートをログで確認することがベスト・プラクティスです。彼らが不正アクティビティを疑ったために、CSRケースがエージェント・ケースにエスカレーションされたことがわかります。このケースはカスタマ・サービス・ケースに基づくため、特定のユーザーの情報が詳細に含まれます。Mattはケースの詳細およびjsmithがユーザーであるというノートを確認します。彼はセッションの検索に必要となるため、ユーザーIDを書き留めます。

Mattは「リンク・セッション」タブに移動して、jsmithというユーザーIDでセッションを検索するために「リンク・セッション」を開きます。jsmithはセッションを持っているため、Mattは日付とタイムスタンプでフィルタして最新のセッションを検索します。Mattは、エスカレーションの原因となった最新のセッションを見つけようとしています。

アラート・メッセージを確認して、何が発生したのかを理解します。匿名プロキシであることがわかっているIPからアクセスが試みられたために、高アラートが生成されていました。MattはこのIPアドレスをクリックして、調査するためにロケーション・ログインの詳細を確認します。過去の他のロケーションを確認して、不正が行われた可能性があるかどうかを判別します。他にも質問があるため、彼は実際のユーザーjsmithに電話をかけて話をし、メモを取ります。納得のいく結論が出たら、Mattは処置とともにケースを閉じます。

5.1.7 ケースの所有権について

最初は、ケースを作成した調査担当者が、そのケースの現在の所有者です。別の不正調査担当者が作業するケースを開くと、そのケースの現在の所有者になります。

ケースのデータに複数の不正調査担当者がアクセスすると、エージェント・ケースが同時にアクセスされます。2人の不正エージェントが同時に1つのケースにアクセスすると、そのケースが別のエージェントによって作業されていることが警告メッセージによって2番目のエージェントに通知されます。両方のエージェントはケースにノートを追加でき、これら両方のエージェントのノートが保存されます。ノートは追加したエージェントに帰属します。2番目のエージェントが作業を続けている場合は、そのケースの所有者になります。

最初はエージェント・ケースを作成した調査担当者が現在の所有者

最初は、ケースを作成した調査担当者が、そのケースの現在の所有者です。

1. 調査担当者がシステムにログインします。

2. 調査担当者がケースを作成します。
「ケース詳細」ページが表示されます。

- 「ケース・ステータス」は「保留中」です。

- 「作成者」フィールドに調査担当者が表示されます。

- 「現在の所有者」フィールドに調査担当者が表示されます。

- このケースはユーザーを対象に作成されたものではないため、ユーザーの詳細は表示されません。

現在ケースを使用中の調査担当者が現在の所有者

現在ケースを使用中の調査担当者が現在の所有者です。

調査担当者がケースを開くとすぐに、次の詳細が「ケース詳細」ページに表示されます。

1. 「現在の所有者」が、前の所有者からケースを開いた調査担当者に変わります。

2. 「作成者」フィールドには引き続きケースを作成した調査担当者が示されるか、ケースが自動的に生成されたことが示されます。

3. ケースのステータスは「保留中」です。

ケースをエージェント・ケースにエスカレーションしたCSRにはそのケースへのアクセス権がない

CSRはケースをエスカレーションするとすぐに、検索結果表でそのケースを表示できなくなります。

1. CSRがシステムにログインします。

2. 新しいケースを作成します。

3. ケースをエージェント・ケースにエスカレーションし、ノートを追加します。

4. ここで、CSRはそのケースの詳細を表示する権限を失います。

5. 調査担当者がケースを開くと、次のことが行われます。

1. 「現在の所有者」が、CSRから調査担当者に変わります。

2. 「作成者」フィールドには引き続きCSRが表示されます。

3. ケースのステータスは「保留中」です。

ケースの同時アクセスでの所有権

1. Investigator1がログインし、ステータスが「新規」であるケースを検索します。

2. ケースが結果に表示されます。たとえば、ケースIDが132であるケースなどです。

3. Investigator2がログインし、ステータスが「新規」であるケースを検索します。

4. Investigator2も検索結果でケースID 132のケースを確認できます。

5. Investigator2がケースを開くと、ステータスが「保留中」に変わります。

6. Investigator2がこのケースの現在の所有者です。

7. Investigator1には、このケースは引き続き「新規」として結果に表示されます。

8. Investigator1がこの新しいケースを開こうとしますが、Investigator2がこのケースの現在の所有者であるというメッセージが表示され、続行するかキャンセルするかを選択できます。

9. Investigator1がキャンセルを選択した場合は、何も行われず、Investigator2が現在の所有者のままになります。

10. Investigator1が続行を選択すると、現在の所有者になり、ケースのステータスが「保留中」になります。

2人の調査担当者による1つのケースへのノートの追加

OAAMではケースへの同時書込みアクセスが可能であるため、2人の不正エージェントがそのケースにノートを追加すると、両方の不正エージェントのノートが保存されます。ノートは入力した不正エージェントに表示され、そのエージェントに帰属します。

5.1.8 調査のためのエージェント・ケースの使用について

Oracle Adaptive Access Managerのエージェント・ケースは、不正なアクティビティの調査を管理するために使用されます。エージェント・ケースは、疑わしいデータとして特定されたランタイム・データを取得し、調査ノート用にリポジトリを提供し、将来のリスク分析を向上するエンジンに調査結果をフィードバックするために作成されます。エージェント・ケースが作成された後の調査担当者の主な目的は、不正が行われているかどうかの特定を助けることです。この目的を達成するために、調査担当者は詳細ページを使用し、ページを比較して関係、パターンまたは履歴パターンを特定します。検索および詳細ページで、不正調査担当者は次の操作を実行できます。

- 個別のセッションを詳細に調べて、アラートが出される原因となった一連のイベントを特定します。

- 異なるデータ型間の複雑な関係を表示および検索します。

- 調査フローから外れずに、エンティティをホワイト・リストやブラック・リストに記載します。
これは、リスク評価にフィードバックされます。たとえば、高リスク・デバイス・グループです。

- 調査をさらに絞り込むために、セッション・データをケースにリンクします。

不正調査担当者は、OAAMにより取得された複雑なデータ関係を簡単に利用して、インシデントに関連するデータをすばやく表示したり、関連する状況をすぐに見つけることができます。次に、そのケースが不正であるか不正でないかを判別し、処置とともにケースを閉じます。

5.1.9 ケースのクローズについて

調査が完了すると、ケースは処置とともに閉じます。処置には、ケースがどのように解決されたか、および調査結果が将来のリスク評価にどのように反映されるかの両方が要約されています。

5.1.10 エージェント・ケースのフィードバックについて

エージェント・ケースでは、クローズ済の調査結果をリスク・エンジンにフィードバックして、将来の評価の正確性を自動的に向上します。デプロイメントで予測リスク分析を利用している場合、標準のクラスタリング・モデルでは、「確認済不正」および「不正ではない」と処置されたケースに含まれているセッションが考慮されます。

たとえば、調査担当者がエージェント・ケースを作成し、複数の不正なセッションをそのケースにリンクします。その後、調査担当者は「確認済不正」の処置とともにケースを閉じます。予測モデルは「n」時間ごとに再作成され、「確認済不正」の処置をされたケースにリンクされているセッションのデータが反映されます。調査担当者は、モデルの再作成頻度を決定できます。システム内の各セッションは、不正なセッションとの類似度を確認するために比較されます。類似度が高いほど、リスクが高くなります。評価の例は、確認済の不正ケースにリンクされているすべてのセッションに基づいて、確率が50%より高いログイン・セッションが不正であるかどうかがあります。

5.2 調査コンソールを使用するOAAM調査および分析の理解

OAAM不正調査担当者は、OAAM調査インタフェースを使用してエージェント・ケースを作成したり管理できます。このインタフェースにより、不正調査担当者は次のことができます。

- セッションおよびトランザクションのランタイム・データの表示

- トランザクションの比較

- 主要なオブジェクト、ユーザーおよびエンティティのドリルダウンの実行

- エージェント・ケースの管理

- 検索または比較に使用するデータ・ポイントの簡単な追加または削除

不正調査担当者は特定の検索を行って、収集された一連のデータや情報から何かを発見したり、隠された真実を見つけて、疑わしいトランザクションを検出できます。グループに追加されたデータ要素に対し、リスク分析を実行できます。

調査インタフェースの5つの主要ページおよびパネルは次のとおりです。

- エージェント・ケースの検索

- セッション検索

- トランザクション検索

- ユーティリティ・パネル

- ケース・ノート

図5-1に、調査インタフェースの「検索結果」表とそのツール・バー、ユーティリティ・パネルおよび「ケース・ノート」を示します。変わらないタブも必ず表示されます。

図5-1 調査インタフェース

この項では、調査担当者が調査ワークフローをナビゲートするために使用する主要なコンポーネントについて説明し、特に調査を行いエージェント・ケースを処理するために必要なツールについて詳しく説明します。詳細は、次の項を参照してください。

- エージェント・ケース検索ページについて

- セッションおよびトランザクション検索ページについて

- ユーティリティ・パネルについて

- 「ケース・ノート」パネルについて

- 「トランザクションの比較」タブについて

- フィールドの追加と削除について

- 「グループに追加」オプションについて

- エージェント・ケースへのセッションのリンクについて

- エージェント・ケース・タブについて

5.2.1 エージェント・ケースの検索ページについて

エージェント・ケースの検索では、調査担当者は、基準を満たすケースとして関心を持ったケースを検索できます。「検索結果」表には、その調査担当者がアクセスできるケースのリストが、詳細表示へのリンクとともに表示されます。このページでは、次のタスクを実行できます。

- 検索基準に基づくケースへの簡単なアクセス

- 新規ケースの作成

- ケースのリストの表示

注意:

環境がアップグレードされている場合、前のリリースのエージェント・ケースも引き続き表示されます。

たとえば、調査担当者は特定のイベントの結果として作成された新しいエージェント・ケースを動的に検索できます。

5.2.2 セッションおよびトランザクション検索ページについて

セッションおよびトランザクション検索ページでは、調査担当者はトランザクション中心の方法でOAAMランタイム・データを検索できます。日付範囲、アラート・タイプ、レベルなどデフォルトのフィルタを使用して検索できます。また、必要なフィルタを追加して構成することも可能です。構成したフィルタは後で再使用するために保存できます。

たとえば、調査担当者は調査の手始めに、過去24時間以内の、特定のアラート・レベルの小売りE-Commerceのトランザクションを検索します。

トランザクション検索では、次の機能が提供されます。

- グループに追加

- 比較

- ケースへのリンク

- Excelにエクスポート

5.2.2.1 セッション検索

セッション検索ページでは、調査担当者は様々なフィルタ基準に基づいて疑わしい可能性のあるセッションを検索できます。続いて、調査担当者は、セッションに含まれる次のような認証およびエンティティ情報に基づいて、調査が必要なセッションを判別できます。

- ユーザー情報

- ログインするためにユーザーが使用したデバイス

- ユーザーのログイン元のロケーション

- デバイスのフィンガープリントの詳細

- トリガーおよび生成されたアラート

- トランザクション

表5-3に、検索およびフィルタの基準が表示されたセッション検索ページを示します。

図5-2 セッション検索ページ

5.2.2.2 トランザクション検索

「トランザクション」検索ページでは、調査担当者は、調査において不正を特定するために確認できる重要な詳細について、トランザクションを検索およびフィルタできます。各トランザクションのデータおよびコンテキストは、暗号化されたデータ・フィールドにも使用できます。トランザクション検索を使用することにより、調査担当者は、トランザクション定義に基づいて作成された関連するトランザクション・データおよびランタイム・データを見つけ、エンティティ間の関係を表示できます。また、ユーザー・アクティビティを深く把握することにより、不正が行われた可能性を分析できます。

注意:

「トランザクションの検索」は、調査担当者または調査マネージャ・ロールのみが使用できます。

図5-3に、「トランザクションの検索」ページを示します。

図5-3 トランザクションの検索

5.2.3 ユーティリティ・パネルについて

調査ユーティリティ・パネルには、セキュリティ・アナリストやコンプライアンス担当者が調査プロセスにおいて何度も実行するような共通の操作のための永続的なインタフェースが用意されています。これは検索専用であり、OAAMワークフローのすべてのページから簡単にアクセスできます。これは、共通データに基づき、互いに関連するセッションおよびトランザクションを迅速に見つけるために使用されます。

ユーティリティ・パネルは次のもので構成されます。

- 「フィルタ・アイテム」パネル
「フィルタ」パネルは、関連するセッションおよびトランザクションを迅速に検索するために使用されます。

- 「ケース・ノート」パネル
調査担当者は、ユーティリティ・パネルを使用して、ケース・ノートに調査結果をいつでも取り込めます。

開いているケースがない場合、調査担当者は簡単に既存のケースを検索して開くか、パネルを使用して新規ケースを作成できます。

調査担当者は、ユーティリティ・パネルを使用して次のことを行えます。

- 共通のデータを持つセッションおよびトランザクションを迅速に特定します。

- 問合せを繰り返して、結果を拡大および縮小します。

- 検出されたセッションおよびトランザクションの合計数を表示し、調査を拡大するために詳細を確認します。

「フィルタ」パネルでは、セッションおよびトランザクションに対する目的の検索を同時に実行するための簡単な方法を提供します。調査担当者は、ケースの「リンク・セッション」タブ、セッション検索、トランザクション検索およびトランザクションの比較などの様々なページから、個別のデータ・ポイントをドラッグ・アンド・ドロップします。または、コンテキスト・メニューを右クリックして、データ・ポイントを追加することもできます。フィルタとして使用できるデータ・ポイントには、ユーザー名、デバイスID、IP、市区町村、都道府県、国、トランザクション・データおよび実質上その他すべてのランタイム・データがあります。

フィルタは簡単に追加、無効化または削除できます。問合せ結果は、指定の時間範囲内にある、アクティブ・フィルタに一致するセッションおよびトランザクションの合計数です。合計数をクリックすると、セッションまたはトランザクションのリストが表示されます。

5.2.4 「ケース・ノート」パネルについて

ユーティリティ・パネルの「ケース・ノート」領域には、現在のケースに関するすべてのノートが時間の降順で表示されます。ノートをケースに追加すると、調査担当者は、検索結果、非表示の関係または通常と異なる動作を記録および共有できます。調査担当者は、調査を続行しながら、いつでもノートを追加して「ノートの追加」をクリックすることにより、「ケース・ノート」パネルに直接ノートを追加できます。検索結果を記録する過程で、調査担当者はフィルタ基準を保存して、他の調査担当者がそのケースの関連データ・ポイントを確認できるようにすることができます。調査担当者が追加できるノートの数に制限はありません。調査担当者がさらにノートを追加する必要がある場合、パネルにはスクロール機能が備わっています。検出プロセスを時間に沿って追跡することにより、調査担当者は他の不正調査担当者と結果を共有したり、どのように結論に達したかを他の人に示すことができます。

注意:

OAAMでは、2人のユーザーが1つのケースに同時にアクセスできます。2人のユーザーがいずれもケースにノートを追加すると、OAAMでは両方のユーザーのノートが保存されますが、2番目のユーザーのノートは1番目のユーザーによって追加されたものとして示されます。

5.2.5 「トランザクションの比較」タブについて

エンティティのパラメータおよびトランザクションの詳細を比較して、関係を識別できます。同じトランザクション定義タイプの複数のトランザクション検索結果を選択して、検索結果ツールバーで「比較」ボタンをクリックすると、「トランザクションの比較」タブが開きます。デフォルトでは、最大10件のトランザクションを比較できます。

トランザクションおよびエンティティのデータを比較対照できます。

一致する詳細を強調表示して焦点を当てることができます。

疑わしいトランザクションに関係する追加のデータ要素を1つずつドラッグ・アンド・ドロップし、評価が必要な他のアクティビティがあるかどうかを確認できます。

5.2.6 フィールドの追加と削除について

調査担当者は、セッションおよびトランザクション検索ページを使用して、トランザクション中心の方法でOAAMランタイム・データを検索できます。日付範囲、アラート・タイプおよびレベルといった一般的な問合せフィルタがデフォルトで表示され、その他に必要なフィルタを追加および構成できます。構成したフィルタは再使用のために保存できます。

5.2.7 「グループに追加」オプションについて

調査担当者は、「グループに追加」を使用して、該当する管理グループにエンティティ、トランザクション・データおよびセッション要素を追加し、問題の追加調査、予測モデルの再作成およびルールの評価に役立てることができます。たとえば、調査担当者があるデータ要素(クレジット・カード)が疑わしいことを見つけ、そのクレジット・カードをブラックリストに記載するとします。調査担当者は、購入で使用されたクレジット・カードを高リスクのクレジット・カード・グループに追加できます。該当するグループが存在しない場合は、作成できます。

「グループに追加」機能は、次のものに示されているすべてのデータ型で使用できます。

- リンク・セッション

- セッション検索

- セッション詳細

- トランザクションの検索
選択したトランザクションのセッションに関連付けられているデータ型をグループに追加できます。

- トランザクション詳細
選択したトランザクションのセッションに関連付けられているデータ型をグループに追加できます。

- トランザクションの比較
選択したトランザクションのセッションに関連付けられているデータ型をグループに追加できます。トランザクション比較ページの「グループに追加」は、表示されているトランザクションにのみ適用されます。(たとえば、調査担当者が検索ページから比較用に4件のトランザクションを選択したが、2件のトランザクションのみが表示されるようにビューをフィルタした場合、「グループに追加」ではこの2件の表示されているトランザクションの要素のみを追加します。)

5.2.7.1 グループへのデータ追加のシナリオ

Jeffは不正調査担当者であり、OAAMにより生成されたケースを調べています。詳しい調査の結果、使用されたクレジット・カードが盗難されたクレジット・カードであることがわかりました。このクレジット・カードは、ショッピング・カート、小売りE-Commerceなどの様々なトランザクションで使用された可能性があります。調査担当者は、過去1週間以内にこのクレジット・カードが使用された異なるトランザクションをすべてリストして、損害を見積もります。カード番号は、エンティティ・フィールドの1つです。調査担当者はすべてまたは複数のトランザクション・タイプを選択して、エンティティ・フィールドで検索します。

フィルタ

選択項目

トランザクション・タイプ

すべてのトランザクションを選択

エンティティ

クレジット・カード

クレジット・カード番号

xxxx xxxx xxxx 1881

トランザクション・データを検索するにあたり、Jeffはこのクレジット・カードが使用されたすべてのトランザクションを取得します。これで、トランザクションを選択して、「グループに追加」ボタンをクリックできるようになりました。グループに追加する宛先アカウント番号などのトランザクション・データを選択するためのダイアログが表示されます。ダイアログでこのフィールドに関連付けられているラジオ・ボタンを選択し、「次」をクリックします。

次のページでは、このデータをグループに追加できます。このタイプのデータを格納するグループの新規グループを作成するか、既存のグループを使用できます。

5.2.8 エージェント・ケースへのセッションのリンクについて

調査担当者は、セッションと関連するアクティビティの間に関係があると考えた場合、これらのセッションを検索して既存のケースまたは新規ケースにリンクできます。リンク・ノートおよび説明を追加します。

ケースにセッションをリンクすることにより、調査担当者は、不正の可能性がある、潜在的な調査対象のアクティビティに関する仮説を立てることができます。調査担当者は、調査に関係がある可能性のあるセッションをいくつでもリンクできます。たとえば、調査担当者は類似した不正が含まれることが判明した3つのセッションを識別できます。セッションはセッション検索から選択し、既存のケースにリンクできます。選択したトランザクションが発生したセッションがケースにリンクされます。コンソールでエージェント・ケースがオープンされている場合、ケースIDがリンク先のケースとして自動選択されます。調査担当者が値の変更を必要としているか、ケースがオープンしていない場合、調査担当者はログアウトしてから再度ログインし、「トランザクション」タブで検索ツールを使用してリンク先となる別のケースをオープンすることができます。リンク先として新しいケースを作成することもできます。

また、セッションがケースとは無関係になった場合には、このケースにすでにリンクされている1つ以上のセッションのリンクを解除することもできます。

調査担当者は、次のページからケースにセッションおよびトランザクションをリンクできます。

- セッション検索

- セッション詳細

- トランザクションの検索

- トランザクション詳細

- トランザクション比較

5.2.9 エージェント・ケース・タブについて

コンソールでは一度に1つのエージェント・ケースのみを開けます。エージェント・ケース・タブが開かれた状態で、不正調査担当者が別のケースを開こうとすると、現在のケース・ワークフローが新規ケース・ワークフローに置き換えるか質問するメッセージが表示されます。ユーティリティ・パネルをクリアするオプションもあります。

図5-4に、ケース・タブが開かれた状態で、不正調査担当者が別のケースを開こうとしたときに表示されるメッセージを示します。

図5-4 ワークフローの置換

現在のワークフローを置換することを選択し、「ユーティリティ・パネルをクリアします。」オプションを選択すると、非永続的なタブがすべて閉じられて、次の項目がリセットされます。

- エージェント・ケースの検索

- セッション検索

- トランザクション検索

- ユーティリティ・パネル

- ケース・ノート

不正調査担当者が既存の状態を維持することを選択すると、ユーティリティ・パネル、「ケース・ノート」および検索ページは現在の状態のままになります。このフローは次のようになります。

不正調査担当者が現在のワークフローを置換するか質問される

1. 不正調査担当者が別のケースを開き、検索ページ、ユーティリティ・パネルおよびケース・ノートでフィルタをリセットします。

2. 彼が不正調査担当者としてOAAM管理にログインします。

3. 彼が既存のエージェント・ケースを開くか、新規ケースを作成します。

4. 彼が高アラートなどの問合せフィルタに基づいてセッションを検索します。

5. 彼がセッションの詳細を表示します。

6. 彼がデバイスIDなどのセッション・データをユーティリティ・パネルのフィルタ・セクションにドラッグします。

7. 彼が見つかったセッションのリストを表示します。

8. 彼がケースのノートを入力します。

9. 彼が金額などの問合せフィルタに基づいてトランザクションを検索します。

10. 彼がトランザクションの詳細を表示します。

11. 彼が既存のエージェント・クラスを開くか、 「新規作成」をクリックします。

12. OAAMによって、不正調査担当者が現在のケース・ワークフローを新規ケース・ワークフローに置換するかどうかを質問するメッセージが表示されます。ユーティリティ・パネルをリセットするオプションも表示されます。

不正調査担当者は現在のワークフローを置換してユーティリティ・パネルをクリアできます。または、ワークフローを置換して、ユーティリティ・パネルは現在の状態のままにすることもできます。

不正調査担当者が現在のワークフローを置換してユーティリティ・パネルをクリアする

1. 不正調査担当者が「ユーティリティ・パネルをクリアします。」を選択し、「はい」ボタンをクリックすると、現在のケース・ワークフローが新規のケース・ワークフローに置換されます。

2. コンソールではオープン・ケースを含むタブを複数開けないため、最初のケース・タブが閉じられます。不正調査担当者は一度に1つのエージェント・ケースのみを扱うことができます。

3. 新規または既存のケース・タブが開かれます。

4. ユーティリティ・パネルの「ケース・ノート」セクションに新規または既存のケースに関するノートが表示されます。

5. ユーティリティ・パネルのフィルタ領域にはフィルタが表示されません。

6. 非永続的なタブがすべて閉じられます。

7. 「ケースの検索」、「セッションの検索」および「トランザクションの検索」タブは開いたままです。

8. 「ケースの検索」、「セッションの検索」および「トランザクションの検索」のフィルタと結果はそのユーザーのデフォルト状態にリセットされます。

不正調査担当者がワークフローを置換してユーティリティ・パネルをクリアしない

1. 不正調査担当者が「はい」をクリックして現在のケース・ワークフローを置換しますが、ユーティリティ・パネルのクリアを選択しません。

2. 最初のケース・タブが閉じられます。

3. 新規または既存のケース・タブが開かれます。

4. ユーティリティ・パネルの「ケース・ノート」セクションに新規または既存のケースに関するノートが表示されます。

5. ユーティリティ・パネルのフィルタ、「セッションの検索」および「トランザクションの検索」タブは、フィルタと結果を含めて、現在の状態のままです。

6. 非永続的なタブは開かれており、現在の状態のままです。

5.3 調査コンソールの使用

この項では、調査のために調査コンソールを使用する方法について説明します。

5.3.1 セッションおよびトランザクションにおける高アラートの検索

アラート中心の調査ワークフローで調査を実行する場合、手始めに重大度の高いアラートを含むトランザクションを検索します。セッションで生成されたすべてのアラートを表示し、アラートのメッセージを読んで、この状況で何が発生したのかを理解します。アラートが生成された理由を表示し、データ・ポイントを詳しく調べることから調査を開始します。

注意:

検索フィルタの演算子は、演算子ドロップダウン・リストに示されます。検索フィルタの演算子を使用して、調査担当者は検索結果を絞り込めます。

たとえば、「トランザクション・タイプ」を「transaction_type_value」に対し、「次と等しい」または「次と等しくない」とします。

重大度の高いアラートを含むトランザクションを検索するには、次の手順を実行します。

1. エージェント・ケース・ページで、「トランザクションの検索」タブをクリックして、トランザクション検索ページを開きます。

2. 「トランザクション・タイプ」フィールドからトランザクション・タイプを選択し、演算子ドロップダウン・リストから検索フィルタの演算子を選択します。
トランザクションを検索するには、特定のタイプによって特定のトランザクションをフィルタするためにトランザクション・タイプを選択します。「トランザクション名」フィールドでトランザクション・タイプを選択します。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。

3. 「トランザクション日」フィールドに開始日と終了日を入力し、トランザクションを検索します。日付は必須です。デフォルトでは、日付は過去24時間に設定されています。
特殊文字が入力された場合は、エラー・メッセージが表示されます。また、「終了日」を「開始日」より前にすることはできません。

表5-4で、日付および時間フィールドの演算子について説明します。

表5-4 日付および時間フィールドの演算子

演算子

説明

次と等しくない

指定した日付に行われなかったトランザクションのみが一致することを指定します。

次より前

指定した日付より前のトランザクションのみが一致することを指定します。

次より後

指定した日付より後のトランザクションのみが一致することを指定します。

次以後

指定した日付以後のトランザクションのみが一致することを指定します。

間

指定した日付と日付の間に行われたトランザクションのみが一致することを指定します。

4. 「アラート・レベル」に「高」を選択して、「検索」をクリックします。
トランザクション検索ページの結果表に、重大度が高いアラートを含むトランザクションがリストされます。

5. 「トランザクション日」列ヘッダーをクリックして、結果を昇順でフィルタします。リストの先頭にあるトランザクションが最も古いものです。

6. 結果表で「アラート」列の高アラートの横にあるオレンジ色の四角をクリックし、高アラートの合計数およびアラート・メッセージをポップアップ画面に表示します。

7. アラート・メッセージのリンクをクリックして、「アラート詳細」ページを開きます。

8. 詳細ページを使用して、アラートの生成に関する情報、メッセージ、アラート・レベル、メッセージ・タイプおよびその他のデータ型(ユーザー、デバイス、ロケーション、セッション、ブラウザ、オペレーティング・システムおよびロケールなど)とアラートとの関係を表示します。
表5-5に、詳細ページと各ページで提供される情報のタイプをリストします。

表5-5 「アラート詳細」タブ

「アラート詳細」タブ

説明

サマリー

アラートに関する一般情報および現在の詳細(レベル/タイプ)を含むアラート・テンプレートを表示します。

アラートが関連付けられているアラート・グループを表示します。

ユーザー

このアラートがトリガーされたセッションを持つユーザーを表示します。

調査担当者はこのレポートを使用して、ログイン・プロセス中にどのユーザーにアラートが生成されたか、およびユーザーごとのアラートの生成回数を確認できます。

デバイス

このアラートがトリガーされたセッションに含まれていたデバイスを表示します。

調査担当者はこのレポートを使用して、ログイン・プロセス中にどのデバイスにアラートが生成されたか、およびデバイスごとのアラートの生成回数を確認できます。

ロケーション

このアラートがトリガーされたセッションに含まれていたロケーションを表示します。

調査担当者はこのレポートを使用して、ログイン・プロセス中にどのロケーションにアラートが生成されたか、およびロケーションごとのアラートの生成回数を確認できます。

セッション

このアラートがトリガーされたセッションを表示します。

フィンガープリント・データ

アラートが生成されたログイン・プロセスで作成されたフィンガープリントを表示します。

5.3.2 確認する疑わしいトランザクションの検索

調査担当者が、合計金額、トランザクションが関連付けられているエンティティ、トランザクションID番号、セッションID番号またはその他の検索基準といった、確認が必要な疑わしいトランザクションに関する追加詳細を持っている場合には、トランザクション検索ページを使用して検索結果を絞り込めます。

トランザクションを検索するには、次の手順を実行します。

1. エージェント・ケース・ページで、「トランザクションの検索」タブをクリックします。
表5-6に、トランザクションを検索およびフィルタするためのトランザクション・フィルタをリストします。

表5-6 トランザクションの検索フィルタ

フィルタ

説明

トランザクション・タイプ

トランザクションのタイプ。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。「トランザクション名」フィールドは、検索をそのトランザクションに制限するための必須フィールドです。トランザクションのタイプが選択されると、検索に追加するために選択できる、対応する「トランザクション・データ」および「エンティティ・データ」フィールドがOAAM管理に移入されます。トランザクション名属性は複数選択できます。

トランザクション日

トランザクション日は、トランザクションが送信された時点です。

トランザクション・ステータス

トランザクション・ステータスは、トランザクションの現在の状態です。値は「成功」、「失敗」または「保留中」です。

トランザクションID

トランザクションIDは、カスタマがトランザクションを送信するたびに作成される一意の識別子です。

セッションID

セッションIDは、カスタマがトランザクションを実行する前にログインする認証セッションの識別子です。

組織ID

組織IDは、ユーザーが所属する組織の一意の識別子です。各ユーザーは、1つの組織IDのみに属します。これによって、ユーザーがどのテナント・アプリケーションを使用しているか、およびOAAMポリシーがそのアプリケーションに対して実行される範囲が識別されます。

ユーザー名

ユーザー名は、ログイン認証のために入力された名前です。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

国

国ID。

都道府県

都道府県ID。「都道府県」リストには、「国」に選択された項目に基づいて動的にデータが移入されます。たとえば、「アメリカ合衆国」が選択されると、この国に選択できるすべての行政区画が「都道府県」に表示されます。

市区町村

市区町村ID。「市区町村」リストには、「国」および「都道府県」に選択された項目に基づいて動的にデータが移入されます。

IP範囲

IPアドレスの範囲。

デバイスID

デバイス識別情報

エンティティ・データ

エンティティ・データはエンティティに関連付けられている属性であり、検索用に選択された特定のトランザクション・タイプにマップされます。たとえば、「トランザクション名」に「インターネット・バンキング」が選択された場合は、BankNameという検索フィールドを追加します。調査担当者は、これらの属性の対応する値を使用して検索を実行できます。

トランザクション・データ

トランザクション・データには、トランザクション・タイプに関連付けられている特定の属性が含まれます。たとえば、送金ではToAccountNumberまたはFromAccountNumberです。

注意:

暗号化されたフィールドによる検索はサポートされません。暗号化されたエンティティ・フィールドおよびトランザクション・フィールドは、トランザクションの検索フィルタとして使用できず、ドロップダウンに表示されません。

2. 「トランザクション・タイプ」フィールドからトランザクション・タイプを選択し、演算子ドロップダウン・リストから検索フィルタの演算子を選択します。
トランザクションを検索するには、特定のタイプによって特定のトランザクションをフィルタするためにトランザクション・タイプを選択します。「トランザクション名」フィールドでトランザクション・タイプを選択します。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。

3. 「トランザクション日」フィールドに開始日と終了日を入力し、トランザクションを検索します。日付は必須です。デフォルトでは、日付は過去24時間に設定されています。
特殊文字が入力された場合は、エラー・メッセージが表示されます。また、「終了日」を「開始日」より前にすることはできません。

表5-4で、日付および時間フィールドの演算子について説明します。

4. 検索フィールドに基準を入力し、検索演算子を使用して検索結果を絞り込んで、「検索」をクリックします。

特殊文字が入力された場合は、エラー・メッセージが表示されます。

5. フィルタを追加するには、「フィールドの追加」下矢印ボタンをクリックします。

6. パラメータのリストから、追加のフィルタを選択します。たとえば、「アドレス.郵便番号」です。

7. 検索フィールドに基準を入力します。

8. 検索フィールドに基準を入力し、検索演算子を使用してテキスト・フィールド内の問合せを絞り込み、「検索」をクリックします。
検索基準に一致するトランザクションが「検索結果」表に表示されます。デフォルトでは、検索結果はセッションIDでソートされます。トランザクション名、トランザクション・ステータスおよび日付でソートします。

トランザクション名のリンクをクリックすると、トランザクションの詳細が表示されます。「トランザクション詳細」ページには、セッション情報とともに、トランザクションおよびエンティティ・データのランタイム値が表示されます。

9. 行を選択し、「エクスポート」をクリックして、検索結果をスプレッドシートにエクスポートします。上限は25行です。

10. 「グループに追加」オプションを使用して、さらにルール評価で使用できる、トランザクション、エンティティ・データおよび認証エンティティをグループに追加します。たとえば、ブラックリストに記載したアカウントや疑わしい業者などです。

5.3.3 トランザクションおよびエンティティ・データの表示

トランザクションを見つけたら、トランザクションおよびエンティティ・データを詳細に確認して、関連するエンティティを見つけます。確認により、あるデータ要素が関連しているかどうかを判断します。「トランザクション詳細」ページには、セッション情報とともに、トランザクションおよびエンティティ・データのランタイム値が表示されます。

1. 「トランザクションの検索」ページの「検索結果」表で、トランザクションのリンクをクリックします。

2. 「サマリー」セクションで、トランザクションの一般情報を表示します。

表5-7に、「サマリー」パネルに表示されるサマリー情報の詳細を示します。

表5-7 トランザクションのサマリー情報

詳細

説明

トランザクション・タイプ

トランザクションのタイプ。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。「トランザクション名」フィールドは、検索をそのトランザクションに制限するための必須フィールドです。トランザクションのタイプが選択されると、検索に追加するために選択できる、対応する「トランザクション・データ」および「エンティティ・データ」フィールドがOAAM管理に移入されます。トランザクション名属性は複数選択できます。

トランザクションID

トランザクションIDは、カスタマがトランザクションを送信するたびに作成される一意の識別子です。

トランザクション日

トランザクションが行われた日時。

セッションID

ログインまたはトランザクションが行われたセッションの一意の識別子。リンクにより、調査担当者は「セッション詳細」ページに移動します。

説明

トランザクションに関するノート。

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

ユーザー名

ユーザーがログインするために入力するログイン名。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

市区町村

市区町村ID。「市区町村」リストには、「国」および「都道府県」に選択された項目に基づいて動的にデータが移入されます。

都道府県

都道府県ID。「都道府県」リストには、「国」に選択された項目に基づいて動的にデータが移入されます。たとえば、「アメリカ合衆国」が選択されると、この国に選択できるすべての行政区画が「都道府県」に表示されます。

国

国ID。

3. 「トランザクション・データ」パネルでトランザクション・データ、エンティティ・インスタンスおよび関連インスタンスを表示します。

表5-8に、「トランザクション・データ」パネルに表示されるトランザクション・データの詳細を示します。

表5-8 「トランザクション詳細」のトランザクション・データ

トランザクション・データ

説明

トランザクション・タイプ

トランザクションのタイプ。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。「トランザクション名」フィールドは、検索をそのトランザクションに制限するための必須フィールドです。トランザクションのタイプを選択すると、検索に追加するために選択できる、対応する「トランザクション・データ」および「エンティティ・データ」フィールドがOAAM管理に移入されます。トランザクション名属性は複数選択できます。

エンティティ

トランザクションに含まれるエンティティ。

値

トランザクションの過程でユーザーが入力したデータ。

4. セッション・データを表示して、セッションで具体的に何が発生したのかを詳しく調べます。
パネルに表示されるセッション・データには、次があります。

- アラートおよびアクション

- 最終アクション

- 「アラート」表には、アラート・レベル、アラート・メッセージ、トリガー日などの追加情報が表示されます。

- ルールおよびポリシー名はトリガー・ソース下でリンクされ、これによって対応する詳細ページを開くことができます。

「セッション・データ」パネルでアラート・アクティビティを表示します。「アラート」リストには、セッション中に起動されたアラートが表示されます。「アラート履歴」リストには、起動されたアラートのアラート・レベル、アラートに関連付けられたすべてのメッセージ、アラート・タイプおよびアラート・ルールがトリガーされた日時が表示されます。

表5-9 アラート・セッション・データ

アラート情報

説明

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

アラート・メッセージ

アラートに設定されたテキスト・メッセージ。

アラート・タイプ

アラートのタイプ。不正、調査、情報またはその他の理由です。

トリガー・ソース

特定のアラートを生成したルール。

タイムスタンプ

アラートが生成された時間。

5.3.4 関連するセッションとトランザクションの識別

不正調査担当者はユーティリティ・パネルを使用して、一連のデータや情報から何かを発見したり、隠された真実を見つけることができます。トランザクションが疑わしい場合、調査担当者は「トランザクション詳細」に示されている同じデバイスID、ユーザー名、IPアドレス、市区町村、都道府県または国を含むトランザクションが他にないか検索します。トランザクションをフィルタして、データ・ポイントに基づいて関連するセッションおよびトランザクションを識別できるようにします。任意の有効なデータ・ポイントを使用して、いつでも検索を実行できます。

トランザクションをフィルタするには、次の手順を実行します。

1. セッション、セッション詳細、リンク・セッション、トランザクションの検索、トランザクション詳細および「トランザクションの比較」ページで、他のトランザクションに対するフィルタとして使用する個別のデータ・ポイントをドラッグし、そのデータ・ポイントをユーティリティ・パネルの「フィルタ・アイテム」パネルにドロップします。または、コンテキスト・メニューを使用して照合するデータ要素を選択します。
選択したデータ・ポイントは「フィルタ・アイテム」パネルに表示されます。

2. 「フィルタ・アイテム」パネルへのデータ・ポイントのドラッグ・アンド・ドロップを続けて検索を絞り込みます。

3. 検索からデータ・ポイントを削除するには、データ・ポイントの右側にある赤いXのアイコンをクリックします。

4. 検索から一時的にデータ・ポイントを除外するには、データ・ポイント・ラベルの前にあるチェック・ボックスの選択を解除します。

5. 「時間範囲」では、一定の時間枠に行われたトランザクションおよびセッションをフィルタできます。選択肢は次のとおりです。

- 2日

- 1日

- 月

- 四半期

- 1週間

- 年

6. 「検索」をクリックして、一致を検索します。
OAAMでは、「フィルタ・アイテム」パネル内の現在のデータ・ポイントに基づいて、一致するセッションおよびトランザクションを検索します。セッションおよびトランザクションの結果件数が、「フィルタ・アイテム」パネルの下部に表示されます。

この集計は、検索基準に一致するセッションの数およびトランザクションの数を示します。たとえば、同じクレジット・カードおよびデバイスを使用するセッションおよびトランザクションです。

注意:

ユーティリティ・パネルにリストされているデータ・ポイントは、セッション間では保持されません。これは、ケースが閉じたときにクリアされます。

7. ユーティリティ・パネルにデータ・ポイントをドラッグして他のデータ・ポイントを含め、検索を絞り込みます。

8. 「検索」をクリックします。
集計に、そのデータ要素を使用するセッションの数およびトランザクションの数が示されるようになります。たとえば、同じクレジット・カードおよびデバイスを使用するセッションおよびトランザクションです。

9. 件数をクリックして、対応するフィルタ・ページを開きます。フィルタ・ページでは、一致するトランザクションまたはセッションが「検索結果」表に示されます。

5.3.5 「フィルタ済トランザクション」ページからのトランザクションの表示

調査担当者が特定のトランザクションを確認するには、「フィルタ済トランザクション」ページにナビゲートします。

「フィルタ済トランザクション」ページを開くには、次の手順を実行します。

1. ユーティリティ・パネルの「トランザクションの数」リンクをクリックし、先に指定したデータ・ポイントによってフィルタされたトランザクションを表示します。
表示されるページはトランザクション検索ページではなく、「フィルタ済トランザクション」ページのみであるため、複数のページを開くことができます。

2. フィルタ・ページから、アラートを表示します。

表5-10 トランザクション詳細

トランザクション情報

説明

トランザクション・タイプ

実行されたトランザクションのタイプ。「トランザクション詳細」ページにリンクします。

トランザクションID

トランザクションIDは、カスタマがトランザクションを送信するたびに作成される一意の識別子です。「トランザクション詳細」ページにリンクします。

トランザクション・ステータス

トランザクションのステータス。

アラート

トリガーされたアラート。

トランザクション日

トランザクションが行われた日時。

セッションID

ログインまたはトランザクションが行われたセッションの一意の識別子。リンクにより、調査担当者は「セッション詳細」ページに移動します。

3. 比較するトランザクションを選択します。

5.3.6 トランザクションとカスタマ詳細のパラメータの比較

トランザクションのパラメータおよびカスタマ詳細を比較して、関係を識別できるようにします。同じトランザクション定義タイプの複数のトランザクション検索結果を選択して、検索結果ツールバーで「比較」ボタンをクリックすると、「トランザクションの比較」タブが開きます。デフォルトでは、最大10件のトランザクションを比較できます。

選択したトランザクション間の共通のデータ要素のみをフィルタし、表示できます。デフォルトでは、共通でないデータ要素を含む、選択したトランザクションのすべてのデータ要素が比較ページに表示されます。

同じタイプの2つ以上のトランザクションを選択してその値を比較するには、次の手順を実行します。

1. ユーティリティ・パネルの「関連アイテムが見つかりました」セクションで、一致するトランザクションの数をクリックし、フィルタ済データ要素を確認します。

2. 「フィルタ済トランザクション」ページの「検索結果」表で、同じトランザクション・タイプの2つ以上のトランザクション検索行を選択し、「比較」をクリックします。

検索結果から少なくとも2つのトランザクションを選択するまで、「比較」オプションは無効です。

比較は、同じタイプのトランザクションに対してのみ行えます。デフォルトでは、最大10件のトランザクションを比較できます。調査担当者はフィルタを適用して、デフォルトで使用可能な10件のトランザクションの中からいくつかのトランザクションを選択して表示できます。

3. 「トランザクションの比較」タブで、トランザクションおよびエンティティのデータを比較対照します。

4. 使用可能なトランザクションの中から、フィルタを適用することで、いくつかのトランザクションを選択して表示します。

5. 一致の詳細を強調表示するには、「一致の強調表示」を選択し、「前」または「次」矢印をクリックして詳細を移動します。

6. 疑わしいトランザクションに関係する追加のデータ要素を「フィルタ・アイテム」パネルに1つずつドラッグ・アンド・ドロップし、評価が必要な他のアクティビティがあるかどうかを確認します。

「トランザクション検索」ページからトランザクションを比較することもできます。

1. 「トランザクション」タブをクリックします。

2. 「トランザクション・タイプ」フィールドで、トランザクション・タイプおよび演算子の「次と等しい」を選択します。

3. 「トランザクションID」フィールドで、カスタマがトランザクションを送信したときに作成された一意の識別子の数を入力します。

4. 別のフィールドを追加します。

5. 「トランザクションID」フィールドで、その他のトランザクションIDを入力します。

6. 「検索」をクリックします。

7. トランザクションの検索結果からトランザクションを選択し、「比較」をクリックします。
トランザクション・タイプが小売りE-Commerceのトランザクション・データ値を比較した結果表を含む「トランザクションの比較」ページが表示されます。

8. 一致するデータを強調表示するには、「一致の強調表示」ボックスを選択します。続けて下または上矢印キーをクリックし、一度に1つずつ一致を強調表示します。

9. トランザクションを比較します。

5.3.6.1 トランザクション・データ比較のシナリオ

Jeffは不正調査担当者であり、OAAMにより生成されたケースを調べています。

ユーザーJohnは疑わしく、銀行の異なるアカウント番号に複数回の電信送金を行っています。調査担当者は、すべてのアカウント番号および各送金の金額を結果にリストします。調査担当者は、エンティティ・フィールドで検索する特定のトランザクション・タイプを選択します。

フィルタ

エンティティ・フィールド

トランザクション名

電信送金

エンティティ

カスタマ

エンティティの名

John

結果

トランザクション・データ

金額

エンティティ

アカウント

トランザクション・フィールド

宛先アカウント番号

Jeffは、タイプが同じ電信送金である2つのトランザクション検索行を選択し、「比較」ボタンをクリックします。トランザクションおよびエンティティ・データを比較する「トランザクションの比較」タブがJeffに表示されます。

5.3.7 不正なトランザクションで使用されたデータ要素のグループへの追加

トランザクションの比較パネルからグループにデータ要素を追加するには、次の手順を実行します。

1. 特定のデータ・グループにエンティティ、トランザクション・データおよびセッション要素を追加する行を選択し、「グループに追加」をクリックします。たとえば、調査担当者がtransaction1、transaction2およびtransaction3を選択し、そのアカウント番号が123、234および345であったとします。3つのアカウント番号がすべて、疑わしいアカウント・グループに追加されます。
次の指示を示す「グループに追加」ダイアログが表示されます。「下のリストは、選択した行のすべてのデータ型のリストです。グループに追加するデータのタイプを選択してください。1度に1つのデータ型のみ選択できます。」

2. データ型を選択して「次」をクリックすると別のダイアログが開き、ここでデータ要素を追加するグループを選択するか、まずグループを作成してからデータ要素を追加できます。
図5-5に「グループに追加」ダイアログを示します。

3. 図5-5 グループに追加するデータ型の選択

5.3.7.1 既存のグループからの選択
既存のグループを選択して選択したグループにエンティティを追加するには、次の手順を実行します。

1. 「既存のグループから選択」を選択します。
選択したデータ型に基づいて、エンティティが属することができる、対応する使用可能なグループが表示されます。

- たとえば、アカウント番号が選択されている場合、数値グループ・タイプが示されます。

- たとえば、アカウント所有者名が選択されている場合、文字列グループ・タイプが示されます。

2. 「グループ名」フィールドにグループ名を入力し、「検索」をクリックします。検索を実行せずに、リストからグループを選択することもできます。
「検索」をクリックすると、検索結果に既存のグループおよび説明がリストされます。

3. エンティティを追加するグループをリストから選択します。
プレビューに、グループ名およびグループに関連付けられているメンバーが表示されます。関連付けられているメンバーがいない場合は、「グループにメンバーが関連付けられていません。」というメッセージが表示されます。

既存のメンバーは、使用可能なグループの表の下にあるプレビュー領域に表示できます。既存メンバーのリストは関連があるため、調査担当者は選択したエンティティのいずれかが選択したグループのメンバーであるかどうかを判別し、そのエンティティを追加用に選択または選択解除するかどうかを決定できます。

エンティティを同じグループに複数回追加することはできません。

4. 「次」をクリックします。
グループに追加するデータ要素は、次の画面にリストされます。選択したグループおよび追加するデータ要素はこのページに表示されます。

5. 戻ってデータ要素を変更するには、「戻る」ボタンをクリックします。これらのデータ要素の追加に進むには、「終了」ボタンをクリックします。
「終了」をクリックすると、「グループに追加」ダイアログが表示され、選択したグループにデバイスが正常に追加されました。というメッセージが示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。

5.3.7.2 データ要素を追加する新規グループの作成

「新規グループの作成」を使用すると、グループを作成して、この新たに作成したグループにエンティティを追加できます。

1. 「新規グループの作成」を選択して、エンティティを追加する新規グループを作成するプロセスを開始します。

図5-6 データ要素を追加する新規グループの作成

2. 「グループ名」フィールドにグループの名前を入力します。最大256文字のASCII文字または最大85文字のUTF-8文字を入力できます。

3. 「キャッシュ・ポリシー」フィールドからキャッシュ・ポリシーを選択します。選択項目は「なし」または「フル・キャッシュ」です。

4. 「説明」ボックスに説明を入力し、「次」をクリックします。最大256文字のASCII文字または最大85文字のUTF-8文字を入力できます。

5. グループに追加するデータ要素が、「グループに追加」ダイアログにリストされます。戻ってデータ要素を変更するには、「戻る」ボタンをクリックします。データ要素の追加に進むには、「終了」ボタンをクリックします。

図5-7 新規グループへの追加

「完了時にこのグループの詳細タブを開きます。」チェック・ボックスが選択されている場合、「終了」をクリックした後に「グループ詳細」ページが開きます。

同じ名前を持つグループがすでに存在している場合はエラーが発生し、そうでない場合はデータベース内にグループが作成されて、同じトランザクション内でこの新規グループにエンティティが追加されます。

6. 「エンティティ」タブをクリックして、新しく作成されたグループにエンティティが追加されていることを確認します。

注意:

メンバーを除くグループ定義は、インポートおよびエクスポートでき、スナップショットで使用できます。必要に応じて、メンバーを明示的にエクスポートおよびインポートする必要があります。

5.3.8 セッションをケースにリンクするトランザクションの選択

トランザクションのセッションをエージェント・ケースにリンクします。

1. トランザクションを選択し、検索結果ツール・バーで「ケースへのリンク」ボタンをクリックします。
セッションをリンクするためのケースを開く手順を示したダイアログが表示されます。既存のケースを検索して選択するか、新規ケースを作成して、セッションをリンクします。

調査担当者がまだケースを開いていない場合は、ケースを検索するか、新規ケースを作成できます。検索して選択するオプションでは、ケース検索ページが開きます。「新規ケースの作成」ダイアログに、ポップアップ画面で作成タスク・フローが開かれます。

2. 「既存のケースを開く」ボタンをクリックして、既存のケースを開きます。

3. 「ケースへのリンク」ダイアログで、基準を入力して「検索」をクリックします。

4. 「次」をクリックします。
別の「ケースへのリンク」ダイアログが表示され、ケースにリンクするために選択されたセッションが示されます。この動作に関するノートを入力するための手順が示されます。

5. 状況を最も的確に記述するリスト項目を選択します。追加のコメントがある場合は入力します。

6. 「セッションのリンク」をクリックします。

7. 「ケースへのリンク」確認ダイアログで「OK」をクリックして確認します。

使用例: GaryはDollar Bankの不正調査担当者です。Garyは、処理する新規ケースを検索します。「新規」ステータスのケースをすべて検索し、期限切れまでの時間が最も短いケースが先頭にくるように表示をフィルタします。Garyは最初のケースを選択し、アラートとリンク・セッションに含まれるその他のデータを確認します。次に、北朝鮮からの他のセッションを見つけるために検索します。過去6か月間を検索すると、さらに1件のセッションが返されます。Garyはこの2番目のセッションをケースにリンクして、両方のセッションのデータに基づく関係を調査に使用できるようにします。Garyは、この2件のリンク・セッションが同じデバイスから行われていることに気付きます。Garyは過去1年間にこのデバイスから行われたその他のセッションを調べて、調査を続行します。彼はこのデバイスから行われた別のセッションが、中国からのものだったことを見つけます。このセッションもリンクします。3件のセッションはそれぞれ異なるIPアドレスを使用していました。次に、Garyは各IPアドレスからのセッションを個別に確認します。これらのセッションでは、2つのIPアドレスのみが使用されていました。中国からの3番目のIPアドレスでは、過去3か月間に178件のセッションがありました。この状況により影響を受けている可能性があるユーザーを確認するため、彼は「IP詳細」画面を開いて「ユーザー」タブを表示します。すべてのユーザーのリストがそれぞれの詳細とともに示されます。Garyはアイデンティティ管理製品を確認し、中国の連絡先情報を持つユーザーがいないかどうか、各ユーザーを調べます。誰もおらず、全員が米国本土に住むアメリカ人でした。Garyはユーザーのリストをスプレッドシートにエクスポートし、アカウントが使用されているカスタマに連絡を取っていくつか質問をします。誰も北朝鮮または中国にいたことはないことがわかったため、この会話をケース・ノートに入力します。彼らに、パスワードを変更し、チャレンジ質問をリセットするよう伝えます。また、彼らを被害者監視リスト・グループに追加し、このデバイスを高リスク監視リストに追加します。次に、Garyは確認済不正の処置をしてケースを閉じます。

「セッション」ページおよび「トランザクション」ページから、トランザクションを含むセッションをケースにリンクし、セッションのリンクに関するノートを追加するには、次の手順を実行します。

1. 疑わしいトランザクションまたはセッションを選択し、検索結果ツールバーで「ケースへのリンク」ボタンをクリックします。
ケースにリンクするために選択されたセッションを示すダイアログが表示されます。セッションのリンクに関するノートを入力するための手順が示されます。

2. 「事前に作成したノート」ドロップダウン・リストから、状況を最も的確に表す説明を選択してノートを入力し、「ノート」ボックスに追加のコメントを入力します。

3. 「セッションのリンク」をクリックしてセッションをケースにリンクします。
選択したセッションがケースに正常にリンクされたことを確認するダイアログが表示されます。

4. 「ケースへのリンク」確認ダイアログで「OK」をクリックして確認します。
「ケース詳細」ページが開きます。

5.3.9 処置とともにケースを閉じる

調査担当者が状況の調査を終えて結論に達した(状況を理解した)ら、処置とともにケースを閉じます。クローズ済ケースとは、問題が解決されているため、それ以上の調査を必要としないケースのことです。クローズ済ケースには、そのケースでどのように問題が解決されたかを記述する処置が含まれます。ケースに処置が存在するのは、クローズされている場合のみです。

1. 「ケース詳細」ページを開きます。
「ノートの追加」、「ステータスの変更」または「重大度の変更」を行えます。

2. 「ステータスの変更」をクリックします。「ステータスの変更」ダイアログが表示されます。このケースのステータスを選択し、ノートを入力します。次に、「送信」をクリックします。
選択項目は、「ステータス」、「事前に作成したノート」および「ノート」です。選択するステータスは、「新規」、「保留中」および「クローズ済」です。

3. 「ステータス」リストで、「クローズ済」を選択します。
「処置」フィールドがダイアログに表示されます。

4. 次の項目の中から処置を選択します。

- 確認済不正

- 重複

- 不正ではない

5. 状況を最も的確に記述する「事前に作成したノート」を選択します。

6. 調査結果を要約する最終ノートを入力します。マネージャまたは監査者は、行われたアクションおよび関与したユーザーを含む、ケース・アクティビティに関するこれらのノートを表示できます。

7. 「送信」をクリックします。
確認ダイアログが表示されます。

8. 「OK」をクリックして、確認ダイアログを閉じます。

3つの標準的な処置は、11.1.2.0.1を参照してください。これらは「確認済不正」、「重複」および「不正ではない」です。「ケース詳細」ページには、既存のエージェント・ケースに対応する処置が表示されます。

5.3.10 現在のステータスが「新規」である自動生成されたエージェント・ケースとオープン・ケースの検索

ケースとは、調査担当者が調査中に収集する詳細を格納するためのコンテナです。ケースが作成されると、調査担当者はそのケースを検索して、詳細を表示します。

処理する自動生成されたケースを検索するには、次の手順を実行します。

1. ケース検索ページから、最新の時間ですべてのエージェント・ケースをフィルタし、「ケース・ステータス」フィールドで「新規」を選択します。次に「検索」をクリックします。
たとえば、過去2時間以内に作成された自動生成ケースを検索するには、調査担当者は次のように選択します。

2. 結果表には「ケースID」列が含まれており、これは「ケースID」列ヘッダーをクリックして昇順または降順でソートできます。その隣にある上矢印および下矢印は、データの現在の順序を示します。「ケースID」列ヘッダーをクリックして、結果を昇順でフィルタします。最小のケースID番号が最も古いものです。

3. ケースIDをクリックしてケースを開きます。
「新規」ステータスを持つケースに調査担当者がアクセスして処理を開始すると、ステータスが自動的に「保留中」に変わり、「現在の所有者」が調査担当者になります。

「ケース詳細」ページでは、現在の所有者およびケース・ステータスに関する情報を提供します。

他の調査担当者は、このケースが現在使用中であると判別できるようになります(ケースに所有者が設定され、ステータスが「新規」ではなく「保留中」であるため)。調査担当者は、他の調査担当者が使用中のケースを開かないことがベスト・プラクティスです。

5.3.11 リンク・セッションの表示

ケースが自動的に作成された場合、セッションがそのケースにリンクされているため、すべてのセッション・データが取得され、確認できるようになっています。これには、そのセッションでトリガーされた一連のアラートがすべて含まれます。調査担当者は、アラート・メッセージを読んで、この状況で何が発生したのかを理解できます。彼は最も高いアラートを調べて、それが生成された経緯を確認できます。たとえば、匿名プロキシは本当の地理的位置を隠すために犯罪者によって使用されることが多いため、匿名プロキシを使用している場合はバンキングが銀行のセキュリティ・ポリシーによって制限されている場合があり、匿名プロキシであることがわかっているIPからアクセスが試みられたためにアラートがトリガーされました。

1. 「ケース詳細」ページで、「リンク・セッション」タブをクリックしてセッションのアラートおよび詳細を表示します。
「リンク・セッション」タブを使用すると、調査中のケースにリンクされているすべてのセッションを表示できます。タブには、リンクされた日付、アラート、トランザクションおよびリンク時に入力されたノートなどの情報も表示されます。表5-11に、検索結果で使用できる列をまとめます。

表5-11 「リンク・セッション」列

フィールド

説明

リンク日

調査担当者によって、セッションがケースに関連付けられた日付。

セッションID

不正調査担当者によって、エージェント・ケースに関連付けられたセッションの一意の識別子。

ユーザー名

アカウントに関する問題を送信した個人の一意の識別子。

デバイスID

トランザクションに使用されたデバイスの一意の識別子。

デバイス・スコア

ユーザーがセッションで使用した特定のデバイスについて計算されたリスクのレベル。

IPアドレス

ユーザーがインターネットにログオンするたびに、そのユーザーのデバイスにインターネット・サービス・プロバイダが発行する一意のネットワーク識別子。ログイン元のデバイスのIPアドレス。

ロケーション

ログイン元のデバイスの地理的位置。

トランザクション

そのセッションで行われたトランザクション。

アラート

トランザクション・プロセス中に、ユーザーに対してトリガーおよび生成されたアラート。

セッション日

セッションが行われた日時。

ノート

セッションがリンクされた理由に関するノート。

2. 「アラート」列のアラートの左上隅に、小さいオレンジ色の四角が表示されます。四角にカーソルを置くと、「ノート」アイコンを含むより大きな三角が表示されます。三角をクリックすると、ある重大度レベルのアラートの合計数とアラート・メッセージがポップアップ画面に表示されます。

セッションでトリガーされた一連のアラートをすべて表示し、アラート・メッセージを読んでこの状況で何が発生したのかを理解できます。アラートが生成された理由を表示し、各詳細を確認しながら調査を続けます。

1. アラート・ポップアップ画面でアラート・メッセージ・リンクをクリックすると、詳細を示す「アラート詳細」ページが開きます。

2. 詳細ページを使用して、アラートの生成に関する情報、メッセージ、アラート・レベル、メッセージ・タイプおよびその他のデータ型(ユーザー、デバイス、ロケーション、セッション、ブラウザ、オペレーティング・システムおよびロケールなど)とアラートとの関係を表示します。
表5-12に、詳細ページと各ページで提供される情報のタイプをリストします。

3. 表5-12 「アラート詳細」タブ

「アラート詳細」タブ

説明

サマリー

アラートに関する一般情報および現在の詳細(レベル/タイプ)を含むアラート・テンプレートを表示します。

アラートが関連付けられているアラート・グループを表示します。

ユーザー

このアラートがトリガーされたセッションを持つユーザーを表示します。

調査担当者はこのレポートを使用して、ログイン・プロセス中にどのユーザーにアラートが生成されたか、およびユーザーごとのアラートの生成回数を確認できます。

デバイス

このアラートがトリガーされたセッションに含まれていたデバイスを表示します。

調査担当者はこのレポートを使用して、ログイン・プロセス中にどのデバイスにアラートが生成されたか、およびデバイスごとのアラートの生成回数を確認できます。

ロケーション

このアラートがトリガーされたセッションに含まれていたロケーションを表示します。

調査担当者はこのレポートを使用して、ログイン・プロセス中にどのロケーションにアラートが生成されたか、およびロケーションごとのアラートの生成回数を確認できます。

セッション

このアラートがトリガーされたセッションを表示します。

フィンガープリント・データ

アラートが生成されたログイン・プロセスで作成されたフィンガープリントを表示します。

3. トランザクションおよびセッションの詳細を表示するには: 「トランザクション」列で、セッション内のトランザクションの横にあるオレンジ色の四角をクリックすると、そのセッションで行われたトランザクションがポップアップ画面に表示されます。次にトランザクションをクリックしてさらにデータを表示します。
「サマリー」セクションおよび「トランザクション・データ」セクションが示されます。

表5-13 サマリーおよびトランザクション・データ

詳細

説明

トランザクション・タイプ

トランザクションのタイプ。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。

トランザクションID

トランザクションIDは、カスタマがトランザクションを送信するたびに作成される一意の識別子です。

トランザクション日

トランザクションが行われた日時。

セッションID

ログインまたはトランザクションが行われたセッションの一意の識別子。リンクにより、調査担当者は「セッション詳細」ページに移動します。

説明

行われたトランザクションの追加説明。

デバイスID

トランザクションに使用されたデバイスの一意の識別子。リンクにより、調査担当者はデバイス詳細ページに移動します。

ユーザー名

ユーザーがログインするために入力するログイン名。ユーザー詳細ページにリンクします。

IPアドレス

トランザクションのロケーションにマップされるアドレス。

市区町村

トランザクションが行われた市区町村。

都道府県

トランザクションが行われた都道府県。

国

トランザクションが行われた国。

トランザクション・データ

トランザクション・タイプ、エンティティおよびランタイム・データ。

4. セッションからデータ・ポイントを選択して詳細にドリル・インすることによって、さらに詳しく調査します。

5.3.12 トランザクション・データおよびサマリー・データなどの関連トランザクションの詳細の表示

「トランザクションの検索」ページで、「検索結果」表の「トランザクション・タイプ」列にあるトランザクションをクリックし、「トランザクション詳細」ページからトランザクションをさらに詳細に表示します。

このページでは、次のオプションも使用できます。

- グループに追加

- ケースへのリンク

5.3.12.1 サマリー情報の表示

上部セクションには、トランザクションに関する一般情報がセッションIDとともに表示されます。

表5-14 トランザクションのサマリー情報

詳細

説明

トランザクション・タイプ

トランザクションのタイプ。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。

トランザクションID

トランザクションIDは、カスタマがトランザクションを送信するたびに作成される一意の識別子です。

トランザクション日

トランザクションが行われた日時。

セッションID

ユーザーのオンライン・トランザクション・セッションを識別する一意の識別子。「セッション詳細」ページにリンクします。

説明

ノートのリンク。

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。デバイス詳細ページにリンクします。

ユーザー名

ユーザーがログインするために入力するログイン名。ユーザー詳細ページにリンクします。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。IP詳細ページにリンクします。

市区町村

市区町村ID。「市区町村」リストには、「国」および「都道府県」に選択された項目に基づいて動的にデータが移入されます。市区町村詳細ページにリンクします。

都道府県

都道府県ID。「都道府県」リストには、「国」に選択された項目に基づいて動的にデータが移入されます。たとえば、「アメリカ合衆国」が選択されると、この国に選択できるすべての行政区画が「都道府県」に表示されます。都道府県詳細ページにリンクします。

国

国ID。国詳細ページにリンクします。

5.3.12.2 トランザクション・データの表示

トランザクションの詳細は、名前と値の表で表示されます。次の情報が、次に示す順序で表示されます。

- トランザクション・データ

- エンティティ・インスタンス

- 関連エンティティ・インスタンス

図5-8 「トランザクション詳細」ページにおけるトランザクション・データの表示

表5-15 「トランザクション詳細」のトランザクション・データ

トランザクション・データ

説明

トランザクション・タイプ

トランザクションのタイプ。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。

エンティティ

トランザクションに含まれるエンティティ。

値

トランザクションの過程でユーザーが入力した値。

5.3.12.3 セッション・データの表示

「トランザクション詳細」ページで、アラートおよびアクションを表示します。

このセクションに表示されるセッション・データには、次のものがあります。

- アラートおよびアクション

- 最終アクション

- 「アラート」表には、アラート・レベル、アラート・メッセージ、トリガー日などの追加情報が表示されます。

- ルールおよびポリシー名はトリガー・ソース下でリンクされ、これによって対応する詳細ページを開くことができます。

表5-16 アラート・セッション・データ

アラート情報

説明

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

アラート・メッセージ

アラートに設定されたテキスト・メッセージ。アラート詳細にリンクします。

アラート・タイプ

アラートのタイプ。不正、調査、情報またはその他の理由です。

トリガー・ソース

特定のアラートを生成したルール。

タイムスタンプ

アラートが生成された時間。

図5-9 「トランザクション詳細」ページにおけるアラートの表示

5.3.13 トランザクションまたはセッション指向の結果の表示

「フィルタ済セッション」ページを開くには、次の手順を実行します。

1. 「セッション件数」リンクをクリックして、先に指定したデータ・ポイントによりフィルタされたセッションを表示します。

図5-10 フィルタ結果の表示

2. フィルタ・ページから、次のデータ要素を表示します。

表5-17 フィルタ・ページの検索結果

フィールド

説明

セッションID

このセッションに対する一意の識別子。セッション詳細にリンクします。

アラート

トランザクションから生成されたアラート。

トランザクション

データ・ポイントによってフィルタされたトランザクション。

組織ID

不正調査担当者が属する組織を識別します。

ユーザー名

ユーザーがログインするために入力するログイン名。ユーザー詳細ページにリンクします。

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

ロケーション

トランザクションが行われた場所。

セッション日

セッションが行われた時間。

クライアント・タイプ

仮想認証デバイス。認証またはフィンガープリント処理に使用されたデバイスまたはアプリケーション。たとえば、TextPad、KeyPad、質問パッド、ログイン・ページ、Flashトラッカです。auth.client.type.enumが使用される列挙です。

ユーザーID

そのユーザーの一意の識別子。

注意: 「グループに追加」機能をこのページから使用できます。

5.3.14 同じトランザクションの複数インスタンスの比較

類似性を見つけるためにトランザクション・データを比較します。同じトランザクション定義タイプの複数のトランザクション検索結果を選択して、「比較」ボタンをクリックすると、「トランザクションの比較」タブが開き、このタブを使用してこれらのトランザクションを比較できます。

調査担当者は、選択したトランザクション間で共通のデータ要素のみをフィルタおよび表示できます。デフォルトでは、共通でないデータ要素を含む、選択したトランザクションのすべてのデータ要素が比較ページに表示されます。

同じタイプの2つ以上のトランザクションを選択してその値を比較するには、次の手順を実行します。

1. ユーティリティ・パネルの「関連アイテムが見つかりました」セクションで、一致するトランザクションの数をクリックし、フィルタ済データ要素を確認します。

2. 「フィルタ済トランザクション」ページの「検索結果」表で、同じトランザクション・タイプの2つ以上のトランザクション検索行を選択し、「比較」をクリックします。

図5-11 トランザクションの比較

検索結果から少なくとも2つのトランザクションを選択するまで、「比較」オプションは無効です。

比較は、同じタイプのトランザクションに対してのみ行えます。デフォルトでは、最大10件のトランザクションを比較できます。調査担当者はフィルタを適用して、デフォルトで使用可能な10件のトランザクションの中からいくつかのトランザクションを選択して表示できます。

「比較」をクリックすると新規タブが開き、調査用にトランザクション値が表示されます。

3. 「トランザクションの比較」タブで、トランザクションおよびエンティティのデータを比較対照します。

図5-12 トランザクションの比較の表示

デフォルトでは、最大10件のトランザクションを比較できます。

4. 使用可能なトランザクションの中から、フィルタを適用することで、いくつかのトランザクションを選択して表示します。

図5-13 フィルタの適用

5. 疑わしいトランザクションに関係する追加のデータ要素を「フィルタ・アイテム」パネルに1つずつドラッグ・アンド・ドロップし、評価が必要な他のアクティビティがあるかどうかを確認します。

5.3.14.1 トランザクション・データ比較のシナリオ

Jeffは不正調査担当者であり、OAAMにより生成されたケースを調べています。

ユーザーJohnは疑わしく、銀行の異なるアカウント番号に複数回の電信送金を行っています。調査担当者は、すべてのアカウント番号および各送金の金額を結果にリストします。調査担当者は、エンティティ・フィールドで検索する特定のトランザクション・タイプを選択します。

フィルタ

エンティティ・フィールド

トランザクション名

電信送金

エンティティ

カスタマ

エンティティの名

John

結果

トランザクション・データ

金額

エンティティ

アカウント

トランザクション・フィールド

宛先アカウント番号

Jeffは、タイプが同じ電信送金である2つのトランザクション検索行を選択し、「比較」ボタンをクリックします。トランザクションおよびエンティティ・データを比較する「トランザクションの比較」タブがJeffに表示されます。

5.3.15 ケース・ノートの追加

ユーティリティ・パネルには「ケース・ノート」領域が含まれ、現在のケースのすべてのノートが、時間の降順で示されます。ノートをケースに追加することにより、調査担当者は、検索結果、非表示の関係または通常と異なる動作を記録および共有できます。調査担当者は、調査を進めながら、ノートを入力して「ノートの追加」をクリックすることにより、「ケース・ノート」パネルに直接ノートを追加できます。

検索結果を記録する過程で、調査担当者はフィルタ基準を保存して、他の調査担当者がそのケースの関連データ・ポイントを確認できるようにすることができます。フィルタを含めるには、「フィルタ・アイテムの挿入」をクリックして、フィルタ詳細をノートとして追加できるようにします。調査担当者が追加できるノートの数に制限はありません。調査担当者がさらにノートを追加する必要がある場合、パネルにはスクロール機能が備わっています。検出プロセスを時間に沿って追跡することにより、調査担当者は、どのように結論に達したかを他の人に示すことができます。

「ケース・ノート」パネルで直接ケースに新規ノートを追加するには、次の手順を実行します。

1. 「ケース・ノート」パネルにノートを入力します。

2. ケースにノートを追加した後で、「ケース・ノート」パネルの「ノートの追加」ボタンをクリックします。すべてのケース・ノートが、時間に基づく降順でパネルに表示されます。調査担当者が処理を開始する前に、ケースの履歴をすべて把握できるため、これは非常に有用な情報です。

3. 「フィルタ・アイテムの挿入」をクリックして、フィルタ済データ要素およびその値をケースにノートとして追加します。これにより調査担当者は、ケースの関連データ・ポイントを確認できます。
このアクションでは、検索に実際に使用されたデータ要素のみが追加され、「フィルタ・アイテム」パネル内のすべてのデータ要素が追加されるわけではありません。たとえば、デバイスIDの1234がフィルタ・データ要素に追加されても、チェックされていない場合、これはこのIDが検索で使用されていないため、挿入されないことを意味します。

後で「ケース・ノート」の「ケースを閉じる」ボタンをクリックすると、「ケース・ノート」パネルを含むフィルタ・ユーティリティ・パネルが自動的にリフレッシュされます。

注意: 「ケース・ノート」パネルにはリンク・ノートは表示されません。「ケース・ノート」パネルで直接追加されたケース・ノート、およびツール・バーの「ノートの追加」を使用して追加されたノートのみが表示されます。

ケース・ノートは必須です。

5.3.16 処置とともにケースを閉じる

調査担当者が状況の調査を終えて結論に達した(状況を理解した)ら、処置とともにケースを閉じます。

1. 「ケース詳細」ページを開きます。
選択肢は、ノートの追加、ケースのステータスの変更またはケースの重大度の変更です。

2. 「ステータスの変更」をクリックします。「ステータスの変更」ダイアログが表示されます。このケースのステータスを選択し、ノートを入力します。次に、「送信」をクリックします。

3. 「ステータス」リストで、「クローズ済」を選択します。
「処置」フィールドがダイアログに表示されます。

4. 処置を選択します。

5. 状況を最も的確に記述する「事前に作成したノート」を選択します。

6. 調査結果を要約する最終ノートを入力します。マネージャまたは監査者は、行われたアクションおよび関与したユーザーを含む、ケース・アクティビティに関するこれらのノートを表示できます。

7. 「送信」をクリックします。
確認ダイアログが表示されます。

8. 「OK」をクリックして、確認ダイアログを閉じます。

5.3.17 新しくエスカレーションされたケースを開く

調査担当者は、他の調査担当者が使用中のケースを開かないことがベスト・プラクティスです。調査担当者が初めてケースにアクセスすると、ステータスが自動的に「保留中」に変わり、現在の所有者がケースを開いた調査担当者になります。エスカレーション済ケースを開き、CSRおよびCSRマネージャが入力したノートをログで確認することがベスト・プラクティスです。

エスカレーション済ケースには次のタブが含まれます。

- サマリー: ケースに関する詳細をリストする

- リンク・セッション: ケースにリンクされたセッションをリストする

- ログ: ケース・アクション・ログをリストする

「サマリー」タブには、ケース詳細が表示され、ケースがエスカレーション済ケースの場合は、そのケースに関連付けられているユーザーの詳細が表示されます。

5.3.18 ケース・ログの表示

このケースはカスタマ・サービス・ケースに基づくため、特定のユーザーの情報が詳細に含まれます。ケース詳細を調べ、ユーザーを確認します。セッションの検索にユーザーIDが必要となるため、そのIDを書き留めます。

ログ・セクションには、ケースに対して行われたアクションのログが表示されます。検索フィルタは次のとおりです。

表5-18 ログ検索フィルタ

フィルタ

説明

ノート・キーワード

事前に作成したノートからのキーワード。

ARM ID

CSR識別子。

アクション

ケースの最後のアクション。たとえば、jsmithは昨日カスタマ・サービスに電話をかけ、自分のアカウントからお金が失われていることを伝えました。CSRはケースをエスカレーションし、jsmithに24時間以内に連絡することを伝えました。36時間後、jsmithは再度電話をかけて、連絡がない理由を尋ねます。CSRは、jsmithに対して昨日エスカレーションされたケースを表示する必要があります。彼は、「エスカレーション」アクションを含むjsmithのケースおよび過去48時間以内に期限超過していないケースを検索します。

作成日

ケースが作成された日付。

5.3.19 ユーザー・データの表示

エスカレーション済ケースのユーザー・データには、次の情報が表示されます。

表5-19 ユーザー・データ

データ

説明

ユーザー名

ケースが作成された対象のユーザー。

ユーザーID

ユーザー識別子。

組織ID

組織IDは、不正調査担当者が属する組織に固有の識別子です。それぞれの不正調査担当者は1つの組織のみに属しています。

最終オンライン・アクション

ユーザーが実行した最後のアクション。たとえば、チャレンジ質問に回答した場合はフィールドに「チャレンジ質問」と表示され、ユーザーがブロックされた場合は「ブロック」と表示されます。

最終オンライン・アクションの日付

最後のオンライン・アクションが実行された日付。

一時許可の有効期限日

一時許可が有効になっている場合、このフィールドには、その有効期限日が示されます。一時許可が7日の場合、有効期限日は今日から1週間後です。

一時許可有効

一時許可が有効である場合、このフィールドには「はい」と表示され、それ以外の場合は「いいえ」と表示されます。

OTPバイパス有効

一時許可と似ていますが、OTPチャレンジはブロックではなく無視されます。

OTPバイパス有効期限日

OTPバイパスが有効でなくなる日時。

完了した登録

ユーザーが登録を完了している場合、このフィールドには「はい」と表示され、それ以外の場合は「いいえ」と表示されます。登録するには、ユーザーはパーソナライズ(イメージとフレーズ)、KBA質問/回答の登録、および電子メール/携帯電話の連絡先情報の入力をすべて完了する必要がある場合があります。

アクティブな質問

ユーザーが登録を完了したが、質問がリセットされ、ユーザーが戻って新しい質問を登録していない場合は、このフィールドに「いいえ」と表示されます。ユーザーが登録を完了しており、ユーザーにチャレンジするために使用できる質問が存在する場合、このフィールドには「はい」と表示されます。

OTP提供方法有効

ユーザーはOTPチャレンジ用に電子メールまたは携帯電話を登録しています。

パーソナライズ・アクティブ

イメージ、フレーズおよび質問がユーザーに対して有効になっている場合、このフィールドには「はい」と表示されます。これらのいずれかがリセットされている場合、このフィールドには「いいえ」と表示されます。

5.3.20 「ケース詳細」の表示

「ケース詳細」には、次の情報が表示されます。

表5-20 ケース詳細

詳細

説明

ケースID

ケースを識別するための一意のケース番号。

組織ID

不正調査担当者が属する組織に固有の識別子。それぞれの不正調査担当者は1つの組織のみに属しています。

作成者

これには、ケースを作成した不正調査担当者の名前が表示されます。構成可能なアクションによってケースが作成されている場合、「作成者」には動的と表示されます。

現在の所有者

現在このケースを使用中の調査担当者の名前。

ケース作成済

エージェント・ケースが作成された日付。

ケース・タイプ

「エージェント」、「CSR」または「エスカレーション済」(エスカレーション済ケースは作成できません)

重大度レベル

重大度レベルはケースを作成するユーザーによって設定され、このケースの重大度をユーザーに伝えるマーカーとして使用されます。誰でもケースの重大度を変更できます。

説明

ケースの詳細。説明は必須です。

処置

ケースが閉じている場合、処置はケース内の問題が解決された方法を示します。ケースに処置が存在するのは、クローズされている場合のみです。ケースのステータスがクローズ済以外である場合、処置は空白です。

ケース・ステータス

ケース・ステータスは、エージェント・ケースが手動で作成された場合は「保留中」になり、エージェント・ケースが(構成可能なアクションによって)自動的に作成された場合は「新規」になり、ケースがアクセスされると「保留中」に変わります。エスカレーション済ケースでは、ケース・ステータスは「エスカレーション済」になり、調査担当者がこのケースにアクセスすると、「保留中」に変わります。

ケース・ステータスは、様々な管理者によりアクセスされると変更されます。

有効期限日

エージェント・ケースおよびエスカレーション済ケースには、作成日から24時間のデフォルトの有効期限日があります。有効期限日より前にケースがアクセスされない場合、ステータスが「期限超過」になります。ケースがアクセスされるたびに、エージェント・ケースまたはエスカレーション済ケースの有効期限日が新しい値にリセットされ、デフォルトではこの日付はケースにアクセスがあった日付から24時間後にリセットされます。

最終ケース・アクション

エスカレーション済またはエージェント・ケースで実行された最後のアクション。エージェント・ケースにはユーザー詳細はありません。

最終アクションの日付

最後のアクションが行われた日付。

最終グローバル・ケース・アクション

エスカレーション済CSRケースから作成されていないエージェント・ケースの場合、「最終グローバル・ケース・アクション」フィールドは常に空です。ユーザーに関連付けられているエージェント・ケース(エスカレーション済ケース)の場合、最終グローバル・ケース・アクションは、エージェント・ケースに関連付けられているユーザーが最後に実行したケース・アクションです。ケース・アクションは、すべてのケースに対して実行できます(CSR/不正調査担当者)。

最終グローバル・ケース・アクションの日付

オンライン・ユーザーに対して実行された最後のアクション。

サマリーには現在の所有者およびケースを作成した不正調査担当者が表示される

サマリー・データには、現在の所有者およびケースを作成した不正調査担当者が表示されます。ケースが構成可能なアクションによって作成された場合、ケースの作成者として動的が表示されます。

5.3.21 様々な基準に基づく疑わしい可能性のあるセッションの検索

セッションを検索するには:

1. 「セッション」タブをクリックします。セッション検索ページが表示されます。
セッション・フィルタは次のとおりです。

表5-21 セッション検索フィルタ

フィルタ

説明

セッションID

セッションのID。

組織ID

不正調査担当者が属する組織を識別します。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

アラート・メッセージ

アラートに設定されたテキスト・メッセージ。

ユーザー名

ユーザーがログインするために入力するログイン名。

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

国

国ID。

都道府県

都道府県ID。「都道府県」リストには、「国」に選択された項目に基づいて動的にデータが移入されます。たとえば、「アメリカ合衆国」が選択されると、この国に選択できるすべての行政区画が「都道府県」に表示されます。

市区町村

市区町村ID。「市区町村」リストには、「国」および「都道府県」に選択された項目に基づいて動的にデータが移入されます。

IP範囲

IPアドレスの範囲。

ログイン時間

トランザクションを実行するためにカスタマがログインした時間。たとえば、5/11/09です。

デバイス・タイプ

デバイスがラップトップ/デスクトップまたはモバイル・デバイスであるかを表します。

クライアント・アプリケーション

ユーザーがアクセスしたネイティブ・モバイル・アプリケーションを示します。

緯度/経度:

デバイスの地理空間位置(GPSのWIFI三角測量により使用可能な場合)

外部デバイスID

MDMまたはその他のサード・パーティ・ソリューションにより一意のモバイル・デバイス識別子が提供されている場合に使用されます。

2. セッション検索ページで、検索フィルタに基準を指定して、返されるセッション数を絞り込みます。
たとえば、過去12時間の「高」アラートおよび「ブロック済」または「ロック済」認証ステータスを持つセッション(「時間」、「アラート・レベル」および「アクション」によってフィルタされたセッション)を検索します。

5.3.22 指定した基準に一致するセッションのリストの表示

「検索」ボタンをクリックすると、基準に一致するセッションのリストが検索結果に表示されます。

表5-22 セッション検索結果

フィールド

定義

セッションID

セッションのID。

アラート

アラートの重大度およびアラートの数。「その他」ボタン(オレンジ色の四角)をクリックすると、その重大度レベルのアラートの数およびトリガーされたアラートに関する詳細が表示されます。

トランザクション

セッション中に行われたトランザクションのタイプ。「その他」ボタン(オレンジ色の四角)をクリックすると、特定のトランザクションの「トランザクション詳細」ページを開くためのリンクにアクセスできます。このページには、トランザクションの一般サマリー、エンティティを含むトランザクション・データおよび値を含むトランザクション・データが含まれます。

組織ID

不正調査担当者が属する組織を識別します。

ユーザー名

ユーザーがログインするために入力するログイン名。

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

ロケーション

国ID、都道府県IDおよび市区町村ID

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。

セッション日

トランザクションを実行するためにカスタマがログインした時間。たとえば、5/11/09です。

認証前スコア

「認証前」チェックポイントのスコア。

認証前アクション

認証前チェックポイントのアクション。

認証前スコア

認証前チェックポイントのスコア。

認証後アクション

「認証後」チェックポイントのアクション。

クライアント・タイプ

仮想認証デバイス。認証またはフィンガープリント処理に使用されたデバイスまたはアプリケーション。たとえば、TextPad、KeyPad、質問パッド、ログイン・ページ、Flashトラッカです。auth.client.type.enumが使用される列挙です。

ユーザーID

そのユーザーの一意の識別子。

内部セッションID

セッションのシステム生成ID。

5.3.23 セッションのフォレンジック・レコードおよび一般詳細の表示

「セッション詳細」ページには、不正分析の特定のセッションで発生したイベントの概要が表示されます。次の項目が含まれます。

- ユーザー、デバイス、ロケーション、その他の詳細など、一般的なセッション情報とキーポイント

- カスタム・フィンガープリント・タイプに関する追加情報と使用可能な標準のフィンガープリント情報

- 作成されたトランザクションや評価されたチェックポイントなど、セッションのフォレンジック・レコード。

「セッション詳細」ページはこの項に示します。表5-17に、「セッション詳細」ページと「サマリー」パネル(デフォルトで拡張)、「チェックポイント」、「トランザクション」、「ユーザー」、「デバイス」および「ロケーション」タブを示します。

図5-14 セッション詳細

5.3.23.1 セッションのサマリー

「サマリー」パネルには、認証ステータス、ユーザーのログイン元の経度と緯度、Cookie情報、自動学習処理のステータス、ログイン日時、デジタル・フィンガープリントを収集するために使用されたデジタル・フィンガープリントのタイプなど、セッションに関する情報のサマリーが表示されます。カスタム・フィンガープリントが使用されている場合は、このパネルにカスタム・フィンガープリント・タイプ名が表示されます。

例: 速度アラートおよびロック済認証ステータスとともにセッションが表示されています。経験上、この組合せはまれであり、多くの場合は不正を表します。これは盗難された認証資格証明のケースである可能性があるため、調査する必要があります。このセッションの詳細画面を開いて、このセッションで行われたことを正確に調べます。ログインによりKBAチャレンジがトリガーされ、質問に回答しようとして3回失敗したためにロックされたことがわかります。また、このルールの結果として、ユーザーが高リスク・ユーザー・グループに動的に追加されたこともわかります。チャレンジの原因となったポリシーにドリル・インして、トリガーされたルールを確認します。また、このユーザーが、このロックアウトに関連するCSRケースを持っているかどうかも確認します。CSRケースを検索し、KBA質問をリセットするためにユーザーがコールされたかどうかを判断します。

5.3.23.2 チェックポイント

チェックポイントは「チェックポイント」タブにリストアップされます。このタブでは、最終アクション、リスク・スコア、トリガーされたアクション、生成されたアラート、実行時間、作成時間が表示されます。「チェックポイント」表からチェックポイントを選択すると、「チェックポイント」表の下に「チェックポイント」パネルが表示されます。

「チェックポイント」パネルでは、各チェックポイント表で「アクション」、「アラート」、「構成可能なアクション」または「ポリシー」リンクを選択し、チェックポイントのアクション、アラート、構成可能なアクションまたはポリシーに関する詳細を表示できます。個々のリンクにはパラメータの数が表示されます。

アラート

「アラート」パネルには、セッション中にチェックポイントに対して生成されたアラートとアラートの詳細が表示されます。各チェックポイントにより、複数のアラートがトリガーされることがあります。高レベル・アラートは、赤色の太字で表示されます。

表5-23に、「アラート」パネルに表示される情報のタイプを要約します。

表5-23 セッション・チェックポイント・アクション

項目

説明

レベル

アラートの重大度: 「高」、「中」または「低」

アラート・メッセージ

アラートに設定されたテキスト・メッセージ。

タイプ

アラートのタイプ: 不正、調査、情報またはその他の理由

トリガー・ソース

特定のアラートを生成したルール。

タイムスタンプ

アラートが生成された時間。

アクション

すべてのアクションが、「アクション名」列およびそのアクションが最終であるかどうかを示す個別の列を含む「アクション」パネルに表示されます。最終アクションは、チェックポイント・パネルの右上のセクションにも表示されます。

ポリシー

チェックポイントを選択して、「ポリシー」リンクをクリックすると、そのチェックポイントにおけるポリシーのリストが「ポリシー」パネルに表示されます。チェックポイント・パネルからルールを表示できます。アクション・リンクをクリックすると、チェックポイントでトリガーされたアクションを確認できます。

表5-24に、「ポリシー」パネルに表示される情報のタイプを示します。

表5-24 チェックポイント内のポリシー

項目

説明

名前

チェックポイント下にあるポリシーの名前、ポリシー下にあるルール、ルール下にある条件およびトリガーされたアクション。

ステータス

「実行済」(ポリシーの場合)および「トリガー済」(ルールの場合)。

スコアリング・エンジン

スコアリング・エンジンは、ポリシー・レベルおよびチェックポイント・レベルで提供されます。

ポリシー・スコアリング・エンジンは、各ポリシーのリスクを判別するためにルール・スコアに適用されます。

時間

発生時間。

重み

合計スコアに反映するために使用されるパーセント値。

スコア

特定の状況または状況の一部について計算され、数値で表されるリスクのレベル。1つのチェックポイント下に複数のポリシーがあります。これらのポリシーのスコアは、チェックポイントのスコアを決定するために使用されます。

スコア

スコアは、ポリシーおよびチェックポイントについて表示されます。スコアは、不正またはビジネス・シナリオの確率の検出および意思決定に役立ちます。

ポリシー・エクスプローラの起動

ポリシーの詳細を表示するには、パネル上部のアイコンを使用して、または表内の任意のアイコンから、ポリシー・エクスプローラを起動します。ポリシー・リンクに、「ポリシー詳細」ページが表示され、ルール・リンクに「ルールの詳細」ページが表示されます。アクティブなルールおよびトリガーされたルールのみが表示されます。アクティブなポリシーのみが表示されます。ポリシー・エクスプローラですべてのルールを表示するオプションがあります。

ポリシー・エクスプローラで、トリガーされたポリシーとルールそれぞれのランタイム値を表示できます。たとえば、あるルールがトリガーされ、ユーザーが通常ログインする国とは別の国からログインしたことが示された場合は、ランタイムの詳細を調査して、どの国からログインしたかを調査できます。ポリシー・エクスプローラには、トリガーされたポリシー、条件パラメータおよび実際の値が表示されます。

「チェックポイント」タブおよびパネルの使用例

調査担当者は、なぜ特定のルールがトリガーされたかに関心があります。たとえば、どのポリシーとルールによってアラートがトリガーされたのかを調査する場合があります。これらの詳細を確認することにより情報を収集できます。たとえば、「認証前」および「認証後」チェックポイントを正常に通過したユーザーであれば、パスワードと質問および回答を知っていたことになり、有効なユーザーである可能性が高いといえます。一方、質問に2度答えようとして3度目に正しい答えを出したユーザーは、疑わしいとみなされる場合があります。このユーザーは回答が即座にわからなかったため、新しい回答を試行する不正行為者である可能性があります。

5.3.23.3 セッション・トランザクション

「トランザクション」パネルには、セッションで行われたトランザクションのリストが表示されます。トランザクションで使用された実際のトランザクション・データとエンティティ属性の値を表示できます。たとえば、セッションを分析する不正調査担当者は、ユーザーがトランザクションの実行をブロックされ、特定のアラートが生成されたことを確認できますし、トランザクションで使用されたトランザクション数およびアカウント番号も確認できます。

「セッション・トランザクション」タブには、セッションの実行順にトランザクションが表示され、トランザクションID、トランザクション・タイプ、ステータス、アラート、トランザクション・データなどのトランザクションに関する情報も表示されます。

例: Jeffは自動的に生成されたケースを調査している不正調査担当者です。このケースから、彼は2つのアラートが生成されたことを確認できます。それらがトリガーされた具体的な理由を確認するために、彼は「セッション詳細」を開きます。セッション詳細から、彼はトリガーされたルール・インスタンス、ルールが含まれているポリシー、ポリシーにリンクされているチェックポイント、チェックポイントに関連するトランザクションを確認できます。彼はまた、アクションまたはスコア・オーバーライドがあるかどうかも確認できます。すべてのエンティティおよびトランザクション・データは、「セッション詳細」ページからアクセスできます。これには、保護されたアプリケーションからのトランザクションIDとトランザクション・ステータスが含まれています。調査担当者はこのデータを使用して、疑わしいトランザクションをアプリケーション・トランザクションまで遡って追跡し、そのトランザクションが成功したか、拒否されたか、遅延されたかまたはブロックされたかを確認できます。

5.3.23.4 セッション・ユーザー

「ユーザー」タブには、ユーザーの基本情報、登録情報およびプロファイル情報が含まれています。

一般情報

表5-25に、「ユーザー」タブで提供されるユーザーに関する基本情報を要約しています。

表5-25 ユーザーに関する基本情報

フィールド

定義

ユーザー名

ユーザーがログインするために入力するログイン名。

ユーザーID

そのユーザーの一意の識別子。

組織ID

ユーザーが属する組織を識別します。

有効なユーザー

ユーザーが、1回以上正常に認証されている場合はTrue。

ロック済

ユーザーが最大チャレンジ回数に失敗した場合のステータス。ユーザーは、失敗カウンタが最大失敗数に達した後にセッションからロックアウトされます。

作成日

ユーザーが作成された日付。ユーザーの最初のログイン日でもあります。

登録情報

ユーザーは初めてログインしたときに登録処理を行う必要があります。情報はこの処理中に取得されます。表5-26に、登録処理中にユーザーが実行した各アクションのステータスを特定するプロパティ値および属性値をまとめます。

表5-26 登録情報

フィールド

定義

完了した登録

(はい/いいえ)各ユーザーに固有で、セキュリティ上の理由からユーザーの識別に使用される、登録されたチャレンジ質問やイメージとフレーズなどの登録処理をユーザーが完了したかどうかを識別します。

仮想デバイス

登録処理中にユーザーがセキュア・デバイスとして登録したデバイスIDのリスト。最大3つのデバイスを登録できます。

パーソナライズ・アクティブ

(はい/いいえ)ユーザーがイメージとフレーズを登録したかどうかを識別します。

質問アクティブ

(はい/いいえ)ユーザーがチャレンジ質問を登録したかどうかを識別します。

OTPアクティブ

(はい/いいえ) ユーザーがショート・メッセージ・サービス(SMS)または電子メール・チャレンジでワンタイム・パスワード(OTP)を割り当てられたかどうかを識別します。

最終オンライン・アクション

ユーザーの最新のトランザクションでユーザーが実行した最後のオンライン・アクション。

最終オンライン・アクションの日付

ユーザーの最新のトランザクションでユーザーが実行した最後のオンライン・アクションの日付。

一時許可

(はい/いいえ)ユーザーがブロックされたかどうか、および自分のアカウントへの一時アクセスが許可されているかどうかを識別します。

プロファイル・データ

「プロファイル・データ」セクションには、キャッシュ・データを使用してユーザーに関する重要な統計値がリストアップされます。ユーザー・グループ、アクション・カウンタ・データ、アクション・オーバーライド・データ、フィンガープリント・データおよび失敗カウンタ・データの集計値が表示されます。これらの値はキャッシュ・データを使用し、データベースがパージされている場合でもレコードは常に表示されます。

表5-27 プロファイル・データ

フィールド

定義

ユーザー・グループ

ユーザーに関連付けられているグループをリストします。

アクション・カウンタ・データ

ユーザーが実行する様々なアクションおよびそれぞれの集計件数をリストします。このデータは、rule.action.enumでincrementCacheCounterプロパティがtrueに設定されている場合にのみ使用できます。

アクション・オーバーライド

オーバーライドが一時許可などでアクティブな場合、チェックポイントおよびオーバーライドするユーザーのアクションをリストします。

たとえば、ユーザーが前にブロックされ、現在は一時的に自分のアカウントへのアクセスを許可されている場合、認証前の間は、このユーザーは、ブロックされるのではなく、トランザクションの続行を許可されます(つまり、ブロック・アクションは許可アクションでオーバーライドされます)。アクションのオーバーライド値は、プロパティ・ファイルで構成されています。

フィンガープリント・データ

このパネルに表示されるフィンガープリント・データID番号は、「フィンガープリント・データ」タブに表示されるものと同じです。フィンガープリント・データと「フィンガープリント・データ」タブの違いは、タブにはID番号およびその他の情報(ブラウザやロケールなど)が表示されることです。

失敗カウンタ・データ

ユーザーに示されたチャレンジと、それぞれにユーザーが回答できなかった回数の合計のリスト。

5.3.23.5 セッション・デバイス

「デバイス」タブには一般的なデバイス情報が表示されます。次の情報を指定します。

基本情報

表5-28 基本情報

デバイス詳細: 「サマリー」タブ

説明

デバイスID

各デバイスを一意に識別するもので、OAAMによって自動生成されます。

特定のデバイスのデジタル・フィンガープリントが変更された場合でも、デバイスIDは保持され、新しいデバイスは作成されません。これは、セキュアCookieが前のリクエストと同じであるため、既存のデバイスIDとして引き続き使用されるためです。

デバイス・タイプ

使用するデバイスのタイプ。たとえば、デスクトップまたは従来型のコンピュータ。

外部デバイスID

外部デバイスIDは、別のシステムによってデバイスに与えられた番号です。たとえば、「Mobile and Social」では外部デバイスIDを提供できます。携帯電話

ブラウザ

デバイス・ブラウザ・タイプ。情報は、デバイスに関連付けられているフィンガープリント・データからフェッチされます。

オペレーティング・システム

デバイスのオペレーティング・システム。情報は、デバイスに関連付けられているフィンガープリント・データからフェッチされます。

作成日

ユーザーが、デバイスを認証に初めて使用した日付。デバイスの最初のログイン日でもあります。

最終使用日

この日付は、デバイスからの最新のログイン時間を表します。

フィンガープリント詳細

デバイス詳細のサマリー・ページには、フィンガープリント・タイプおよびそのパラメータが階層ツリー形式で表示されます。「フィンガープリント詳細」セクションでは、ログイン時にデバイスに作成されたフィンガープリントがリストされます。OAAMでは、標準で2つのフィンガープリント・タイプ(ブラウザとデジタル)のみをサポートしています。デジタル・フィンガープリントは、Flash、またはユーザーが定義したいずれかのカスタム・タイプになります。OAAMではフレームワークを提供しているため、ユーザーは、必要に応じて、ブラウザやFlash以外のフィンガープリント・タイプを使用できます。

セッション詳細サマリー・ページの「デジタル・フィンガープリント・タイプ」フィールドに、デジタル・フィンガープリントの収集に使用したフィンガープリント・タイプが表示されます。カスタム・フィンガープリントが使用される場合、このフィールドにはカスタム・フィンガープリント・タイプの名前が表示されます。

表5-29 フィンガープリント情報

デバイス詳細の「フィンガープリント」タブ

説明

フィンガープリント詳細のタイトル

フィンガープリント詳細のタイトルには、そのデバイスのフィンガープリントの数が示されます。

ブラウザ・フィンガープリント

ID、ブラウザ、ローカル国、ローカル言語、ローカル・バリアント、オペレーティング・システム、ユーザー・エージェントなどの情報が表示されます。

デジタル・フィンガープリント

Flashフィンガープリント、またはユーザーが定義した別のカスタム・フィンガープリントの情報が表示されます。フィールドには、次のような情報が表示されます。

- ID

- デジタル・フィンガープリント・タイプ

- 画面のアスペクト率

- 音声/ビデオがユーザーによって無効化された

- ビデオ・エンコーダが含まれる

- デバッグ・バージョン

- 1インチ当たりのドット数

- 埋込みビデオ

- Flashバージョン

- 音声エンコーダを備えている

- MP3対応

- アクセシビリティ対応

- 音声対応

- Input Method Editorインストール済

- ローカル・ファイル読取りが無効

- 画面の色

- 言語

- 製造業者

- オペレーティング・システム

- プレーヤ・タイプ

- 画面解像度

- ネイティブSSLのサポート

デバイスにカスタム・フィンガープリントとしてFlashが含まれている場合、デジタル・フィンガープリントには、OSタイプ、ブラウザ・タイプ、プレーヤ・タイプ、音声対応、MP3対応、ストリーミング音声のサポートなどのFlashフィンガープリント詳細が表示されます。Flashがデバイスに関連付けられていない場合、Flashフィンガープリント詳細およびパラメータは表示されません。

収集するデジタル・フィンガープリントのタイプをFlashから(たとえば)QuickTimeに変更することを決定した場合、「フィンガープリント詳細」パネルには、現在の(最新の)フィンガープリント(QuickTime)のみが表示されます。「フィンガープリント・データ」タブをクリックすると、そのデバイスのすべてのフィンガープリント詳細を確認できます(ブラウザ、FlashおよびQuickTimeが表示されます)。

5.3.23.6 セッション・ロケーション

表5-30「ロケーション詳細」に、「セッション詳細」ページの 「ロケーション」タブに表示される一般的なロケーション情報を示します。

表5-30 ロケーション詳細

IP詳細

説明

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

市区町村名

市区町村の地理的な名前。

都道府県名

都道府県の地理的な名前。

国名

国の地理的な名前。

最終使用日

ロケーションが最後に使用された日付。

接続スピード

インターネット接続スピードまたは帯域幅(高、中、低)。

接続タイプ

デバイスまたはLANとインターネット間のデータ接続を示します。「接続タイプ・マッピング」を参照してください。

ルーティング・タイプ

ユーザーがインターネットにルーティングされる方法を示します。

Carrier

ASNエンティティを管理するエンティティの名前。

AOL

接続がAOLだったかどうか。

ASN

単一のエンティティによって管理されるネットワークまたはネットワークのグループに割り当てられたグローバルに一意の番号。

Top-level Domain

URLのトップ・レベル・ドメイン。たとえば、www.company.comのcom。これはQuova参照ファイルを使用してマップされます。

Second-level Domain

URLの第2レベル・ドメイン。たとえば、www.company.comの名前。これはQuova参照ファイルを使用してマップされます。

City CF

正しい市区町村が識別されていることの信頼度係数(1-99)。

State CF

正しい都道府県が識別されていることの信頼度係数(1-99)。

Country CF

正しい国が識別されていることの信頼度係数(1-99)。

5.3.23.7 例による問合せ

「チェックポイン」および「トランザクション」表の上にある「例による問合せ」アイコンをクリックして、表問合せツールにアクセスします。「チェックポイン」または「トランザクション」表で、適切な問合せフィールドに文字列を入力して検索を開始します。「例による問合せ」では、問合せに基づいて表に結果が返されます。

表のチェックポイントは「チェックポイント名」、「最終アクション」、「リスク・スコア」および「実行時間」で、トランザクション表のトランザクションは「トランザクションID」、「トランザクション・タイプ」および「トランザクション・ステータス」で検索できます。たとえば、チェックポイント名として「認証前」を入力すると、表にセッションIDの認証前チェックポイントのみが表示されます。デフォルトでは、表問合せ用の「例による問合せ」フィールドが表示されます。

5.3.24 トランザクションの検索

トランザクション検索ページを使用すると、調査担当者はセッションとは関係なくトランザクションを検索できます。トランザクションを検索するには、特定のタイプによって特定のトランザクションをフィルタするためにトランザクション・タイプを選択する必要があります。トランザクション・タイプに基づいて、追加できる、対応するエンティティおよびトランザクション・フィールドが表示されます。これらはトランザクションの属性です。検索する属性の値を入力して、トランザクション結果をフィルタします。「トランザクション・タイプ」および「トランザクション日」フィールドは必須です。デフォルトでは、日付は過去24時間に設定されています。

いずれかのトランザクションをクリックして、「トランザクション詳細」ページを開きます。「グループに追加」機能は、示されているすべてのデータ型で使用できます。

トランザクションを検索するには、次の手順を実行します。

1. エージェント・ケース・ページで、「トランザクション」タブをクリックします。

2. トランザクションを検索するには、特定のタイプによって特定のトランザクションをフィルタするためにトランザクション・タイプを選択する必要があります。「トランザクション名」フィールドでトランザクション・タイプを選択します。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。

3. 「トランザクション日」フィールドに値を入力します。これらは必須です。デフォルトでは、日付は過去24時間に設定されています。
特殊文字を入力すると、エラー・メッセージが表示されます。また、「終了日」を「開始日」より前にすることはできません。

4. 検索フィールドで、基準を入力し、検索演算子を使用して検索する問合せを絞り込み、トランザクション結果をフィルタして、「検索」をクリックします。

表5-31に、トランザクションを検索およびフィルタするためのトランザクション・フィルタをリストします。

表5-31 トランザクションの検索フィルタ

フィルタ

説明

トランザクション・タイプ

トランザクションのタイプ。たとえば、「インターネット・バンキング」や小売りE-Commerceなどです。「トランザクション名」フィールドは、検索をそのトランザクションに制限するための必須フィールドです。トランザクションのタイプを選択すると、検索に追加するために選択できる、対応する「トランザクション・データ」および「エンティティ・データ」フィールドがOAAM管理に移入されます。トランザクション名属性は複数選択できます。

トランザクション日

トランザクション日は、トランザクションが送信された時点です。

トランザクション・ステータス

トランザクション・ステータスは、トランザクションの現在の状態です。値は「成功」、「失敗」または「保留中」です。

トランザクションID

トランザクションIDは、処理された各トランザクションに割り当てられる一意の数値参照です。

セッションID

セッションIDは、カスタマがトランザクションを実行する前にログインする認証セッションの識別子です。

組織ID

組織IDは不正調査担当者が所属する組織に固有の識別子です。各ユーザーは1つの組織のみに属しています。

ユーザー名

ユーザー名は、ログイン認証で入力した名前です。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

国

国ID。

都道府県

都道府県ID。「都道府県」リストには、「国」に選択された項目に基づいて動的にデータが移入されます。たとえば、「アメリカ合衆国」が選択されると、この国に選択できるすべての行政区画が「都道府県」に表示されます。

市区町村

市区町村ID。「市区町村」リストには、「国」および「都道府県」に選択された項目に基づいて動的にデータが移入されます。

IP範囲

IPアドレスの範囲。

デバイスID

デバイス識別情報

エンティティ・データ

エンティティ・データはエンティティに関連付けられている属性であり、検索用に選択された特定のトランザクション・タイプにマップされます。たとえば、「トランザクション名」に「インターネット・バンキング」を選択した場合は、BankNameという検索フィールドを追加できます。調査担当者は、これらの属性の対応する値を使用して検索を実行できます。

トランザクション・データ

トランザクション・データには、トランザクション・タイプに関連付けられている特定の属性が含まれます。たとえば、送金ではToAccountNumberまたはFromAccountNumberです。

注意:

暗号化されたフィールドによる検索はサポートされません。暗号化されたエンティティ・フィールドおよびトランザクション・フィールドは、トランザクションの検索フィルタとして使用できず、ドロップダウンに表示されません。

特殊文字を入力すると、エラー・メッセージが表示されます。

5. フィルタを追加するには、「フィールドの追加」下矢印ボタンをクリックします。

6. パラメータのリストから、追加のフィルタを選択します。たとえば、Address.Zip。

7. 検索フィールドに基準を入力します。

8. 検索演算子を使用して、テキスト・フィールドで問合せを絞り込みます。たとえば、「次と等しい」。次に、「検索」をクリックします。
検索基準に一致するトランザクションが「検索結果」表に表示されます。デフォルトでは、検索結果はセッションIDでソートされます。トランザクション名、トランザクション・ステータスおよび日付でソートできます。

トランザクション名のリンクをクリックすると、トランザクションの詳細を表示できます。「トランザクション詳細」ページには、セッション情報とともに、トランザクションおよびエンティティ・データのランタイム値が表示されます。

9. 関連するエンティティ・データを検索します。

10. 行を選択し、「エクスポート」をクリックして、検索結果をスプレッドシートにエクスポートします。上限は25行です。

11. 「グループに追加」オプションを使用して、さらにルール評価で使用できる、トランザクション、エンティティ・データおよび認証エンティティをグループに追加します。たとえば、ブラックリストに記載したアカウントや疑わしい業者などです。

5.3.25 単一トランザクション・タイプのエンティティによるトランザクションの検索

エンティティ属性を使用して、そのエンティティに関連するトランザクションをすべてリストする検索を実行できます。これを行うには:

1. エージェント・ケース・ページで、「トランザクション」タブをクリックします。

2. トランザクションを検索するには、特定のタイプによって特定のトランザクションをフィルタするためにトランザクション・タイプを選択する必要があります。「トランザクション名」フィールドでトランザクション・タイプを選択します。たとえば、「インターネット・バンキング」や小売E-Commerceなどです。

3. 「トランザクション日」フィールドに値を入力します。これらは必須です。
特殊文字を入力すると、エラー・メッセージが表示されます。また、「終了日」の値は「開始日」の値より前にすることはできません。

4. トランザクション・タイプを選択した後に、エンティティ・データおよびトランザクション・データ検索フィールドを追加します。フィルタを追加するには、「フィールドの追加」下矢印ボタンをクリックします。

- エンティティ・データは、検索対象として選択したトランザクション・タイプに関連する属性です。たとえば、「トランザクション・タイプ」として「インターネット・バンキング」を選択した場合は、検索フィールドBankNameを追加します。調査担当者は、これらの属性の対応する値を使用して検索を実行できます。

- トランザクション・データには、トランザクション・タイプに関連付けられている特定の属性が含まれます。たとえば、送金ではToAccountNumberまたはFromAccountNumberです。

「フィールドの追加」リストは、選択したトランザクション・タイプによって異なります。単一トランザクション・タイプの場合、特定のトランザクションのトランザクション・データおよびエンティティ・インスタンスが、トランザクション日、IP範囲、デバイスIDなどといったデフォルトの認証エンティティとともに表示されます。

5. 行を選択し、「エクスポート」をクリックして、検索結果をスプレッドシートにエクスポートします。上限は25行です。

6. 「グループに追加」オプションを使用して、さらにルール評価で使用できる、トランザクション、エンティティ・データおよび認証エンティティをグループに追加します。たとえば、ブラックリストに記載したアカウントや疑わしい業者などです。

5.3.25.1 エンティティ・フィールドによる検索のシナリオ

Jeffは不正調査担当者であり、OAAMによって生成されたケースを調べています。詳しい調査の結果、使用された住所が偽の住所であることがわかりました。調査担当者はこの住所を使用したすべてのトランザクションをリストします。調査担当者は、エンティティ・フィールドで検索する特定のトランザクション・タイプを選択します。

フィルタ

エンティティ・フィールド

トランザクション名

電信送金

エンティティ

住所

住所1

建物番号123

住所2

偽の番地

住所の市区

偽の市区

住所の都道府県

偽の都道府県

5.3.25.2 ATMカードによるATMトランザクション検索のシナリオ

Jeffは不正調査担当者であり、盗難されたATMカードを使用した過去1週間のすべてのATMトランザクションを見つけて、損害を見積もる必要があります。彼は、エンティティ・フィールド属性を検索フィルタとして使用して、そのエンティティに関連するすべてのトランザクションをリストする検索を実行できます。ATMカード番号は、カード・エンティティのエンティティ・フィールドの1つです。Jeffは、ATMカード番号検索フィルタをトランザクション・タイプとともに使用して、そのATMカードを使用するすべてのトランザクションをリストします。

フィルタ

エンティティ・フィールド

トランザクション名

すべてのトランザクションを選択

エンティティ

ATM

ATMカード番号

xxxx xxxx xxxx 1234

5.3.25.3 すべてのアカウント番号および各送金の金額をリストするシナリオ

Jeffは不正調査担当者であり、OAAMにより生成されたケースを調べています。

ユーザーJohnは疑わしく、銀行の異なるアカウント番号に複数回の電信送金を行っています。調査担当者は、すべてのアカウント番号および各送金の金額を結果にリストします。調査担当者は、エンティティ・フィールドで検索する特定のトランザクション・タイプを選択します。

フィルタ

エンティティ・フィールド

トランザクション名

電信送金

エンティティ

カスタマ

エンティティの名

John

結果

トランザクション・データ

金額

エンティティ

アカウント

トランザクション・フィールド

宛先アカウント番号

5.3.26 エンティティおよびトランザクション・データの組合せによるトランザクションの検索

エンティティ・フィールド属性を使用して、そのエンティティに関連するトランザクションをすべてリストする検索を実行できます。これを行うには:

1. エージェント・ケース・ページの「トランザクション」タブをクリックします。

2. トランザクション検索ページで、単一のトランザクション・タイプおよびエンティティを選択します。すべての使用可能なエンティティ・フィールドが結果として表示されます。「フィールドの追加」リストを使用して検索するフィールドを追加することもできます。

3. 結果をフィルタするためのエンティティ属性値を入力し、「検索」をクリックします。検索結果には、トランザクション・ログが一致するエンティティ・データとともに含まれます。
単一のトランザクション・タイプが選択されている場合、エンティティ・データ(および関連するエンティティ・データ)およびトランザクション・データの両方について、検索結果をフィルタできます。

4. 関連するエンティティ・データを検索します。

5.3.26.1 エンティティおよびトランザクション・データによる検索のシナリオ

Jeffは不正調査担当者であり、OAAMにより生成されたケースを調べています。

ユーザーJohnは不正の疑いがあり、銀行のこのアカウント番号1234に対して複数回の電信送金を行っています。調査担当者は、トランザクションの数および各回の送金額を判別します。調査担当者は、エンティティ・フィールドで検索する特定のトランザクション・タイプを選択します。

フィルタ

エンティティ・フィールド

トランザクション名

電信送金

トランザクション・データ

宛先アカウント番号 - 1234

エンティティ

カスタマ

エンティティの名

John

5.3.27 複数トランザクション・タイプのエンティティによるトランザクションの検索

エンティティ属性を検索フィルタとして使用して、これらのトランザクション・タイプにわたってエンティティを検索できます。このシナリオは、トランザクション間において共通エンティティが共有されている場合に使用されます。

1. エージェント・ケース・ページの「トランザクション」タブをクリックします。

2. トランザクション検索ページで、ドロップダウン・リストからトランザクション・タイプとして「すべて」を選択します。すべての使用可能なエンティティ・フィールドが結果として表示されます。
別の検索モードを使用して続行するには、まずトランザクション・タイプを選択する必要があります。トランザクション・タイプが選択されていない場合、トランザクション・データおよびエンティティ・データは移入されません。

3. 選択されたこれらのトランザクション・タイプにわたるエンティティのエンティティ属性フィールドおよび関連エンティティ属性フィールドを追加します。
「フィールドの追加」リストは、選択したトランザクション・タイプによって異なります。複数またはすべてのトランザクションの場合、選択されたトランザクション・タイプ間で共通のトップ・レベル・エンティティのみが、その関係とともに表示されます。

注意:

トランザクション・データおよびエンティティ・インスタンスは表示されません。

4. 結果をフィルタするためのエンティティ属性値を入力し、「検索」をクリックします。検索結果には、トランザクション・ログが一致するエンティティ・データとともに含まれます。
トランザクション名は、トランザクション・タイプおよびトランザクションIDの組合せです。たとえば、wiretransfer_12です。

トランザクション名をクリックすると、「トランザクション詳細」ページが開きます。「トランザクション詳細」ページには、セッション情報とともに、トランザクションおよびエンティティ・データのランタイム値が表示されます。

注意:

結果で複数のトランザクションが選択された場合、「グループに追加」オプションは無効になります。

デフォルトでは、検索結果はセッションIDでソートされます。トランザクション名、トランザクション・ステータスおよび日付でソートすることもできます。単一セッション内の複数のトランザクションの場合、結果はセッションIDでソートされるため、隣り合った結果が自動的にグループ化されます。

アラートの表示はセッションの検索に似ています。ポインタを置くと、アラート・メッセージを発生数とともに表示できます。

注意:

関連エンティティ・データは検索できません。

5. 関連するエンティティ・データを検索します。

6. 検索テンプレートを結果レイアウトとともに保存して、必要に応じて再使用できます。検索テンプレートの1つをデフォルトの検索ページとして設定することもできます。

7. 検索結果をスプレッドシートにエクスポートします。上限は25行です。

5.3.27.1 異なるトランザクションにおけるクレジット・カード検索(ショッピング・カートおよび小売りE-Commerce)のシナリオ

Jeffは不正調査担当者であり、OAAMにより生成されたケースを調べています。詳しい調査の結果、使用されたクレジット・カードが盗難されたクレジット・カードであることがわかりました。このクレジット・カードは、ショッピング・カート、小売りE-Commerceなどの様々なトランザクションで使用された可能性があります。調査担当者は、過去1週間以内にこのクレジット・カードが使用された異なるトランザクションをすべてリストして、損害を見積もります。カード番号は、エンティティ・フィールドの1つです。調査担当者はすべてまたは複数のトランザクション・タイプを選択して、エンティティ・フィールドで検索します。

フィルタ

選択項目

トランザクション・タイプ

すべてのトランザクションを選択

エンティティ

クレジット・カード

クレジット・カード番号

xxxx xxxx xxxx 1881

5.3.28 セッション検索ページから詳細ページを開く

対応する詳細ページを開いて追加情報を表示するには、セッションID、ユーザー名、デバイスID、IPアドレス、ロケーションおよびアラートをクリックします。

注意:

チェックポイントが実行されていない場合、「認証前」または「認証後」チェックポイントに-1のスコアが表示されます。

表5-32 セッション検索結果

開く詳細ページ

クリックするリンク

「セッション詳細」ページ

セッションIDのリンク

セッション・リストまたはその他のページからセッションIDのリンクをクリックすると、そのセッションに関する総合情報を示す、対応する「セッション詳細」ページが開きます。

「トランザクション詳細」ページ

「その他」ボタンをクリックしてから、特定のトランザクションのリンクをクリックします。トランザクションに関する一般情報、およびトランザクションのエンティティおよび属性値を含むトランザクション・データを示す「トランザクション詳細」ページが開きます。

「アラート詳細」ページ

他のページ(セッション詳細、その他の詳細ページおよびエージェント・ページ)のアラート・メッセージのリンク

他のページ(セッション詳細、その他の詳細ページおよびエージェント・ページ)からアラート・メッセージのリンクをクリックすると、「アラート詳細」ページが開きます。「アラート詳細」ページでは、メッセージ、レベル、メッセージのタイプ、および他のデータ型(ユーザー、デバイス、ロケーション、セッション、ブラウザ、オペレーティング・システム、ロケールなど)との相互参照に関する情報を提供します。さらに、アラートが生成された1つ以上の理由に関する情報も提供されます。

「ユーザー詳細」ページ

他のページのユーザー名またはユーザーIDのリンク

他のページからユーザー名またはユーザーIDのリンクをクリックすると、そのユーザーに関する追加の詳細を示すユーザー詳細ページが開きます。

「デバイス詳細」ページ

セッション詳細またはその他のリスト・ページのデバイスIDのリンク

セッション詳細またはその他のリスト・ページでデバイスIDのリンクをクリックすると、対応する詳細ページが開きます。このページには、他のデータ型(ユーザー、ロケーション、アラート、ブラウザ、セッション、フィンガープリント・データの全リストなど)との相互参照を含むデバイスの詳細が表示されます。

IPアドレス詳細ページ

セッション・リストまたはその他のページのIPアドレスのリンク

セッション・リストまたはその他のページからIPアドレスのリンクをクリックすると、そのIPロケーションに関する追加の詳細を示す、対応するIPアドレス詳細ページが開きます。

ロケーション詳細ページ

セッション・リストまたはその他のページの国、都道府県または市区町村のリンク

セッション・リストまたはその他のページから国、都道府県または市区町村のリンクをクリックすると、そのロケーションに関する追加の詳細を示す、対応するロケーション詳細ページが開きます。

「フィンガープリント詳細」ページ

セッション詳細またはリスト・ページのデジタル・フィンガープリントIDまたはブラウザ・フィンガープリントIDのリンク

セッション詳細またはリスト・ページからデジタル・フィンガープリントIDまたはブラウザ・フィンガープリントIDのリンクをクリックすると、フィンガープリント詳細ページが開きます。フィンガープリント詳細ページでは、フィンガープリントに関する基本情報、デバイスのフィンガープリント生成時に収集されたデータ、使用されたユーザー、デバイスおよびロケーションのリスト、そして特定の期間においてフィンガープリントの生成が行われたログイン・セッションのリストが提供されます。

最大10個のタブに、別の詳細ページから詳細ページが開きます。詳細ページのタブには、詳細ページを起動できるリンク・パラメータも含まれます。

注意:

マルチテナントが有効になっている場合、調査担当者はOAAM管理コンソールのどこからも詳細ページにアクセスできません。

5.3.29 セッションの特定のアラートの表示

アラートの詳細には、メッセージ、レベル、タイプ、および他のデータ型(ユーザー、デバイス、ロケーション、セッション、ブラウザ、オペレーティング・システム、ロケールなど)との相互参照が含まれます。調査担当者は「アラート詳細」ページを使用して、このアラートを生成したユーザー間の関係のみではなく、このアラートの生成時に使用されていたロケールといった、役に立つ可能性のある他のデータの関係もすばやく確認できます。

あるセッションに対してトリガーおよび生成された特定のアラートを表示するには、次の手順を実行します。

1. 「セッション」タブをクリックして、セッション検索ページを開きます。

2. 「セッションID」フィールドにセッションIDを入力し、「アラート・メッセージ」フィールドにアラート・メッセージを入力して、「検索」をクリックすることにより、セッションを検索します。

3. 結果表で、「アラート」列のアラートの横にあるオレンジ色の四角をクリックして、アラート・メッセージのポップアップ画面を表示します。

4. ポップアップ画面に表示されたアラート・メッセージをクリックして、「アラート詳細」ページを開きます。

5. 詳細ページを使用して、アラートの生成に関する情報、メッセージ、アラート・レベル、メッセージ・タイプおよびその他のデータ型(ユーザー、デバイス、ロケーション、セッション、ブラウザ、オペレーティング・システムおよびロケールなど)とアラートとの関係を表示します。
表5-33に、詳細ページと各ページで提供される情報のタイプをリストします。

表5-33 「アラート詳細」タブ

「アラート詳細」タブ

説明

サマリー

アラートに関する一般情報および現在の詳細(レベル/タイプ)を含むアラート・テンプレートを表示します。

アラートが関連付けられているアラート・グループを表示します。

ユーザー

このアラートがトリガーされたセッションを持つユーザーを表示します。

このレポートを使用すると、ログイン・プロセス中にどのユーザーにアラートが生成されたか、およびユーザーごとのアラートの生成回数を確認できます。

デバイス

このアラートがトリガーされたセッションに含まれていたデバイスを表示します。

このレポートを使用すると、ログイン・プロセス中にどのデバイスにアラートが生成されたか、およびデバイスごとのアラートの生成回数を確認できます。

ロケーション

このアラートがトリガーされたセッションに含まれていたロケーションを表示します。

このレポートを使用すると、ログイン・プロセス中にどのロケーションにアラートが生成されたか、およびロケーションごとのアラートの生成回数を確認できます。

セッション

このアラートがトリガーされたセッションを表示します。

フィンガープリント・データ

アラートが生成されたログイン・プロセスで作成されたフィンガープリントを表示します。

5.3.30 トランザクション検索結果の表示

トランザクション検索ページで「検索」をクリックすると、基準に一致するトランザクションが結果表に表示されます。

図5-15 トランザクション検索結果の表示

表5-34に、トランザクション検索結果の列をまとめます。

表5-34 トランザクション検索結果

データ

定義

トランザクション・タイプ

トランザクションのタイプ。トランザクション検索結果でトランザクション名のリンクをクリックすると、そのトランザクション・インスタンスに関する詳細タブが開きます。タブにはトランザクションおよびエンティティ・データに加え、セッション・データが含まれています。このフィールドでは、特定のトランザクションの「トランザクション詳細」ページへのリンクが提供されます。

トランザクションID

トランザクションのID。このフィールドでは、特定のトランザクションの「トランザクション詳細」ページへのリンクが提供されます。

トランザクション・ステータス

トランザクションのステータス。

アラート

トランザクション・インスタンスのアラート。アラートのリンクをクリックすると、「アラート詳細」ページへのリンクを含むアラート・サマリー・ポップが開きます。

トランザクション日

トランザクションが発生した日付。

セッションID

ユーザーのセッションID。セッションIDのリンクをクリックすると、「セッション詳細」タブが開きます。

検索結果でトランザクション・タイプのリンクをクリックすると、トランザクションの詳細を表示できます。「トランザクション詳細」ページには、セッション情報とともに、トランザクションおよびエンティティ・データのランタイム値が表示されます。

デフォルトでは、検索結果はセッションIDでソートされます。トランザクション・タイプ、トランザクション・ステータスおよびトランザクション日でソートすることもできます。

5.3.30.1 トランザクション詳細表示のシナリオ

Jeffは不正調査担当者であり、OAAMにより生成されたケースを調べています。ユーザーJohnは疑わしく、銀行の異なるアカウント番号に複数回の電信送金を行っています。調査担当者は、すべてのアカウント番号および各送金の金額を結果にリストします。調査担当者は、エンティティ・フィールドで検索する特定のトランザクション・タイプを選択します。

フィルタ

エンティティ・フィールド

トランザクション名

電信送金

エンティティ

カスタマ

エンティティの名

John

結果

トランザクション・データ

金額

エンティティ

アカウント

トランザクション・フィールド

宛先アカウント番号

Jeffがいずれかの検索結果を選択してトランザクション名のリンクをクリックすると、「トランザクション詳細」ページが表示されます。

5.3.31 新規ケースへのセッションのリンク

セッションをケースにリンクするには:

1. セッションを新規エージェント・ケースまたは既存のケースにリンクするには、セッションを選択し、ツールバーで「ケースへのリンク」をクリックします。
次の手順を示したダイアログが表示されます。「ケースを開いてセッションをリンクします。既存のケースを検索して選択するか、新規ケースを作成し、セッションをリンクしてください。」「新規ケースの作成」、「既存のケースを開く」および「取消」の3つのボタンが表示されます。

2. 「新規ケースの作成」をクリックします。
詳細の入力手順を示す「ケースへのリンク」ダイアログが表示されます。ケース・タイプはエージェントであり、変更できません。

3. 次のフィールドに詳細を入力します。

- 組織ID

- 重大度レベル: 選択項目は「低」、「中」、「高」です。

- 事前に作成した説明: 選択項目は、ログインできない、「質問の回答忘れ」、「不正の可能性」および「OTPオーバーライド」です。

- 説明

4. 「次」をクリックします。
次のメッセージを示す別の「ケースへのリンク」ダイアログが表示されます。「次のセッションがケースcase_numberにリンクするために選択されています。このアクションのノートを入力してください。」

リンク処理の一環として、セッションをリンクした理由を説明するノートを入力します。

5. 「事前に作成したノート」を入力します。選択項目は、「これらのセッションには不正の疑いがあります。」および「これらのセッションには企業による誤用があります。」です。

6. 「セッションのリンク」をクリックします。「選択したセッションが正常にケースcase_numberにリンクされました。」というメッセージを示すダイアログが表示されます。

7. 「OK」をクリックしてダイアログ・ボックスを閉じます。

ケース・ログには、リンク・アクションを実行したユーザーとともにノートが記録されます。調査担当者またはマネージャによってリンクが解除されないかぎり、これらのセッションはケースにリンクされたままになります。

5.3.32 ケース詳細からケースへのセッションのリンク

セッションをリンクするには、次の手順を実行します。

1. 「ケース詳細」ページで、「リンク・セッション」タブをクリックします。

2. 「セッションのリンク」ボタンをクリックします。

図5-16 リンク・ボタン

調査担当者が追加するセッションを検索できる、「リンク・セッション」ダイアログが開きます。

3. セッションID、ユーザー名、IPアドレス、デバイスIDおよびロケーションでセッションをフィルタし、特定のログイン時間範囲を指定します。

図5-17 リンク・セッション検索

4. 結果から、このケースにリンクするセッションを選択し、「次」をクリックします。
1つ以上のリンクするセッションを一度に選択します。これらは、調査が必要なケースの一部であるセッションです。

ケースにリンクできるセッションを示すダイアログが表示されます。

図5-18 リンクに関するノートの追加

5. 「ノート」フィールドで、ノート・リストからノートを選択するか、セッションがリンクされる理由を記述する1から4000文字のノートをテキスト・ボックスに入力します。

6. 「終了」をクリックします。
ケースにセッションがリンクされ、「リンク・セッション」タブに表示されます。

5.3.33 エンティティのグループの検証

エンティティのグループを検証できます。たとえば、あるトランザクションで使用されたアカウント番号が疑わしいアカウント・グループに属しているかどうかを検証して、そのトランザクションをブロックする必要がある場合です。使用する条件は、「トランザクション: フィルタ条件を使用したトランザクション件数の確認」です。

5.3.34 詳細分析のためのリンク・セッションのエクスポート

調査担当者は1つ以上のリンク・セッションを選択し、それらを詳細分析のためにMicrosoft Excelドキュメント(XLS)としてエクスポートできます。Microsoft Excelドキュメントのエクスポートのみを行えます。

エクスポートできるリンク・セッションの最大数は1000に事前構成されています。制限を変更するには、次の構成可能なプロパティを編集します。

oaam.xls.case.linkedsession.export.row.upperbound=1000

詳しい調査および分析のためにリンク・セッションをエクスポートするには:

1. 「ケース詳細」ページで、「リンク・セッション」タブをクリックします。
すべてのリンク・セッションがリストされた「リンク・セッション」ページが開きます。

2. リンク・セッションを選択し、「リンク・セッションのエクスポート」をクリックします。

3. 「ファイルの保存」を選択し、ファイルを保存するロケーションを参照して、「エクスポート」をクリックします。
次の詳細とともにセッションがエクスポートされます。

- 行

- セッションID

- リンク日

- ユーザー名

- デバイスID

- デバイス・スコア

- IPアドレス

- ロケーション

- トランザクション

- アラート

- セッション日

- ノート

5.3.35 リンク・セッションのリンク解除

調査担当者が、リンク・セッションがケースとは無関係であると判断した場合、それらをそのケースからリンク解除できます。

リンク・セッションをリンク解除するには:

1. 「ケース詳細」ページで、「リンク・セッション」タブをクリックします。

2. ツールバーで「セッションのリンク解除」をクリックします。
リンク解除することを選択したすべてのセッションがリストされた「セッションのリンク解除」ダイアログが開きます。

3. セッションをリンク解除する理由に関するノートを入力します。

4. リンク解除するリンク・セッションを選択して、「リンク解除」を押します。
セッションがケースからリンク解除されます。

5.3.36 後での参照、移植性およびオフライン調査のためのケース詳細の保存

サマリー、ログ・リスト、リンク・セッションを含むケース詳細を、後での参照、移植性およびオフライン調査のためにXLS形式のファイルに保存します。

ケース検索ページからケース詳細を保存するには:

1. 「検索結果」表からケースを選択し、「XLSにエクスポート」をクリックします。

2. 「エクスポート」ダイアログが開いたら、Microsoft Excelにファイルを保存することを選択します。

「XLSにエクスポート」をクリックすることに加え、ケースのサマリー、ケースのログおよびケースの「リンク・セッション」ページからケース詳細を保存することもできます。

注意:

エクスポートするために選択できるデフォルトの行数は100行です。100行を超える行をエクスポートするために選択しようとすると、エラーが発生します。

5.3.37 調査およびフォレンジック用OAAM BI Publisherレポートの使用

この項では、調査およびフォレンジックにおけるレポートの2つの使用例について説明します。BI Publisherレポートの設定の詳細は、第24章「レポートおよび監査機能」を参照してください。

5.3.37.1 セッション・アクティビティ集計

BI Publisherレポートは、チェックポイントの結果を表示するために使用できます。

- チェックポイントごとの各アクションの合計数

- チェックポイントごとの各アラートの合計数

- チェックポイントごとのリスク・スコア範囲(0から600、601から800、801から1000)を持つセッションの合計数

ログイン分析集計レポート

たとえば、Georgeはセキュリティおよびコンプライアンス担当者です。彼は、リアルタイムではコストが高すぎて実行できないと考えられるログイン・リスク評価を、オフラインで実行するためのソリューションを構成するように依頼されました。標準の実行タスクを使用し、選択項目に含まれるすべてのセッションに対してチェックポイントのログイン・チェーン全体を実行します。ロードおよび実行が完了したら、Georgeは、認証前および認証後データにおける各アクション、アラート、リスク・スコアの合計数のメトリック示す集計レポートを生成します。

たとえば、Georgeはセキュリティおよびコンプライアンス担当者です。彼は、新規ポリシーを本番環境にロール・アウトする前にテストするためのログイン・リスク評価をオフラインで実行するソリューションを構成するように依頼されています。あるポリシー構成と別のポリシー構成間における結果の違いを確認するためのテストを行う際、彼はポリシー・セットAを使用してテストを実行してから、このレポートを実行し、HTMLにエクスポートします。次に、彼はポリシー・セットBを使用して同じことを行い、2つのレポートを比較して、ポリシーの変更が予期したとおりに動作しているかどうかを確認します。

5.3.37.2 ケース処置によるセッションの検索

調査マネージャおよびビジネス・アナリストである場合は、OAAMおよび自分の不正チームの有効性を評価できます。調査の過程で、指定した処置とともにケースにリンクされているすべてのセッションを返すレポートを実行できます。結果には、各セッションがリンクされているケースIDが示されます。

ケース処置によるセッションの検索レポート

マネージャは、週末にレポートを実行して、組織IDが「Sears」であり、「確認済不正」の処置によってケースにリンクされているすべてのセッションのリストを検索します。

5.4 ケースの管理

ケースの管理手順を次に示します。

5.4.1 エージェント・ケースの検索

ケースとは、調査担当者が調査中に収集する詳細を格納するためのコンテナです。ケースが作成されたら、そのケースを検索して詳細を表示します。

一般的なケース検索

ケースが作成されたら、そのケースを検索して詳細を表示します。

ケースを検索するには

1. ケース検索ページから、検索フィルタおよびフィールドを使用して検索をフィルタします。
表5-35では、ケース検索フィルタについて説明しています。

表5-35 検索フィルタ

検索基準

説明

組織ID

組織のケースを検索するには、「組織ID」を選択します。不正調査担当者は、組織にアクセス権があるケースのみを確認できます。不正調査担当者がアクセス権を持つ組織IDに関連付けられているエスカレーション済ケースも、それが問合せ基準に一致している場合には、検索結果に含まれます。

ユーザー名

エージェント・ケースの「ユーザー名」フィールドは空白です。ユーザー名は、ユーザーがログインするために使用する識別子です。ユーザー名と組織IDの組合せは、ユーザーがアプリケーションにアクセスするための一意の識別子です。

ユーザーID

エージェント・ケースの「ユーザーID」フィールドは空白です。

ケースID

特定のケースを検索するには、ケースIDを入力します。

説明

説明に含まれるキーワードでケースを検索するには、目的の語を入力します。説明で検索すると、「説明」フィールドに一致する語が含まれるすべてのケースが表示されます。

ケース・タイプ

ケース・タイプでケースをフィルタリングするには、「エージェント」を選択します。エージェント・ケースを操作するのは調査担当者および調査マネージャです。エージェント・ケースは特に、不正調査担当者および調査マネージャによるデータ分析およびセッションとケースの関係の特定に使用されます。

重大度レベル

重大度レベルでケースを検索するには、「低」、「高」または「中」を選択します。重大度レベルは、このケースの重大度をケース担当に伝えるマーカーです。重大度レベルは、ケースの作成者が設定します。

ケース・ステータス

ケース・ステータスでケースをフィルタリングするには、「新規」、「保留中」、「クローズ済」または「エスカレーション済」を選択します。

有効期限切れ

有効期限切れかどうかでリストをフィルタリングするには、必要なオプションを選択します。

使用できるオプションは次のとおりです。

- 有効期限切れの非表示

- 有効期限切れのみ表示

作成日

指定の作成日範囲内に作成されたケースを検索するには、範囲の開始日および終了日を入力します。

処置

処置でケースをフィルタリングするには、次のいずれかを選択します。

- 確認済不正

- 重複

- 偽陰性

- 偽陽性

- 問題保留中

- 問題解決済

- 不正ではない

処置は、ケース内の問題が解決された方法を示します。ケースに処置が存在するのは、クローズされている場合のみです。

移行の詳細:

- 「偽陰性」、「偽陽性」、「問題保留中」および「問題解決済」は、リリース11.1.2.1の前に使用されていた処置でした。これらは11.1.2.1では使用されていません。

- 「ケース詳細」ページには、11.1.2.1以前のエージェント・ケースに対応する処置が表示されます。

- ケースの検索では、新しい処置だけでなく、旧バージョンの処置でも検索できます。

最終アクション

ケースで実行された最終アクションに基づいて検索します。

ノート

ログに特定のキーワードが含まれるケースを検索します。たとえば、支払拒否という語が含まれるすべてのエージェント・タイプ・ケースを検索する場合、「使用デバイスは支払拒否数に関連します」という文が含まれるノートを持つケースがケース・リストに返されます。

作成者

ケースを作成した調査担当者のユーザー名で検索します。

現在の所有者

このケースを現在使用している(最終アクションを実行した)調査担当者のユーザー名で検索します。

2. 「検索」をクリックします。
ケースが検索されたら、「ケースID」をクリックしてケース詳細を表示します。

特定のケースが見つかった場合、複数の異なるタスクを実行するオプションを使用できます。この点についてはこの章で説明します。

3. 検索テンプレートを結果レイアウトとともに保存して、必要に応じて再使用するには、「保存」をクリックします。検索テンプレートの1つをデフォルトの検索ページとして設定することもできます。

注意:

マルチテナントが有効になっている場合、検索結果には、CSRがアクセス権を持っている組織に属するユーザーのケースのうち、検索基準に一致するものがすべて表示されます。ユーザーなしのケースの場合、ケース所有者の組織IDが調査担当者のアクセス権リストに含まれており、ケースが検索基準に一致する場合に、ケースが結果セットに含まれます。

処理する自動生成されたケースの検索

自動生成されたケースから調査を実行する場合は、手始めに新しく自動生成されたケースを検索します。

処理する自動生成されたケースを検索するには、次の手順を実行します。

1. ケース検索ページから、最新の時間ですべてのエージェント・ケースをフィルタし、「ケース・ステータス」フィールドで「新規」を選択します。次に「検索」をクリックします。
たとえば、過去2時間に作成された自動生成ケースを検索するには、次のように選択します。

2. 結果表には「ケースID」列が含まれており、これは「ケースID」列ヘッダーをクリックして昇順または降順でソートできます。その隣にある上矢印および下矢印は、データの現在の順序を示します。「ケースID」列ヘッダーをクリックして、結果を昇順でフィルタします。最小のケースID番号が最も古いものです。

3. ケースIDをクリックしてケースを開きます。
「新規」ステータスを持つケースに調査担当者がアクセスして処理を開始すると、ステータスが自動的に「保留中」に変わり、「現在の所有者」が調査担当者になります。

「ケース詳細」ページでは、現在の所有者およびケース・ステータスに関する情報を提供します。

他の調査担当者は、このケースが現在使用中であると判別できるようになります(ケースに所有者が設定され、ステータスが「新規」ではなく「保留中」であるため)。調査担当者は、他の調査担当者が使用中のケースを開かないことがベスト・プラクティスです。

エスカレーション済ケースの検索

エスカレーション済ケースから調査を実行する場合は、まず保留中のエスカレーション済ケースを検索します。

処理するケースを検索するには、次の手順を実行します。

1. ケース検索ページから、時間ですべてのエージェント・ケースをフィルタし、「ケース・ステータス」フィールドで「エスカレーション済」を選択します。「ユーザー名」フィールドでユーザー名を指定できます。次に「検索」をクリックします。
たとえば、昨日エスカレーションされたsmithのケースを検索するには、次のように選択します。

2. 結果表には「ケースID」列が含まれており、これは「ケースID」列ヘッダーをクリックして昇順または降順でソートできます。その隣にある上矢印および下矢印は、データの現在の順序を示します。「ケースID」列ヘッダーをクリックして、結果を昇順でフィルタします。最小のケースID番号が最も古いものです。

3. ケースIDをクリックしてケースを開きます。
「新規」ステータスを持つケースに調査担当者がアクセスして処理を開始すると、ステータスが自動的に「保留中」に変わり、「現在の所有者」が調査担当者になります。

「ケース詳細」ページでは、現在の所有者およびケース・ステータスに関する情報を提供します。

他の調査担当者は、このケースが現在使用中であると判別できるようになります(ケースに所有者が設定され、ステータスが「新規」ではなく「保留中」であるため)。調査担当者は、他の調査担当者が使用中のケースを開かないことがベスト・プラクティスです。

作成者による検索

過去n時間に特定の調査担当者によって作成されたすべてのエージェント・タイプ・ケースを検索できます。

1. ケース検索ページから、時間ですべてのエージェント・ケースをフィルタします。

2. 「作成者」フィールドに調査担当者の名前を入力します。次に「検索」をクリックします。
そのユーザーによって手動で作成されたすべてのケースのリストが表示されます。

実行されたアクションによるケースの検索

調査担当者は、ケースで実行されたアクションに基づいて、CSRケースおよびエージェント・ケースの両方を検索できます。

例: 昨日、jsmithはカスタマ・サービスに電話をかけ、自分のアカウントからお金が失われていることを伝えました。CSRはケースをエスカレーションし、jsmithに24時間以内に連絡することを伝えました。36時間後、jsmithは再度電話をかけて、連絡がない理由を尋ねます。調査担当者は、jsmithに対して昨日エスカレーションされたケースを表示する必要があります。彼は、「エスカレーション」アクションを含むjsmithのケースおよび期限超過していないケースを検索します。

1. ケース検索ページの「ケース・タイプ」フィールドで「エージェント」を選択します。

2. 「ユーザー名」フィールドにjsmithと入力します。

3. ケース・タイプとして「エスカレーション済」を選択します。
そのユーザーによって手動で作成されたすべてのケースのリストが表示されます。

4. 「過去24時間」でエスカレーション済ケースをフィルタし、「検索」をクリックします。
「検索結果」表に、jsmithのエスカレーション済ケースが表示されます。

ケース・ステータスによるケースの検索

エージェント・ケースの検索ページには、調査担当者が検索するケース・ステータス用のフィールドがあります。ケース・ステータスは、ケースの現在の状態です。これにより調査担当者は、処理するケースを検索するときに、調査が新規、保留中、クローズ済またはエスカレーション済のいずれであるのかを判別できます。表5-36に、ケースに使用されるステータス値を示します。

表5-36 ケース・ステータス

ステータス

定義

新規

新規ケースとは、作成されているが、まだ処理されていないケースです。これはケースの作成時のステータスです。ケースは、構成可能なアクションによって作成された(自動生成された)場合に新規になります。

保留中

調査担当者が使用中の調査は保留中になります。まだ解決されていないケースのステータスです。手動で作成されたケースは、作成時に保留中になります。

クローズ済

クローズ済ケースとは、問題が解決されているため、それ以上の調査を必要としないケースのことです。クローズ済ケースには、そのケースでどのように問題が解決されたかを記述する処置が含まれます。ケースに処置が存在するのは、クローズされている場合のみです。たとえば、不正が特定された場合、不正調査担当者は調査結果を記録し、ケースに関連する高リスク・エンティティをブラックリストに記載して、処置とともにケースを閉じます。

エスカレーション済

エスカレーション済ケースとは、カスタマ・サービス・ケースから発生するケースです。ケース内の特定のユーザーに関連する疑わしいアクティビティがある場合、CSRは調査担当者に確認してもらうためにCSRケースを送信します。たとえば、CSRマネージャがCSRケースをエスカレーションします。カスタマ固有のセキュリティに関する問題を専門とする調査担当者が、「エスカレーション済」ケース・ステータスを持つすべてのケースを検索します。

処置によるケースの検索

調査担当マネージャは、確認済の不正の処置を持つすべてのエージェント・タイプ・ケースを検索します。

1. ケース検索ページの「ケース・タイプ」フィールドで「エージェント」を選択します。

2. 「処置」フィールドで「確認済不正」を選択し、「検索」をクリックします。
調査担当者によって不正と確認されたすべてのケースのリストが「検索結果」表に示されます。

5.4.2 エージェント・ケースの作成

ケースの作成手順を次に示します。

5.4.2.1 エージェント・ケースの手動作成

新規エージェント・ケースは、疑いのあるアクティビティまたは不正なシナリオが検出され、調査が必要な場合に作成されます。エージェント・タイプ・ケースを直接作成できるのは調査担当者のみです。エージェント・タイプ・ケースの作成では、ユーザー情報は表示されず、また必要ありません。エージェント・ケースを作成するために入力する必要があるのは、組織ID、重大度レベルおよび説明のみです。

調査担当者は、一度に1つのエージェント・ケースを開いて処理できます。オープン・ケースを含むタブを複数開くことはできません。別のケースを開いた状態にしたままでエージェント・ケースを作成しようとすると、現在のケース・ワークフローが新規ケース・ワークフローに置き換えられるというメッセージを示す警告が表示されます。

すべてのフィールドに入力されるまで、「作成」ボタンは無効になっています。*(アスタリスク)は必須フィールドを示します。無効なパラメータが入力されると、エラー・メッセージが表示され、新規ケースは作成されません。

エージェント・ケースを作成するには:

1. ケース検索ページで、「新規ケース」をクリックします。
調査担当者がこのケースを作成していることが、ログインからすでにシステムに通知されているため、ケース・タイプとして「エージェント」が指定された「ケースの作成」ダイアログが表示されます。ケース・タイプは変更できません。

2. 組織IDのみ、組織IDとユーザー名、またはユーザーIDのみを入力します。

- ケースを作成する「組織ID」を入力します。
アクセス権のある「組織ID」のリストが表示されます。リストから「組織ID」を1つ選択できます。後で必要に応じて、異なる組織IDのケースを作成できます。

注意:

エージェント・ケースはユーザーなしのケースであるため、ユーザー名またはユーザーIDを入力する必要はありません。

- 「ユーザー名」フィールドにユーザー名を入力します。
ユーザー名は、ユーザーがログインするために使用する識別子です。ユーザー名と組織IDの組合せは、ユーザーがアプリケーションにアクセスするための一意の識別子です。

- 「ユーザーID」フィールドにユーザーIDを入力します。

3. 「重大度レベル」リストから重大度レベルを選択します。
使用可能な重大度レベルは、「高」、「中」および「低」です。

4. 事前に作成した説明を選択してから、状況に応じて独自の詳細を追加します。事前に作成した説明、事前に記載したノートを選択すると、説明をすばやく入力できるため、時間が節約されます。
事前に作成した説明が選択されると、「説明」テキスト・ボックスに説明が自動的に追加されます。リストから選択された各説明は、前の説明に追加されます。

「事前に作成した説明」の選択肢は次のとおりです。

- 不正の疑いがあるトランザクション
不正であると思われるトランザクションの調査。

- 不正の疑いがあるアクセス
不正であると思われるアクセス・リクエストの調査。

- コンプライアンス違反の疑い
考えられるコンプライアンス違反の調査

「説明」は必須フィールドです。

5. 「作成」をクリックします。
ケースが作成され、新規ケースの「ケース詳細」ページが開きます。「ケース詳細」ページには、ケースのステータスとして「保留中」が示されます。調査担当者が「作成者」および「現在の所有者」フィールドに示されます。ケースは手動で作成されたエージェント・ケースであるため、ケース詳細にはユーザー詳細は示されません。新規エージェント・ケースには、リンク・セッションは含まれません。ログを表示すると、「ケースの作成」がアクションとして表示されます。

図5-19にケースが最初に手動で作成されたときの「ケース詳細」ページを示します。

図5-19 「ケース詳細」ページ

手動によるエージェント・ケースの作成例

調査担当者は、1st Bankという組織IDに対してエージェント・タイプ・ケースを作成します。他のタイプのケース(CSRケース)は作成できません。「組織ID」は必須フィールドです。新規エージェント・ケースには、リンク・セッションは含まれません。エージェント・ケースはどのユーザーにもリンクされていないため、ケースを作成するためにユーザー情報を入力する必要はありません。

5.4.2.2 他のエージェント・ケースと同様のケースの作成

既存のエージェント・ケースと類似または同様のケースを作成するには:

1. ケース検索ページの「検索結果」表で、ケースの隣にあるチェック・ボックスを選択して、エージェント・ケースを選択します。
「検索結果」表で複数の行が選択された場合、「類似作成」ボタンは無効になります。

2. 「類似作成」ボタンをクリックします。
元のケースから、組織ID、重大度レベルおよび説明が事前移入された「ケースの類似作成」ダイアログが表示されます。

3. これらのフィールドを編集します。
すべてのフィールドに入力してください。

4. 「作成」をクリックします。
変更を取り消してケース検索ページに戻るには、「取消」をクリックします。

「作成」をクリックして、ケースを作成します。

元のケースのデータおよび変更内容を含む新規エージェント・ケースが作成され、新規ケースの「ケース詳細」ページが開きます。エスカレーション済エージェント・ケースと同様に作成された新規エージェント・ケースには、ユーザー・データは含まれません。ケース・ステータスは「保留中」です。

5.4.2.3 検索して選択および新規ケースの作成機能

調査担当者は、ケースを開いていない場合に、「検索して選択」および「新規ケースの作成」リンクを使用して、ケースを選択するか新規ケースを作成できます。「ケースを検索して選択」リンクにより、ケース検索ページが開きます。「新規ケースの作成」により、ケースを作成できる「ケースの作成」ダイアログが開きます。

5.4.2.4 エージェント・ケースを自動的に作成するためのOAAMの設定

エージェント・ケースが自動的に作成されるようにアクションを構成するには、次のことを行う必要があります。

- create_agent_caseという名前のカスタム・ルール・アクションを作成します。

- 適切なチェックポイントのポリシーに、必要なルール条件を持つルールを追加します。指定した条件が満たされるたびに、アクションcreate_agent_caseをトリガーして戻すようにこれを構成します。たとえば、疑いのあるアクティビティが発生するたびに、「エージェント・ケースの作成」アクションがトリガーされます。

手順は次のとおりです。

1. アクション・テンプレートCaseCreationActionのアクション・インスタンスを作成し、これをチェックポイントに関連付けます。

1. セキュリティ管理者としてログインします。

2. ナビゲーション・ツリーで、「構成可能なアクション」を開きます。

3. 「アクション・インスタンス」をダブルクリックします。
アクション・インスタンス検索ページが表示されます。

4. アクション・インスタンス検索ページから、「新規アクション・インスタンス」をクリックします。
「エージェント・ケースの作成」アクションを作成するための詳細を入力できる、「新規アクション・インスタンス」ページが表示されます。

5. 「アクション・テンプレートの選択」をクリックします。

6. CaseCreationActionを選択します。構成可能なアクションのJavaクラス名は次のとおりです。

com.bharosa.vcrypt.tracker.dynamicactions.impl.CaseCreationAction

このCreateCaseAction構成可能アクションは、OAAMで標準として提供されます。

7. 「名前」フィールドに、「エージェント・ケースの作成」と入力します。

8. 「説明」フィールドに、「エージェント・ケースの作成」アクションの説明を入力します。

9. 「ログ・レベル」フィールドにログ・レベルを入力します。
ログ・レベルは、インスタンスの実行ステータスを記録する必要があるかどうかを示します。

「無効化」にするとロギングがオフになります。

「有効化」にするとロギングがオンになります。

「エラーの場合にログ」にすると、エラーが発生した場合にロギングがオンになります。

エラーがある場合にのみ、実行ステータスがログに記録されます。それ以外の場合は、インスタンスのトリガーはログに記録されません。

2. 「エージェント・ケースの作成」アクションのパラメータを次のように設定します。

1. 「ケース・タイプ」の値として2 (エージェント・タイプ)を入力します。

2. 「重大度」に2 (中)または3 (高)を入力します。

3. ケースの説明を入力します。たとえば、失敗したログインです。

4. 「ケース作成者のユーザーID」パラメータにユーザーIDを入力します。ユーザーIDにケースを作成するための適切なロールおよびアクセス権があることを確認してください。この例では、ケース作成者は動的です。

3. アクションをいつトリガーするかに関するトリガー基準を設定します。
基準はスコアまたはアクション(またはその両方)である必要があります。これらは、選択されたチェックポイントの値に対して比較されます。

- 評価されたアクションが指定されたアクションに一致する場合、構成可能なアクションがトリガーされます。

- 指定された範囲のスコアがルール・エンジンから返された場合、構成可能なアクションが実行されます。

たとえば、アクション・タイプがブロックの場合に必ずケースを作成するようにする場合、Oracle Adaptive Access Managerではポリシーにブロックのアクションが含まれる場合に必ずケースを作成します。スコアが500より大きい場合に必ずケースを作成するようにする場合、Oracle Adaptive Access Managerではその特定のセッション内でスコアが500より大きい場合にケースを作成します。

アクションおよびスコアの両方が指定された場合は、両方の基準がルール・エンジンの結果に一致する場合にのみ、構成可能なアクションが実行されます。

4. アクションのcreate_agent_caseを入力します。

5. アクション・インスタンスを保存します。
「適用」をクリックします。

アクション・インスタンスが正常に作成されると、確認が表示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。

トリガー基準が満たされている場合、構成可能なアクションによってエージェント・ケースが自動的に作成されます。

ケースのステータスは「新規」です。

新規エージェント・ケースには、アクション・インスタンス・パラメータに基づく自動リンク・セッションが含まれます。

調査担当者がケースを開くと、ケースのステータスが「保留中」に変わります。現在の所有者は調査担当者であり、「作成者」にはケース作成者のユーザーIDが表示されます。このケースのユーザー詳細も表示されます。

チェックポイント、スコア範囲、実行タイプなどのアクション・インスタンス・パラメータに対応するセッションは、構成可能なアクションによって作成されたエージェント・ケースに自動リンクされます。

5.4.3 複数のケースを閉じる

複数のケースをクローズするには:

1. 調査担当者としてログインします。ケース検索ページが表示されます。

2. 「検索結果」表で、閉じるケースを選択します。

3. 「バルク編集」ボタンをクリックします。

4. ステータスとして「クローズ済」を選択します。

5. 処置を選択し、ノートを入力します。

6. 「保存」をクリックします。

7. 「OK」をクリックして、確認ダイアログを閉じます。

5.4.4 ケースの重大度レベルの変更

ケースが作成されると、その重要度を示し、管理者がケースをフィルタできるようにするための重大度レベルがそのケースに割り当てられます。重大度レベルは「ケース詳細」ページに表示されます。

1. 「ケース詳細」ページで、「その他のアクション」をクリックし、「重大度の変更」を選択します。
「重大度の変更」ダイアログが表示されます。

2. 「重大度」リストで、必要な重大度レベルを選択します。
使用可能な重大度レベルは、「高」、「中」および「低」です。カスタマが不正を疑っている場合、割り当てる重大度レベルは「高」です。カスタマが異なるイメージを希望している場合、割り当てる重大度レベルは「低」です。必要に応じて、ケースの重大度レベルをエスカレーションまたはエスカレーション解除します。

3. 「ノート」リストで、必要なノートのタイプを選択します。

4. 必要に応じてノートを編集し、実行するアクションに関する情報を追加します。

5. 「送信」をクリックします。
ケースの重大度がケース・ログに保存されます。

6. 「OK」をクリックして、確認ダイアログを閉じます。

5.4.5 ケースのステータスの変更

ケースのステータスは手動または自動で変更できます。

5.4.5.1 手動によるケースのステータスの変更

シナリオでは、ケース・ステータスを手動で変更する方法を示しています。

5.4.5.1.1 手動によるケースのステータスの「新規」への変更

手動でケースのステータスを「新規」に変更するには:

1. 「ケース詳細」ページで、「その他のアクション」をクリックし、「ステータスの変更」を選択します。
「ステータスの変更」ダイアログが表示されます。

2. 「ステータス」リストで、「新規」を選択します。

3. 問題を記述するノートを入力します。
既存のノートから選択するか、新規ノートを入力するか、またはその両方を行います。

選択する既存のノートは次のとおりです。

- マネージャの確認

- その他

4. 「送信」をクリックします。
確認ダイアログが表示されます。

5. 「OK」をクリックします。

5.4.5.1.2 手動によるケースのステータスの「保留中」への変更

手動でケースのステータスを「保留中」に変更するには:

1. 「ケース詳細」ページで、「その他のアクション」をクリックし、「ステータスの変更」を選択します。
「ステータスの変更」ダイアログが表示されます。

2. 「ステータス」リストで、「保留中」を選択します。

3. 問題を記述するノートを入力します。
既存のノートから選択するか、新規ノートを入力するか、またはその両方を行います。

選択する既存のノートは次のとおりです。

- マネージャの確認

- 問題進行中

- その他

4. 「送信」をクリックします。
確認ダイアログが表示されます。

5. 「OK」をクリックします。

5.4.6 エージェント・ケースのバルク編集

エージェント・ケースをバルク編集できるのは調査マネージャのみです。

複数ケースのケース設定を一度に変更するには:

1. 調査マネージャとしてログインします。ケース検索ページが表示されます。

2. 必要なケースを選択します。

3. 「バルク編集」をクリックします。

注意:

標準のOAAMロールについては、「バルク編集」ボタンは調査担当者ロールでは無効になっており、調査マネージャ・ロールでは有効になっています。

4. 必要に応じてケース設定を変更し、ノートを追加します。
「閉じる」アクションは、重大度にかかわらず許可されます。

重大度はステータスにかかわらず編集可能です。また、ケースの重大度も、ケースの「クローズ済」ステータスにかかわらず変更できます。

5. 「OK」をクリックして、バルク編集を実行します。
バルク編集操作が正常に実行されたというメッセージを示す確認ダイアログが表示されます。ケースを閉じるときに、バルク編集操作時にすでに「クローズ済」ステータスになっていたエージェント・ケースがある場合は、バルク・クローズ・アクションを実行するためにはエージェント・ケースが「新規」または「保留中」ステータスになっている必要があることを示すメッセージが表示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。
検索をリフレッシュすると、これらのケースのステータスが結果に表示されます。

「検索」ページの「最終ケース・アクション」は、バルク編集の直後には更新されません。これは、「検索」ページを再度起動したときに更新されます。

使用例: ZeekはDollar Bankの不正調査マネージャです。彼は、シフトの始めに必ず期限超過のケースを検索します。彼はケースのリストをXLSでエクスポートし、自分のチームに電子メールでアラームとして送信します。すでに解決されているが、誤って開いたままにされていた多くの期限超過ケースをZeekが見つけると、それらをすべて選択して、解決済ステータスおよびノートとともに閉じます。

5.5 ベスト・プラクティスと推奨事項

ベスト・プラクティスと推奨事項を次に示します。

- 調査担当者は、カスタマ・サービスからエスカレーションされたか、アラートから直接示された疑わしい状況を調査します。

- 不正調査マネージャは、自分のチームがどのケースに注目する必要があるかを確認することをお薦めします。

- 不正調査マネージャは、定期的に期限超過ケースを検索して、それらのケースがいずれも保留中になっていないことを確認する必要があります。

- カスタマが不正を疑っている場合、割り当てられる重大度レベルは「高」です。たとえば、カスタマが異なるイメージを希望している場合、割り当てられる重大度レベルは「低」です。ケースの重大度レベルは、必要に応じてエスカレーションまたはエスカレーション解除できます。誰でもケースの重大度を変更できます。

- 調査担当者は、他の調査担当者が使用中のケースを開くことはできません。

- 調査担当者は、エスカレーション済ケースを開いて、CSRおよびCSRマネージャが入力したノートのログを表示する必要があります。たとえば、ノートには、CSRが不正なアクティビティと疑われるものを見つけたために、CSRケースをエージェント・ケースにエスカレーションしたことが示されています。

- 調査担当者はタイムスタンプ列をフィルタして、最も古いケースが先頭にくるようにする必要があります。

- 「トランザクション: フィルタ条件を使用したトランザクション件数の確認」を使用して、エンティティのグループを確認します。たとえば、トランザクション内で使用されたアカウント番号が疑わしいアカウントのグループに属するかどうかを確認して、そのトランザクションをブロックする必要がある場合です。

6 調査のための追加詳細の表示

OAAMには、セッション・パラメータに関する詳細情報を収集する機能と、セッションに関連する詳細をさらにドリルダウンできる機能が備えられています。

この章では、次の内容を説明します。

- 6.1項「詳細ページの概要」

- 6.2項「詳細ページの構成について」

- 6.3項「詳細ページ表示の前提条件」

- 6.4項「セッションの検索」

- 6.5項「セッションをMicrosoft Excelスプレッドシートにエクスポート」

- 6.6項「グループへの追加」

- 6.7項「「セッション詳細」ページの使用」

- 6.8項「セッション詳細を使用した上位レベルからのイベントの確認」

- 6.9項「詳細ページの調査および重要性について」

- 6.10項「アラートの表示」

- 6.11項「「ユーザー詳細」ページの使用」

- 6.12項「IPまたはロケーション(国、都道府県または市区町村)の詳細ページの使用」

- 6.13項「「デバイス詳細」ページの使用」

- 6.14項「「フィンガープリント詳細」ページの使用」

- 6.15項「「アラート詳細」ページの使用」

- 6.16項「「セッション詳細」使用のシナリオ」

6.1 詳細ページの概要

調査担当者は、不正に関する調査を実行し、使用可能なデータ、知識および専門知識をすべて活用して、不正なアクティビティが実際に存在するかどうかを判断します。

詳細ページでは、ユーザー、デバイス、ロケーション、アラート、フィンガープリントなどのセッション・パラメータの追加詳細を提供し、それらの関係が表示されるため、データ・ポイントに対して相互参照を行い、関連データをドリルダウンできます。

次に、関連データの例を示します。

- セッション・パラメータが属する管理グループ

- パラメータが使用されたセッション

- パラメータに関する成功および失敗のログイン試行

- セッション中に実行されたポリシーとルール

- セッションで生成されたアラート

- フィンガープリント情報

パラメータ間の関係の例

単一ユーザーが使用したデバイス、デバイスが使用した特定のロケーション、成功したログイン試行、および特定のロケーションからログインしたユーザーの数を特定できます。

6.2 詳細ページの構成について

各詳細ページには、次のアイテムが表示されます。

- ID、名前、作成日などの基本情報およびその他の情報の概要
たとえば、6.11.1項「ユーザー詳細: 「サマリー」タブ」を参照してください。

- エンティティと他のエンティティとの関係を表示するための詳細タブ
関係は、これらのタブを介して表示されます。

各詳細ページのタブの概要については、次を参照してください。

- 表6-6 「ユーザー詳細」タブ

- 表6-20 ロケーション詳細のタブ

- 表6-32 デバイス詳細のタブ

- 表6-46 フィンガープリント詳細のタブ

- 表6-55 アラート詳細のタブ

- 詳細情報の詳細ページへのリンク

- 「グループに追加」機能

6.3 詳細ページ表示の前提条件

詳細ページを表示するための前提条件をこの項で示します。

6.3.1 マルチテナント・アクセス

詳細ページへのアクセス権を持つには、マルチテナント・フラグが無効になっている必要があります。ユーザーのロールがマルチテナント有効ロールである場合、そのユーザーは詳細ページにアクセスできない可能性があります。マルチテナントが有効な場合、これらのユーザーは、セッション・ページまたはセッション検索から、いずれの詳細ページにもアクセスできません。マルチテナント・フラグが無効な場合、これらのユーザーは、リンクが使用可能な場合、セッション・ページまたは任意のセッション検索から詳細ページにアクセスできます。CSRには、セッション検索または詳細ページへのアクセス権がありません。

6.3.2 セッション詳細でのトランザクションの表示

セッション詳細ページでトランザクションを表示するには、トランザクションを表示するプロパティをtrueに設定する必要があります。

bharosa.trackeradmin.show.transaction.detail=true

このプロパティをfalseに設定すると、トランザクションの表示がオフになります。

詳細ページを使用する前に、次のプロパティが有効になっていることを確認してください。

oaam.admin.detail.ip.enabled=false
oaam.admin.detail.user.enabled=true
oaam.admin.detail.device.enabled=false
oaam.admin.detail.fingerprint.enabled=false
oaam.admin.detail.alert.enabled=false
oaam.admin.detail.challengecount.enabled
=false

6.4 セッションの検索

セッションを検索するには:

1. 調査担当者としてOAAM管理コンソールにログインします。

2. 「セッション」をクリックします。セッション検索ページが表示されます。

図6-1 セッション検索ページ

3. セッション検索ページで、検索フィルタに基準を指定して、返されるセッション数を絞り込みます。
たとえば、過去12時間の「高」アラートおよび「ブロック済」または「ロック済」認証ステータスを持つセッション(「時間」、「アラート・レベル」および「アクション」によってフィルタされたセッション)を検索します。

フィルタを次に示します。

表6-1 セッション検索フィルタ

フィルタ

説明

セッションID

セッションのID。

組織ID

ユーザーが属する組織を識別します。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

アラート・メッセージ

アラートに設定されたテキスト・メッセージ。

ユーザー名

ユーザーがログインするために入力するログイン名。

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

国

国ID。

都道府県

都道府県ID。「都道府県」リストには、「国」に選択された項目に基づいて動的にデータが移入されます。たとえば、「アメリカ合衆国」が選択されると、この国に選択できるすべての行政区画が「都道府県」に表示されます。

市区町村

市区町村ID。「市区町村」リストには、「国」および「都道府県」に選択された項目に基づいて動的にデータが移入されます。

IP範囲

IPアドレスの範囲。

ログイン時間

トランザクションを実行するためにカスタマがログインした時間。たとえば、5/11/09です。

「セッションID」、「ユーザー名」、「デバイスID」、「IPアドレス」、「ロケーション」および「アラート・メッセージ」をクリックして、対応する詳細ページを開き、追加情報を表示します。

注意:

チェックポイントが実行されていない場合、「認証前」または「認証後」に-1のスコアが表示されます。

表6-2 検索セッションの結果

開く詳細ページ

クリックするリンク

「セッション詳細」ページ

「セッションID」リンク

セッション・リストまたはその他のページからセッションIDのリンクをクリックすると、そのセッションに関する総合情報を示す、対応する「セッション詳細」ページが開きます。

「アラート詳細」ページ

他のページ(セッション詳細ページ、その他の詳細ページおよびエージェント・ページ)からの「アラート・メッセージ」リンク

他のページ(セッション詳細ページ、その他の詳細ページ、エージェント・ページ)から「アラート・メッセージ」リンクをクリックして、アラート詳細ページを開きます。「アラート詳細」ページでは、メッセージ、レベル、メッセージのタイプ、および他のデータ型(ユーザー、デバイス、ロケーション、セッション、ブラウザ、オペレーティング・システム、ロケールなど)との相互参照に関する情報を提供します。さらに、アラートが生成された1つ以上の理由に関する情報も提供されます。

ユーザー詳細ページ

他のページからの「ユーザー名」または「ユーザーID」リンク

他のページから「ユーザー名」または「ユーザーID」リンクをクリックして、ユーザー詳細ページを開くと、そのユーザーに関する追加詳細が表示されます。

デバイス詳細ページ

セッション詳細ページまたはその他のリスト・ページの「デバイスID」リンク

セッション詳細ページまたはその他のリスト・ページの「デバイスID」リンクをクリックして、対応する詳細ページを開きます。このページには、他のデータ型(ユーザー、ロケーション、アラート、ブラウザ、セッション、フィンガープリント・データの全リストなど)との相互参照を含むデバイスの詳細が表示されます。

IPアドレス詳細ページ

セッション・リスト・ページまたはその他のページからの「IPアドレス」リンク

セッション・リスト・ページまたはその他のページから「IPアドレス」リンクをクリックして、対応するIPアドレス詳細ページを開くと、そのIPロケーションに関する追加詳細が表示されます。

ロケーション詳細ページ

セッション・リスト・ページまたはその他のページからの「国」、「都道府県」または「市区町村」リンク

セッション・リスト・ページまたはその他のページから「国」、「都道府県」または「市区町村」リンクをクリックして、対応するロケーション詳細ページを開くと、そのロケーションに関する追加詳細が表示されます。

フィンガープリント詳細ページ

セッション詳細ページまたはセッション・リスト・ページからの「デジタル・フィンガープリントID」または「ブラウザ・フィンガープリントID」リンク

セッション詳細ページまたはセッション・リスト・ページから「デジタル・フィンガープリントID」または「ブラウザ・フィンガープリントID」リンクをクリックして、フィンガープリント詳細ページを開きます。フィンガープリント詳細ページでは、フィンガープリントに関する基本情報、デバイスのフィンガープリント生成時に収集されたデータ、使用されたユーザー、デバイスおよびロケーションのリスト、そして特定の期間においてフィンガープリントの生成が行われたログイン・セッションのリストが提供されます。

別の詳細ページから、最大10のタブが含まれた詳細ページを起動できます。詳細ページのタブには、ハイパーリンク付きのパラメータも含まれており、これを使用して詳細ページを起動できます。

注意:

マルチテナントが有効になっている場合、調査担当者はOAAM管理コンソールのどこからも詳細ページにアクセスできません。

6.5 セッションをMicrosoft Excelスプレッドシートにエクスポート

詳細ページおよび詳細タブで、セッション情報をMicrosoft Excelスプレッドシートにエクスポートするためのエクスポート・オプションを使用できます。追加調査のためにセッション情報をエクスポートするには:

1. 詳細ページまたは詳細タブで、エクスポートするセッションを検索して選択します。

2. 「Excelにエクスポート」ボタンをクリックします。

3. ファイルの保存または次で開くをクリックし、「OK」をクリックします。
Microsoft Excelスプレッドシートには、行、セッションID、アラート、組織ID、ユーザー名、デバイスID、IPアドレス、ロケーション、認証ステータス、ログイン時間、認証前スコア、認証前アクション、認証後スコア、認証後アクション、クライアント・タイプ、ユーザーIDおよび内部セッションIDに関する情報が表示されます。

6.6 グループへの追加

「グループに追加」機能は、セッション検索ページ、セッション詳細ページおよび各詳細ページで使用できます。結果の検索中に、インサイトを保存して、予測モデルの再作成、追加調査およびルール評価のために後で使用できます。セッション・ページ(セッション検索結果およびセッション詳細ページ)から「グループに追加」ボタンを使用して、グループにセッション・パラメータを追加したり、グループを作成してそのグループにセッション・パラメータを追加したり、グループからセッション・パラメータを削除できます。

様々なタイプの1つ以上のデータ・ポイントを検索結果で簡単に選択して、適切なグループに追加します。

システム管理者および調査担当者のみが「グループに追加」コマンドにアクセスできます。

表6-3 グループへの追加およびグループからの削除

機能

説明

セッション・パラメータ・グループにセッション・パラメータを追加

パラメータがまだ関連付けられていないパラメータ・グループのリストからセッション・パラメータ・グループを選択し、そのグループにパラメータを追加します。ユーザー・グループには、ユーザーIDグループ・タイプまたはユーザー名グループ・タイプのいずれでも指定できます。

アラートを除き、パラメータを同じパラメータ・グループに複数回追加することはできません。

アラートをアラート・グループに追加した場合には常に、既存のアラートの新規インスタンスが作成されてそのグループに追加されるため、アラートはアラート・グループに複数回追加できます。

新しいセッション・パラメータ・グループを作成し、新たに作成したグループにパラメータを追加

新しいパラメータ・グループを追加し、そのグループにパラメータを追加します。ユーザー・グループには、ユーザーIDグループ・タイプまたはユーザー名グループ・タイプのいずれでも指定できます。

パラメータ・グループからパラメータを削除

パラメータがすでに関連付けられている複数のパラメータ・グループを選択し、選択したグループからパラメータを削除します。注意: 組織IDからユーザーを削除することは推奨されません。

セッション・パラメータの追加方法は次の項で説明しています。

6.6.1 セッションからグループへの追加

セッションからセッション・パラメータを既存のグループに追加するには

1. 検索結果から目的のセッションを選択します。

2. 「グループに追加」ボタンをクリックします。
「グループに追加」ダイアログが表示されます。

3. グループに追加するデータのタイプを選択し、「次」をクリックします。一度に選択できるデータ型は1つのみです。

- デバイス

- ユーザー名

- IPアドレス

- 国

- 都道府県

- 市区町村

4. デバイスを追加する既存のグループを検索して選択し、「次」をクリックします。

5. グループに追加されるアイテムが下にリストされます。アイテムに戻って変更するには、「戻る」ボタンをクリックします。これらのアイテムを追加して続行するには、「終了」ボタンをクリックします。

作成するグループにセッション・パラメータを追加するには:

1. 「新規グループの作成」をクリックして、デバイスを追加するグループを作成します。

2. 「グループに追加」ダイアログで、次の情報を入力します。

- グループ名

- キャッシュ・ポリシー

- 説明

3. 「次」をクリックします。

4. グループに追加されるアイテムがリストされます。アイテムに戻って変更するには、「戻る」ボタンをクリックします。アイテムを追加して続行するには、「終了」ボタンをクリックします。

6.6.2 詳細ページからグループへの追加

セッション・パラメータをグループに追加するには:

1. 1つ以上のセッション・パラメータ(ユーザー、デバイスID、IPなど)を含む1つの行を選択します。

2. 右上隅にある「グループに追加」ボタンをクリックします。
次の検索フィルタを含む「グループに追加」ダイアログが表示されます。

表6-4 「グループに追加」ダイアログのフィルタ

フィルタ

説明

グループ名

グループの名前。セッション・パラメータがメンバーになっていないグループがリストされます。

グループ・タイプ

グループのタイプ。セッション・パラメータがメンバーになっていないグループがリストされます。

説明

グループの説明。セッション・パラメータがメンバーになっていないグループがリストされます。

3. グループを選択するか、または新しいグループを作成します。
図6-2に、セッション・パラメータを既存のグループに追加するダイアログを示します。

図6-2 既存のグループへの追加

図6-3に、セッション・パラメータの追加先となるグループを作成するためのダイアログを示します。

図6-3 セッション・パラメータを追加する新しいグループの作成

次の情報を入力して、グループを作成します。

表6-5 「グループに追加」のフィールド

フィールド

説明

グループ名

グループの名前。

キャッシュ・ポリシー

グループでは、「フル・キャッシュ」および「なし」という2つのキャッシュ・ポリシー・オプションが提供されます。

デフォルトでは、「キャッシュ・ポリシー」は「すべて」に設定されています。

詳細は、「キャッシュ・ポリシー」を参照してください。

グループ・タイプ

グループのタイプ。

説明

グループに関する情報。

グループを既存のグループに追加すると、そのグループが受け入れることができるタイプの、選択した行からのデータがそのグループに追加されます。グループにデータがすでに存在する場合は、情報メッセージが表示されます。エンティティの追加先となるグループを作成する場合、フィールドを空白にするとエラーが発生するため、いずれのフィールドも空白にしないでください。

4. 「完了時にこのグループの詳細タブを開きます。」を選択します。

5. 「追加」をクリックします。
確認ダイアログが表示されます。

6. 「OK」をクリックして、確認ダイアログを閉じます。

6.7 「セッション詳細」ページの使用

セッション詳細ページには、不正分析に必要な情報がまとめて表示されます。

「セッション詳細」ページに移動するには:

1. ナビゲーション・ツリーで、目的の「セッション」ノードをダブルクリックします。

2. 詳細を表示するセッションを検索します。

3. 「検索結果」表で、目的のセッションの「セッションID」をクリックします。そのセッションのセッション詳細ページが表示されます。
一般的な詳細、およびセッション中に実行されたすべてのアクションがセッション詳細ページに取得されます。

4. セッションの詳細を表示します。

6.8 セッション詳細を使用した上位レベルからのイベントの確認

「セッション詳細」ページには、不正分析の特定のセッションで発生したイベントの概要が表示されます。次の項目が含まれます。

- ユーザー、デバイス、ロケーションおよびその他の詳細などの一般的なセッション・データ・ポイント

- カスタム・フィンガープリント・タイプに関する追加情報と標準のフィンガープリント情報

- 評価されたトランザクションおよびチェックポイントなどのセッションのフォレンジック・レコード。各チェックポイントには、そのチェックポイントのポリシー、そのチェックポイントでセッション時にトリガーされたアラート、およびそのチェックポイントの最終アクションが表示されます。

ポリシー・エクスプローラ・ビューを使用して、ポリシー、ルールおよび条件に関する追加詳細を提供することもできます。

6.8.1 ポリシー・エクスプローラ

ポリシー・エクスプローラには、ルール、条件、トリガー組合せ、グループ・リンク、ネストされたポリシーおよびその他のアイテムに関する情報が表示されます。

図6-4 ポリシー・エクスプローラ

ルールの詳細

ルールに関する詳細がポリシー・エクスプローラに表示されます。セッションの結果には、ルールのスコアおよび結果が表示されます。

事前条件

ルールの事前条件が、詳細パネルに表示されます。セッションの結果には、そのセッションの事前条件の信頼度係数およびその他の値が表示されます。

条件

条件パラメータの値が表示されます。セッションの結果には、セッション評価で条件がtrueで戻されたかどうかが示されます。

トリガー組合せ

トリガーされたオーバーライド組合せを表示する、またはすべてのオーバーライドを表示するオプションがあります。セッションの結果には、ネストされたポリシー情報など、セッションで評価されたオーバーライド情報が表示されます。

グループ・リンク

ポリシーのグループ・リンクが、詳細パネルに表示されます。

6.8.2 セッション詳細を使用したランタイム情報の表示

「セッション詳細」ページには、不正分析の特定のセッションで発生したイベントの概要が表示されます。次の項目が含まれます。

- ユーザー、デバイス、ロケーション、その他の詳細など、一般的なセッション情報とキーポイント

- カスタム・フィンガープリント・タイプに関する追加情報と標準のフィンガープリント情報

- 作成されたトランザクションや評価されたチェックポイントなど、セッションのフォレンジック・レコード。

「セッション詳細」ページに関する詳細は、第5章、「OAAMを使用した調査」を参照してください。

6.9 詳細ページの調査および重要性について

OAAMには、セッション・パラメータに関する詳細情報を収集する機能と、セッションに関連する詳細をさらにドリルダウンできる機能が備えられています。たとえば、ログインを調査するための情報が必要であるため、セッション検索を実行します。結果から、図6-5に示すように、国、ロケーションおよびその他のセッション情報を確認できます。

図6-5 セッション検索

これらのいずれかに関する詳細を確認する必要がある場合は、詳細ページを開くことができます。これらのページには、目的のアイテムに関する詳細情報が表示され、さらに絞り込んで特定のアイテムの関連データを確認できます。この例では、米国のロケーション詳細ページを開くと、米国でのみ発生したログイン、およびユーザーが米国にログインしたときに使用されたすべてのデバイスを確認できます。次に、特定の時間枠内で作成され、米国からのログインに使用されたデバイスを確認する場合に、作成または更新された日付に基づいてフィルタリングできます。この方法では、確認する詳細情報に基づいて、表示するデータを制限できます。

図6-6 ロケーション詳細(米国): デバイス

不正分析では、調査担当者はセッションを調べて、何が発生したかを確認できます。たとえば、特定の国または特定のユーザーにおけるパターンがあった場合、そのユーザーまたは国に関する詳細を確認する必要があります。そのためには、詳細ページを使用します。米国がブラックリスト・グループまたはモニター・グループに属しているかどうかを確認する必要がある場合は、ロケーション詳細ページの「グループ」タブを使用して、これらのグループを検索できます。

図6-7 ロケーション詳細(米国): グループ

米国からログインしたすべてのユーザーを確認する場合は、ロケーション詳細ページの「ユーザー」タブを使用して、成功したすべてのログインに関する認証ステータスを検索できます。また、その国からのログイン失敗を表示したり、チャレンジ成功件数やチャレンジ失敗件数を表示することもできます。

図6-8 ロケーション詳細: ユーザー

ロケーション詳細ページの「アラート」タブを使用してアラートID、アラート・タイプおよびアラート・レベルを検索することで、米国で発生したログインやセッションで生成された様々なアラートをすべて確認することもできます。

図6-9 ロケーション詳細: アラート

6.10 アラートの表示

アラートが生成されると、そのアラートは認証に関係したユーザー、デバイスおよびロケーションに関連付けられます。ログイン・セッションでは、アラートに関する情報が保持されます。アラート・タイプまたはアラート・メッセージに対する変更はすべて、アラート・ページに自動的に反映されます。新しい情報が表示されます。「アラート」タブを除き、詳細ページには、アラートがトリガーされたときのレベルやタイプに基づいてアラート・インスタンスが表示されます。アラート・インスタンスは、属しているアラート・テンプレートでグループ化されます。たとえば、アラート・レベルが高である10のセッションが先月存在し、管理者がそのテンプレートのレベルを低に変更した場合、次の10のインスタンスはレベルが低で表示されます。

6.11 「ユーザー詳細」ページの使用

ユーザー詳細ページでは、ユーザーの全般的な詳細や、デバイス、ロケーション、アラート、ブラウザ、OSなどの他のデータ型との相互参照が表示されます。また、一意のID、組織ID、ユーザーが属するグループ、セッションおよびキャッシュ・データ、フィンガープリント、ブラウザ、OS、ロケールなど、ユーザーに関連する詳細も表示されます。セッション検索ページ、セッション詳細ページおよびその他のページで「ユーザー名」および「ユーザーID」リンクをクリックしてユーザー詳細ページを開き、そのユーザーに関する詳細を表示できます。

図6-10に、ユーザー詳細ページを示します。

図6-10 ユーザー詳細: サマリー

ユーザー詳細ページは、次のタブに分かれています。

表6-6 「ユーザー詳細」タブ

ユーザー詳細のタブ

機能

サマリー

「サマリー」タブには、ユーザーの基本情報、登録情報およびプロファイル情報が含まれています。

グループ

「グループ」タブには、ユーザーがメンバーであるユーザー・グループのリストが表示されます。

ユーザーは、ユーザーIDグループまたはユーザー名グループに属することができます。

ロケーション

「ロケーション」タブには、すべてのユーザー・ロケーションからの成功したログイン試行と失敗したログイン試行がリストされます。このタブでは、特定のロケーションからユーザーがログインしたロケーションおよび回数を表示できます。

デバイス

「デバイス」タブには、検索条件で指定された時間枠内にユーザーがセッションで使用したすべてのデバイスがリストされます。ユーザーのすべてのデバイスからの成功したログイン試行と失敗したログイン試行の両方がリストされます。このタブは、ユーザーがどのデバイスを何回使用したかを表示するのに役立ちます。

アラート

「アラート」タブには、トランザクション処理中にアプリケーションがユーザーにトリガーおよび生成したアラートがリストされます。表示される情報は、アラート・インスタンスではなく、アラート・テンプレートに基づいています。現在の詳細(レベルやタイプ)が含まれた、アラート・テンプレートが表示されます。

セッション

「セッション」タブには、特定の期間におけるユーザーのログイン・セッションがリストされます。

ポリシー

「ポリシー」タブには、認証時にチェックポイントに基づいてルール・エンジンがユーザーに対して実行したデフォルト・ルールとカスタム・ルールがリストされます。

フィンガープリント詳細

フィンガープリント詳細のタブには、ログイン時にユーザーに対して作成されたフィンガープリントがリストされます。

ユーザー詳細のタブに関する詳細情報が次に続きます。

6.11.1 ユーザー詳細: 「サマリー」タブ

「サマリー」タブには、ユーザーの基本情報、登録情報およびプロファイル情報が含まれています。

一般情報

表6-7に、ユーザー詳細の「サマリー」タブで提供される、ユーザーに関する基本情報をまとめます。

表6-7 ユーザー詳細: ユーザーに関する基本情報

フィールド

定義

ユーザー名

ユーザーがログインするために入力するログイン名。

ユーザーID

そのユーザーの一意の識別子。

組織ID

ユーザーが属する組織を識別します。

有効なユーザー

ユーザーが、1回以上正常に認証されている場合はTrue。

作成日

ユーザーが作成された日付。ユーザーの最初のログイン日でもあります。

登録情報

ユーザーは初めてログインしたときに登録処理を行う必要があります。情報はこの処理中に取得されます。表6-8に、登録処理中にユーザーが実行した各アクションのステータスを特定するプロパティ値および属性値をまとめます。

表6-8 ユーザー詳細: 登録情報

フィールド

定義

完了した登録

(はい/いいえ)各ユーザーに固有で、セキュリティ上の理由からユーザーの識別に使用される、登録されたチャレンジ質問やイメージとフレーズなどの登録処理をユーザーが完了したかどうかを識別します。

仮想デバイス・タイプ

登録処理中にユーザーがセキュア・デバイスとして登録したデバイスIDのリスト。最大3つのデバイスを登録できます。

パーソナライズ・アクティブ

(はい/いいえ)ユーザーがイメージとフレーズを登録したかどうかを識別します。

質問アクティブ

(はい/いいえ)ユーザーがチャレンジ質問を登録したかどうかを識別します。

OTPアクティブ

(はい/いいえ) ユーザーがショート・メッセージ・サービス(SMS)または電子メール・チャレンジでワンタイム・パスワード(OTP)を割り当てられたかどうかを識別します。

最終オンライン・アクション

ユーザーの最新のトランザクションでユーザーが実行した最後のオンライン・アクション。

最終オンライン・アクションの日付

ユーザーの最新のトランザクションでユーザーが実行した最後のオンライン・アクションの日付。

一時許可

(はい/いいえ)ユーザーがブロックされたかどうか、および自分のアカウントへの一時アクセスが許可されているかどうかを識別します。

プロファイル・データ

「プロファイル・データ」セクションには、キャッシュ・データを使用してユーザーに関する重要な統計がリストされます。ユーザー・グループ、アクション・カウンタ・データ、アクション・オーバーライド・データ、フィンガープリント・データおよび失敗カウンタ・データの集計値が表示されます。これらの値はキャッシュ・データを使用し、データベースがパージされている場合でもレコードは常に表示されます。

図6-11 プロファイル・データ

表6-9 ユーザー詳細: プロファイル・データ

フィールド

定義

ユーザー・グループ

ユーザーに関連付けられているグループをリストします。

アクション・カウンタ・データ

ユーザーが実行する様々なアクションおよびそれぞれの集計件数をリストします。このデータは、rule.action.enumでincrementCacheCounterプロパティがtrueに設定されている場合にのみ使用できます。

アクション・オーバーライド

オーバーライドが一時許可などでアクティブな場合、チェックポイントおよびオーバーライドするユーザーのアクションをリストします。

たとえば、ユーザーが前にブロックされ、現在は一時的に自分のアカウントへのアクセスを許可されている場合、認証前の間は、このユーザーは、ブロックされるのではなく、トランザクションの続行を許可されます(つまり、ブロック・アクションは許可アクションでオーバーライドされます)。アクションのオーバーライド値は、プロパティ・ファイルで構成されています。

フィンガープリント・データ

このパネルに表示されるフィンガープリント・データID番号は、「フィンガープリント・データ」タブに表示されるものと同じです。フィンガープリント・データと「フィンガープリント・データ」タブの違いは、タブにはID番号およびその他の情報(ブラウザやロケールなど)が表示されることです。

失敗カウンタ・データ

ユーザーに示されたチャレンジと、それぞれにユーザーが回答できなかった回数の合計のリスト。

6.11.2 ユーザー詳細: 「グループ」タブ

このタブには、ユーザーが関連付けられているグループがリストされます。ユーザーは、ユーザーIDグループまたはユーザー名グループに属することができます。

図6-12 ユーザー詳細: グループ

このタブには、次のフィルタ・パラメータが含まれています。

表6-10 ユーザー詳細: グループ・フィルタ

フィルタ

説明

グループ名

グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。

説明

このフィルタは、ユーザー・グループの説明フィールドにマップします。

キャッシュ・タイプ

グループには、2つのキャッシュ・タイプ・オプション(フル・キャッシュまたはなし)があります。

詳細は、「キャッシュ・ポリシー」を参照してください。

グループ・タイプ

グループが属するカテゴリ。

検索結果には、「グループ名」、「グループ・タイプ」、「キャッシュ・タイプ」および「説明」の列が表示されます。デフォルトのソート基準はグループ名です。「グループ名」リンクをクリックして、グループ詳細ページを開くことができます。

6.11.3 ユーザー詳細: 「デバイス」タブ

このタブには、検索条件で指定された時間枠内にユーザーがセッションで使用されたデバイスがすべてリストアップされます。

図6-13 ユーザー詳細: 「デバイス」タブ

このタブには、次のフィルタ・パラメータが含まれています。

表6-11 ユーザー詳細: 「デバイス」タブ

フィールド

説明

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインに使用したすべてのデバイスの詳細を取得します。

デバイスID、認証ステータス、セッション成功件数、セッション失敗件数、チャレンジ成功件数、チャレンジ失敗件数および最終使用日の情報が表示されます。デフォルトのソート基準はデバイスIDです。デバイスIDは一意であるため、結果内でデバイスIDが複数回繰り返し出現することはありません。

ログインまたはチャレンジの成功および失敗の件数は、時間枠の集計件数に対応しています。

注意:

失敗カウンタはこれらの値に影響しません。

たとえば、ユーザーが2つのチャレンジ質問への回答に失敗し、3つ目の質問への回答には成功した場合、失敗カウンタは0にリセットされますが、チャレンジ・カウンタには2つのチャレンジ失敗件数が示されます。

「デバイスID」リンクをクリックして、「デバイス詳細」ページを開くことができます。

6.11.4 ユーザー詳細: 「ロケーション」タブ

このタブには、ユーザーが成功または失敗のログイン試行を行ったすべてのロケーションがリストされます。

図6-14 ユーザー詳細: ロケーション

このタブには、次のフィルタ・パラメータが含まれています。

表6-12 ユーザー詳細: 「ロケーション」タブ

フィルタ

説明

国

国ID。

都道府県

都道府県ID。「都道府県」リストには、「国」に選択された項目に基づいて動的にデータが移入されます。たとえば、「アメリカ合衆国」が選択されると、この国に選択できるすべての行政区画が「都道府県」に表示されます。

市区町村

市区町村ID。「市区町村」リストには、「国」および「都道府県」に選択された項目に基づいて動的にデータが移入されます。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインしたすべてのロケーションの詳細を取得します。

結果には、ロケーション、IPアドレス、認証ステータス、セッション成功件数、セッション失敗件数、チャレンジ成功件数、チャレンジ失敗件数などが表示されます。

ロケーションを検索で選択した場合、そのロケーションは、ユーザーがそのロケーションに使用した様々なIPアドレスと同じ数だけ結果に表示されます。各ロケーションに関して、関連する成功件数と失敗件数が示されます。

認証ステータスおよび成功件数と失敗件数の値は関連しています。たとえば、「認証ステータス」列に「成功」(1)の値がある場合、「セッション成功件数」列には「1」が表示されます。「認証ステータス」列に「保留中」(1)の値がある場合、「セッション失敗件数」列には「1」が表示されます。

結果におけるロケーションは、常に市区町村の詳細レベルで示されます。たとえば、米国、カリフォルニア州、フリーモントとなります。デフォルトのソート基準はロケーション名です。このページではデータを編集できません。

6.11.5 ユーザー詳細: 「セッション」タブ

このタブには、特定期間におけるユーザーのログイン・セッションがリストされます。

図6-15 ユーザー詳細: 「セッション」タブ

このタブには、次のフィルタ・パラメータが含まれています。

表6-13 ユーザー詳細: 「セッション」タブ

フィルタ

説明

セッションID

一意のセッション識別子。

アラート・メッセージ

アラートを説明する表示名。部分検索をアラート・メッセージに対して実行できます。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

組織ID

ユーザーが所属する組織を識別します。

国

ログインまたはトランザクションが発生した国。

都道府県

ログインまたはトランザクションが発生した都道府県。

市区町村

ログインまたはトランザクションが発生した市区町村。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

クライアント・タイプ

仮想認証デバイス。認証またはフィンガープリント処理に使用されたデバイスまたはアプリケーション。たとえば、TextPad、KeyPad、質問パッド、ログイン・ページ、Flashトラッカです。auth.client.type.enumが使用される列挙です。

ログイン時間

指定継続時間内にデバイスがログインしたすべてのセッションの詳細を取得します。

セッションID、アラート、組織ID、デバイスID、IPアドレス、ロケーション、認証ステータス、クライアント・タイプ、認証前アクションおよびログイン時間が表示されます。

6.11.6 ユーザー詳細: 「アラート」タブ

このタブには、トランザクション処理時にOAAM管理がユーザーに対してトリガーおよび生成したアラートがリストされます。表示される情報は、アラート・インスタンスではなく、アラート・テンプレートに基づいています。現在の詳細(レベルやタイプ)が含まれた、アラート・テンプレートが表示されます。

このタブには、次のフィルタ・パラメータが含まれています。

表6-14 ユーザー詳細: アラート・フィルタ

フィルタ

説明

チェックポイント

ルールの実行のためにポリシーがコールされるときの決定および強制ポイント。

詳細は、「チェックポイント」を参照してください。

ポリシー名

ポリシーの名前。ポリシー・リストは、チェックポイントに選択された内容によって動的に移入されます。

ルール名

アラートを生成したルール。ルール・リストは、ポリシー名に選択された内容によって動的に移入されます。

アラートID

アラートのID。

アラート・メッセージ

アラートを説明する表示名。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

アラート・タイプ

アラートのタイプ。不正、調査、情報またはその他の理由です。

セッションID

このセッションに対する一意の識別子。

トリガー日

アラートがユーザーに対してトリガーされた所定の時間。

図6-16に、ユーザー詳細ページの「アラート」タブを示します。

図6-16 ユーザー詳細: アラート

「アラート・メッセージ」リンクをクリックすると、特定のアラートに関する詳細が表示されます。レベル、アラート・タイプおよびセッション件数に関する詳細が表示されます。前述のグラフィック例では、2行目のアラートローカル・モバイルからのIPではありません...が(「セッション件数」で示されているように) 2つのセッションで生成されました。「セッション件数」リンクをクリックすると、セッション番号、セッション詳細ページが表示されます。

トリガー・ソース(ルールの名前)に、この特定のアラートを生成したルールが表示され、それぞれが件数と関連付けられています。

6.11.7 ユーザー詳細: フィンガープリント・データ

このタブには、特定のユーザーがログインしたときに収集されたすべてのフィンガープリント(ブラウザ、Flash、カスタム)情報が表示されます。ネイティブ・モバイルおよびアプレットに関するカスタム・フィンガープリント情報を収集できます。

図6-17に、検索対象のブラウザ、Flashおよびカスタムのフィンガープリント・タイプの例を示します。

図6-17 フィンガープリント・タイプによる検索

図6-18に、アプレット・フィンガープリント検索を示します。

図6-18 アプレット・フィンガープリント検索

図6-19に、モバイル・フィンガープリント・データ検索を示します。

図6-19 モバイル・フィンガープリント検索

「フィンガープリント・データ」タブには、次のフィルタ・パラメータが含まれています。

表6-15 ユーザー詳細: 「フィンガープリント・データ」タブ

フィルタ

説明

フィンガープリントID

フィンガープリントの識別子。

フィンガープリント・タイプ

カスタム(アプレット、ネイティブ・モバイル)、ブラウザ、Flashなど、サポートされている様々なフィンガープリント・タイプ。

最終使用日

指定継続時間内に作成されたすべてのフィンガープリントの詳細を取得します。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

複数のフィンガープリント・データ・パラメータを問合せに追加したり問合せから削除できます。

図6-20 ブラウザ・フィンガープリント検索での「フィールドの追加」

「フィールドの追加」リストには、フィンガープリント・タイプに関連する検索フィールドのみが表示されます。

図6-21 Flashフィンガープリント検索での「フィールドの追加」

デフォルトでは、フィンガープリント・タイプはブラウザに設定されています。ブラウザがフィンガープリント・タイプである場合、「フィールドの追加」ドロップダウンには、ブラウザ・フィンガープリントのアイテムのみが表示されます。

図6-22 ブラウザおよびFlashフィンガープリントの結果の表示

6.11.8 ユーザー詳細: 「ポリシー」タブ

このタブには、認証時のチェックポイントに基づいてルール・エンジンがユーザーに対して実行したデフォルト・ルールとカスタム・ルールがリストされます。「ポリシー」タブには、トリガー組合せでのネストされたポリシーを含め、ユーザーに対して実行されたすべてのポリシーとルールが表示されます。

図6-23 ユーザー詳細: ポリシー

アクティブなポリシーおよびルールのみがこのタブに表示されます。ポリシーが無効な場合、そのポリシーはこのタブにリストされません。ユーザーは特定のチェックポイントを検索できます。デフォルトのソート基準は名前です。チェックポイントはグローバル・レベルでアルファベット順でソートされ、各チェックポイント内のポリシーもアルファベット順でソートされます。

6.11.9 ユーザー詳細でのタスク

この項では、ユーザー詳細ページを使用してユーザーに関する情報を取得する方法について説明します。

6.11.9.1 一般的なユーザー情報、登録情報およびプロファイル情報の表示

一般的なユーザー情報、登録情報およびプロファイル情報を表示するには、セッション・ページで有効なユーザーの「ユーザーID」または「ユーザー名」リンクをクリックして、「サマリー」ページを表示します。

6.11.9.2 登録中にユーザーが実行したアクションの表示

登録中にユーザーが実行したアクションを表示するには:

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 「サマリー」タブの「登録情報」セクションを表示して、登録処理中にユーザーが実行した各アクションのステータスを確認します。

6.11.9.3 ユーザーに関する統計の表示

ユーザーに関する統計を表示するには:

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 「サマリー」タブの「プロファイル・データ」/「キャッシュ・データ」セクションを表示します。

6.11.9.4 ユーザーが追加情報を取得する際に使用する様々なデバイスの検索および表示

ユーザーのために使用された様々なデバイスを検索および表示し、ユーザーがデバイスを使用した回数や各デバイスからのログイン試行の成功数や失敗数などの追加情報を取得するには:

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 「デバイス」タブをクリックします。

3. ユーザーのために使用された様々なデバイスを検索します。
このタブには、検索条件で指定された時間枠内にユーザーがセッションで使用したデバイスがすべてリストアップされます。

4. 検索結果では、各ユーザーのデバイスに関する次の情報が表示されます。

- ログインの失敗

- ログインの成功

- チャレンジの失敗

- チャレンジの成功

6.11.9.5 ユーザーが関連付けられている様々なユーザー・グループの検索および表示

ユーザーが関連付けられている様々なユーザー・グループを検索して表示するには:

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 「グループ」タブをクリックします。

3. 次のパラメータを使用して、ユーザーが関連付けられている様々なグループを検索します。
ユーザーは、ユーザーIDグループおよびユーザー名グループに属することができます。

表6-16 グループ・フィルタ

フィルタ

説明

グループ名

グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。

グループ・タイプ

グループが属するカテゴリ。

キャッシュ・タイプ

グループには、2つのキャッシュ・タイプ・オプション(フル・キャッシュまたはなし)があります。

詳細は、「キャッシュ・ポリシー」を参照してください。

グループの説明

このフィルタは、ユーザー・グループの説明フィールドにマップします。

6.11.9.6 ユーザーが追加情報を取得する際に使用する様々なロケーションの検索および表示

ユーザーのために使用された様々なロケーションを検索および表示し、ユーザーがロケーションを使用した回数や各ロケーションからのログイン試行の成功数や失敗数などの追加情報を取得するには:

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 「ロケーション」タブをクリックします。

3. 次のフィルタ・パラメータを使用して、様々なロケーションを検索します。

表6-17 「ロケーション」タブ

フィルタ

説明

ロケーション

国ID、都道府県ID、市区町村ID

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインしたすべてのロケーションの詳細を取得します。

4. 検索結果では、各ロケーションのデバイスに関する次の情報が表示されます。

- ログインの失敗

- ログインの成功

- チャレンジの失敗

- チャレンジの成功

6.11.9.7 ユーザーに対してトリガーおよび生成されたすべてのアラートの検索および表示

ユーザーに対してトリガーおよび生成されたすべてのアラートを検索して表示します。アラートは、そのアラート・レベルが低、中または高のいずれであるかを示すために、異なる色コードで表示されます。

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 「アラート」タブをクリックします。
このタブには、トランザクション処理時にユーザーに対してトリガーおよび生成されたアラートがリストされます。

3. 次のフィルタ・パラメータを使用して、様々なアラートを検索します。

表6-18 アラート・フィルタ

フィルタ

説明

アラート・メッセージ

アラートを説明する表示名。

アラートID

アラートのID。

アラート・タイプ

アラートのタイプ(不正、調査、情報またはその他のタイプ)。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

ルール名

アラートを生成したルール。

トリガー日

アラートがユーザーに対してトリガーされた所定の時間。

4. 検索結果では、ユーザーに対してトリガーおよび生成されたアラートが表示されます。
アラートは、そのアラート・レベル(高、中または低)を示すために、異なる色コードで表示されます。

6.11.9.8 すべてのログイン・セッションの検索および表示、またはユーザーの特定期間のログイン・セッションの検索

デバイスに対してトリガーおよび生成されたすべてのアラートを検索して表示します。アラートは、そのアラート・レベルが低、中または高のいずれであるかを示すために、異なる色コードで表示されます。

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 「セッション」タブをクリックします。
このタブには、特定期間におけるユーザーのログイン・セッションがリストされます。

3. 次のフィルタ・パラメータを使用して、様々なセッションを検索します。

表6-19 「セッション」タブ

フィルタ

説明

セッションID

セッションの一意の識別子。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

クライアント・タイプ

仮想認証デバイス。認証またはフィンガープリント処理に使用されたデバイスまたはアプリケーション。たとえば、TextPad、KeyPad、質問パッド、ログイン・ページ、Flashトラッカです。auth.client.type.enumが使用される列挙です。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが属する組織を識別します。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

ロケーション

ログインまたはトランザクションが発生した場所。

セッション日

指定継続時間内にデバイスがログインしたすべてのセッションの詳細を取得します。

6.11.9.9 ユーザーに対して実行されたルールの表示

ユーザーに対して実行されたルールを表示するには:

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 「ポリシー」タブをクリックします。
このタブには、ユーザーに対して実行されたデフォルト・ルールとカスタム・ルールがリストされます。

6.11.9.10 ユーザーに対して作成されたフィンガープリントの検索および表示

ユーザーに対して作成されたフィンガープリントを検索して表示するには:

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. フィンガープリント・タブをクリックします。
このタブには、ログイン時にユーザーに対して作成されたフィンガープリントがリストされます。

6.11.9.11 ユーザー・グループへのユーザーの追加

検索ページおよび詳細ページの「ユーザーをグループに追加」ボタンを使用して、ユーザーをグループに追加したり、グループを作成できます。

特定のユーザーの詳細を表示し、その分析に基づいて、このユーザーが不正行為者であると識別した場合は、ダイアログでこのユーザーをブラックリスト・グループに追加できます。ユーザーを追加するために、詳細ページにナビゲートする必要はありません。

ユーザー・グループにユーザーを追加するには:

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 右上隅にある「ユーザーをグループに追加」をクリックします。
「ユーザーをグループに追加」ダイアログが表示されます。

3. ユーザーを追加するグループをグループ名で検索します。
ユーザーがメンバーではないグループのみが表示されます。

4. ユーザーを追加するグループを選択し、「追加」ボタンをクリックします。

6.11.9.12 新しいユーザー・グループの作成、および新規作成したグループへのユーザーの追加

「ユーザーをグループに追加」ダイアログおよび「グループに追加」ダイアログを使用すると、ユーザーをグループに追加する前に、そのユーザー・グループの詳細を検索および表示できます。ユーザーが属しているグループが見つからない場合は、新しいグループを作成できます。

不正分析を実行し、特定のユーザーが特定のグループに属していることが判明したが、そのグループを使用できない場合は、そのグループを作成できます。次に、その特定のユーザーをそのグループに追加できます。

新しいユーザー・グループを作成して新規作成したグループにユーザーを追加するには:

1. 有効なユーザーの「セッション」ページから、「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 右上隅にある「ユーザーをグループに追加」ボタンをクリックします。
ユーザーに追加ダイアログが表示されます。

3. 「新規グループの作成」ボタンをクリックして、新しいグループの詳細を指定します。

4. 「完了時にこのグループの詳細タブを開きます。」オプションを選択します。

5. 「追加」ボタンをクリックします。
追加されたユーザーが含まれた、グループの詳細のタブが表示されます。

6.11.9.13 ユーザー・グループからのユーザーの削除

詳細ページで、グループからユーザーを削除できます。たとえば、ユーザーをモニター・ユーザー・グループに追加し、そのユーザーを3か月間監視し、そのユーザーが有効なユーザーであることが判明したら、そのユーザーをそのグループから削除できます。

ユーザーをユーザー・グループから削除するには:

1. 「セッション」ページで、有効なユーザーの「ユーザーID」または「ユーザー名」リンクをクリックします。
「ユーザーの詳細」ページが表示されます。

2. 「グループ」タブを表示します。
「グループ」タブには、グループのリストが表示されます。

3. 特定の行を選択し、「グループから削除」ボタンをクリックして、グループからユーザーを削除します。
複数の行を選択して、複数のユーザーを削除できます。

4. 「グループから削除」をクリックします。
ユーザーが、選択したグループから削除されます。

注意:

プライマリ・ユーザー・グループの「組織ID」からユーザーを削除することはできません。

6.11.9.14 グループ、アラート、デバイス、ロケーション、セッション、ポリシー、ルールおよびフィンガープリントの他の詳細ページへのナビゲート

タブのリンクをクリックして、対応する詳細ページを開くことができます。

- 「ユーザー」タブで、「ユーザー名」リンクをクリックして、ユーザー詳細ページを開きます。

- 「グループ」タブで、「グループ名」リンクをクリックして、グループ詳細ページを開きます。

- 「ロケーション」タブで、「ロケーション」または「IP」リンクをクリックして、ロケーション詳細ページを開きます。

- 「アラート」タブで、「アラート・メッセージ」リンクをクリックして、アラート詳細ページを開きます。

- 「デバイス」タブで、「デバイスID」リンクをクリックして、デバイス詳細ページを開きます。

- 「フィンガープリント」タブで、「フィンガープリントID」をクリックして、対応するフィンガープリント詳細ページを開きます。

ユーザー名、IPアドレス、セッションおよびロケーションへのリンクを「セッション」タブで使用できます。

6.12 IPまたはロケーション(国、都道府県または市区町村)の詳細ページの使用

IP、国、都道府県または市区町村の詳細ページでは、市区町村、都道府県、国のマッピング、他のデータ型(デバイス、ユーザー、アラート、セッション、ブラウザ、OS、ロケール、フィンガープリントなど)との相互参照など、IPアドレス、国、都道府県または市区町村の詳細が表示されます。

セッションの検索結果またはケースのセッション・タブで表示される「IPアドレス」、「国名」、「都道府県名」または「市区町村名」を選択して、それぞれのロケーション詳細ページにドリルダウンできます。

ロケーション詳細ページは、次のタブに分かれています。

表6-20 ロケーション詳細のタブ

ロケーション詳細のタブ

説明

サマリー

「サマリー」タブには、一般的なロケーション情報が示されます。

グループ

「グループ」タブには、そのロケーションが関連付けられているグループがリストされます。

ユーザー

「ユーザー」タブには、すべてのユーザーによるそのロケーションでの成功したログイン試行と失敗したログイン試行がリストされます。

デバイス

「デバイス」タブには、すべてのデバイスによるそのロケーションでの成功したログイン試行と失敗したログイン試行がリストされます。

アラート

「アラート」タブには、トランザクション処理時にアプリケーションがそのロケーションに対して生成したアラートがリストされます。

表示される情報は、アラート・インスタンスではなく、アラート・テンプレートに基づいています。

現在の詳細(レベルやタイプ)が含まれた、アラート・テンプレートが表示されます。

セッション

「セッション」タブには、特定の期間におけるロケーションのログイン・セッションがリストされます。

フィンガープリント

「フィンガープリント」タブには、ログイン時にロケーションに作成されたフィンガープリントがリストされます。

6.12.1 ロケーション詳細: 「サマリー」タブ

「サマリー」タブには、一般的なロケーション情報が示されます。選択したアイテムに応じて、国および都道府県に関する情報が表示されます。たとえば、ユーザーがサンノゼという市を選択した場合、「サマリー」タブにはその市の都道府県および国の名前が表示されます。ユーザーがカリフォルニアという州を選択した場合は、国情報のみがリストされます。

IPアドレスの詳細を表示する必要がある場合は、「IPアドレス」リンクをクリックします。

国詳細

表6-21 国詳細に、国詳細ページの「サマリー」タブに表示される一般的な国詳細をリストします。

表6-21 国詳細

国詳細

説明

国ID。

一意である国のID

国コード

その国を表す地理的コード(ジオコード)

国名

国の地理的名称

都道府県詳細

表6-22 都道府県詳細に、都道府県詳細ページの「サマリー」タブに表示される一般的な都道府県詳細をリストします。

表6-22 都道府県詳細

都道府県詳細

説明

都道府県ID

都道府県のID

都道府県コード

その都道府県を表す地理的コード(ジオコード)

都道府県名

都道府県の地理的名称

国名

その都道府県が属する国の地理的名称

市区町村詳細

表6-23 市区町村詳細に、市区町村詳細ページの「サマリー」タブに表示される一般的な市区町村詳細をリストします。

表6-23 市区町村詳細

市区町村詳細

説明

市区町村ID

市区町村のID

市区町村コード

その市区町村を表す地理的コード(ジオコード)

市区町村名

市区町村の地理的な名前。

都道府県名

その市区町村が属する都道府県の地理的名称

国名

その市区町村が属する国の地理的名称

IP詳細

表6-24 IP詳細に、IP詳細ページの「サマリー」タブに表示される一般的なIP情報をリストします。

表6-24 IP詳細

IP詳細

説明

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

市区町村名

市区町村の地理的な名前。

都道府県名

都道府県の地理的な名前。

国名

国の地理的な名前。

接続スピード

インターネット接続スピードまたは帯域幅(高、中、低)。

接続タイプ

デバイスまたはLANとインターネット間のデータ接続を示します。「接続タイプ・マッピング」を参照してください。

ルーティング・タイプ

ユーザーがインターネットにルーティングされる方法を示します。

Carrier

ASNエンティティを管理するエンティティの名前。

ASN

単一のエンティティによって管理されるネットワークまたはネットワークのグループに割り当てられたグローバルに一意の番号。

Top-level Domain

URLのトップ・レベル・ドメイン。たとえば、www.company.comのcom。これはQuova参照ファイルを使用してマップされます。

Second-level Domain

URLの第2レベル・ドメイン。たとえば、www.company.comの名前。これはQuova参照ファイルを使用してマップされます。

市区町村信頼度係数

正しい市区町村が識別されていることの信頼度係数(1-99)。

都道府県信頼度係数

正しい都道府県が識別されていることの信頼度係数(1-99)。

国信頼度係数

正しい国が識別されていることの信頼度係数(1-99)。

6.12.2 ロケーション詳細: 「グループ」タブ

「グループ」タブには、ロケーションが属している地理的位置グループのリストが表示されます。

表6-25 ロケーション詳細: グループ・フィルタに、グループ検索に使用できるフィルタ・パラメータをリストします。

表6-25 ロケーション詳細: グループ・フィルタ

フィルタ

説明

グループ名

グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。

グループの説明

このフィルタは、ユーザー・グループの説明フィールドにマップします。

キャッシュ・タイプ

グループには、2つのキャッシュ・タイプ・オプション(フル・キャッシュまたはなし)があります。

詳細は、「キャッシュ・ポリシー」を参照してください。

「グループ」タブには、ロケーションが関連付けられているグループのリストが表示されます。

図6-24 ロケーション詳細(米国): グループ

ロケーションが複数のグループに属している場合、すべてのグループがリストされます。「グループ名」リンクをクリックして、グループ詳細ページを開きます。「IPアドレス」リンクをクリックして、IPアドレス詳細を表示します。

6.12.3 ロケーション詳細: 「ユーザー」タブ

このタブには、検索条件で指定された時間枠内にロケーションを使用したユーザーがすべてリストアップされます。

表6-26 ロケーション詳細: 「ユーザー」タブに、ユーザーの検索に使用できるフィルタ・パラメータをリストします。

表6-26 ロケーション詳細: 「ユーザー」タブ

フィルタ

説明

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが属する組織を識別します。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

ロケーションがログインに使用された最新日付。

検索結果には、各ユーザーのユーザー名、認証ステータス、最終使用日、ログイン失敗、ログイン成功、チャレンジ失敗およびチャレンジ成功が表示されます。

図6-25 ロケーション詳細: ユーザー

デフォルトでは、結果は、ユーザー名を基準として昇順でソートされて表示されます。各ユーザー名に対して1行のみが表示されます。ログインおよびチャレンジの成功および失敗の件数は、時間枠の集計件数に対応しています。

ユーザーは、「ユーザー名」リンクをクリックして、ユーザー詳細ページを開くことができます。

6.12.4 ロケーション詳細: 「デバイス」タブ

このタブには、検索条件で指定された時間枠内にロケーションから使用されたデバイスがすべてリストアップされます。

表6-27 ロケーション詳細: 「デバイス」タブに、デバイスの検索に使用できるフィルタ・パラメータをリストします。

表6-27 ロケーション詳細: 「デバイス」タブ

フィールド

説明

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

無効なデバイスIDを指定した場合は、結果が表示されません。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

デフォルトでは、認証ステータスは「すべて」に設定されています。

複数の認証ステータス値を選択できます。

日付範囲

指定継続時間内にユーザーがログインに使用したすべてのデバイスの詳細を取得します。

無効な日付範囲を指定した場合は、結果が表示されません。

検索結果には、各ユーザーのデバイスID、認証ステータス、最終使用日、ログイン失敗、ログイン成功、チャレンジ失敗およびチャレンジ成功が表示されます。

図6-26 ロケーション詳細(米国): デバイス

デフォルトでは、結果は、デバイスIDを基準として昇順でソートされて表示されます。各デバイスIDに対して1行のみが表示されます。ログインおよびチャレンジの成功および失敗の件数は、時間枠の集計件数に対応しています。

デバイス詳細ページは、「デバイスID」リンクをクリックして開くことができます。

6.12.5 ロケーション詳細: 「アラート」タブ

このタブには、指定された日付範囲内にロケーションからトリガーされたすべてのアラートがリストされます。表示される情報は、アラート・インスタンスではなく、アラート・テンプレートに基づいています。現在の詳細(レベルやタイプ)が含まれた、アラート・テンプレートが表示されます。

このタブには、次のフィルタ・パラメータが含まれています。

表6-28 ロケーション詳細: アラート・フィルタ

フィルタ

説明

アラート・メッセージ

アラートを説明する表示名。

アラートID

アラートのID。

アラート・タイプ

アラートのタイプ(不正、調査、情報またはその他のタイプ)。複数のアラート・タイプを選択できます。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。複数のアラート・レベルを選択できます。

ルール名

アラートを生成したルール。複数のルールを選択できます。

トリガー日

指定継続時間内にユーザーに対してトリガーされたすべてのアラートの詳細を取得します。

結果には、各アラート・メッセージのすべてのアラート・ソースが現在の詳細(レベルやタイプ)とともに表示され、その件数(アラートがトリガーされた合計回数)も表示されます。

図6-27 ロケーション詳細: アラート

検索結果の「セッションID」をクリックすると、検索パラメータ(アラート・レベル、アラート・メッセージ、アラート・タイプ、日付など)が事前入力されたセッション検索ページが開きます。

6.12.6 ロケーション詳細: 「セッション」タブ

このタブには、指定の時間枠におけるロケーションのログイン・セッションがリストアップされます。次のフィルタ・パラメータが含まれています。

表6-29 「セッション」タブ

フィルタ

説明

セッションID

セッションの一意の識別子。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

クライアント・タイプ

仮想認証デバイス。認証またはフィンガープリント処理に使用されたデバイスまたはアプリケーション。たとえば、TextPad、KeyPad、質問パッド、ログイン・ページ、Flashトラッカ、auth.client.type.enumが、使用された列挙です。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが属する組織を識別します。

セッション日

ログインまたはトランザクションが発生した日付。

デフォルトでは、結果は、一意のセッションIDを基準としてソートされます。「デバイスID」、「IPアドレス」、「ユーザー名」またはアラート・リンクをクリックすると、対応する詳細ページが開きます。

6.12.7 ロケーション詳細: 「フィンガープリント」タブ

このタブには、ログイン時にロケーションに作成されたフィンガープリントがリストされます。

図6-28 ロケーション詳細: フィンガープリント・データ

このタブには、次のフィルタ・パラメータが含まれています。

表6-30 フィンガープリント・データ

フィルタ

説明

フィンガープリントID

アプリケーションがフィンガープリントに対して生成した一意のID

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

ブラウザ・タイプ

ユーザーがページの表示に使用するブラウザのタイプ

OSタイプ

オペレーティング・システムのタイプ

ロケール

ユーザーが自分のユーザー・インタフェースで表示する言語、国および特別なバリアント・プリファレンスを定義する一連のパラメータ

最終使用日

指定継続時間内に作成されたすべてのフィンガープリントの詳細を取得します。

デフォルトでは、結果は、ブラウザのフィンガープリントIDを基準としてソートされます。ブラウザ/デジタル・フィンガープリント組合せは一意であるため、結果表における各組合せは1行のみとなります。「フィンガープリントID」にはリンクがあり、対応するフィンガープリント詳細ページを開くことができます。

6.12.8 ロケーション(国、都道府県、市区町村またはIP)詳細でのタスク

この項では、ロケーション詳細ページを使用して情報を取得する方法について説明します。

6.12.8.1 ロケーションに関する一般情報の表示

ロケーションに関する一般情報を表示するには:

1. セッション検索の結果から、国、都道府県、市区町村またはIPのリンクをクリックします。
その国、都道府県、市区町村またはIPのロケーション詳細ページが表示されます。

2. 「サマリー」タブを表示します。
「サマリー」タブで、選択したアイテムに応じて、国および都道府県に関する追加情報が表示されます。

たとえば、サンノゼという市を選択した場合、「サマリー」タブにはその市の都道府県および国の名前が表示されます。ユーザーがカリフォルニア州を選択した場合は、国情報のみがリストされます。

「サマリー」タブに表示される情報の詳細は、項6.12.1「ロケーション詳細: 「サマリー」タブ」を参照してください。

6.12.8.2 ロケーションが関連付けられているか所属している様々なロケーション・グループの検索および表示

ロケーションが関連付けられているか所属している様々なロケーション・グループを検索して表示するには:

1. セッション検索の結果から、国、都道府県、市区町村またはIPのリンクをクリックします。
その国、都道府県、市区町村またはIPのロケーション詳細ページが表示されます。

2. 「グループ」タブをクリックします。

3. 次のフィルタを使用して、ロケーションが関連付けられているか所属している様々なロケーション・グループを検索して表示します。

表6-31 ロケーション詳細: グループ・フィルタ

フィルタ

説明

グループ名

グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。グループ名は大/小文字が区別されません。

無効なグループ名を入力した場合は、レコードが表示されません。

キャッシュ・タイプ

グループには、2つのキャッシュ・タイプ・オプション(フル・キャッシュまたはなし)があります。

デフォルトでは、キャッシュ・タイプは「すべて」に設定されています。

詳細は、「キャッシュ・ポリシー」を参照してください。

グループの説明

グループの説明。

グループの説明は、大/小文字が区別されます。グループの説明の一部を入力できます。

特殊文字や長すぎる説明を入力した場合は、結果が表示されません。

「グループ」タブには、ロケーションが属している地理的位置グループのリストが表示されます。ロケーションが複数のグループに属している場合、すべてのグループがリストされます。「グループID」リンクをクリックして、グループ詳細ページを開くことができます。

6.12.8.3 既存のロケーション・グループへのロケーションの追加

システム管理者および調査担当者のみが「グループに追加」コマンドにアクセスできます。CSRには「グループに追加」コマンドへのアクセス権がありません。「グループに追加」ボタンは、セッション検索ページおよびその他の詳細ページで使用できます。

地理的位置グループ・タイプにロケーションを追加できます。ロケーションは、一度に1つのロケーション・グループにのみ追加できます。

ロケーション・グループにロケーションを追加するには:

1. セッション検索ページまたはその他の詳細ページで、ロケーション・リンクをクリックします。
ロケーション詳細ページが表示されます。

2. 右上隅にある「グループにロケーションを追加」ボタンをクリックします。
「グループに追加」ダイアログが表示されます。

3. ロケーションを追加するグループをグループ名で検索します。
ロケーションがメンバーではないグループのみが表示されます。

必要な国、都道府県、市区町村グループが見つからない場合は、新しいグループを作成できます。これを行うための情報は後で提供されます。

4. ロケーションを追加するグループ、および「完了時にこのグループの詳細タブを開きます。」オプションを選択します。

5. 「追加」ボタンをクリックします。
追加されたロケーションが含まれた、グループの詳細のタブが表示されます。

6.12.8.4 ロケーション・グループの作成、およびそのグループへのロケーションの追加

ロケーション・グループを作成してそのグループにロケーションを追加するには:

1. セッション検索ページまたはその他の詳細ページで、ロケーション・リンクをクリックします。
ロケーション詳細ページが表示されます。

2. 右上隅にある「グループにロケーションを追加」ボタンをクリックします。
「グループに追加」ダイアログが表示されます。

3. 「新規グループの作成」ボタンをクリックして、新しいグループの詳細を指定します。

4. 「完了時にこのグループの詳細タブを開きます。」オプションを選択します。

5. 「追加」ボタンをクリックします。
追加されたロケーションが含まれた、グループの詳細のタブが表示されます。

6.12.8.5 ロケーション取得の追加情報からログインした様々なユーザーの検索および表示

ロケーションからログインした様々なユーザーを検索して表示し、ユーザーがそのロケーションからログインした回数や、各ユーザーによるロケーションからのログイン試行の成功数や失敗数などの追加情報を取得するには:

1. セッション検索の結果から、国、都道府県、市区町村またはIPのリンクをクリックします。
その国、都道府県、市区町村またはIPのロケーション詳細ページが表示されます。

2. 「ユーザー」タブをクリックします。

- そのロケーションからユーザーがログインした回数などの追加情報を表示するには、ユーザー名で検索します。「ログイン成功」列に、ユーザーがログインした回数が表示されます。

- ユーザーごとにそのロケーションからのログイン試行の成功数と失敗数を表示するには、「認証ステータス」として「ブロック済」と「成功」を選択します。
ログインの失敗と成功が、ユーザーごとに表示されます。

6.12.8.6 ロケーション取得の追加情報からログインした様々なデバイスの検索および表示

デバイスがロケーションからログインした回数や、各デバイスによるロケーションからのログイン試行の成功数や失敗数などの追加情報を取得するために、そのロケーションからログインした様々なデバイスを検索および表示するには:

1. セッション検索の結果から、国、都道府県、市区町村またはIPのリンクをクリックします。
その国、都道府県、市区町村またはIPのロケーション詳細ページが表示されます。

2. 「デバイス」タブをクリックします。

- そのロケーションからのログインにデバイスが使用された回数などの追加情報を表示するには、「デバイスID」で検索します。「ログイン成功」列に、デバイスがログインに使用された回数が表示されます。

- 各デバイスごとにそのロケーションからのログイン試行の成功数と失敗数を表示するには、「認証ステータス」として「ブロック済」と「成功」を選択します。
ログインの失敗と成功が、デバイスごとに表示されます。

6.12.8.7 ロケーションに対してトリガーおよび生成されたすべてのアラートの検索および表示

ロケーションに対してトリガーおよび生成されたすべてのアラートを検索して表示します。アラートは、そのアラート・レベルが低、中または高のいずれであるかを示すために、異なる色コードで表示されます。

1. セッション検索の結果から、国、都道府県、市区町村またはIPのリンクをクリックします。
その国、都道府県、市区町村またはIPのロケーション詳細ページが表示されます。

2. 「アラート」タブをクリックし、アラート・レベルの検索表を表示します。

6.12.8.8 すべてのログイン・セッションの検索および表示、またはロケーションの特定期間のログイン・セッションの検索

すべてのログイン・セッションを検索して表示するか、またはロケーションの特定期間のログイン・セッションを検索するには:

1. セッション検索の結果から、国、都道府県、市区町村またはIPのリンクをクリックします。
その国、都道府県、市区町村またはIPのロケーション詳細ページが表示されます。

2. 「セッション」タブをクリックします。

3. セッション日を入力し、その期間のロケーションのセッションを取得します。

6.12.8.9 ロケーションに対して作成されたフィンガープリントの検索および表示

ロケーションに対して作成されたフィンガープリントを検索して表示するには:

1. セッション検索の結果から、国、都道府県、市区町村またはIPのリンクをクリックします。
その国、都道府県、市区町村またはIPのロケーション詳細ページが表示されます。

2. 「フィンガープリント・データ」タブをクリックします。

3. OS、ロケール、ブラウザ、フィンガープリントIDなどで検索します。

6.12.8.10 グループ、アラート、デバイス、ユーザー、セッションおよびフィンガープリントのその他の詳細ページへのナビゲート

タブ内のリンクをクリックして、対応する詳細ページを開くことができます。

- 「サマリー」タブで、「IPアドレス」リンクをクリックしてIPアドレス詳細を表示します。

- 「グループ」タブで、「グループ名」リンクをクリックして、グループ詳細ページを開きます。

- 「デバイス」タブで、「デバイスID」リンクをクリックして、デバイス詳細ページを開きます。

- 「ユーザー」タブで、「ユーザー名」リンクをクリックして、ユーザー詳細ページを開きます。

- 「アラート」タブで、「セッションID」をクリックして、検索パラメータ(アラート・レベル、アラート・メッセージ、アラート・タイプ、日付など)が事前入力されたセッション検索ページを開きます。

- 「フィンガープリント」タブで、「フィンガープリントID」をクリックして、対応するフィンガープリント詳細ページを開きます。

「セッション」タブでは、次のページへのリンクが提供されています。

- セッション詳細については、セッションIDのリンクが提供されています。

- IP詳細については、国、都道府県および市区町村のリンクが提供されています。

- 国詳細については、IP、都道府県および市区町村のリンクが提供されています。

- 都道府県詳細については、IP、国および市区町村のリンクが提供されています。

- 市区町村については、IP、国および都道府県のリンクが提供されています。

6.13 「デバイス詳細」ページの使用

デバイス詳細ページには、他のデータ型(ユーザー、ロケーション、アラート、ブラウザ、セッション、フィンガープリント・データの全リストなど)との相互参照を含むデバイスの詳細が表示されます。デバイス詳細ページを開くには、セッション検索ページ、セッション詳細ページまたはその他のリスト・ページで「デバイスID」リンクをクリックします。

デバイス詳細ページは、次のタブに分かれています。

表6-32 デバイス詳細のタブ

デバイス詳細のタブ

説明

サマリー

「サマリー」タブには、一般的なデバイス情報が表示されます。

グループ

「グループ」タブには、デバイスが関連付けられているグループがリストされます。たとえば、制限付きデバイス・グループです。

ユーザー

「ユーザー」タブには、そのデバイスを使用するすべてのユーザーの成功したログイン試行と失敗したログイン試行がリストされます。このレポートにより、どのユーザーが何回このデバイスをログインに使用したかを確認できます。

ロケーション

「ロケーション」タブには、すべてのデバイスのロケーションからの成功したログイン試行と失敗したログイン試行がリストされます。このレポートにより、特定のロケーションからデバイスがどのロケーションに何回ログインしたかを確認できます。

セッション

「セッション」タブには、特定の期間におけるデバイスのログイン・セッションがリストされます。

アラート

「アラート」タブには、トランザクション処理時にOAAM管理がトリガーおよび生成したアラートがリストされます。

表示される情報は、アラート・インスタンスではなく、アラート・テンプレートに基づいています。

現在の詳細(レベルやタイプ)が含まれた、アラート・テンプレートが表示されます。

フィンガープリント・データ

「フィンガープリント・データ」タブには、デバイスのブラウザおよびデジタル・フィンガープリント情報が表示されます。

6.13.1 デバイス詳細: 「サマリー」タブ

「サマリー」タブには、一般的なデバイス情報が表示されます。次の情報を指定します。

基本情報

表6-33 デバイス詳細の基本情報

デバイス詳細: 「サマリー」タブ

説明

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

特定のデバイスのデジタル・フィンガープリントが変更された場合でも、デバイスIDは保持され、新しいデバイスは作成されません。これは、セキュアCookieが前のリクエストと同じであるため、既存のデバイスIDとして引き続き使用されるためです。

オペレーティング・システム

デバイスのOS。情報は、デバイスに関連付けられているフィンガープリント・データからフェッチされます。

ブラウザ

デバイス・ブラウザ・タイプ。情報は、デバイスに関連付けられているフィンガープリント・データからフェッチされます。

作成日

ユーザーが、デバイスを認証に初めて使用した日付。デバイスの最初のログイン日でもあります。

最終使用日

この日付は、デバイスからの最新のログイン時間を表します。

フィンガープリント詳細

デバイス詳細のサマリー・ページには、フィンガープリント・タイプおよびそのパラメータが階層ツリー形式で表示されます。「フィンガープリント詳細」セクションでは、ログイン時にデバイスに作成されたフィンガープリントがリストされます。OAAMでは、即時利用可能な2つのフィンガープリント・タイプ(ブラウザとデジタル)のみをサポートしています。デジタル・フィンガープリントは、Flash、またはユーザーが定義したいずれかのカスタム・タイプになります。OAAMではフレームワークを提供しているため、ユーザーは、必要に応じて、ブラウザやFlash以外のフィンガープリント・タイプを使用できます。

セッション詳細サマリー・ページの「デジタル・フィンガープリント・タイプ」フィールドに、デジタル・フィンガープリントの収集に使用したフィンガープリント・タイプが表示されます。カスタム・フィンガープリントが使用される場合、このフィールドにはカスタム・フィンガープリント・タイプの名前が表示されます。

表6-34 デバイス詳細のフィンガープリント情報

デバイス詳細の「フィンガープリント」タブ

説明

フィンガープリント詳細のタイトル

フィンガープリント詳細のタイトルには、そのデバイスのフィンガープリントの数が示されます。

ブラウザ・フィンガープリント

次の情報が表示されます。

- ID

- ブラウザ

- ローカル国

- ローカル言語

- ローカル・バリアント

- オペレーティング・システム

- ユーザー・エージェント

デジタル・フィンガープリント

Flashフィンガープリント、またはユーザーが定義した別のカスタム・フィンガープリントの情報が表示されます。フィールドには、次のような情報が表示されます。

- ID

- デジタル・フィンガープリント・タイプ

- 画面のアスペクト率

- 音声/ビデオがユーザーによって無効化された

- ビデオ・エンコーダが含まれる

- デバッグ・バージョン

- 1インチ当たりのドット数

- 埋込みビデオ

- Flashバージョン

- 音声エンコーダを備えている

- MP3対応

- アクセシビリティ対応

- 音声対応

- Input Method Editorインストール済

- ローカル・ファイル読取りが無効

- 画面の色

- 言語

- 製造業者

- オペレーティング・システム

- プレーヤ・タイプ

- 画面解像度

- ネイティブSSLのサポート

デバイスにカスタム・フィンガープリントとしてFlashが含まれている場合、デジタル・フィンガープリントには、OSタイプ、ブラウザ・タイプ、プレーヤ・タイプ、音声対応、MP3対応、ストリーミング音声のサポートなどのFlashフィンガープリント詳細が表示されます。Flashがデバイスに関連付けられていない場合、Flashフィンガープリント詳細およびパラメータは表示されません。

収集するデジタル・フィンガープリントのタイプをFlashから(たとえば)QuickTimeに変更することを決定した場合、「フィンガープリント詳細」パネルには、現在の(最新の)フィンガープリント(QuickTime)のみが表示されます。「フィンガープリント・データ」タブをクリックすると、そのデバイスのすべてのフィンガープリント詳細を確認できます(ブラウザ、FlashおよびQuickTimeが表示されます)。

6.13.2 デバイス詳細: 「グループ」タブ

このタブには、デバイスが関連付けられているグループがリストされます。たとえば、制限付きデバイスです。このタブには、次のフィルタ・パラメータが含まれています。

表6-35 デバイス詳細: グループ・フィルタ

フィルタ

説明

グループ名

グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。

説明

このフィルタは、ユーザー・グループの説明フィールドにマップします。

キャッシュ・タイプ

グループには、2つのキャッシュ・タイプ・オプション(フル・キャッシュまたはなし)があります。

詳細は、「キャッシュ・ポリシー」を参照してください。

「グループID」リンクをクリックして、グループ詳細ページを開くことができます。

6.13.3 デバイス詳細: 「ユーザー」タブ

このタブには、このデバイスを使用するすべてのユーザーからの成功したログイン試行と失敗したログイン試行がリストされます。このタブには、次のフィルタ・パラメータが含まれています。

表6-36 デバイス詳細: 「ユーザー」タブ

フィルタ

説明

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが属する組織を識別します。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にこのデバイスを使用してログインしたすべてのユーザーを取得します。

結果は、ユーザー名を基準として昇順でソートされます。各ユーザーは、結果内で1回のみ表示されます。「ユーザーID」リンクをクリックして、ユーザー詳細を開くことができます。

6.13.4 デバイス詳細: 「ロケーション」タブ

このタブには、すべてのロケーションからの成功したログイン試行と失敗したログイン試行がリストされます。このタブには、次のフィルタ・パラメータが含まれています。

表6-37 デバイス詳細: 「ロケーション」タブ

フィルタ

説明

ロケーション

国ID、都道府県ID、市区町村ID

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインしたすべてのロケーションを取得します。

同じデバイスを使用して同じロケーションからログインした場合でも、IPが異なれば、そのロケーションは複数回表示されます。ロケーションは名前を基準として昇順でソートされます。ログインまたはチャレンジの成功および失敗の件数は、時間枠の集計件数に対応しています。

「IPアドレス」リンクをクリックして、「IP詳細」ページを開くことができます。

6.13.5 デバイス詳細: 「アラート」タブ

このタブには、トランザクション処理中にデバイスに対して生成されたアラートがリストされます。表示される情報は、アラート・インスタンスではなく、アラート・テンプレートに基づいています。現在の詳細(レベルやタイプ)が含まれた、アラート・テンプレートが表示されます。

このタブには、次のフィルタ・パラメータが含まれています。

表6-38 デバイス詳細: アラート・フィルタ

フィルタ

説明

チェックポイント

ルールの実行のためにポリシーがコールされるときの決定および強制ポイント。

ポリシー名

ポリシー名。ポリシー・リストは、チェックポイントに選択された内容によって動的に移入されます。

ルール名

アラートを生成したルール。

アラート・メッセージ

アラートを説明する表示名。

アラートID

アラートのID。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

アラート・タイプ

アラートのタイプ(不正、調査、情報またはその他のタイプ)。

セッションID

セッションのID。

トリガー日

アラートがユーザーに対してトリガーされた所定の時間。

結果には、各アラート・メッセージのすべてのアラート・ソース、およびその件数(アラートがトリガーされた合計回数)が表示されます。

デフォルトでは、結果はアラート・メッセージを基準として昇順でソートされます。

「セッションID」をクリックすると、検索パラメータ(アラート・レベル、アラート・メッセージ、アラート・タイプおよび日付)が事前入力されたセッション検索ページが開きます。

6.13.6 デバイス詳細: 「セッション」タブ

このタブには、特定期間におけるデバイスのログイン・セッションがリストされます。このタブには、次のフィルタ・パラメータが含まれています。

表6-39 「セッション」タブ

フィルタ

説明

セッションID

セッションの一意の識別子。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

クライアント・タイプ

仮想認証デバイス。認証またはフィンガープリント処理に使用されたデバイスまたはアプリケーション。たとえば、TextPad、KeyPad、質問パッド、ログイン・ページ、Flashトラッカです。auth.client.type.enumが使用される列挙です。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが属する組織を識別します。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

ロケーション

地理的位置。

セッション日

セッションが発生した日付。

デフォルトでは、結果はセッションIDを基準として昇順でソートされます。

セッションIDは、セッションの進行中にIPまたはデバイスが変更された場合を除き、通常は一意となります。

6.13.7 デバイス詳細: 「フィンガープリント・データ」タブ

このタブには、ログイン時にデバイスに作成されたフィンガープリントがリストされます。

図6-29 デバイス詳細: フィンガープリント・データ

このタブには、次のフィルタ・パラメータが含まれています。

表6-40 デバイス詳細: フィンガープリント・データ

フィルタ

説明

フィンガープリントID

アプリケーションがフィンガープリントに対して生成した一意のID

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

ブラウザ・タイプ

ユーザーがページの表示に使用するブラウザのタイプ

OSタイプ

オペレーティング・システムのタイプ

ロケール

ユーザーが自分のユーザー・インタフェースで表示する言語、国および特別なバリアント・プリファレンスを定義する一連のパラメータ

最終使用日

指定継続時間内に作成されたすべてのフィンガープリントを取得します。

6.13.8 デバイス詳細でのタスク

この項では、デバイス詳細ページを使用して情報を取得する方法について説明します。

6.13.8.1 デバイスに関する一般情報の表示

デバイスに関する一般情報を表示するには:

1. セッション検索ページまたはその他のページの「デバイスID」リンクをクリックします。
「デバイス詳細」ページが開き、追加の詳細が表示されます。

2. 「サマリー」タブを表示します。
次の一般的なデータが表示されます。

- デバイスID

- OS

- ブラウザ

- 作成日

- 最終使用日

6.13.8.2 デバイスに対して作成されたFlashとブラウザのフィンガープリント情報の表示

デバイスに関する一般情報を表示するには:

1. セッション検索ページまたはその他のページの「デバイスID」リンクをクリックします。
「デバイス詳細」ページが開き、追加の詳細が表示されます。

2. 「フィンガープリント・データ」タブを表示します。
Flashおよびブラウザのフィンガープリント・データが表示されます。

6.13.8.3 デバイスが関連付けられているか所属している様々なデバイス・グループの検索および表示

デバイスが関連付けられているか所属している様々なデバイス・グループを検索して表示するには:

1. セッション検索ページまたはその他のページの「デバイスID」リンクをクリックします。
「デバイス詳細」ページが開き、追加の詳細が表示されます。

2. 「グループ」タブを表示します。

3. 次のフィルタを使用してグループを検索します。

表6-41 グループ・フィルタ

フィルタ

説明

グループ名

グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。

グループ・タイプ

グループが属するカテゴリ。

キャッシュ・タイプ

グループには、2つのキャッシュ・タイプ・オプション(フル・キャッシュまたはなし)があります。

詳細は、「キャッシュ・ポリシー」を参照してください。

グループの説明

このフィルタは、ユーザー・グループの説明フィールドにマップします。

6.13.8.4 デバイス・グループのデバイスの追加/削除

デバイスをデバイス・グループに追加するには:

1. セッション検索ページまたはその他の詳細ページで、「デバイスID」リンクをクリックします。
デバイス詳細ページが表示されます。

2. 右上隅にある「グループへのデバイスの追加」 ボタンをクリックします。
「グループに追加」ダイアログが表示されます。

3. デバイスを追加するグループをグループ名およびデバイス・グループ・タイプで検索します。
デバイスがメンバーではないグループのみが表示されます。

必要なデバイス・グループが見つからない場合、新しいグループを作成できます。これを行うための情報は後で提供されます。

4. デバイスを追加するグループおよび「完了時にこのグループの詳細タブを開きます。」オプションを選択します。

5. 「追加」ボタンをクリックします。
追加されたデバイスが含まれた、グループの詳細のタブが表示されます。

デバイス・グループからデバイスを削除するには:

1. セッション検索ページの「デバイスID」リンクをクリックします。
「デバイス詳細」ページが開き、追加の詳細が表示されます。

2. 「グループ」タブを表示します。
「グループ」タブには、グループのリストが表示されます。デバイスは、これらのすべてのデバイス・グループのメンバーです。

3. デバイスを含む「デバイス・グループ」をクリックします。

4. グループの詳細ページで、「デバイス」タブをクリックします。

5. 特定の行を選択し、ツールバーの「選択したメンバーの削除」ボタンをクリックして、グループからデバイスを削除します。

6. 「確認」ダイアログの「削除」をクリックします。

7. 「OK」をクリックして、「情報」ダイアログを閉じます。
選択したグループからデバイスが削除されます。

6.13.8.5 デバイス・グループの作成とそのグループへのデバイスの追加

デバイス・グループを作成してそのグループにデバイスを追加するには:

1. セッション検索ページまたはその他の詳細ページで、「デバイスID」リンクをクリックします。
デバイス詳細ページが表示されます。

2. 右上隅にある「グループへのデバイスの追加」 ボタンをクリックします。
「グループに追加」ダイアログが表示されます。

3. 「新規グループの作成」ボタンをクリックして、新しいグループの詳細を指定します。

4. 「完了時にこのグループの詳細タブを開きます。」オプションを選択します。

5. 「追加」ボタンをクリックします。
追加されたデバイスが含まれた、グループの詳細のタブが表示されます。

6.13.8.6 デバイスを使用してログインし追加情報を取得した様々なユーザーの検索および表示

デバイスを使用してログインした様々なユーザーを検索および表示し、ユーザーがそのデバイスを使用した回数や、各ユーザーによるデバイスのログイン試行の成功数や失敗数などの追加情報を取得するには:

1. セッション検索ページまたはその他のページの「デバイスID」リンクをクリックします。
「デバイス詳細」ページが開き、追加の詳細が表示されます。

2. 「ユーザー」タブをクリックします。

3. 次のフィルタ・パラメータを使用して、様々なユーザーを検索します。

表6-42 「ユーザー」タブ

フィルタ

説明

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが属する組織を識別します。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にこのデバイスを使用してログインしたすべてのユーザーを取得します。

4. 検索結果で、次のことを表示します。

- 失敗カウンタ(ログイン失敗件数)

- 成功カウンタ(ログイン成功件数)

6.13.8.7 デバイスを使用してログインし追加情報を取得した様々なロケーションの検索および表示

デバイスがログインに使用された様々なロケーションを検索して表示し、そのデバイスがロケーションから使用された回数や、各ロケーションからのデバイスのログイン試行の成功数や失敗数などの追加情報を取得するには:

1. セッション検索ページまたはその他のページの「デバイスID」リンクをクリックします。
「デバイス詳細」ページが開き、追加の詳細が表示されます。

2. 「ロケーション」タブをクリックします。

3. 次のフィルタ・パラメータを使用して、様々なロケーションを検索します。

表6-43 「ロケーション」タブ

フィルタ

説明

ロケーション

国ID、都道府県ID、市区町村ID

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインしたすべてのロケーションを取得します。

4. 検索結果では、各ロケーションのデバイスに関して次のことが表示されます。

- 失敗カウンタ(ログイン失敗件数)

- 成功カウンタ(ログイン成功件数)

6.13.8.8 デバイスに対してトリガーおよび生成されたすべてのアラートの検索および表示

デバイスに対してトリガーおよび生成されたすべてのアラートを検索して表示します。アラートは、そのアラート・レベルが低、中または高のいずれであるかを示すために、異なる色コードで表示されます。

1. セッション検索ページまたはその他のページの「デバイスID」リンクをクリックします。
「デバイス詳細」ページが開き、追加の詳細が表示されます。

2. 「アラート」タブをクリックします。
このタブには、トランザクション処理中にデバイスに対してトリガーおよび生成されたアラートがリストされます。

3. 次のフィルタ・パラメータを使用して、様々なアラートを検索します。

表6-44 アラート・フィルタ

フィルタ

説明

アラート・メッセージ

アラートを説明する表示名。

アラートID

アラートのID。

アラート・タイプ

アラートのタイプ(不正、調査、情報またはその他のタイプ)。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

ルール名

アラートを生成したルール。

トリガー日

アラートがユーザーに対してトリガーされた所定の時間。

4. 検索結果では、デバイスに対してトリガーおよび生成されたアラートが表示されます。
アラートは、そのアラート・レベル(高、中または低)を示すために、異なる色コードで表示されます。

6.13.8.9 すべてのログイン・セッションの検索および表示、またはデバイスの特定期間のログイン・セッションの検索

デバイスに対してトリガーおよび生成されたすべてのアラートを検索して表示します。アラートは、そのアラート・レベルが低、中または高のいずれであるかを示すために、異なる色コードで表示されます。

1. セッション検索ページまたはその他のページの「デバイスID」リンクをクリックします。
「デバイス詳細」ページが開き、追加の詳細が表示されます。

2. 「セッション」タブをクリックします。
このタブには、特定期間におけるデバイスのログイン・セッションがリストされます。

3. 次のフィルタ・パラメータを使用して、様々なセッションを検索します。

表6-45 「セッション」タブ

フィルタ

説明

セッションID

セッションの一意の識別子。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

クライアント・タイプ

仮想認証デバイス。認証またはフィンガープリント処理に使用されたデバイスまたはアプリケーション。たとえば、TextPad、KeyPad、質問パッド、ログイン・ページ、Flashトラッカです。auth.client.type.enumが使用される列挙です。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが属する組織を識別します。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

ロケーション

ログインまたはトランザクションが発生した場所。

セッション日

指定継続時間内にデバイスがログインしたすべてのセッションを取得します。

6.13.8.10 デバイスに対して作成されたフィンガープリントの検索および表示

デバイスに対して作成されたフィンガープリントを検索して表示するには:

1. セッション検索ページまたはその他のページの「デバイスID」リンクをクリックします。
「デバイス詳細」ページが開き、追加の詳細が表示されます。

2. 「フィンガープリント・データ」タブをクリックします。
このタブには、ログイン時にデバイスに作成されたフィンガープリントがリストされます。

6.13.8.11 グループ、アラート、ユーザー、ロケーション、セッションおよびフィンガープリントのその他の詳細ページへのナビゲート

次のように、詳細ページのタブのリンクをクリックして、他の詳細ページを開くことができます。

- 「ユーザー」タブで、「ユーザー名」リンクをクリックして、ユーザー詳細ページを開きます。

- 「グループ」タブで、「グループ名」リンクをクリックして、グループ詳細ページを開きます。

- 「ロケーション」タブで、「ロケーション」リンクをクリックして、ロケーション詳細ページを開きます。

- 「アラート」タブで、「アラート・メッセージ」をクリックして、アラート詳細ページを開きます。

- ユーザー名、IPアドレス、セッションおよびロケーションへのリンクを「セッション」タブで使用できます。

6.14 「フィンガープリント詳細」ページの使用

「ブラウザ・フィンガープリントID」または「デジタル・フィンガープリントID」を選択して、セッション検索結果からフィンガープリント詳細ページにドリルダウンできます。

次の2つの異なる種類のフィンガープリント詳細ページがあります。

- ブラウザ・フィンガープリント

- デジタル・フィンガープリント

6.14.1 フィンガープリント詳細: 「サマリー」タブ

フィンガープリント詳細の「サマリー」ページには、一般的なフィンガープリント情報、およびデバイスのフィンガープリント生成時に収集されたデータが表示されます。

フィンガープリント詳細の「サマリー」タブには、フィンガープリント処理タイプ(Flash、ブラウザ、カスタム)およびパラメータが表示されます。

図6-30に、「サマリー」タブ内の収集されたデジタル・フィンガープリント・データを示します。

図6-30 デジタル・フィンガープリント・データの表示

図6-31に、「サマリー」タブ内の収集されたブラウザ・フィンガープリント・データを示します。

図6-31 ブラウザ・フィンガープリント・データの表示

このタブで提供される基本情報は次のとおりです。

表6-46 フィンガープリント詳細のタブ

フィンガープリント詳細

説明

フィンガープリントID

アプリケーションがフィンガープリントに対して生成した一意のID

タイプ

フィンガープリントがFlashまたはブラウザであるかを示すフィンガープリントのタイプ

作成時間

フィンガープリントがシステムで作成された日付

6.14.2 フィンガープリント詳細: 「ユーザー」タブ

このタブには、指定された時間枠内にフィンガープリントを使用したユーザーがすべてリストアップされます。フィンガープリント詳細ページの「ユーザー」タブを使用すると、ログイン・プロセス時にフィンガープリントを使用したユーザー、および各ユーザーのフィンガープリント使用回数を特定できます。

図6-32 フィンガープリント詳細: ユーザー

このタブには、次のフィルタ・パラメータが含まれています。

表6-47 フィンガープリント詳細: 「ユーザー」タブ

フィルタ

説明

ユーザー名

ユーザーがログインするために入力するログイン名。(フィンガープリント用ではない)

組織ID

ユーザーが属する組織を識別します。(フィンガープリント用ではない)

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にこのデバイスを使用してログインしたすべてのユーザーを取得します。(フィンガープリント用ではない)

6.14.3 フィンガープリント詳細: 「デバイス」タブ

このタブには、フィンガープリントが使用されたすべてのデバイスがリストされます。

図6-33 フィンガープリント詳細: デバイス

フィンガープリント詳細ページの「デバイス」タブを使用すると、ログイン・プロセス時にフィンガープリントを使用したデバイス、および各デバイスのフィンガープリント使用回数を特定できます。

このタブには、次のフィルタ・パラメータが含まれています。

表6-48 フィンガープリント詳細: 「デバイス」タブ

フィールド

説明

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインに使用したすべてのデバイスを取得します。

6.14.4 フィンガープリント詳細: 「ロケーション」タブ

このタブには、フィンガープリントが使用されたすべてのロケーションがリストされます。

図6-34 フィンガープリント詳細: ロケーション

フィンガープリント詳細ページの「ロケーション」タブを使用すると、ログイン・プロセス時にフィンガープリントを使用したロケーション、および各ロケーションのフィンガープリント使用回数を特定できます。

このタブには、次のフィルタ・パラメータが含まれています。

表6-49 フィンガープリント詳細: 「ロケーション」タブ

フィルタ

説明

国

国ID。

都道府県

都道府県ID

市区町村

市区町村ID

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインしたすべてのロケーションを取得します。

6.14.5 フィンガープリント詳細: 「セッション」タブ

このタブには、特定の期間においてフィンガープリントが生成されたログイン・セッションがリストされます。

図6-35 フィンガープリント詳細: セッション

このタブには、次のフィルタ・パラメータが含まれています。

表6-50 フィンガープリント詳細: 「セッション」タブ

フィルタ

説明

セッションID

セッションのID。

アラート・メッセージ

アラートを説明する表示名。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。

デバイスID

アプリケーションによって自動生成された各デバイスの一意の識別子。

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが所属する組織の識別子。

国

国ID。

市区町村

市区町村ID

都道府県

都道府県ID。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

ログイン時間

セッションのログイン時間。デバイスが指定継続時間内にログインしている間のすべてのセッションの収集に使用されるフィールド。

6.14.6 フィンガープリント詳細: 「アラート」タブ

このタブには、検索条件で指定された時間枠内でこのデバイスにトリガーされたアラートがリストアップされます。

図6-36 フィンガープリント詳細: アラート

このタブには、次のフィルタ・パラメータが含まれています。

表6-51 フィンガープリント詳細: 「アラート」タブ

フィルタ

説明

チェックポイント

ルールの実行のためにポリシーがコールされるときの決定および強制ポイント。

ポリシー名

ポリシーの名前。ポリシー・リストは、チェックポイントに選択された内容によって動的に移入されます。

ルール名

アラートを生成したルールの名前。

アラート・メッセージ

アラートを説明する表示名。

アラート・レベル

アラートの重大度。「高」、「中」、「低」のいずれかです。複数のアラート・レベルを選択できます。

アラート・タイプ

アラートのタイプ(不正、調査、情報またはその他のタイプ)。複数のアラート・タイプを選択できます。

セッションID

セッションの一意の識別子。

トリガー日

このデバイスに対してアラートがトリガーされた日付。必須フィールド。

6.14.7 フィンガープリント詳細でのタスク

この項では、フィンガープリント詳細ページを使用して情報を取得する方法について説明します。

6.14.7.1 デジタル・フィンガープリントの詳細の表示

デジタル・フィンガープリントの詳細を表示するには、セッション詳細ページまたはリスト・ページで「デジタル・フィンガープリントID」リンクをクリックします。

追加の詳細が含まれた、フィンガープリント詳細ページが開きます。

6.14.7.2 ブラウザ・フィンガープリントの詳細の表示

ブラウザ・フィンガープリントの詳細を表示するには、セッション詳細ページまたはリスト・ページで「ブラウザ・フィンガープリントID」リンクをクリックします。

追加の詳細が含まれた、フィンガープリント詳細ページが開きます。

6.14.7.3 フィンガープリントが使用された様々なユーザーの検索および表示

フィンガープリントが使用された様々なユーザーを検索して表示するには:

1. セッション詳細ページまたはリスト・ページの「フィンガープリントID」リンクをクリックします。
フィンガープリント詳細ページが開き、追加の詳細が表示されます。

2. 「ユーザー」タブをクリックします。
このタブには、指定された時間枠内にフィンガープリントを使用したユーザーがすべてリストアップされます。

3. 次のフィルタ・パラメータを使用して、フィンガープリントが使用された様々なユーザーを検索します。

表6-52 フィンガープリント詳細: 「ユーザー」タブ

フィルタ

説明

ユーザー名

ユーザーがログインするために入力するログイン名。(フィンガープリント用ではない)

組織ID

ユーザーが属する組織を識別します。(フィンガープリント用ではない)

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にこのデバイスを使用してログインしたすべてのユーザーを取得します。(フィンガープリント用ではない)

6.14.7.4 フィンガープリントが使用された様々なデバイスの検索および表示

フィンガープリントが使用された様々なデバイスを検索して表示するには:

1. セッション詳細ページまたはリスト・ページの「フィンガープリントID」リンクをクリックします。
フィンガープリント詳細ページが開き、追加の詳細が表示されます。

2. 「デバイス」タブをクリックします。
このタブには、フィンガープリントが使用されたすべてのデバイスがリストされます。

3. 次のフィルタ・パラメータを使用して、フィンガープリントが使用された様々なデバイスを検索します。

表6-53 フィンガープリント詳細: 「ユーザー」タブ

フィルタ

説明

ユーザー名

ユーザーがログインするために入力するログイン名。(フィンガープリント用ではない)

組織ID

ユーザーが属する組織を識別します。(フィンガープリント用ではない)

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にこのデバイスを使用してログインしたすべてのユーザーを取得します。(フィンガープリント用ではない)

このレポートにより、ログイン・プロセス時にフィンガープリントを使用したデバイス、および各デバイスのフィンガープリント使用回数を確認できます。

6.14.7.5 フィンガープリントが使用された様々なロケーションの検索および表示

フィンガープリントが使用された様々なロケーションを検索して表示するには:

1. セッション詳細ページまたはリスト・ページの「フィンガープリントID」リンクをクリックします。
フィンガープリント詳細ページが開き、追加の詳細が表示されます。

2. 「ロケーション」タブをクリックします。
このタブには、フィンガープリントが使用されたすべてのロケーションがリストされます。

3. 次のフィルタ・パラメータを使用して、フィンガープリントが使用された様々なロケーションを検索します。

表6-54 フィンガープリント詳細: 「ロケーション」タブ

フィルタ

説明

ロケーション

国ID、都道府県ID、市区町村ID

IPアドレス

ロケーションにマップされるアドレス。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインしたすべてのロケーションを取得します。

このレポートにより、ログイン・プロセス時にフィンガープリントを使用したロケーション、および各ロケーションのフィンガープリント使用回数を確認できます。

6.14.7.6 すべてのログイン・セッションの検索および表示、またはフィンガープリントの特定期間のログイン・セッションの検索

すべてのログイン・セッションを検索して表示するか、またはフィンガープリントの特定期間のログイン・セッションを検索するには:

1. セッション詳細ページまたはリスト・ページの「フィンガープリントID」リンクをクリックします。
フィンガープリント詳細ページが開き、追加の詳細が表示されます。

2. 「セッション」タブをクリックします。
このタブには、特定の期間においてフィンガープリントが生成されたログイン・セッションがリストされます。

3. すべてのログイン・セッションを検索して表示するか、またはフィンガープリントのセッション日でログイン・セッションを検索します。
セッション日で検索すると、指定継続時間内にデバイスがログインしていた間のすべてのセッションが収集されます。

6.14.7.7 ユーザー、デバイス、セッションおよびロケーションのその他の詳細ページへのナビゲート

次のように、詳細ページから他の詳細ページにアクセスできます。

- 「ユーザー」タブで、「ユーザー名」リンクをクリックして、ユーザー詳細ページを開きます。

- 「ロケーション」タブで、「ロケーション」または「IP」リンクをクリックして、ロケーション詳細ページを開きます。

- 「デバイス」タブで、「デバイスID」リンクをクリックして、デバイス詳細ページを開きます。

- ユーザー名、IPアドレス、セッションおよびロケーションへのリンクを「セッション」タブで使用できます。

6.15 「アラート詳細」ページの使用

「アラート詳細」ページでは、メッセージ、レベル、メッセージのタイプ、および他のデータ型(ユーザー、デバイス、ロケーション、セッション、ブラウザ、オペレーティング・システム、ロケールなど)との相互参照に関する情報を提供します。さらに、アラートの生成に関する情報が提供されます。

アラート詳細ページを使用すると、アラートを生成したユーザー間の関係だけでなく、アラートの生成時に使用されたロケールなどの有用なその他のデータ関係も迅速に確認できます。

セッション検索ページ、セッション詳細ページやその他の詳細ページ、およびエージェント・ケースの「アラート・メッセージ」リンクからアラート詳細ページを開くことができます。

表6-37 「アラート」パネル

アラート詳細ページでは、次のタブに一般情報および関係の詳細を示します。

表6-55 アラート詳細のタブ

「アラート詳細」タブ

説明

サマリー

アラート、および最新の詳細(レベルやタイプ)が含まれたアラート・テンプレートに関する一般情報。

ユーザー

アラートが生成されたすべてのユーザーをリストします。

このレポートを使用すると、ログイン・プロセス中にどのユーザーにアラートが生成されたか、およびユーザーごとのアラートの生成回数を確認できます。

デバイス

アラートが生成されたすべてのデバイスをリストします。

このレポートを使用すると、ログイン・プロセス中にどのデバイスにアラートが生成されたか、およびデバイスごとのアラートの生成回数を確認できます。

ロケーション

アラートが生成されたすべてのロケーションをリストします。

このレポートを使用すると、ログイン・プロセス中にどのロケーションにアラートが生成されたか、およびロケーションごとのアラートの生成回数を確認できます。

セッション

特定の期間においてアラートが生成されたログイン・セッションをリストします。

フィンガープリント・データ

アラートが生成されたログイン・プロセス中に作成されたフィンガープリントのリスト。

6.15.1 アラート詳細: 「サマリー」タブ

このタブでは、アラート、および最新の詳細(レベルやタイプ)が含まれたアラート・テンプレートに関する一般情報を提供します。

図6-38 アラート詳細: サマリー

表6-56 アラート詳細: 「サマリー」タブ

アラートのサマリー

説明

アラート・メッセージ

アラートに設定されたテキスト・メッセージ。

アラート・タイプ

不正、調査、情報など、アラート・テンプレートの現在のタイプ

アラート・レベル

アラート・テンプレートの現在の重大度(高、中、低)

アラート・グループ

アラート・テンプレートがリンクされているまたは関連付けられているグループ

6.15.2 アラート詳細: 「ユーザー」タブ

このタブには、アラートがトリガーされたセッションを持つユーザーがリストされます。

図6-39 アラート詳細: ユーザー

このタブには、次のフィルタ・パラメータが含まれています。

表6-57 アラート詳細: 「ユーザー」タブ

フィルタ

説明

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが属する組織を識別します。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終トリガー日

アラートがトリガーされた日。

検索結果には、各ユーザーのユーザー名、アラート件数および最終トリガー日が表示されます。各ユーザーは、1回のみリストされます。「アラート件数」には、時間枠内にユーザーに対してアラートがトリガーされた回数が表示されます。デフォルトでは、結果はユーザー名を基準としてソートされます。

「ユーザー名」リンクをクリックして、ユーザー詳細ページを開くことができます。

6.15.3 アラート詳細: 「デバイス」タブ

このタブには、アラートがトリガーされたセッションでのデバイスがリストされます。

図6-40 アラート詳細: デバイス

このページには、次のフィルタ・パラメータが含まれています。

表6-58 アラート詳細: 「デバイス」タブ

フィールド

説明

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインに使用したすべてのデバイスを取得します。

検索結果には、各デバイスのデバイスID、アラート件数および最終トリガー日が表示されます。デフォルトでは、結果はデバイスIDを基準として昇順でソートされます。各デバイスIDは、1回のみリストされます。「アラート件数」には、時間枠内にデバイスに対してアラートがトリガーされた回数が表示されます。

「デバイスID」リンクをクリックして、「デバイス詳細」ページを開くことができます。

6.15.4 アラート詳細: 「ロケーション」タブ

このタブには、アラートがトリガーされたセッションでのロケーション(国、都道府県および市区町村)がリストされます。

図6-41 アラート詳細: ロケーション

このページには、次のフィルタ・パラメータが含まれています。

表6-59 「ロケーション」タブ

フィルタ

説明

ロケーション

国ID、都道府県ID、市区町村ID

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインしたすべてのロケーションを取得します。

検索結果には、各ロケーションのロケーション、IPアドレス、認証ステータス、最終トリガー日、ユーザー名およびアラート件数が表示されます。アラートが、同じ市区町村の、異なるIPで生成された場合、その市区町村は一意のIPの数だけ出現します。「アラート件数」には、時間枠内にロケーションからアラートがトリガーされた回数が表示されます。

「ロケーション」リンクをクリックして、ロケーション詳細ページを開くことができます。

「ユーザー名」または「IPアドレス」リンクをクリックすると、対応する詳細ページが開きます。

6.15.5 アラート詳細: 「セッション」タブ

このタブには、アラートがトリガーされたセッションがリストされます。

図6-42 アラート詳細: セッション

このタブには、次のフィルタ・パラメータが含まれています。

表6-60 「セッション」タブ

フィルタ

説明

セッションID

セッションの一意の識別子。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

クライアント・タイプ

仮想認証デバイス。認証またはフィンガープリント処理に使用されたデバイスまたはアプリケーション。たとえば、TextPad、KeyPad、質問パッド、ログイン・ページ、Flashトラッカです。auth.client.type.enumが使用される列挙です。

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

ユーザー名

ユーザーがログインするために入力するログイン名。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

ロケーション

ログインが発生した場所。

トリガー日。

生成日。

デフォルトでは、結果は、一意のセッションIDを基準としてソートされます。

「セッションID」リンクをクリックして、セッション詳細ページを表示できます。

「デバイスID」、「IPアドレス」、「ユーザー名」または「ロケーション」リンクをクリックすると、対応する詳細ページが開きます。

6.15.6 アラート詳細: フィンガープリント・データ

このタブには、指定された時間枠内でアラートのトリガー時に使用されたフィンガープリント情報が表示されます。

図6-43 アラート詳細: フィンガープリント・データ

このタブには、次のフィルタ・パラメータが含まれています。

表6-61 ユーザー詳細: 「フィンガープリント・データ」タブ

フィルタ

説明

フィンガープリントID

アプリケーションがフィンガープリントに対して生成した一意のID

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

ブラウザ・タイプ

ユーザーがページの表示に使用するブラウザのタイプ

OSタイプ

オペレーティング・システムのタイプ

ロケール

ユーザーが自分のユーザー・インタフェースで表示する言語、国および特別なバリアント・プリファレンスを定義する一連のパラメータ

最終使用日

指定継続時間内に作成されたすべてのフィンガープリントを取得します。

6.15.7 アラート詳細でのタスク

この項では、アラート詳細ページを使用して情報を取得する方法について説明します。

6.15.7.1 アラートに関する一般情報の表示

アラートに関する一般情報を表示するには、セッション詳細ページ、その他の詳細ページまたはエージェント・ページでアラート・メッセージ・リンクをクリックします。

6.15.7.2 アラートが関連付けられているアラート・グループの表示

アラートが関連付けられているアラート・グループを表示するには:

1. セッション検索ページを開きます。

2. 検索結果表のアラートの横にある黄色いボックスをクリックします。

3. アラート・メッセージ・リンクをクリックします。
アラート・グループが「サマリー」タブに表示されます。

6.15.7.3 アラート・グループからのアラートの追加

アラート・グループからアラートを追加するには:

1. セッション詳細ページ、その他の詳細ページまたはエージェント・ページでアラート・メッセージ・リンクをクリックします。
アラート詳細ページが表示されます。

2. 右上隅にある「グループにアラートを追加」をクリックします。
「グループにアラートを追加」ダイアログが表示されます。

3. アラートを追加するグループをグループ名で検索します。
このアラートがメンバーではないグループのみが表示されます。

4. アラートを追加するグループを選択し、「追加」ボタンをクリックします。

6.15.7.4 アラート・グループの作成、およびそのグループへのアラートの追加

アラート・グループを作成してそのグループにアラートを追加するには:

1. セッション詳細ページ、その他の詳細ページまたはエージェント・ページでアラート・メッセージ・リンクをクリックします。
アラート詳細ページが表示されます。

2. 右上隅にある「グループにアラートを追加」ボタンをクリックします。
アラートに追加ダイアログが表示されます。

3. 「新規グループの作成」ボタンをクリックして、新しいグループの詳細を指定します。

4. 「完了時にこのグループの詳細タブを開きます。」オプションを選択します。

5. 「追加」ボタンをクリックします。
追加されたアラートが含まれた、グループの詳細のタブが表示されます。

6.15.7.5 アラートが生成された様々なユーザーの検索および表示

アラートが生成された様々なユーザーを検索して表示するには:

1. セッション詳細ページ、その他の詳細ページまたはエージェント・ページでアラート・メッセージ・リンクをクリックします。
アラート詳細ページが表示されます。

2. 「ユーザー」タブをクリックします。
このタブには、アラートがトリガーされたセッションを持つユーザーがリストされます。

3. 次のフィルタ・パラメータを使用して、アラートが生成された様々なユーザーを検索します。

表6-62 アラート詳細: 「ユーザー」タブ

フィルタ

説明

ユーザー名

ユーザーがログインするために入力するログイン名。

組織ID

ユーザーが属する組織を識別します。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終トリガー日

アラートがトリガーされた日。

6.15.7.6 アラートが生成された様々なデバイスの検索および表示

アラートが生成された様々なデバイスを検索して表示するには:

1. セッション詳細ページ、その他の詳細ページまたはエージェント・ページでアラート・メッセージ・リンクをクリックします。
アラート詳細ページが表示されます。

2. 「デバイス」タブをクリックします。
このタブには、アラートがトリガーされたセッションでのデバイスがリストされます。

3. 次のフィルタ・パラメータを使用して、アラートが生成された様々なデバイスを検索します。

表6-63 「デバイス」タブ

フィールド

説明

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインに使用したすべてのデバイスを取得します。

6.15.7.7 アラートが生成された様々なロケーションの検索および表示

アラートが生成された様々なロケーションを検索して表示するには:

1. セッション詳細ページ、その他の詳細ページまたはエージェント・ページでアラート・メッセージ・リンクをクリックします。
アラート詳細ページが表示されます。

2. 「ロケーション」タブをクリックします。
このタブには、アラートがトリガーされたセッションでのロケーション(国、都道府県および市区町村)がリストされます。

3. 次のフィルタ・パラメータを使用して、アラートが生成された様々なロケーションを検索します。

表6-64 「ロケーション」タブ

フィルタ

説明

ロケーション

国ID、都道府県ID、市区町村ID

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインしたすべてのロケーションを取得します。

6.15.7.8 すべてのログイン・セッションの検索および表示、またはアラートの特定期間のログイン・セッションの検索

すべてのログイン・セッションを検索して表示するか、またはアラートの特定期間のログイン・セッションを検索するには:

1. セッション詳細ページ、その他の詳細ページまたはエージェント・ページでアラート・メッセージ・リンクをクリックします。
アラート詳細ページが表示されます。

2. 「セッション」タブをクリックします。
このタブには、アラートがトリガーされたセッションがリストされます。

3. すべてのログイン・セッションを検索して表示するか、またはトリガー日を使用してアラートの特定期間のログイン・セッションを検索します。

6.15.7.9 作成されたフィンガープリントの検索および表示

作成されたフィンガープリントを検索して表示するには:

1. セッション詳細ページ、その他の詳細ページまたはエージェント・ページでアラート・メッセージ・リンクをクリックします。
アラート詳細ページが表示されます。

2. 「フィンガープリント・データ」タブをクリックします。
このタブには、指定された時間枠内でアラートのトリガー時に使用されたフィンガープリント情報が表示されます。

3. 次のフィルタを使用して、作成されたフィンガープリントを検索して表示します。

表6-65 ユーザー詳細: 「フィンガープリント・データ」タブ

フィルタ

説明

フィンガープリントID

アプリケーションがフィンガープリントに対して生成した一意のID

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

ブラウザ・タイプ

ユーザーがページの表示に使用するブラウザのタイプ

OSタイプ

オペレーティング・システムのタイプ

ロケール

ユーザーが自分のユーザー・インタフェースで表示する言語、国および特別なバリアント・プリファレンスを定義する一連のパラメータ

最終使用日

指定継続時間内に作成されたすべてのフィンガープリントを取得します。

6.15.7.10 グループ、ユーザー、デバイス、ロケーション、セッションおよびフィンガープリントのその他の詳細ページへのナビゲート

次のように、他の詳細ページから詳細ページを開くことができます。

- 「ユーザー」タブで、「ユーザー名」リンクをクリックして、ユーザー詳細ページを開きます。

- 「グループ」タブで、「グループ名」リンクをクリックして、グループ詳細ページを開きます。

- 「ロケーション」タブで、「ロケーション」リンクをクリックして、ロケーション詳細ページを開きます。

- 「デバイス」タブで、「デバイスID」リンクをクリックして、デバイス詳細ページを開きます。

- 「フィンガープリント」タブで、「フィンガープリントID」をクリックして、対応するフィンガープリント詳細ページを開きます。

- ユーザー名、IPアドレス、セッションおよびロケーションへのリンクを「セッション」タブで使用できます。

6.16 「セッション詳細」使用のシナリオ

この項では、「セッション詳細」ページを使用するサンプル・シナリオについて説明します。

6.16.1 セッション検索のシナリオ

あなたは、Acme Corpのセキュリティ・チームのメンバーです。定期的にOracle Adaptive Access Managerを使用して作業し、エスカレーションされたカスタマの問題およびセキュリティ・アラートをフォロー・アップしています。1日を通して2時間おきにセッション検索を実行して、注意が必要な問題を特定していますが、次の検索を実行する時間になりました。指示: 高い重大度のアラートがトリガーされ、アクセスがブロックまたはロックされた過去24時間のセッションを検索します。

セッションを検索するには:

1. 調査担当者としてOAAM管理コンソールにログインします。

2. 「セッション」をクリックします。
セッション検索ページが表示されます。

3. 過去24時間以内に発生した、認証ステータスがブロック済またはロック済の高アラートのセッションを検索します。

1. 「認証ステータス」で、「ブロック済」および「ロック済」を選択します。

2. 「ログイン時間」で、日付と時刻、24時間前、および現在の日付と時刻を選択します。

3. 「アラート・レベル」で「高」を選択します。

4. 「検索」をクリックします。

6.16.2 「セッション詳細」ページ使用のシナリオ

認証ステータスが「ブロック済」のセッションがあります。これは盗難された認証資格証明のケースである可能性があるため、調査する必要があります。このセッションの詳細ページを開き、このセッションで実際にどのようなことが発生したかをより詳細に確認します。ログインによりブロックがトリガーされたことがわかります。ユーザーのPhillipが、ルールにより、高リスク・ユーザー・グループに動的に追加されました。指示: パートA: ブロックを発生させたポリシーにドリルダウンして、トリガーされたルールを確認します。パートB: このロックアウトに関連するCSRケースがこのユーザーにあるかどうかを確認する必要もあります。CSRケースを検索し、Phillipが一時許可でコールされたかどうかを特定します。

セッション詳細を表示するには:

1. セッション検索ページで、「検索結果」表を表示します。
Phillipのセッションの1つで、次のように示されていることがわかりました。

- 「アラート」列の「高アラート」。情報アイコンをクリックすると、速度アラートが表示されます。

- 「認証ステータス」列の「ブロック済」ステータス。

2. 「検索結果」表の「セッションID」をクリックして、セッション詳細ページを開きます。
「セッション詳細」パネルで、「認証ステータス」が「ブロック済」と表示されます。

3. 各チェックポイントの最終結果を表示します。

1. チェックポイントを展開します。

2. 認証後チェックポイントを表示します。

3. 認証後ポリシーを展開します。

4. 目的のポリシーをクリックして、そのポリシーに関する詳細を表示します。

5. トリガーされたルールを表示します。

6. ルールの最終結果を表示します。
2つの最終結果(ユーザーがブロックされた、および高リスク・グループに追加された)があります。

4. このロックアウトに関連するCSRケースがPhillipにあるかどうかを確認する必要があるため、CSRケースを検索し、チャレンジ質問をリセットするためにPhillipがコールされたかどうかを特定します。

1. ケース検索ページで、CSRをケース・タイプとして選択します。

2. Phillipのユーザー名を「ユーザー名」フィールドに入力します。

3. 「検索結果」表で、「最終アクション・タイプ」列の「一時許可」を探します。

4. 「最終アクション・タイプ」列が「一時許可」であるケースの「ケースID」をクリックします。

5. 「ケース詳細」ページの「ログ」ペインで、ノートを表示します。
ノートには、海外旅行中に、妻からアカウントをオンラインで調べるよう頼まれた、と書かれています。

6.16.3 不正なデバイスの確認およびグループへの追加のシナリオ

始める前に

調査担当者または調査担当マネージャ・ロールを持つユーザーでログインします。

不正なデバイスの確認およびグループへの追加

1. アクションおよびアラートで検索して、最近ブロックされたセッションを確認します。
たとえば、過去2時間以内にブロックされたセッションを検索します。

ブロックされたセッション、およびデバイスのためにブロックされたユーザーを確認する必要があります。

たとえば、過去24時間以内に3回以上ブロックされたデバイス123を使用してログインしたためにブロックされたユーザーjsmithが表示されます。

2. ユーザー詳細を表示し、「デバイス」タブを確認して、そのユーザーが使用した様々なデバイスを表示します。
たとえば、ブロックされたデバイスを、jsmithが過去に使用した他のデバイスと比較します。jsmithのユーザー詳細を開き、過去6か月間のデバイスを表示します。3つのデバイス(123、511および333)のみが表示されます。

3. フィンガープリント詳細を使用して、ブロックされたデバイスと使用された他のデバイスを比較し、OS、ブラウザおよびロケールを確認してデバイスの概要を把握します。

4. ブロックされたデバイスが正常なデバイスと異なって見えるかどうかを確認します。
たとえば、ブロックされたデバイス123、および最近jsmithによって正常に使用されたデバイス333のフィンガープリント詳細を開くと、多数の正常な使用状況が表示されます。ユーザー・インタフェースから、ブロックされたデバイス123がいくつかのフィンガープリント・データ・ポイントでOperaブラウザをロシア語ロケールで実行しているLinuxマシンであることがわかります。

デバイス333は、Microsoft Internet Explorerを英語ロケールで実行しているWindows XPマシンであり、ユーザーが最近ほとんど常に使用していたと思われるものです。

デバイス511のフィンガープリント詳細を開き、フィンガープリント・データを確認します。また、これはMicrosoft Internet Explorerを英語ロケールで実行しているWindows XPマシンですが、jsmithはしばらく使用していなかったこともわかります。これにより、デバイス123はjsmithになりすました他のユーザーによって使用されたと考えられます。

5. デバイスIDでセッションを検索し、デバイスに多数のブロックされたセッションがあるかどうか、および多数のユーザーが存在するかどうかを確認します。
たとえば、デバイス123が関与しているすべてのセッションを検索して、他にどのようなユーザーが被害者になっている可能性があるかを確認します。過去2週間以内に合計10のセッションが存在し、その多くがブロックされました。なお、各セッションはユーザーごとに異なっていました。

6. 「セッション検索」タブからブラックリスト・グループにデバイスを追加します。

7. ブロックされたセッションをMicrosoft Excelスプレッドシートにエクスポートし、パスワードをリセットする必要がある本物のユーザーに連絡する参照用として使用します。
表の結果をMicrosoft Excelスプレッドシートにエクスポートします。Microsoft Excelスプレッドシートにはセッション詳細をすべて含めてください。

6.16.4 過去1週間のセッションのエクスポート

セッションをエクスポートして、参照用または詳細な調査研究用に使用できます。

セッションをエクスポートするには:

1. OAAM管理コンソールにログインします。

2. セッション検索ページで、日付エディタを使用して1週間を指定し、「検索」をクリックします。

3. 「検索結果」表からセッションを選択します。

4. 「アクション」メニューから、「Excelにエクスポート」を選択します。

5. ファイルの保存または次で開くをクリックし、「OK」をクリックします。
ファイルには、行、セッションID、アラート、組織ID、ユーザー名、デバイスID、IPアドレス、ロケーション、認証ステータス、ログイン時間、認証前スコア、認証前アクション、認証後スコア、認証後アクション、クライアント・タイプ、ユーザーIDおよび内部セッションIDが表示されます。

6.16.5 「ユーザー詳細」および「フィンガープリント詳細」使用のシナリオ

不正調査担当者であるTomは、OAAM管理コンソールを開き、高レベルのアラートが含まれた過去24時間のセッションを検索します。この検索によって多数のセッションが返されます。「ユーザー名」列を基準にして結果を並べ替えたところ、jsmithの複数のセッションで不自然な速度のデバイス・アラートが発生していることがわかりました。jsmithは登録を完了しているため、すべてのセッションでチャレンジが実行されました。

1. Tomは、セッション・ページのリンクをクリックして、jsmithのユーザー詳細を開きます。jsmithが過去6か月に使用したIPアドレスを検索します。大量のIPアドレス・リストが返されます。jsmithは、ログイン・セッションごとにランダムなロケーションからログインしているようです。

2. Tomは、jsmithのデバイス・ページで、過去6か月にjsmithが2つのデバイスのみを使用していることを検出します。

3. Tomは、過去3か月におけるjsmithのすべてのセッションを検索します。ほとんどすべてのセッションで、同じデバイス速度アラートが発生していることがわかります。次に、Tomはすべてのセッションをフィルタリングして、KBAロックがいくつ発生しているかを確認します。1つのみ見つかります。

4. Tomは、フィンガープリント詳細にナビゲートして、jsmithが毎回同じブラウザおよび同じOSでログインし、使用しているロケールも同じであることを検出します。Tomは、jsmithはなんらかの形でIPが変更されている通常ユーザーであると判断します。jsmithを移動ユーザーのグループに追加し、トリガーを発生させたルールからこのグループを除外します。

6.16.6 デバイス詳細およびロケーション詳細の使用のシナリオ

Tomは、OAAM管理コンソールを開き、高レベルのアラートが含まれた過去6時間のセッションを検索します。この検索により、5つのセッションが返されます。

1. Tomは、ユーザー名を基準にして結果を並べ替え、いずれも同じユーザーからのものではないことがわかりました。

2. Tomは、次にIPを基準にして並べ替え、各セッションで異なるIPアドレスが使用されていることを確認します。

3. 次に、デバイス列を基準にして並べ替え、1つのデバイスで2つのセッションが発生し、他のデバイスではそれぞれ1つのセッションが発生していることを確認します。

4. Tomは、2つのセッションが発生したデバイスのデバイス詳細を開きます。そのデバイスの先月のセッションを表示します。このデバイスで過去24時間に5つのセッションが発生し、それぞれ異なるユーザーによるセッションであることを確認します。最新のセッションはブロックされていました。

5. Tomは、ブロックされたセッションの詳細を開き、ブロックされた理由を確認します。短い時間枠内での最大ユーザー・ルールがこのデバイスでトリガーされたことを確認します。

6. Tomは、このルールが含まれたポリシーをドリルダウンし、ポリシーとルールを確認します。このルールでは、1つの12時間期間中に5人以上のユーザーが4つ以上の市区町村からデバイスを使用した場合に、ブロックします。デバイス詳細画面に戻り、ロケールがフィンランド語であることがわかり、奇妙に思います。

7. Tomは、別のセッション画面を開き、フィンランド語ロケールを使用した過去3か月のセッションを検索します。23のセッションがあり、すべて先週発生していました。

8. ロケーションを基準にして並べ替えたところ、すべてのセッションはそれぞれワシントン州の異なるロケーションで発生しているようでした。ただし、デバイスを基準にして並べ替えたところ、10のデバイスが使用されていることを確認できました。最後に、ユーザー名を基準にして並べ替えたところ、Tomは、各セッションが異なるユーザーによるものであることを確認できました。通常のアクティビティではないと感じ、Tomは影響を受けたユーザーを1つのコール・リストにまとめ、アクティビティが有効であったかどうかを確認します。

9. 5人のユーザーをコールした後、Tomは、いずれのユーザーも、これらのセッションが発生したと思われるロケーションにいなかったことを確認しました。彼はフィンランド語ロケールを監視グループに追加し、このロケールのユーザーがログインごとにショート・メッセージ・サービス(SMS)経由でOTPを使用してチャレンジされるようにしました。また、残りのユーザーをコールして、これらのセッションがそれらのユーザーに属していないことも確認します。

10. 確信した後、使用されたすべてのデバイスについても選択して、ブラック・リスト・グループに追加します。

6.16.7 IP詳細の確認とグループへの追加のシナリオ

Georgeは、大手銀行のユーザーです。Georgeのインパーソネータが、ブロックされているIPからログインしたためにブロックされました。

1. 調査担当者であるTomは、このIPを、Georgeが過去に使用した他のIPアドレスと比較する必要があります。ブロックされたIP、およびGeorgeが今まで何度も使用に成功している別のIPのフィンガープリント詳細を開きます。

2. ユーザー・インタフェースで、TomはブロックされたIPが、中国語ロケールで実行されているFirefoxブラウザであったことを確認します。Georgeがほとんど常に使用していたと思われるIPは、Microsoft Internet Explorerをプライベート・ロケールで実行しているWindows XPマシンです。この結果、TomはこのIPをセッションIP画面から制限付きIPアドレス・グループに直接追加します。

6.16.8 IPアドレスの範囲からのセッションの表示

IPアドレスの範囲のセッションを表示するには:

1. OAAM管理コンソールにログインします。

2. 「セッション」タブをクリックします。

3. 「IP範囲」フィールドにIP範囲を入力し、「検索」をクリックします。
IP範囲のセッションが「検索結果」表に表示されます。

6.16.9 ユーザーが特定のデバイスやIPからログインに失敗していないかどうかの確認

デバイスがロケーションからログインした回数や、各デバイスによるロケーションからのログイン試行の成功数や失敗数などの追加情報を取得するために、そのロケーションからログインした様々なデバイスを検索および表示するには:

1. セッション検索の結果から、国、都道府県、市区町村またはIPのリンクをクリックします。
その国、都道府県、市区町村またはIPのロケーション詳細ページが表示されます。

2. 「デバイス」タブをクリックします。

- そのロケーションからのログインにデバイスが使用された回数などの追加情報を表示するには、「デバイスID」で検索します。「ログイン成功」列に、デバイスがログインに使用された回数が表示されます。

- 各デバイスによるそのロケーションからのログイン試行の成功数と失敗数を表示するには、「認証ステータス」として「ブロック済」と「成功」を選択します。
ログインの失敗と成功が、デバイスごとに表示されます。

6.16.10 このIPからログインしたユーザーがスペイン語のブラウザを使用したかどうかの確認

ロケーションに対して作成されたフィンガープリントを検索して表示するには:

1. セッション検索の結果から、国、都道府県、市区町村またはIPのリンクをクリックします。
その国、都道府県、市区町村またはIPのロケーション詳細ページが表示されます。

2. 「フィンガープリント・データ」タブをクリックします。

3. 「検索結果」表で、フィンガープリントのロケールとしてスペイン語がリストされているかどうかを確認します。

6.16.11 あるロケーションから不正目的で使用されたデバイスをリスクのあるグループに追加するシナリオ

調査担当者は、あるロケーションから使用されたデバイスの表を表示し、2つのデバイスが不正目的に使用されたと判断します。これらを選択し、高リスク・デバイスのグループに追加して、今後のリスク評価で使用されるようにできます。このプロセスで実行した内容を保持する必要があります。

1. OAAM管理コンソールを開きます。

2. セッションを検索します。

3. ロケーション詳細ページを開きます。

4. このロケーションから使用されたデバイスを検索します。

5. 2つのデバイスを選択し、それらを高リスク・グループに追加します。

6.16.12 高リスク・デバイスのグループに疑わしいデバイスを追加するシナリオ

Georgeは、過去24時間以内に4回以上ブロックされたデバイスを使用してログインしたためにブロックされたユーザーです。調査担当者であるJeffは、ブロックされたデバイスを、このユーザーが過去に使用した他のデバイスと比較する必要があります。ブロックされたデバイス、およびユーザーが今まで何度も使用に成功している別のデバイスのフィンガープリント詳細を開きます。ユーザー・インタフェースから、JeffはブロックされたデバイスがOperaブラウザをロシア語ロケールで実行しているLinuxマシンであったことを確認しました。ユーザーがほとんど常に使用していると思われるデバイスは、Microsoft Internet Explorerを英語ロケールで実行しているWindows XPマシンです。その結果、Jeffは検索画面から直接、ブロックされたデバイスを高リスク・デバイスのグループに追加し、このデバイスで使用されたIPアドレスを高リスクIPアドレスのグループに追加します。

1. OAAM管理コンソールを開きます。

2. セッションを検索します。

3. 2つのデバイスの詳細ページを開きます。

4. 両方のデバイスのフィンガープリント・データの全リストを表示します。

5. デバイスを選択し、それを高リスク・グループに追加します。

6. IPを選択し、それを高リスク・グループに追加します。

6.16.13 デバイスとIPアドレスを高リスクとマークするシナリオ

調査担当者は、過去1時間における高アラートのセッションを検索しています。30のセッションのうち、2つが不正であると思われるため、これらのデバイスおよび使用されたIPアドレスを高リスクとしてマーキングする必要があります。

1. OAAM管理コンソールを開きます。

2. 過去1時間における高アラートのセッションを検索します。

3. 2つのセッションを選択し、「グループに追加」ボタンをクリックします。
これらのセッションからどのデータ型を追加するかを確認するダイアログが表示されます。

4. デバイスおよびIPアドレスを選択します。
メッセージが表示され、デバイス・グループおよびIPアドレス・グループを選択するよう求められます。

5. 高リスク・デバイスと高リスクIPアドレスを選択して追加します。
確認メッセージが表示され、これらのデバイスおよび1つのIPが追加され、残りのIPはすでに高リスクIPアドレス・グループに存在することが示されます。

6.16.14 疑わしいセッションを検索し高リスク・グループにデバイスを追加するシナリオ

始める前に

不正調査担当者または不正調査担当マネージャ・ロールを持つユーザーでログインします。

疑わしいセッションの検索および高リスク・グループへのデバイスの追加

調査担当者のGarryは、セッションを検索し、現在構成されているルールでは見つからない疑わしい状況を調べています。最近のインシデントに基づき、先月のすべてのセッションを、メキシコからのブロック・アクションでフィルタリングします。その他のすべてのセッションを選択し、単一操作でこれらすべてのデバイスを高リスク・デバイスのグループに追加します。

1. OAAM管理コンソールを開きます。

2. セッションを検索します。

3. 検索ページからグループを追加します。

6.16.15 アラート・メッセージによるセッション検索のシナリオ

調査担当者が、メッセージに"speed"が含まれる高アラートのセッションを検索しています。検索によって、"Excessive speed navigation" および "User air speed" というメッセージが含まれる、高アラートのセッションが20個返されます。

1. OAAM管理コンソールを開きます。

2. メッセージに"speed"が含まれる、高レベル・アラートのセッションを検索します。

6.16.16 地理によるセッション検索のシナリオ

調査担当者は、過去2時間における米国カリフォルニア州ロサンゼルスからの、ID番号が40で始まるセッションを検索しています。

1. OAAM管理コンソールを開きます。

2. 過去2時間におけるロサンゼルスからの、ID番号が40で始まるセッションを検索します。

6.16.17 カンマ区切り値による検索のシナリオ

Jeffは、ポータルからプルした高リスクIPアドレスのリストから、最近発生したアクティビティを確認する必要があります。IPデータの値を測定するために、過去6週間におけるこれらのIPアドレスからのアクティビティを表示し、疑わしいアクティビティがないかどうかを確認することにしました。Jeffは、まずカンマ区切りリストのIPアドレスを使用したセッションを検索し、返されたセッションを表示します。

1. OAAM管理コンソールを開きます。

2. IPアドレスのカンマ区切りリストを検索フィールドに貼り付け、過去2週間でフィルタリングして、セッションを検索します。
リスト内のIPアドレスからのセッションだけが表示されます。

6.16.18 検索セッション結果の行をMicrosoft Excelスプレッドシートにエクスポートするシナリオ

調査担当者は、過去2時間におけるセッションを検索します。彼は5つの行を選択し、すべての列が含まれたMicrosoft Excel形式のドキュメントにエクスポートします。

1. OAAM管理コンソールを開きます。

2. セッションを検索します。

3. 5つのセッションを選択します。

4. それらをMicrosoft Excelスプレッドシートにエクスポートします。

6.16.19 検索セッション結果の列をMicrosoft Excelスプレッドシートにエクスポートするシナリオ

調査担当者は、過去2時間におけるセッションを検索します。彼は列ヘッダーを選択してすべての行を選択し、すべての列が含まれたMicrosoft Excel形式のドキュメントにエクスポートします。

1. OAAM管理コンソールを開きます。

2. セッションを検索します。

3. ヘッダーをクリックして、そのページのすべてのセッションを選択します。

4. 行をMicrosoft Excelドキュメントにエクスポートします。

第III部

ナレッジベース認証およびワンタイム・パスワードの構成と管理

第III部では、ナレッジベース認証(KBA)とワンタイム・パスワード(OTP)の管理に関する情報を提供します。

内容は次のとおりです。

- 第7章「ナレッジベース認証の管理」

- 第8章「OTP Anywhereの設定」

- 第9章「KBAチャレンジとOTPチャレンジ」

7 ナレッジベース認証の管理

ナレッジベース認証(KBA)は、要求されたサインオン、トランザクション、サービスなどの続行を許可する前に、ユーザーにIDを提供するようチャレンジする認証方法です。この章ではKBAに関する概念について説明し、チャレンジ質問、検証、回答に使用されるロジック・アルゴリズムのレベル、質問カテゴリ、登録に使用されるロジック・アルゴリズムのレベルに影響を及ぼす管理タスクに関する情報を提供します。

この章では、次の内容を説明します。

- 7.1項「概要と概念」

- 7.2項「KBA管理での構成へのアクセス」

- 7.3項「KBAの設定」

- 7.4項「チャレンジ質問の管理」

- 7.5項「システムにおける回答登録に関する検証の管理」

- 7.6項「カテゴリの管理」

- 7.7項「登録ロジックにおけるグローバル検証の削除」

- 7.8項「回答ロジック用の英語の省略形および等価のカスタマイズ」

- 7.9項「KBAのシナリオ」

- 7.10項「KBAのガイドラインおよび推奨される要件」

7.1 概要と概念

この項では、ナレッジベース認証(KBA)の主要な概念について説明します。

7.1.1 ナレッジベース認証

Oracle Adaptive Access Managerは、標準の第2認証をナレッジベース認証(KBA)の形式で提供します。KBAは、既存の認証方法の拡張である、第2認証方法です。認証を強化するために、第1認証(例: ユーザー名やパスワードなどの単一要素資格証明の入力)の成功後に示されます。

KBAでは、次のことのためのインフラストラクチャを提供します。

- ユーザーが、ユーザーに対するチャレンジで後に使用される質問を選択し、回答を指定すること
KBAはユーザーの回答に基づいて個人を認証するのに使用され、回答はリアルタイムで対話型の質問および回答のプロセスによって実証されます。

- 登録のロジック・アルゴリズムのレベル
登録ロジックによって、チャレンジ質問および回答の登録が管理されます。

- 回答のロジック・アルゴリズムのレベル
回答ロジックは、チャレンジ・レスポンス処理でシステムが正しい回答をインテリジェントに検出するために使用される高度な一致アルゴリズム(ファジー・ロジック)で構成されています。回答ロジックのアルゴリズムおよびレベルは、回答の評価での係数です。

- 検証
検証を使用して、登録時にユーザーが指定した回答を確認します。

KBAは、自動化されたユーザーのオンライン認証時に使用されるか、またはCSRがCSRサービスを提供する前にユーザーと対話してユーザーを認証するCSRチャレンジで使用されます。

7.1.2 KBAのユーザー・フロー

次の各項では、実装されたKBAフレームワークでのユーザー操作の例を示します。

新規ユーザーの登録

1. ユーザー名の送信を求めるページがユーザーに表示されます。

2. ユーザーはパスワードの入力を求められます。プロファイルが登録されていないため、汎用TextPadが表示されます。イメージやフレーズは表示されませんが、タイムスタンプは表示されます。

3. ユーザーはパスワードを入力し、デバイス上で「入力」ボタンをクリックします。OAAMによってユーザーのパスワードが検証されます。

4. ユーザーが登録されていない場合は、登録プロセスが記載された登録情報ページが表示されます。
ユーザーは登録プロセスを続行することも、登録をスキップしてこのプロセスを次回に実行することもできます。

5. 登録プロセスの次の手順では、イメージおよびフレーズを選択します。ユーザーはイメージおよびフレーズを取得するためのリンクをクリックできます。これにより、新しいイメージとフレーズが生成されます。

6. 次に、ユーザーは、表示されるドロップダウン・リスト(メニュー)からチャレンジ質問を選択し、それらの質問への回答を認証デバイス上で入力する必要があります。選択したイメージとフレーズは、ユーザーのローカル・タイム・ゾーンの現在のタイムスタンプとともにデバイスに埋め込まれます。

7. 質問の選択および回答の入力を行うと、ユーザーはシステムにログインします。

別のロケーションからのユーザー・ログイン

次の各画面では、ユーザーが別のIPアドレスを使用してログインし、チャレンジされる場合のユーザー・フローの例を説明します。

1. ユーザー名の送信を求めるページがユーザーに表示されます。

2. ユーザー名が受け入れられ、ユーザーによる処理の続行が許可されると、パスワード・ページが表示されます。このページには、ユーザーが選択したイメージとフレーズが表示されます。これはユーザーのローカル・タイム・ゾーンの現在のタイムスタンプとともにデバイスに埋め込まれたものです。

3. ユーザーはパスワードを入力し、デバイス上で「入力」ボタンをクリックします。OAAMによってユーザーのパスワードが検証されます。ユーザーのロケーションが原因で、このセッションには認証のための追加のチャレンジと応答が必要であると判断されたため、登録時に選択した質問のいずれかが表示されます。チャレンジ質問認証パッド・デバイスに、現在のタイムスタンプとともに埋め込まれたフィッシング・イメージとフレーズが表示されます。

4. 質問に正しく回答した場合、ユーザーはシステムにログインします。

7.1.3 登録

登録、新規アカウントのオープン、またはリセットなどの別のイベントによる登録中に、ユーザーは質問を選択し、回答を指定することを要求されます。登録フェーズ時にユーザーに示される質問の順序は、構成可能なパラメータを使用してランダムに決められます。

登録時またはリセット時に選択されたチャレンジ質問は、後で、高リスク・ログイン時、トランザクションまたは機密情報(あるいはその両方)にアクセスする場合などのチャレンジに使用できます。Oracle Adaptive Access Managerのルール・エンジンおよびビジネス・ルールによって、ユーザーの認証にチャレンジ質問を使用するのが適切かどうかが判断されます。

7.1.4 チャレンジ・レスポンス処理

KBAソリューションはチャレンジ・レスポンス処理を使用したアプリケーションの保護で構成されており、要求されたサインオン、トランザクション、サービスなどの続行を許可する前に、ユーザーは1つ以上の質問でIDを提供するようチャレンジされます。

7.1.5 チャレンジ・レスポンスの構成

チャレンジ・レスポンス処理は、プロパティおよびルールの組合せによって制御されます。

- 質問は、ランダムに、またはラウンド・ロビンで示されます。
プレゼンテーション・ロジック(ランダムおよびラウンド・ロビン)は、プロパティを通じて構成できます。デプロイメントでOracle Identity Manager統合がサポートされている場合、プレゼンテーションはラウンド・ロビンとなります。ユーザーはすべての登録済の質問にオンラインで回答する必要があります。

- 各質問でユーザーが許可される試行数は、プロパティによって設定されます。

- ユーザーがOracle Adaptive Access Managerによってロックアウトされるまでに許可されるKBAチャレンジ失敗の合計数は、ルール条件User: Challenge Channel Failureで構成されます。

7.1.6 チャレンジ質問

カスタマは、ユーザーの認証に使用される一連の質問を構成できます。質問は、複数のカテゴリに分類され、ユーザーはこれらのカテゴリから質問を選択できます。質問を分類できる、標準のカテゴリがリストされます。カスタマは、次のカテゴリから質問を構成できます。

- 子供時代

- スポーツ

- 出生

- 父母、祖父母、兄弟姉妹

- 自動車

- 教育

- 子供

- 職業

- 大切な人

- ペット

- その他

登録中、ユーザーにはいくつかの質問メニューが提示されます。たとえば、3つの質問メニューが提示される場合があります。登録中、ユーザーはメニューごとに質問を1つ選択し、その回答を入力する必要があります。質問メニューごとに1つのみ質問を登録できます。これらの質問は、ユーザーの登録済質問になります。

OAAM管理のルールによってチャレンジ質問がトリガーされると、アプリケーションではチャレンジ質問を表示し、ユーザーにとってセキュアな方法で回答を受け入れます。質問は、QuestionPad、TextPadおよびその他のパッドで提示でき、この場合、チャレンジ質問はオーセンティケータのイメージまたは簡易HTMLに埋め込まれます。これらはプロパティを使用して構成します。

7.1.7 質問セット

KBAでは、登録中またはリセット中にユーザーから回答を取得するためのフレームワークである、大量の質問プールを提供します。質問セットは、ユーザーに割り当てられる固定されたセットの質問です。このセットは、リセットされないかぎり、ユーザーに対してランダムに一度割り当てられます。これは、登録ロジックで構成された設定に基づいて生成されます。この質問セットでは、単一ユーザーがすべてのチャレンジ質問にアクセスすることを防止します。これは、不正行為者がフィッシング行為で使用するために質問を収集するのを防ぐためです。カスタマ・サービス担当がユーザーのために質問セットをリセットすると、ユーザーは新規質問セットを受け取ることができます。

7.1.8 登録ロジック

登録ロジックによって、チャレンジ質問および回答の登録が管理されます。KBA登録中、各ユーザーには、質問セット、つまりチャレンジ質問ライブラリのサブセットが示されます。質問セットは通常、複数のドロップダウン・リストに分割されており、ここから質問を選択します。質問のあるドロップダウン・リストは「メニュー」と呼ばれます。

図7-1 セキュリティ質問登録のドロップダウン・メニュー

各メニューで表示される質問の数、1メニュー当たりのカテゴリ数、およびユーザーが登録する必要がある質問の数は、構成可能です。標準の質問はカテゴリに分類されています。質問メニュー内のチャレンジ質問は、質問セットが変更されないかぎり、変更されません。ユーザーは、各メニューから1つの質問を選択し、それらの回答を入力する必要があります。質問メニューごとに1つのみ質問を登録できます。

登録ロジックを構成するには、次の設定を指定します。

- 質問セットの生成

- 登録される質問の数

- 1メニュー当たりの質問の数

- 1メニュー当たりのカテゴリの数

質問セットは、登録ロジックに基づいて生成されます。

- 回答に適用される検証

登録ロジックの設定の詳細は、7.3.7項「チャレンジ質問の登録設定」を参照してください。

KBAの登録ロジック設定が、カスタマの質問セットに影響を及ぼす仕組み

構成例を次の表に示します。

例

質問/メニュー

カテゴリ/メニュー

メニュー内の質問/カテゴリ

1

7

4

2+2+2+1

2

10

4

3+3+2+2

3

10

1

10

1行目に示されている例1では、登録メニュー内の結果に、カテゴリAからの2つの質問、カテゴリBからの2つの質問、カテゴリCからの2つの質問、およびカテゴリDからの1つの質問が含まれています。これは、必要に応じてラウンド・ロビン形式で続行されます。質問の数が不足しているカテゴリが存在したり、カテゴリの数が不足している場合は、質問が重複する結果となる場合があります。このシナリオは、標準の質問データベースおよびデフォルト設定では発生しません。質問またはカテゴリを大幅に減らした場合にのみ発生します。

次に、避ける必要がある構成例を示します。

- ユーザーが登録する質問の数: 3
ユーザーが登録する必要がある質問の数です。新規ユーザーの登録では、ユーザーが登録する必要がある質問数と同じ数の質問メニューが表示される必要があります。

- 1メニュー当たりの質問の数: 5
各メニューで表示される質問の数です。新規ユーザーの登録では、各メニューのカテゴリ数と同じ数の質問が各メニューに表示される必要があります。すべてのメニューの質問の合計数(各メニューの質問を乗算した質問数)が、データベースで使用可能な質問数合計を超えないようにする必要があります。

- 1メニュー当たりのカテゴリの数: 5
1メニュー当たりのカテゴリの数です。新規ユーザーの登録では、各メニューの質問数と同じ数のカテゴリが各メニューに表示される必要があります。

質問セットは、ユーザーに割り当てられる固定されたセットの質問です。このセットは、ユーザーに対してランダムに一度割り当てられます。そのため、ユーザーはすべての質問を検出できません。この例では、15以上のカテゴリが必須であり、かつそれぞれ少なくとも1つの質問が有効である必要があります。ただし、カテゴリが15よりも少なく、これらのカテゴリのいずれかで1つの質問のみが有効である場合、一部の質問セットでは、その質問が2回出現します。このアルゴリズムでは、使用可能なカテゴリをできるかぎり使用しようとします。

たとえば、次のような質問セットを生成します。

- 3メニュー

- 1メニュー当たり5つの質問

- 1メニュー当たり5つのカテゴリ

このアルゴリズムでは、15のカテゴリが使用可能な場合、15のカテゴリそれぞれから1つの質問を選択します。1カテゴリ当たりの最小質問数は、質問セットの質問の数/カテゴリの合計数と等しい必要があります。

ロケールの登録ロジックを構成する場合の前提条件

デプロイメント管理者は、デプロイ時に、OAAM管理で構成されたサポート対象の各ロケールに関して、十分な質問がデータベースにあるようにする必要があります。そうでない場合は、登録中に英語の質問のみが表示されます。

ロケール固有の質問の数は、「ユーザーが登録する質問数」に「1メニュー当たりの質問数」を乗算し、「1メニュー当たりのカテゴリ」を乗算した数以上である必要があります。

7.1.9 検証

検証を使用して、登録時にユーザーが指定した回答を確認します。回答については、正規表現検証を追加することによって、ユーザーの入力を英数字およびいくつかの特定の特殊文字に制限するように設定できます。たとえば、質問「中学校入学は何年でしたか。」に月日年(MMDDYY)検証が割り当てられている場合、この質問に対するユーザー登録の回答として「April 1st 1920」を指定することはできません。検証は、ローカル・レベルで、個々の質問それぞれに関連付けたり、グローバル・レベルで、ユーザーに示されるすべての質問に適用できます。

質問固有の検証とグローバル検証が競合していないことを確認する自動検証はありません。管理者は、ローカルとグローバルに対して同じ検証を構成しないように注意する必要があります。たとえば、グローバル検証としてアルファベットのみが設定されている場合、質問の検証を数字のみに設定しないでください。

質問登録検証(ローカル)

各質問に一意の検証に割り当てて、ユーザーが登録を許可される回答を制御できます。たとえば、ビジネス・チームが、特定の日付書式を使用して特定の質問に回答するようユーザーに対して強制する場合があります。

個々の質問に適用される検証スコープは、ローカルです。ローカル検証は、質問の作成時に指定されます。

グローバル登録検証(グローバル)

グローバル検証では、すべての質問に関して、ユーザーが登録を許可される回答を制御します。グローバル検証は、すべての回答登録に影響します。たとえば、「4桁年(YYYY)」検証がグローバルに適用された場合は、KBA登録中に、数値による回答のみが受け入れられます。このことは、回答が通常英数字になる質問をユーザーが使用できる場合に問題になります。

グローバル検証は、登録ロジックの構成時に指定されます。

グローバル・ローカル検証

検証のスコープは、個々の質問または質問の組合せに対して適用できます。

7.1.10 回答ロジック

回答ロジックでは、ユーザーが指定した回答が登録時に指定した回答と厳密に一致するかどうかがチェックされます。

回答ロジックは、チャレンジ・レスポンス処理でシステムが正しい回答をインテリジェントに検出するために使用される高度な一致アルゴリズムで構成されています。アルゴリズムおよびロジックのレベルは、回答を評価する際の係数です。

エラーは、ファット・フィンガリング、不要な文字、スペル・ミスなどの単純な入力エラーが原因である可能性があります。一般的なスペル・ミスや略語などは、回答の基本情報が正しければ受け入れることができます。

回答ロジックのアルゴリズムは、オンライン・チャレンジ・プロセスとCSR電話チャレンジ・プロセスの両方に使用できます。オンライン設定は、ユーザーがアプリケーションを使用してオンラインで指定した回答に適用されます。電話チャレンジ設定は、電話を介してユーザーが指定し、CSRが入力した回答に適用されます。オンライン・チャレンジおよびCSR電話チャレンジの回答ロジックは、互いに完全に非依存です。これらは別々に構成できます。

たとえば、オンライン・チャレンジ・ロジックの強度を高に設定し、CSR電話チャレンジ・ロジックの強度を低に設定できます。CSR電話チャレンジ・ロジックの強度の場合、CSRは回答を電話経由で聞いて入力するため、エラーの許容度を拡大する場合があります。

7.1.11 失敗カウンタ

失敗カウンタは、不正行為者をロックアウトして、彼らが回答/質問を取得できないようにするために使用されます。

KBAでは、2つの失敗カウンタを使用します。これらを次に示します。

- オンライン・カウンタ

- 電話カウンタ

オンライン・チャレンジおよび電話チャレンジの最大数は、構成可能です。電話カウンタの最大数は、1質問当たりになります。

次の例では、次のように想定しています。

- 最大オンライン数 = 3

- 最大電話数(1質問当たり) = 3

ユーザーがチャレンジ質問にオンラインで回答し、正しい回答を指定する機会がそのユーザーに3回与えられている場合、合計で3回の試行が許可されます。失敗するたびにオンライン・カウンタが増分されます。ユーザーは、3回の試行後にセッションからロックアウトされます。オンラインのみのチャレンジは、不正行為者への質問の漏えいを制限することを目的としています。

ユーザーがチャレンジ質問に電話で回答し、各質問に回答する機会がそのユーザーに3回与えられている場合、合計で9回の試行が許可されます。失敗するたびに電話カウンタが増分されます。ユーザーは、9回の試行後にセッションからロックアウトされます。

次のチャレンジでは、次の質問が表示されます。オンラインまたは電話チャレンジに成功すると、すべてのカウンタが自動的にゼロにリセットされます。

7.1.12 KBAのリセット

オーセンティケータでは、不正を防ぐための追加の資格証明として質問を使用します。カスタマ・サービス担当(CSR)は、必要に応じて、ユーザーのこれらの質問をリセットできます。CSRは、ユーザーのKBA関連のアイテムをリセットできます。

リセット・アクションにより次の項目のすべてのチャレンジ失敗カウンタがリセットされます。

- KBAのリセット: カスタマはKBAを再登録する必要があります。KBAおよびOTPの件数カウンタがゼロにリセットされます。

- CSR KBAのリセット: カスタマはKBAを再登録する必要があります。KBAおよびOTPの件数カウンタがゼロにリセットされます。

- OTPのリセット: カスタマはKBAを再登録する必要があります。KBAおよびOTPの件数カウンタがゼロにリセットされます。

7.1.12.1 チャレンジ質問のリセット

CSRは、ユーザーのチャレンジ質問をリセットします。既存の質問と回答が削除され、ユーザーが登録する元となる新規質問セットが生成されます。Webサイトへの次回ログイン時に、チャレンジ質問の登録が必要となります。

7.1.12.2 チャレンジ質問および選択元の質問セットのリセット

CSRは、ユーザーのチャレンジ質問セット(チャレンジ質問および登録元となる質問セット)をリセットします。Webサイトへの次回ログイン時に、チャレンジ質問の登録が必要となります。

7.1.12.3 ユーザーを次の質問に進ませる

CSRは、ユーザーの次の質問をリセットして、そのユーザーが登録済質問リスト内の次のチャレンジ質問に進むようにします。このため、ユーザーが現在質問Aを尋ねられていた場合、質問BまたはCを尋ねられることになります。Webサイトへの次回ログイン時に、異なるチャレンジ質問が示されます。

7.1.12.4 ユーザーのロック解除

CSRが、チャレンジ質問に失敗したためにシステムからロックアウトされたユーザーをロック解除します。ユーザーをロック解除すると、ユーザーの失敗カウンタがリセットされます。

ロック解除アクションによりKBAおよびOTPのユーザー・アカウントのロックが解除されます。

- KBAのロック解除: KBAが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

- OTPのロック解除: KBAが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

7.1.12.5 質問の依頼(KBA電話チャレンジ)

CSRは、電話認証にユーザーのチャレンジ質問を使用して、ユーザーのレスポンスを入力します。ユーザーが質問に正しく答えた場合は、質問失敗カウンタおよび増分質問カウンタはリセットされます。ユーザーのロック解除などのステータスに応じて、適切なアクションが自動的に実行されます。電話およびオンラインでの失敗に関する情報は、7.1.11項「失敗カウンタ」で説明しています。質問の依頼アクションの高レベルでのフローは、第4章「CSRケースの管理およびサポート」で示されています。7.1.11項「失敗カウンタ」のマトリックスには、個々のフローの詳細な例が含まれています。

7.1.13 質問およびカテゴリ・ロジックの無効化

この項では、無効化された質問およびカテゴリを処理するロジックについて説明します。

ロジックの無効化

KBAでは、ロジックの無効化は次のようになります。

- カテゴリ内の最後に残った質問を無効化すると、そのカテゴリも同様に自動的に無効化されます。

- アクティブなカテゴリの数は、質問メニューのカテゴリの最大数以上である必要があります。カテゴリを無効化しようとしたときに、この要件が満たされていない場合は、エラー・メッセージが表示されます。

結果

次の表に、無効化の結果の概要を示します。

表7-1 質問およびカテゴリのロジックでの無効化の結果

質問またはカテゴリの無効化

新規カスタマ

質問セット内の質問を持つユーザー

登録された質問を持つユーザー

質問

無効化された質問は、新規ユーザーの質問セットの再生に使用されません。

再登録時、またはユーザーが自分のプリファレンスを変更した場合、無効化された質問は同じカテゴリからの別の質問で置換されます。

無効化された質問は、引き続きアクティブです。

ユーザーがユーザー・プリファレンスを再登録または変更する場合、無効化された質問は、同じカテゴリからの別の質問で置換されます。

カテゴリ

無効化されたカテゴリは、新規ユーザーの質問セットの再生に使用されません。

再登録時、またはユーザーが自分のプリファレンスを変更した場合、無効化されたカテゴリ内のすべての質問が、現在の質問セットの生成に使用されていない新しいカテゴリからの質問で置換されます。

無効化されたカテゴリの質問は、引き続きアクティブです。

ユーザーがユーザー・プリファレンスを再登録または変更する場合、無効化されたカテゴリ内のすべての質問は、現在の質問セットの生成に使用されていない新規カテゴリからの質問で置換されます。

7.1.14 ロック済ステータス

「ロック済」は、ユーザーが最大数のチャレンジに失敗した場合にOAAM管理で設定されるステータスです。ユーザーは、失敗カウンタが最大失敗数に達した後にセッションからロックアウトされます。ユーザーがロックアウトされた後、このアカウントを使用してシステムに入るには、カスタマ・サービス担当がステータスをロック解除にリセットする必要があります。

7.2 KBA管理での構成へのアクセス

この項では、OAAM管理コンソールでKBA管理タスクにナビゲートする方法について説明します。ナビゲーション・ツリーを介してKBAタスクにナビゲートできます。KBAインフラストラクチャでは、質問、検証、カテゴリ、登録と回答ロジック、およびその他の要素すべてにアクセスできます。

次に、KBAインフラストラクチャの構成へのアクセスを提供する、KBAの下にあるサブノードを示します。

- 「質問」: チャレンジ質問に影響するタスク(新規質問の作成、質問のアクティブ化、無効化および編集、現在システムに存在しないカテゴリに属する質問のインポートなど)の管理用。
「質問」をダブルクリックして、質問検索ページを開きます。

- 「検証」: 登録時にユーザーが指定した回答の検証の管理用(システムで使用可能な検証スキームに基づく検証の作成、既存の検証の編集、検証のインポートとエクスポートなど)。
「検証」をダブルクリックして、検証の検索および編集ページを開きます。

- 「カテゴリ」: システム内の質問カテゴリの管理用。
「カテゴリ」をダブルクリックして、カテゴリ検索ページを開きます。

- 「登録ロジック」: チャレンジ質問および回答の登録に使用されるロジック・アルゴリズムのレベルの管理用。
「登録ロジック」をダブルクリックして、登録ロジック構成ページを開きます。

- 「回答ロジック」: 回答の検証に使用されるロジック・アルゴリズムのレベルの管理用。
「回答ロジック」をダブルクリックして、回答ロジック構成ページを開きます。

検索ページを開く別の方法は、3.5項「検索、作成およびインポートの使用」を参照してください。検証の検索ページ、編集ページ、登録ロジック・ページおよび回答ロジック・ページは、検索ページと同じ方法で開くことができます。

KBAノードは開くことができないことに注意してください。

7.3 KBAの設定

表7-2に、OAAMでKBAを設定する必要があるタスクをリストアップします。

表7-2 KBAの設定

番号

タスク

情報

1

KBAプロパティを設定します。

詳細は、7.3.1項「KBAプロパティの設定」を参照してください。

2

OAAMスナップショットをインポートします。

詳細は、7.3.2項「OAAMスナップショットのインポート」を参照してください。

3

ポリシーをユーザー・グループにリンクします。

詳細は、7.3.3項「ポリシーをユーザー・グループにリンク」を参照してください。

4

登録およびチャレンジ・アクションを構成します。

詳細は、7.3.4項「登録およびチャレンジ・アクションの構成」を参照してください。

5

標準のカテゴリがニーズに合わない場合は、新規カテゴリを作成します。

詳細は、7.3.5項「新規カテゴリの作成」を参照してください。

6

標準の質問がニーズに合わない場合は、新規質問を作成します。

詳細は、7.3.6項「新規質問の作成」を参照してください。

7

チャレンジ質問の登録を構成します。

詳細は、7.3.7項「チャレンジ質問の登録構成」を参照してください。

8

回答に入力される文字の制限を構成します。

詳細は、7.3.8項「質問回答の検証構成」を参照してください。

9

回答ロジックを構成します。

詳細は、7.3.9項「回答ロジックの構成」を参照してください。

7.3.1 KBAプロパティの設定

このセクションには、KBAの有効化、質問リストの制御、質問のランダム化に関するKBAプロパティがリストアップされます。

7.3.1.1 KBAの有効化

bharosa.kba.activeプロパティがtrueに設定されていることを確認します。プロパティの変更の詳細は、第25章「プロパティ・エディタの使用」を参照してください。

7.3.1.2 質問リストの制御

OAAMサーバーの質問のリストを制御できます。次に、デフォルトのプロパティとその値を示します。

challenge.question.registration.groups.minimum.questions.per.category.count=1
challenge.question.registration.groups.categories.count=5
challenge.question.registration.groups.questions.count=5
challenge.question.registration.groups.count=3
challenge.question.registration.groups.maxlimit=5

7.3.1.3 KBA質問のランダム化

oaam.kba.questions.randomorderプロパティをtrueに設定すると、KBA質問は順に表示されるのではなく、ランダムな順序で表示されます。oaam.kba.questions.randomorderプロパティが設定されていない場合またはtrueに設定されている場合、ランダム化はオンライン(OAAMサーバー)でのみ実行されます。CSRによるチャレンジ質問の取得フローでは、質問へのアクセスは常に順次行われます。

7.3.2 OAAMスナップショットのインポート

Oracle Adaptive Access Managerには、ポリシー、依存コンポーネントおよび構成のフル・スナップショットが付属しています。スナップショットは、oaam_base_snapshot.zipファイルに格納され、MW_HOME/IDM_ORACLE_HOME/oaam/initディレクトリに置かれています。

ユーザーに登録を求める前に、チャレンジ質問がOracle Adaptive Access Managerに存在する必要があります。チャレンジ質問はOAAMスナップショットに含まれています。質問が含まれたスナップショットのインポートの詳細は、2.6項「OAAMスナップショットのインポート」を参照してください。

英語以外の言語のチャレンジ質問を使用する必要がある場合は、適切なoaam_kba_questions_locale.zipファイルをMW_HOME/IDM_ORACLE_HOME/oaam/kba_questionsディレクトリからインポートします。ロケール識別子localeは言語バージョンを指定します。

7.3.3 ポリシーをユーザー・グループにリンク

ビジネスおよびセキュリティのニーズに関するポリシーを、KBAを有効化する必要があるユーザー・グループにリンクします。ポリシーのインポートの詳細は、第11章「ポリシー、ルールおよび条件の管理」を参照してください。

7.3.4 登録およびチャレンジ・アクションの構成

ポリシーのルールに適したアクションを構成します。ルールの構成の詳細は、第11章「ポリシー、ルールおよび条件の管理」を参照してください。

7.3.5 新規カテゴリの作成

質問をグループ化できる標準のカテゴリがニーズに合わない場合は、作成する関連質問を含めることができるカテゴリを作成します。

カテゴリを作成するには

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、カテゴリ検索ページを開きます。

2. カテゴリ検索ページで、「新規カテゴリ」ボタンまたは「新規」アイコンをクリックします。
作成ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

「新規カテゴリ」ページが表示され、詳細を入力してカテゴリを作成できます。

3. 「カテゴリ」フィールドに新規カテゴリを入力します。

4. 説明を入力します。

5. 「適用」をクリックします。
新規作成したカテゴリの「カテゴリ詳細」ページが表示されます。

7.3.6 新規質問の作成

標準のチャレンジ質問がニーズを満たさない場合は、アプリケーションにアクセスするユーザーに適用できる質問を作成します。

質問を作成するには

1. ナビゲーション・ツリーで、「KBA」の下の「質問」をダブルクリックします。質問検索ページが表示されます。

2. 質問検索ページで、「新規質問」ボタンをクリックします。
「新規質問」ページが表示され、詳細を入力して質問を作成できます。

作成ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

「新規質問」ページが初めて表示されるとき、質問ステータスのデフォルト値は「アクティブ」になっています。

「質問」、「カテゴリ」、「ステータス」および「ロケール」は、必須フィールドです。

3. 使用可能なロケールのリストからロケールを選択します。
デフォルトでは、「ロケール」メニューには、英語およびその他の26のロケール言語が表示されます。

4. 新規質問を「質問」フィールドに入力します。
質問名は、カテゴリ間で一意である必要があります。

5. 「カテゴリ」リストで、目的の質問カテゴリを選択します。
デフォルトでは、「カテゴリ」リストにはデータがありません。データが「カテゴリ」メニューに表示されるようにするには、チャレンジ質問ZIPファイル(oaam_kba_questions_locale.zip)をインポートする必要があります。新規カテゴリを作成することもできます。

6. 「ロケール」リストで、目的の言語を選択します。
デフォルトでは、「ロケール」メニューには、英語およびその他の26のロケール言語が表示されます。

7. 各質問に一意の検証に割り当てて、ユーザーが登録を許可される回答を制御できます。ローカル検証を割り当てるには、「登録検証」リストから検証タイプを選択します。
この手順で選択したローカル検証によって、特定の質問でユーザーが登録できる回答が制御されます。すべての質問に対する回答の登録は制御されません。

グローバル検証とローカル検証の相違の詳細は、7.3.8項「質問回答の検証構成」を参照してください。

8. 「回答ロジックのヒント」リストで、目的の「回答ロジックのヒント」のタイプを選択します。
指定した質問の評価に使用される回答ロジックに影響を及ぼすために、ヒントを質問に個々に追加できます。このことは、質問のタイプのロジックをより詳細に調整するために実行します。このことは、特に日付関連の質問で重要となります。

これらのヒントは、回答ロジックが、一部の質問(日付関連の質問など)でより適切に機能するために役立ちます。質問に日付回答ヒントが適用されている場合、省略形、音声およびファット・フィンガリングの回答ロジックが最初に実行され、次に特殊日付書式ロジックが適用されます。

9. 「適用」をクリックします。確認ダイアログが表示され、質問が正常に作成されたことが示されます。

10. 「OK」をクリックしてダイアログ・ボックスを閉じます。
新規作成された質問の質問詳細ページが表示されます。

質問が作成された後に、詳細を編集できます。

注意:

デプロイメント管理者は、デプロイ時に、OAAM管理で構成されたサポート対象の各ロケールに関して、十分な質問がデータベースにあるようにする必要があります。そうでない場合は、登録中にOAAMサーバーによって英語の質問のみが表示されます。

ロケール固有の質問の数は、「ユーザーが登録する質問数」に「1メニュー当たりの質問数」を乗算し、「1メニュー当たりのカテゴリ」を乗算した数以上である必要があります。

7.3.7 チャレンジ質問の登録構成

各メニューで表示される質問の数、1メニュー当たりのカテゴリ数、およびユーザーが登録する必要がある質問の数は、構成可能です。ユーザーは、各メニューから1つの質問を選択し、それらの回答を入力する必要があります。質問メニューごとに1つのみ質問を登録できます。

チャレンジ質問および回答の登録を構成するには:

1. ナビゲーション・ツリーで、「KBA」の下の「登録ロジック」をダブルクリックします。「登録ロジック」ページが表示されます。

2. 質問セット生成用の値を入力または変更するには、次の設定を指定します。

- カスタマが登録する必要がある質問の数

- 各メニューで表示される質問の数

- 1メニュー当たりのカテゴリの数
1メニュー当たりのカテゴリは、システムで使用可能なカテゴリ数以下である必要があります。

注意:

現実的な数を入力します。たとえば、ユーザーが登録する必要がある質問の数は、3から7です。

3. 「適用」をクリックします。
登録ロジック詳細が正常に更新されたことを示すメッセージを含む確認ダイアログが表示されます。

4. 「OK」をクリックします。

7.3.8 質問回答の検証構成

グローバル検証では、すべての質問に関して、ユーザーが登録を許可される回答を制御します。グローバル検証は、すべての回答登録に影響します。たとえば、「4桁年(YYYY)」検証がグローバルに適用された場合は、KBA登録中に、数値による回答のみが受け入れられます。このことは、回答が通常英数字になる質問をユーザーが使用できる場合に問題になります。

グローバル検証は、登録ロジックの構成時に指定されます。

グローバル検証(すべての質問に適用する検証)を追加するには:

1. ナビゲーション・ツリーで、「KBA」の下の「登録ロジック」をダブルクリックします。「登録ロジック」ページが表示されます。

2. 結果ヘッダーの「追加」ボタンをクリックします。
「グローバル検証の追加」ダイアログが表示されます。

図7-2 グローバル検証の追加

3. 「グローバル検証の追加」ダイアログで、追加するグローバル検証を検索します。

4. 追加する検証に対応する行を選択します。
追加する検証を一度に複数選択することはできません。

5. 「追加」をクリックします。
選択された検証が追加されます。

7.3.9 回答ロジックの構成

KBAの機能である回答ロジックにより、セキュリティ質問のユーザビリティが向上します。管理者は、エンド・ユーザーが指定したチャレンジ回答が、登録時に指定した回答とどれだけ正確に一致する必要があるかを調整します。ユーザーが指定した回答が、基本的には正しいが、誤入力、スペル・ミス、省略形などのわずかな違いがある場合、合格にする必要があります。KBAの向上したユーザビリティにより、リスクの小さい状況およびセルフサービス・フローでのコール・センターによる不要な関与の必要性が軽減または排除されます。

回答ロジック(ファジー・ロジック)アルゴリズムを「回答ロジック」ページで構成できます。アルゴリズムは、一般的な省略形、ファット・フィンガリング(キーボード上の隣接したキーを間違って押すこと)および音声の3つのカテゴリに分けられます。これらのアルゴリズムは、オンライン・チャレンジ・プロセスと電話チャレンジ・プロセスの両方に使用できます。

次のアルゴリズムが使用可能で、要件に合わせて構成できます。

- 音声

- 文字の欠落

- 不要な文字

- 一般的なスペル・ミス

- 一般的な省略形

- 一般的な頭文字

- キーボード・ファット・フィンガリング

- 一般的な愛称

- 地域によるスペルの違い

- 日付書式

回答ロジックのアルゴリズムは有効化または無効化でき、一部のアルゴリズムの強度(チャレンジ質問に対する回答の評価に使用される回答ロジックのレベル)も構成可能です。たとえば、電信送金などの高リスク・トランザクションでは高い確実度(完全一致)が必要とされる一方で、機密でない個人情報にアクセスする場合には、必要とされるレスポンスの確実性はより低くなることがあります。

標準の回答ロジックは、英語に対してのみ機能します。省略形をグローバル化できますが、ロケール固有のテキストの等価ファイルを作成する必要があります。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

仕組みを示す例

質問: 高校時代の好きな先生は誰でしたか。

登録済の回答: Mrs. Smith

指定された回答: Misses Smuth

ロジック・レベル: 高に設定されている場合、この回答は受け入れられます。

表7-3 回答ロジック・アルゴリズム例

アルゴリズム

説明

理由

省略形

このアルゴリズムでは、一般的な省略形、一般的な愛称、一般的な頭文字および日付書式が処理されます。許可されている一致に関するファイルを確認します。

ファイルにMrs=Missesが含まれている場合は、いずれかの方向で一致が生成されます。

音声

このアルゴリズムでは、登録済の回答と音声が類似した回答、地域によるスペルの違いおよび一般的なスペル・ミスが処理されます。

SmiithはSmithと類似しています。

キーボード・ファット・フィンガリング

このアルゴリズムでは、標準キーボードのキーの近接による回答の誤入力を処理します。

uはiのすぐ左にあるため、許可されます。

7.3.9.1 一般的なレスポンス・エラー

この項では、最も一般的なレスポンス・エラーについて重点的に説明し、チャレンジ・レスポンス処理でシステムが正しい回答をインテリジェントに検出するために回答ロジック・アルゴリズムが使用される仕組みを示します。省略形、音声およびキーボード・ファット・フィンガリングの例も提供しています。

7.3.9.1.1 省略形

一般的な省略形、一般的な愛称、一般的な頭文字および日付書式は、このアルゴリズムにより処理されます。

一般的な省略形

このアルゴリズムは、次のペアの語句を同じものとして一致させます。OAAM管理には、一般的な省略形、一般的な愛称および一般的な頭文字を網羅する事前定義された語句のペアのリストがあります。

- Street - St.

- Drive - Dr.

- California - CA

このリストは、新しい省略形ファイルcustom_auth_abbreviation_config.propertiesを作成することで、カスタマイズできます。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

一般的な愛称

Oracleには、チャレンジ・レスポンス処理で使用される最も一般的な愛称の事前定義されたリストがあります。

- Timothy - Tim

- Matthew - Matt

日付書式

回答として日付が求められる質問では、ユーザーが回答を入力する必要がある書式を指定します。書式はYYYYまたはMMDDのいずれかで、両方は指定できません。ただし、経験から、ユーザーはチャレンジ・レスポンス処理時に他の書式を依然として使用します。日付書式の省略形ロジックでは、次のことを同じとみなします。

- 0713

- 713

- July 13th

- July 13

- July 13, 1970

7.3.9.1.2 音声

登録済の回答と音声が類似した回答、地域によるスペルの違いおよび一般的なスペル・ミスは、このアルゴリズムによって処理されます。音声アルゴリズムは、英語でのみサポートされています。

一般的なスペル・ミス

Oracleの音声回答ロジック・アルゴリズムでは、スペル・ミスが考慮されます。

- ph - f

- 正しい語句: elephant - スペルの誤り: elefant

7.3.9.1.3 キーボード・ファット・フィンガリング

Oracleのファット・フィンガリング・アルゴリズムでは、標準キーボードのキーの近接による誤入力や、転置された文字を考慮します。標準キーボードのキーの近接による誤入力がある回答は、このアルゴリズムにより処理されます。

許可されるファット・フィンガリング文字数は、元の語句の長さおよびレベル・セットにより異なります。このアルゴリズムは、完全一致を含む文字に関連付けるスコアの割合を返します。この割合が、回答が登録済の回答と一致するために必要な最小スコアを決定します。

注意:

ファット・フィンガリング・アルゴリズムは、英語でのみサポートされています。

一般的な誤入力

- wとeの入れ替わり

- uとiの入れ替わり

- tとrの入れ替わり

ファット・フィンガリングの例

- 正しい語句: signature - ファット・フィンガリング: signatire

7.3.9.2 回答ロジックのレベル

チャレンジ質問に指定された回答の評価に使用される回答ロジックのレベル(アルゴリズムの強度)は、構成可能です。各アルゴリズムは有効化または無効化でき、使用されるアルゴリズムに次のレベルを指定することもできます。

- オフ: 回答ロジックは使用されず、回答はユーザーが前に登録した回答と完全に一致する必要があります。

- 低: 低い回答ロジックであり、ユーザーが指定した回答は、登録時に指定した回答と完全一致またはほぼ一致する必要があります。

- 中: より高い回答ロジックであり、ユーザーは、指定した回答にある程度の余地を与えられます。たとえば、St.は、Streetとして受け入れられます。

- 高: 最高レベルの回答ロジックです。一致に関する制約は厳しくありません。

各アルゴリズムは、指定された回答が、登録された回答とどれだけ近いかを表すスコアを生成します。OAAM管理は、各アルゴリズムでそれぞれ異なるしきい値スコア範囲を受け入れるように構成できます。各アルゴリズムの個別のしきい値(低、中、高)は、プロパティ・ファイルで設定されます。デフォルトのしきい値を次で説明します。

7.3.9.2.1 省略形

省略形の場合:

- 戻り値: 範囲0から100 (不一致または一致)

- レベル: オンまたはオフ

- ロジック

- 指定した文字列にリンクされた省略形エントリが存在する場合、スコアは100です。

- それ以外の場合、スコアは0です。

7.3.9.2.2 ファット・フィンガリング

ファット・フィンガリングの場合:

- 戻り値: 範囲0から100

- レベル: オフ、低(90+)、中(75+)、高(60+)

- ロジック

- 文字列長が一致しない場合、スコアは0です。

- 任意の位置に予期された文字またはその隣接文字が含まれていない場合、スコアは0です。

- それ以外の場合は、隣接文字が含まれた位置の数を計算します。

- スコア = (文字列長 - 隣接位置数) * 100 /文字列長

7.3.9.2.3 音声

音声の場合:

- 戻り値: 0、60、75、90

- レベル: オフ、低(90)、中(75)、高(60)

- ロジック

- DoubleMetaphoneアルゴリズムを使用して、指定された文字列の主音声キーと代替音声キーを計算します。

- 両方の文字列の主キーが一致した場合、スコアは高です。

- または、いずれかの文字列の主キーが、もう一方の文字列の代替キーに一致する場合、スコアは中です。

- または、両方の文字列の代替キーが一致する場合、スコアは低です。

- それ以外の場合、スコアは0です。

7.3.9.2.4 複数の単語の回答

複数の単語を含む回答は、回答ロジックにより特別な方法で処理されます。文字列の完全一致の最終スコアが成功基準を満たしていない場合、回答内の個々の単語が評価されます。回答内の個々の単語が任意のアルゴリズムにより受け入れられると、その回答全体が受け入れられます。

欠落した単語または余分な単語が含まれた、複数の単語の回答は、登録済の回答と完全一致する必要があります。回答が回答ロジックで評価されるためには、登録済の回答と同じ数の単語が含まれている必要があります。たとえば、登録済の回答がMead Elementary Schoolで、チャレンジ時に指定した回答がMesd Elem Schである場合:

Abbreviation: Mead–Mesd=0; Elementary-Elem=100; School-Sch=100
Fat-finger: Mead-Mesd=75; Elementary-Elem=0; School-Sch=0
Phonetics: Mead-Mesd=0; Elementary-Elem=0; School-Sch=0

省略形がオフ以外に設定され、ファット・フィンガリングが中または高に設定されている場合、3つのすべての単語がそれぞれ受け入れられるため、回答全体が受け入れられます。

7.3.9.3 回答の検証構成

「KBA回答ロジック」タブには、回答の検証に使用される各回答ロジック・アルゴリズムのレベル用のコントロールが含まれています。レベルが高いほど、回答が受け入れられるのに必要な精度がより低くなります。

回答ロジックを構成するには:

1. ナビゲーション・ツリーで、「KBA」の下の「回答ロジック」をダブルクリックします。
オンライン・チャレンジとCSR電話チャレンジに別個の設定を指定できます。

表7-3 回答ロジック

2. キーボード・ファット・フィンガリングおよび音声に使用される回答ロジックのレベルを変更するには、「オフ」、「低」、「中」または「高」を選択しますが、設定を低くするほど、必要とされる精度が高くなります。
ロジック・レベルの詳細は、7.3.9.2項「回答ロジックのレベル」を参照してください。

3. 「OK」をクリックします。

7.4 チャレンジ質問の管理

KBA機能により、チャレンジ質問を管理できます。

チャレンジ質問に対して次のタスクを実行できます。

- チャレンジ質問の検索

- 質問詳細および統計の表示

- 別の質問と類似する質問の作成

- 質問の編集

- 質問のインポート

- 質問のエクスポート

- 質問の削除

- 質問の無効化

- 質問のアクティブ化

7.4.1 チャレンジ質問の検索

質問検索ページを使用して、すべてのチャレンジ質問を表示し、様々な基準に基づいて質問を検索します。質問検索ページでは、任意の質問の質問詳細ページにアクセスできます。質問検索ページが初めて表示されるときには、デフォルトのフィルタ値が含まれた「検索結果」表が表示されます。

質問を検索するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、質問検索ページを開きます。
質問検索ページの例を図7-4に示します。

図7-4 質問検索ページ

質問検索ページには、「検索」セクション、検索基準に一致した質問の概要を示す「検索結果」表が表示されます。

2. 質問を検索するための基準を「検索フィルタ」に指定し、「検索」をクリックします。
表7-4で、検索フィルタ基準について説明しています。

検索パラメータをデフォルト設定にリセットする場合は、「リセット」ボタンを使用します。

表7-4 質問検索基準

フィールド

説明

質問のキーワード

質問のキーワード。

ステータス

質問のステータス(アクティブまたは無効)。

カテゴリ

質問が属するカテゴリ。例: 教育、ペット、スポーツなど。

ロケール

質問の言語。例: 英語、フィンランド語、チェコ語など。

検証

グローバル検証。例: 4桁年(YYYY)、月日(MMDD)など。

回答ロジックのヒント

指定された回答の評価に使用される回答ロジックに影響する、質問に個々に追加されるヒント。例: 日付回答のヒント。

作成日

質問が作成された時間枠。

更新時間

質問が変更された時間枠。

「検索結果」表には、指定した基準に一致した質問の概要が表示されます。デフォルトでは、質問は質問名を基準にしてソートされますが、更新時間、作成日、ステータス、質問およびカテゴリを基準にして質問をソートできます。

「検索結果」表で、質問リンクをクリックして、詳細を表示します。質問詳細ページが表示されます。

表7-5 質問アクション・メニュー・コマンドに、「アクション」メニューで使用可能なコマンドをリストします。1つ以上の質問を選択して、これらの質問に対するアクションを実行できます。

表7-5 質問アクション・メニュー・コマンド

コマンド

説明

新規質問

新規質問を作成します。デフォルトでは、質問は作成時に有効になります。任意のロケールの質問を作成できます。

類似作成

既存の質問と類似した新規ケースを作成します。

選択項目の削除

質問を削除します。

選択項目のアクティブ化

質問をアクティブ化します。

選択項目の非アクティブ化

質問を非アクティブ化します。

選択項目のエクスポート

質問を.XMLファイルとしてエクスポートします。

質問の作成を除き、すべての操作は一括操作です。

7.4.2 質問詳細および統計の表示

質問詳細ページには、次のような情報が表示されます。

- 質問のある質問セット

- 質問に登録されたユーザー

- 質問に登録されたユーザーの割合

- 成功したチャレンジの割合

- 失敗したチャレンジの割合

- 質問ID

- 最終更新日

質問統計を表示するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、質問検索ページを開きます。

2. 質問検索ページで、「検索結果」表の目的の質問をクリックします。
統計が含まれた質問詳細ページが表示されます。

7.4.3 別の質問と類似する質問の作成

既存の質問に類似した質問を作成するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、質問検索ページを開きます。

2. 質問検索ページで、目的の質問に対応する行を選択します。

3. 「類似作成」アイコンをクリックします。
元の質問からのデータが事前移入された「類似作成」ダイアログが表示されます。事前に移入されたフィールドは、「カテゴリ」、「ロケール」、「ステータス」、「回答ロジックのヒント」および「登録検証」です。「質問」、「カテゴリ」、「ステータス」および「ロケール」は、必須フィールドです。複数の行が選択されている場合、「類似作成」アイコンは無効になります。

任意のロケールの質問を作成できます。

4. 新規質問を「質問」フィールドに入力します。

5. 必要に応じてその他のフィールドを編集します。

6. 「OK」をクリックします。
新規作成された質問の質問詳細ページが表示されます。

「取消」をクリックすると、質問検索ページが表示されます。

7.4.4 質問の編集

質問詳細ページでは、質問のアクティブ化や無効化、質問、質問カテゴリ、ロケール、および登録検証と回答検証の編集を実行できます。読取り専用の質問統計を「質問の統計」セクションで使用できます。質問を編集した場合、その質問を使用するユーザーは、更新された質問を受け取ります。

質問を編集するには

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、質問検索ページを開きます。

2. 質問検索ページで、目的の質問を検索します。

3. 編集する必要がある、ハイパーリンク付きの質問をクリックします。
質問詳細ページが表示されます。

4. 必要な変更を行います。
「質問ID」や最終更新時間は編集できません。

5. 変更を保存する場合は「適用」をクリックし、破棄する場合は「元に戻す」をクリックします。
「元に戻す」をクリックすると、編集された詳細が、最初の状態に戻ります。

7.4.5 質問のインポート

質問をインポートするには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、質問検索ページを開きます。

2. 質問検索ページで、「質問のインポート」をクリックするか、または「アクション」メニューから選択対象のインポートを選択します。

3. 「質問のインポート」ダイアログで、ファイルのパスおよび名前入力するか、または「参照」(...)ボタンを使用して、質問が含まれているZIPファイルを検索し、そのファイルを選択します。

4. 「オープン」をクリックし、「インポート」をクリックします。
現在システムに存在しないカテゴリに属する質問をインポートする場合、そのカテゴリもインポートされます。既存の質問と同じID番号の質問をインポートした場合、既存の質問は上書きされます。

確認ダイアログに、操作のステータス、およびシステムにインポートされた質問のリストが表示されます。

5. 「完了」をクリックします。

7.4.6 質問のエクスポート

複数の質問を選択してエクスポートできます。

質問をエクスポートするには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、質問検索ページを開きます。

2. 質問検索ページで、目的の質問を検索します。

3. 目的の質問に対応する行を選択します。

4. 「エクスポート」アイコンを選択します。

5. 「エクスポート」ダイアログで、「エクスポート」ボタンをクリックします。
選択した質問がエクスポートされます。

7.4.7 質問の削除

質問を削除するには、次の手順を実行します。

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、質問検索ページを開きます。

2. 質問検索ページで、目的の質問を検索します。

3. 目的の質問に対応する行を選択し、「削除」をクリックするか、「アクション」メニューから「選択項目の削除」を選択します。
「削除」ボタンと「選択項目の削除」メニュー・アイテムは、質問が選択されている場合にのみ有効になります。

質問および質問IDのリストが含まれた「削除の確認」ダイアログが表示されます。

4. 「削除」をクリックして、質問を削除します。
削除された質問は新規登録には使用できませんが、これらの質問に対して現在登録されているユーザーは、引き続きこれらの質問を使用できます。

確認ダイアログが表示されます。

5. 確認ダイアログで、「OK」をクリックします。

登録済ユーザーが使用している質問を削除しようとすると、エラーが表示されます。

ユーザーが複数の質問を削除しようとした場合、いくつかの質問がそのユーザーに関連付けられていると、関連付けられている質問はバイパスされ、残りの質問が削除され、削除されなかった質問のリストを示すメッセージがユーザーに表示されます。削除された質問は新規登録には使用できませんが、これらの質問に対して現在登録されているユーザーは、引き続きこれらの質問を使用できます。

7.4.8 質問の無効化

質問を無効化するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、質問検索ページを開きます。

2. 質問検索ページで、無効化する質問を検索します。

3. 無効化する質問に対応する行を選択します。

4. 「非アクティブ化」ボタンを押すか、または「アクション」メニューから「非アクティブ化」を選択します。
選択した質問が無効化されます。

または、質問検索ページでハイパーリンク付きの質問をクリックしてから、質問詳細ページで「ステータス」フィールドの「無効化」を選択して、質問を無効化できます。

質問が無効化されている場合、次のシナリオが発生します。

- 無効化された質問は、新規ユーザーの質問セットの生成には使用できません。

- 再登録時またはリセット時、無効化された質問は、無効化された質問が質問セットに含まれているユーザーの同じカテゴリからの別の質問で置換されます。

- 無効化された質問は、その質問を登録したユーザーに関してはアクティブなままです。ユーザーがユーザー・プリファレンスを再登録または変更する場合、無効化された質問は、同じカテゴリからの別の質問で置換されます。

7.4.9 質問のアクティブ化

質問をアクティブ化するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、質問検索ページを開きます。

2. 質問検索ページで、目的の質問を検索します。

3. アクティブ化する質問に対応する行を選択します。

4. 「アクティブ化」ボタンを押すか、または「アクション」メニューから「アクティブ化」を選択します。
選択した質問がアクティブ化されます。

7.4.10 チャレンジ質問の削除または非アクティブ化(移行)

11.1.2.0.0に移行し、前のリリースのKBA質問を使用している場合、この項でリストしている質問がアクティブな場合は、それらの質問を削除または非アクティブ化する必要があります。

子カテゴリ

次の質問を削除または非アクティブ化します。

- 一番年上のお子さんの誕生は何年でしたか。

- 一番年上のお子さんの小学校入学は何年でしたか。

- 一番年下のお子さんの小学校入学は何年でしたか。

- 一番年上のお子さんのミドル・ネームは何ですか。

- 一番年下のお子さんは何という名ですか。

- 一番年下のお子さんの誕生は何年でしたか。

- 一番年上のお子さんは何という名ですか。

- 一番年下のお子さんの誕生日はいつですか。

- 一番年下のお子さんのミドル・ネームは何ですか。

- 一番年上のお子さんの誕生日はいつですか。

教育カテゴリ

次の質問を削除または非アクティブ化します。

- 高校卒業は何年でしたか。

- 中学校卒業は何年でしたか。

- 高校があったのは何市でしたか。

- 大学のスクール・カラーは何色でしたか。

- 小学校卒業は何年でしたか。

- 大学のマスコットは何でしたか。

- 高校のスクール・カラーは何色でしたか。

- 高校のマスコットは何でしたか。

- 出願したが入学しなかった大学の名前は何ですか。

- 最初の小学校があったのは何市でしたか。

- 高校入学は何年でしたか。

- 中学校入学は何年でしたか。

- 小学校入学は何年でしたか。

- 大学卒業は何年でしたか。

- 大学入学は何年でしたか。

- 大学での専攻は何でしたか。

- 最初に通った学校は何でしたか。

- 大学があったのは何市でしたか。

その他のカテゴリ

次の質問を削除または非アクティブ化します。

- 子供時代に一番親しかった友人は何という名ですか。

- 身長はどれくらいですか。

父母、祖父母、兄弟姉妹カテゴリ

次の質問を削除または非アクティブ化します。

- 父親が生まれたのは何年でしたか。

- 父親の誕生日はいつですか。

- 一番年上の兄弟姉妹の愛称は何ですか。

- 父親が生まれたのは何市ですか。

- 母親が生まれたのは何市ですか。

- 両親の現住所の番地は何番ですか。

- 両親の現住所は何町ですか。

- 一番年下の兄弟姉妹の愛称は何ですか。

- 両親の現住所の郵便番号は何番ですか。

- 母親が生まれたのは何年でしたか。

- 両親の電話番号の下4桁は何番ですか。

- 母方の祖母は何という名ですか。

- 父方の祖母は何という名ですか。

- 一番年下の兄弟姉妹は何という名ですか。

- 父方の祖父は何という名ですか。

- 母親の誕生日はいつですか。

- 一番年上の兄弟姉妹は何という名ですか。

重要なその他のカテゴリ

次の質問を削除または非アクティブ化します。

- 新婚旅行はどこに行きましたか。

- あなたが結婚したのは何年ですか。

- あなたの大切な人が生まれたのは何年ですか。

- あなたの大切な人の誕生日はいつですか。

- 結婚記念日はいつですか。

- 初めて奥様/ご主人と知り合ったのは何市ですか。

- あなたの大切な人が生まれたのは何市でしたか。

- あなたの大切な人の母親は何という名ですか。

- あなたの大切な人の父親は何という名ですか。

- あなたの大切な人の一番年上の兄弟姉妹は何という姓ですか。

- あなたの大切な人の一番年下の兄弟姉妹は何という名ですか。

- あなたの大切な人はどの高校に通っていましたか。

- あなたの花婿/花嫁付添人は何という姓でしたか。

- あなたの花婿/花嫁付添人は何という名でしたか。

- 結婚披露宴会場の名称。

- 奥様/ご主人を何と呼んでいますか。

- あなたの大切な人が生まれたのは何県でしたか。

- あなたの大切な人の一番年下の兄弟姉妹は何という姓ですか。

スポーツ・カテゴリ

次の質問を削除または非アクティブ化します。

- 好きなスポーツ・チームのマスコットは何ですか。

- 好きなスポーツ・チームのチーム・カラーは何色ですか。

- 好きなスポーツ・チームの最大のライバルはどのチームですか。

- これまでで一番お気に入りのスポーツ・チームはどこですか。

出生カテゴリ

次の質問を削除または非アクティブ化します。

- 育った場所の郵便番号は何番ですか。

- あなたが生まれたとき米国大統領は誰でしたか。

- あなたが生まれたとき父親は何歳でしたか。

- あなたが生まれたとき母親は何歳でしたか。

- あなたが生まれた病院の名前は何ですか。

- 生まれた場所の郵便番号は何番ですか。

- 誕生日に一番近い祝日は何ですか。

- 生まれたのは何県でしたか。

- 生まれたのは何市でしたか。

7.5 システムにおける回答登録の検証管理

登録時にユーザーが指定した回答に使用する検証を管理および定義できます。

この項では、ユーザーがすべての質問に対して登録できる回答を制御するグローバル検証を管理する手順について説明します。グローバル検証とローカル検証の相違の詳細は、7.3.8項「質問回答の検証構成」を参照してください。

7.5.1 検証ページの使用

「検証」ページでは、次の機能を実行できます。

- 新規検証の追加

- 既存の検証の編集

- 検証のインポート

- 検証のエクスポート

- 検証の削除

7.2項「KBA管理での構成へのアクセス」の説明に従って、「検証」ページを開きます。

「検証」ページの例を図7-5に示します。

図7-5 「検証」ページ

デフォルトでは、検証は検証名を基準にしてソートされますが、更新済を基準にしてソートできます。

表7-6 検証アクション・メニュー・コマンドに、「アクション」メニューから使用できるコマンドをリストします。1つ以上の検証を選択し、質問に対してアクションを実行できます。

表7-6 検証アクション・メニュー・コマンド

コマンド

説明

追加

新規検証を追加します。

インポート

検証をインポートします。

エクスポート

検証をエクスポートします。

削除

検証を削除します。

7.5.2 新規検証の追加

必要に応じて、新規検証をシステムに追加できます。検証は、チャレンジ質問の登録時に使用するために定義されます。

検証を追加するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、「検証」ページを開きます。

2. 「検証」ページで、「新規検証」ボタンをクリックします。
「新規検証の追加」ページが表示され、詳細を入力して検証を作成できます。

または、次を実行して「新規検証の追加」ページを開くことができます。

- 「検索結果」ツールバーの「検証の追加」ボタンを選択します。

- 検索結果の「アクション」メニューから「新規検証」を選択します。

3. 「検証タイプ」リストで、追加する検証スキームを選択します。
たとえば、検証タイプ、「最大長」を選択します。この検証スキームにより、カスタマは、許可された最大長の検証を回答に対して作成できます。

検証のパラメータが、「検証」ページの「検証パラメータの詳細」領域に表示されます。

注意:

ページに表示されるフィールドは、選択した検証タイプによって異なります。

4. 「名前」フィールドに、検証スキームのインスタンスの名前を入力します。
システムで使用可能な検証スキームから検証を作成する場合は、検証のインスタンスを追加します。次に、そのインスタンスをカスタマイズできます。

5. 検証タイプに応じた検証パラメータを指定します。
たとえば、「最大長」検証のインスタンスの検証パラメータを30にすることができます。この検証インスタンスにより、ユーザーは、長さが30文字を超える回答を入力できないように制限されます。

表7-7 検証パラメータ

検証タイプ

フィールドのラベル

検証パラメータの説明

例示

不適切な言語

不適切な語句の入力

回答に不適切な言語。

例: ぞんざいな言葉、見当外れな言葉、不快な言葉

正規表現

正規表現パターンの入力

回答の正規表現パターン文字列。

たとえば、英数字検証のパターンは、[A-Za-z0-9]+のようになります。

ユーザーが入力した回答が、構成済の正規表現パターンに準拠していないと、検証が失敗し、構成済のエラー・メッセージが表示されます。

例: [0-9]+

日付

日付入力の表記法

回答の日付/時間パターン文字列。

たとえば、月日年検証のパターンは、MMddyyのようになります。

ユーザーが入力した日付/時間が、構成済のパターンに準拠していないと、検証が失敗し、構成済のエラー・メッセージが表示されます。

例: MMDDYY

最小長

最小長の入力

回答の最小長(数)。

ユーザーが入力した回答の長さが、構成済の値よりも少ないと、検証が失敗し、構成済のエラー・メッセージが表示されます。

例: 3

最大長

最大長の入力

回答に許可される最大長(数)。

ユーザーが入力した回答の長さが、構成済の値を超えると、検証が失敗し、構成済のエラー・メッセージが表示されます。

例: 3

繰返し文字

繰返し文字数の入力

回答で許可される繰返し文字の数。

ユーザーが入力した回答に含まれている繰返し文字が、構成済の値よりも多いと、検証が失敗し、構成済のエラー・メッセージがユーザーに表示されます。

例: 3

繰返し回答

繰返し回答数の入力

許可される繰返し回答の数。

たとえば、一意の回答の検証のパラメータ値は1になります。

ユーザーが入力した回答が、構成済の回数を超えて繰り返された場合、検証が失敗し、構成済のエラー・メッセージがユーザーに表示されます。

例: 1

文字

許可されない文字の入力

許可されていない文字。

例: *

6. 「追加」をクリックします。
OAAM管理は、検証インスタンスをシステム内の検証のリストに追加します。

7.5.3 既存の検証の編集

既存の検証を編集するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、「検証」ページを開きます。

2. 「検証」ページで、編集するハイパーリンク付きの構成済の検証を選択します。

3. 「検証パラメータの詳細」セクションで、必要な変更を行います。表7-7「検証パラメータ」を参照してください。
検証パラメータ・フィールドの文字列、数値および文字を編集できます。

4. 「保存」をクリックします。
OAAM管理は、システム内の検証インスタンスを更新します。

7.5.4 検証のインポート

グローバル検証をシステムにインポートして、「登録ロジック」ページのグローバル検証リストにグローバル検証を追加できます。通知はされず、自動的にグローバル検証リストに追加されます。

7.5.5 検証のエクスポート

検証をエクスポートするには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、「検証」ページを開きます。

2. 「検証」ページで、目的の検証を検索します。

3. エクスポートする検証に対応する行を選択します。

4. 「アクション」メニューから「選択項目のエクスポート」を選択します。

5. 「エクスポート」ダイアログが表示されたら、「ファイルの保存」、「保存」の順に選択します。
ファイルがエクスポートされ、ZIPファイルとして保存されます。

7.5.6 検証の削除

検証を削除するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、「検証」ページを開きます。

2. 「検証」ページで、削除する検証を検索します。

3. 目的の検証に対応する行を選択し、「削除」をクリックします。
検証を削除するかどうかを確認するダイアログが表示されます。

4. 「削除」をクリックして確認します。
検証が正常に削除されたことを示すメッセージを含むダイアログが表示されます。

5. 「OK」をクリックしてダイアログ・ボックスを閉じます。

7.6 カテゴリの管理

カテゴリに関して次のタスクを実行できます。

- カテゴリの検索

- カテゴリの編集

- カテゴリの削除

- カテゴリのアクティブ化

- カテゴリの非アクティブ化

7.6.1 カテゴリの検索

カテゴリ検索ページで、すべてのカテゴリのリストを表示し、様々な条件に基づいてカテゴリを検索できます。カテゴリ検索ページでは、任意のカテゴリの「カテゴリ詳細」ページにアクセスできます。

カテゴリ検索ページが初めて表示されるときには、「検索結果」表にデフォルト検索値の結果が表示されます。

カテゴリを検索するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、カテゴリ検索ページを開きます。
カテゴリ検索ページに、検索条件に一致したカテゴリの概要を示す「検索」セクションおよび「検索結果」表が表示されます。

2. 検索フィルタに条件を指定して、特定の質問カテゴリを見つけ、「検索」をクリックします。
表7-4で、検索フィルタ基準について説明しています。

検索パラメータをデフォルト設定にリセットする場合は、「リセット」ボタンを使用します。

表7-8 質問検索基準

フィールド

説明

カテゴリ

カテゴリ名。例: 教育、ペット、スポーツなど。

ステータス

カテゴリのステータス。

作成日

カテゴリが作成または変更された時間枠。

更新時間

カテゴリが更新された時間枠。

「検索結果」表には、指定した条件に一致するカテゴリの概要が表示されます。

「検索結果」表で、目的のハイパーリンク付きのカテゴリをクリックして、詳細を表示します。「カテゴリ詳細」ページが表示されます。

7.6.2 カテゴリの編集

「カテゴリ詳細」ページでは、既存のカテゴリのステータス、名前および説明を変更できます。

カテゴリを編集するには

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、カテゴリ検索ページを開きます。

2. カテゴリ検索ページで、目的のカテゴリを検索します。

3. 編集するハイパーリンク付きのカテゴリをクリックします。
「カテゴリ詳細」ページが表示されます。

4. 必要な変更を行います。
カテゴリ名の編集は、登録済の質問または新規登録には影響を及ぼしません。

5. 変更を保存する場合は「適用」をクリックし、破棄する場合は「元に戻す」をクリックします。
「元に戻す」をクリックすると、編集済の詳細が最初の状態に戻ります。

あるカテゴリに属している質問を新規カテゴリに移動すると、ユーザーに同じ質問が示されます。

7.6.3 カテゴリの削除

カテゴリを削除するには、次の手順を実行します。

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、カテゴリ検索ページを開きます。

2. カテゴリ検索ページで、削除するカテゴリを検索します。

3. 目的のカテゴリに対応する行を選択し、「削除」をクリックします。
カテゴリを削除するかどうかを確認するダイアログが表示されます。

4. 「削除」をクリックして確認します。
カテゴリが正常に削除されたことを示すメッセージを含むダイアログが表示されます。

5. 「OK」をクリックしてダイアログ・ボックスを閉じます。

質問によってカテゴリが参照されていない場合は、そのカテゴリを削除できます。そのカテゴリが質問によって参照されている場合は、エラー・メッセージが表示されます。

7.6.4 カテゴリのアクティブ化

カテゴリをアクティブ化するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、カテゴリ検索ページを開きます。

2. カテゴリ検索ページで、アクティブ化するカテゴリを検索します。

3. アクティブ化する各カテゴリの行を選択します。

4. 「アクティブ化」ボタンを押します。
カテゴリが正常にアクティブ化されたことを示すメッセージを含むダイアログが表示されます。

5. 「OK」をクリックしてダイアログ・ボックスを閉じます。

7.6.5 カテゴリの非アクティブ化

非アクティブ化されたカテゴリは、新規質問セットの生成には使用されません。非アクティブ化されたカテゴリ内のすべての質問が、再登録時、または質問セットに質問が含まれるユーザーのユーザー・プリファレンス変更時に、現在の質問セットの生成に使用されていない新規カテゴリからの質問で置換されます。

質問が登録されているユーザーの場合、非アクティブ化されたカテゴリの質問は、引き続きアクティブです。ユーザーが再登録した場合、またはユーザー・プリファレンスを変更した場合は、非アクティブ化されたカテゴリ内のすべての質問が、現在の質問セットの生成に使用されていない新規カテゴリからの質問で置換されます。

カテゴリを非アクティブ化するには:

1. 7.2項「KBA管理での構成へのアクセス」の説明に従って、カテゴリ検索ページを開きます。

2. カテゴリ検索ページで、目的のカテゴリを検索します。

3. 非アクティブ化する各カテゴリの行を選択します。

4. 「非アクティブ化」ボタンを押します。
カテゴリが正常に非アクティブ化されたことを示すメッセージを含むダイアログが表示されます。

5. 「OK」をクリックしてダイアログ・ボックスを閉じます。

7.7 登録ロジックにおけるグローバル検証の削除

グローバル検証を削除(すべての質問には適用しない検証を削除)するには:

1. ナビゲーション・ツリーで、「KBA」の下の「登録ロジック」をダブルクリックします。「登録ロジック」ページが表示されます。

2. 削除する検証に対応する行を選択し、結果ヘッダーの「削除」ボタンをクリックします。
検証を削除するかどうかを確認するダイアログが表示されます。

3. 「削除」をクリックしてダイアログを閉じます。
確認ダイアログが表示されます。

4. 「OK」をクリックしてダイアログ・ボックスを閉じます。

7.8 回答ロジック用の英語の省略形および等価のカスタマイズ

Oracle Adaptive Access Managerは、ファジー・ロジックの概念をサポートします。ファジー・ロジックは部分的に、省略形として知られる事前構成済の等価語句セットに依存します。

回答ロジックにより、ユーザーが指定した回答が登録時に指定された回答と厳密に一致するかどうかがチェックされます。回答ロジックは部分的に、省略形として知られる事前構成済の等価語句セットに依存します。

英語版のOracle Adaptive Access Managerには数千の英語の省略形および等価が含まれますが、それぞれのビジネス要件に応じてカスタマイズを実行できます。たとえば、次のものを一致とみなすことができます。

登録済の回答

指定された回答

nineteen hundred ninety nine

1999

英語の省略形および等価は、標準ではbharosa_auth_abbreviation_config.propertiesというファイルに含まれています。このファイルは変更できません。

省略形をカスタマイズするには、省略形の新規セットを使用して新規ファイルを作成する必要があります。このファイルは元のファイルより優先されるため、元のファイルのすべての省略形は無視されます。

省略形をカスタマイズするには:

1. 新規の省略形ファイルcustom_auth_abbreviation_config.propertiesを作成してIDM_ORACLE_HOME/oaam/confディレクトリに保存します。
confフォルダが存在しない場合は、これを作成します。

2. 省略形および等価をcustom_auth_abbreviation_config.propertiesに追加します。
使用する書式は次の2種類です。

Word=equivalent1
Word=equivalent2

または

Word=equivalent1,equivalent2, equivalent3

たとえば、英語ではJamesに対して次のような等価があげられます。

Jim=James,\Jamie,\Jimmy

このように等価を追加することで、ユーザーが最初に入力したJamesとは異なるJimという回答を入力した場合に、Jimが受け入れられます。別の例として、StをStreetと等価とみなすことができます。

注意:

省略形の値の取得はブラウザの言語に基づきません。値はプロパティ・ファイルから取得されます。

3. このファイルをOAAM拡張共有ライブラリ(WEB-INF/classes)に追加します。

4. プロパティ・エディタを使用して、拡張フォルダ内のファイルWEB-INF/classes/custom_auth_abbreviation_config.propertiesへの完全パスを指定するようにプロパティbharosa.authenticator.AbbreviationFileNameを変更します。
プロパティbharosa.authenticator.AbbreviationFileNameのデフォルト値はbharosa_auth_abbreviation_config.propertiesです。bharosa.authenticator.AbbreviationFileNameプロパティが存在しない場合は、作成してください。

変更を有効化するためにシステムを再起動する必要はありません。

5. 回答ロジックを構成します。

標準の元の省略形に戻すには、bharosa.authenticator.AbbreviationFileNameの設定をbharosa_auth_abbreviation_config.propertiesに戻します。

7.9 KBAのシナリオ

この項では、KBAのサンプル・シナリオについて説明します。

7.9.1 チャレンジ質問作成のシナリオ

既存の標準の質問を増やすため、新しいチャレンジ質問を開発するよう依頼されました。新規質問を考えます。指示: パートA: 既存のチャレンジ質問をバックアップとしてエクスポートします。パートB: 任意のカテゴリの新規質問を英語で作成します。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ツリーで、「KBA」の下の「質問」をダブルクリックします。質問検索ページが表示されます。

3. 質問検索ページで、「検索結果」表の列ヘッダーをクリックして、すべての行を選択します。

4. 「アクション」メニューから「選択項目のエクスポート」を選択します。

5. 「エクスポート」ダイアログで、「ファイルの保存」を選択し、「OK」をクリックします。

6. ZIPファイルを保存するロケーションを参照し、「保存」をクリックします。

7. 質問をバックアップした後、目的の質問を検索します。

8. 質問が存在しない場合は、「新規質問」をクリックします。「新規質問」ページが表示されます。
「質問」、「カテゴリ」、「ステータス」および「ロケール」は、必須フィールドです。

「新規質問」ページが初めて表示されるとき、質問ステータスのデフォルト値は「アクティブ」になっています。

9. 「質問」フィールドに、質問を入力します。

10. 「カテゴリ」フィールドで、カテゴリを選択します。

11. ロケールとして「英語」を選択します。

12. 登録検証を選択します。

13. 回答ロジックのヒントを選択します。

14. 「適用」をクリックします。確認ダイアログが表示され、質問が正常に作成されたことが示されます。

15. 「OK」をクリックしてダイアログ・ボックスを閉じます。
この質問および質問統計に関する情報が含まれた「質問詳細」ページが表示されます。

16. 質問が作成された後に、詳細を編集できます。

7.9.2 KBA登録ロジック設定のシナリオ

セキュリティ・チームは、チャレンジ質問をスポーツとペットに関する質問に限定することにしました。パートA: OAAM管理コンソールにログインし、スポーツおよびペットを除くすべてのカテゴリの質問を削除する必要があります。これを行う前に、元に戻す場合のバックアップとして、すべてのチャレンジ質問をエクスポートする必要があります。パートB: セキュリティ・チームは、各ユーザーが4つの質問を登録する必要があること、および各登録メニューに少なくとも4つのカテゴリからの質問が含まれている必要があることも決定しました。これはOAAM管理コンソールで構成します。

KBA登録ロジックを構成するには:

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ツリーで、「KBA」の下の「質問」をダブルクリックします。質問検索ページが表示されます。

3. 「検索結果」表のすべての質問を選択し、元に戻す場合のバックアップとしてすべてのチャレンジ質問をエクスポートします。
列ヘッダーの「#」をクリックして、「検索結果」表のすべての行を選択します。

4. 「アクション」メニューから「選択項目のエクスポート」を選択します。

5. 「エクスポート」ダイアログで、「ファイルの保存」を選択し、「OK」をクリックします。

6. ZIPファイルを保存するロケーションを参照し、「保存」をクリックします。

7. エクスポート後、質問検索ページの「検索結果」表で、「カテゴリ」を基準にして質問をソートします。

8. スポーツおよびペットのカテゴリに含まれていない質問を選択し、「削除」をクリックします。

9. ナビゲーション・ツリーで、「KBA」の下の「登録ロジック」をダブルクリックします。「登録ロジック」ページが表示されます。

10. 「1メニュー当たりのカテゴリ」で、4と入力します。

11. 「1メニュー当たりの質問数」で、4と入力します。

12. 「ユーザーが登録する質問数」で、4と入力します。

13. 「適用」をクリックします。

7.9.3 KBA電話チャレンジによってCSRがユーザーを認証するシナリオ

CSRは、電話を通してチャレンジ質問を尋ねることで、ユーザーを認証できます。KBA電話チャレンジは、任意の登録済ユーザーに対して使用できます。

1. CSRは、ユーザーのステータス(「ブロック」、「ロック済」など)、およびユーザーによるコール時の最後のログイン試行の日付/時間を確認します。

2. CSRは、「質問の依頼」アクションで質問を要求し、チャレンジ質問およびユーザーのレスポンスを入力するフィールドが表示されます。

3. 示されるチャレンジ質問は、ユーザーが現在ロックアウトされている場合、ユーザーがオンラインで失敗した質問とは異なります。

4. ユーザーの登録済質問の次の質問がCSRに示されます。

5. ユーザーは、質問ごとの電話を通した試行数が制限されています。詳細および例は、7.1.11項「失敗カウンタ」を参照してください。

6. CSRに通知するエラー・メッセージが表示されます。

7. この処理は、ユーザーが質問および試行を使い果たすまで、またはユーザーが質問に正しく答えるまで続きます。

7.9.4 KBA質問の編集

Jeffはセキュリティ管理者であり、英語およびスペイン語のKBA質問をインポートして編集し、新しい英語の質問を追加する必要があります。

これを行うには:

1. 複数言語のKBA質問をインポートします。
2.6項「OAAMスナップショットのインポート」を参照してください。

2. 質問を編集します。
7.4.4項「質問の編集」を参照してください。

3. 新規質問を追加します。
7.3.6項「新規質問の作成」を参照してください。

7.9.5 KBA回答ロジックの編集

セキュリティ管理者であるJeffは、ユーザーの不注意による入力ミスの影響が減少するように、KBA回答ロジックを設定する必要があります。

1. ファット・フィンガリング回答ロジックを高に設定します。
7.3.9.2項「回答ロジックのレベル」を参照してください。

2. 詳述書に対するテストを行います。

7.10 KBAのガイドラインおよび推奨される要件

これらの推奨事項では、KBA認証を実装する場合のガイドラインを提供します。ベスト・プラクティスのガイドラインの範囲内で、機関においてカスタマ登録およびチャレンジ手順を構成および実装するためのガイダンスを提供します。

7.10.1 ユーザーに対するチャレンジの頻度

KBAは認証時の第2認証の形式であり、ユーザーはチャレンジ質問のプロンプトが表示され、前に登録した回答を提供する必要があります。

KBAは第2認証方法であるため、第1認証の成功後にのみ示されます。KBAチャレンジは、リスクが中から高の状況で必要となります。重大なリスクがない場合にユーザーへのチャレンジ頻度を過剰に高めると、ユーザーの操作性が損なわれ、場合によってはセキュリティが低下します。ユーザーへのチャレンジの頻度は、回答を思い出すのに十分で、かつ煩雑に感じない程度にするのが適切です。また、表示する質問の数が過剰になると、肩越しに、またはその他の攻撃によって不正行為者に漏えいするわずかな可能性が高まります。一般的に、通常ユーザーに対しては月に1回程度のチャレンジを実行することをお薦めします。疑わしいユーザーはブロックし、システムにアクセスできないようにする必要があります。

7.10.2 登録の段階的ロールアウト

段階的ロールアウトKBAは、組織およびユーザーの移行を簡単にするために必要となります。ロールアウトまでの間を空けることで、重要な学習期間が確保され、カスタマ・サービスへの影響が軽減されます。

- ユーザーは登録されず、ユーザーの操作性もほとんど変わりません。

- ユーザーは登録することを選択できます。

- ユーザーは、顧客プロファイルに保存されるイメージ、フレーズおよびチャレンジ質問を登録する必要があります。

最も成功している段階的アプローチには、通常、次のフェーズがあります。最初の2つは、一般的に、ユーザー母集団のサイズおよび構成に応じて、それぞれ1か月から3か月続きます。

影響を少なくするためには、ユーザーのサブグループにユーザーを登録するとき、ロールアウトの時間をずらします。

7.10.2.1 フェーズ1: 登録なし

フェーズ1は、通常、Oracle Adaptive Access Managerリスク評価で構成されます。このフェーズでは、ユーザーの操作性はほとんど変わりません。ユーザーは、既存の方法を使用して引き続きアクセスします。ユーザーの操作性に対するわずかな変更は、ブロックです。非常に高リスクな状況では、このフェーズでのブロックをお薦めします。ブロック・アクションを適用すると、OAAM管理は、不正の防止を最初から開始できます。非常に深刻なセキュリティ違反のみがブロックされるため、通常ユーザーに問題が発生することはありません。フェーズ1は、ビジネスで必要な期間だけ続行できます。通常、組織はフェーズ1に1から3か月留まります。

7.10.2.2 フェーズ2: オプション登録

フェーズ2では、ユーザー母集団に対して仮想デバイスおよび第2認証を徐々に導入します。このフェーズでは、既存のユーザーの母集団または部分母集団において、オプション・ベースで登録が使用可能になります。このオプトインにより、ユーザーは自分の都合に合わせて登録できます。新規ユーザーには、作成後ただちに登録オプションを示す必要があります。この戦略は、一定期間にわたってサポートの負荷を分散し、ユーザーにとっての利便性を高めることに役立ちます。

ユーザーの操作性

ユーザーは、サインオン時の認証に成功した後、チャレンジ質問の登録を求められます。ユーザーは、登録をバイパスして、セッションに進むことを選択できます。

時間をずらしたロールアウト

ロールアウト・フェーズをサブグループに分割すると、労力がより軽減される場合があります。大規模なデプロイメントでは、時間をずらすことをお薦めします。通常、フェーズ2は、時間をずらして実装するのに最適な期間です。時間をずらす場合の最も一般的な手順を次に示します。

- ユーザー母集団をグループに分割します。地理的地域は、この分割に最もよく使用される基準です。

- 時間をずらした開始日を各グループに構成します。

7.10.3 チャレンジ質問の設計のガイドライン

チャレンジ質問の設計のガイドラインを次に示します。

- 質問では、個人を識別できる情報を回答で要求しないようにします。たとえば、社会保障番号やその他の識別情報を尋ねないようにします。

- 質問では、インターネットなどの公共の情報源から簡単に見つけることができる回答を求めないようにします。例: 卒業した大学はどこですか。

- 時間の経過に伴って回答が変化する質問を使用しないようにします。例: ガールフレンドの名前は何ですか。

- 質問には、簡単に推測できる回答が含まれないようにします。例: 好きな曜日は何ですか。

- 質問は、1つの宗教、文化またはサブカルチャに固有のものにならないようにします。例: 好きな十二使徒は誰ですか。自分に最も近いと思われるスマーフはどれですか。スター・ウォーズのハット・スペースで好きな種族は何ですか。

7.10.4 質問を管理する場合のベスト・プラクティス

検証の適用

多くの検証をローカルにまたはグローバルに適用できます。すべての回答登録には影響しない検証をグローバルに適用しないでください。たとえば、「4桁年(YYYY)」検証がグローバルに適用された場合は、KBA登録中に、数値による回答のみが受け入れられます。これは、回答が通常は英数字となる質問をユーザーが使用可能な場合に問題になります。

質問およびカテゴリの削除

質問およびカテゴリを作成、編集および削除できます。カテゴリおよび質問を削除する場合は注意する必要があります。質問およびカテゴリの数が不足すると、ソリューションのセキュリティに影響を及ぼしたり、ユーザビリティに問題が発生することがあります。たとえば、「1メニュー当たりのカテゴリ数」登録ロジックが、システム内のカテゴリ総数を超える数に設定されている場合、重複した質問がリストされる可能性があります。このことは、ユーザーにとって紛らわしいため、避ける必要があります。

1メニュー当たりの質問数の設定

「1メニュー当たりの質問数」設定は、4から7である必要があります。この範囲にすると、質問セット内の質問が適度に混合され、かつ、単一ユーザーに対して公開する質問の数が過剰になりません。

ユーザーが登録する質問数の設定

「ユーザーが登録する質問数」設定は、3から7である必要があります。これにより、適切なセキュリティを実現するのに十分な質問が提供され、かつ、ユーザーが記憶する負担が過剰になりません。KBAの基本的な業界標準は、3つの登録済質問です。

最大制限と最小制限は、次のプロパティを使用して構成できます。

bharosa.config.type.kba_config.enum.regQuestionsCount.validation.minValue=3
bharosa.config.type.kba_config.enum.regQuestionsCount.validation.maxValue=7

チャレンジ質問の構成

ユーザーが質問を使用できるようにする前に、ロケールを含むすべてのチャレンジ質問を完全に構成することをお薦めします。

チャレンジ質問の無効化

チャレンジ質問を無効化した場合、その質問をすでに所有しているユーザーは、無効化された後もその質問を所有し続けます。ただし、初めて登録したユーザー、または再登録したユーザーには、無効化された質問は示されません。

7.10.5 回答入力の推奨される要件

回答には、次のような要件を適用することをお薦めします。

- 回答は4文字以上にする必要があります。

- 登録するとき、2つを超える回答を同じにすることはできません。

- 回答に含めることができる繰返し文字は2つ以下とします。

- 特殊文字は使用できません。

- 回答は、大/小文字が区別されません。

- 余分な空白は削除されます。

- ファジー・ロジックを実装し、その程度は、クライアントが構成できるようにします。

7.10.6 その他のKBAの推奨される要件

チャレンジ質問のその他のヒントは次のとおりです。

- 一意の質問セットをユーザーごとに生成する必要があります。

- ユーザーは、3から5の質問を登録する必要があります(例: それぞれ5つの質問がある3つのドロップダウン・リストから選択する、合計15の質問)。

- 同じカテゴリからの質問は最大2つにする必要があります。

- 登録を強制する前に、最大オプトアウト(3つのオプトアウト試行)がある必要があります。

- チャレンジ時、ユーザーが正しく応答するか、またはカスタマ・サービス・エージェントによって質問がリセットされるまで、同じ質問が示されます。

8 OTP Anywhereの設定

OTP Anywhereは、二次リスク・ベースのチャレンジ・ソリューションであり、構成済の帯域外チャネルを経由してエンド・ユーザーに送信されるサーバー生成のワンタイム・パスワードで構成されます。サポートされているOTPデリバリ・チャネルには、ショート・メッセージ・サービス(SMS)、電子メールおよびインスタント・メッセージがあります。

この章では、第2のリスク・ベースのユーザー・チャレンジにOTPを使用するためのOracle Adaptive Access Managerの設定に焦点を当てます。標準の機能として、OAAMには、ユーザー・メッセージング・サービス(UMS)が配信方法として備えられています。その他のカスタム・メソッドは、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

この章には次の項が含まれます:

- 8.1項「概要と概念」

- 8.2項「クイック・スタート」

- 8.3項「OTP設定のロードマップ」

- 8.4項「OTPを構成するための前提条件」

- 8.5項「ユーザー・メッセージング・サービス(UMS)統合のためのOAAMプロパティの設定」

- 8.6項「OTPチャレンジの有効化」

- 8.7項「登録とプリファレンスの有効化」

- 8.8項「登録ページの設定」

- 8.9項「OTPチャレンジを使用するためのポリシーおよびルールの構成」

- 8.10項「OTP登録テキストとメッセージのカスタマイズ」

- 8.11項「その他の構成タスク」

8.1 概要と概念

この項では、ワンタイム・パスワード(OTP)の概念とOracle Adaptive Access Managerでの使用方法について説明します。

8.1.1 ワンタイム・パスワードとは

ワンタイム・パスワードは、ランダムに生成される使い捨ての認証資格証明です。OTPとは、標準ユーザー名およびパスワード資格証明に加えて使用される第2認証の形式であり、既存の認証および認可プロセスを強化することにより、ユーザーに追加セキュリティを提供します。ユーザーがOTPのチャレンジを受けると、ワンタイム・パスワードが生成され、構成済チャネルの1つによってユーザーに提供されます。ユーザーはワンタイム・パスワードを取得し、ワンタイム・パスワードが期限切れになる前に、要求に応じて入力する必要があります。

ワンタイム・パスワードは数値または英数字のいずれで、任意の長さで構成することができ、ランダム化アルゴリズムはプラガブルです。

帯域外OTPを使用する主な利点は次のとおりです。

- OTPは構成済チャネルのいずれかによって有効なユーザーに提供されます。SMS、インスタント・メッセージング(IM)および電子メールのチャンネルがあります。

- ユーザーは、独自のハードウェアまたはいかなる種類のクライアント・ソフトウェアも必要としません。

8.1.2 帯域外OTP提供について

Oracle Adaptive Access Manager 11gには、次の3つの帯域外チャネルによるOTPの配信をサポートするOTP認証機能があります。

- 電子メール

- ショート・メッセージ・サービス(SMS)

- インスタント・メッセージ

デフォルトでは、携帯電話登録のみがOTP登録ページに表示されます。

8.1.3 OTPの機能

OAAMでの登録処理中に、ユーザーは質問、イメージ、フレーズおよびOTP (電子メール、電話など) (デプロイメントでOTPがサポートされている場合)に登録するよう要求されます。正常に登録すると、OTPを第2認証として使用し、ユーザーにチャレンジできます。

デプロイメントでOTPがサポートされている場合、管理者はOTPを有効化できます。ログイン・プロセスは、標準ユーザー名およびパスワード資格証明を入力することにより開始されます。たとえば、セッション中にユーザーが大規模なトランザクションを実行している場合、ユーザーがOTPのチャレンジを受けると、パスワードが構成済デリバリ・チャネルによってユーザーに提供されます。ユーザーはワンタイム・パスワードを取得し、入力します。

正しい回答を指定すると、ユーザーは操作を続行するよう指示されます。ユーザーの回答が正しくない場合、正しく回答するか、または失敗回数が特定数に達してアカウントからロックアウトされるまで、さらに試行できます。デフォルトでは、ユーザーは正しい回答の指定を3回試行できます。

8.1.4 OTP失敗カウンタ

失敗カウンタは、チャレンジ中にユーザーが誤った回答を指定すると増分されます。

OTP失敗カウンタでは異なるチャネルの失敗が統合されます。たとえば、複数のチャネルを使用している場合、まとめられたOTPカウンタがしきい値を上回ると、OTPステータスが「ロック済」と表示されます。そのため、ユーザーがSMSで2回、電子メールで1回失敗して、しきい値が3の場合、そのユーザーはロックされます。

リセット・アクションにより次の項目のすべてのチャレンジ失敗カウンタがリセットされます。

- KBAのリセット: KBAが再登録されます。KBAおよびOTPの件数カウンタがゼロにリセットされます。

- CSR KBAのリセット: KBAが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

- OTPのリセット: OTPが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

ロック解除アクションによりKBAおよびOTPのユーザー・アカウントのロックが解除されます。

- KBAのロック解除: KBAが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

- OTPのロック解除: KBAが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

8.1.5 チャレンジ・タイプ

チャレンジ・タイプは、ユーザーにチャレンジする際、OTPを送信するために使用されるデリバリ・チャネルです。たとえば、ポリシーでは、チャレンジ・タイプ(電子メール、SMSまたはIM)によるOTPを使用してチャレンジできます。

表8-1 OTPチャレンジ・タイプ

チャレンジ・タイプ

説明

ChallengeEmail

電子メールによるOTPチャレンジ

ChallengeSMS

ショート・メッセージ・サービス(SMS)によるOTPチャレンジ

ChallengeIM

インスタント・メッセージ経由のOTPチャレンジ

インテグレータでは、チャレンジに使用される秘密を生成してその秘密をユーザーに送信し、最後にユーザーの入力を検証するなど、チャレンジ・タイプを作成または構成して、必要なチャレンジを処理できます。

チャレンジ・タイプ・プロパティは、チャレンジ・タイプをチャレンジ・プロセッサ(チャレンジの作業を実行するために必要なJavaコード)に関連付けるのに使用されます。

8.1.6 KBAとOTP

Oracle Adaptive Access Managerのデプロイメントでは、KBAとOTPの両方を使用することも、それぞれを別々に使用することも、チャレンジ・メカニズムを一切使用しないことも選択できます。デプロイメントでKBAとOTPの両方を使用する場合、セキュリティ・チームは、最初に高リスクの状況でOTPを使用し、次にKBAを使用することを選択できます。

たとえば、ユーザーの通常のログイン元である市区町村内にある新しいIPアドレスからログインしているユーザーは、それ自体が比較的低リスクであるため、このユーザーが有効であるという追加検証を得るには、KBAチャレンジは適切なオプションです。ただし、ユーザーが以前に使用したことがないアクセス元のデバイスとロケーションを使用して$1000以上の資金決済を試み、ユーザーがそれまで決済を行ったことがない場合、OTP Anywhereなどのより強力な手段が必要となります。

カスタマがKBAとOTPの両方を有効にしている場合、プロパティを介して優先度を構成できます。デフォルトでは、最初に、高リスクの状況でOTPチャレンジが実行され、次に、KBAチャレンジが実行されます。

KBAおよびOTP Anywhereの優先度の詳細は、表10-33「OAAMチャレンジのトリガー組合せ」を参照してください。

8.2 クイック・スタート

OTP Anywhereの使用を開始する最初の手順は、OAAM管理コンソールでプロパティ・エディタを使用してOTP Anywhereを有効にすることです。

このチェックリストは、OTP Anywhereを有効にするための基本手順を示しています。関連ドキュメントおよび前提条件へのリンクが含まれています。

表8-2 OTPを有効化するためのクイック・スタート

#

タスク

詳細

1

「OTP Anywhere登録」を有効化します。

デフォルトでは、OTPチャレンジは有効化されていません。次のプロパティをtrueに設定して、有効化する必要があります。

- bharosa.uio.default.register.userinfo.enabled
このプロパティをtrueにすると、登録フローのOTPプロファイルが有効化されます。

- bharosa.uio.default.userpreferences.userinfo.enabled
このプロパティをtrueにすると、ユーザー・プリファレンスのOTPプロファイルが有効化されます。

2

SMSチャレンジ・タイプを使用可能にします。

SMSチャレンジ・タイプを有効にするには、次のプロパティをtrueに設定します。

bharosa.uio.default.challenge.type.enum.ChallengeSMS.available

これにより、ポリシーで、SMS経由のOTPを使用してチャレンジを行うことができるようになります。

3

ユーザー・メッセージング・サービス(UMS)のURLと資格証明の構成

次のプロパティを設定します。

- bharosa.uio.default.ums.integration.webservice - UMS WebサービスURL。

- bharosa.uio.default.ums.integration.parlayx.endpoint - UMS ParlayX URL。

- bharosa.uio.default.ums.integration.useParlayX=false - WebサービスまたはParlayX APIの使用を構成します。デフォルトでは、値はfalseです(推奨)。

- bharosa.uio.default.ums.integration.userName - UMS統合ユーザー名。

- bharosa.uio.default.ums.integration.password - UMS統合パスワード。

8.3 OTP設定のロードマップ

表8-3に、OAAMで使用するためにOTPを構成する場合の高レベル・タスクを示します。

表8-3 OTP設定タスク

番号

タスク

情報

1

OAAMサーバーがメッセージを送信するように構成されているSOA上のショート・メッセージ・サービス(SMS)デリバリ・ゲートウェイ、およびSMSデリバリ・チャネルに対して、ユーザー・メッセージング・サービス(UMS)を有効化して構成します。

UMSには、特定のチャネルの通信量を処理する多数のドライバが備わっています。ワンタイム・パスワードの送信にSMSを使用するようUMSを構成します。

8.4項「OTPを構成するための前提条件」

2

OAAMでWebサービスAPIを経由してUMSサーバーと通信し、チャレンジ・タイプを使用してOTPコードをユーザーに送信できるよう、UMS URLおよび資格証明を設定します。

8.5項「ユーザー・メッセージング・サービス(UMS)統合のためのOAAMプロパティの設定」

3

第2認証が必要な場合にユーザーへのチャレンジに使用できるよう、SMSチャレンジ・タイプを有効化します。

8.6項「OTPチャレンジの有効化」

4

登録とユーザー・プリファレンスを有効化します。ユーザーはプロファイルを登録したりOTPプロファイルをリセットするために、このページを使用できます。

8.7項「登録とプリファレンスの有効化」

5

ユーザーの登録とプリファレンスのページの入力フィールドを設定します。入力プロパティには、ユーザーが入力できる電子メール・アドレスの最大長、電子メール・アドレスの検証フィールド(式)などがあります。

注意: ユーザーが使用する文字列はすべてリソース・バンドルに複製する必要があります。

8.8項「登録ページの設定」

6

OTPチャレンジに使用するポリシーを構成します。

8.9項「OTPチャレンジを使用するためのポリシーおよびルールの構成」

7

登録ページは、リソース・バンドル(client_resource_locale.propertiesファイル)を使用して完全にカスタマイズできます。また、リソース・バンドル・ファイルにカスタム値を指定し、OAAM拡張共有ライブラリを使用して変更をデプロイすることにより、チャレンジ・タイプ・メッセージの件名、メッセージの本文およびメッセージ自体を完全にカスタマイズできます。

8.10項「OTP登録テキストとメッセージのカスタマイズ」

8.4 OTPを構成するための前提条件

アプリケーションにOTPを構成する前に、次の前提条件が満たされていることを確認してください。

- SOAスイートのインストール

- デリバリ・チャネルの構成

図8-2に、OTP導入を示します。

図8-1 OTP導入

8.4.1 SOAスイートのインストール

Oracle SOA Suiteをインストールします。これにユーザー・メッセージング・サービス(UMS)が含まれています。

詳細は、『Oracle Fusion Middleware Oracle SOA Suite and Oracle Business Process Management Suiteインストレーション・ガイド』を参照してください。

8.4.2 デリバリ・チャネルの構成

ユーザー・メッセージング・サービス(UMS)自体を構成するコンポーネントに加え、メッセージング環境における他の主なエンティティは、各メッセージング・チャネルに必要な外部ゲートウェイです。これらのゲートウェイはユーザー・メッセージング・サービス(UMS)またはOracle WebLogic Serverの一部ではありません。UMSドライバは広く採用されているメッセージング・プロトコルをサポートしているため、UMSは電子メール・サーバーやXMPPサーバーなどの既存インフラストラクチャと統合できます。または、SMPPがサポートされているSMSサービスの外部プロバイダにUMSを接続できます。

図8-2 Oracle User Messaging Service

UMSは、OAAMサーバーで構成されているメッセージ送信の中継ポイントであるSOA上の適切なデリバリ・ゲートウェイに構成する必要があります。

UMSドライバ: UMSをメッセージ・ゲートウェイに接続し、コンテンツをUMSでサポートされている様々なプロトコルに適応させます。これらのドライバは、特定のインストールで使用できるメッセージング・チャネルに従って、相互に独立してデプロイまたはアンデプロイできます。

8.4.2.1 電子メール・ドライバ

電子メール・ドライバをSMTPサーバーに構成します。電子メール・ドライバの構成方法は、『Oracle Fusion Middleware Oracle SOA Suite管理者ガイド』の電子メール・ドライバの構成に関する項を参照してください。

8.4.2.2 SMPPドライバ

Short Message Peer-to-Peer (SMPP)は、最も一般的なGSM SMSプロトコルの1つです。ユーザー・メッセージング・サービスには、事前作成のSMPPプロトコルの実装がドライバとして含まれています。このドライバは、ショート・メッセージを送受信できます。

注意:

SMSの場合は、標準としてデプロイできる電子メール・ドライバと異なり、最初にSMPPドライバをデプロイしてから構成を変更する必要があります。

『Oracle Fusion Middleware Oracle SOA Suite管理者ガイド』のSMPPドライバの構成に関する項の説明に従って、SMPPドライバを構成します。ドライバのゲートウェイ・ベンダーに接続するためのパラメータ値を指定する必要があります。

表8-4 ベンダーへの接続

パラメータ

説明

SmsAccountId

SMS-CのアカウントID。これはベンダー・アカウントIDであり、ベンダーから取得する必要があります。

SmsServerHost

SMS-Cサーバーの名前(またはIPアドレス)。TransmitterSystemId

TransmitterSystemPassword

送信側システムのパスワード。パスワードのタイプ(「間接パスワード、新規のユーザーの作成」、「間接パスワード、既存のユーザーの使用」、「クリアテキスト・パスワードの使用」から選択)とパスワードが含まれています。これは、ベンダー・アカウントIDに対応するパスワードです。

TransmitterSystemType

送信側システムのタイプ。デフォルトはLogicaです。

ReceiverSystemId

メッセージの受信に使用するアカウントID。ReceiverSystemPassword

ReceiverSystemType

受信側システムのタイプ。デフォルトはLogicaです。

ServerTransmitterPort

送信側サーバーのTCPポート番号。

ServerReceiverPort

受信側サーバーのTCPポート番号。

DefaultEncoding

SMPPドライバのデフォルトのエンコーディング。デフォルトはIA5です。ドロップダウン・リストから「IA5」、「UCS2」または「GSM_DEFAULT」を選択します。

DefaultSenderAddress

デフォルトの送信者アドレス。

パラメータ値を入力したら、「適用」を押します。これらの設定を有効にするには、ドライバを再起動する必要があります。

8.5 ユーザー・メッセージング・サービス(UMS)統合のためのOAAMプロパティの設定

UMSサーバーをOAAM用に設定するには、次の手順を実行します。

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。

3. 「名前」フィールドにbharosa.uio.default.ums.integration.webserviceと入力し、「検索」をクリックします。

4. 「検索結果」セクションでプロパティをクリックして選択し、値をUMSサーバーのWebサービスのURLに変更して「保存」をクリックします。

5. 続けてプロパティの検索とその値の変更を行い、OAAMとともに使用するサーバーを設定します。UMSサーバーのプロパティを表8-5に示します。

6. UMSサーバー・プロパティを設定した後、アプリケーションを再起動します。

UMSサーバーURLおよび資格証明に設定するプロパティを次に示します。

注意: エンド・ポイントは、OAAMでコールをUMSに送信するために使用するWebサービスURLです。

表8-5 UMSサーバーURLおよび資格証明

プロパティ

デフォルト値

説明

bharosa.uio.default.ums.integration.webservice

UMSサーバーのWebサービスURL

http://UMS-Server-URL:UMS-Port/ucs/messaging/webservice

bharosa.uio.default.ums.integration.parlayx.endpoint

UMSサーバーのParlay XエンドポイントのURL

http://UMS-Server-URL:UMS-Port/sdpmessaging/parlayx/SendMessageService

bharosa.uio.default.ums.integration.useParlayX

false

Webサービスまたはparlayx APIの使用を構成します。値はデフォルトでfalseです(Webサービス推奨)。

bharosa.uio.default.ums.integration.userName

UMSサーバーのユーザー名

bharosa.uio.default.ums.integration.password

UMSサーバーのパスワード

bharosa.uio.default.ums.integtaion.policies

UMS認証ポリシー

bharosa.uio.default.ums.integration.fromAddress

demo@example.com

OTPメッセージ用のOAAM送信元アドレス

bharosa.uio.default.ums.integration.message.status.poll.attempts

3

待機ページが表示されるたびにステータス・ポーリングを試みる回数

bharosa.uio.default.ums.integration.message.status.poll.delay

1000

待機ページが表示されているときのステータス・ポーリング間の遅延

bharosa.uio.default.ums.integration.sleepInterval

10000

bharosa.uio.default.ums.integration.deliveryPage.delay

3000

8.6 OTPチャレンジの有効化

OAAM ServerでSMSチャレンジ・タイプを有効にするには、次の手順を実行します。

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。

3. SMSチャレンジ・タイプを有効にする場合は、「名前」フィールドにbharosa.uio.default.challenge.type.enum.ChallengeSMS.availableと入力し、「検索」をクリックします。
電子メール・チャレンジ・タイプを有効にする場合は、「名前」フィールドにbharosa.uio.default.challenge.type.enum.ChallengeSMS.availableと入力し、「検索」をクリックします。

4. 「検索結果」セクションでプロパティをクリックして選択し、値をtrueに変更して「保存」をクリックします。

5. 続けてプロパティの検索とその値の変更を行い、チャレンジ・タイプを定義します。SMSおよび電子メール・チャレンジ・タイプのプロパティを表8-6および表8-7に示します。

SMSチャレンジ・タイプのプロパティ

SMSチャレンジ・タイプを定義するためのプロパティを次に示します。

表8-6 SMSチャレンジ・タイプのプロパティ

プロパティ

デフォルト値

説明

bharosa.uio.default.challenge.type.enum.ChallengeSMS

2

SMSチャレンジの列挙値

bharosa.uio.default.challenge.type.enum.ChallengeSMS.name

SMSチャレンジ

SMSチャレンジ・タイプの名前

bharosa.uio.default.challenge.type.enum.ChallengeSMS.description

SMSチャレンジ

SMSチャレンジ・タイプの説明

bharosa.uio.default.challenge.type.enum.ChallengeSMS.processor

com.bharosa.uio.processor.challenge.ChallengeSMSProcessor

SMSチャレンジ・タイプのプロセッサ・クラス

このタイプのチャレンジを処理するためのJavaクラスを指定します。チャレンジ・メカニズムはJavaクラスを通じてカスタマイズ可能です。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

bharosa.uio.default.challenge.type.enum.ChallengeSMS.requiredInfo

mobile

SMSチャレンジ・タイプでユーザーにチャレンジするための必須フィールド

登録入力列挙からの入力のカンマ区切りリスト

bharosa.uio.default.challenge.type.enum.ChallengeSMS.available

false

SMSチャレンジ・タイプの可用性フラグ

チャレンジ・タイプが使用可能(サービスが準備され構成されている)かどうかを指定します。OTPチャレンジ・タイプを有効/無効にするには、可用性フラグを設定する必要があります。

bharosa.uio.default.challenge.type.enum.ChallengeSMS.otp

true

SMSチャレンジ・タイプのOTPフラグ

電子メール・チャレンジ・タイプ

電子メール・チャレンジ・タイプを定義するプロパティを次に示します。:

表8-7 電子メール・チャネル・タイプのプロパティ

プロパティ

デフォルト値

説明

bharosa.uio.default.challenge.type.enum.ChallengeEmail

1

電子メール・チャレンジの列挙値

bharosa.uio.default.challenge.type.enum.ChallengeEmail.name

電子メール・チャレンジ

電子メール・チャレンジ・タイプの名前

bharosa.uio.default.challenge.type.enum.ChallengeEmail.description

電子メール・チャレンジ

電子メール・チャレンジ・タイプの説明

bharosa.uio.default.challenge.type.enum.ChallengeEmail.processor

com.bharosa.uio.processor.challenge.ChallengeEmailProcessor

電子メール・チャレンジ・タイプのプロセッサ・クラス

このタイプのチャレンジを処理するためのJavaクラスを指定します。チャレンジ・メカニズムはJavaクラスを通じてカスタマイズ可能です。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

bharosa.uio.default.challenge.type.enum.ChallengeEmail.requiredInfo

電子メール

電子メール・チャレンジ・タイプでユーザーにチャレンジするための必須フィールド

登録入力列挙からの入力のカンマ区切りリスト

bharosa.uio.default.challenge.type.enum.ChallengeEmail.available

false

電子メール・チャレンジ・タイプの可用性フラグ

チャレンジ・タイプが使用可能(サービスが準備され構成されている)かどうかを指定します。OTPチャレンジ・タイプを有効/無効にするには、可用性フラグを設定する必要があります。

bharosa.uio.default.challenge.type.enum.ChallengeEmail.otp

true

電子メール・チャレンジ・タイプのOTPフラグ

8.7 登録とプリファレンスの有効化

登録およびプリファレンスのページを使用して、プロファイルの登録とプリファレンスの変更を可能にするには、次のプロパティを有効にする必要があります。

表8-8 OTPプロファイル登録とプリファレンス設定の有効化

プロパティ

説明

bharosa.uio.default.register.userinfo.enabled

OTPチャネルが有効化されていて登録が必要な場合、このプロパティをtrueに設定すると、プロファイル登録ページが有効になります。

bharosa.uio.default.userpreferences.userinfo.enabled

OTPチャネルが有効化されていてプリファレンス設定が許可されている場合、このプロパティをtrueに設定すると、ユーザーはプリファレンスを設定できます。

「ユーザー・プリファレンス」ページを使用して、ユーザーは、イメージ/フレーズ、チャレンジ質問の変更、デバイスの登録解除およびOTPプロファイルの更新を実行できます。

登録とプリファレンスを有効にするには:

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。

3. 「名前」フィールドにbharosa.uio.default.register.userinfo.enabledと入力し、「検索」をクリックします。

4. 「検索結果」セクションでプロパティをクリックして選択し、値をtrueに変更して「保存」をクリックします。

5. 「名前」フィールドにbharosa.uio.default.userpreferences.userinfo.enabledと入力し、「検索」をクリックします。

6. 「検索結果」セクションでプロパティをクリックして選択し、値をtrueに変更して「保存」をクリックします。

8.8 登録ページの設定

登録ページの設定には、次のタスクが含まれます。

- OTP登録およびチャレンジのオプトアウトの有効化

- 登録ページのチェック・ボックスおよびフィールドの構成

8.8.1 OTP登録およびチャレンジのオプトアウトの有効化

ユーザーがOTPプロファイルの登録をオプトアウトできるようにするには、OTP登録ページの「辞退」ボタンを有効にします。ユーザーは、OTPプロファイルの登録を辞退した場合、OTPの再登録を要求されることはなく、OTPチャレンジも受信しません。ただし、カスタマ担当が「すべてリセット」によってユーザーのOTPプロファイルをリセットすると、ユーザーは再度OTPを登録できるようになります。

ユーザーは、OTP登録およびチャレンジをオプトアウトした場合でも、「ユーザー・プリファレンス」のOTPページにアクセスしてOTP用の登録を追加できます。

プロファイル登録ページ上の「辞退」ボタンの有無を制御するには:

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。

3. 「名前」フィールドにbharosa.uio.default.otp.optOut.enabledと入力して、「検索」をクリックします。「検索結果」セクションでプロパティをクリックして選択し、値をtrueに変更して「保存」をクリックします。

4. 「検索結果」セクションでプロパティをクリックして選択し、値をtrueに変更して「保存」をクリックします。

5. 「名前」フィールドにbharosa.uio.default.register.userinfo.decline.enabledと入力し、「検索」をクリックします。

6. 「検索結果」セクションでプロパティをクリックして選択し、値をtrueに変更して「保存」をクリックします。

7. 「名前」フィールドにbharosa.uio.default.userpreferences.userinfo.enabledと入力し、「検索」をクリックします。

8. 「検索結果」セクションでプロパティをクリックして選択し、値をtrueに変更して「保存」をクリックします。

注意:

「辞退」ボタンを使用可能にするには、オプトアウトのプロパティをtrueに設定する必要があります。他の2つのプロパティがtrueであっても、オプトアウトがfalseの場合、このボタンは表示されません。

8.8.2 登録ページのチェック・ボックスおよびフィールドの構成

OTP登録ページの「ご使用条件」チェック・ボックスとフィールドを構成するには、次の項のプロパティをoaam_custom.propertiesファイルに追加します。

チェック・ボックスとフィールドを構成するには、次の手順を実行します。

1. oaam_extensionsという作業フォルダを作成します。(フォルダは、インストール・フォルダの外部であれば任意の場所に作成できます。)

2. oracle.oaam.extensions.warを見つけます。このファイルはIAM_Home/oaam/oaam_extensions/genericディレクトリにあります。

3. oracle.oaam.extensions.warをoaam_extensionsフォルダに展開します。

4. oracle.oaam.extensions.warファイルのWEB-INF/classes/bharosa_propertiesディレクトリにあるoaam_custom.propertiesファイルを開きます。

5. 8.8.2.1項「「ご使用条件」チェック・ボックスの構成」および8.8.2.2項「登録とプリファレンスのページのテキストおよびフィールドの構成」のプロパティを追加します。

6. 次のコマンドを使用して、oaam_extensionsの親フォルダでoracle.oaam.extensions.warを再パッケージします。
jar -cvfm oracle.oaam.extensions.war oaam_extensions\META-INF\MANIFEST.MF -C oaam_extensions/ .

7. OAAM管理およびOAAMサーバーの管理対象サーバーを停止します。

8. Oracle Adaptive Access ManagerがデプロイされているWebLogic Serverを起動し、WebLogic管理コンソールにログインします。

9. 「ドメイン」→「環境」に移動して「デプロイメント」を選択し、コンソールをロックします。

10. 「インストール」ボタンをクリックします。

11. oracle.oaam.extensions.warファイルのロケーションを参照し、WARファイルの横にあるラジオ・ボタンをクリックし、「次へ」をクリックして選択します。

12. 「このデプロイメントをライブラリとしてインストールする」が選択されていることを確認し、「次へ」をクリックします。

13. デプロイメント・ターゲット(OAAM管理とOAAMサーバー)を選択します。

14. 再度、「次へ」をクリックし、次のページでデフォルト値のまま「終了」をクリックします。

15. 「保存」をクリックしてから、「変更のアクティブ化」をクリックします。

16. OAAM管理およびOAAM管理対象サーバーを起動します。

8.8.2.1 「ご使用条件」チェック・ボックスの構成

表8-9に、登録ページのチェック・ボックスを構成するためのプロパティを示します。

表8-9 「ご使用条件」チェック・ボックス

プロパティ

デフォルト値

説明

bharosa.uio.default.userinfo.inputs.enum.terms

4

ご使用条件の列挙値

bharosa.uio.default.userinfo.inputs.enum.terms.name

ご使用条件

「ご使用条件」チェック・ボックスの名前

bharosa.uio.default.userinfo.inputs.enum.terms.description

ご使用条件

「ご使用条件」チェック・ボックスの説明

bharosa.uio.default.userinfo.inputs.enum.terms.inputname

terms

「ご使用条件」チェック・ボックスのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.terms.inputtype

checkbox

「ご使用条件」チェック・ボックスのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.terms.values

true

登録およびユーザー・プリファレンスにおける「ご使用条件」チェック・ボックスの必須値

bharosa.uio.default.userinfo.inputs.enum.terms.maxlength

40

「ご使用条件」チェック・ボックスのHTML入力の最大長

bharosa.uio.default.userinfo.inputs.enum.terms.required

true

登録およびユーザー・プリファレンスにおける「ご使用条件」チェック・ボックスの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.terms.order

5

「ご使用条件」チェック・ボックスのページにおける順序

bharosa.uio.default.userinfo.inputs.enum.terms.enabled

true

「ご使用条件」列挙項目の有効フラグ

bharosa.uio.default.userinfo.inputs.enum.terms.regex

.+

「ご使用条件」チェック・ボックスの検証用の正規表現

bharosa.uio.default.userinfo.inputs.enum.terms.errorCode

otp.invalid.terms

「ご使用条件」の検証が失敗した場合にエラー・メッセージを取得するためのエラー・コード

bharosa.uio.default.userinfo.inputs.enum.terms.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ記憶域からご使用条件を保存/取得するために使用するJavaクラス

8.8.2.2 登録とプリファレンスのページのテキスト・フィールドの構成

登録とプリファレンスの各ページ上のテキストおよびフィールドを設定します。入力プロパティには、ユーザーが入力できる電子メール・アドレスの最大長、電子メール・アドレスの検証フィールド(式)などがあります。

ユーザー情報登録またはユーザー・プリファレンスがtrueに設定されている場合、この設定がOTPの登録とプリファレンスのページに使用されます。表8-10に、bharosa.uio.default.userinfo.inputs.enumプロパティ値を示します。

表8-10 OTP登録入力プロパティ

プロパティ

説明

inputname

HTML形式の入力フィールドに使用される名前。

inputtype

テキスト入力またはパスワード入力用に設定されます。

maxlength

ユーザー入力の最大長。

required

フィールドが登録ページで必須である場合に設定されます。

order

ユーザー・インタフェースに表示される順序。

regex

このフィールドのユーザー入力を検証するために使用される正規表現。

errorCode

検証エラー・メッセージを参照するために使用されるエラー・コード(bharosa.uio.application-ID.error.errorCode)

managerClass

com.bharosa.uio.manager.user.UserDataManagerIntfを実装するJavaクラス(Oracle Adaptive Access Managerデータベースでデータが盗難された場合は、このプロパティをcom.bharosa.uio.manager.user.DefaultContactInfoManagerに設定してください)

モバイル入力登録フィールドのプロパティ

モバイル登録フィールドを構成するには次のプロパティを追加します。

表8-11 モバイル入力 - プロパティ・ファイル

プロパティ

デフォルト値

説明

bharosa.uio.default.userinfo.inputs.enum.mobile

0

携帯電話の列挙値

bharosa.uio.default.userinfo.inputs.enum.mobile.name

携帯電話

「携帯電話」フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.mobile.description

携帯電話

「携帯電話」フィールドの説明

bharosa.uio.default.userinfo.inputs.enum.mobile.inputname

cell number

「携帯電話」フィールドのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.mobile.inputtype

text

「携帯電話」フィールドのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.mobile.maxlength

15

「携帯電話」フィールドのHTML入力の最大長

bharosa.uio.default.userinfo.inputs.enum.mobile.required

true

登録およびユーザー・プリファレンスにおける「携帯電話」フィールドの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.mobile.order

1

「携帯電話」フィールドのページにおける順序

bharosa.uio.default.userinfo.inputs.enum.mobile.enabled

true

「携帯電話」列挙項目の有効フラグ

登録ページで携帯電話番号のエントリの値を表示するには、bharosa.uio.default.userinfo.inputs.enum.mobile.enabledをtrueに設定します。

登録ページで電子メール・アドレスのエントリの値のみを表示する場合には、このプロパティをfalseに設定する必要があります。そうしないと、登録に携帯電話の情報も表示されます。

bharosa.uio.default.userinfo.inputs.enum.mobile.regex

\\D?(\\d{3})\\D?\\D?(\\d{3})\\D?(\\d{4})

「携帯電話」フィールドの検証用の正規表現

bharosa.uio.default.userinfo.inputs.enum.mobile.errorCode

otp.invalid.mobile

「携帯電話」エントリの検証が失敗した場合にエラー・メッセージを取得するためのエラー・コード

bharosa.uio.default.userinfo.inputs.enum.mobile.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ記憶域から携帯電話を保存/取得するために使用するJavaクラス

その他の例

登録する2つ目のモバイル・デバイスのフィールドを構成するには次のプロパティを追加します。

表8-12 モバイル入力

プロパティ

デフォルト値

説明

bharosa.uio.default.userinfo.inputs.enum.mobile2

2

携帯電話の列挙値

bharosa.uio.default.userinfo.inputs.enum.mobile2.name

携帯電話2

「携帯電話」フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.mobile2.description

携帯電話2

「携帯電話」フィールドの説明

bharosa.uio.default.userinfo.inputs.enum.mobile2.inputname

cell number 2

「携帯電話」フィールドのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.mobile2.inputtype

text

「携帯電話」フィールドのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.mobile2.maxlength

15

「携帯電話」フィールドのHTML入力の最大長

bharosa.uio.default.userinfo.inputs.enum.mobile2.required

true

登録およびユーザー・プリファレンスにおける「携帯電話」フィールドの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.mobile2.order

2

「携帯電話」フィールドのページにおける順序

bharosa.uio.default.userinfo.inputs.enum.mobile2.enabled

true

「携帯電話」列挙項目の有効フラグ

bharosa.uio.default.userinfo.inputs.enum.mobile2.regex

\\D?(\\d{3})\\D?\\D?(\\d{3})\\D?(\\d{4})

「携帯電話」フィールドの検証用の正規表現

bharosa.uio.default.userinfo.inputs.enum.mobile2.errorCode

otp.invalid.mobile

「携帯電話」エントリの検証が失敗した場合にエラー・メッセージを取得するためのエラー・コード

bharosa.uio.default.userinfo.inputs.enum.mobile2.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ記憶域から携帯電話を保存/取得するために使用するJavaクラス

次のプロパティは、オーセンティケータのOTP登録ページで電子メール登録を定義するのに使用します。

表8-13 電子メール入力

プロパティ

デフォルト値

説明

bharosa.uio.default.userinfo.inputs.enum.email

1

電子メール・アドレスの列挙値

bharosa.uio.default.userinfo.inputs.enum.email.name

電子メール・アドレス

電子メール・アドレス・フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.email.description

電子メール・アドレス

電子メール・アドレス・フィールドの説明

bharosa.uio.default.userinfo.inputs.enum.email.inputname

email

電子メール・アドレス・フィールドのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.email.inputtype

text

電子メール・アドレス・フィールドのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.email.maxlength

40

電子メール・アドレス・フィールドのHTML入力最大長

bharosa.uio.default.userinfo.inputs.enum.email.required

true

登録およびユーザー・プリファレンスにおける電子メール・アドレス・フィールドの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.email.order

2

ページにおける電子メール・アドレス・フィールドの順序

bharosa.uio.default.userinfo.inputs.enum.email.enabled

false

電子メール・アドレス列挙項目の有効フラグ

電子メールの登録を有効にするには、bharosa.uio.default.userinfo.inputs.enum.email.enabledをtrueに設定します。

電子メール・フィールドを有効にするには、サーバーを再起動する必要があります。

bharosa.uio.default.userinfo.inputs.enum.email.regex

.+@[a-zA-Z_]+?\\.[a-zA-Z]{2,3}

電子メール・アドレス・フィールドの検証用正規表現

bharosa.uio.default.userinfo.inputs.enum.email.errorCode

otp.invalid.email

電子メール・アドレス・エントリの検証が失敗した場合にエラー・メッセージを取得するエラー・コード

bharosa.uio.default.userinfo.inputs.enum.email.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ・ストレージから電子メール・アドレスを保存/取得するのに使用するJavaクラス

登録する2番目の電子メールを追加するための列挙の例を次に示します。

表8-14 電子メール入力

プロパティ

デフォルト値

説明

bharosa.uio.default.userinfo.inputs.enum.email2

2

電子メール・アドレスの列挙値

bharosa.uio.default.userinfo.inputs.enum.email2.name

電子メール・アドレス2

電子メール・アドレス・フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.email2.description

電子メール・アドレス2

電子メール・アドレス・フィールドの説明

bharosa.uio.default.userinfo.inputs.enum.email2.inputname

email2

電子メール・アドレス・フィールドのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.email2.inputtype

text

電子メール・アドレス・フィールドのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.email2.maxlength

40

電子メール・アドレス・フィールドのHTML入力最大長

bharosa.uio.default.userinfo.inputs.enum.email2.required

true

登録およびユーザー・プリファレンスにおける電子メール・アドレス・フィールドの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.email2.order

2

ページにおける電子メール・アドレス・フィールドの順序

bharosa.uio.default.userinfo.inputs.enum.email2.enabled

false

電子メール・アドレス列挙項目の有効フラグ

bharosa.uio.default.userinfo.inputs.enum.email2.regex

.+@[a-zA-Z_]+?\\.[a-zA-Z]{2,3}

電子メール・アドレス・フィールドの検証用正規表現

bharosa.uio.default.userinfo.inputs.enum.email2.errorCode

otp.invalid.email

電子メール・アドレス・エントリの検証が失敗した場合にエラー・メッセージを取得するエラー・コード

bharosa.uio.default.userinfo.inputs.enum.email2.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ・ストレージから電子メール・アドレスを保存/取得するのに使用するJavaクラス

8.9 OTPチャレンジを使用するためのポリシーおよびルールの構成

チャレンジ・チェックポイントのポリシーにより、ユーザーに表示されるチャレンジのタイプが決まります。詳細は、10.5.6.1項「OAAMチャレンジ」を参照してください。

特定シナリオのユーザーに対してOTPチャレンジが実行されるルールを使用してポリシーを構成するには、次の手順を実行します。

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「ポリシー」をダブルクリックします。
ポリシー検索ページが表示されます。

3. ポリシー検索ページで、「新規ポリシー」ボタンをクリックします。
「新規ポリシー」ページが表示されます。「サマリー」タブで、認証後のセキュリティ・ポリシーを作成します。

1. 「ポリシー名」に、OTP Challenge for Many Failuresと入力します。

2. 「説明」に、ポリシーの説明を入力します。

3. 「チェックポイント」で「認証後」を選択します。

4. 要件に応じてポリシー・ステータス、スコアリング・エンジンおよび重みを変更します。
デフォルトのポリシー・ステータスは、「アクティブ」です。無効化されたポリシーはチェックポイントで施行されません。

5. 「適用」をクリックします。

6. 「OK」をクリックして、確認ダイアログを閉じます。

4. 「ルール」タブをクリックして選択します。

1. ルールに関する一般的なサマリー情報を追加します。

2. 条件タブで、「ユーザー: OTP失敗の確認」条件または他のOTP関連の条件を追加します。

5. 「結果」タブで、アクション・グループに「OAAMチャレンジ」を指定します。

6. ポリシーをすべてのユーザーにリンクします。

デフォルト・ポリシーでは、OTPが有効な場合、ユーザーがOTPブロックされるとKBAチャレンジが実行されます。

高リスクのユーザーについてOTPチャレンジが実行されます。ユーザーに適切な仮想認証デバイスが表示され、ユーザーは適切なチャネルを介してOTPを受信します。ユーザーがOTPチャレンジに失敗した場合は、KBAチャレンジが実行されます。

8.10 OTP登録テキストとメッセージのカスタマイズ

リソース・バンドル・ファイルにカスタム値を指定し、OAAM拡張共有ライブラリを使用して変更をデプロイすることにより、登録ページのテキスト、チャレンジ・タイプ・メッセージの件名、メッセージの本文およびメッセージ自体を完全にカスタマイズできます。

登録ページのコンテンツとメッセージをカスタマイズするには、次の各項で説明されているプロパティをclient_resource_locale.propertiesファイルに追加します。

1. oaam_extensionsという作業フォルダを作成します。(フォルダは、インストール・フォルダの外部であれば任意の場所に作成できます。)

2. oracle.oaam.extensions.warを見つけます。このファイルはIAM_Home/oaam/oaam_extensions/genericディレクトリにあります。

3. oracle.oaam.extensions.warをoaam_extensionsフォルダに展開します。

4. client_resource_locale.propertiesをIAM_Home\oaam\oaam_extensions\generic\WEB-INF\classesに作成します。

5. カスタマイズするテキストとメッセージをこのファイルに追加します。
たとえば、ご使用条件をカスタマイズするには、次の行をclient_resource_locale.propertiesに追加します。

bharosa.uio.default.userinfo.inputs.enum.terms.name=I agree to the COMPANY A terms & conditions. Click to view full <a href="javascript:infoWindow('terms');">Terms & Conditions</a> and <a href="javascript:infoWindow('privacy');">Privacy Policy</a>.

たとえば、ユーザーが携帯電話を登録するときに表示されるメッセージをカスタマイズするには、次の行をclient_resource_locale.propertiesに追加します。

bharosa.uio.default.register.userinfo.message=For your protection please enter your mobile telephone number so we may use it to verify your identity in the future. Please ensure that you have text messaging enabled on your phone.

6. 次のコマンドを使用して、oaam_extensionsの親フォルダでoracle.oaam.extensions.warを再パッケージします。
jar -cvfm oracle.oaam.extensions.war oaam_extensions\META-INF\MANIFEST.MF -C oaam_extensions/ .

7. OAAM管理およびOAAMサーバーの管理対象サーバーを停止します。

8. Oracle Adaptive Access ManagerがデプロイされているWebLogic Serverを起動し、WebLogic管理コンソールにログインします。

9. 「ドメイン」→「環境」に移動して「デプロイメント」を選択し、コンソールをロックします。

10. 「インストール」ボタンをクリックします。

11. oracle.oaam.extensions.warファイルのロケーションを参照し、WARファイルの横にあるラジオ・ボタンをクリックし、「次へ」をクリックして選択します。

12. 「このデプロイメントをライブラリとしてインストールする」が選択されていることを確認し、「次へ」をクリックします。

13. デプロイメント・ターゲット(OAAM管理とOAAMサーバー)を選択します。

14. 再度、「次へ」をクリックし、次のページでデフォルト値のまま「終了」をクリックします。

15. 「保存」をクリックしてから、「変更のアクティブ化」をクリックします。

16. OAAM管理およびOAAM管理対象サーバーを起動します。

8.10.1 ご使用条件のカスタマイズ

ご使用条件テキストをカスタマイズするには、次のプロパティをリソース・バンドル(client_resource_locale.properties)に追加します。

表8-15 ご使用条件のメッセージ

プロパティ

説明

bharosa.uio.default.userinfo.inputs.enum.terms.name

[会社名またはサービス名をここに入力]のご使用条件に同意します。<a href="javascript:infoWindow('terms');">Terms & Conditions</a>および<a href="javascript:infoWindow('privacy');">Privacy Policy</a>をクリックすると全体が表示されます。

bharosa.uio.default.userinfo.inputs.enum.terms.description

メッセージおよびデータ・レートが適用されます。<br/>このプログラムに関して質問がある場合は、"HELP"を[コード/短縮コードをここに入力]に送信してください。<br/>プランを取り消すには、"STOP"を[コード/短縮コードをここに入力]にいつでも送信してください。<br/><br/>このサービスの追加情報は、<a href="" target="_blank">[情報URLをここに入力]</a>をご覧ください。<br/><br/><b>サポートされているキャリア:</b><br/>AT&T、Sprint、Nextel、Boost、Verizon Wireless、U.S. Cellular&reg;、T-Mobile&reg;、Cellular One Dobson、Cincinnati Bell、Alltel、Virgin Mobile USA、Cellular South、Unicel、CentennialおよびNtelos。

bharosa.uio.default.userinfo.inputs.enum.terms.nameの値には、「ご使用条件」および「プライバシ・ポリシー」に関するOAAMサーバーのポップアップ画面メッセージを使用するプレースホルダ・リンクが含まれています。ポップアップ画面のコンテンツに関するプロパティおよびリソース・キーは次のとおりです。

表8-16 「ご使用条件」および「プライバシ・ポリシー」ポップアップ画面メッセージ

プロパティ

説明

bharosa.uio.default.messages.enum.terms.name

ご使用条件

bharosa.uio.default.messages.enum.terms.description

ご使用条件のプレースホルダ・テキスト

bharosa.uio.default.messages.enum.privacy.name

プライバシ・ポリシー

bharosa.uio.default.messages.enum.privacy.description

プライバシ・ポリシーのプレースホルダ・テキスト

8.10.2 モバイル入力登録フィールドのカスタマイズ

モバイル入力フィールドをカスタマイズするには、次のプロパティをリソース・バンドル(client_resource_locale.properties)に追加します。

表8-17 モバイル入力 - リソース・バンドル

プロパティ

デフォルト値

説明

bharosa.uio.default.userinfo.inputs.enum.mobile.name

携帯電話

「携帯電話」フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.mobile.description

携帯電話

「携帯電話」フィールドの説明

8.10.3 登録ページのメッセージのカスタマイズ

登録ページのメッセージをカスタマイズするには、次の登録プロパティをclient_resource_locale.propertiesに追加します。

表8-18 登録リソース・バンドル

プロパティ

デフォルト値

bharosa.uio.default.register.userinfo.title

OTP Anywhere登録

bharosa.uio.default.register.userinfo.message

お客様の保護のため、今後、当社がこの番号を使用してお客様の身元を確認できるよう携帯電話番号を入力してください。電話のテキスト・メッセージが有効になっていることをご確認ください。

bharosa.uio.default.register.userinfo.registerdevice.message

現在、安全なデバイスとして使用しているデバイスの登録を確認します:

bharosa.uio.default.register.userinfo.continue.button

続行

bharosa.uio.default.register.userinfo.decline.message

辞退されたお客様には再び登録をお願いすることはありません。

bharosa.uio.default.register.userinfo.decline.button

辞退

8.10.4 チャレンジ・メッセージのカスタマイズ

チャレンジ・タイプ・フィールドをカスタマイズするには、次のプロパティをリソース・バンドル(client_resource_locale.properties)に追加します。

表8-19 チャレンジ・タイプ・リソース・バンドルのアイテム

プロパティ

デフォルト値

bharosa.uio.default.ChallengeSMS.message

お客様の保護のため、お客様の携帯電話にお送りしたコードを入力してください。コードが届いていない場合は、電話のテキスト・メッセージが有効になっていることを確認してから、下の再送信リンクをクリックしてください。

bharosa.uio.default.ChallengeSMS.registerdevice.message

現在、安全なデバイスとして使用しているデバイスの登録を確認します:

bharosa.uio.default.ChallengeSMS.continue.button

続行

8.10.5 OTPメッセージのカスタマイズ

OTPメッセージをカスタマイズするには、次のプロパティをリソース・バンドル(client_resource_locale.properties)に追加します。

注意:

ユーザーが使用する文字列をリソース・バンドルに複製する必要があります。リソース・バンドル値をカスタマイズするには、これらの値をclient_resource_locale.propertiesに追加して、このファイルをOAAM拡張共有ライブラリにデプロイします。

表8-20 チャレンジ・タイプ・リソース・バンドルのアイテム

プロパティ

デフォルト値

bharosa.uio.default.ChallengeSMS.incorrect.message

OTPが正しくありません。再試行してください。

bharosa.uio.default.ChallengeSMS.message.subject

Oracle OTPコード

bharosa.uio.default.ChallengeSMS.message.body

Oracle SMS OTPコードは次のとおりです: {0}

8.11 その他の構成タスク

この項では、OTPの有効期限、パスワード生成、失敗カウンタおよびチャレンジ・タイプ・デバイスのデフォルト値を変更する場合の手順をご参考までに紹介します。

8.11.1 ワンタイム・パスワードの有効期限の構成

注意:

このプロパティはOTP API用に機能しますが、現時点ではこのAPIはOAAMサーバーで使用できません。そのため、デフォルトでは、OAAMサーバーのOTPはそのセッションに対してまたは使用されるまで有効です。

OTP SMSパスワードの有効期限を設定するには、次のプロパティを追加します。

bharosa.uio.default.challenge.type.enum.ChallengeSMS.otpexpirytimeMs

OTP電子メール・パスワードの有効期限を設定するには、次のプロパティを追加します。

bharosa.uio.default.challenge.type.enum.ChallengeEmail.otpexpirytimeMs to oaam_custom.properties.

時間はミリ秒単位です。値がミリ秒単位で指定されていない場合は、変換する必要があります。たとえば、OTPの有効期限を5分に設定する場合は、このプロパティを300000ミリ秒(5分)に設定する必要があります。

8.11.2 ワンタイム・パスワード生成の構成

プロパティを編集することによりワンタイム・パスワードを構成できます。OTPの生成では次のプロパティが使用されます。

# OTP pin generation config
bharosa.uio.otp.generate.code.length = 5
bharosa.uio.otp.generate.code.characters = 1234567890

デフォルトのOTPコードは、数字の0から9で構成される5文字になります(例: 44569)。

bharosa.uio.otp.generate.code.lengthにはOTPの長さを指定します。

bharosa.uio.otp.generate.code.charactersには、OTPの生成時に使用する文字を指定します。

次の例では、数字の0から9と文字のaからdを使用して4文字のOTPコードが生成されます(例: 0c6a)。

bharosa.uio.otp.generate.code.length = 4
bharosa.uio.otp.generate.code.characters = 1234567890abcd

8.11.3 失敗カウンタの構成

ユーザーがOTPチャレンジに失敗すると、カウンタは更新され、ユーザーが失敗したことを示します。

失敗カウンタはデフォルトで「OAAMチャレンジ・ポリシー」に設定されていますが、次の手順に従ってカスタマイズできます。

1. 「OAAMチャレンジ・ポリシー」を開きます。

2. 該当するOTPルール失敗の最大数を開いて、適切なプロパティを編集します。詳細は、次の表を参照してください。

表8-21 OAAMのOTP最大失敗回数ルールの詳細

ルール

ルールの条件およびパラメータ

結果

SMS試行失敗の最大数

ユーザー: OTP失敗の確認

OTPチャレンジ・タイプ = ChallengeSMS

次以上の失敗数 = 3

次以上の場合 = TRUE

アクション = なし

アラート = なし

スコア = 0

電子メール試行失敗の最大数

ユーザー: OTP失敗の確認

OTPチャレンジ・タイプ = ChallengeEmail

次以上の失敗数 = 3

次以上の場合 = TRUE

アクション = なし

アラート = なし

スコア = 0

質問試行失敗の最大数

ユーザー: チャレンジの最大失敗数

次以上の失敗数 = 3

現在の質問件数のみですか。 = False

次以上の場合の戻り値 = True

アクション = なし

アラート = なし

スコア = 0

8.11.4 OTPのチャレンジ・タイプ・デバイスの構成

チャレンジで使用されるデフォルトのチャレンジ・タイプ・デバイスを変更する場合は、次の手順を実行します。

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。

3. 「名前」フィールドにbharosa.uio.default.use.authentipad.checkpointと入力して、「検索」をクリックします。「検索結果」セクションでプロパティをクリックして選択し、値をfalseに変更して「保存」をクリックします。

4. 「新規プロパティ」ボタンをクリックして、次の新しいプロパティを追加します。
bharosa.uio.default.ChallengeType.authenticator.device=Device

次に「保存」をクリックしてプロパティを保存します。

デバイスのTextPadを使用する場合のSMSおよび電子メールのチャレンジの構成例を示します。

bharosa.uio.default.ChallengeSMS.authenticator.device=DeviceTextPad
bharosa.uio.default.ChallengeEmail.authenticator.device=DeviceTextPad

表8-22に、様々な認証デバイス・タイプのプロパティを示します。前述の例では、値DeviceTextPadを指定したため、SMSおよび電子メールのオーセンティケータはデバイス・テキスト・パッドになります。値にDeviceKeyPadAlphaを指定した場合は、英数字のKeyPadが表示されます。

表8-22 認証デバイス・タイプ

プロパティ

説明

なし

HTMLページまたは認証パッドはありません。

DeviceKeyPadFull

KeyPadを使用してユーザーにチャレンジします。

DeviceKeyPadAlpha

英数字KeyPad(数字と文字のみで特殊文字は含みません)を使用して、ユーザーにチャレンジします。

DeviceTextPad

TextPadを使用してユーザーにチャレンジします。

DeviceQuestionPad

QuestionPadを使用してユーザーにチャレンジします。

DevicePinPad

PinPadを使用してユーザーにチャレンジします。

DeviceHTMLControl

認証パッドのかわりにHTMLページを使用して、ユーザーにチャレンジします。

構成後、アプリケーションに次回ログインするときにOTPデバイスが表示されます。

9 KBAチャレンジとOTPチャレンジ

OTP AnywhereとKBAは一緒に使用できます。OTP Anywhereは、KBAチャレンジを補完するために使用することも、KBAのかわりに使用することもできます。

この章では、次の内容を説明します。

- 9.1項「KBAおよびOTPの使用」

- 9.2項「KBAおよびOTPのリスク範囲」

- 9.3項「KBAおよびOTPのシナリオ」

9.1 KBAおよびOTPの使用

Oracle Adaptive Access Managerのデプロイメントでは、KBAとOTPの両方を使用することも、それぞれを別々に使用することも、チャレンジ・メカニズムを一切使用しないことも選択できます。デプロイメントでKBAとOTPの両方を使用する場合、セキュリティ・チームは最初に高リスクの状況でOTPを使用し、次にフォールバックとしてKBAを使用することを選択できます。

たとえば、あるユーザーが通常のログイン元である都市の新しいIPアドレスからログインすることは比較的低リスクであり、有効なユーザーであることの検証を追加するには、KBAチャレンジが適切なオプションとなります。ただし、ユーザーが以前に使用したことがないアクセス元のデバイスとロケーションを使用して$1000以上の資金決済を試み、ユーザーがそれまで決済を行ったことがない場合、OTP Anywhereなどのより強力な手段が必要となります。

カスタマがKBAとOTPの両方を有効にしている場合、プロパティを介して優先度を構成できます。デフォルトでは、最初に、高リスクの状況でOTPチャレンジが実行され、次に、KBAチャレンジが実行されます。

9.2 KBAおよびOTPのリスク範囲

KBAチャレンジは、500から700のリスク範囲のスコアに適しています。OTPチャレンジは、701から900の範囲のスコアに適しています。900以上のスコアの場合、トリガーされるアクションは「ブロック」である必要があります。ユーザーは、スコアが500未満の場合に続行を許可される必要があります。

9.3 KBAおよびOTPのシナリオ

この章では、KBAおよびOTPのシナリオについて説明します。

- 常にチャレンジ、グループごと

- 高リスク、常にチャレンジによるCSR OTPプロファイル・リセット、グループごと

- 未登録低リスク・ユーザー(リスク・スコア500以下)

- 登録済低リスク・ユーザー(リスク・スコア500以下)

- 未登録高リスク・ユーザー(リスク・スコア500以上)

- 登録済高リスク・ユーザー(リスク・スコア500以上)

- 高リスク・ロックアウトの登録

- 高リスク除外

- 複数バケット・パターンによるOTPチャレンジ

9.3.1 常にチャレンジ、グループごと

あるユーザーのグループを、ログインするたびに(他の要因に関係なく)高リスクとみなす必要がある場合は、そのユーザーのグループにOTP(高リスク)で常にチャレンジするようにポリシーを構成できます。

管理者

1. OAAM管理にログインします。

2. 「High Risk Users」グループを作成し、グループに高リスク・ユーザーを追加します。

3. 次の値を使用してアクション・グループ「High Risk User」を作成します。
アラート・タイプ: 不正

アラート・レベル: 高

アラート・メッセージ: High risk user login attempt

4. 次の値を使用してポリシーを作成します。
ポリシー名: OAAM OTP RR

ポリシー・ステータス: アクティブ

チェックポイント: 認証後

スコアリング・エンジン: 平均

重み: 100

説明: OAAM OTPサンプル・ポリシー

5. 次の一般的な値を使用してルールを追加します。
ルール名: In High Risk Group

ルール・ステータス: アクティブ

ルール・ノート: Checks if user is in high risk user group.

6. ルールがトリガーされた場合の結果を指定します。
スコア: 1000

重み: 100

アクション・グループ: OAAMチャレンジ

アラート・グループ: High Risk User

7. 次の値を使用して条件USER: User in Login Groupを追加します。
グループ内: True

ユーザー・グループ: High Risk Users

ユーザー

注意:

ユーザー名がHenryであるユーザーはすでに1回ログインしたことがあり、登録を完了しています。

HenryがOAAMサーバーに再度ログインします。このユーザーは常にSMSによるチャレンジを受けます。

9.3.2 高リスク、常にチャレンジによるCSR OTPプロファイル・リセット、グループごと

KBAに登録されているものの、カスタマ・サービスによってOTPプロファイルがリセットされたユーザーからの高リスク・ログインは、新しいOTPプロファイルへの登録を許可される前に、他の方法によるチャレンジを受けます。

注意:

ユーザーのHenryは、OTPがリセットされています。

1. ユーザーが、ユーザー名HenryでOAAMサーバーにログインします。
このユーザーは(OTPが登録されていないため)KBAによるチャレンジを受けます。

2. ユーザーはチャレンジ質問に回答します。

3. ユーザーはOTP登録を完了します。

4. その後、このユーザーがユーザー名Henryで再度ログインします。

5. ユーザーはOTPチャレンジを受けます。

9.3.3 未登録低リスク・ユーザー(リスク・スコア500以下)

低リスクまたはリスクなし状況の未登録ユーザーは、イメージ/フレーズ、チャレンジ質問およびOTPプロファイルを登録するように要求されます。

1. ユーザーがユーザー名StanleyでOAAMサーバーにログインします。Stanleyは低リスク・ユーザーです。
登録画面が表示されます。

2. ユーザーは登録を完了します。

9.3.4 登録済低リスク・ユーザー(リスク・スコア500以下)

低リスク状況でログインする登録済ユーザーは、KBAによるチャレンジを受けます。

1. Frankが午後1時にOAAMサーバーにログインします。

2. このユーザーは登録する必要がないため、「登録」ページで「スキップ」を押します。

3. PhilがFrankと同じデバイスで午後2時にOAAMサーバーにログインします。

4. このユーザーは登録する必要がないため、「登録」ページで「スキップ」を押します。

5. Stanleyが同じデバイスで午後3時にOAAMサーバーにログインします。

6. 4人のユーザーが8時間以内に同じデバイスからログインしているため、Stanleyはチャレンジを受けます。リスク・スコアは500 (ルール・スコアは1000、「重み」は100、「スコアリング・エンジン」は「平均」)であり、KBAチャレンジが実行されます。

9.3.5 未登録高リスク・ユーザー(リスク・スコア500以上)

未登録ユーザーによる高リスク・ログインは登録を許可されません。

1. 高リスク・ユーザーのHenryが無効なパスワードでOAAMサーバーに4回ログインします。

2. 高リスク・ユーザーのHenryが正しいパスワードでOAAMサーバーにログインします。

3. 無効なログイン試行が原因でリスク・スコアが600になったため、ユーザーはロックされ、登録されません。

9.3.6 登録済高リスク・ユーザー(リスク・スコア500以上)

登録済ユーザーが高リスク状況でログインし、OTPチャレンジが行われます。

1. Stanleyが正しいパスワードでOAAMサーバーにログインします。

2. 無効なログイン試行が原因でリスク・スコアが最大600であるため、このユーザーはOTP (SMS)チャレンジを受けます。

9.3.7 高リスク・ロックアウトの登録

チャレンジに失敗した回数が多くなりすぎたユーザーは、カスタマ・サービスに依頼して、失敗した試行をリセットできます。

このシナリオでは、あるユーザーが、チャレンジに正しく回答できなかったためにロックアウトされます。CSRはユーザーのロックを解除し、ログインできるようにする必要があります。ユーザーはログインし、再度チャレンジを受けます。

1. Stanleyが正しいパスワードでOAAMサーバーにログインします。

2. このユーザーはOTP (SMS)チャレンジを受け、間違ったチャレンジ値を3回入力しました。

3. KBAチャレンジに回答するように要求されます。

4. KBAの回答を3回間違えました。

5. ユーザーはブロックされます。

6. ユーザーは再度ログインを試みますが、ブロックされたままです。

7. OAAM管理にCSR権限でログインしたCSRが、Stanleyのためにケースを作成します。

8. このとき、このユーザーのためにOTPをロック解除します。

9. Stanleyが正しいパスワードでOAAMサーバーにログインします。

10. ユーザーはOTPによるチャレンジを受けます。

9.3.8 高リスク除外

ユーザーがOTPを使用できない場合は、ユーザーを除外グループに追加して、高リスク・チャレンジが行われないようにできます。

1. セキュリティ管理者がOAAM管理にログインします。

2. 管理者はStanleyを「High Risk Exclusion」ユーザー・グループに追加します。

3. 管理者はOAAMチャレンジ・ポリシー「高リスク・スコアの確認」ルールを、事前条件で「除外ユーザー・グループ」として「High Risk Exclusion」を使用するように変更します。

4. StanleyがOAAMサーバーにログインします。

5. このユーザーは、高リスク・スコアである場合にもOTPチャレンジではなくKBAチャレンジを受けます。

9.3.9 複数バケット・パターンによるOTPチャレンジ

「ユーザー: IP」は、ユーザーが使用するIPアドレスごとにバケットを作成する複数バケット・パターンです。これにより、すべてのアプリケーション・ユーザーの30%未満が分類されるIPアドレス・バケットにJenが分類される場合に、JenはOTPチャレンジを受けるなどの評価が可能になります。

1. セキュリティ管理者がOAAM管理にログインします。

2. 管理者は、演算子、「各」および属性「IP」を指定して、メンバー・タイプ「ユーザー」の複数バケット・パターンを作成します。

3. このとき、このユーザーが過去3か月に少なくとも2回ログインしたかどうか、ユーザー・エンティティをイメージ内のすべてのエンティティと比較する(30%)、およびこのユーザーがOTP登録しているかどうか、という条件を持つルールを含むポリシーを確認します。

4. JenがAccess Managerサーバーにログインします。

5. OTP登録を実行します。

6. 同じIPアドレスからさらに2回ログインします。

7. 4回目のログインで、異なるIPアドレスからログインします。

8. ルールがトリガーされます。

9. 異なるIPアドレスで、再度ログインします。

10. ルールが再度トリガーします。

第IV部

ポリシー構成の管理

この部では、Oracle Adaptive Access Manager 11gにおけるポリシー構成の管理について説明します。

次の章で構成されます。

- 第10章「OAAMポリシーの概念およびリファレンス」

- 第11章「ポリシー、ルールおよび条件の管理」

- 第12章「グループの管理」

- 第13章「ポリシー・セットの管理」

- 第14章「システム・スナップショットの管理」

10 OAAMポリシーの概念およびリファレンス

この章では、ポリシーとルールに関連する用語と概念について説明します。ここでは、認証のメイン・シナリオのフローと、OAAMで使用可能なポリシーおよびルール(自動学習ポリシーを含む)について説明します。

この章では、次の内容を説明します。

- 10.1項「OAAMで使用可能なポリシーについて」

- 10.2項「基本的な概念」

- 10.3項「ルール処理について」

- 10.4項「OAAM認証、パスワード管理およびカスタマ・ケアのフローについて」

- 10.5項「OAAMのセキュリティ・ポリシーおよび自動学習ポリシーについて」

- 10.6項「ユース・ケース」

10.1 OAAMで使用可能なポリシーについて

OAAMのセキュリティ・ポリシーおよび自動学習ポリシーはベース・スナップショットの一部または個別のポリシーZIPファイルとして使用できます。oaam_base_snapshot.zipは、インストールのOracle_IDM1/oaam/initディレクトリにあります。ポリシーのみをインポートし、スナップショットはインポートしない場合は、ポリシーZIPファイルをインポートします。スナップショットをインポートするには、envAdminロールが割り当てられている必要があります。ポリシーを個別のファイルとしてインポートする場合は、ruleAdminロールが割り当てられている必要があります。これらの管理ロールは、通常は排他的なロールですが、デプロイメント・ニーズによっては、同一ユーザーに両方のロールを割り当てることができます。

OAAMポリシーは、OAAMにおける基本的な登録および認証フローに対応します。KBAは、これらのポリシーのインポート時にOAAMサーバーを使用する場合にチャレンジ・メカニズムおよびイメージとして使用できます。基本的な登録および認証フローに必要なエンティティ、パターン、条件、ルールおよびアクションはすべてスナップショットに含まれます。

11.1.2では、17個のポリシーと104個のルールが付属されています。標準のポリシーはスナップショットからインポートされた時点で有効になり、Defaultというユーザー・グループにリンクされます。その他のグループを使用する場合は、必要に応じてこのリンクを変更する必要があります。

図10-1 ポリシー検索ページ

10.2 基本的な概念

この項では、OAAMセキュリティ・ポリシーに関連する用語と概念について説明します。

10.2.1 ルールとは

ルールは、OAAMで疑わしいトランザクションや不正の可能性があるトランザクションを特定するために使用します。セキュリティ管理者は、不正の検索対象とするデータ、データの評価方法および評価後に実施する適切なアクションをOAAMに指示するためにルールを構成します。

10.2.2 ルールの仕組み

不正ルールを使用して、各チェックポイントでのリスクのレベルを評価します。ルールは、条件と呼ばれる構成可能な評価文で構成されています。データがシステムに入力されると、その入力に基づいてOAAMで条件が評価されます。

すべての事前条件が満たされ、すべての条件がTrueと評価された場合に、ルールはTrueと評価されます。ルールがTrueと評価されると、ポリシーのルール構成に応じてスコアがトリガーされ、指定されたアラートが作成され、関連するアクションがトリガーされます。アクションには、ALLOW、CHALLENGE、BLOCKなどがあります。セキュリティ・チームは、異常に高リスクであることがわかったデバイスはブロックする必要があり、またそれらのデバイスからのログイン試行でさえも禁止する必要があると判断したとします。アラートを調査担当者に送信することにより、調査担当者はUser appears to have traveled faster than 500 MPH since last loginなどの速度ルールがトリガーされたことおよびその理由を簡単に確認できます。

他のルールは、他のルールの結果に基づいて実行できます。新たな不正データに基づいて、新しいルールを実装することも、ビジネス・ニーズに合うようにルールを編集することもできます。

10.2.3 ルール関連アクティビティにおけるセキュリティ管理者ロール

セキュリティ管理者はOAAMのビジネス・ポリシーやセキュリティ・ポリシーを考案および構成します。セキュリティ管理者は、以降のシナリオで示すように、ポリシー管理のあらゆる側面およびすべてのポリシーの依存コンポーネントを管理します。

セキュリティ管理者が新規にインストールを行い、ポリシーをインポートする必要がある

セキュリティ管理者は、ビジネス・ユース・ケースに応じてOAAMで使用可能なポリシーをインポートする必要があります。セキュリティ管理者は、インストールのOracle_IDM1/oaam/initディレクトリにあるポリシーZIPファイルを参照して、そのファイルをシステムにインポートします。

1. インストールのOracle_IDM1/oaam/initディレクトリにあるポリシーZIPファイルを参照します。

2. そのファイルをシステムにインポートします。

ポリシーの参照およびインポートの詳細は、11.11.2項「ポリシーのインポート」を参照してください。

セキュリティ管理者が既存のポリシーのルール・パラメータを調整する

1. セキュリティ管理者はポリシーを検索します。
ポリシーの検索の詳細は、11.8.2項「ポリシーの検索」を参照してください。

2. ポリシーでルールを選択し、ルール・パラメータを変更します。
ルール・パラメータの変更の詳細は、11.9.5項「ルール・パラメータの編集」を参照してください。

セキュリティ管理者がユーザー・グループをポリシーにリンクし、リンクされたグループ内の一連のユーザーに対してそのポリシーを実行できるようにする

1. セキュリティ管理者はポリシーを検索します。
ポリシーの検索の詳細は、11.8.2項「ポリシーの検索」を参照してください。

2. ユーザーIDグループをそのポリシーにリンクします。
グループのリンクの詳細は、11.4項「ポリシーのすべてのユーザーまたはユーザーIDグループへのリンク」を参照してください。

セキュリティ管理者が不正なシナリオをモデル化する(簡単な例)

1. セキュリティ管理者が紙面上で不正なシナリオの枠組みを作成し、シナリオのグループ、ルール、トランザクション、アクション・グループおよびアラートを特定します。
不正なシナリオの枠組み作成の詳細は、11.2項「検出およびポリシー開発について」を参照してください。

グループ、アクション、およびアラートの作成の詳細は、第12章「グループの管理」を参照してください。

エンティティおよびトランザクションの作成の詳細は、第18章「OAAMでのトランザクションのモデル化」を参照してください。

2. 次に、新しいポリシーを作成します。
ポリシーの作成の詳細は、11.3項「ポリシーの作成」を参照してください。

3. 新しいポリシーに追加する条件の選択およびルールの作成を行います。ルール作成時に、トランザクションをルールに追加できます。
ルールの作成の詳細は、11.5項「ルールの作成」を参照してください。

OAAMトランザクション実装のユース・ケースは、20.8項「OAAMトランザクションのユース・ケース」を参照してください。

4. ポリシーに適切なアクション・グループとアラートを選択します。
アクション・グループおよびアラートの追加の詳細は、11.5.5「ルールの結果の指定」を参照してください。

セキュリティ管理者が不正なシナリオをモデル化する(複雑な例)

1. 紙面上での設計後、セキュリティ管理者は、カスタム・グループ、カスタム・ルール、カスタム・エンティティ、カスタム・トランザクション、カスタム・アクションなどの作成が必要であることに気付きます。

2. ポリシーに適切なアクション・グループとアラートを作成します。

3. 必要なグループを作成します。
グループ、アクション、およびアラートの作成の詳細は、第12章「グループの管理」を参照してください。

4. 必要なエンティティを作成します。
エンティティの作成の詳細は、第19章「エンティティの作成および管理」を参照してください。

5. 必要なトランザクションを作成します。
トランザクションの作成の詳細は、第20章「トランザクションの管理」を参照してください。

6. 必要な構成可能アクションを作成します。
構成可能なアクションの作成の詳細は、第16章「構成可能なアクションの管理」を参照してください。

7. 必要なパターンを作成します。
パターンの作成の詳細は、第15章「自動学習の管理」を参照してください。

8. 次に、新しいポリシーを作成します。
ポリシーの作成の詳細は、11.3項「ポリシーの作成」を参照してください。

9. 新しいポリシーに追加する条件の選択およびルールの作成を行います。ルール作成時に、トランザクションをルールに追加できます。
ルールの作成の詳細は、11.5項「ルールの作成」を参照してください。

OAAMトランザクション実装のユース・ケースは、20.8項「OAAMトランザクションのユース・ケース」を参照してください。

10. ポリシーに適切なアクション・グループとアラートを選択します。
アクション・グループおよびアラートの追加の詳細は、11.5.5「ルールの結果の指定」を参照してください。

トリガー組合せの構成の詳細は、11.6項「トリガー組合せの設定」を参照してください。

セキュリティ管理者がレポートまたは問合せを実行してポリシーを検証する

1. ポリシーおよびルールがトリガーされるカスタマ・アプリケーションで、各種不正シナリオおよびビジネス・シナリオを実行します。
ルール評価時のOAAMオフラインの実行については、第21章「OAAMオフライン」を参照してください。

ジョブの実行については、第22章「OAAMでのジョブのスケジュールと処理」を参照してください。

2. これらのシナリオに関連するセッションを検索して、適切なポリシーおよびルールがトリガーされたことを確認します。
セッション情報の表示の詳細は、6.8.2項「セッション詳細を使用したランタイム情報の表示」を参照してください。

10.2.4 条件とは

ルールは、条件で構成されます。条件は構成可能な評価文であり、OAAMのルール評価プロセスおよびフローの意思決定における基本構成要素となります。条件では、履歴データおよび実行時データのデータ・ポイントを使用してリスクまたはビジネス・ロジックを評価します。条件は、その条件で使用されるデータの種類に基づいて分類されます。たとえば、ユーザー、デバイス、ロケーションなどです。条件はシステムで事前にパッケージ化されており、ユーザーが作成することはできません。条件は、ルールへの追加時にユーザーが入力する場合があります。

10.2.5 ポリシーとは

ポリシーは、チェックポイントに関連付けられているルールの集合です。図10-2は、ポリシー関連のコンポーネントを示しています。この項では、ポリシーの構造とともにグループの例を説明します。

図10-2 ポリシー構造

チェックポイントは、ユーザー・フローを制御する決定および施行ポイントです。グループも同様のアイテムの集合です。たとえば、ユーザー・グループ、除外グループ、パラメータとして使用されるグループ、アクションとアラートのグループなどが表示されます。

図10-3 ポリシー詳細の「ルール」タブ

対象となるアクティビティの属性またはデータが条件にマップされ、実行する評価がルールに変換されます。これらのルールはポリシーに追加されます。チェックポイントは、ポリシーによってアクティビティが評価されるときに備えてセッションに設定されます。たとえば、認証前チェックポイントでポリシーが実行されるようにできます。認証前チェックポイントは、ユーザーがパスワードを入力する前の時点です。ルールが実行されると、データが収集されます。詳細は、10.4.1項「認証フロー」を参照してください。ポリシーの結果を使用して、クライアント・アプリケーションによる決定を施行できます。

すべての条件が一致する場合に、ルールはTrueと評価されます。ルールの結果は、スコア、およびオプションでアクションまたはアラート、あるいは回答とアラートです。ポリシー評価の結果は、ポリシーのルール・スコアにスコアリング・ポリシーを適用して決定されます。スコアに加えてオプションでトリガー組合せを構成できますが、トリガー組合せとはポリシーのルール結果の組合せのことであり、これによりアクションが呼び出されたり、アラートが生成されます。トリガー組合せの詳細は、10.2.13項「トリガー組合せとは」を参照してください。

10.2.6 アクションおよびアラートとは

通常の業務では、条件がマップされているデータ要素が検索されます。一連の条件が満たされている場合は、スコアが計算され、その状況を処理するために事前に定義したポリシーによっては、リアルタイムでアラートが生成されるか、またはアクションがトリガーされるか、あるいはその両方が行われます。たとえば、この結果、ユーザーがチャレンジを受けたり、ユーザーがブロックされるか、アラートがアクティブ化される場合があります。

10.2.7 ポリシー・セットとは

ポリシー・セットは、チェックポイントでのリスク評価に使用されるポリシーの論理的な集合です。アプリケーションごとに1つのポリシー・セットがあります。ポリシー・セットを通じて、チェックポイントでのリスクの評価に使用するスコアリング・エンジンおよび重み乗数を指定できます。

10.2.8 スコアリング・エンジンとは

スコアリング・エンジンは、ポリシー・レベルおよびチェックポイント・レベルで提供されます。ポリシー・スコアリング・エンジンは、各ポリシーのリスクを判別するためにルール・スコアに適用されます。ポリシー・セット・スコアリング・エンジンがチェックポイントの下のポリシーのスコアに適用されて、そのチェックポイントのスコアが決定されます。チェックポイント・レベルでのデフォルトのスコアリング・エンジンは、集計です。

表10-1 スコアリング・エンジン

スコアリング・エンジン

ポリシー

チェックポイント

使用する状況

最大

トリガーされたすべてのルールのうち最も高いスコア

すべてのポリシーのうち最も高いスコア

リスク・レベルが最も高い単一のルールに基づいてスコアリングする場合は、このエンジンを使用します。ルールおよびポリシーの重みはこのスコアリング・エンジンでは使用されません。

最小

トリガーされたすべてのルールのうち最も低いスコア

すべてのポリシーのうち最も低いスコア

リスク・レベルが最も低い単一のルールに基づいてスコアリングする場合は、このエンジンを使用します。ルールおよびポリシーの重みはこのスコアリング・エンジンでは使用されません。

集計

トリガーされたすべてのルールのスコアの合計で、最大スコアが1000、最小スコアが0

実行されたポリシーのスコアの合計で、最大スコアが1000、最小スコアが0

ルールの合計数に対するトリガーされたルールのパーセント評価と似ています。単一のルールに基づいてスコアリングするのではなく、トリガーされたルールの数に基づいて計算された平均リスク・レベルに基づいてスコアリングする場合は、このエンジンを使用します。ルールおよびポリシーの重みはこのスコアリング・エンジンでは使用されません。トリガーされたルールの合計スコアは、ルールの合計数で除算されます。

平均

トリガーされたすべてのルールのスコア合計を、トリガーされたルールの件数で割った値

チェックポイント内のすべてのポリシーのスコア合計を、すべてのポリシーの件数で割った値

単一のルールに基づいてスコアリングするのではなく、検出されたリスクの平均レベルに基づいてスコアリングする場合は、このエンジンを使用します。ルールおよびポリシーの重みはこのスコアリング・エンジンでは使用されません。トリガーされたルールの合計スコアを、トリガーされたルールの合計数で除算した値です。

重み付け平均

トリガーされたすべてのルールのスコア合計(スコア×ポリシーで指定されている重み修飾子)をルール件数で割った値

チェックポイント内のポリシーの合計(S×ポリシー・セットで指定されている重み乗算子)をすべてのポリシー件数で割った値

単一のルールに基づいてスコアリングするのではなく、検出されたリスクの平均レベルに基づいてスコアリングする場合は、このエンジンを使用します。この場合の重みは、各ルールまたはポリシーがリスクのある状況をどの程度表しているかによって決まります。

重み付け最大

トリガーされたすべてのルールのうち最も高いスコア(S×ポリシーで指定されている重み修飾子)

すべてのポリシーのうち最も高いスコア(S×ポリシー・セットで指定されている重み乗算子)

リスク・レベルが最も高い単一のルールに基づいてスコアリングする場合は、このエンジンを使用します。この場合の重みは、各ルールまたはポリシーがリスクのある状況をどの程度表しているかによって決まります。

重み付け最小

トリガーされたすべてのルールのうち最も低いスコア(S×ポリシーで指定されている重み修飾子)

すべてのポリシーのうち最も低いスコア(S×ポリシー・セットで指定されている重み乗算子)

リスク・レベルが最も低い単一のルールに基づいてスコアリングする場合は、このエンジンを使用します。この場合の重みは、各ルールまたはポリシーがリスクのある状況をどの程度表しているかによって決まります。

10.2.9 スコアとは

Oracle Adaptive Access Managerでは、リスク・スコアリングが意思決定に組み込まれます。OAAMのリスク・スコアリングは、有効なユーザー、デバイス、ロケーションなど、多数の不正検出入力の積です。これらの入力は、OAAM不正分析エンジン内部で重み付けされて分析されます。ポリシーによって、何十個もの属性とファクタに基づいてリスク・スコアが生成されます。ポリシー内のルールがどのように構成されているかに基づいて、よりリスクの高い状況に対しては昇格したリスク・スコアを生成し、よりリスクの低い状況に対しては低いスコアを生成できます。昇格の程度は、特定のリスクに割り当てられた重みによって調整できます。その後、ルール・エンジンでリスク・スコアが入力として使用されます。ルール・エンジンによって不正リスクが評価され、実行する必要のあるアクションが決定されます。

スコアは、ルールがTRUEと評価された場合にそのルールに割り当てられる結果としてユーザーが構成した数値で表されます。チェックポイント・スコアは、ポリシーのスコアと特定のチェックポイント組合せです。スコアが大きいほどリスクが高いことを示します。最大スコアは1000です。最小スコアは0で、状況が安全であることを示します。

10.2.10 重みとは

重みは、ポリシーで合計スコアを判定する際に影響を与えるためにポリシー・スコアに適用される乗数値です。ポリシーにはデフォルトの重みがあります。重みは、指定されたポリシーまたはチェックポイントで重み付けスコアリング・エンジンが使用される場合にのみ使用されます。重み付けスコアリング・エンジンでは、サブコンポーネントからの重みを使用します。たとえば、ポリシー・レベルで重み付けスコアリング・エンジンを選択した場合、Oracle Adaptive Access Managerは、各ルール・レベルに指定された重みをポリシー・スコアの計算時に使用します。同様に、ポリシー・セット・レベルで重み付けスコアリング・エンジンを選択した場合、Oracle Adaptive Access Managerでは、各ポリシーに指定された重みが使用されます。重みで乗算された各ポリシーのスコアは、100で乗算されたポリシーの合計数で除算されます。範囲は0から1000までです。

10.2.11 スコアの伝播とは

ルールとは、疑わしいパターンやプラクティスまたは特定のアクティビティに対するデータポイントと、そのパターンやプラクティスまたは特定のアクティビティが検出されたときの結果を定義したものです。ルールの結果として考えられるのは、アクション、アクション・リスト、アラート、アラート・リストおよびスコアです。ルール・スコアは常に計算されますが、その他の結果はオプションです。

ポリシーとは、特定の時間に特定のチェックポイント内で実行されるようにアセンブルおよびチューニングされたルールの集合のことです。ポリシー・スコアは、ポリシーのルールのスコア結果から評価されます。

1つのチェックポイント下に複数のポリシーがあります。チェックポイント内のすべてのポリシーのスコアが取り込まれ、チェックポイント・スコアを判定するためにポリシー・セット・スコアリング・エンジンがスコアに適用されます。たとえば、ポリシー・セットでスコアリング・エンジンが集計として定義されている場合、チェックポイント内の2つのポリシーの結果がそれぞれ100および200であると、このチェックポイントのスコアは300になります。Oracle Adaptive Access Managerでは、チェックポイントごとに個別の評価が実行され、スコアが提示されます。チェックポイント・レベルでのデフォルトのスコアリング・エンジンは、集計です。特定のチェックポイントのスコアは、0から1000までの範囲にする必要があります。

チェックポイント・スコアおよびアクションは、評価の最終スコアおよびアクションです。アラートは、ルール・レベルから最終レベルまで伝播されます。

10.2.12 リスク・スコアリングで行われる処理

リスク・スコアを決定するために、各レベルでは、そのスコアリング・エンジンを1つ下のレベルからの結果に適用します。たとえば、ポリシー・スコアを決定するために、ポリシーのスコアリング・エンジンがそのポリシー内のルールのスコアに適用されます。チェックポイント・スコアを決定するために、チェックポイントのスコアリング・エンジンがそのチェックポイント内のポリシーのスコアに適用されます。チェックポイント・スコアおよびアクションは、評価の最終スコアおよびアクションです。アラートは、ルール・レベルから最終レベルまで伝播されます。

例

ポリシー内の3つのルールのスコアが100、200、300の場合、ポリシー・スコアリング・エンジンが最大であると、ポリシーのスコアは300になります。3つのポリシーのスコアがチェックポイントでそれぞれ300、200および100で、ポリシー・セット・スコアリング・エンジンが集計の場合は、チェックポイント・スコアはそれら3つの合計、つまり600になります。

例

チェックポイント=ポリシーA +ポリシーB +ポリシーC

ポリシー=ルールA +ルールB +ルールC

ポリシーC =ポリシーD +ポリシーF (ネストされたポリシーの場合)

1. トリガーされた各ルールがスコアを返します。
各ルールには、独自のデフォルトのスコアおよび重みがあります。スコアと重みはルール・スコアの計算に使用されます。

ルール・レベルで構成されているアラートは、最終レベルまで伝播されます。

2. 各ポリシーがスコアを返します。
ポリシー・スコアを取得するために、ポリシー・スコアリング・エンジンが下にあるルールのスコアに適用されます。

ポリシーが重み付けされたスコアリング・エンジンを使用しない場合は、個別のルールのスコアがポリシー・スコアの決定に使用されます。

ポリシーが重み付けされたスコアリング・エンジンを使用する場合は、個別のルール・スコアにパーセント値が適用されてからポリシー・スコアが決定されます。重みはポリシーで指定されます。

図10-4に示すように、重み付けされたポリシー・スコアリング・エンジンが使用された場合、ポリシーAのスコアは次のようになります。

スコアリング・エンジン(ルールA *重み,ルールB *重み)

たとえば、ポリシー・スコアリング・エンジンが「重み付け最大スコア」であり、ポリシーの重みが50%の場合およびルールAが1000を返し、ルールBが500を返した場合、ポリシーAのポリシー・スコアは500になります。

ポリシーA = (1000* 50%、500*50%)の最大値

ポリシーA = (500、250)の最大値

ポリシーA = 500

3. チェックポイントがスコアを返します。
チェックポイント・スコアは、ポリシー・セット・スコアリング・エンジンをチェックポイントの下にあるポリシーのスコア結果に適用して決定されます。

チェックポイント・レベルのデフォルトのスコアリング・エンジンは集計です。

チェックポイント・スコアおよびアクションは、返される最終スコアおよびアクションです。

すべてのアラートはルール構成から伝播されます。

図10-4 スコアリング

10.2.13 トリガー組合せとは

トリガー組合せは、一連の特定のルールがトリガーされた場合に生成される追加の結果およびポリシー評価です。図10-5に、トリガー組合せの構造を示します。

図10-5 トリガー組合せの構造

トリガー組合せは、ルールの結果をオーバーライドするために使用します。ポリシーにはトリガー組合せが含まれる場合と含まれない場合があります。ポリシーにトリガー組合せが含まれる場合は、ポリシー内で可能なすべてのトリガー組合せが「トリガー組合せ」タブの表に表示されます。各トリガー組合せ(縦の列)は、トリガーするまたはしないルールの組合せを表します。各トリガー組合せではアラート、アクションと、スコアまたは実行する別のポリシーのいずれかを指定できます。各行はルールを表します。トリガー組合せは順に評価し、トリガー組合せが一致すると停止します。たとえば、組合せAのルール・リターンが一致した場合、組合せBは評価されません。

アラートは、個別のルールによってトリガーされるアクションおよびアラートに追加されます。個別のルールによって返されるアクションは、アクション・グループに置き換えられます。トリガー組合せが別のポリシーをトリガーした場合、このポリシーはポリシー内にネストされていると考えられます。ポリシーは、別のポリシー内にネストすることも、単独で評価することもできます。

10.2.14 トリガー組合せの機能

この項では、トリガー組合せがどのように機能するかの例を示します。図10-6に、トリガー組合せを示します。

図10-6 トリガー組合せの例

表の各列は一意のトリガー組合せを表しています。トリガー組合せは、列1から列2、3、4と移動しながら順に評価し、トリガー組合せが一致すると停止します。列はルールであり、値「False」、「True」または「任意」を指定できます。Falseは、ルールがFalseと評価されたことを意味します。この図では、「チャレンジSMS使用可能」、「チャレンジ電子メール使用可能」および「質問アクティブ」の各ルールが「False」であるため、このユーザーは登録されません(高リスクの確認ルールが「False」になっており、これは「リスクが低い場合」を意味します)。ルールの値「任意」は、そのルールが「False」でも「True」でもよいことを意味します。

注意: すべてのルール(行)は、「AND」で結合されます。このため、この例のトリガー組合せ1の意味は、「ユーザーが登録されておらず、リスクが低い場合は、チャレンジはありません」となります。

トリガー組合せの最後の3行では、トリガー組合せの結果を定義します。結果は、スコア、ネストされたポリシー、アクションまたはアラート・グループ(またはこれらの任意の組合せ)にすることができます。列1のトリガー組合せの例の意味は、「ユーザーが登録されておらず、リスクが低い場合は、アクション・グループ「OAAM許可」が割り当てられます(チャレンジはありません)」となります。

トリガー組合せを使用すると、管理者は様々なルール間の依存関係を作成し、すべての依存関係の正味結果に基づく結果を提供できるため、トリガー組合せは有用です。一方、「ルール」タブのルールは、互いに非依存で評価され、独立した固有の結果が提供されます。

注意:

「ルール」タブに指定されているルールは、トリガー組合せの前に評価されます。

10.2.15 ネストされたポリシーとは

ネストされたポリシーは、システムから最初に出力された結果が不明確である場合に、リスク・スコアをさらに定量化するために使用されるセカンダリ・ポリシーです。リスク・スコアの正確性を高めるために、ネストされたポリシーを割り当てることができます。

トリガー組合せのネストされたポリシーは、特定の一連のルール結果がプライマリ・ポリシーから送信された場合にのみ実行されます。このため、ネストされたポリシーによって、誤検出と不要な結果が減少します。ネストされたポリシーは、トリガー組合せの結果として使用されます。

ネストされたポリシーは評価されます。トリガー組合せそのものが1つのポリシーになっている場合、親ポリシーのスコアが保存され、新規のポリシーは、チェックポイントの評価に使用されるそれ自身のスコアを生成します。policy1に2つのルール(rule1およびrule2)が含まれ、トリガー組合せにおいてはrule1にpolicy2が含まれています。オーバーライドがトリガーされると、rule1を使用してpolicy1のスコアが計算され、続いてpolicy2が評価されてチェックポイントの評価に使用されます。ポリシー・セットのスコアを計算する際はpolicy1からのスコアが使用され、続いてpolicy2からのスコアが評価されてチェックポイントのスコアに使用されます。

たとえば、2つのポリシーからスコアs1およびs2が取得され、ポリシー・セットのスコアリング・エンジンを使用してチェックポイントのスコアが判定されます。したがって、S1が100でS2が300であり、ポリシー・セットで指定されているスコアリング・エンジンが最大の場合、チェックポイントのスコアの結果は300になります。

10.2.16 スコアリング・オーバーライドとは

スコアリング・オーバーライドは、ポリシー内部およびポリシー・セット内部で使用されます。

ポリシー内では、スコア・オーバーライドはトリガー組合せで指定されます。各ルールにスコアが割り当てられます。トリガー組合せでは、ルールのデフォルトとは異なるスコアを指定できます。その後、トリガー組合せが実行(トリガー)されると、デフォルトのスコアがトリガー組合せのスコアに置き換わります。トリガー組合せがトリガーされない場合は、デフォルトのスコアが使用されます。

ポリシー・セット内にスコア・オーバーライドを作成して、その中に、特定の範囲内のスコアになったときにトリガーするアクション・グループ、アラート・グループ、またはアクション・グループとアラート・グループを指定できます。

10.2.17 アクション・オーバーライドおよびアラート・オーバーライドとは

アクション・オーバーライドおよびアラート・オーバーライドを作成して、チェックポイントに対して最終アラートまたは最終アクションとしてトリガーするアクションまたはアラートを指定できます。

10.2.18 グループとは

グループは構成作業を簡略化し、グループの個別のメンバーを管理するのではなく、類似アイテムの集合を1つのグループとして管理するのに役立ちます。グループのタイプには、ユーザーID、ユーザー名、ロケーション、デバイス、アクション、アラートなどがあります。

10.2.18.1 グループの使用

グループは次のように使用します。

1. ポリシー: ポリシーはすべてのユーザーまたは一連のユーザーIDグループにリンクされます。ポリシー・ツリーは、ユーザーIDグループのポリシーへのリンクを示します。

2. ポリシー内のルール: OAAM管理は特定のユーザー、デバイスまたはロケーション・グループにルールを適用して、不正シナリオが発生したかどうかを評価し、結果を判別します。ルールにより、アクション・グループまたはアラート・グループ、あるいはその両方をトリガーできます。

3. 条件: 一部の条件は、グループをパラメータ・タイプとして使用します(IP in IP Group)。条件では、IPグループ名またはIPをパラメータとして使用します。

4. トリガー組合せ: トリガー組合せで、グループのアラートが指定されます。

5. 事前条件: ユーザー・グループをポリシーで除外できます。また、特定のユーザーIDを含むポリシーのグループ・リンクにかかわらず、そのユーザーIDに関して評価されないようにルールを構成できます。

6. 構成可能なアクション: 構成可能なアクションを動的に使用して、ユーザーIDグループのメンバーをユーザーIDグループに追加できます。

10.2.18.2 ユーザー・グループ・リンク

「グループ・リンク」では、「実行モード」を指定して、すべてのユーザーまたは選択したユーザー・グループに対してポリシーを実行できます。「グループ・リンク」では、リンクされているグループ内の一連のユーザーに対してポリシーを実行できます。「リンク・ユーザー」オプションは、ポリシーを1つまたは複数のユーザーIDグループにリンクします。

「すべてのユーザー」オプションは、ポリシーをすべてのユーザーにリンクします。「グループ・リンク」に「すべてのユーザー」が表示されている場合は、使用可能なすべてのリンクが無視されます。ユーザーがグループ・リンクとして「すべてのユーザー」を選択すると、リンク・オプションが無効になります。

10.2.18.3 アクション・グループとアラート・グループの使用

アクション・グループはルール内の結果として使用され、ルールがトリガーされると、グループ内のすべてのアクションがアクティブ化されます。

アラート・グループは、ルールがトリガーされた場合にグループ内のすべてのアラートが作成されるように、ルール内の結果として使用されます。

10.3 ルール処理について

この項では、基本的な認証フローでルールおよびポリシーが実行される仕組みについて説明します。

10.3.1 ルール・エンジン

ルール・エンジンは、ルールに関して指定した情報およびポリシーの別のルールに指定されている情報を使用して、ポリシーにルール結果を返します。ポリシー・セットのすべてのポリシーでは、複数のアクション、スコアおよびアラートが導き出されます。これらはすべてチェックポイントに伝播されます。スコア、重みなどによって、1つの最終スコア、最終アクションおよび少数のアラートが導き出されます。

10.3.2 条件の順序

ルールの条件は順番に評価されます。後続の条件は、現在の条件がtrueと評価された場合にのみ評価されます。つまり、条件がfalseと評価されると、評価は停止されます。ルールがトリガーされるには、ルールを構成するすべての条件がtrueと評価される必要があります。いずれかの条件がfalseと評価された場合は、ルールがfalseと評価され、このルールはトリガーされません。

10.3.3 条件の評価

条件は、使用可能なデータに基づいてTrueまたはFalseと評価されます。複数の条件が追加される場合、条件間の論理積は常にANDであるため、条件A (True)および条件B (True)の結果はTrue (ルールがトリガーされる)となり、条件AおよびBがFalseである場合には結果がFalse (ルールがトリガーされない)となります。条件のうち1つがTrueで他方がFalseの場合、結果は常にFalseとなります。

表10-2の例を参照してください。

表10-2 複数条件

条件1

条件2

ルールの結果

True

True

True

False

False

False: ルールはトリガーされません。

True

False

False

False

True

False

システムで使用可能な条件の詳細は、付録B「条件リファレンス」を参照してください。

10.3.4 チェックポイント

チェックポイントとは、特定のルールを実行し、ユーザー・アクションのリスクを評価するためにポリシーがコールされる決定および施行ポイントです。OAAMサーバーでは、標準のポリシーおよびチェックポイントを使用してユーザー・フローを制御します。APIベースの統合によって、新しいチェックポイントを作成し、ポリシーを構成して、フローを実行できます。チェックポイントには複数のポリシーを含めることができます。

図10-7 ポリシーおよびチェックポイント

チェックポイント用に構成されたすべてのポリシーが評価されます。結果はスコア、アクションまたはその両方です。これらのポリシーのスコアは、チェックポイントのスコアを決定するために使用されます。特定のチェックポイントのスコアは、0から1000である必要があります。

10.3.5 アプリケーション・フローの制御

アクションは、アプリケーション・フローの制御に使用されます。アクションは、ルールがトリガーされるときにアクティブ化されるイベントです。たとえば、ブロック・アクセス、チャレンジ質問、PINまたはパスワード要求などがあります。アクションは、特定のチェックポイントのスコアに基づいてアクティブ化することもできます。

OAAMサーバーやネイティブ統合クライアントなどのクライアント・アプリケーションは、結果の標準のアクションに影響を与えます。ユーザーは、自身のポリシーやアプリケーションが使用するカスタム・アクションを作成することもできます。

ネイティブ統合の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

10.3.6 メッセージング

アラートは、イベントが発生したことを示すメッセージです。イベントには、ルールがトリガーされた、トリガー組合せが満たされた、オーバーライドが使用されたなどがあります。

アラートの作成の詳細は、第12章「グループの管理」を参照してください。

10.3.7 ルール処理の例: OAAMデバイス最大速度ルールの設定の機能

「デバイス最大速度」ルールは、ハッカーがユーザーのログイン元であるデバイスの媒体アクセス制御アドレス(MACアドレス)を取得する、中間者攻撃を検出するために使用されます。ハッカーはユーザー・ログインを再生し、ユーザーのコンピュータのMACアドレスを使用します。これにより、ユーザーが既知の信頼できるデバイス(ユーザーのOAAMプロファイルに存在するデバイス)からログインしているという誤った認識をシステムに与えます。

「デバイス最大速度」ルールを使用すると、このタイプの攻撃を検出し、アラートをトリガーして、ハッカーがサインインに成功するのをブロックできます。これは、IP地理的位置データと組み合せることによって行います。

このルールでは、MACアドレスがユーザーのログイン元である既知のデバイスのリストにあるかどうかを確認します。次に、ユーザーのログイン元であるIPアドレスのロケーションを調べます。ハッカーが、ユーザーのデバイスのMACアドレスを使用してユーザーのセッションを再生し、(たとえば100マイル離れた)別のロケーションからログインを試行すると、ルールによって、ユーザーのデバイスがこの速度で移動する可能性を判断する式が使用されます。

ユーザーが自分のアプリケーションにログインした後、ジェット機で別の都市に移動し、同じアプリケーションに再度ログインすることは可能です。そのため、ポータブル・デバイスが少なくともジェット機の速度で移動する場合を考慮して、式の変数を調整できる必要があります。「デバイス最大速度」ルールには、管理者が構成可能な値が2つあります。これらの値フィールドは、「時間内の最終ログイン(秒)」および「次を超える1時間当たりのマイル」と呼ばれています。これらの2つのフィールド値を使用して、アラートがトリガーされる前に物理デバイスが移動できる速度の割当てをカスタマイズできます。

注意:

前提条件は次のとおりです。

- IP地理的位置データはOAAMサーバーにロードしておく必要があります。

- ユーザーは同じデバイスからログインする必要があります。

- ユーザーの認証ステータスは、前回のログイン(N秒前)に「成功」している必要があります。

ルール式の機能

1. ルールによって最初に、過去N秒における最終成功ログインが取得されます。複数存在する場合は、最高タイムスタンプの付いた最終ログインが選択されます。

2. ルールによってcityLastLoginとcurrentCurrentLoginが確認され、それらの間隔が計算されてdistanceとなります。

3. 次に、thisDistanceをログイン時間の差異で除算します。その値がvelocityCalculatedです。

4. velocityCalculatedが(OAAM管理の)ルールのvelocityConfiguredを超えると、ルールがトリガーされます。

解決策

次のテスト前提条件および手順を使用すると、「デバイス最大速度」ルール・アラートがトリガーされるようにでき、ルール・アラートがトリガーされないようにする方法を確認することもできます。テストを開始する前に、次のことを確認します。

ユーザーの認証ステータスは、前のログイン(N秒前)において「成功」である必要があります。

「デバイス最大速度」ルールをテストする時間は1分のみであることを前提とします。ポイントAとポイントBは900マイル離れており、ポイントAからポイントBまで60秒で移動するには、54000マイル/時間で移動する必要があることを前提とします。

1. 「次を超える1時間当たりのマイル」を54000に設定します。

2. 「時間内の最終ログイン(秒)」を60秒に設定します。

テストの設定は次のとおりです。

テスト用に、IP地理的位置データから互いに遠く離れたIPアドレスを2つ選択します。例:

172.16.0.0 City1, State1

172.16.1.1 City2, State2

この例を示すために、たとえば2つの都市が867マイル離れているとします。

2回ログインしても、60秒および54000マイル/時間に設定済の「デバイス最大速度」設定を超えない場合、ルールはトリガーされないことを確認します。同じユーザーおよびデバイスを使用して、75秒以上空けて2回ログインします。ログインするたびに、Mozilla Firefox Webブラウザの「Modify Headers」のようなツールを使用してログイン間のIPアドレスを変更し、この項で前述した2つのIPアドレスを使用するようにしてください。これにより、867マイル離れた異なる2つのロケーションからログインするデバイスをシミュレートします。「デバイス最大速度」アラートはトリガーされません。

ここで、同じテストを再実行して、30秒空けずに2回ログインし、同様にログイン間のIPアドレスを変更します。デバイス速度アラートがトリガーされます。

「次を超える1時間当たりのマイル」設定と「時間内の最終ログイン(秒)」設定との関係の理解: これらの設定のいずれかを変更した場合、もう一方の設定値を考慮する必要があります。つまり、「次を超える1時間当たりのマイル」設定のみを設定し、「時間内の最終ログイン(秒)」設定を適切に調整しないでおくことはできません。これらの2つの設定はデバイス速度を計算するための式を使用し、連携して機能します。これら2つの設定間の関係はORではありません。ANDです。最終ログインとマイル/時間の両方(AND)が連携して機能します。これらの2つの設定を変更する前に、次の2つのルールに注意してください。

1. 速度を設定するとき、「マイル/時間」のみを考慮することはできません。「時間内の最終ログイン(秒)」設定を考慮する必要もあります。

2. テスト時には、ポイントAとポイントBの間の距離、テストを実行するのにかかる時間、および2つのポイント間の距離とテストにかかる時間におけるその他の要因を考慮して計算する必要があります。テストに割り当てる時間として1分使用する場合、ポイントAとポイントBの間の距離を必ず確認しておいてください。また、テストを1分未満で実行する予定の場合は、60秒でポイントAからポイントBに移動するためにかかる時間についても確認しておく必要があります。

10.3.8 次のトリガーの機能

「次のトリガー」がTrueに設定されている場合は、条件が満たされると、ルール条件がトリガーされます。

「次のトリガー」がFalseに設定されている場合は、条件が満たされないと、ルール条件がトリガーされます。

次の条件はトリガーされます。

- ユーザーがシアトルからログインしていて、条件パラメータが次のとおり設定されている場合: 「次のトリガー」がTrueで、「市区町村」がSeattleに設定されている場合。

- ユーザーがサンノゼからログインしていて、条件パラメータが次のとおり設定されている場合: 「次のトリガー」がFalseで、「市区町村」がSeattleに設定されている場合。

次の条件はトリガーされません。

- ユーザーがサンノゼからログインしていて、条件パラメータが次のとおり設定されている場合: 「次のトリガー」がTrueで、「市区町村」がSeattleに設定されている場合。

- ユーザーがシアトルからログインしていて、条件パラメータが次のとおり設定されている場合: 「次のトリガー」がFalseで、「市区町村」がSeattleに設定されている場合。

10.3.9 条件評価の例: ユーザー: 最終成功からの速度

ユーザー: 最終成功からの速度条件を評価して、次のことを確認します。

- ユーザーのログインが以前に成功したかどうか

- 速度(1時間当たりのマイル数)が指定された値を超えるかどうか

- ユーザーが同じデバイスIDに属するかどうか

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次を超える1時間当たりのマイル

速度(1時間当たりのマイル数)が指定された値を超えています。

正の整数

デフォルト: 60

いいえ

最終ログイン・デバイスが同じ場合は無視

使用可能な値を参照してください。

True/False

フラグがtrueに設定される場合

- 同じユーザーおよび同じデバイスIDから、ログインが複数成功している場合。条件はfalseを返し、アクションおよびアラートはトリガーされません。

- 同じユーザーおよび異なるデバイスIDからログインが複数成功している場合(条件はtrueを返し、アクションおよびアラートが生成されます)。

フラグがfalseに設定される場合

falseに設定されている場合、パラメータは無視され、条件は1時間当たりのマイル数にのみ基づいて評価されます。

はい

除外IPリスト

このパラメータを使用して、無視するIPのリストを指定できます。ユーザーのIPがこのリストに含まれる場合、この条件は常にfalseと評価されます。ユーザーのIPがこのリストに含まれないか、リストがnullまたはemptyである場合、条件は、最後のログインからのユーザーまたはデバイスの速度を評価し、速度が構成値を超えている場合はtrueと評価されます。

シナリオ

条件によって、ユーザー・ログインが以前に成功したかどうか、速度(1時間当たりのマイル数)が指定された値を超えるかどうか、およびユーザーが同じデバイスIDに属しているかどうかが評価されます。同じデバイスから同じユーザーが複数回ログインを行うと、パラメータ「最終ログイン・デバイスが同じ場合は無視」が機能します。条件がfalseに評価されるには、同じデバイスIDを使用した同じユーザーからのログインが複数回成功する必要があります。ロケーション・データベースを使用し、このログインおよび前回のログインについてユーザーのロケーションを判別します。

ユース・ケース1

ユーザー: karen1、デバイスID: 2106、前のデバイスID: なし、ルールのフラグ: true

1. デバイスからIP1を使用してログインします。

2. 同じデバイスからIP2 (60マイル離れています)を使用してログインします。アラートは生成されません。

3. 同じデバイスからIP2 (60マイル離れています)を使用してログインします。アラートは生成されません。

表10-3 ユース・ケース1

ユーザー名

認証ステータス

デバイスID

ロケーション

IP

アラート

karen1

成功

2106

US、テキサス、オースティン

IP1

アラートなし。

karen1

成功

2106

US、アリゾナ、ギラ・ベンド

IP2

アラートなし。同じユーザーが同じデバイスを使用しており、フラグがtrueに設定されているため、アラートは生成されません。

karen1

成功

2106

US、アリゾナ、ギラ・ベンド

IP2

アラートなし。同じユーザーが同じデバイスを使用しており、フラグがtrueに設定されているため、アラートは生成されません。

ユース・ケース2

ユーザー: karen1、デバイスID: 2107、前のデバイスID: 2106、ルールのフラグ: true

1. 同じデバイスからIP1を使用してログインします。

2. 同じデバイスからIP2 (60マイル離れています)を使用してログインします。アラートはトリガーされません。

3. 同じデバイスからIP2 (60マイル離れています)を使用してログインします。アラートはトリガーされません。

表10-4 ユース・ケース2

ユーザー名

認証ステータス

デバイスID

ロケーション

IP

アラート

karen1

成功

2107

US、アリゾナ、ギラ・ベンド

IP1

新規デバイス

karen1

成功

2107

US、テキサス、オースティン

IP2

アラートなし。同じユーザーが同じデバイスを使用しており、フラグがtrueに設定されているため、アラートは生成されません。

karen1

成功

2107

US、テキサス、オースティン

IP2

アラートなし。同じユーザーが同じデバイスを使用しており、フラグがtrueに設定されているため、アラートは生成されません。

ユース・ケース3

ユーザー: karen1、デバイスID: 2109、前のデバイスID: 2108、ルールのフラグ: false

1. デバイス2108からIP1を使用してログインします。

2. デバイス2109からIP2 (60マイル離れています)を使用してログインします。アラートがトリガーされます。

3. 同じデバイス(デバイス2109)からIP2 (60マイル離れています)を使用してログインします。アラートはトリガーされません。

表10-5 ユース・ケース3

ユーザー名

認証ステータス

デバイスID

ロケーション

IP

アラート

karen1

成功

2108

US、テキサス、オースティン

IP1

新規デバイス

karen1

成功

2109

US、アリゾナ、ギラ・ベンド

IP2

デバイス高速度

ユーザー高速度

karen1

成功

2109

US、アリゾナ、ギラ・ベンド

IP2

アラートなし。

10.4 OAAM認証、パスワード管理およびカスタマ・ケアのフローについて

この項では、Oracle Adaptive Access Managerの認証、パスワード管理およびカスタマ・ケアの各フローについて説明します。

10.4.1 認証フロー

図10-8に、Oracle Adaptive Access Managerによって保護されているアプリケーションにユーザーがログインした場合のOAAMサーバーの認証フローを示します。

基本認証フローは次のとおりです。

1. OAAM ServerはユーザーにOAAMユーザー名ページを提示し、ユーザーはOAAMユーザー名ページで自分の名前を送信します。

2. Oracle Adaptive Access Managerはデバイス識別チェックポイントを実行して、ユーザー・デバイスのフィンガープリント処理や識別を行います。さらに、認証前チェックポイントを実行して、そのユーザーがOAAMパスワード・ページに進むことを許可してもよいかどうかを決定します。このユーザーをブロックする必要がありますか。たとえば、危険なIPアドレスからセッションがログインされた場合や、デバイスが信頼できない場合は、OAAMはそのユーザーをブロックし、ユーザーにロックアウト・ページを表示します。

3. ユーザーが次に進むことを許可された場合は、認証パッド・チェックポイント中に仮想認証デバイス・ルールが実行されます。これらのルールにより、仮想オーセンティケータが登録されているかどうか、またどの仮想オーセンティケータをOAAMパスワード・ページに表示するかが決定されます。登録されていない場合は、汎用TextPadが表示されます。ユーザーはパスワードの入力を求められます。

4. 収集されている資格証明が正しい場合は、認証前チェックポイント(ポリシー)が実行されます。また、ユーザーのリスク・スコアが決定され、ポリシーに指定されている任意のアクション(たとえば、KBAやOTP)またはアラートが実行されます。ユーザーは、ポリシー(リスク・スコアなど)に基づいて、許可、チャレンジまたはブロックされることがあります。

5. 認証後の結果がALLOWの場合は、登録チェックポイントが実行され、そのユーザーがKBAおよびイメージを登録しているかどうかが判断されます。ユーザーが登録されていない場合は、プロファイル登録ページが表示されます。すでに登録されている場合は、ユーザーはログインに成功し、ランディング・ページが表示されます。
ユーザーが登録されていない場合は、KBAやOTPなどを登録するためのプロファイル登録ページが表示されます。登録が必須であるかオプションであるかが指定されたセキュリティ要件に基づいて、登録が要求されます。

6. 認証後の結果がCHALLENGEの場合は、チャレンジ・ページが表示されます。チャレンジ・チェックポイントが実行され、実行されるチャレンジのタイプが決まります。ユーザーはチャレンジに回答できる(チャレンジ・フローに成功する)と、登録チェックポイントに進むことができます。ユーザーがチャレンジに回答できない場合は、ロックされるか、再びチャレンジを受けることになります。また、チャレンジ・チェックポイントによってブロックされることもあります。たとえば、ユーザーのKBA、OTPまたは適切なプロファイルが登録されていない場合に、必ずしもそのユーザーが良好なスコアでログインしているとは限らないので、ここまでの登録内容によっては、ロックされたり、チャレンジ質問が表示されたりします。ユーザーは、質問に正解すると、ランディング・ページに進みます。

7. 認証後の結果がBLOCKの場合は、ユーザーにロックアウト・ページが表示されます。ユーザーはブロックされ、アクセスしようとしたWebアプリケーションにアクセスできません。たとえば、リスク・スコアが十分に高く、登録を完了していない場合は、ユーザーがブロックされます。これは、登録がなかったので、ユーザーをチャレンジ・フローに進ませることができなかったためです。

図10-8 認証フロー

新規ユーザーの認証および登録フローの例

次の各画面では、前述のタスクを新規ユーザーが操作する場合のように説明します。各画面はただの例であり、OAAM Server Webアプリケーションのユーザー・インタフェースは、カスタマのアプリケーションのルック・アンド・フィールを実現するために容易にカスタマイズできます。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』でOAAM Webアプリケーション・ページのカスタマイズに関する項を参照してください。

1. ユーザー名の送信を求めるページがユーザーに表示されます。

2. ユーザーはパスワードの入力を求められます。プロファイルが登録されていないため、汎用TextPadが表示されます。イメージやフレーズは表示されませんが、タイムスタンプは表示されます。

3. ユーザーはパスワードを入力し、デバイス上で「入力」ボタンをクリックします。OAAMによってユーザーのパスワードが検証されます。

4. ユーザーが登録されていない場合は、登録プロセスが記載された登録情報ページが表示されます。
ユーザーは登録プロセスを続行することも、登録をスキップしてこのプロセスを次回に実行することもできます。

モバイルで使いやすいページを示すために、モバイルのサンプルが表示されます。OAAMでは、ユーザーがモバイル・デバイスでWebページを表示できるように、ベース・モバイルCSS(外部スタイルシート)ファイルが用意されています。OAAMでサポートされるデバイスで検索されたブラウザと、各デバイスのネイティブのルック・アンド・フィールが大きく異なるため、OAAMサーバーではモバイルCSSに対するカスタム・オーバーライドをサポートしています。汎用のモバイルCSSに加えて、デバイス固有のCSSを定義できるため、よりきめの細かいカスタマイズが可能です。モバイル・デバイスには、iPhone、iPad、Android、Windows Phone、およびBlackberryがあります。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』でモバイル・デバイス用のユーザー・インタフェースのカスタマイズに関する項を参照してください。

非モバイル・ページには、「セキュリティ・イメージおよびフレーズ」ページと「セキュリティ質問および回答」ページの説明が表示されます。

モバイル・ページには、「セキュリティ・イメージおよびフレーズ」ページや「セキュリティ質問および回答」ページの説明は表示されません。

5. 登録プロセスの次の手順では、イメージおよびフレーズを選択します。ユーザーはイメージおよびフレーズを取得するためのリンクをクリックできます。これにより、新しいイメージとフレーズが生成されます。

6. 次に、ユーザーは、表示されるメニュー(ドロップダウン・リスト)からチャレンジ質問を選択し、それらの質問への回答を入力する必要があります。非モバイル・ページの場合、ユーザーが認証デバイスで回答を入力します。また、選択したイメージとフレーズは、ユーザーのローカル・タイム・ゾーンの現在のタイムスタンプとともにデバイスに埋め込まれます。

モバイルの「セキュリティ質問」ページに、仮想認証デバイスは表示されません。質問リストの下のフィールドに回答を入力します。

7. 質問の選択および回答の入力を行うと、ユーザーはシステムにログインします。ユーザーは必要なタスクを実行し、システムからログアウトします。

8. ユーザーが次にログインするときには、ユーザー名ページが表示されるので、そのページでユーザー名を入力します。

9. セッションが認証前のルールを通過すると、パスワード・ページが表示されます。ユーザーは登録されているので、パスワード・ページにはユーザーが選択したイメージとフレーズが表示されます。これはユーザーのローカル・タイム・ゾーンの現在のタイムスタンプとともにデバイスに埋め込まれたものです。

10. ユーザーはパスワードを入力し、デバイス上で「入力」ボタンをクリックします。OAAMによってユーザーのパスワードが検証されます。

11. パスワードが正しく、このセッションには認証のための追加のチャレンジと応答が必要ない場合、ユーザーがシステムにログインします。

ユーザーが別のロケーションからログインする場合の例

次の各画面では、ユーザーが別のIPアドレスを使用してログインし、チャレンジされる場合のユーザー・フローの例を説明します。

1. ユーザー名の送信を求めるページがユーザーに表示されます。

2. ユーザー名が受け入れられ、ユーザーによる処理の続行が許可されると、パスワード・ページが表示されます。このページには、ユーザーが選択したイメージとフレーズが表示されます。これはユーザーのローカル・タイム・ゾーンの現在のタイムスタンプとともにデバイスに埋め込まれたものです。

3. ユーザーはパスワードを入力し、デバイス上で「入力」ボタンをクリックします。OAAMによってユーザーのパスワードが検証されます。ユーザーのロケーションが原因で、このセッションには認証のための追加のチャレンジと応答が必要であると判断されたため、登録時に選択した質問のいずれかが表示されます。チャレンジ質問認証パッド・デバイスに、現在のタイムスタンプとともに埋め込まれたフィッシング・イメージとフレーズが表示されます。

4. 質問に正しく回答した場合、ユーザーはシステムにログインします。

10.4.2 パスワードを忘れた場合のフロー

パスワードを忘れた場合のフローでは、ユーザーはすべてのチャレンジ質問に正しく回答した後で各自のパスワードをリセットできます。

パスワードを忘れた場合の機能をOAAMパスワード・ページからのリンクとして使用することができます。このフローが開始されるのは、ユーザーがOAAMパスワード・ページを表示して「パスワードをお忘れですか。」リンクをクリックしたときです。

注意:

シングル・ログイン・ページのデプロイメントで、Where is my passwordリンクが無効な場合は、「パスワードをお忘れですか」フローを使用できません。

フローは次のとおりです。

1. OAAM ServerはユーザーにOAAMユーザー名ページを提示し、ユーザーはOAAMユーザー名ページで自分の名前を送信します。

2. Oracle Adaptive Access Managerはデバイス識別チェックポイントを実行して、ユーザー・デバイスのフィンガープリント処理や識別を行います。さらに、認証前チェックポイントを実行して、そのユーザーがOAAMパスワード・ページに進むことを許可してもよいかどうかを決定します。このユーザーをブロックする必要がありますか。たとえば、不正なIPアドレスからセッションが着信した場合や、デバイスが信頼できない場合は、OAAMはそのユーザーをブロックし、ユーザーにロックアウト・ページを表示します。

3. 仮想認証デバイスのルールが実行され、仮想オーセンティケータが登録されているかどうか、またどの仮想オーセンティケータをOAAMパスワード・ページに表示するかが決定されます。登録されていない場合は、汎用TextPadが表示されます。ユーザーはパスワードの入力を求められます。

4. ユーザーは認証時にパスワードを思い出せないために、パスワード認証デバイスの下にある「パスワードをお忘れですか。」リンクをクリックします。

5. ユーザーがすでに登録されている場合は、忘れたパスワードのリセット・プロセスが開始され、使用するチャレンジのタイプを決定するためにチャレンジ・チェックポイントが実行されます。ユーザーには、回答する必要があるチャレンジが表示されます。

6. ユーザーがチャレンジに正しく回答できない場合は再度チャレンジが行われ、N回失敗するとユーザーのアカウントがロックされます。

7. ユーザーが正しい回答を入力した場合は、「パスワードのリセット」ページにリダイレクトされます。

8. ユーザーは新しいパスワードを入力し、確認します。ユーザーの新しいパスワードがパスワード・ルールを満たしていない場合、パスワードがリセットされます。

図10-9 パスワードを忘れた場合のフロー

10.4.3 パスワード・リセット(KBAチャレンジ)フロー

チャレンジのリセットにより、ユーザーは各自のチャレンジの登録をリセットできます。

図10-10 パスワードのリセット

10.4.4 OAAMによるモバイル・サービス・フロー

モバイル・デバイスはモバイル・オペレーティング・システム(Apple社のiOSモバイル・オペレーティング・システムなど)を実行するデバイスです。一方、非モバイル・デバイスは非モバイル・オペレーティング・システム(Mac OS X、Windows 7およびLinuxデスクトップなど)を実行するデバイスです。モバイル・デバイスと非モバイル・デバイスのセキュリティ上の課題は異なるため、Mobile and Socialではモバイルの認証と非モバイルの認証は別々に管理されます。新しいモバイル・デバイスははるかに頻繁にオンラインになるため、不正検出手段など、より詳細な精査を必要とします。

OAAMを使用して、実行時の認証を決定することもできます。たとえば、認可されていない国やロケーションからユーザーの認証が実行された場合に認証を拒否できます。次の機能もサポートされています。

- マルチパート・ログイン・フロー: OAAMでは、リスクのある使用パターンや通常外の使用パターンが検知された場合(ユーザーが通常の時間以外にデバイスを使用していたり、最後の認証から地理的に遠く離れている場合など)に、ナレッジベース認証(KBA)質問でユーザーが本人であるか確認したり、ワンタイム・パスワード(OTP)機能を使用した認証をユーザーに要求できます。

- デバイスに割り当てられているMACアドレスなどのデバイス属性をチェックして、デバイスがジェイルブレークされていないかを検証できます。デバイスの属性に基づいて、OAAMでアクセスを許可または拒否できます。

- また、Mobile and SocialとともにOAAMを使用する場合は、デバイス選択消去もオプションです。

- OAAMでは、登録されたデバイス情報に基づいて、特定のデバイスをホワイト・リストまたはブラック・リストに記載することができます。

10.5 OAAMのセキュリティ・ポリシーおよび自動学習ポリシーについて

OAAMには、疑いのあるアクティビティを検出するための、事前作成された標準のポリシーが標準で組み込まれています。

注意:

表では、太字のテキストを使用して、ポリシーの結果を決定するパラメータを示します。

表10-6に、OAAMで標準のチェックポイントとポリシーを示します。

表10-6 OAAMチェックポイントと責務

チェックポイント名

役割

ポリシー

認証前

リクエストをブロックする必要があるかどうかを決定します。

OAAM認証前。詳細は、10.5.1.1項「OAAM認証前」を参照してください。

デバイス識別

デバイスの識別方法を決定します。

- OAAMベース・デバイスIDポリシー。詳細は、10.5.2.1項「OAAMベース・デバイスIDポリシー」を参照してください。

- OAAMモバイル・デバイスIDポリシー。詳細は、10.5.2.2項「OAAMモバイル・デバイスIDポリシー」を参照してください。

AuthentiPad

使用する認証パッドを決定します。

OAAM AuthenticationPad。詳細は、10.5.3.1項「OAAM AuthentiPad」を参照してください。

認証後

ユーザーを許可するかブロックするかを決定します。

- OAAM認証後セキュリティ。詳細は、10.5.4.1項「OAAM認証後セキュリティ」を参照してください。

- OAAM予測分析。詳細は、10.5.4.2項「OAAM予測分析」を参照してください。

- 自動学習(パターン・ベース)ポリシー: OAAMユーザー・プロファイルの有無。詳細は、10.5.4.3項「自動学習(パターン・ベース)ポリシー: OAAMではユーザーがプロファイルを持ちます」を参照してください。

- 自動学習(パターン・ベース)ポリシー: OAAMユーザー対自分自身。詳細は、10.5.4.4項「自動学習(パターン・ベース)ポリシー: OAAMユーザー対自分自身」を参照してください。

- 自動学習(パターン・ベース)ポリシー: OAAMユーザー対すべてのユーザー。詳細は、10.5.4.5項「自動学習(パターン・ベース)ポリシー: OAAMユーザー対すべてのユーザー」を参照してください。

登録

どのユーザー情報が登録保留中であるかを判別します。

OAAM登録。詳細は、10.5.5.1項「OAAM登録」を参照してください。

チャレンジ

ユーザーへのチャレンジに使用するメカニズムを決定します。

OAAMチャレンジ。詳細は、10.5.6.1項「OAAMチャレンジ」を参照してください。

CSR KBAチャレンジ

カスタマがサービスを求めて電話した場合に適用されます。設定のリセットは、CSR KBAチャレンジを通じて実行されます。

OAAMカスタマ・ケア質問依頼。詳細は、10.5.7.1項「OAAMカスタマ・ケア質問依頼」を参照してください。

パスワードを忘れた場合

チャレンジに基づいて実行され、パスワードをリセットするアクティビティ。

プリファレンス

ユーザー情報(イメージ、フレーズ、OTP設定など)を設定します。

10.5.1 認証前ポリシー

この項では、認証前ポリシーについてまとめています。

10.5.1.1 OAAM認証前

このポリシーは、不正なログイン試行をパスワードが入力される前に阻止します。

10.5.1.1.1 ポリシーのサマリー

表10-7 OAAM認証前ポリシーのサマリー

サマリー

詳細

目的

このポリシーは、不正なログイン試行をパスワードが入力される前に阻止します。

スコアリング・エンジン

最大

重み

100

グループ・リンク

すべてのユーザー

10.5.1.1.2 OAAM認証前フロー図

図10-11 OAAM認証前フロー

10.5.1.1.3 OAAM認証前: ルールの詳細

下の表に、OAAM認証前ポリシーのルールの条件およびパラメータを示します。

表10-8 OAAM認証前ポリシー・ルールの詳細

ルール

ルールの条件およびパラメータ

結果

ブラックリストに記載された国

ロケーション: 国グループ内

リストにある = TRUE

国グループ内の国=OAAM制限付き国

アクション = OAAMブロック

アラート = OAAM制限付き国

スコア = 1000

ブラックリストに記載されたデバイス

デバイス: グループ内デバイス

グループ内 = TRUE

グループ内デバイス = OAAM制限付きデバイス

アクション = OAAMブロック

アラート = OAAM制限付きデバイス

スコア = 1000

使用されたWebZIP

デバイス: ブラウザ・ヘッダー・サブストリング

チェックするサブストリング = WebZIP

注意: WebZipは、HTML、CSS、Javascript、AJAXなどのWeb言語用のソース・コード圧縮ソフトです。詳細は、10.6.1項「ユース・ケース: WebZIPブラウザ」を参照してください。

アクション = OAAMブロック

アラート = OAAM制限付きソフトウェア

スコア = 1000

ブラックリストに記載されたIP

ロケーション: グループ内IP

リストにある = TRUE

IPリスト = OAAM制限付きIP

アクション = OAAMブロック

アラート = OAAM制限付きIP

スコア = 1000

ブラックリストに記載されたISP

ロケーション: グループ内ISP

リストにある = TRUE

ISPリスト = OAAM制限付きISP

アクション = OAAMブロック

アラート = OAAM制限付きISP

スコア = 1000

ブラックリストに記載されたユーザー

ユーザー: グループ内

グループ内 = TRUE

ユーザー・グループ = OAAM制限付きユーザー

アクション = OAAMブロック

アラート = OAAM制限付きユーザー

スコア = 1000

10.5.1.1.4 トリガー組合せ

このポリシーにはトリガー組合せはありません。

10.5.2 デバイス識別ポリシー

この項では、デバイス識別ポリシーについてまとめています。

10.5.2.1 OAAMベース・デバイスIDポリシー

このポリシーにより、クライアント・デバイス識別のために実行するデバイスIDポリシーが決定されます。

10.5.2.1.1 ポリシーのサマリー

表10-9 OAAMベース・デバイス・ポリシーのサマリー

サマリー

詳細

目的

このポリシーにより、クライアント・デバイス識別のために実行するデバイスIDポリシーが決定されます。

スコアリング・エンジン

最大

重み

100

グループ・リンク

すべてのユーザー

10.5.2.1.2 OAAMベース・デバイスIDフロー図

図10-12 OAAMベース・デバイスIDのフロー図

10.5.2.1.3 OAAMベース・デバイス・ポリシー: ルールの詳細

表10-10 OAAMベース・デバイス・ポリシー・ルールの詳細

ルール

ルールの条件およびパラメータ

結果

モバイル・デバイス

デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認

モバイル・ブラウザ・グループ = OAAMモバイル・ブラウザ・グループ

「モバイル・ブラウザ・グループ」には、モバイル・ブラウザの名前が含まれます。

エラーの場合のデフォルトの戻り値 = FALSE

デバイス: ブラウザ・ヘッダー・サブストリング

チェックするサブストリング = OIC

注意: サブストリングOICをチェックします。

アクション = なし

アラート = なし

スコア = 0

10.5.2.1.4 OAAMベース・デバイスIDポリシー: トリガー組合せ

表10-11 OAAMベース・デバイスIDポリシー: トリガー組合せ

説明

組合せの詳細

結果

モバイル・デバイス

モバイル・デバイス = TRUE

アクション = なし

アラート = なし

ポリシー = OAAMモバイル・デバイスIDポリシー

失敗(モバイル・デバイスがtrueでない)

モバイル・デバイス = 任意

アクション = なし

アラート = なし

ポリシー = OAAMデバイスIDポリシー

10.5.2.2 OAAMモバイル・デバイスIDポリシー

このポリシーにより、Oracle Access Management Mobile and Social (Mobile and Social)統合に固有のモバイル・デバイスが識別されます。

10.5.2.2.1 OAAMモバイル・デバイスIDポリシーのサマリー

表10-12 OAAMモバイル・デバイスIDポリシーのサマリー

サマリー

詳細

目的

このポリシーにより、Oracle Access Management Mobile and Social (Mobile and Social)統合に固有のモバイル・デバイスが識別されます。

スコアリング・エンジン

最大

重み

100

グループ・リンク

すべてのユーザー

10.5.2.2.2 OAAMモバイル・デバイスIDフロー図

図10-13 OAAMモバイル・デバイスIDのフロー図

10.5.2.2.3 OAAMモバイル・デバイスIDポリシー: ルールの詳細

表10-13 OAAMモバイル・デバイスIDポリシー・ルールの詳細

ルール

ルールの条件およびパラメータ

結果

モバイルCookie有効

デバイスID: 有効なCookie

Cookieタイプの選択 = モバイルCookie

注意: OAAMは、モバイル・クライアントまたはブラウザにトークンを送信します。モバイル・クライアントまたはブラウザは、次の要求でトークンを送り返します。

アクション = なし

アラート = なし

スコア = 0

モバイルの既知のヘッダー一致

デバイスID: ヘッダー・データ一致

使用するCookie = モバイルCookie

履歴ノードを確認 = true

データ型 = モバイルCookie

負のチェック = False

アクション = なし

アラート = なし

スコア = 200

モバイル・デバイス・データあり

デバイスID: ヘッダー・データが存在します

データ型 = モバイルCookie

アクション = なし

アラート = なし

スコア = 0

10.5.2.2.4 OAAMモバイル・デバイスIDポリシー: トリガー組合せ

表10-14 OAAMモバイル・デバイスIDポリシーのトリガー組合せ

説明

組合せの詳細

結果

有効なCookieおよびヘッダー一致がある着信デバイス

モバイルCookie有効 = TRUE

モバイルの既知のヘッダー一致 = TRUE

モバイル・デバイス・データあり = 任意

アクション = モバイルCookieによるOAAMデバイス

アラート = なし

スコア = 0

Cookieは有効だが、既知のヘッダー不一致

モバイルCookie有効 = TRUE

モバイルの既知のヘッダー一致 = FALSE

モバイル・デバイス・データあり = 任意

アクション = モバイルCookieによるOAAMデバイス

アラート = なし

スコア = 600

モバイルCookieが無効

モバイルCookie有効 = FALSE

モバイルの既知のヘッダー一致 = 任意

モバイル・デバイス・データあり = 任意

アクション = OAAM新規デバイス

アラート = なし

スコア = 200

モバイル・データが存在しません

モバイルCookie有効 = 任意

モバイルの既知のヘッダー一致 = 任意

モバイル・デバイス・データあり = FALSE

アクション = OAAM BGチェックを使用した新規デバイス

アラート = なし

スコア = 0

10.5.3 Authentipadポリシー

この項では、AuthentiPadポリシーについてまとめています。

10.5.3.1 OAAM AuthentiPad

このポリシーにより、使用するOAAM認証パッドが決定されます。

10.5.3.1.1 OAAM AuthentiPadポリシーのサマリー

表10-15 OAAM AuthentiPadポリシーのサマリー

サマリー

詳細

目的

このポリシーにより、使用するOAAM認証パッドが決定されます。

スコアリング・エンジン

平均

重み

100

グループ・リンク

すべてのユーザー

10.5.3.1.2 OAAM AuthentiPadのフロー図

図10-14 OAAM AuthentiPadフロー

10.5.3.1.3 OAAM AuthentiPad: ルールの詳細

下の表に、OAAM AuthentiPadポリシーのルールの条件およびパラメータを示します。

表10-16 OAAM AuthentiPadポリシー・ルールの詳細

ルール

ルールの条件およびパラメータ

結果

チャレンジSMS

セッション: カンマ区切り値内にある値の確認

パラメータ・キー = AvailableChallengeTypes

確認する値 = ChallengeSMS

リストにある場合の戻り値 = TRUE

アクション = OAAMテキスト・パッド

アラート = なし

スコア = 0

登録済のイメージおよびキャプション

ユーザー: 認証イメージ割当済

割当済 = TRUE

アクション = OAAMパーソナライズされたパッド

アラート = なし

スコア = 0

キー・パッド・ユーザー

ユーザー: 認証モード

認証モードは次のとおりです = フル・キーパッド

アクション = OAAM KeyPad

アラート = なし

スコア = 0

チャレンジ電子メール

セッション: カンマ区切り値内にある値の確認

パラメータ・キー = AvailableChallengeTypes

確認する値 = ChallengeEmail

リストにある場合の戻り値 = TRUE

アクション = OAAMテキスト・パッド

アラート = なし

スコア = 0

チャレンジ質問の登録

セッション: カンマ区切り値内にある値の確認

パラメータ・キー = AvailableChallengeTypes

確認する値 = RegisterChallengeQuestion

リストにある場合の戻り値 = TRUE

アクション = なし

アラート = なし

スコア = 0

モバイル・ブラウザが使用されているかどうかの確認

デバイス: デバイスが特定のタイプであるかどうかの確認

デバイス・タイプ = モバイル・デバイス

デバイスが特定のタイプの場合の戻り値 = TRUE

アクション = なし

アラート = OAAMモバイル・ユーザー

スコア = 0

チャレンジ質問

セッション: カンマ区切り値内にある値の確認

パラメータ・キー = AvailableChallengeTypes

確認する値 = ChallengeQuestion

リストにある場合の戻り値 = TRUE

アクション = OAAM質問パッド

アラート = なし

スコア = 0

10.5.3.1.4 OAAM AuthentiPad: トリガー組合せ

表10-17 OAAM AuthentiPadポリシーのトリガー組合せ

説明

組合せの詳細

結果

モバイル・ブラウザを使用したチャレンジ質問を登録しています。

チャレンジ質問の登録 = TRUE

モバイル・デバイスかどうかのチェック = TRUE

チャレンジSMS = FALSE

チャレンジ電子メール = FALSE

チャレンジ質問 = FALSE

登録済のイメージおよびキャプション = 任意

キー・パッド・ユーザー = 任意

アクション = OAAM HTMLパッド

アラート = なし

スコア = 0

非モバイル・ブラウザを使用したチャレンジ質問を登録しています。

チャレンジ質問の登録 = TRUE

モバイル・デバイスかどうかのチェック = FALSE

チャレンジSMS = 任意

チャレンジ電子メール = 任意

チャレンジ質問 = 任意

登録済のイメージおよびキャプション = 任意

キー・パッド・ユーザー = 任意

アクション = OAAM質問パッド・パーソナライズ済

アラート = なし

スコア = 0

登録されたイメージのないKeyPadにアップグレードする際のパスワード。

チャレンジ質問の登録 = FALSE

モバイル・デバイスかどうかのチェック = FALSE

チャレンジSMS = FALSE

チャレンジ電子メール = FALSE

チャレンジ質問 = FALSE

登録済のイメージおよびキャプション = FALSE

キー・パッド・ユーザー = TRUE

アクション = OAAMキー・パッド

アラート = なし

スコア = 0

登録されたイメージのあるKeyPadにアップグレードする際のパスワード。パーソナライズされたパッド・サブアクションを追加します。

チャレンジ質問の登録 = FALSE

モバイル・デバイスかどうかのチェック = FALSE

チャレンジSMS = FALSE

チャレンジ電子メール = FALSE

チャレンジ質問 = FALSE

登録済のイメージおよびキャプション = TRUE

キー・パッド・ユーザー = TRUE

アクション = OAAMキー・パッド・パーソナライズ済

アラート = なし

スコア = 0

登録されたイメージのないパスワード。

チャレンジ質問の登録 = 任意

モバイル・デバイスかどうかのチェック = 任意

チャレンジSMS = FALSE

チャレンジ電子メール = FALSE

チャレンジ質問 = FALSE

登録済のイメージおよびキャプション = FALSE

キー・パッド・ユーザー = 任意

アクション = OAAMテキスト・パッド

アラート = なし

スコア = 0

登録されたイメージのあるパスワード。パーソナライズされたパッド・サブアクションを追加します。

チャレンジ質問の登録 = 任意

モバイル・デバイスかどうかのチェック = 任意

チャレンジSMS = FALSE

チャレンジ電子メール = FALSE

チャレンジ質問 = FALSE

登録済のイメージおよびキャプション = TRUE

キー・パッド・ユーザー = 任意

アクション = OAAMテキスト・パッド・パーソナライズ済

アラート = なし

スコア = 0

10.5.4 認証後ポリシー

この項では、認証後ポリシーについてまとめています。

10.5.4.1 OAAM認証後セキュリティ

このポリシーは、正常に認証された後のリスクのレベルを評価します。許可、ブロック、チャレンジのいずれかのアクションが可能です。

10.5.4.1.1 OAAM認証後セキュリティ・ポリシーのサマリー

表10-18 OAAM認証後セキュリティ・ポリシーのサマリー

サマリー

詳細

目的

このポリシーは、正常に認証された後のリスクのレベルを評価します。許可、ブロック、チャレンジのいずれかのアクションが可能です。

スコアリング・エンジン

最大

重み

100

グループ・リンク

すべてのユーザー

10.5.4.1.2 OAAM認証後セキュリティのフロー図

図10-15 OAAM認証後セキュリティのフロー

10.5.4.1.3 OAAM認証後セキュリティ: ルールの詳細

下の表に、OAAM認証後セキュリティ・ポリシーのルールの条件およびパラメータを示します。

表10-19 OAAM認証後セキュリティ・ポリシー・ルールの詳細

ルール

ルールの条件およびパラメータの値

結果

アクティブなアノニマイザ

ロケーション: グループ内IP

リストにある = TRUE

グループ内IP = anonymizer_active

アクション = OAAMブロック

アラート = OAAMアクティブなアノニマイザIP

スコア = 1000

疑いがあるアノニマイザ

ロケーション: グループ内IP

リストにある = TRUE

グループ内IP = anonymizer_suspect

アクション = OAAMチャレンジ

アラート = OAAM疑いがあるアノニマイザIP

スコア = 700

不明なアノニマイザ

ロケーション: グループ内IP

リストにある = TRUE

グループ内IP = anonymizer_active

アクション = OAAMチャレンジ

アラート = OAAM不明なアノニマイザIP

スコア = 600

プライベートなアノニマイザ

ロケーション: グループ内IP

リストにある = TRUE

グループ内IP = anonymizer_private

アクション = OAAMチャレンジ

アラート = OAAMプライベートなアノニマイザIP

スコア = 700

リスクのある接続タイプ

ロケーション: グループ内のIP接続タイプ

リストにある = TRUE

グループ内接続タイプ = OAAM高リスクの接続タイプ

アクション = OAAMチャレンジ

アラート = OAAMリスクのある接続タイプ

スコア = 700

最近ブロックされたユーザー

ユーザー: アクション指定時間

チェック・アクション = ブロック

秒 = 28800

次より大きい = 2

アクション = OAAMチャレンジ

アラート = 最近ブロックされたユーザー

スコア = 700

デバイス当たりの最大ユーザー数

デバイス: ユーザー件数

経過秒数 = 2592000

許可される最大ユーザー数 = 5

アクション = OAAMチャレンジ

アラート = OAAMデバイス複数ユーザー

スコア = 500

休眠IP

ロケーション: グループ内のIP接続タイプ

リストにある = FALSE

接続タイプ・グループ = OAAMモバイル接続

ロケーション: IP過剰使用

ユーザー数 = 4

範囲(時間) = 24

および使用されていない日数 = 30

アクション = OAAMチャレンジ

アラート = OAAM休眠IP

スコア = 500

IPからのユーザーの急増

ロケーション: グループ内のIP接続タイプ

リストにある = FALSE

接続タイプ・グループ = OAAMモバイル接続

ロケーション: IPはAOL

AOL = False

ロケーション: IP最大ユーザー数

経過秒数 = 300

最大ユーザー数 = 3

アクション = OAAMチャレンジ

アラート = OAAM IP複数ユーザー

スコア = 600

リスクのある国

ロケーション: 国グループ内

リストにある = TRUE

国グループ内の国 = OAAM監視中の国

アクション = OAAMチャレンジ

アラート = OAAM監視される国

スコア = 500

休眠デバイス

デバイス: 過剰使用

ユーザー数 = 4

範囲(時間) = 24

および使用されていない日数 = 30

アクション = OAAMチャレンジ

アラート = OAAM休眠デバイス

スコア = 500

多数の失敗があるデバイス

デバイス: 期間内の指定ステータス以外

認証ステータスは次ではありません = 成功

期間範囲(秒) = 28800

4(回)より大きい

アクション = OAAMチャレンジ

アラート = OAAMデバイスからの多数の失敗

スコア = 600

ユーザー当たりの最大デバイス数

ユーザー: 使用されるデバイスの確認

最大デバイス数 = 2

期間範囲(秒) = 28800

アクション = OAAMチャレンジ

アラート = OAAMユーザーの最大デバイス数

スコア = 300

リスクのあるデバイス

デバイス: リストにある

グループ内 = TRUE

グループ内デバイス = OAAMリスクのあるデバイス

アクション = OAAMチャレンジ

アラート = OAAMリスクのあるデバイス

スコア = 700

デバイス最大速度

デバイス: 最終ログインからの速度

時間内の最終ログイン(秒) = 72000

次を超える1時間当たりのマイル = 600

アクション = OAAMチャレンジ

アラート = OAAMデバイス最大速度

スコア = 700

リスクのあるIP

ロケーション: グループ内IP

リストにある = TRUE

IPリスト = OAAMリスクのあるIP

アクション = OAAMチャレンジ

アラート = OAAMリスクのあるIP

スコア = 700

多すぎるモバイル・デバイス

デバイス: デバイスが特定のタイプであるかどうかの確認

デバイス・タイプ = モバイル・デバイス

戻り値 = True

デバイス: 登録済

登録済の場合の戻り値 = False

ユーザー: 特定のタイプの登録済デバイス数の確認

デバイス数 = 次より大きい

比較するデバイス数 = 4

デバイス・タイプ = モバイル・デバイス

アクション = OAAM多すぎるモバイル・デバイス

アラート = OAAM許可されている数を超えて使用されているモバイル・デバイス

スコア = 1000

紛失または盗難デバイス

デバイス: デバイスが特定のタイプであるかどうかの確認

デバイス・タイプ = モバイル・デバイス

戻り値 = True

デバイス: グループ内デバイス

グループ内 = True

グループ内デバイス = OAAM紛失または盗難デバイス

アクション = OAAM紛失デバイス

アラート = OAAM紛失または盗難デバイス

スコア = 1000

ジェイルブレークされたモバイル・デバイス

デバイス: デバイスが特定のタイプであるかどうかの確認

デバイス・タイプ = モバイル・デバイス

戻り値 = True

セッション: 文字列パラメータ値の確認

パラメータ・キー = isJailBroken

値 = true

アクション = OAAMチャレンジ

アラート = OAAMジェイルブレークされたデバイス

スコア = 500

ハードウェア識別子は同一だがオペレーティング・システムは不一致

事前条件: デバイス・リスク・スコアが599から601の間

デバイス: デバイスが特定のタイプであるかどうかの確認

デバイス・タイプ = モバイル・デバイス

戻り値 = True

デバイス: ブラウザ・ヘッダー・サブストリング

サブストリング = OIC

アクション = OAAMモバイル・デバイスOSの不一致

アラート = OAAM異なるOSのモバイル・デバイス

スコア = 1000

モバイル・デバイスが登録されていません

デバイス: デバイスが特定のタイプであるかどうかの確認

デバイス・タイプ = モバイル・デバイス

戻り値 = True

デバイス: 登録済

登録済の場合の戻り値 = False

アクション = OAAMチャレンジ

アラート = なし

スコア = 300

10.5.4.1.4 OAAM認証後セキュリティ: トリガー組合せ

このポリシーにはトリガー組合せはありません。

10.5.4.2 OAAM予測分析

このポリシーにより、Oracle Data Minerの予測機能が付加されます。ポリシー内のルールは、Oracle Data Minerが構成されている場合にのみ機能します。

10.5.4.2.1 OAAM予測分析ポリシーのサマリー

表10-20 OAAM予測分析ポリシーのサマリー

サマリー

詳細

目的

Oracle Data Minerの予測機能を付加します。これらのルールは、Oracle Data Minerが構成されている場合にのみ機能します。

スコアリング・エンジン

最大

重み

100

グループ・リンク

リンク・ユーザー

10.5.4.2.2 OAAM予測分析のフロー図

図10-16 OAAM予測分析ポリシー・フロー

10.5.4.2.3 OAAM予測分析ポリシー: ルールの詳細

表10-21に、OAAM予測分析ポリシーのルールの条件およびパラメータを示します。

表10-21 OAAM予測分析ポリシー・ルールの詳細

ルール

ルールの条件およびパラメータ

結果

現在のセッションが不正かどうかの予測

ユーザー: 不正なユーザー・リクエストの確認

分類モデル = OAAM不正なリクエスト・モデル

必要な分類 = 不正

必要な確度の最小値 = 0.70

必要な確度の最大値 = 1.00

エラーの場合のデフォルトの戻り値 = FALSE

アクション = なし

アラート = OAAM不正の疑いがあるリクエスト

スコア = 700

現在のセッションが異常かどうかの予測

ユーザー: 異常なユーザー・リクエストの確認

異常モデル = OAAM異常なリクエスト・モデル

必要な確度の最小値 = 0.60

必要な確度の最大値 = 1.00

エラーの場合のデフォルトの戻り値 = FALSE

アクション = なし

アラート = OAAM異常なリクエスト

スコア = 600

10.5.4.2.4 OAAM予測分析ポリシー: トリガー組合せ

このポリシーにはトリガー組合せはありません。

10.5.4.3 自動学習(パターン・ベース)ポリシー: OAAMではユーザーがプロファイルを持ちます

このポリシーでは、パターン自動学習が有効かどうかと、ユーザーの過去の動作が記録されているかが確認されます。十分な記録済動作のあるユーザーは独自のプロファイルに対して評価されますが、十分な記録済動作がないユーザーはその他のすべてのユーザーのプロファイルに対して評価されます。

10.5.4.3.1 「OAAMではユーザーがプロファイルを持ちます」ポリシーのサマリー

表10-22 自動学習(パターン・ベース)ポリシー: OAAMユーザー・プロファイルの有無のサマリー

サマリー

詳細

目的

このポリシーでは、パターン自動学習が有効かどうかと、ユーザーの過去の動作が記録されているかが確認されます。十分な記録済動作のあるユーザーは独自のプロファイルに対して評価されますが、十分な記録済動作がないユーザーはその他のすべてのユーザーのプロファイルに対して評価されます。

スコアリング・エンジン

最大

重み

100

グループ・リンク

すべてのユーザー

10.5.4.3.2 「OAAMではユーザーがプロファイルを持ちます」のフロー図

図10-17 自動学習(パターン・ベース)ポリシー: OAAMユーザー・プロファイルの有無のフロー

10.5.4.3.3 OAAMではユーザーがプロファイルを持ちます: ルールの詳細

表10-23 自動学習(パターン・ベース)ポリシー・ルールの詳細: OAAMユーザー・プロファイルの有無

ルール

ルールの条件およびパラメータ

結果

ユーザー・プロファイルの有無

システム - ブール・プロパティの確認

プロパティ = vcrypt.tracker.autolearning.enabled

値 = True

デフォルトの戻り値 = True

システム - ブール・プロパティの確認

プロパティ = vcrypt.tracker.autolearning.use.auth.status.for.analysis

値 = True

デフォルトの戻り値 = False

ユーザー: ログイン数の確認

現在のユーザーのみをチェック = True

認証ステータス = 成功

秒 = 0

次を超えるログイン = 7

エラーが戻された場合 = False

現在のリクエストを検討するかを考慮 = True

アクション = なし

アラート = なし

スコア = 0

十分なパターン・データが使用可能

システム: 任意のパターンに対して十分なデータが使用可能かどうかが確認されます

データの日数 = 90

パターン・データが使用可能 = True

エラー戻り値 = False

アクション = なし

アラート = なし

スコア = 0

10.5.4.3.4 OAAMではユーザーがプロファイルを持ちます: トリガー組合せ

表10-24 自動学習(パターン・ベース)ポリシー: 「OAAMではユーザーがプロファイルを持ちます」のトリガー組合せ

説明

組合せの詳細

結果

ユーザーのプロファイルに動作が十分に記録されている場合、このポリシーによって評価されます。

ユーザー・プロファイルの有無 = TRUE

十分なパターン・データが使用可能 = TRUE

ポリシー = OAAMユーザー対自分自身

アラート = なし

ユーザーのプロファイルに動作が十分に記録されていない場合、このポリシーによって評価されます。

ユーザー・プロファイルの有無 = 任意

十分なパターン・データが使用可能 = TRUE

ポリシー = OAAMユーザー対すべてのユーザー

アラート = なし

10.5.4.4 自動学習(パターン・ベース)ポリシー: OAAMユーザー対自分自身

ユーザーが十分な量の履歴データを取得している場合、このポリシーは、現在の動作を自分の履歴動作に対して評価するために使用されます。このポリシーでは、リスクの評価にパターン・ベース・ルールが使用されます。

10.5.4.4.1 「OAAMユーザー対自分自身」ポリシーのサマリー

表10-25 自動学習(パターン・ベース)ポリシー: OAAMユーザー対自分自身のサマリー

サマリー

詳細

目的

ユーザーが十分な量の履歴データを取得している場合、このポリシーは、現在の動作を自分の履歴動作に対して評価するために使用されます。このポリシーでは、リスクの評価にパターン・ベース・ルールが使用されます。

スコアリング・エンジン

最大

重み

100

グループ・リンク

リンク・ユーザー(ネストされたポリシー)

10.5.4.4.2 OAAMユーザー対自分自身のフロー図

図10-18 自動学習(パターン・ベース)ポリシー: OAAMユーザー対自分自身のフロー

10.5.4.4.3 OAAMユーザー対自分自身: ルールの詳細

表10-26 自動学習(パターン・ベース)ポリシー・ルールの詳細: OAAMユーザー対自分自身

ルール

ルールの条件およびパラメータ

結果

ISP

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

次より小さいパターン・ヒット率 = 6

メンバーシップのパターン名 = ユーザー: ISPプロファイリング・パターン

patternHitPercentより少ないメンバーシップ件数 = True

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 1

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = OAAMユーザー: ISP

スコア = 600

接続タイプ

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

次より小さいパターン・ヒット率 = 6

メンバーシップのパターン名 = ユーザー: ASNプロファイリング・パターン

patternHitPercentより少ないメンバーシップ件数 = True

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 1

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = OAAMユーザー: 接続タイプ

スコア = 600

ルーティング・タイプ

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

次より小さいパターン・ヒット率 = 6

メンバーシップのパターン名 = ユーザー: ルーティング・タイプ・プロファイリング・パターン

patternHitPercentより少ないメンバーシップ件数 = True

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 1

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = OAAMユーザー: ルーティング・タイプ

スコア = 600

デバイス

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

次より小さいパターン・ヒット率 = 10

メンバーシップのパターン名 = ユーザー: デバイス・プロファイリング・パターン

patternHitPercentより少ないメンバーシップ件数 = True

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 1

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = OAAMユーザー: デバイス

スコア = 700

該当週の日

パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです

メンバーシップのパターン名 = ユーザー: 曜日プロファイリング・パターン

条件がTrue = True

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 3

パターン・メンバーシップのメンバー・タイプ = ユーザー

初回数 = 1

アクション = OAAMチャレンジ

アラート = OAAMユーザー: 曜日

スコア = 500

国と都道府県

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

次より小さいパターン・ヒット率 = 10

メンバーシップのパターン名 = ユーザー: 都道府県プロファイリング・パターン

patternHitPercentより少ないメンバーシップ件数 = True

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 1

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = OAAMユーザー: 都道府県

スコア = 600

時間

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

次より小さいパターン・ヒット率 = 3

メンバーシップのパターン名 = ユーザー: 時間範囲プロファイリング・パターン

patternHitPercentより少ないメンバーシップ件数 = True

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 1

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = OAAMユーザー: 時刻

スコア = 500

ASN

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

次より小さいパターン・ヒット率 = 6

メンバーシップのパターン名 = ユーザー: ASNプロファイリング・パターン

patternHitPercentより少ないメンバーシップ件数 = True

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 1

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = OAAMユーザー: ASN

スコア = 600

国

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

次より小さいパターン・ヒット率 = 20

メンバーシップのパターン名 = ユーザー: 国プロファイリング・パターン

patternHitPercentより少ないメンバーシップ件数 = True

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 3

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = OAAMユーザー: 国

スコア = 700

10.5.4.4.4 OAAMユーザー対自分自身: トリガー組合せ

このポリシーにはトリガー組合せはありません。

10.5.4.5 自動学習(パターン・ベース)ポリシー: OAAMユーザー対すべてのユーザー

ユーザーが十分な量の履歴データを取得していない場合、このポリシーは、現在の動作を他のすべてのユーザーの履歴動作に対して評価するために使用されます。このポリシーでは、リスクの評価にパターン・ベース・ルールが使用されます。

10.5.4.5.1 OAAMユーザー対すべてのユーザー・ポリシーのサマリー

表10-27 自動学習(パターン・ベース)ポリシー: OAAMユーザー対すべてのユーザーのサマリー

サマリー

詳細

目的

ユーザーが十分な量の履歴データを取得していない場合、このポリシーは、現在の動作を他のすべてのユーザーの履歴動作に対して評価するために使用されます。このポリシーでは、リスクの評価にパターン・ベース・ルールが使用されます。

スコアリング・エンジン

最大

重み

100

グループ・リンク

リンク・ユーザー(ネストされたポリシー)

10.5.4.5.2 OAAMユーザー対すべてのユーザーのフロー図

図10-19 自動学習(パターン・ベース)ポリシー: OAAMユーザー対すべてのユーザー・フロー

10.5.4.5.3 OAAMユーザー対すべてのユーザー: ルールの詳細

表10-28 自動学習(パターン・ベース)ポリシー・ルールの詳細: OAAMユーザー対すべてのユーザー

ルール

ルールの条件およびパラメータ

結果

ユーザー: 曜日

パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

次より小さいパターン・バケットのヒット率 = 5

メンバーシップのパターン名 = ユーザー: 曜日プロファイリング・パターン

パターン・ヒット率より少ないメンバーシップ数 = true

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 6

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = ユーザー: 曜日

スコア = 500

ユーザー: 国

パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

次より小さいパターン・バケットのヒット率 = 3

メンバーシップのパターン名 = ユーザー: 国プロファイリング・パターン

パターン・ヒット率より少ないメンバーシップ数 = true

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 6

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = ユーザー: 国

スコア = 700

ユーザー: 時刻

パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

次より小さいパターン・バケットのヒット率 = 5

メンバーシップのパターン名 = ユーザー: 時間プロファイリング・パターン

パターン・ヒット率より少ないメンバーシップ数 = true

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 6

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = ユーザー: 時刻

スコア = 500

ユーザー: 接続タイプ

パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

次より小さいパターン・バケットのヒット率 = 5

メンバーシップのパターン名 = ユーザー: 接続タイプ・プロファイリング・パターン

パターン・ヒット率より少ないメンバーシップ数 = true

パターン・メンバーシップの期間タイプ = 月

パターン・メンバーシップの期間 = 6

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = ユーザー: 接続タイプ

スコア = 600

ユーザー: ロケール

パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

次より小さいパターン・バケットのヒット率 = 3

メンバーシップのパターン名 = ユーザー: 時間プロファイリング・パターン

パターン・ヒット率より少ないメンバーシップ数 = true

パターン・メンバーシップの期間タイプ = 年

パターン・メンバーシップの期間 = 6

パターン・メンバーシップのメンバー・タイプ = ユーザー

アクション = OAAMチャレンジ

アラート = ユーザー: ロケール

スコア = 700

10.5.4.5.4 OAAMユーザー対すべてのユーザー: トリガー組合せ

このポリシーにはトリガー組合せはありません。

10.5.5 登録ポリシー

この項では、登録ポリシーについてまとめています。

10.5.5.1 OAAM登録

このポリシーを使用して、登録する必要があるユーザー情報を決定します。

10.5.5.1.1 OAAM登録ポリシーのサマリー

表10-29 OAAM登録ポリシーのサマリー

サマリー

詳細

目的

ユーザー情報のどの部分を登録する必要があるかを決定します。

スコアリング・エンジン

重み付け平均

重み

100

グループ・リンク

すべてのユーザー

10.5.5.1.2 OAAM登録のフロー図

図10-20 OAAM登録フロー

10.5.5.1.3 OAAM登録: ルールの詳細

表10-30 OAAM登録ポリシー・ルールの詳細

ルール

ルールの条件およびパラメータ

結果

登録の確認

ユーザー: アカウント・ステータス

ユーザー・アカウント・ステータス = アクティブ

次である = FALSE

アクション = OAAM登録

アラート = なし

スコア = 0

質問の登録

ユーザー: 質問ステータス

ユーザー質問ステータス = 設定

次である = FALSE

アクション = OAAMチャレンジ質問の登録

アラート = なし

スコア = 0

4回以上スキップされた登録

ユーザー: 期間内のアクション件数

チェックポイント(オプション) = なし

アクション = ユーザー登録(オプション)

秒 = 300

カウント・アクションはセッションごとに1回のみ = TRUE

次より大きい = 3

必須

アラート = なし

スコア = 0

ユーザー情報の登録

ユーザー: 情報の確認

確認するカンマ区切り値へのキー = RequiredChallengeInfo

情報が設定されている場合の戻り値 = FALSE

アクション = OAAMユーザー情報の登録

アラート = なし

スコア = 0

イメージおよびキャプションの登録

ユーザー: 認証イメージ割当済

割当済 = FALSE

アクション = OAAMプリファレンスの登録

アラート = なし

スコア = 0

10.5.5.1.4 OAAM登録: トリガー組合せ

このポリシーにはトリガー組合せはありません。

10.5.6 チャレンジ・ポリシー

この項では、チャレンジ・ポリシーについて説明します。

10.5.6.1 OAAMチャレンジ

ユーザーへのチャレンジ方法を決定するポリシーです。このポリシーのすべての意思決定は、トリガー組合せを使用して実行されます。

10.5.6.1.1 OAAMチャレンジ・ポリシーのサマリー

表10-31 OAAMチャレンジ・ポリシーのサマリー

サマリー

詳細

目的

ユーザーへのチャレンジ方法を決定するポリシーです。このポリシーのすべての意思決定は、トリガー組合せを使用して実行されます。

スコアリング・エンジン

重み付け平均

重み

100

グループ・リンク

すべてのユーザー

10.5.6.1.2 OAAMチャレンジのフロー図

図10-21 OAAMチャレンジ・フロー

10.5.6.1.3 OAAMチャレンジ: ルールの詳細

表10-32 OAAMチャレンジ・ポリシー・ルールの詳細

ルール

ルールの条件およびパラメータ

結果

SMS試行失敗の最大数

ユーザー: OTP失敗の確認

OTPチャレンジ・タイプ = ChallengeSMS

次以上の失敗数 = 3

次以上の場合 = TRUE

アクション = なし

アラート = なし

スコア = 0

電子メール試行失敗の最大数

ユーザー: OTP失敗の確認

OTPチャレンジ・タイプ = ChallengeEmail

次以上の失敗数 = 3

次以上の場合 = TRUE

アクション = なし

アラート = なし

スコア = 0

質問試行失敗の最大数

ユーザー: チャレンジの最大失敗数

次以上の失敗数 = 3

現在の質問件数のみですか。 = False

次以上の場合の戻り値 = True

アクション = なし

アラート = なし

スコア = 0

アクティブな質問

ユーザー: 質問ステータス

ユーザー質問ステータス = 設定

次である = True

アクション = なし

アラート = なし

スコア = 0

チャレンジ電子メール使用可能

セッション: カンマ区切り値内にある値の確認

パラメータ・キー = AvailableChallengeTypes

確認する値 = ChallengeEmail

リストにある場合の戻り値 = True

アクション = なし

アラート = なし

スコア = 0

チャレンジSMS使用可能

セッション: カンマ区切り値内にある値の確認

パラメータ・キー = AvailableChallengeTypes

確認する値 = ChallengeSMS

リストにある場合の戻り値 = True

アクション = なし

アラート = なし

スコア = 0

高リスク・スコアの確認

セッション: リスク・スコア分類の確認

確認するリスク・スコア分類 = 高リスク

エラーの場合に返すデフォルト値 = False

アクション = なし

アラート = なし

スコア = 0

10.5.6.1.4 OAAMチャレンジ: トリガー組合せ

表10-33 OAAMチャレンジのトリガー組合せ

説明

組合せの詳細

結果

ユーザーが登録されておらず、リスクが低い場合は、チャレンジはありません。

高リスク・スコアの確認 = False

アクティブな質問 = False

チャレンジ電子メール使用可能 = False

チャレンジSMS使用可能 = False

質問試行失敗の最大数 = 任意

電子メール試行失敗の最大数 = 任意

SMS試行失敗の最大数 = 任意

ポリシー = なし

アクション = OAAM許可

アラート = なし

スコア = 0

リスク・スコアが高く、ユーザーがKBAチャレンジに登録されており、ユーザーにアクティブな質問があり、さらにKBAの最大チャレンジ失敗数を超えていない場合は、KBAを使用したチャレンジです。

高リスク・スコアの確認 = TRUE

アクティブな質問 = TRUE

チャレンジ電子メール使用可能 = FALSE

チャレンジSMS使用可能 = FALSE

質問試行失敗の最大数 = FALSE

電子メール試行失敗の最大数 = FALSE

SMS試行失敗の最大数 = FALSE

ポリシー = なし

アクション = OAAMチャレンジ質問

アラート = なし

スコア = 0

ユーザーがKBAに登録されており、ユーザーにアクティブな質問がある場合は、KBAチャレンジです。

高リスク・スコアの確認 = FALSE

アクティブな質問 = TRUE

チャレンジ電子メール使用可能 = 任意

チャレンジSMS使用可能 = 任意

質問試行失敗の最大数 = FALSE

電子メール試行失敗の最大数 = 任意

SMS試行失敗の最大数 = 任意

ポリシー = なし

アクション = OAAMチャレンジ質問

アラート = なし

スコア = 0

ユーザーがSMSのみを経由してOTPに登録されている場合は、SMS経由のOTPチャレンジです。

高リスク・スコアの確認 = 任意

アクティブな質問 = 任意

チャレンジ電子メール使用可能 = 任意

チャレンジSMS使用可能 = TRUE

質問試行失敗の最大数 = 任意

電子メール試行失敗の最大数 = FALSE

SMS試行失敗の最大数 = FALSE

ポリシー = なし

アクション = OAAMチャレンジSMS

アラート = なし

スコア = 0

ユーザーが電子メールのみを経由してOTPに登録されている場合は、電子メール経由のOTPチャレンジです。

高リスク・スコアの確認 = 任意

アクティブな質問 = 任意

チャレンジ電子メール使用可能 = TRUE

チャレンジSMS使用可能 = 任意

質問試行失敗の最大数 = 任意

電子メール試行失敗の最大数 = FALSE

SMS試行失敗の最大数 = FALSE

ポリシー = なし

アクション = OAAMチャレンジ電子メール

アラート = なし

スコア = 0

ユーザーがいずれのチャレンジ方法にも登録されておらず、リスク・スコアが高い場合は、ブロックです。このブロックは、一時許可機能を使用してオーバーライドできます。

高リスク・スコアの確認 = TRUE

アクティブな質問 = FALSE

チャレンジ電子メール使用可能 = FALSE

チャレンジSMS使用可能 = FALSE

質問試行失敗の最大数 = 任意

電子メール試行失敗の最大数 = 任意

SMS試行失敗の最大数 = 任意

ポリシー = なし

アクション = OAAMブロック

アラート = なし

スコア = 0

登録されたチャレンジ方法に対してユーザーが最大失敗数を持つ場合は、チャレンジ・ブロック(ロックアウト)です。

注意: このブロックは、一時許可機能を使用してオーバーライドすることはできません。

結果付きのすべてのルール = 任意

ポリシー = なし

アクション = OAAMチャレンジ・ブロック

アラート = なし

スコア = 0

10.5.7 カスタマ・ケア・ポリシー

この項では、カスタマ・ケア・ポリシーについて説明します。

10.5.7.1 OAAMカスタマ・ケア質問依頼

このポリシーにより、ユーザーにアクティブな質問があるかどうか、チャレンジの質問がまだ残っているか、および失敗したチャレンジ数が判別されます。

10.5.7.1.1 OAAMカスタマ・ケア質問依頼ポリシーのサマリー

表10-34 OAAMカスタマ・ケア質問依頼ポリシー

サマリー

詳細

目的

ユーザーにアクティブな質問があるかどうか、チャレンジの質問がまだ残っているか、および失敗したチャレンジ数が判別されます。

スコアリング・エンジン

重み付け最大

重み

100

グループ・リンク

すべてのユーザー

10.5.7.1.2 OAAMカスタマ・ケア質問依頼のフロー図

図10-22 カスタマ・ケア質問依頼フロー

10.5.7.1.3 OAAMカスタマ・ケア質問依頼: ルールの詳細

表10-35 OAAMカスタマ・ケア質問依頼ルールの詳細

ルール

ルールの条件およびパラメータ

結果

現在のユーザー・リクエストが不正かどうかを確認します

ユーザー: 不正なユーザー・リクエストの確認

分類モデル = OAAM不正なリクエスト・モデル

必要な分類 = 不正

必要な確度の最小値 = 0.70

必要な確度の最大値 = 1.00

エラーの場合のデフォルトの戻り値 = FALSE

アクション = なし

アラート = OAAM不正の疑い

スコア = 1000

現在のユーザー・リクエストが異常かどうかを確認します

ユーザー: 異常なユーザー・リクエストの確認

異常モデル = OAAM異常なリクエスト・モデル

必要な確度の最小値 = 0.60

必要な確度の最大値 = 1.00

エラーの場合のデフォルトの戻り値 = FALSE

アクション = なし

アラート = OAAM異常なリクエスト

スコア = 0

10.5.7.1.4 OAAMカスタマ・ケア質問依頼: トリガー組合せ

このポリシーにはトリガー組合せはありません。

10.6 ユース・ケース

次の各項では、セキュリティ・ポリシーのユース・ケース・シナリオについて説明します。

10.6.1 ユース・ケース: WebZIPブラウザ

WebZIPブラウザを使用するすべてのユーザーを、ログイン試行からブロックする必要があります。

1. user1はWebZipを使用し、アプリケーションにログインしようとします。

2. user1はブロックされます。

3. 管理者は、OAAM管理コンソールにログインします。

4. 管理者は、user1のセッションを表示します。

5. 管理者は、ルール: WebZIPの使用がトリガーされたことを確認します。

表10-36 「使用されたWebZIP」ルール

ルールの条件およびパラメータ

結果

デバイス: ブラウザ・ヘッダー・サブストリング

チェックするサブストリング = WebZIP

注意: WebZipは、HTML、CSS、Javascript、AJAXなどのWeb言語用のソース・コード圧縮ソフトです。詳細は、10.6.1項「ユース・ケース: WebZIPブラウザ」を参照してください。

アクション = OAAMブロック

アラート = OAAM制限付きソフトウェア

スコア = 1000

10.6.2 ユース・ケース: IPアドレスのリスクが高いユーザーへのOTPチャレンジ

ユーザーtest userは、登録済のユーザーです。彼は別の国に出張中で、電子メールまたは電話を使用できません。ログインに使用したIPアドレスは、リスクの高いIPアドレスとみなされたため、SMSによるチャレンジを受けます。自分のOTPにアクセスできないため、SMSによるOTPチャレンジに回答できません。今度はKBA経由のチャレンジを受けましたが、不運なことに、自分のチャレンジ質問への回答を忘れました。質問に対して推測して回答しましたが間違っていました。システムからロックアウトされました。CSRに電話して、自分のIDを証明します。CSRがこのユーザーをロック解除したため、このユーザーは再びログインできるようになります。

1. OTPがSMSおよび電子メールに設定されています。

2. 自動学習ポリシー(OAAMではユーザーがプロファイルを持ちます)は無効になっています。

3. ユーザーは、testuserとして登録されています。

4. そのIPアドレスは、「リスクのあるIP」アドレス・グループに入っています。

5. testuserは、アプリケーションにログインしようとします。

6. testuserは、SMS経由でチャレンジを受けます。

7. testuserは、回答を3回間違えます。

8. testuserは、KBA経由でチャレンジを受けます。

9. testuserは、チャレンジ質問の回答に3回間違えます。

10. testuserはロックアウトされます。

11. CSRは、ケースを作成し、次にこのユーザーのチャレンジ質問をロック解除する必要があります。

12. testuserはアプリケーションに正常にログインできます。

10.6.3 ユース・ケース: アノニマイザIPアドレス - グループから

ユーザーanonymizerが、Quova地理的位置データベースでアノニマイザとみなされているIPアドレスを使用してログインします。このユーザーはブロックされ、適切な情報が含まれたケースが自動的に作成されます。調査担当者は、このケースを処理し、処置を追加し、このケースを閉じます。

管理者

1. 管理者は、OAAM管理コンソールにログインします。

2. アクション・テンプレート「カスタマ・ケア・ケースの作成」を使用して、新しいアクション・インスタンスを作成します。

3. 「認証後」チェックポイント、「ブロック」アクション、「1000」のスコア、およびケース・タイプ「2」を選択します。

ユーザー

1. 新規ユーザーanonymizerが、アプリケーションにログインしようとします。

2. このユーザーはブロックされます。
不正ケースが自動的に作成されます。

調査担当者

1. 調査担当者は、調査担当者としてOAAM管理コンソールにログインします。

2. ケースを開き、ノートを追加します。

3. 処置を行ってケースを閉じます。

10.6.4 ユース・ケース: パターン・ベース評価

ユーザーtest user2は、登録済のユーザーです。米国に住んでいるため、すべてのログインは通常、米国で行われています。中国に出張し、そこで何回かログインを実行します。OAAMによって、このことは通常の動作ではないと判断されるため、このユーザーはチャレンジを受けます。

ルール:

- このルールは、使用されたデバイスが過去20時間内に毎時600マイルよりも高速で移動したと判断される場合にのみトリガーします。トリガーの結果として、チャレンジ・アクション、およびこのチャレンジの生成理由を十分に確認できる適切な情報アラートが発生します。

- 次のルールは、次の2つの条件が両方ともfalseの場合にのみチャレンジ・アクションをトリガーします。このユーザーは今までこの国を3回以上使用しましたか。
AND

このユーザーは、先月にこの国を使用したのが10%を超えていますか。

- ユーザーが認証後チャレンジを受け、KBAがアクティブで、OTPがアクティブでなく、リスクが600を超える場合、KBA質問を尋ねられる必要があります。

11 ポリシー、ルールおよび条件の管理

ポリシーは、組織が複数のアクセス・チャネルにわたってビジネス・プロセスに対する不正や誤用を防止するために作成および管理されます。これには、決定および施行の各ポイントでリスク・レベルを評価するために使用されるセキュリティ・ルールが含まれます。

Oracle Adaptive Access Managerには、ポリシー、依存コンポーネントおよび構成のフル・スナップショットが付属しています。oaam_base_snapshot.zipファイルは、MW_HOME/IDM_ORACLE_HOME/oaam/initディレクトリに配置されています。

OAAMには、標準のセキュリティ・ポリシーとルールが用意されています。これらのポリシーおよびルールの詳細は、第10章「OAAMポリシーの概念およびリファレンス」を参照してください。ポリシーを使用する際は、ポリシーの仕組みに加えて、業務に適した新しいポリシーやルールの作成方法を理解しておくことが重要です。

この章では、次の内容を説明します。

- 11.1項「OAAMポリシーについて」

- 11.2項「検出およびポリシー開発について」

- 11.3項「ポリシーの作成」

- 11.4項「ポリシーのすべてのユーザーまたはユーザーIDグループへのリンク」

- 11.5項「ルールの作成」

- 11.6項「トリガー組合せの設定」

- 11.7項「ポリシー、グループおよび条件におけるグループの使用」

- 11.8項「ポリシーの管理」

- 11.9項「ルールの管理」

- 11.10項「条件の管理」

- 11.11項「エクスポートおよびインポート」

- 11.12項「ルール内のポリシーの評価」

- 11.13項「ベスト・プラクティス」

11.1 OAAMポリシーについて

OAAMでは、その基本的な登録および認証フローに対応する標準のポリシー・セットを用意しています。OAAMのセキュリティ・ポリシーおよび自動学習ポリシーはベース・スナップショットの一部または個別のポリシーZIPファイルとして使用できます。セキュリティおよび認証ポリシーの詳細は、第10章「OAAMポリシーの概念およびリファレンス」を参照してください。ポリシーを使用する際は、ポリシーの仕組みに加えて、業務に適した新しいポリシーの作成方法を理解しておくことが重要です。

OAAMポリシーを表示するには:

1. 管理者としてOAAM管理コンソールにログインします。

2. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

3. 「検索」をクリックして、「検索結果」表に標準のポリシー・セットを読み込みます。
11.1.2では、OAAM標準として17個のポリシーと104個のルールがあります。

図11-1 ポリシー検索ページ

4. 「検索結果」表で、関連するポリシー名をクリックすると、そのポリシーで実行される詳細が表示されます。「ポリシー詳細」ページには、ポリシーの様々なパラメータと構成が表示されます。
「ポリシー詳細」フィールドの内容は次のとおりです。

- ポリシー名: ポリシーに割り当てられた名前。

- ポリシー・ステータス: ポリシーをアクティブ化するためのオプションです。スナップショットからインポートすると、これらのポリシーがアクティブになります。ポリシーを機能させる場合は、「ポリシー・ステータス」をデフォルトの「アクティブ」のままにします。
ポリシーを無効にする場合は、「無効」を選択します。無効化されたポリシーはチェックポイントで施行されません。

- チェックポイント: ポリシーが実行されるポイント。チェックポイントの詳細は、10.3.4項「チェックポイント」を参照してください。

- スコアリング・エンジン: リスク・レベルを決定する数値スコアの計算に使用する不正分析エンジン。スコアリング・エンジンの詳細は、10.2.8項「スコアリング・エンジンとは」を参照してください。

- 重み: 合計スコアに影響を与えるために重み付けスコアリング・エンジンを使用する場合に、乗数として入力する0から100の値。
ポリシーが重み付けされたスコアリング・エンジンを使用する場合は、スコアと重み(乗数値)の両方を使用して合計スコアの計算に影響を与えます。ポリシーが重み付けされたスコアリング・エンジンを使用しない場合は、スコアのみを使用して合計スコアに影響を与えます。重みの詳細は、10.2.10項「重みとは」を参照してください。

- 説明: ポリシーの説明。

- 実行モード: ポリシーを実行する対象となるグループ。OAAMスナップショットからインポートされると、ポリシーは「デフォルト」というユーザー・グループにリンクされます。その他のグループを使用する場合は、必要に応じてこのリンクを変更する必要があります。

各ポリシーには、これらの要素が構成されています。各パラメータの構成方法を理解するために、標準のポリシーおよびルールをいくつか確認してください。標準のポリシーの構成方法の詳細は、第10章「OAAMポリシーの概念およびリファレンス」を参照してください。

11.2 検出およびポリシー開発について

業務に適した新しいポリシーやルールを作成することもできます。この項では、セキュリティ・ポリシー開発、および高レベルの要件がセキュリティ・ポリシーに変換されるモデリング・プロセスについて説明します。

11.2.1 セキュリティ・ポリシー開発プロセス

この項では、ポリシーの開発プロセスについて説明します。

11.2.1.1 概要

表11-1に、セキュリティ・ポリシーの開発プロセスに関与するアクターの例をまとめます。

表11-1 ポリシー開発アクターの例

アクター

説明

調査担当者およびカスタマ・サービス担当

調査担当者およびカスタマ・サービス担当(CSR)は、Oracle Adaptive Access Managerのケース管理ツールを使用して、日々セキュリティおよびカスタマ・ケースを処理します。該当者は、ユーザー・アクティビティとセキュリティの問題に関する詳細な知識を持ちます。アナリストは調査担当者およびCSRと共同で、ポリシーを調整する必要があるか、または新規ポリシーを作成する必要があるかどうかを判別します。

ビジネス/セキュリティ・アナリスト

アナリストは、様々なソースからインテリジェンスを収集してニーズを特定し、それらに対処するための要件を作成します。インテリジェンスのソースとしては、調査担当者、業界レポート、不正対策ネットワーク、コンプライアンス指令、会社ポリシーなどがあります。

セキュリティ管理者

管理者は、アナリストからの要件に基づいてポリシーを計画、構成およびデプロイします。

システム管理者

システム管理者は、環境レベルのプロパティおよびトランザクションを構成します。

品質保証

品質保証(QA)は、ポリシーが要件を満たしているかどうかを確認するためにポリシーをテストします。

既存ポリシーの編集

既存ポリシーの編集には、次のタスクが含まれます。

- 調査/トラブルシューティング

- 要件および計画

- 構成

- テスト

- 本番環境へのデプロイ

新規のポリシーの作成

新規ポリシーの作成には、次のタスクが含まれます。

- 検出/調査

- 要件および計画

- 構成

- テスト

- 本番環境へのデプロイ

11.2.1.2 ポリシーの編集: 調査およびトラブルシューティング

ビジネス・アナリストは、様々なソースからインテリジェンスを収集して問題を特定し、それらに対処するための要件を作成します。

表11-2 ポリシーの編集: 調査/トラブルシューティング

ソース

詳細

OAAMレポート

既存のOAAMデプロイメントでは、アナリストはBIPを使用してレポートを実行し、対処が必要なセキュリティまたはカスタマの問題を特定できます。

調査担当者/CSRフィードバック

スタッフのインタビューにより、カスタマおよびセキュリティの問題を明らかにできます。正当な理由なしに頻繁にチャレンジされすぎるという苦情がカスタマからあげられていますか。現在のポリシーの厳密さではアクセスを防ぐために十分でない不正ケースが多数ありますか。

業界レポート

現在のルールが対応していない新種の脅威が存在する可能性があります。しきい値を調整する必要がありますか。

不正防止ネットワーク

同僚/専門家から提案されている新規ルールしきい値がありますか。それらはビジネス上合理的ですか。

11.2.1.3 新規ポリシー: 検出および調査

ビジネスおよびセキュリティ・アナリストは、様々なソースからインテリジェンスを収集してニーズを特定し、それらに対処するための要件を作成します。

表11-3 新規ポリシー: 検出/調査

ソース

詳細

OAAMレポート

既存のOAAMデプロイメントでは、アナリストはBIPを使用してレポートを実行し、対処が必要なセキュリティまたはカスタマの問題を特定できます。

調査担当者/CSRフィードバック

スタッフのインタビューにより、カスタマおよびセキュリティの問題を明らかにできます。正当な理由なしに頻繁にチャレンジされすぎるという苦情がカスタマからあげられていますか。現在のポリシーの厳密さではアクセスを防ぐために十分でない不正ケースが多数ありますか。

業界レポート

現在のルールが対応していない新種の脅威が存在する可能性があります。しきい値を調整する必要がありますか。

不正防止ネットワーク

同僚/専門家から提案されている新規ルールしきい値がありますか。それらはビジネス上合理的ですか。

コンプライアンス

現在のポリシーでは対応していない、セキュリティ対策の新しい必須事項がありますか。

企業ポリシー

OAAMによって対応できる従業員アクセスの新規要件がありますか。

11.2.1.4 既存ポリシーの編集または新規ポリシーの作成: 要件および計画

ビジネス/セキュリティ・アナリストは、検出中に特定されたニーズに対処するための要件を作成します。

- 必要な新規ポリシーおよびその理由は何ですか。

- ユース・ケースは何ですか。

- 予期される結果(アクション、アラート、スコア)は何ですか。

- どのアプリケーションが関係しますか。

- どのユーザー・グループが関係しますか。

11.2.1.5 既存ポリシーの編集または新規ポリシーの作成: 構成

セキュリティ管理者は、アナリストからの要件に基づいてポリシーを計画、構成およびデプロイします。

- 自動学習によりプロファイリングする必要があるのはどのデータ・ポイントですか。

- ユース・ケースを満たすために構成する必要があるルールはどれですか。

- ルールに定義する必要があるしきい値はどれですか。

- 必要なルールの結果は何ですか。

11.2.1.6 既存ポリシーの編集または新規ポリシーの作成: テスト

QAは、ポリシーが要件を満たしているかどうかを確認するためにポリシーをテストします。

- 予期される結果が発生しますか。

- ルールのしきい値は予期したとおりにトリガーしていますか。

- プロファイリングは予期したとおりに動作していますか。

- 一般的な通常のエンド・ユーザー・フローに従った場合、新規ポリシーによってユーザーの操作性の問題が発生しますか。多すぎるチャレンジ、ユーザーのブロックなどです。

- 履歴制御日付に基づいて新規/編集済ポリシーをテストするためにオフラインを使用できます。

11.2.1.7 既存ポリシーの編集または新規ポリシーの作成: 本番環境へのデプロイ

Security Administrator:

- QAがサイン・オフしたら、本番環境に新規ポリシーをデプロイします。

- 開発/QA環境からポリシー・セットおよびグループをエクスポートします。

- 本番環境にインポートします。

11.2.2 検出プロセスの概要

セキュリティ・ポリシー開発に含まれるステップの概要は次のとおりです。

1. 何を実現しようとしているのかを決定します(問題記述)。

2. 問題記述を次のものに分割します。

- 入力: 評価に使用できるデータは何ですか。

- ルール: どのような種類の評価をデータに対して実行する必要がありますか。

- 結果: 分析に基づいて何が行われる必要がありますか。

3. OAAM構成にデータ、評価および結果をマッピングして、問題記述の文章をセキュリティ・ポリシーに変換します。例:

- プロファイリングするデータ・ポイント

- ユース・ケースのルール

- ルールにより定義されるしきい値

- 必要な結果(スコア、アクション、アラート)

- 除外グループ

4. 準備に基づいて、エンティティ、トランザクション、パターン、グループ、ポリシー、ルール、アクションおよびアラートを構成します。

11.2.3 サンプル・シナリオ: トランザクション・セキュリティ

このシナリオでは、セキュリティ管理者は、24時間以内に1つの出荷先住所に対して4件を超える注文があるかどうかをセキュリティ・チームに通知するよう、OAAMを構成する必要があります。

11.2.3.1 問題記述

ユーザー数にかかわらず、24時間以内に任意の1つの出荷先住所に対して、4件を超える注文が行われたかどうかを手動で確認するようにセキュリティ・チームに通知します。

11.2.3.2 使用可能な入力

問題記述で示された評価を実行するには、次のデータが必要です。

- 各注文の日付/時間

- 各注文の出荷先住所

- 各出荷先住所を使用している注文の数

11.2.3.3 評価

問題記述で要求されているリスク評価を記述する論理文を作成することをお薦めします。

このシナリオの論理文は次のようになります。

出荷先住所について、過去24時間以内の注文の合計数が4より大きい場合、注文を確認します。

11.2.3.4 結果

このケースにおいて、問題記述で要求された結果は、セキュリティ・チームに対して単一の不正アラートを生成するというものです。

11.2.3.5 変換

変換ステップでは、分割された問題記述がOAAMセキュリティ・ポリシー・コンポーネントにマップされます。

表11-4 問題記述のマッピング

問題記述の分割

Oracle Adaptive Access Managerセキュリティ・ポリシー・コンポーネント

セキュリティ・チームに手動の確認を実行するよう通知する

特定のメッセージを示すアラート

出荷先住所

住所エンティティ

注文

このトランザクションのカスタム・チェックポイントが必要です。

注文チェックポイントにスコープ指定されたポリシーには、必要なすべてのルールが含まれます。

24時間以内に任意の1つの出荷先住所に対して4件を超える注文が行われたかどうか

汎用トランザクション・ルール条件を使用して構成されたルール

11.2.3.6 アラート

すべての評価のベスト・プラクティスは、個別のアラート・メッセージを持つことです。

11.2.4 サンプル・シナリオ: ログイン・セキュリティ

このシナリオでは、セキュリティ管理者は、ユーザーがログインに使用した都道府県が、前月にログインに使用した都道府県の時間の5%未満の場合、KBAチャレンジ質問に回答してからでないと、保護されたアプリケーションにアクセスできないように要求します。

11.2.4.1 問題記述

ユーザーのログイン元の地理的位置を含む、ユーザーのログイン動作をプロファイリングします。彼らの一意のプロファイルを使用して、ログイン試行のリスクの程度を判別し、リスク・レベルに基づいて要求される場合にはKBA質問でチャレンジします。ユーザーがログインに使用した都道府県が、前月にログインに使用した都道府県の時間の5%未満の場合、このユーザーが保護されたアプリケーションにアクセスするには、KBAチャレンジを受ける必要があります。

11.2.4.2 使用可能な入力

問題記述で示された評価を実行するには、次のデータが必要です。

- ユーザー

- 期間

- 地理的位置

- 比較のために使用される合計ログインに対する率

- 登録ステータス

11.2.4.3 評価

問題記述で要求されているリスク評価を記述する論理文を作成することをお薦めします。

このシナリオの論理文は次のようになります。

「(1つ以上の都道府県からログインする)ユーザーについて、ログイン率 < 前月のこの都道府県からのすべてのログインの5%である場合、そのユーザーはチャレンジを受けます。」

11.2.4.4 結果

このケースにおいて、問題記述で要求された結果は、ある都道府県へのログインの率が、前月の複数の都道府県への合計ログインの5%未満である場合に、このユーザーがKBA質問でチャレンジを受けるというものです。

11.2.4.5 変換

変換ステップでは、分割された問題記述がOAAMセキュリティ・ポリシー・コンポーネントにマップされます。

表11-5 問題記述のマッピング

問題記述の分割

Oracle Adaptive Access Managerセキュリティ・ポリシー・コンポーネント

ある都道府県からのログインが...である場合

様々な都道府県からのユーザーのログインを追跡するパターン。

ユーザーがアクター、「都道府県」が属性および「各」が比較演算子である複数バケット・パターン。

ユーザーにチャレンジする

KBAチャレンジに対するアクション・グループ

KBA質問で

「登録済」が属性、「次と等しい」が比較演算子および「はい」が比較値です。

彼がKBA質問でチャレンジを受けられるようにするには、その前に彼が質問を登録している必要があります。

都道府県の率対合計の率

条件: 「パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」

5%

ルールで指定された率の基準

過去1か月間

ルールで指定された期間

保護されたリソースに進むことを許可する前に

認証後チェックポイント・ポリシー

ベスト・プラクティスでは、KBAチャレンジは認証後チェックポイントで発生します。

11.2.4.6 アクション

通常そこからログインしていない都道府県、具体的には、1か月間における都道府県への合計ログイン数の5%未満を使用する都道府県からログインしているユーザーがKBAチャレンジを受けます。

11.2.5 評価およびデプロイメント

ポリシーを作成したら、次のタスクを実行します。

ポリシーおよびルールの評価

有効性の評価

ルールをテストし、オフライン・システムを使用して予測可能なデータを実行することで、ルールが予想どおりに機能していることを確認します。

ポリシーおよびルールのデプロイ

ポリシーが予想どおりに機能していることを確認した場合は、パフォーマンス・テストを実行できる本番前環境にポリシーを移行します。

これは、新しいルールまたはポリシー、またはその両方のパフォーマンスに影響を与える可能性があります。たとえば、今まで使用していた電子メール・アドレスを使用していないユーザーをチェックする新規ポリシーを定義するとします。顧客のデータベースに10億を超えるレコードがある場合、トランザクションごとにすべてのレコードに対してこのチェックを実行すると、パフォーマンスに多大な影響を与えます。したがって、負荷がかかった状態でポリシーをテストすることが重要です。

新規不正シナリオのための新規ルールの作成

オフライン・システム(テストまたはステージング用に設定されたOracle Adaptive Access Managerの個別のインストール)を使用して、新しいルールを作成します。

11.3 ポリシーの作成

OAAMには標準のセキュリティ・ポリシーとルールが用意されていますが、ビジネス要件に応じて新しいポリシーとルールを作成することもできます。この項では、ポリシー作成の基本的な手順を示します。図11-2に、ポリシー用に構成するページを示します。

図11-2 「ポリシー」ページ

表11-6に、構成ページの簡単な説明を示します。

表11-6 ポリシーの構成

「ポリシー」ページ

説明

サマリー

ポリシーの一般的な詳細を指定します。

ルール

ポリシーのルールをリストアップします。ルールの作成の詳細は、11.5項「ルールの作成」を参照してください。

トリガー組合せ

トリガー組合せを表示します。これらは、一連の特定のルールがトリガーされた場合に生成される追加の結果およびポリシー評価です。トリガー組合せの作成の詳細は、11.6項「トリガー組合せの設定」を参照してください。

グループ・リンク

ポリシーをリンクするグループを表示します。リンクされているグループ内の一連のユーザーに対してポリシーが実行されます。グループのリンクの詳細は、11.4項「ポリシーのすべてのユーザーまたはユーザーIDグループへのリンク」を参照してください。

ポリシーの作成を開始するには、次のようにします。

1. OAAM管理コンソールにログインしたら、左側のナビゲーション・ペインで「ポリシー」をダブルクリックします。「ポリシー」ページが表示されます。

2. 「新規ポリシー」ボタンをクリックします。詳細を指定して新規ポリシーを作成できる「新規ポリシー」ページが表示されます。
または次の手順を実行して「新規ポリシー」ページを開きます。

- 「ポリシー」ノードを右クリックして、コンテキスト・メニューから「新規ポリシー」を選択します。

- 「ポリシー」ノードを選択して、「アクション」メニューから「新規ポリシー」を選択します。

- ナビゲーション・ツールバーで「新規ポリシーの作成」ボタンをクリックします。

- 「検索結果」ツールバーで「新規ポリシーの作成」ボタンを選択します。

- 「検索結果」の「アクション」メニューから「新規ポリシー」を選択します。

図11-3 新規ポリシー

次の詳細を入力する必要があります。

- ポリシー名: このポリシーに関連し、意味のある名前を入力します。

- ポリシー・ステータス: ポリシーをアクティブ化するためのオプションです。作成直後にポリシーを使用できるようにする場合は、「ポリシー・ステータス」をデフォルトの「アクティブ」のままにします。
ポリシーを無効にする場合は、「無効」を選択します。無効化されたポリシーはチェックポイントで施行されません。ポリシーを無効にしても、そのポリシーはシステムから削除されません。後でそのポリシーを有効にすることができます。

- チェックポイント: ポリシーが実行されるポイントを選択します。たとえば、認証の成功後にアクションを開始する場合は、チェックポイントを「認証後」に設定します。チェックポイントの詳細は、10.3.4項「チェックポイント」を参照してください。

- スコアリング・エンジン: リスク・レベルを決定する数値スコアの計算に使用する不正分析エンジンを選択します。スコアリング・エンジンの詳細は、10.2.8項「スコアリング・エンジンとは」を参照してください。

- 重み: 合計スコアに影響を与える重み付けされたスコアリング・エンジンを使用する場合は、乗数として0から100の値を入力します。
ポリシーが重み付けされたスコアリング・エンジンを使用する場合は、スコアと重み(乗数値)の両方を使用して合計スコアの計算に影響を与えます。ポリシーが重み付けされたスコアリング・エンジンを使用しない場合は、スコアのみを使用して合計スコアに影響を与えます。重みの詳細は、10.2.10項「重みとは」を参照してください。

- 説明: 関連性があり、意味のある説明を入力します。

3. 「適用」をクリックしてポリシーを作成します。
ポリシーが正常に作成されたことを示すメッセージを含む確認ダイアログが表示されます。「OK」をクリックして、確認ダイアログを閉じます。

「OK」をクリックすると、「ルール」タブ、「トリガー組合せ」タブおよび「グループ・リンク」タブが有効になります。完全にポリシーを構成するには、これらのタブにポリシーに関する情報を入力する必要があります。

例: ユーザーがKBAによるチャレンジを受ける場合のポリシーの作成

KBAチャレンジが発生するログイン・ユース・ケースを構成する必要があります。通常、ベスト・プラクティスは、プライマリ・メソッドによる正常な認証の後にのみKBAチャレンジを使用することです。認証後KBAチャレンジ・ポリシーは存在しないため、新たに作成する必要があります。セキュリティ・チームは、このポリシーをデプロイメント内のすべてのユーザーに適用されるようにします。そのため、すべてのユーザーに適用される新しい認証後KBAチャレンジ・ポリシーを作成する必要があります。ポリシーにKBAチャレンジという名前を付けることができます。

ポリシーを作成するには:

1. 管理者としてOAAM管理コンソールにログインします。

2. 「ポリシー」ノードをダブルクリックします。

3. ポリシー検索ページで、「新規ポリシー」ボタンをクリックします。
「新規ポリシー」ページが表示されます。「サマリー」タブに、新規ポリシーのデフォルト値が次のように表示されます。

- 「ポリシー・ステータス」: 「アクティブ」

- 「チェックポイント」: 「認証前」

- 「スコアリング・エンジン」: 「平均」

- 重み: 100

4. 新しい認証後セキュリティ・ポリシーを作成します。

1. 「ポリシー名」に、KBAチャレンジと入力します。

2. 「説明」に、「KBAチャレンジ」ポリシーの説明を入力します。

3. 「チェックポイント」で「認証後」を選択します。

4. 要件に応じてポリシー・ステータス、スコアリング・エンジンおよび重みを変更します。
デフォルトのポリシー・ステータスは、「アクティブ」です。無効化されたポリシーはチェックポイントで施行されません。

5. 「適用」をクリックします。
確認ダイアログに操作のステータスが表示されます。「適用」をクリックしたときに必須フィールドが入力されていない場合は、エラー・メッセージが表示されます。

6. 「OK」をクリックして、確認ダイアログを閉じます。

5. すべてのユーザーに対して実行されるようにポリシーを構成します。

1. 「グループ・リンク」タブをクリックします。

2. 「実行モード」で「すべてのユーザー」を選択します。
実行モードとして「すべてのユーザー」が選択されているため、ポリシーはすべてのユーザーに対して実行されます。

実行モードの指定は、ポリシーを実行するための必須手順です。これにより、ポリシーを一連のユーザーまたはすべてのユーザーに対して実行できます。詳細は、11.4項「ポリシーのすべてのユーザーまたはユーザーIDグループへのリンク」を参照してください。

3. 「適用」をクリックします。
確認ダイアログに操作のステータスが表示されます。

4. 「OK」をクリックして、確認ダイアログを閉じます。

「KBAチャレンジ」ポリシーは正常に作成されると、ポリシー検索ページの「検索結果」表にリストされます。

この例では説明されていませんが、ポリシーが機能するために、ポリシー内で新規ルールを作成(11.5項「ルールの作成」)するか、または既存のルールをポリシーにコピーして(11.8.9項「ポリシーへのルールのコピー」)、ポリシーにルールを追加する必要があります。

11.4 ポリシーのすべてのユーザーまたはユーザーIDグループへのリンク

グループ・リンクでは、ポリシーをリンクするユーザーを指定できます。ポリシーが機能するように、グループにポリシーをリンクする必要があります。ポリシーをグループにリンクすると、リンクされているグループ内の一連のユーザーに対してポリシーを実行できます。「すべてのユーザー」オプションは、ポリシーをすべてのユーザーにリンクします。「グループ・リンク」に「すべてのユーザー」が表示されている場合は、使用可能なすべてのリンクが無視されます。ユーザーがグループ・リンクとして「すべてのユーザー」を選択すると、リンク・オプションが無効になります。

ポリシーにリンクされているグループの合計数が「グループ・リンク」タブ・タイトルの横のカッコに表示されます。

ポリシーの作成後に、ポリシーを1つまたは複数のユーザーIDグループにリンクして、一連のユーザーに対してポリシーおよびルールが実行されるようにすることができます。

1. ポリシー詳細ページを開きます。

1. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

2. 必要なポリシーを検索します。

3. ポリシー名をクリックすると、ポリシー詳細ページが表示されます。

2. ポリシー詳細ページで「グループ・リンク」タブをクリックします。

3. 「実行モード」で「リンク・ユーザー」を指定します。

4. 表見出しの「リンク」アイコンをクリックします。

詳細を入力してグループをポリシーにリンクできる「グループのリンク」画面が表示されます。

5. 使用可能なターゲット・セットが関連するボックスに表示されます。
「グループ名」リストからポリシーにリンクするグループを選択します。

ユーザー・グループのみがリストされます。

「グループ名」は必須フィールドです。

6. リンク・ノートを入力します。

7. 「グループのリンク」をクリックします。

11.5 ルールの作成

ポリシーからのみルールを作成できます。条件を追加するまで、新規ルールは保存できません。

図11-4は、ルールの作成時に使用するページと各ページで入力する情報を示しています。

図11-4 ルールの作成

「結果」タブ

結果は、ルールがトリガーされた場合のアクションおよびメッセージのアクティブ化などのレスポンスであり、アクション(アクティブ化されたイベント)やアラート(アクティブ化されたメッセージ)などがあります。

プロセスの一環として、次の項目を指定します。

- ルール・スコアおよび重みの値。スコアおよび重みの詳細は、10.2.12項「リスク・スコアリングで行われる処理」を参照してください。

- アクション。アクションの詳細は、10.2.6項「アクションおよびアラートとは」を参照してください。

- アラート。アラートの詳細は、10.2.6項「アクションおよびアラートとは」を参照してください。

アクション

アクションはルールがトリガーされたときにアクティブ化されるイベントであり、ブロック・アクセス、チャレンジ質問、PINまたはパスワード要求などがあります。

アラート

アラートはルールがトリガーされたときに生成されるメッセージであり、このユーザーに対する新しい国からのログイン試行などがあります。

除外ユーザー・グループ

「事前条件」タブでは、除外するグループおよび地理的位置の信頼度係数パラメータを指定できます。

すべての事前条件では、ルールが評価されたかどうかがフィルタリングされます。事前条件を満たさない場合、条件はルールを処理しません。処理は事前条件レベルで終了します。

「除外ユーザー・グループ」フィールドで、ポリシーを適用しないユーザーIDグループを選択します。

デバイス・リスクの程度

デバイスのフィンガープリント処理は、カスタマが通常ログインに使用するデバイスを認識するメカニズムです。識別は、「デバイスID」の属性、セキュアなCookie、Flashムービー、ユーザー・エージェント文字列、ブラウザの特性、デバイス・ハードウェア構成、ネットワークの特性、地理的位置および履歴コンテキストの組合せに基づきます。デバイス・リスクの程度は、OAAMエンジンによって計算された値です。

様々なユース・ケースおよび例外が考慮され、デバイス・リスクの程度の定義に役立ちます。デバイス・リスクの程度により、識別されるデバイスの確実性を指定します。これは、ほぼすべてのルールで事前条件としての基準となります。

デバイス識別リスクの程度を指定するスコアの範囲は、次のとおりです。

- 400以下: 低リスク

- 401から700: 中リスク

- 701以上: 高リスク

デバイスの程度が0の場合はセキュアなCookieと完全一致であり、500の場合は妥当な一致属性を持つ類似デバイス、1000の場合は信頼度が非常に低い類似デバイスとなります。

「デバイス・リスクの程度」は、デバイスを再識別するときに計算されます。たとえば、あるデバイスがデバイス#1234であると表明されており、データ・ポイントの一部が変更されている場合または過去のデバイスと一致しないようであるとOAAMロジックによって判定された場合には、リスクが大きくなります。その数字が大きくなるほど、このデバイスが表明されているとおりのものである確実性は低くなります。ルールごとに「デバイス・リスクの程度」を事前条件として使用できます。したがって、デバイスの強力な再識別に依存するルールでは、リスクが高い場合にルールをまったく実行しないように指定することもできます。たとえば、管理者は最終ログイン以降にデバイスが600MPH以上で移動しているかどうかを検出するルールに対して、リスクの程度を0から400の範囲に設定できます。これにより、デバイスIDが強力な場合にのみこのルールが実行されるようになります。

国信頼度係数、都道府県信頼度係数および市区町村信頼度係数

地理的位置の信頼度係数は、Quova地理的位置データに固有のものです。この係数は他のベンダーからは提供されません。そのため、Quovaデータが使用されている場合にのみ、事前条件を操作できます。Quovaは、市区町村、都道府県および国の3つの要素に信頼度レベルを割り当てます。この信頼度係数は、IP地理的位置情報に基づきます。

この値が大きいほど、ロケーションのマッピングが適切であるというQuovaからの信頼度レベルが高くなります。作成中のルールがIPロケーション識別の正確性に依存するようにする場合は、ルールの実行基準となる地理的位置の正確性を指定します。たとえば、ロケーションが不明なため、60%未満の場合にルールがトリガーされるようにします。

11.5.1 ルール作成プロセスの開始

ルール作成プロセスを開始するには:

1. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

2. 必要なポリシーを検索します。

3. 「検索結果」表でポリシーの名前をクリックします。そのポリシーのポリシー詳細ページが表示されます。

4. ポリシー詳細ページで、「ルール」タブをクリックします。

5. 「ルール」タブでツールバーの「ルールの追加」アイコンをクリックするか、または「アクション」メニューから「新規ルール」を選択します。
「新規ルール」ページが表示されます。

図11-5 新規ルール

注意:

ルールには、少なくとも1つの条件が必要です。少なくとも1つの条件を追加してから保存してください。

例: ポリシーへの新規ルールの追加

セキュリティ・ポリシーの作成後(「例: ユーザーがKBAによるチャレンジを受けるポリシーの作成」を参照)、リスク評価を実行するルールを作成できます。ユーザーがこれからログインするロケーションと前回ログインしたロケーションとの物理的距離を評価する要件を設定します。ルールでは、時間を指定して、2地点間を移動するのに必要な速度を計算する必要があります。セキュリティ・チームは、ユーザーが2地点間を時速500マイルよりも速く移動し、使用デバイスが異なる場合に、ユーザーに対してKBAチャレンジを実施することを決定しました。手順として、新規ルールUser Velocityを作成し、標準の条件「ユーザー: 最終成功ログインからの速度」を使用します。

新規ルールを追加するには:

1. 管理者としてOAAM管理コンソールにログインします。

2. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

3. 「KBAチャレンジ」を検索します。

4. 「検索結果」表で「KBAチャレンジ」をクリックします。KBAチャレンジのポリシー詳細ページが表示されます。

5. ポリシー詳細ページで、「ルール」タブをクリックします。

6. 「ルール」タブで、「ルールの追加」アイコンをクリックして新しいルールを追加します。

「新規ルール」ページが表示されます。

7. ルール名としてUser Velocityと入力します。

8. ルールの説明を入力します。

9. ルール・ステータスを選択します。
「新規ルール」ページを初めて表示したときのルール・ステータスのデフォルト値は、「アクティブ」です。

10. 「ユーザー: 最終成功ログインからの速度」ルール条件を追加して、新規ルールを作成します。

1. 「ユーザー: 最終成功ログインからの速度」条件を追加するには、「条件」タブをクリックします。

2. 「条件」タブで、「条件の追加」アイコンをクリックします。「条件の追加」ページが表示されます。

3. 「条件名」フィールドにvelocityと入力し、「検索」をクリックして、「ユーザー: 最終成功ログインからの速度」条件を検索します。

4. 「結果」表から、条件を選択し、「OK」をクリックします。

5. 新規ルール/User Velocityページの上部のパネルで、「ユーザー: 最終成功ログインからの速度」を選択します。
下部のパネルに、この条件のパラメータが表示されます。

6. 下部のパネルで、パラメータを変更します。

1. 「次を超える1時間当たりのマイル」に500を入力します。

2. 「最終ログイン・デバイスが同じ場合は無視」で「true」を選択します。

7. 「保存」をクリックして変更を保存します。変更されたルール・パラメータが正常に保存されたことを示すメッセージを含む確認ダイアログが表示されます。

8. 「OK」をクリックして、確認ダイアログを閉じます。

11. User Velocityルールの結果としてKBAチャレンジを追加します。

1. 「結果」タブをクリックします。
「結果」タブでは、条件が満たされた場合のルールの結果を指定できます。

2. ルールがトリガーされた場合にKBAチャレンジが発生するように設定するには、「アクション・グループ」リストで「ChallengeQuestionPad」を選択します。

12. 「適用」をクリックします。変更されたルール詳細が正常に保存されたことを示すメッセージを含む確認ダイアログが表示されます。
必要なフィールドが入力されていない場合に「適用」をクリックすると、エラーが表示されます。

ルールが正常に作成されると、この新規ルールはポリシー詳細ページの「ルール」タブにリストされます。

13. 「OK」をクリックして、確認ダイアログを閉じます。

例: ルール作成の取消し

セキュリティ管理者のWilliamは新規ポリシーを作成します。彼は自分のビジネス・ユース・ケースに適用するルール条件がわかりません。そのため、条件を追加せずにルールを閉じることにしました。

1. 管理者としてOAAM管理コンソールにログインします。

2. 「ポリシー」ノードをダブルクリックします。

3. ポリシー検索ページで、「新規ポリシー」ボタンをクリックします。

4. 新規ポリシーを作成します。

5. ポリシー詳細ページで、「ルール」タブをクリックします。

6. 「ルール」タブで、「ルールの追加」アイコンをクリックして新しいルールを追加します。
「新規ルール」ページが表示されます。

7. ルール名を入力します。

8. ルールの説明を入力します。

9. 条件を追加するには、「条件」タブをクリックします。

10. 「条件」タブで、「条件の追加」アイコンをクリックします。「条件の追加」ページが表示されます。

11. 「条件名」フィールドに名前を入力し、「検索」をクリックして、条件を検索します。

12. 「結果」表でこの条件を選択します。

13. 「取消」をクリックします。
自分のビジネス・ユース・ケースに適用するルール条件がわかりません。

14. 右上隅にある「削除」ボタンをクリックします。
「未保存データの警告」ダイアログが表示され、次のメッセージが示されます。「未保存のデータがあります。続行しますか。」

15. 「はい」をクリックします。
「ルール」ページが再度表示されます。

16. 右上隅にある「削除」ボタンを再度クリックします。
ポリシー検索ページが再度表示されます。

17. 「検索結果」表で、作成したポリシーをクリックします。
ルールは作成されていません。

11.5.2 一般的なルール情報の指定

表11-7に、ルールの一般情報の概要を示します。

表11-7 「新規ルール」ページ

フィールド

説明

ルール名

ルールの名前。1から4000文字で入力します。

ポリシー名

ポリシーの名前。(読取り専用)

ルール・ステータス

ルールのステータス(「アクティブ」または「無効」)。ルール・ステータスが「アクティブ」から「無効」に変更された場合、ルールは無効であり、ポリシーに追加できません。すでにルールが含まれているポリシーは影響を受けず、引き続き以前と同様に機能します。

説明

ルールに関する説明。1から4000文字で入力します。

ルールに関する一般情報を追加するには、次の手順を実行します。

1. 「サマリー」タブで、ルールの名前および説明を入力します。ルール名はポリシー間で重複できますが、同じポリシー内では重複できません。
ルール名または説明を入力する前に別のタブにナビゲートしようとすると、値が必要であることを示すエラー・メッセージが表示されます。

ポリシー名は変更できません。

2. ルールを無効にする場合は、「無効」を選択します。「ルール・ステータス」のデフォルト値は「アクティブ」です。無効化されているルールは、ポリシーの施行時に実行されません。

11.5.3 事前条件の構成

事前条件によって、除外するグループおよび地理的位置の信頼度係数パラメータを指定できます。

すべての事前条件では、ルールが評価されたかどうかがフィルタリングされます。事前条件を満たさない場合、条件はルールを処理しません。処理は事前条件レベルで終了します。

ルールの事前条件を指定するには:

1. ルールの詳細ページを開きます。

1. 「ルール」ノードをダブルクリックします。ルール検索ページが表示されます。

2. 事前条件を指定するルールを検索します。

3. 「検索結果」表で、ルールの名前をクリックします。そのルールのルールの詳細ページが表示されます。

2. ルールの詳細ページで、「事前条件」タブをクリックします。

3. 「除外ユーザー・グループ」: 「除外ユーザー・グループ」フィールドで、ポリシーを適用しないユーザーIDグループを選択します。

4. デバイス・リスクの程度:
デバイス識別リスクの程度を指定するスコアの範囲は、次のとおりです。

- 400以下: 低リスク

- 401から700: 中リスク

- 701以上: 高リスク

5. 「国信頼度係数」、「都道府県信頼度係数」および「市区町村信頼度係数」: IPアドレス・ロケーション・ベンダーは3つの要素(国、都道府県、市区町村)に信頼度係数を割り当てることができます。この信頼度係数は、IP地理的位置情報に基づきます。

例: ルールの例外グループの追加

セキュリティ管理者のJeffは、ルールの事前条件として使用される例外ユーザー・グループを作成する必要があります。Jeffはブラックリスト国のルールを作成しており、例外グループを作成する必要があることに気付いたため、「BLC: exception users」という名前の新規ユーザー・グループを作成します。彼は説明に、「CSRマネージャは、システムへのアクセス許可を永続的に必要とするブラックリスト国からのユーザーを追加できる」というノートを入力します。このユーザー・グループは作成されると、事前条件として追加されます。ルールが本番環境になった後に、CSRマネージャはブラックリストに記載された国に移動したユーザーを支援します。グループに自身のユーザーIDを手動で追加して、ルールの例外となり、この効果に対する自身のケースにノートを追加します。

1. 「BLC: exception users」という名前の新規ユーザー・グループを作成します。
グループ名: BLC: exception users

グループ・タイプ: ユーザーID

説明に、ブラックリスト国からのアクセスを永続的に許可される必要があるユーザーを追加することを調査担当者に伝えるノートを入力します。

2. 既存のユーザーIDを選択して、BLC: exception usersグループに追加します。
ユーザー・グループを作成してからメンバーを追加する方法の詳細は、12.5.5項「グループへのIP範囲、ユーザーID、デバイス、ユーザー名、IPアドレスおよびインターネット・サービス・プロバイダの追加」を参照してください。

3. 認証後のブラックリスト国ポリシーでルールを作成します。

- ルール条件には、「ロケーション: グループ内IP」を選択します。

- 「事前条件」で、例外グループとして「BLC: exception users」を選択します。

4. ルールが本番環境になった後に、調査担当者はブラックリスト国に移動したユーザーを支援します。グループに自身のユーザーIDを手動で追加して、ルールの例外となり、この効果に対する自身のケースにノートを追加します。

11.5.4 条件のルールへの追加

「ルール」ページの「条件」タブには、ルール内の条件が表示され、他の条件を追加したり、条件をカスタマイズできます。

図11-6 条件の追加

ルールに条件を追加するには、次の手順に従います。

1. 条件を追加するルールのルールの詳細ページが表示されていない場合は、このページに移動します。

1. ナビゲーション・ツリーで「ルール」を選択します。ルール検索ページが表示されます。

2. 条件を追加するルールを検索します。

3. 「検索結果」表で、ルールの名前をクリックします。そのルールのルールの詳細ページが表示されます。

2. ルールの詳細ページで、「条件」タブをクリックします。

3. 「条件」タブで、「条件の追加」アイコンをクリックします。「条件の追加」ダイアログが表示されます。

4. ルール用の条件を検索します。

5. 「検索結果」表で、条件を選択して「追加」をクリックします。

図11-7 条件の追加

6. 「条件」編集ページの上部ペインで、条件を選択します。
下部ペインに、この条件のパラメータが表示されます。

7. 下部ペインで、要件に応じてパラメータを変更します。

8. 「保存」をクリックして変更を保存します。
確認ダイアログに操作のステータスが表示されます。

9. 「OK」をクリックして、確認ダイアログを閉じます。

10. 「適用」をクリックします。変更されたルールの詳細が正常に保存されます。

図11-8「条件のパラメータ」に、「条件」タブの例を示します。

図11-8 条件パラメータ

上部のタブにルールの条件が表示されます。

表11-8に、「条件」タブの上部ペインのフィールドを示します。

表11-8 ルールの詳細の「条件」タブ

フィールド

説明

順序

条件の順序。ルールの条件は順番に評価されます。後続の条件は、現在の条件がtrueと評価された場合にのみ評価されます。つまり、条件がfalseと評価されると、評価は停止されます。ルールがトリガーされるには、ルールを構成するすべての条件がtrueと評価される必要があります。いずれかの条件がfalseと評価された場合は、ルールがfalseと評価され、このルールはトリガーされません。

条件名

条件の名前。

説明

条件の説明。

一度に表示または編集できるのは、1つの条件のパラメータのみです。

11.5.5 ルールの結果の指定

結果は、ルールがトリガーされた場合のアクションやメッセージのアクティブ化などのレスポンスです。たとえば、アクション(アクティブ化されたイベント)やアラート(アクティブ化されたメッセージ)があります。

プロセスの一環として、次の項目を指定します。

- スコアおよび重み

- アクション
アクションは、ルールがトリガーされるときにアクティブ化されるイベントです。たとえば、ブロック・アクセス、チャレンジ質問、PINまたはパスワード要求などがあります。アクション・グループの詳細は、第12章「グループの管理」を参照してください。

- アラート
アラートは、ルールがトリガーされるときに生成されるメッセージです。例: 「このユーザーに対する新しい国からのログイン試行」。アラート・グループの詳細は、第12章「グループの管理」を参照してください。

ルールがトリガーされた場合の結果を指定するには、次の手順を実行します。

1. 該当するルールのルールの詳細ページが表示されていない場合は、ルールの詳細ページを開きます。

1. 「ルール」ノードをダブルクリックします。ルール検索ページが表示されます。

2. 結果を指定するルールを検索します。

3. 「検索結果」表で、ルールの名前をクリックします。そのルールのルールの詳細ページが表示されます。

2. ルールの詳細ページで、「結果」タブをクリックします。

3. ルール・スコアおよび重みの値を入力します。
ルールの重みの値を変更して、OAAM管理に合計スコアの値を増減するように指示できます。

デフォルトでは、スコアが1000で、重みが100です。

4. アクションが必要な場合は、そのルールによってトリガーされるアクションを「アクション・グループ」リストで選択します。
デフォルトでは、「アクション・グループ」は選択されていません。

5. 「アラート・グループ」リストで、そのルールがトリガーされた場合に送信されるアラートを選択します。
デフォルトでは、「アラート・グループ」は選択されていません。

6. 「適用」をクリックして変更したルールの詳細を保存します。

ルール・エンジンによって、指定したルールに関する情報およびポリシーの他のルールで指定されている情報が使用され、ポリシーにルールの結果が返されます。ポリシー・セットのすべてのポリシーでは、複数のアクション、スコアおよびアラートが導き出されます。これらはすべてチェックポイントに伝播されます。スコア、重みなどによって、1つの最終スコア、最終アクションおよび少数のアラートが導き出されます。

最終アクションには、ブロックなどがあります。アクション・リストの例はブロック、チャレンジ、バックグラウンド・チェックであり、スコアの例は800です。

表11-9 「結果」タブ

フィールド

説明

スコア

0から1000の整数値。「スコア」の最小スコアと最大スコアはプロパティとして定義されます。

重み

0から100の整数値。

アクション・グループ

アクションのグループ。アクション・グループは、ルールがトリガーされたときに実行される必要があるすべてのアクションを示します。

アラート・グループ

ルールがトリガーされたときにグループ内のすべてのアラートがアクティブ化されるように、ルール内の結果として使用される等級付けされたメッセージのグループ。

11.5.6 ポリシーへのルールの追加またはコピー

「ルールのコピー」ボタンを使用すると、既存のルールを他のポリシーにコピーできます。

11.6 トリガー組合せの設定

トリガー組合せは、一連の特定のルールがトリガーされた場合に生成される追加の結果およびポリシー評価です。トリガー組合せを設定するには、「ポリシー詳細」ページを使用します。追加できるトリガー組合せの数に制限はありません。ポリシー内のトリガー組合せの合計数が、タブ・タイトルの横のカッコ内に表示されます。最初の列は固定されており、ラベルを参照しながらスクロールして表のすべてのデータを表示できます。

デフォルトでは、ポリシーにトリガー組合せがない場合、ポリシー内のすべてのルールとトリガー組合せ用の列を1つ含む表が作成されます。組合せは編集して保存できます。複数のトリガー組合せを編集して一度に保存することができます。

図11-9 トリガー組合せ

表11-10では、「トリガー組合せ」のフィールドについて説明します。アクション・グループおよびアラート・グループの詳細は、第12章「グループの管理」を参照してください。

表11-10 トリガー組合せ

フィールド

説明

説明

トリガー組合せに関する説明。各トリガー組合せには説明があります。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。

名前

ルールの名前。

スコア/ポリシー

「スコア」を選択すると、0から1000の整数値を入力できるスコア・ボックスが表示されます。「スコア」の最小スコアと最大スコアはプロパティとして定義されます。

0以下のスコアは無視されます。

「ポリシー」を選択すると、同じチェックポイントのポリシーが含まれたポリシー・リストが表示されます。

ポリシー

「ポリシー」を選択すると、同じチェックポイントで実行されるようにネストされたポリシーが構成されます。

アクション・グループ

アクション・グループは、ルールがトリガーされたときに実行される必要があるすべてのアクションを示します。

アラート・グループ

アラート・グループは、ルールがトリガーされたときにグループ内のすべてのアラートがアクティブ化されるように、ルール内の結果として使用される等級付けされたメッセージで構成されます。

トリガー組合せの編集中にこのタブから移動すると、トリガー組合せがセッションに保存され、再度このタブにナビゲートしたときに使用可能となります。

注意:

「追加」、「削除」などの操作は元に戻すことができません。このような操作は実行する準備ができたことを確認してから実行してください。

表11-11「トリガー組合せ」ツールバー・オプションに、ツールバーで使用可能なコマンドを示します。

表11-11 「トリガー組合せ」ツールバー・オプション

コマンド

説明

追加

このボタンは、新しい列(トリガー組合せ)を追加します。

削除

このボタンは、列または行が選択されている場合にのみ有効になります。「削除」ボタンを使用して、複数のトリガー組合せを削除することもできます。

「削除」ボタンをクリックすると、確認を求める警告メッセージが表示されます。

順序変更

このボタンによって、「順序変更」画面が起動します。「順序変更」ボタンを使用すると、列の順序を変更できます。

トリガー組合せを指定するには:

1. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

2. 必要なポリシーを検索します。

3. ポリシー名をクリックすると、ポリシー詳細ページが表示されます。

4. 「トリガー組合せ」タブをクリックします。

5. 最初の列で各ルールの戻り値の順列を選択します。

6. 「スコア/ポリシー」行で、「スコア」または「ポリシー」を選択して、結果がスコアまたはネストされたポリシーへのポイントのいずれを返すかを指定します。

- すぐ下にあるフィールドで「スコア」を選択した場合は、その組合せに割り当てるスコアを指定します。

- すぐ下にあるフィールドで「ポリシー」を選択した場合は、リスクの追加評価のために実行するポリシーを指定します。
同じチェックポイントのポリシーのリストのみ使用可能です。

7. アクション結果を設定します。

8. アラート結果を設定します。

9. トリガー組合せを指定する場合は、「追加」をクリックして別の列を追加します。

10. 対象の各トリガー組合せに対して手順5から8を繰り返します。

11. 「トリガー組合せ」タブで、すべての編集の後に「適用」をクリックします。

同じ組合せのトリガー組合せを2つ追加することはできません。新規組合せを追加すると、各組合せは自動的に保存され、検証されます。

トリガー組合せの編集中にこのタブから移動すると、未保存のトリガー組合せがセッションに保存され、再度このタブにナビゲートしたときに使用可能となります。

トリガー組合せの例: KBAチャレンジが発生する可能性のあるルールを含むポリシーのネスト

ユーザーにKBAチャレンジを実施するために、Oracle Adaptive Access Managerでは次の2つの項目を確認する必要があります。

- 最初に、ユーザーがチャレンジ質問を登録しているかどうかを確認します。

- 次に、チャレンジ・シナリオが実行される場合に、ユーザーにアクティブにチャレンジする質問が設定されているかどうかを確認します。

この動作を構成するには、KBAチャレンジが発生する可能性があるルールを含む新しいセキュリティ・ポリシーを、登録ステータスを確認するKBAビジネス・ルールを含むポリシーにネストする必要があります。

手順: ポリシー・トリガー組合せを使用して、「システム - 質問チェック」ポリシーに「KBAチャレンジ」ポリシーをネストします。

「KBAチャレンジ」ポリシーは、「例: ユーザーがKBAによるチャレンジを受ける場合のポリシーの作成」で作成したポリシーです。

トリガー組合せを作成するには:

1. 管理者としてOAAM管理コンソールにログインします。

2. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

3. 「システム - 質問チェック」確認ポリシーを検索します。

4. 「検索結果」表で「システム - 質問チェック」をクリックします。「システム - 質問チェック」ポリシーのポリシー詳細ページが表示されます。

5. ポリシー詳細ページで「トリガー組合せ」タブをクリックします。

6. 「トリガー組合せ」タブで「トリガー組合せの追加」アイコンをクリックします。
表に追加された列は、トリガー組合せに対応しています。

デフォルトでは、トリガー組合せはポリシー内のすべてのルールを使用して作成されます。ポリシーで使用されるルールは、行名で表されます。

たとえば、登録ステータスを確認するルールは次のような行で表示されます。

- 条件「ユーザー: アカウント・ステータス」を使用して登録されたユーザー

- 質問登録済

- 未登録ユーザー

7. トリガー組合せの「説明」フィールドに説明を入力します。

8. ルールごとに、実行される必要があるトリガー組合せに基づくルール結果を指定します。

- 「True」: ルールがトリガーされます。

- 「False」: ルールがトリガーされません。

- 「任意」: トリガーされるかどうかのルールが無視されます。

デフォルトでは、トリガー組合せは、ルール結果「任意」に対して実行されます。

9. トリガー組合せについて、トリガー組合せがトリガーされた場合に結果によりネストされたポリシーが返されることを指定します。
「ポリシー」を選択し、その直下のフィールドで、リスクをさらに評価するために実行するポリシーとして「KBAチャレンジ」を指定します。

ネストされたポリシーは、システムから最初に出力された結果が不明確である場合に、リスク・スコアをさらに定量化するために使用されるセカンダリ・ポリシーです。リスク・スコアの正確性を高めるために、ネストされたポリシーを割り当てることができます。

10. 「アクション・グループ」を選択します。
アクションは、組合せがトリガーされるときに生成されるイベントです。

11. 「アラート・グループ」を選択します。
アラートは、組合せがトリガーされるときに生成されるメッセージです。

12. 「適用」をクリックします。ポリシー詳細が正常に更新されたことを示す確認ダイアログが表示されます。

13. 「OK」をクリックしてダイアログ・ボックスを閉じます。

例: トリガー組合せおよびルールの評価

セキュリティ管理者のJeffは、1つのルールがトリガーされた場合はKBAを、特定の組合せのルールがトリガーされた場合はOTPを使用してユーザーにチャレンジする2つのレベルの認証を構成する必要があります。

彼が実行する必要があるタスクは次のとおりです。

- ユーザーのログイン回数を4時間の時間範囲バケットにプロファイリングするパターンを作成します。

- ユーザーのログイン時の状態をプロファイリングする2番目のパターンを作成します。

- ユーザーにアクティブなKBAがある場合にのみこれらの評価が実行されるようにするための、KBAチャレンジ・ポリシーでこれらのパターンを使用するルールを作成します。

- ユーザーが先月の時間の10%未満に該当するログイン時間バケットに当てはまる場合に、KBAを使用してチャレンジするルールを作成します。

- 次に、ユーザーが過去2週間の時間の20%未満を使用している都道府県からログインした場合に、KBAを使用してチャレンジするルールを作成します。

- その後、ユーザーがOTP配信チャネルをアクティブにしているかどうかを確認するルールを作成します。

- 最後に、これら3つのルールのすべてからtrueが返された場合にユーザーにOTPチャレンジするトリガー組合せを構成します。

これらのタスクを実施するには、次の手順を実行します。

1. 管理者としてOAAM管理コンソールにログインします。

2. 「パターン」ノードをダブルクリックします。パターン検索ページが表示されます。

3. 「新規パターン」ボタンをクリックします。
次のようにパターン「Pattern 1」を作成します。

- 「メンバー・タイプ」: 「ユーザー」

- 「作成方法」: 「複数バケット」

4. 「属性」タブをクリックします。

5. 「追加」アイコンをクリックします。

6. 属性として「時間」を選択します(ユーザーがログインした時間)。

7. 「次」をクリックします。

8. 「比較演算子」で「各」を選択し、比較値として4を選択します。

9. 「追加」をクリックします。

10. 「パターン」タブをクリックします。

11. 次のようにパターン「Pattern 2」を作成します。

- 「メンバー・タイプ」: 「ユーザー」

- 「作成方法」: 「複数バケット」

12. 「属性」タブをクリックします。

13. 「追加」アイコンをクリックします。

14. 属性として「状態」を選択します。

15. 各状態の比較演算子を選択します。

16. 「次」をクリックします。

17. Rule 1の作成: パターン条件エンティティは特定の率より少ないバケットのメンバーですを追加します。(Pattern 1および率= 10を選択し、期間として1か月を選択します。)

18. ユーザーが質問を登録しているかどうかを確認するルール「ユーザー: 質問ステータス」に条件を追加します。

19. アクション「KBAチャレンジ」をRule 1に追加します(このルールは、ユーザーに登録済の質問があり、ユーザーが時間の10%未満の時間バケットからログインした場合にトリガーされます。この結果、ユーザーはKBAを使用してチャレンジされます)。

20. Rule 2の作成: パターン条件エンティティは特定の率より少ないバケットのメンバーですを追加します。(Pattern 2および率= 20を選択し、期間として15日を選択します)

21. Rule 3の作成: パターン条件ユーザー: OTPが有効を追加します。(条件チャネル・ステータスへのチャレンジを使用)

22. ポリシーを作成し、3つのルールをすべて追加します。

23. すべてのルールがトリガーされる(true)場合に、アクションが「チャレンジOTP」となるようにポリシーにトリガー組合せを追加します。

パターンの詳細は、第15章「自動学習の管理」を参照してください。

例: トリガー組合せの無効化

Jimはセキュリティ管理者です。彼はトリガー組合せを非アクティブ化して後で有効にしますが、設定を失いたくないと考えています。

この場合は、その組合せのスコア/ポリシー、アクションおよびアラートを設定せずにおくと、これらは自動的に無効状態になります。その組合せに基づくアクションは実行されません。

トリガー組合せを無効にするには:

1. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

2. 必要なポリシーを検索します。

3. ポリシー名をクリックすると、ポリシー詳細ページが表示されます。

4. 「トリガー組合せ」タブをクリックします。

5. スコアとして「0」を選択するか、またはネストされたポリシーが指定されないようにします。

6. 「アクション・グループ」リストのアクションの選択を解除します。

7. 「アラート・グループ」リストのアラートの選択を解除します。

8. 「トリガー組合せ」タブで、すべての編集の後に「適用」をクリックします。

11.7 ポリシー、グループおよび条件におけるグループの使用

グループは次のアイテムで使用されます:

- ポリシー
ポリシーはユーザーIDグループまたはユーザー・グループのすべてのユーザーおよびメンバーまたは評価されるすべてのユーザーにリンクされます。

ポリシー・ツリーは、ユーザーIDグループのポリシーへのリンクを示します。

- ポリシー内のルール
OAAM管理は特定のユーザー、デバイスまたはロケーション・グループにルールを適用して、不正シナリオが発生したかどうかを評価し、結果を判断します。

ルールにより、アクション・グループまたはアラート・グループ、あるいはその両方をトリガーできます。

- 条件
一部の条件は、グループをパラメータ・タイプとして使用します。たとえば、IPグループのIPなどです。条件では、IPグループ名/IPをパラメータとして使用します。

- トリガー組合せ
トリガー組合せで、グループのアラートが指定されます。

- 事前条件
ユーザー・グループをポリシーで除外できます。

- 構成可能なアクション
構成可能なアクションを動的に使用して、ユーザーIDグループのメンバーをユーザーIDグループに追加できます。

例: IPログインの急増

Williamはセキュリティ管理者であり、同じIPアドレスからのログイン回数を追跡し、1つのIPアドレスから1時間以内に10回を超えるログインがあれば、高アラートがトリガーされるポリシーおよびルールを構成する必要があります。

1. 管理者としてOAAM管理コンソールにログインします。

2. Monitor IP Addressesグループを作成します。

1. 「グループ」ノードをダブルクリックします。

2. グループ検索ページで「新規グループ」ボタンをクリックします。
「グループの作成」画面が表示されます。

3. グループ名としてMonitor IP addressesを入力し、「グループ・タイプ」で「IP」を選択して、「作成」をクリックします。

4. Monitor IP addressesグループ・ページで、「IP」タブをクリックします。

5. 「IP」タブで「追加」ボタンをクリックします。

6. 「IPの追加」画面で、「既存のIPから検索して選択」オプションを選択し、基準を入力して、「検索」をクリックします。

7. 「検索結果」表で、監視するIPアドレスを1つ選択し、「追加」をクリックします。
確認ダイアログが表示されます。

8. 「OK」をクリックします。

9. 必要に応じて監視するIPアドレスを追加します。

3. IP Surge High Alertグループを作成します。

1. グループ検索ページで「新規グループ」ボタンをクリックします。
「グループの作成」画面が表示されます。

2. グループ名としてIP Surgeを入力し、「グループ・タイプ」で「アラート」を選択して、「作成」をクリックします。
確認のメッセージが表示されます。

3. 「OK」をクリックして、確認ダイアログを閉じます。
新しいIP Surge alertグループが正常に作成され、グループ詳細ページが表示されます。

4. グループにアラートを追加するために、「アラート」タブをクリックします。

5. 「アラート」タブで「追加」(「メンバーの追加」)ボタンをクリックします。

6. メンバーの追加ページで、新規要素の作成を選択します。

7. 「アラート・タイプ」で調査担当者を選択します。

8. 「アラート・レベル」で「高」を選択します。

9. 「アラート・メッセージ」に、「More than 10 logins from the same IP address in 1 hour」と入力します。

10. 「追加」をクリックし、グループにアラートを追加します。
確認ダイアログが表示されます。

11. 「OK」をクリックしてダイアログ・ボックスを閉じます。

4. 「ポリシー」ノードをダブルクリックします。

5. ポリシー検索ページで、「新規ポリシー」ボタンをクリックします。
「新規ポリシー」ページが表示されます。「サマリー」タブに、新規ポリシーのデフォルト値が次のように表示されます。

- 「ポリシー・ステータス」: 「アクティブ」

- 「チェックポイント」: 「認証前」

- 「スコアリング・エンジン」: 「平均」

- 重み: 100

6. 新しい認証前セキュリティ・ポリシーを作成します。

1. 「ポリシー名」に、Logins_SameIPと入力します。

2. 「説明」に、「Track the number of logins from the same IP address and if there are more than 10 logins in the last hour from an IP address」と入力します。

3. ポリシー・ステータスとして「アクティブ」を選択します。選択しない場合、ポリシーはチェックポイントで実施されません。

4. スコアリング・エンジンとしてWeighted Maximum Scoreを入力し、重みとして100を入力します。

5. 「適用」をクリックします。
確認ダイアログに操作のステータスが表示されます。

「適用」をクリックしたときに必須フィールドが入力されていない場合は、エラー・メッセージが表示されます。

6. 「OK」をクリックして、確認ダイアログを閉じます。

7. すべてのユーザーに対して実行されるようにポリシーを構成します。

1. 「グループ・リンク」タブをクリックします。

2. 「実行モード」で「すべてのユーザー」を選択します。
実行モードとして「すべてのユーザー」が選択されているため、ポリシーはすべてのユーザーに対して実行されます。

実行モードの指定は、ポリシーを実行するための必須手順です。これにより、ポリシーを一連のユーザーまたはすべてのユーザーに対して実行できます。詳細は、11.4項「ポリシーのすべてのユーザーまたはユーザーIDグループへのリンク」を参照してください。

3. 「適用」をクリックします。
確認ダイアログに操作のステータスが表示されます。

4. 「OK」をクリックして、確認ダイアログを閉じます。

8. このポリシーに対してIP Excessive Useルールを作成します。

1. 「ルール」タブをクリックします。

2. 「ルール」タブで、「ルールの追加」アイコンをクリックして新しいルールを追加します。
「新規ルール」ページが表示されます。

3. 「サマリー」タブで、ルール名としてIP Excessive Useを入力します。

4. ルールの説明を入力します。

5. ルール・ステータスとして「アクティブ」を選択します。

6. 「ロケーション: IP過剰使用」ルール条件を追加して、新規ルールを作成します。

1. 「ロケーション: IP過剰使用」条件を追加するには、「条件」タブをクリックします。

2. 「条件」タブで、「条件の追加」アイコンをクリックします。「条件の追加」ページが表示されます。

3. 「条件名」フィールドにIPを入力し、「検索」をクリックして、「ロケーション: IP過剰使用」条件を検索します。

4. 「検索結果」表でこの条件を選択し、「OK」をクリックします。

5. 新規ルール/IPページの上部のパネルで「ロケーション: IP過剰使用」を選択します。
下部のパネルに、この条件のパラメータが表示されます。

6. 下部のパネルで、パラメータを変更します。
「ユーザー数」に10を入力します。

「範囲(時間)」で「1」を選択します。

「および使用されていない日数」に0を入力します。

9. このポリシーに対して「ロケーション: グループ内IP」ルールを作成します。

1. ポリシー詳細ページの「ルール」タブをクリックします。

2. 「ルール」タブで、「ルールの追加」アイコンをクリックして新しいルールを追加します。
「新規ルール」ページが表示されます。

3. 「サマリー」タブで、ルール名としてIP in Groupを入力します。

4. ルールの説明を入力します。

5. ルール・ステータスとして「アクティブ」を選択します。

6. 「ロケーション: グループ内IP」ルール条件を追加して、新規ルールを作成します。

1. 「ロケーション: グループ内IP」条件を追加するには、「条件」タブをクリックします。

2. 「条件」タブで、「条件の追加」アイコンをクリックします。「条件の追加」ページが表示されます。

3. 「条件名」フィールドにIPを入力し、「検索」をクリックして、「ロケーション: グループ内IP」条件を検索します。

4. 「検索結果」表でこの条件を選択し、「OK」をクリックします。

5. 新規ルール/IPページの上部のパネルで「ロケーション: グループ内IP」を選択します。
下部のパネルに、この条件のパラメータが表示されます。

6. 下部のパネルで、パラメータを変更します。
「リストにある」で「true」を選択します。

Monitor IP addressesグループを選択します。

10. 両方の条件がtrueの場合にブロック・アクションおよびIP Surge Alertがトリガーされるトリガー組合せを作成します。

1. ポリシー詳細ページで「トリガー組合せ」タブをクリックします。

2. 「トリガー組合せの追加」アイコンをクリックします。

3. 「IP Excessive Use」で「True」を選択します。

4. 「グループ内IP」で「True」を選択します。

5. 「アクション・グループ」で「ブロック」を選択します。

6. 「アラート・グループ」で「IP Surge High Alert」を選択します。

7. 「適用」をクリックします。

例: ルール条件へのグループのリンク

要件として、様々な目的で使用される既存の高リスク国グループを、ポリシー「システム - ブロック前」のルールにリンクする必要があります。11.11.2「例: ポリシーのインポート」を参照してください。

手順: 高リスク国グループを検索し、作成した「KBAチャレンジ」ポリシー内のルールにリンクします。

グループをルール条件にリンクするには:

1. 管理者としてOAAM管理コンソールにログインします。

2. 「ルール」ノードをダブルクリックします。ルール検索ページが表示されます。

3. 「ブラックリストに記載された国」ルールを検索します。

4. 「検索結果」表で「ブラックリストに記載された国」をクリックします。「ブラックリストに記載された国」ルールのルールの詳細ページが表示されます。

5. 「ブラックリストに記載された国」ルールで「グループ内」条件を選択します。

1. ルールの詳細ページで、「条件」タブをクリックします。

2. 「条件」タブで、「条件の追加」アイコンをクリックします。「条件の追加」ページが表示されます。

3. 条件「ロケーション: 国グループ内」を検索します。
この条件では、IPアドレスが指定された国グループ内であるかどうかが確認されます。

4. 「検索結果」表から、条件「ロケーション: 国グループ内」を選択し、「OK」をクリックします。

6. 既存の高リスク国グループをこのルール条件にリンクします。

1. 条件編集ページの上部のパネルで、条件「ロケーション: 国グループ内」を選択します。
下部のパネルに、この条件のパラメータが表示されます。

2. 下部のパネルで、パラメータを次のように設定して変更します。
「リストにある」: 「true」

「国グループ内の国」: 「制限付き国」

7. 「保存」をクリックして変更を保存します。変更されたルール・パラメータが正常に保存されたことを示すメッセージを含む確認ダイアログが表示されます。

8. 「OK」をクリックして、確認ダイアログを閉じます。

9. 「適用」をクリックします。変更されたルール詳細が正常に保存されたことを示すメッセージを含む確認ダイアログが表示されます。

例: ブラックリストに記載されている国の確認

セキュリティ管理者のJeffは新規のインストールを行ったばかりで、ベース・セキュリティ・ポリシーをOracle Adaptive Access Managerの開発環境にインポートする必要があります。ベース・ポリシーをサポートするために、彼はブラックリスト国グループも構成します。さらに、テスト・ユーザーのグループのフェーズ2をテストする適切な展開フェーズ・ポリシーにユーザー・グループをリンクします。

ポリシーをインポートするには:

1. 管理者としてOAAM管理コンソールにログインします。

2. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

3. ポリシー検索ページの「ポリシーのインポート」をクリックします。「ポリシーのインポート」画面が表示されます。

4. 「参照」をクリックして、ポリシーのZIPファイルを検索します。

5. 「OK」をクリックして、ポリシーのZIPファイルをアップロードします。
確認ダイアログに操作のステータスが表示されます。インポートされたポリシーは、「インポートされたリスト」セクション内にリストされます。無効な形式または空のZIPファイルでファイルをインポートしようとすると、エラーが表示されます。

6. 「OK」をクリックして、確認ダイアログを閉じます。

7. ポリシー検索ページで、ポリシーが「検索結果」表に表示されていることを確認します。

8. 「グループ」ノードをダブルクリックします。グループ検索ページが表示されます。

9. グループ検索ページから、「新規グループ」ボタンまたはアイコンをクリックします。
「新規グループ」画面が表示されます。

「新規グループ」画面は、「グループ」ノードを右クリックし、表示されたコンテキスト・メニューから「作成」を選択して開くこともできます。

10. 「新規グループ」画面で、名前をBlack-listed Country Groupと入力し、説明を入力します。

11. 「グループ・タイプ」リストから「国」を選択します。

12. キャッシュ・ポリシーを「フル・キャッシュ」または「なし」に設定します。

13. 「OK」をクリックすると、Black-listed Country Groupが作成されます。

14. 「OK」をクリックしてダイアログ・ボックスを閉じます。
Black-listed Country Groupのグループ詳細ページが表示されます。

15. グループ詳細ページの「国」タブで、「追加」をクリックします。
「メンバーの追加」ダイアログが表示されます。

16. 「使用可能な国」表から、グループに追加する1つ以上の国を選択します。

17. 「追加」をクリックします。

18. ポリシー検索ページを開きます。

19. 認証後ポリシーを検索します。

20. 「結果」表で認証後ポリシーをクリックします。
ポリシー詳細ページが表示されます。

21. このポリシーに「テスト・ユーザー」グループをリンクします。

22. ポリシー詳細ページで、「ルール」タブをクリックします。

23. 「ルール」タブで、「ルールの追加」アイコンをクリックします。

24. 「新規ルール」ページで、ルール名をLocation: In Country Groupと入力します。

25. 「条件」タブをクリックします。

26. 「条件」ページで、「条件の追加」アイコンをクリックします。
条件の追加ページが表示され、ここで「ロケーション: 国グループ内」条件を検索および選択して、この条件をルールに追加できます。

27. 「OK」をクリックします。
条件のパラメータが下部のパネルに表示されます。

28. パラメータ領域で、「国グループ内の国」で「Black-listed Country Group」を選択し、「グループ内」で「True」を選択します。

29. 「保存」をクリックします。

30. 「結果」タブで、「アクション」グループとして「RegisterUserOptional」を選択します。
「RegisterUserOptional」を使用すると、ユーザーはパーソナライズされた画像の選択のオプトインまたはオプトアウトを選択できます。

31. 「適用」をクリックします。

11.8 ポリシーの管理

この項では、ポリシーの管理方法について説明します。

11.8.1 ポリシー検索ページへのナビゲート

ポリシー検索ページを開くには、「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

ポリシー検索ページは、次の方法で開くこともできます。

- 「ポリシー」ノードを右クリックして、コンテキスト・メニューから「ポリシーのリスト」を選択します。

- 「ポリシー」ノードを選択して、「アクション」メニューから「ポリシーのリスト」を選択します。

- ナビゲーション・ツールバーの「ポリシーのリスト」ボタンをクリックします。

ポリシー検索ページは、ポリシーを管理するための開始位置です。セキュリティ管理者のホーム・ページでもあります。

ポリシー検索ページでは、次の作業を実行できます。

- ポリシーの検索

- ポリシーのリストの表示

- 新規のポリシーの作成

- ポリシーのインポート

- ポリシーのエクスポート

- ポリシーのエクスポートおよび削除スクリプトの作成

- ポリシーの削除

- ポリシー詳細ページのオープン

図11-10「ポリシー検索ページ」に、ポリシー検索ページの例を示します。

図11-10 ポリシー検索ページ

11.8.2 ポリシーの検索

ポリシー検索ページでは、検索フィルタに基準を指定してポリシーを検索します。

ポリシー検索ページを初めて表示した場合、「検索結果」表は空になっています。Oracle Adaptive Access Manager環境のポリシーのリストを表示するには、「検索」を押す必要があります。

ポリシーを検索するには:

1. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

2. 検索フィルタでポリシーを検索する基準を指定し、「検索」をクリックします。
「検索」のかわりに「リセット」をクリックすると、検索基準がリセットされます。

検索フィルタ基準については、表11-12で説明します。

表11-12 ポリシー検索フィルタ基準

フィルタおよびフィールド

説明

リンクされたグループ

ユーザーは、ポリシーがリンクされているユーザー・グループに基づいてポリシーをフィルタリングできます。

「リンクされたグループ」フィルタは「実行モード」が「リンクされていません」の場合は、関連付けられているユーザーIDグループがないため無効になります。

ポリシー名

ポリシーの名前。完全な名前、またはポリシー名の一部を入力できます。たとえば、HTTPと入力すると、名前の一部にHTTPが含まれるポリシーが表示されます。

ポリシー・ステータス

ポリシーのステータス: 「アクティブ」または「無効」。

ポリシーのステータスまたはビジネス・プロセスでの可用性を定義します。

詳細は、「ポリシー・ステータス」を参照してください。

チェックポイント

セッション中にポリシーのルールが評価される時点。

実行モード

「実行モード」では、ポリシーをすべてのユーザーまたは特定のユーザーIDグループにリンクするか、あるいはポリシーをリンクしないかを選択できます。ポリシーをグループにリンクすると、リンクされているグループ内の一連のユーザーに対してポリシーを実行できます。

- 「すべてのユーザー」オプションは、ポリシーをすべてのユーザーにリンクします。ポリシーはすべてのユーザーに指定されます。

- 「リンク・ユーザー」オプションは、ポリシーを1つまたは複数のユーザーIDグループにリンクします。ポリシーは一連の特定のユーザーに指定されます。

作成日

ポリシーが作成された時刻。

更新時間

ポリシーが最後に更新された時刻。

11.8.3 ポリシーまたはポリシー・リストの表示

実行された検索に応じて、「検索結果」表にポリシーまたはポリシーのリストが表示されます。検索によって表示されるポリシーは、「リンクされたグループ」、「ポリシー名」、「ポリシー・ステータス」、「チェックポイント」および「実行モード」の各フィールドに指定されている基準に一致したポリシーです。

「検索結果」表は、列をソートしてソートできます。

各ポリシーには名前があります。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。

「検索結果」表からポリシーのポリシー詳細ページにすばやくアクセスできます。詳細を表示するには、目的のポリシーのポリシー名をクリックします。

11.8.4 ポリシー詳細の表示

ポリシー名をクリックすると、そのポリシーのポリシー詳細ページが表示されます。

ポリシー詳細ページでは、ポリシーの詳細を表示および編集できます。ポリシー詳細ページには、ポリシー・ツリーからアクセスすることもできます。詳細は、第3章「共通の管理およびナビゲーションのスタート・ガイド」を参照してください。

ポリシー詳細ページには、次の4つのタブがあります。

- 「サマリー」: ポリシーの一般詳細を表示および編集できます。

図11-11 ポリシー詳細の「サマリー」タブ

- 「ルール」: ポリシーのすべてのルールのリストを表示し、それらを追加および削除できます。

図11-12 ポリシー詳細の「ルール」タブ

- 「トリガー組合せ」: ポリシーのトリガー組合せを表示し、それらを追加、削除および編集できます。

- 「グループ・リンク」: ポリシーをユーザーIDグループにリンクできます。

ポリシー詳細ページのタブでは、ポリシーに存在するルール、トリガー組合せおよびグループ・リンクの数がカッコ内に表示されます。無効化されたルールもカウントに含まれます。

11.8.5 ポリシーの一般情報の編集

ポリシーの一般情報を編集するには:

1. 11.8.2項「ポリシーの検索」の説明に従って、目的のポリシーを検索します。

2. 「検索結果」表で、編集するポリシーの名前をクリックします。
表11-12「ポリシー詳細の「サマリー」タブ」に示すように、「サマリー」タブにそのポリシーの一般詳細が表示されます。

表11-13 ポリシー詳細の「サマリー」タブ

フィールド

説明

ポリシー名

ポリシーの名前。

ポリシー・ステータス

ポリシーのステータス: 「アクティブ」または「無効」。

ポリシーのステータスまたはビジネス・プロセスでの可用性を定義します。

詳細は、「ポリシー・ステータス」を参照してください。

チェックポイント

セッション中にポリシーのルールが評価される時点。

スコアリング・エンジン

リスク・レベルを決定する数値スコアの計算に使用する不正分析エンジン。

重み

様々な評価レベルの合計スコアに影響を与えるために使用される乗数。重みは0から100の整数値です。

説明

ポリシーの説明。

3. ポリシーの一般情報を編集するには、「サマリー」タブで変更を行ってから「適用」をクリックします。
ポリシー詳細が正常に更新されます。

例: 既存セキュリティ・ポリシーの編集

セキュリティ管理者のJeffは、チャレンジ質問での最大試行回数の変更を考えています。このため、彼はルール・パラメータを編集する必要があります。

ベスト・プラクティスは、KBAチャレンジの最大失敗回数を各ユーザーが登録するチャレンジ質問の合計数よりも1少ない数に設定することです。たとえば、すべてのユーザーが質問を4つ登録している場合、許可される最大失敗回数は3となります。

既存のセキュリティ・ポリシーを編集するには、次の手順を実行します。

1. 管理者としてOAAM管理コンソールにログインします。

2. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

3. 「検索結果」表で不正ブロックをクリックします。

4. ポリシー詳細ページの「ルール」タブで「失敗したチャレンジの最大数」をクリックします。

5. ルールの詳細ページの「条件」タブで、上部のパネルの「ユーザー: チャレンジの最大失敗数」をクリックします。
この条件によって、ユーザーがチャレンジ質問の回答を指定された回数失敗したかどうかが確認されます。

6. 下部のパネルで、「次以上の失敗数」の値を、各ユーザーが登録しているチャレンジ質問の合計数よりも1少なくなるように変更します。

11.8.6 ポリシーのアクティブ化または無効化

ポリシーをアクティブ化または無効化するには:

1. 11.8.2項「ポリシーの検索」の説明に従って、目的のポリシーを検索します。

2. 「検索結果」表で、アクティブ化または無効化するポリシーの名前をクリックします。

3. 「サマリー」タブでポリシー・ステータスを変更してから「適用」をクリックします。
詳細は、「ポリシー・ステータス」を参照してください。

11.8.7 ポリシーの削除

ポリシーを削除するには:

1. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

2. ポリシー検索ページで、削除する1つまたは複数のポリシーを検索します。
ポリシーの検索の詳細は、11.8.2項「ポリシーの検索」を参照してください。

3. 削除するポリシーを選択し、「削除」ボタンをクリックするか、または「アクション」メニューから「選択項目の削除」を選択します。
確認を求める「削除の確認」ダイアログが表示されます。複数のポリシーを削除する場合は、このダイアログにポリシーのリストが表示されます。

4. 「削除」をクリックします。
情報画面が表示されます。

5. 情報画面の「OK」をクリックします。
ポリシーが正常に削除されます。

削除を元に戻すことはできません。この変更は永続的です。

11.8.8 ポリシーの別のチェックポイントへのコピー

他のチェックポイントにポリシーをコピーできます。

1. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

2. 必要な検索基準を入力し、「検索」をクリックします。

3. ポリシー名をクリックすると、ポリシー詳細ページが表示されます。

4. ポリシー詳細ページで、「ポリシーのコピー」をクリックします。
「ポリシーのコピー」ボタンには、ポリシー詳細ページの任意のタブからアクセスすることもできます。

すべてのフィールドが事前移入された「ポリシーのコピー」画面が表示されます。

表11-14「ポリシーのチェックポイントへのコピー」に、「ポリシーのコピー」画面のフィールドを示します。

表11-14 ポリシーのチェックポイントへのコピー

フィールド

説明

チェックポイント

ポリシーのコピー先となるチェックポイント。デフォルトでは、このフィールドには、コピーされるポリシーからのチェックポイントが事前移入されています。

ポリシー名

「ポリシー名」フィールドのデフォルト値は、policy_nameCopyです。ポリシー名は必要に応じて編集できます。

ステータス

デフォルト値としてポリシー・ステータス「無効」が設定されています。

ポリシーのステータスまたはビジネス・プロセスでの可用性を定義します。

詳細は、「ポリシー・ステータス」を参照してください。

説明

デフォルトの説明として現在の説明が設定されています。

5. 「ポリシーのコピー」画面で、チェックポイントおよびステータスを選択します。

6. ポリシー名および説明を入力します。

7. 「ポリシーのコピー」画面で、「コピー」をクリックします。
「コピー」をクリックすると、ポリシーがチェックポイントにコピーされます。

新しいチェックポイントにポリシーのルールが適用されない(コピーされない)場合は、次のルールはこのチェックポイントに適用されませんというメッセージが表示されます。

この場合は、コピー操作を取り消すか、またはルールなしでポリシーのコピーを継続できます。

ポリシーのコピー時には、ネストされたポリシー、トリガー組合せ、事前条件、グループ・リンクなどのすべての詳細がコピーされます。

11.8.9 ルールのポリシーへのコピー

任意のチェックポイントの他のポリシーにルールをコピーできます。たとえば、ルールを別のチェックポイントに移動したい場合があります。

ポリシーにルールをコピーするには:

1. 「ルール」ノードをダブルクリックします。ルール検索ページが表示されます。

2. 必要な検索基準を入力し、「検索」をクリックします。

3. 「検索結果」表で、ポリシーにコピーするルールの名前をクリックします。
そのルールのルールの詳細ページが表示されます。

4. ルールの詳細ページで、「ルールのコピー」ボタンをクリックします。
元のルールのルール名および説明が事前移入された「ルールのコピー」ページが表示されます。

5. 「ポリシー」フィールドで、ルールのコピー先となるポリシーを選択します。

6. 「ルール名」フィールドにコピーするルールの新しい名前を入力します。

7. 「説明」フィールドに、ルールの説明を入力します。

8. 「コピー」をクリックして、ポリシーにルールをコピーします。

11.8.10 トリガー組合せの順序の変更

トリガー組合せの順序を変更するには:

1. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

2. 必要なポリシーを検索します。

3. ポリシー名をクリックすると、ポリシー詳細ページが表示されます。

4. 「トリガー組合せ」タブをクリックします。

5. 列の順序を変更するには、「順序変更」ボタンをクリックします。
「トリガー組合せの順序変更」画面が表示されます。

6. トリガー組合せの順序を変更し、「OK」をクリックします。

7. 「トリガー組合せ」タブで「適用」をクリックします。

トリガー組合せの順序変更は、「適用」をクリックするまで有効になりません。「適用」をクリックする前にタブを閉じると、変更が失われます。

11.8.11 トリガー組合せの削除

トリガー組合せを削除するには:

1. 「ポリシー」ノードをダブルクリックします。ポリシー検索ページが表示されます。

2. 必要なポリシーを検索します。

3. ポリシー名をクリックすると、ポリシー詳細ページが表示されます。

4. 「トリガー組合せ」タブをクリックします。

5. トリガー組合せに対応する列ヘッダーを選択して「削除」をクリックします。

11.9 ルールの管理

この項では、ルールの管理方法について説明します。

11.9.1 ルール検索ページへのナビゲート

ルール検索ページを開くには、「ルール」ノードを右クリックします。ルール検索ページが表示されます。

ルール検索ページは、次の方法で開くこともできます。

- 「ルール」ノードを右クリックして、コンテキスト・メニューから「ルールのリスト」を選択します。

- 「ルール」ノードを選択して、ナビゲーション・パネルのツールバーで「アクション」メニューから「ルールのリスト」を選択します。

- ナビゲーション・パネルのツールバーで「ルールのリスト」アイコンをクリックします。

図11-13「ルール検索ページ」に、ルール検索ページの例を示します。

図11-13 ルール検索ページ

11.9.2 ルールの検索

ルール検索ページには、検索フィルタおよび検索基準に一致したルールのサマリーを示す「検索結果」表が表示されます。

ルール検索ページでは、ルールの詳細を表示および編集できますが、ルールを作成することはできません。ルールはポリシーのコンテキストでのみ作成されます。

1. 「ルール」ノードをダブルクリックします。ルール検索ページが表示されます。

2. ルール検索ページで、ルールの検索基準を入力します。

3. 「検索」をクリックします。
「検索」のかわりに「リセット」をクリックすると、検索基準がリセットされます。

「検索結果」表に、指定した基準に一致するルールのサマリーが表示されます。

表11-15 ルールの結果

フィールド

説明

ルール名

ルールの名前

ポリシー名

そのルールが存在するポリシーの名前。

チェックポイント

セッション中にポリシーのルールが評価される時点。

ルール・ノート

ルールに関する説明。

ルール・ステータス

ルールのステータス(「アクティブ」または「無効」)。ルール・ステータスが「アクティブ」から「無効」に変更された場合、ルールは無効であり、ポリシーに追加できません。すでにルールが含まれているポリシーは影響を受けず、引き続き以前と同様に機能します。

アクション・グループ

アクションのグループ。アクション・グループは、ルールがトリガーされたときに実行される必要があるすべてのアクションを示します。デフォルトでは、アクションは指定されていません。一連のルールの結果を指定する必要があります。

スコア

0から1000の整数値。「スコア」の最小スコアと最大スコアはプロパティとして定義されます。

重み

0から100の整数値。

「削除」ボタンまたは「アクション」メニューの「選択項目の削除」を使用すると、ルールを削除できます。「削除」および「選択項目の削除」は、行が選択されている場合にのみ有効になります。

削除操作は成功するか、または失敗します。部分更新は行われません。

「検索結果」表の列ごとに、ソート・オプションが提供されます。

各ルールには名前があります。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。

ルールの詳細を表示および編集するには、「検索結果」でルール名をクリックしてルールを開きます。

11.9.3 ルールの詳細の表示

ルールの詳細を表示するには:

1. 「ルール」ノードをダブルクリックします。ルール検索ページが表示されます。

2. 詳細を表示するルールを検索します。

3. 「検索結果」表でルール名をクリックするか、または行を選択し、「アクション」メニューの「選択項目を開く」を選択して、新規タブにそのルールのルールの詳細ページを開きます。
ルールの詳細ページでは、4つのタブを使用してルールの完全な詳細にアクセスできます。これらのページを使用してルールを管理できます。

ルールの詳細ページには、4つのタブがあります。

- 一般

- 事前条件

- 条件

- 結果

これらのタブを使用してルールを管理できます。

11.9.4 ルールの編集

ルールを編集するには:

1. 「ルール」ノードをダブルクリックします。ルール検索ページが表示されます。

2. 編集するルールを検索します。

3. 「検索結果」表でルール名をクリックして、新規タブにそのルールのルールの詳細ページを開きます。
ルールの詳細ページには、「サマリー」、「事前条件」、「条件」および「結果」の各ページのタブがあります。

ルールの条件の合計数が、「条件」タブのタイトルの横のカッコ内に表示されます。

4. ルールの一般情報を編集します。
「サマリー」タブでは、ルールの名前、ステータスおよび説明を変更できます。

表11-16に、表示されるフィールドを示します。

表11-16 ルールの詳細の「サマリー」タブ

フィールド

説明

ルール名

ルールの名前

ポリシー名

ポリシーの名前。(読取り専用)

ステータス

ルールのステータス(「アクティブ」または「無効」)。ルール・ステータスが「アクティブ」から「無効」に変更された場合、ルールは無効であり、ポリシーに追加できません。すでにルールが含まれているポリシーは影響を受けず、引き続き以前と同様に機能します。

説明

ポリシーの説明。

5. 事前条件を編集します(11.5.3「事前条件の指定」)。

6. 条件を編集または追加します(11.5.4項「条件のルールへの追加」)。

7. 結果を編集します(11.5.5「ルールの結果の指定」)。

8. 変更を保存する場合は「適用」をクリックし、破棄する場合は「元に戻す」をクリックします。

11.9.5 ルール・パラメータの編集

ルールの詳細ページの「条件」タブには、ルール内の条件が表示され、ルールのパラメータを編集できます。

ルール・パラメータを編集するには:

1. ナビゲーション・ツリーで「ルール」を選択します。ルール検索ページが表示されます。

2. 編集するルールを検索します。

3. 「検索結果」表でルール名をクリックして、新規タブにそのルールのルールの詳細ページを開きます。
ルールの詳細ページには、「サマリー」、「事前条件」、「条件」および「結果」の各タブがあります。

4. ルールの詳細ページで、「条件」タブをクリックします。

5. 「条件」タブの上部ペインで、条件を選択します。
下部ペインに、この条件のパラメータが表示されます。

6. ツール・メニューの「順序変更」ボタンをクリックし、条件の順序を変更します。
詳細は、11.10.3項「ルール内の条件の順序の変更」を参照してください。

7. 下部ペインで、要件に応じてパラメータを変更します。

8. 「保存」をクリックして変更を保存します。
確認ダイアログに操作のステータスが表示されます。

9. 「OK」をクリックして、確認ダイアログを閉じます。

10. 「適用」をクリックします。変更されたルールの詳細が正常に保存されます。

11.9.6 ルールのアクティブ化と無効化

ルールのステータスはアクティブ」または「無効」です。ルール・ステータスが「アクティブ」から「無効」に変更された場合、ルールは無効であり、ポリシーに追加できません。すでにルールが含まれているポリシーは影響を受けず、引き続き以前と同様に機能します。

ルールをアクティブ化または無効化するには:

1. 「ルール」ノードをダブルクリックします。ルール検索ページが表示されます。

2. 編集するルールを検索します。

3. 「検索結果」表でルール名をクリックして、新規タブにそのルールのルールの詳細ページを開きます。

4. ルールの詳細の「サマリー」タブで、「ステータス」の「アクティブ」または「無効化」を選択します。

5. 変更を保存する場合は「適用」をクリックし、破棄する場合は「元に戻す」をクリックします。

11.9.7 ルールの削除

ルールを削除するには:

1. 「ルール」ノードをダブルクリックします。ルール検索ページが表示されます。

2. 削除するルールを検索します。

3. 対象ルールに対応する行を選択し、「削除」ボタンを押すか、または「アクション」メニューから「選択項目の削除」を選択します。
削除されるルールが示された「削除の確認」ダイアログが表示されます。

削除操作は成功するか、または失敗します。部分更新は行われません。

4. 「削除」ボタンをクリックします。

5. 確認が表示された後、「OK」をクリックします。

ルールを削除すると、そのルールが使用されているトリガー組合せの対応する行が削除されます。

11.9.8 条件のルールからの削除

条件をルールから削除するには:

1. ナビゲーション・ツリーで「ルール」を選択します。ルール検索ページが表示されます。

2. 削除する条件が含まれているルールを検索します。

3. 「検索結果」表のルール名をクリックすると、ルールの詳細ページが開きます。

4. ルールの詳細ページで、「条件」タブをクリックします。

5. 対象となる条件を選択して、「削除」をクリックします。
「削除」ボタンは、行が選択されているか、または検索結果が2行以上である場合にのみ有効になります。

指定したルールの複数の条件を一度に削除することはできないため、一度に選択するのは1つの条件にする必要があります。

複数の条件を削除することはできますが、すべての条件を削除することはできません。

「削除」ボタンをクリックすると、削除が実行されます。削除の確認を要求するメッセージは表示されません。この変更は永続的です。

11.10 条件の管理

この項では、条件の管理方法について説明します。

11.10.1 条件の検索

条件検索ページには、検索フィルタおよび検索基準に一致した条件のサマリーを示す「検索結果」表が表示されます。

条件のリストは、付録B「条件リファレンス」を参照してください。

条件検索ページでは、システム内の条件または条件のリストを検索できます。

1. 「条件」ノードをダブルクリックします。
条件検索ページが表示されます。

条件検索ページは、次の方法でも開くことができます。

- 「条件」ノードを右クリックして、コンテキスト・メニューから「条件のリスト」を選択します。

- ナビゲーション・ツリーで「条件」を選択し、「アクション」メニューから「条件のリスト」を選択します。

- ナビゲーション・ツリーのツールバーの「条件のリスト」ボタンをクリックします。

2. 必要な検索基準を入力し、「検索」をクリックします。
「検索」のかわりに「リセット」をクリックすると、検索基準がリセットされます。

表11-17「条件検索のフィールド」に、「検索」セクションのフィールドを示します。

表11-17 条件検索のフィールド

フィールド

説明

条件名

条件に指定されている名前。

説明

条件の説明

タイプ

条件のタイプ。たとえば、デバイス、ロケーション、ユーザーなどです。

チェックポイント

セッション中にポリシーのルールが評価される時点。

各条件には名前があります。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。

条件の詳細を表示するには、その条件の名前をクリックします。

11.10.2 ルールの条件の詳細の表示

条件の詳細を表示するには:

1. ルールのルールの詳細ページを開きます。

1. ナビゲーション・ツリーで「ルール」を選択します。ルール検索ページが表示されます。

2. 条件を追加するルールを検索します。

3. 「検索結果」表で、ルールの名前をクリックします。そのルールのルールの詳細ページが表示されます。

2. ルールの詳細ページで、「条件」タブをクリックします。

3. 「条件」タブで、必要な条件を強調表示します。
下部ペインに、その条件のパラメータが表示されます。

11.10.3 ルール内の条件の順序の変更

ルールの条件は順番に評価されます。後続の条件は、現在の条件がtrueと評価された場合にのみ評価されます。つまり、条件がfalseと評価されると、評価は停止されます。

ルール内の条件の順序を変更するには:

1. ナビゲーション・ツリーで「ルール」を選択します。ルール検索ページが表示されます。

2. 編集するルールを検索します。

3. 「検索結果」表でルール名をクリックして、新規タブにそのルールのルールの詳細ページを開きます。
ルールの詳細ページには、「サマリー」、「事前条件」、「条件」および「結果」の各タブがあります。

4. ルールの詳細ページで、「条件」タブをクリックします。

5. 「条件」タブの上部ペインで、条件を選択します。

6. 「順序変更」ボタンを使用して条件の順序を変更します。

7. 「保存」をクリックして変更を保存します。
確認ダイアログに操作のステータスが表示されます。

8. 「OK」をクリックして、確認ダイアログを閉じます。

9. 「適用」をクリックします。変更されたルールの詳細が正常に保存されます。

11.10.4 条件の削除

条件を削除するには:

1. ナビゲーション・ツリーで「条件」を選択します。条件検索ページが表示されます。

2. 該当する条件の検索基準を入力し、「検索」をクリックします。

3. 「検索結果」表で条件を選択し、「削除」をクリックします。

注意:

ルールで条件が使用されている場合、条件を削除すると、ルールおよびそのルールを使用するポリシーに影響を与えます。

11.11 エクスポートとインポート

ポリシーは、エクスポートおよびインポートすることができます。

たとえば、システムで定義されているポリシーをエクスポートして、別のシステムにインポートすることができます。

11.11.1 ポリシーのエクスポート

ポリシーをエクスポートするには:

1. ナビゲーション・ツリーで、「ポリシー」を選択します。ポリシー検索ページが表示されます。

2. 必要な検索基準を入力し、「検索」をクリックします。

3. エクスポートするポリシーに対応する行を選択します。

4. 「アクション」メニューから、「選択項目のエクスポート」または「削除スクリプトのエクスポート」を選択します。

5. エクスポート画面が表示されたら、「ファイルの保存」を選択して、「OK」を選択します。

11.11.2 ポリシーのインポート

ポリシーをインポートするには:

1. ナビゲーション・ツリーで、「ポリシー」を選択します。ポリシー検索ページが表示されます。

2. ポリシー検索ページで、「ポリシーのインポート」ボタンをクリックします。「ポリシーのインポート」画面が表示されます。

図11-14 ポリシーのインポート

3. 「ポリシーのインポート」ダイアログ・ボックスで、ファイルのパスおよび名前を入力するか、または「参照」(...)ボタンを使用してポリシーを含むZIPファイルを検索し、このファイルを選択します。
注意: インポートされたファイルのMIMEタイプに対する検証が実行されます。エクスポート・ファイルのMIMEタイプは、「Application/ZIP」である必要があります。

4. 「オープン」をクリックしてから、「OK」をクリックします。
ポリシーのリスト、インポート後にシステムで追加または更新されたポリシーの数、更新または削除されなかったポリシーの数を示す確認ダイアログが表示されます。

ZIPファイルに削除スクリプトまたは無効な形式のファイルが含まれているか、ZIPファイルが空である場合を除き、システムにポリシーがインポートされます。

削除スクリプトをインポートすると、ポリシーはシステムから削除されます。

無効な形式または空のZIPファイルでポリシーをインポートしようとすると、エラーが発生します。

5. 「完了」をクリックして、確認ダイアログを閉じます。

10gから11gに移行されたポリシーに関する注意事項

「ビジネス」、「サード・パーティ」および「ワークフロー」ポリシー・タイプは、Oracle Adaptive Access Managerから削除されました。

10gでは、「ビジネス」ポリシーでスコアリングは使用されていませんでした。11gでは、Oracle Adaptive Access Managerデータベースから「ビジネス」ポリシーがロードされると、デフォルトでポリシー・セット・スコアリング・エンジンが適用され、11g以降では、このポリシーは「セキュリティ」ポリシーとして処理されます。

例: ポリシーのインポート

あなたはAcme Corpのセキュリティ・チームのメンバーであるJenniferで、高リスク国に焦点を当てたポリシーを構成する必要があります。別のチーム・メンバーであるChuckは、高リスク国からのログイン・リクエストを認証前にブロックするように、Oracle Adaptive Access Managerオフライン環境で認証前ポリシーを構成しました。あなたはこのポリシーが目的にかなっていると考えています。Chuckはすでにポリシーをエクスポートしており、あなたは本番環境にこのポリシーをインポートする必要があります。手順として、Chuckが構成したポリシーが含まれているZIPファイルをインポートします。彼はファイルにPreAuth_Block_policy.zipという名前を付けています。

ポリシーをインポートするには:

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ツリーで、「ポリシー」を選択します。ポリシー検索ページが表示されます。

3. ポリシー検索ページの「ポリシーのインポート」をクリックします。「ポリシーのインポート」画面が表示されます。

4. 「参照」をクリックし、PreAuth_Block_policy.zipを探します。

5. 「OK」をクリックして、PreAuth_Block_policy.zipをアップロードします。
確認ダイアログに操作のステータスが表示されます。

追加されたポリシーの数、更新されたポリシーの数、更新されなかったポリシーの数および削除されたポリシーの数を示すリストも表示されます。

インポートされたポリシーは、「インポートされたリスト」セクションにリストされます。

同じポリシー名が存在するかどうかによって、ポリシーは、システムに追加されるか、既存のポリシーを上書きまたは更新します。名前がすでに存在している場合、そのポリシーが更新されます。名前が存在しない場合、インポートされたポリシーがシステムに追加されます。

無効な形式または空のZIPファイルでファイルをインポートしようとすると、エラーが表示されます。

6. 「OK」をクリックして、確認ダイアログを閉じます。

7. ポリシー検索ページで、ポリシーが「検索結果」表に表示されていることを確認します。

11.11.3 既存のポリシーと同じ名前を持つポリシーのインポート

ポリシーをインポートして同じ名前を持つ既存のポリシーを上書きし、実際のルールは同じままであるアクションの変更を更新するときに、置換アクションが空白の場合は、元の値が上書きされません。既存のポリシーと同じ名前を持つポリシーをインポートするには、最初に既存のポリシーを削除してから新しいポリシーをインポートする必要があります。

11.11.4 条件のインポート

条件をインポートするには:

1. ナビゲーション・ツリーの「条件」をクリックします。
条件検索ページが表示されます。

2. 「条件のインポート」をクリックします。

3. 「条件のインポート」ダイアログ・ボックスで、ファイルのパスおよび名前を入力するか、または「参照」(...)ボタンを使用して条件を含むZIPファイルを検索し、このファイルを選択します。

4. 「オープン」をクリックしてから、「OK」をクリックします。
条件のリスト、インポート後にシステムで追加または更新された条件の数、更新または削除されなかった条件の数を示す確認ダイアログが表示されます。

5. 「完了」をクリックして、確認ダイアログを閉じます。

11.11.5 条件のエクスポート

1. ナビゲーション・ツリーで「条件」を選択します。「条件」ページが表示されます。

2. 必要な検索基準を入力し、「検索」をクリックします。

3. 目的の条件に対応する行を選択します。

4. 「アクション」メニューから、「選択項目のエクスポート」を選択します。

5. エクスポート・ダイアログが表示されたら、ファイルの保存を選択し、「OK」を選択します。

11.12 ルール内のポリシーの評価

システム: ポリシーの評価条件を使用して、ポリシーを評価し(名前別にポリシーを実行)、ポリシーから返されるアクションに特定のアクションが含まれるかどうかを確認できます。この条件はルールに追加され、次のように機能します。

1. ルールを作成して、唯一の条件として追加します。

2. 条件パラメータのポリシーと予期されるアクションの名前を指定します(「ブロック」など)。

3. このポリシーが実行時にアクションのリストを返し、アクションの1つが「ブロック」である場合は、ルールがトリガーされます。

例: ポリシーの評価

Jeffには2つのポリシーがあります。ポリシーの1つであるPolicy BはPolicy Aに先行するため、その他のルール評価の結果にかかわらず毎回実行される必要があります。このため、このポリシーをPolicy Aにネストすると、常に機能するわけではなくなります(トリガー組合せ)。したがって、Jeffは、Policy Bを毎回実行するという新しいルール条件をPolicy Aに追加することにしました。

1. Policy Aを開きます。

2. ポリシー詳細ページの「ルール」タブで、「ルールの追加」アイコンをクリックします。

3. Rule Cというルールを作成します。

4. ルールの詳細ページの「条件」タブで、「条件の追加」アイコンをクリックします。

5. システム: 評価ポリシー条件を追加します。

6. 「トリガー組合せ」で、アクションとして「Policy B」を選択します。

11.13 ベスト・プラクティス

この項では、ポリシー、ルールおよび条件の使用に関するベスト・プラクティスについて説明します。

ルールでは単純な条件を1番目にする

ルール内で、単純なルールが1番目になるようにルールの順序を決めます。通常、セッション・タイプの条件が最も効率的な条件です。通常、自動学習タイプの条件およびロケーション・データを使用する条件はよりコストが高いため、これらは単純な条件の後に配置する必要があります。

フローで条件が何回も評価されないようにポリシーを編成する

フローで同じ条件を何回も評価しないようにポリシーを編成します。これによって、同じセッションの異なるチェックポイントの結果が同じになることが回避されます。ネストされたポリシーを使用して同じ条件の評価を回避します。

ポリシーおよびルールの追加と編集

この一般的な手順では、ポリシーまたはルールを本番環境に追加または更新するためのプロセスを概説します。

1. オフライン・システム(テストまたはステージング用に設定されたOracle Adaptive Access Managerの個別のインストール)を使用して、新しいルールを作成します。

2. ルールをテストし、オフライン・システムを使用して予測可能なデータを実行することで、ルールが予想どおりに機能していることを確認します。

3. ポリシーが予想どおりに機能していることを確認した場合は、パフォーマンス・テストを実行できる本番前環境にポリシーを移行します。
これは、新しいルールまたはポリシー、またはその両方のパフォーマンスに影響を与える可能性があります。たとえば、今まで使用していた電子メール・アドレスを使用していないユーザーをチェックする新規ポリシーを定義するとします。顧客のデータベースに10億を超えるレコードがある場合、トランザクションごとにすべてのレコードに対してこのチェックを実行すると、パフォーマンスに多大な影響を与えます。したがって、負荷がかかった状態でポリシーをテストすることが重要です。

4. 新しいルール/ポリシーが予想どおりに機能し、パフォーマンスに悪影響を及ぼさない場合のみ、本番環境に移行する必要があります。

ポリシーとルールのテスト

OAAMポリシーとルールは、様々な方法でテストできます。

- OAAMオフラインを使用した新規デプロイ: OAAMオフラインおよびBIPレポートの組合せを使用して、ポリシー/ルールのエンド・ユーザーに対する影響をテストできます。これを実行するには、OAAMのオフライン・インスタンスをデプロイしてバッチ分析を実行します。標準OAAMローダーを構成するか、またはカスタム・ローターを開発して、本番データのセットをオフライン環境にロードし、テスト・セットとして使用します。データのテスト・セットに対してポリシーとルールを複数回実行し、ポリシー変更の影響を表示できます。
たとえば、新規デプロイでは、1か月分の本番データをOAAMにロードし、基本ポリシーを実行して、OAAMが1か月間に本番環境でライブだった場合に生成されるアラートおよびアクションの数を確認できます。ルールおよび結果の集計値を収集するには、BIPレポートが役立ちます。結果において、OAAMが動作を学習するとユーザーが生成するアラートおよびアクションが少なくなることがわかります。新規ルールを追加したり、ルールのしきい値を編集した場合、再度実行して、BIPレポートの結果と元の実行の結果を比較できます。

- OAAMオフラインを使用する既存のデプロイ: OAAMがすでに本番環境にある場合、ポリシー/ルール変更の影響をテストする本番データのセットをエクスポートできます。たとえば、スケジュール・データ・ロードを設定し、24時間ごとにオフライン環境データを更新できます。セキュリティ・チームが新規ルールを追加したりルールのしきい値を編集する必要がある場合は、まず本番環境の現在のポリシーに対して24時間分のデータを実行し、EXCELワークシートにエクスポートされたBIPレポートを実行します。次に、チームは編集を行い、同じデータ・セットに対して2回目を実行し、さらに同じBIPレポートを実行できます。実行1および実行2のレポートを比較すると、ポリシーの変更によってユーザーの移入がどのように影響されたかがわかります。つまり、最初の実行で100のアラートが生成され、2回目の実行で125のアラートが生成された場合、編集の結果は25の追加アラートだったということになります。

最大スコアリング・エンジンの使用

高スコアまたは低スコアが不正であるとみなされるかどうかは、ポリシーと、開発者がそのポリシーをどのようにモデル化したかによって決まります。たとえば、デバイス・ポリシー内のスコアが高いほど、状況のリスクは高くなります。

たとえば、1000が不正なスコアとみなされるようにする場合は、最大スコアリング・エンジンを使用します。次に、最大スコアが生成される状況を不正とみなすようにルールをモデル化します。たとえば、ユーザーが特定のロケーションからログインした場合はスコアが200ポイントとなり、ユーザーが不正なデバイスからログインした場合はスコアが500ポイントとなるようにポリシーをモデル化できます。この場合、2つのうち最大スコアを持つ方がより悪いとみなされます。

集計スコアリング・エンジンの使用

状況のリスクがどの程度であるかわからない場合は、集計スコアリング・エンジンを使用できます。たとえば、デバイスIDに対して、6つまたは7つのルールを適用できます。ルールごとに、スコア200または300の重みを指定します。スコアがこれより高い場合は、不正とみなされます。6つのルールがあり、そのうち2つがトリガーされた場合、集計は低くなります。6つのルールがトリガーされた場合、集計は高くなり、この状況の方がリスクが高いことになります。

平均スコアリング・エンジンの使用

どのルールも重要度に差がない場合や、評価のためにトリガーされるルールが多数存在する場合は、「平均」スコアリング・エンジンを使用します。たとえば、各ルールが特定の状況部分を表していても、各部分を決定の基準とするには十分ではありません。

チェックポイント内の一部のポリシーに対してスコアが重要でない

チェックポイント内に複数のポリシーがあるが、そのうち一部のポリシーではスコアが重要でない場合、これらのポリシーに対してはスコアの集計時にスコアが無視されるようにルール・スコアを0に設定します。

12 グループの管理

グループは、構成作業を簡略化するために収集された相似アイテムです。

この章では、Oracle Adaptive Access Managerで使用されるグループの概念と様々なグループ・タイプについて説明し、グループの作成、グループ・メンバーシップの編集、およびグループの詳細に関する情報を提供します。また、グループのインポートおよびエクスポートの詳細についても説明します。

この章では、次の内容を説明します。

- 12.1項「グループについて」

- 12.2項「グループ検索ページへのナビゲート」

- 12.3項「グループの検索」

- 12.4項「グループの詳細の表示」

- 12.5項「グループの作成」

- 12.6項「グループの管理」

- 12.7項「ユース・ケース」

- 12.8項「ベスト・プラクティス」

12.1 グループについて

セキュリティ管理者は、アクションおよびアラートのルールと、ユーザー、ロケーション、IPなどのルール条件を構成する必要があります。

たとえば、Restricted IPSというルールを作成するには、ログインに使用されているユーザーIPが構成済の制限付きIPのリストに含まれているかどうかを確認する条件を追加する必要があります。制限付きIPはIPタイプのRestrictedIPSGroupとしてグループ化され、ルール条件でこのグループが使用されます。

12.1.1 グループ・タイプについて

次のタイプのグループを使用できます。

表12-1 グループ・タイプ

タイプ

説明

ASN

このグループはASNを保持します。自律システム番号(ASN)は、自律システムのグローバル一意識別子です。自律システム(AS)は、1つ以上のネットワーク・オペレータにより実行される、明確に定義された単一のルーティング・ポリシーを持つIPネットワークのグループです。

アクション

このグループは様々な標準のアクションを保持します。

アクションは、ルールがトリガーされるときにアクティブ化されるイベントです。例: ブロック・アクセス、チャレンジ質問、PINまたはパスワード要求など。

これは列挙グループ・タイプです。

アラート

このグループには、4つの重大度レベルを持つ4種類のアラートが含まれます。

アラートは、ルールがトリガーされるときに生成されるメッセージです。例: 「このユーザーに対する新しい国からのログイン試行」。

アラートの種類は、不正、カスタマ・ケア、情報および調査です。

アラート・レベルは低、中、高および情報です。

アラートは特別な列挙グループ・タイプです。

認証ステータス

このグループには、ログイン時にユーザーのステータスが含まれます。

これは列挙グループ・タイプです。

市区町村

このグループには市区町村が含まれます。例: Presque Isle、Alakanuk、Chattahoocheeなど。

接続スピード

このグループには、インターネット接続スピードまたは帯域幅(高、中、低)が含まれます。

これは列挙グループ・タイプです。

接続タイプ

このグループには接続タイプが含まれます。一般的なインターネット接続タイプは、光、T1/T3、衛星、ケーブル、ISDN、ワイヤレスなどです。

これは列挙グループ・タイプです。

国

このグループには国が含まれます。例: ブラック・リスト国。

デバイス

このグループにはデバイスIDが含まれます。デバイスIDは、PDA、携帯電話、キオスクなどのデバイスを識別する一意なIDです。例: ブラック・リスト・デバイス。

汎用

このグループには、文字列、整数またはロング数値情報に関連するメンバーが含まれます。

汎用ロング

このグループには、ロング数値が含まれます。例: 盗まれた社会保障番号、クレジット・カード番号またはMACアドレス。

汎用文字列

このグループには、汎用文字列が含まれます。たとえば、Smithの変形名(Smithson、Smithberg、Smithsteinなど)を持つユーザーにログインを許可する場合、比較のための接頭文字列「Smith」を定義できます。また、Pennsylvania、Transylvania、Spotsylvaniaなどからのログオンをブロックする場合は、接尾文字列を定義できます。

IPキャリア

このグループには、インターネット・プロトコル(IP)トラフィックのキャリアが含まれます。

IP範囲

このグループには、IP範囲が含まれます。

IP

このグループには、ユーザーのIPアドレスが含まれます。

アドレスはロケーションにマップされますが、一部のアドレスは不明またはプライベート(10.0.0.1など)です。

ISP

このグループには、インターネット・サービス・プロバイダが含まれます。ISPの例として、Comcast、Verizon、AOLなどがあります。

ユーザー名

このグループには、ユーザーのログイン名が含まれます。これはユーザーにより設定されます。たとえば、Bobがログインでユーザーはxyz123です。

ユーザー名はアプリケーション間で一意でないことがあります。組織IDとユーザー名を組み合せると一意になります。

ルーティング・タイプ

このグループには、ルーティング・タイプが含まれます。ルーティング・タイプの例として、POP、衛星、アノニマイザ、国際などがあります。

これは列挙グループ・タイプです。

第2レベル・ドメイン

このグループには、第2レベル・ドメイン名が含まれます。

第2レベル・ドメインは、トップ・レベル・ドメイン(TLD)の直下のドメインです。第2レベル・ドメインは一般に、ドメイン名を登録した組織を指します。

第2レベル・ドメイン名を使用して、*.example.orgなどのサイト全体または*.sales.*や*.admin.*などのイントラネット・レベル全体を許可またはブロックできます。

都道府県

このグループには都道府県が含まれます。例: ブラック・リスト都道府県。

トップ・レベル・ドメイン

このグループには、トップ・レベル・ドメイン名(インターネット・ドメイン名の最後の部分。ドメイン名の最後のドットに続く文字)が含まれます。

トップ・レベル・ドメイン名を使用して、.uk、.ru、.caなどの国全体、または .mil、.info、.gov、.eduなどのコミュニティ全体を許可またはブロックできます。

トランザクション・ステータス

このグループには、トランザクションが実行されているときにユーザーのステータスが含まれます。

これは列挙グループ・タイプです。

ユーザーID

このグループには、ユーザーIDが含まれます。カスタマはスキームを使用して、ユーザーを一意に識別します。

アプリケーションでユーザーIDが一意でないことがあります。組織IDとユーザーIDを組み合せると一意になります。

特別なタイプのグループとして組織IDがあります。組織IDは、プライマリ・ユーザー・グループです。まだメンバーでないユーザーがアプリケーションからログインする場合に、グループに自動移入されるように、フラグが設定されます。このグループのメンバーを使用して、ポリシーを調べることができます。

12.1.2 グループ特性について

次の表に、グループ特性のサマリーを示します。

グループ列に、システム内で使用可能なグループのタイプを示します。

グループ・メンバー・タイプ列に、レコードがプリミティブ型(LONG、文字列および整数)であるか構造型であるかを示します。構造型の例としてはアクションがあり、これには名前、IDおよびメッセージが含まれます。

キャッシュ列に、そのグループに推奨されるキャッシュ・オプションを示します。

作成列に、グループのユーザー・インタフェースを使用してグループを作成できるかどうかを示します。

編集列に、グループのユーザー・インタフェースを使用してグループを編集できるかどうかを示します。

表12-2 グループ特性のサマリー

#

グループ

グループ・メンバー・タイプ

キャッシュ

作成

編集

1

アクション

構造型

はい

いいえ

いいえ

2

認証ステータス

LONG型

はい

いいえ

いいえ

3

接続タイプ

LONG型

はい

いいえ

いいえ

4

接続スピード

LONG型

はい

いいえ

いいえ

5

ルーティング・タイプ

文字列

はい

いいえ

いいえ

6

トランザクション・ステータス

構造型

はい

いいえ

いいえ

7

アラート

構造型

はい

はい

はい

8

汎用整数、汎用文字列、汎用ロング

整数型、文字列型、LONG型

はい

はい

はい

9

ASN

文字列

はい

はい

はい

10

IPキャリア

文字列

はい

はい

はい

11

トップ・レベル・ドメイン

文字列

はい

はい

はい

16

第2レベル・ドメイン

文字列

はい

はい

はい

12

市区町村

文字列

はい

いいえ

いいえ

13

国

文字列

はい

いいえ

いいえ

14

都道府県

文字列

はい

いいえ

いいえ

15

ISP

文字列

いいえ

はい

はい

17

デバイスID

LONG型

はい

はい

はい

18

IP

IP

はい

はい

はい

19

IP範囲

構造型

はい

はい

はい

20

ユーザー名

文字列

はい

はい

はい

21

ユーザーIDグループ

文字列

はい

はい

はい

12.1.3 グループの用途について

グループは、表12-3に示すとおりOAAMの多くの領域で使用されます。

表12-3 グループの用途

領域

用途

ポリシー

ポリシーはユーザーIDグループまたはユーザー・グループのすべてのユーザーおよびメンバーまたは評価されるすべてのユーザーにリンクされます。

ポリシー・ツリーは、ユーザーIDグループのポリシーへのリンクを示します。

ポリシー内のルール

OAAM管理は特定のユーザー、デバイスまたはロケーション・グループにルールを適用して、不正シナリオが発生したかどうかを評価し、結果を判断します。

ルールにより、アクション・グループまたはアラート・グループ、あるいはその両方をトリガーできます。

条件

一部の条件は、グループをパラメータ・タイプとして使用します。たとえば、IPグループのIPなどです。条件では、IPグループ名/IPをパラメータとして使用します。

トリガー組合せ

トリガー組合せで、グループのアラートが指定されます。

事前条件

ユーザー・グループをポリシーで除外できます。

構成可能なアクション

構成可能なアクションを動的に使用して、ユーザーIDグループのメンバーをユーザーIDグループに追加できます。

ケース

不正調査とリスク分析のリンク・セッション、検索セッション、検索トランザクション、トランザクション詳細、トランザクション比較を使用して、最初のクラスおよびユーザー定義エンティティをグループに追加できます。グループに追加すると、調査中に発見されたインサイトを保存して、予測モデルの再作成、追加調査、ブラックリストおよびルール評価のために後で使用できます。

12.1.4 グループ作成およびユーザー編集のフローについて

ユーザー・フローの作成および編集では常に、まずグループを検索してその詳細を確認し、その後でグループ・メンバーシップを更新するのか、グループの詳細を編集するのか、グループ・メンバーを編集するのか、またはグループを定義するのかを決定します。

ユーザー・フローの例として、図12-1にグループ作成フローを示します。

図12-1 グループ作成フロー

12.2 グループ検索ページへのナビゲート

グループ検索ページから、グループの検索、表示、作成、インポート、エクスポートおよび削除を実行できます。

グループ検索ページを開くには:

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ツリーから、「グループ」を選択します。グループ検索ページが表示されます。
検索ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

図12-2に示すように、グループ検索ページには「検索」セクションおよび「検索結果」表が表示され、検索基準に一致したグループのサマリーが示されます。

図12-2 グループ検索

12.3 グループの検索

グループ検索ページを初めて表示した場合、「検索結果」表は空になっています。「検索」をクリックして、Oracle Adaptive Access Manager環境内にあるグループのリストを表示する必要があります。

グループ検索ページでは、検索フィルタに特定の基準を指定することで、関心のある特定のグループを検索できます。

グループを検索するには:

1. 12.2項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページを開きます。

2. グループを見つけるための基準を指定して、「検索」をクリックします。
「検索」のかわりに「リセット」をクリックすると、検索基準がリセットされます。

検索パラメータ値は必須ではありません。このフィールドを空白のままにした場合は、すべてのグループが検索結果に表示されます。

表12-4に、検索フィルタを示します。

表12-4 グループ検索フィルタの基準

フィルタおよびフィールド

説明

グループ名

グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。

キャッシュ・ポリシー

グループでは、「フル・キャッシュ」および「なし」という2つのキャッシュ・ポリシー・オプションが提供されます。

「フル・キャッシュ」オプションでは、サーバーの存続期間を通して、グループのコンテンツがサーバーのメモリーにキャッシュされます。静的参照グループと読取り専用グループは、「フル・キャッシュ」オプションの候補として適しています。管理者は、このオプションの使用時にサーバーのメモリーが使用されることに注意する必要があります。リストに変更があるとグループが再キャッシュされるため、要素のリストが長い場合は、悪影響を及ぼすことがあります。

「なし」キャッシュ・ポリシー・オプションではキャッシュが使用されず、毎回データベースが参照されます。デバイス・グループ・タイプは動的であることが多く、サーバーの実行中に頻繁に操作されるため、「なし」に設定されます。グループがサーバーの存続期間を通して静的である場合は、「なし」のかわりに「フル・キャッシュ」オプションを使用できます。

グループ・タイプ

グループが属するカテゴリ。タイプは、表12-1のとおりです。

表示されるグループは、「グループ名」、「グループ・タイプ」および「キャッシュ・ポリシー」フィールドに指定された基準と一致するグループです。

「検索結果」表の列ごとに、ソート・オプションが提供されます。

グループごとに名前が表示されます。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。

「検索結果」表で、関心のあるグループのハイパーリンク付きグループ名をクリックすると、詳細が表示されます。

12.4 グループの詳細の表示

グループの詳細タブには、サマリー、メンバーおよび使用状況のタブが表示されます。

グループの詳細を表示するには:

1. 12.2項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページを開きます。

2. 「グループ名」フィールドにグループの名前を入力し、「検索」をクリックします。

3. グループ名をクリックし、そのグループのグループ詳細ページを表示します。
「サマリー」タブに、グループの名前、タイプ、キャッシュ・ポリシー、説明など、グループの一般情報が表示されます。

注意:

グループ詳細ページでは、グループ・タイプを変更できません。

4. メンバー・タブでは、グループにメンバーを追加したり、削除するグループのメンバーを選択できます。
メンバー・タブは、グループに含まれるデータのタイプでラベル付けされています。たとえば、ユーザーIDグループの場合、「ユーザーID」というラベルの付いたメンバー・タブが表示されます。

メンバー・タブには、そのグループのすべてのメンバーが表示されます。メンバー・タブには、通常、メンバーの名前/ID、説明およびその他の重要な属性が表示されます。正確な情報は、グループ・タイプに応じて異なります。

注意:

既存の「アクション」要素およびそのプロパティは編集できません。

5. 「使用状況」タブでは、グループが使用されている様々なロケーション(条件、オーバーライド、構成可能なアクションなど)を階層形式で表示できます。グループが使用されていない場合は、このタブにアクセスできません。
「使用状況」ツリーのすべてのノードの詳細を表示できます。たとえば、事前条件xyzの上位のルールAをクリックすると、ルールAの短い詳細が右側のパネルに表示され、必要に応じてその他の詳細も表示できます。

6. グループが使用されているエンティティの詳細を表示するには、そのリンクをクリックします。
リンクをクリックすると、その特定のアイテムの詳細ページが新しいタブに表示されます。

12.5 グループの作成

グループを作成する手順は次のとおりです。

1. グループの定義

2. グループへのメンバーの追加

12.5.1 グループの定義

グループ・タイプ全体で同じグループ名を使用することはできません。たとえば、Blockという名前のアクション・グループが存在する場合、blockという名前のユーザー名グループは作成できません。

グループの作成手順は次のとおりです。

「グループ名」および「グループ・タイプ」は必須フィールドです。

1. ナビゲーション・ツリーで、「グループ」をダブルクリックします。グループ検索ページが表示されます。

2. グループ検索ページから、「新規グループ」ボタンまたはアイコンをクリックします。
作成ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

「グループの作成」画面が表示されます。

3. 「グループの作成」画面で、グループ名および説明を入力します。
グループ名は一意である必要があります。

4. 「グループ・タイプ」リストから、グループ・タイプを選択します。
タイプは、表12-1のとおりです。

図12-3 「グループの作成」画面

5. キャッシュ・ポリシーを「フル・キャッシュ」または「なし」に設定します。

注意:

ISPグループはキャッシュできません。

6. 「OK」をクリックしてグループを作成するか、または「取消」をクリックして変更を取り消します。
「OK」をクリックした場合は、新規グループが作成されます。

確認ダイアログが表示されます。

7. 「OK」をクリックしてダイアログ・ボックスを閉じます。
新規グループのグループ詳細ページが表示されます。

これで、新しいグループにメンバーを追加できます。

12.5.2 グループへのメンバーの追加

新規または既存のグループにメンバーを追加できます。

複数のグループ・タイプがあるため、グループにメンバーを追加する手順はグループ・タイプに応じて異なります。

注意:

「ブラックリストに記載された国」のような特定のグループ・タイプにグループ・メンバーを追加すると、ルールが事前に構成されているために、これらのメンバーは自動的に処理されます。

たとえば、「ブラックリストに記載された国からのログインかどうかを確認する」というルールが事前に構成され、デフォルトで「ブラックリストに記載された国」に付加されています。そのため、このグループにメンバーを追加すると、自動的にルール処理が開始されます。

メンバーを検索した場合、すでにグループに含まれているメンバーは検索結果に表示されません。

注意:

列挙要素を有効にするには、サーバーを再起動する必要があります。列挙グループ・タイプには、アクション、接続スピード、接続タイプなどがあります。

12.5.3 グループへのASN、汎用整数、汎用ロング、汎用文字列、IPキャリア、第2レベル・ドメインおよびトップ・レベル・ドメインの追加

次のグループでは、要素の値を入力して新規要素/メンバーを追加します。

表12-5 新規メンバーの作成(検索オプションなし)

グループ

グループ・タイプ

メンバー・タイプ

作成

汎用整数、汎用文字列、汎用ロング

データベース

整数型、文字列型、LONG型

はい

ASN

データベース

文字列

はい

IPキャリア

データベース

文字列

はい

トップ・レベル・ドメイン

データベース

文字列

はい

第2レベル・ドメイン

データベース

文字列

はい

グループに要素を追加するには:

1. グループ詳細ページで、「メンバーの追加」をクリックします。
「メンバーの追加」ダイアログが表示されます。

2. 「メンバーの追加」ダイアログで、グループに追加する新規メンバーの値を入力します。

表12-6 作成パラメータ

グループ

作成パラメータ

汎用整数、汎用文字列、汎用ロング

値

ASN

ASN

IPキャリア

名前

トップ・レベル・ドメイン

名前

第2レベル・ドメイン

名前

3. 「追加」をクリックしてグループにメンバーを追加するか、または「取消」をクリックして変更を取り消します。
「追加」をクリックした場合、メンバーが作成され、追加されます。「新規要素は正常に作成されました」というメッセージを含む確認ダイアログが表示されます。

4. 「OK」をクリックします。
グループ詳細ページが表示されます。

12.5.4 グループへの市区町村、都道府県および国の追加

次に示すグループでは、既存のリストをフィルタリングしてから、追加する要素を選択することによって、メンバーを追加します。これらのグループでは、要素は作成できません。

表12-7 既存リストのフィルタリングによるメンバーの追加(作成オプションなし)

グループ

グループ・タイプ

メンバー・タイプ

作成

市区町村

データベース

文字列

いいえ

国

データベース

文字列

いいえ

都道府県

データベース

文字列

いいえ

注意:

市区町村、都道府県または国のロケーション・グループを作成するには、地理的位置データを移入する必要があります。地理的位置データは、国、都道府県および市区町村に関する情報を提供します。

12.5.4.1 市区町村グループへの市区町村の追加

市区町村グループに市区町村を追加するには:

1. グループ詳細ページの「市区町村」タブで、「追加」をクリックします。
「市区町村の追加」ダイアログが表示されます。

2. 使用可能な「国」ドロップダウン・リストから国を選択します。
その国の都道府県は、「都道府県」ドロップダウン・リストから選択できるようになります。

3. 使用可能な「都道府県」ドロップダウン・リストから都道府県を選択します。
選択した都道府県に基づいて、市区町村が「使用可能な市区町村」表に一覧表示されます。

4. 「使用可能な市区町村」表から、グループに追加する1つ以上の市区町村を選択します。

5. 「追加」をクリックします。
市区町村が正しくグループに追加されます。

12.5.4.2 都道府県グループへの都道府県の追加

都道府県グループに都道府県を追加するには:

1. グループ詳細ページの「都道府県」タブで、「追加」をクリックします。
「メンバーの追加」ダイアログが表示されます。

2. 国を選択します。
使用可能な国を選択すると、使用可能な都道府県が「都道府県」表に一覧表示されます。

3. 「使用可能な都道府県」表から、グループに追加する1つ以上の都道府県を選択します。

4. 「追加」をクリックします。
都道府県が正しくグループに追加されます。

12.5.4.3 国グループへの国の追加

国グループに国を追加するには:

1. グループ詳細ページの「国」タブで、「追加」をクリックします。
「メンバーの追加」ダイアログが表示されます。

2. 「使用可能な国」表から、グループに追加する1つ以上の国を選択します。

3. 「追加」をクリックします。
国が正しくグループに追加されます。

12.5.5 グループへのIP範囲、ユーザーID、デバイス、ユーザー名、IPアドレスおよびインターネット・サービス・プロバイダの追加

次に示すグループでは、既存要素を検索して追加するか、または新規要素を作成して追加できます。

表12-8 既存要素の検索または新規要素の作成

グループ

グループ・タイプ

メンバー・タイプ

作成

ISP

データベース

文字列

はい

デバイスID

データベース

LONG型

はい

IP

データベース

IP

はい

IP範囲

データベース

構造型

はい

ユーザー名

データベース

文字列

はい

ユーザーIDグループ

データベース

文字列

はい

メンバーを検索した場合、すでにグループに含まれているメンバーは検索結果に表示されません。

アラート・グループ用の手順は前述の他のグループとは異なるため、別の項で説明します。

注意:

「ユーザー名」グループで、ユーザー追加の画面では追加するユーザー名の検索しか許可されていません。新しいユーザー名を作成することはできません。

12.5.5.1 要素を選択してメンバーとしてグループに追加

既存要素をグループのメンバーとして追加するには、次の手順を実行します。

1. グループ詳細ページで、「メンバーの追加」をクリックします。
メンバーの追加ページが表示されます。

2. メンバーの追加ページで、既存の要素から検索して選択を選択します。

図12-4 メンバーの検索および選択

3. 要素または要素リストを検索するためのフィルタ基準を指定して、「検索」をクリックします。

表12-9 要素の検索

検索フィルタ

説明

アプリケーションID

アプリケーションに基づくプロパティの検索に使用されるアプリケーション識別子。

ユーザーID

ユーザーの識別番号

ユーザー名

ユーザーのログイン名。

デバイスID

各デバイスを一意に識別する文字列で、アプリケーションによって自動生成されます。

IPアドレス

通常はロケーションにマップされるアドレスですが、不明またはプライベートなアドレスもあります。

グループ名

グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。

4. グループに含める各要素を選択します。

5. 「追加」をクリックして要素をグループのメンバーとして追加するか、または「取消」をクリックして変更を取り消します。
要素が正常に追加されると、確認ダイアログが表示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。

例1: グループ・インタフェースを使用した、関心のあるグループへのデバイスの追加

グループに既存のデバイスを追加するには:

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ツリーで、「グループ」をダブルクリックします。

3. デバイス・グループを検索します。

4. 「検索結果」表で、デバイス・グループの名前をクリックします。「デバイス詳細」ページが表示されます。

5. 「メンバー」タブをクリックします。

6. ツールバーの「このグループにメンバーを追加」アイコンをクリックします。「デバイスの追加」ダイアログが表示されます。

7. 「既存のデバイスから検索して選択」オプションを選択して、デバイスIDを検索します。

8. デバイスIDを選択し、「追加」をクリックします。

9. 「OK」をクリックして、確認ダイアログを閉じます。

例2: グループ・インタフェースを使用した、関心のあるグループへのIPの追加

グループに既存のIPを追加するには:

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ツリーで、「グループ」をダブルクリックします。

3. デバイス・グループを検索します。

4. 「検索結果」表で、デバイス・グループの名前をクリックします。「デバイス詳細」ページが表示されます。

5. 「IP」タブをクリックします。

6. ツールバーの「このグループにメンバーを追加」アイコンをクリックします。「デバイスの追加」ダイアログが表示されます。

7. 「既存のIPから検索して選択」オプションを選択して、IPアドレスを検索します。

8. IPアドレスを選択し、「追加」をクリックします。

9. 「OK」をクリックして、確認ダイアログを閉じます。

12.5.5.2 要素(メンバー)を作成してグループに追加

メンバーを作成してグループに追加するには:

1. グループ詳細ページのメンバー・タブで、「メンバーの追加」をクリックします。

2. メンバーの追加ページで、新規要素の作成を選択します。

図12-5 メンバーの追加

3. メンバーの値を入力します。

表12-10 作成パラメータ

グループ

作成パラメータ

ISP

該当なし

デバイスID

デバイスID

IP

IP

IP範囲

開始IP

終了IP

説明

ログインID

ログインID

ユーザーIDグループ

ユーザーID

4. 「追加」をクリックして新規メンバーを作成し、グループに追加するか、または「取消」をクリックして変更を取り消します。
新規要素が正常に作成されると、確認ダイアログが表示されます。

5. 「OK」をクリックしてダイアログ・ボックスを閉じます。

12.5.6 グループへのアラートの追加

アラート・グループにアラートを追加する手順を次の項に示します。

12.5.6.1 既存のアラートを選択してアラート・グループに追加

既存のアラートから選択してアラート・グループに追加するには:

1. グループ詳細ページの「アラート」タブで、「メンバーの追加」をクリックします。

2. メンバーの追加ページで、既存の要素から検索して選択を選択します。

3. 関心のある特定のアラートまたはアラートのリストの基準を指定して、「検索」をクリックします。

表12-11 アラートの検索

検索基準

説明

アラート・メッセージ

管理者に通知するメッセージ

レベル

高、情報、低、中

タイプ

CSR、不正、情報、調査

4. 「検索結果」表で、アラート・グループに含めるアラートを選択します。

5. 「追加」をクリックしてグループにアラートを追加するか、または「取消」をクリックして変更を取り消します。
「追加」をクリックすると、アラートが追加されます。

確認ダイアログが表示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。
追加したアラートを含むグループ詳細ページが表示されます。

既存のアラートが別のグループに追加されている場合は、そのアラートのコピーが別の一意のアラートIDで追加されます。アラートの1つに含まれるメッセージを変更しても、その変更は他のアラートには伝播されません。

既存のアラートを編集しても、アラート編集は遡及的に有効になりません。たとえば、ユーザーが既存のアラートを開いて、メッセージを編集すると、そのアラートの新たにトリガーされたインスタンスには新規/編集済のアラート・メッセージが表示されますが、編集で古い/未編集のメッセージが表示される前にアラート・インスタンスが生成されます。

12.5.6.2 新規アラートを作成してアラート・グループに追加

アラートを作成してアラート・グループに追加するには:

1. グループ詳細ページの「アラート」タブで、「メンバーの追加」をクリックします。

2. メンバーの追加ページで、新規要素の作成を選択します。

表12-12 アラートの作成パラメータ

グループ

作成パラメータ

アラート

アラート・タイプ

アラート・レベル

アラート・メッセージ

3. アラート・タイプを選択します。
選択できるアラート・タイプは、「不正」、カスタマ・ケア、「情報」、「調査」です。

4. アラート・レベルを選択します。
選択できるアラート・レベルは、「低」、「中」、「高」および「情報」です。

5. 「アラート・メッセージ」ボックスにアラート・メッセージを入力します。
たとえば、不正の高アラートではマネージャへの通知を要求できますが(カスタマイズしたメッセージに管理者の電話番号を含める)、情報アラートにメッセージを含めることはできません。

図12-6 アラートの作成

6. 「追加」をクリックして新規アラートを作成し、アラート・グループに追加するか、または「取消」をクリックして変更を取り消します。
「追加」をクリックすると、アラートが追加されます。

7. 確認ダイアログが表示されたら、「OK」をクリックしてダイアログを閉じます。

12.5.7 グループへの認証ステータス、接続タイプ、接続スピード、ルーティング・タイプ、トランザクション・ステータスおよびアクションの追加

次に示すグループでは、既存要素を検索してグループに追加することのみできます。要素を作成するオプションはありません。

表12-13 既存要素の検索および追加のみ(作成オプションなし)

グループ

グループ・タイプ

メンバー・タイプ

作成

アクション

列挙

構造型

いいえ

認証ステータス

列挙

LONG型

いいえ

接続タイプ

列挙

LONG型

いいえ

接続スピード

列挙

LONG型

いいえ

ルーティング・タイプ

列挙

文字列

いいえ

トランザクション・ステータス

列挙

構造型

いいえ

要素を作成または編集するには、プロパティ・エディタを使用する必要があります。

メンバーを検索した場合、すでにグループに含まれているメンバーは検索結果に表示されません。

アクション・グループ用の手順は前述の他のグループとは異なるため、別の項で説明します。

12.5.7.1 要素を選択してメンバーとしてグループに追加

既存要素をグループのメンバーとして追加するには、次の手順を実行します。

1. グループ詳細ページで、「メンバーの追加」をクリックします。
メンバーの追加ページが表示されます。

2. メンバーの追加ページで、既存の要素から検索して選択を選択します。

3. 要素または要素リストを検索するためのフィルタ基準を指定して、「検索」をクリックします。

4. グループに含める各要素を選択します。

5. 「追加」をクリックして要素をグループのメンバーとして追加するか、または「取消」をクリックして変更を取り消します。
要素が正常に追加されると、確認ダイアログが表示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。

12.5.7.2 アクション・グループへのアクションの追加

アクション・グループにアクションを追加するには、次の手順を実行します。

12.5.7.2.1 既存のアクションを選択してアクション・グループに追加

既存のアクションからアクションを検索して選択するには:

1. グループ詳細ページの「アクション」タブで、「メンバーの追加」をクリックします。

2. メンバーの追加ページで、既存の要素から検索して選択を選択します。

3. 検索フィルタを使用し、「検索」をクリックして、特定のアクションまたはアクションのリストを検索します。
アクションのリストには、「許可」、「ブロック」、「チャレンジ」、その他のアクションが含まれます。

図12-7 アクションの検索

4. グループに含める各アクションの行を選択し、「追加」をクリックします。

5. 確認ダイアログが表示されたら、「OK」をクリックします。
アクションが「アクション・グループ」に追加され、グループ詳細ページに新規アクションが表示されます。

12.5.7.2.2 新規アクションを作成してアクション・グループに追加

既存のアクションを検索してアクション・グループに追加することのみできます。アクションを作成または編集するには、プロパティ・エディタを使用する必要があります。

作成したアクションは、構成可能なアクションのトリガー・アクションとして使用されることのみを目的とします。これらのアクションは、アプリケーションには直接影響しません。

12.5.8 グループへのエンティティの追加

詳細ページの「グループに追加」ボタンを使用して、グループにエンティティを追加したり、グループを作成してそこにエンティティを追加したり、またはグループからエンティティを削除できます。

「グループに追加」機能の説明は次のとおりです。

表12-14 グループに追加

機能

説明

エンティティ・グループへのエンティティの追加

エンティティがまだ関連付けられていないエンティティ・グループのリストからエンティティ・グループを選択し、これにエンティティを追加できます。ユーザー・グループには、ユーザーIDグループ・タイプまたはユーザー名グループ・タイプのいずれでも指定できます。

アラートを除いて、1つのエンティティを同じエンティティ・グループに複数回追加することはできません。

アラートをアラート・グループに追加した場合には常に、既存のアラートの新規インスタンスが作成されてそのグループに追加されるため、アラートはアラート・グループに複数回追加できます。

新規エンティティ・グループの作成、および新規作成したグループへのエンティティの追加

新規エンティティ・グループを作成し、これにエンティティを追加できます。ユーザー・グループには、ユーザーIDグループ・タイプまたはユーザー名グループ・タイプのいずれでも指定できます。

エンティティ・グループからのエンティティの削除

すでに関連付けられているエンティティ・グループを複数選択し、選択したグループからエンティティを削除できます。注意: 組織IDからユーザーを削除することは推奨されません。

12.6 グループの管理

この項では、次のようにグループの管理について説明します。

- 12.6.1項「グループのメンバーの編集」

- 12.6.2項「グループのメンバーの削除」

- 12.6.3項「ユーザー・グループからのユーザーの削除」

- 12.6.4項「グループのエクスポートおよびインポート」

- 12.6.5項「グループの削除」

- 12.6.6項「グループの直接更新」

12.6.1 グループのメンバーの編集

グループのメンバーを編集するには、次の手順を実行します。

メンバーを編集できるグループのリストについては、表12-15「グループのメンバーの編集」を参照してください。

1. 12.2項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページを開きます。

2. 検索フィルタに基準を指定して、編集するメンバーが含まれるグループを検索します。

3. 「検索」をクリックします。

4. グループのリストで、メンバーが含まれるグループの名前をクリックします。

5. 「メンバー」タブで、メンバーを選択して「編集」ボタンをクリックします。

6. 「要素の編集」画面で、適切に変更します。

7. 変更を保存する場合は「適用」をクリックし、破棄する場合は「元に戻す」をクリックします。

表12-15 グループのメンバーの編集

グループ

編集

アクション

いいえ

認証ステータス

いいえ

接続タイプ

いいえ

接続スピード

いいえ

ルーティング・タイプ

いいえ

トランザクション・ステータス

いいえ

アラート

はい

汎用整数、汎用文字列、汎用ロング

はい

ASN

はい

IPキャリア

はい

トップ・レベル・ドメイン

はい

第2レベル・ドメイン

はい

市区町村

いいえ

国

いいえ

都道府県

いいえ

ISP

はい

デバイスID

はい

IP

はい

IP範囲

はい

ログインID

はい

ユーザーIDグループ

はい

12.6.2 グループのメンバーの削除

グループのメンバーを削除するには:

1. 12.2項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページを開きます。

2. 検索フィルタに基準を指定して、削除するメンバーが含まれるグループを検索します。

3. 「検索」をクリックします。

4. 「結果」表で、メンバーを削除するグループを選択します。
グループ詳細ページが表示されます。

5. 「メンバー」タブで、削除するグループ・メンバーを選択し、「削除」をクリックします。
グループからメンバーを削除するかどうかを尋ねる確認ダイアログが表示されます。

6. 「はい」をクリックします。
選択したメンバーが正常に削除されたというメッセージを含むダイアログが表示されます。

7. 「OK」をクリックしてダイアログ・ボックスを閉じます。

12.6.3 ユーザー・グループからのユーザーの削除

ユーザー・グループからユーザーを削除するには:

1. 12.2項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページを開きます。

2. ユーザーを削除するグループを検索する基準を指定します。

3. 「検索」をクリックします。

4. 「結果」表で、ユーザー・グループの名前をクリックします。

5. 「グループ詳細」ページで、「ユーザーID」タブをクリックします。

6. 削除するユーザーのユーザーIDを含む行を選択し、「削除」をクリックします。
グループからメンバーを削除しますか。というメッセージを含むダイアログが表示されます。

7. 「はい」をクリックして確認します。
「選択したメンバーは正常に削除されました」というメッセージを含む確認ダイアログが表示されます。

8. 「OK」をクリックしてダイアログ・ボックスを閉じます。

12.6.4 グループのエクスポートおよびインポート

グループのエクスポートおよびインポート・コマンドを使用して、グループをZIPファイルとしてエクスポートおよびインポートできます。

12.6.4.1 グループのエクスポート

グループをエクスポートするには:

1. 12.2項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページを開きます。

2. 検索フィルタに基準を指定して、グループを検索します。

3. エクスポートするグループに対応する行をすべて選択します。

4. 「アクション」メニューから「選択項目のエクスポート」を選択します。

5. エクスポート・ダイアログが表示されたら、ファイルの保存を選択し、「OK」を選択します。
ファイルがエクスポートされ、ZIPファイルとして保存されます。

12.6.4.2 グループのインポート

グループをインポートするには:

1. 12.2項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページを開きます。

2. グループ検索ページで、「グループのインポート」ボタンをクリックします。「グループのインポート」画面が表示されます。

3. 「グループのインポート」ダイアログ・ボックスにファイルのパスおよび名前を入力するか、「参照」(...)ボタンを使用して、グループが含まれるZIPファイルを探し、そのファイルを選択します。

4. 「オープン」をクリックしてから、「OK」をクリックします。
「インポートされたリスト」ダイアログが表示され、インポートされたグループのリストが一般詳細とともに表示されます。

5. 「OK」をクリックします。
ファイルに、既存のグループと同じ名前のグループが含まれている場合、そのグループは更新/上書きされます。ファイルに、存在しない名前のグループが含まれている場合、そのグループはシステムに追加されます。

削除スクリプトをインポートした場合、グループはシステムから削除されます。

無効な形式でグループをインポートしようとすると、エラーが表示されます。

12.6.5 グループの削除

グループを削除するには:

1. 12.2項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページを開きます。

2. グループ検索ページで、検索フィルタに特定の基準を指定し、「検索」をクリックして、関心のある特定のグループまたはグループのリストを検索します。

3. 削除する各グループに対応する行を選択し、「削除」をクリックします。
削除対象として選択したグループが使用されていないかまたはポリシーにリンクされていない場合は、確認を求めるダイアログが表示されます。「はい」と答えると、これらのグループが削除されます。

削除対象として複数のグループを選択した場合に、一部のグループが使用されているかまたは他のシステムにリンクされていると、どのグループが削除可能で、どのグループが使用中またはリンクされているために削除できないかを通知するメッセージが表示されます。使用中またはリンクされているグループごとに、使用状況ツリーへのリンクを使用できます。ダイアログでは、使用中でないグループを削除するオプションも提供されます。

グループを本当に削除するかどうかを尋ねる確認ダイアログが表示されます。

4. 「はい」をクリックしてグループを削除します。
選択したグループが正常に削除されたというメッセージを含むダイアログが表示されます。

5. 「OK」をクリックしてダイアログ・ボックスを閉じます。

12.6.6 グループの直接更新

XMLファイルでグループを直接更新できます。たとえば、サード・パーティのサービスから取得した高リスクIPの月次リストに基づいて、ブラックリストに記載されたIPグループに対し、バルク更新を実行できます。

グループを直接更新するには:

1. 更新するグループをエクスポートします。
詳細は、12.6.4.1項「グループのエクスポート」を参照してください。

2. XMLを開いて、必要な編集を行います。

3. グループをインポートして、前のバージョンを上書きするかまたは前のバージョンに追加します。
詳細は、12.6.4.2項「グループのインポート」を参照してください。

12.7 ユース・ケース

この項では、グループのサンプル・ユース・ケースを示します。

12.7.1 ユース・ケース: グループの移行

Chuckは管理者で、10.1.4.5のデプロイメントを11g R1以降に移行しているところです。彼は、アップグレードした環境に既存のグループをインポートする必要があります。10.1.4.5から11g R1以降に適切に移行するために、すべてのグループ・タイプをテストする必要があります。

1. ナビゲーション・ツリーで「グループ」を開きます。

2. グループ検索ページで、「グループのインポート」をクリックします。

3. エクスポートしたグループのZIPファイルをインポートします。

1. グループが含まれるZIPファイルを参照します。

2. 「OK」をクリックします。

4. 「グループのインポート」確認画面が開き、インポートされたグループの情報(グループ名、グループ・タイプ、キャッシュ・タイプおよびノート)が表示されます。「OK」をクリックします。

12.7.2 ユース・ケース: アラート・グループの作成とメンバーの追加

速度ルールを作成しましたが、ルールがトリガーされたことおよびその理由を調査担当者が簡単に確認できるように、アラート・グループを割り当てる必要があります。使用方法: High velocity userという名前の新規アラート・グループを作成します。「User appears to have traveled faster than 500 MPH since last login」といった、調査担当者に役立つ速度ルールのメッセージを作成します。

アラート・グループを作成して、メンバーを追加するには:

1. セキュリティ管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ツリーで、「グループ」をダブルクリックします。グループ検索ページが表示されます。

3. グループ検索ページで、再利用する既存のアラート・グループを検索します。

1. 「グループ・タイプ」として「アラート」が、「グループ名」の一部として「velocity」が指定されているグループを検索します。

2. 「検索結果」表からグループを選択します。

3. グループ詳細ページで、「アラート」タブをクリックします。
アラート・グループ内のアラートが表示されます。

4. いずれかのアラートが要求を満たしているかどうかを確認します。

5. 手順b、cおよびdを繰り返します。
このユース・ケースに適用できるメッセージがアラート・グループに含まれていないため、新規アラートを作成します。

4. 「アラート」グループを作成します。

1. 「新規グループ」をクリックして、アラート・グループを作成します。「新規グループ」画面が表示されます。

2. 「グループ名」フィールドに、High velocity userと入力します。

3. 「グループ・タイプ」リストから、「アラート」を選択します。

4. 「キャッシュ・ポリシー」リストから、「フル・キャッシュ」のキャッシュ・ポリシーを選択します。

5. 「説明」フィールドに説明を入力します。

6. 「OK」をクリックします。確認のメッセージが表示されます。

7. 「OK」をクリックして、確認ダイアログを閉じます。
新しいHigh velocity userグループが正常に作成され、グループ詳細ページが表示されます。

5. 速度が妥当ではないユーザーに関するメッセージを含むアラートを追加します。

1. グループにアラートを追加するために、「アラート」タブをクリックします。

2. 「アラート」タブで、「メンバーの追加」ボタンをクリックします。

3. メンバーの追加ページで、新規要素の作成を選択します。

4. 「アラート・タイプ」として、「CSR」を選択します。

5. 「アラート・レベル」として、「中」を選択します。

6. 「アラート・メッセージ」として、「User appears to have traveled faster than 500 MPH since last login」と入力します。

7. 「追加」をクリックし、グループにアラートを追加します。
「新規要素は正常に作成されました」というメッセージを含む確認ダイアログが表示されます。

8. 「OK」をクリックしてダイアログ・ボックスを閉じます。
High velocity userグループが、グループ検索ページの「検索結果」表に表示されます。

このアラート追加シナリオの代替として、「User appears to have traveled faster than 500 MPH since last login」というメッセージを検索して、グループにアラートを追加するという方法もあります。

12.7.3 ユース・ケース: グループからのユーザーの削除

リスクの高いアクティビティを持つユーザー向けに、制限付きユーザー・グループが作成されています。会社およびユーザーは、この実装で保護されています。セキュリティ・チームでは、四半期ごとにこのグループ内のユーザーを確認したり、カスタマの問題がいつ調査されるかを確認します。手順: パートA: ユーザーPhillipの直近6か月のアクティビティのみを表示するようにフィルタリングしたセッション検索を実行します。Phillipを制限付きユーザー・グループに追加します。パートB: ミスを犯してしまったため、制限付きユーザー・グループからPhillipを削除する必要があります(セキュリティ・チームの慣例で推奨されているため)。

1. 調査担当者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ツリーで「セッション」をダブルクリックします。セッション検索ページが表示されます。

3. セッション検索ページで、次の基準を使用して検索を実行します。

1. 「ログイン時間」フィールドに、過去6か月の開始日および終了日を入力します。

2. 「ユーザー名」フィールドに、Phillipのユーザー名を入力します。

3. 「アラート・レベル」で、「高」を選択します。

重大度の高いセキュリティ・アラートは他にはありません。

4. 検索結果の「ユーザーID」列から、PhillipのユーザーIDをコピーします。

5. ナビゲーション・ツリーで、「グループ」をダブルクリックします。

6. グループ検索ページで、「制限付きユーザー」グループを検索します。

7. 「結果」表で、「制限付きユーザー」というグループ名をクリックします。

8. 「グループ詳細」ページで、「ユーザーID」タブをクリックします。

9. 「追加」をクリックします。

10. メンバーの追加画面で、新規要素の作成を選択します。

11. 「ユーザーID」にPhillipのユーザーIDを入力し、「追加」をクリックします。
「新規要素は正常に作成されました」というメッセージを含む確認ダイアログが表示されます。

12. 「OK」をクリックしてダイアログ・ボックスを閉じます。
間違えたことがわかったため、制限付きユーザー・グループからPhillipを削除する必要があります(セキュリティ・チームの慣例でこのようにすることが推奨されているため)。

13. ナビゲーション・ツリーで、「グループ」をダブルクリックします。

14. グループ検索ページで、「制限付きユーザー」グループを検索します。

15. 「結果」表で、「制限付きユーザー」というグループ名をクリックします。

16. 「グループ詳細」ページで、「ユーザーID」タブをクリックします。

17. PhillipのユーザーIDを含む行を選択し、「削除」をクリックします。
グループからメンバーを削除しますか。というメッセージを含むダイアログが表示されます。

18. 「はい」をクリックして確認します。
「選択したメンバーは正常に削除されました」というメッセージを含む確認ダイアログが表示されます。

19. 「OK」をクリックしてダイアログ・ボックスを閉じます。

12.7.4 ユース・ケース: ブラック・リストに記載された国からのユーザーのブロック

指定した国グループにIPが含まれているユーザーをブロックするには:

1. ポリシー検索ページを開きます。

2. 必要な検索基準を入力し、「検索」をクリックします。

3. 「結果」表で、編集するポリシーの名前をクリックします。
ポリシー詳細ページが表示されます。

4. ポリシー詳細ページで、「ルール」タブをクリックします。

5. 「ルール」タブで、「追加」をクリックします。

6. 「新規ルール」ページで、ルール名としてLocation: From IPを入力します。

7. 「条件」タブをクリックします。

8. 「条件」ページで、「追加」をクリックします。
条件の追加ページが表示され、ここで「ロケーション: 国グループ内」条件を検索および選択して、この条件をルールに追加できます。

9. 「OK」をクリックします。
条件のパラメータが下部のパネルに表示されます。

10. パラメータ領域の「国グループ内の国」で、「ブラックリストに記載された国」グループを選択します。

11. 「保存」をクリックします。

12. 「結果」タブで、アクション・グループとして「ブロック」を選択します。

13. 「適用」をクリックします。

図12-8 ブラックリストに記載された国

12.7.5 ユース・ケース: 会社で要求されるユーザーのブロック

この項では、ポリシーおよびルールでのグループの動作例を示します。

この例では、会社Aで、通常はカスタマがログインしない一連の国からの高リスク・アラートが著しく増加していることが観察されています。会社Aでは、これらの国のユーザーをブロックしたいと考えています。

高リスクの国のユーザーをブロックするポリシーの作成手順の概要を、次の各項に示します。このポリシーでは3つのグループを作成します。

12.7.5.1 ブラックリスト国ポリシーの作成(1): 不正な国ポリシーおよびルールの作成

最初に、次の属性を使用して不正な国ポリシーを作成する必要があります。

表12-16 不正な国ポリシー

属性

値

名前

BlackListCountry。

チェックポイント

認証後(ユーザーがパスワードを入力した後に実行される)

ステータス

アクティブ

スコアリング・エンジン

最大

重み

100

ルールおよび条件

ルールは、「条件: ロケーション: 国グループ内 - True」を含みます

12.7.5.2 ブラックリスト国ポリシーの作成(2): 国グループの作成

「国」グループ・タイプには、不正な行為をした国の名前が含まれています。

続いて、次の属性を使用して国グループを作成してから、グループを編集してメンバーを追加します。

表12-17 国グループ

属性

値

グループ名

Country_Blacklist

グループ・タイプ

国

キャッシュ・ポリシー

フル・キャッシュ

説明

OAAM Country Blacklist Group

12.7.5.3 ブラックリスト国ポリシーの作成(3): 不正の高アラート・グループの作成

アラートは、不正行為分析者へのインジケータになります。このアラート・グループは、ブロックされている国のユーザーがログインして、ルールがトリガーされ、高アラートになる場合に使用されます。グループには、トリガーされるアラートが含まれます。

次の属性を使用して、不正の高アラート・グループを作成します。

表12-18 不正の高アラート・グループ

属性

値

グループ名

Loc_Blacklist

グループ・タイプ

アラート

キャッシュ・ポリシー

フル・キャッシュ

説明

OAAM Location Blacklist Group

続いて、次のように設定してグループを編集します。

- 「アラート・レベル」をALERT_HIGHに設定

- 「アラート・タイプ」を「不正」に設定

- 「アラート・メッセージ」をLOC_BLACK LIST COUNTRYに設定

12.7.5.4 ブラックリスト国セキュリティ・ポリシーの作成(4/5): ブロック・アクション・グループの作成

ルールの結果はアクションで、このアクションは、ブロックされている国からユーザーがログインした場合に当然のこととして実行されるもので、この場合は、このユーザーをブロックし、「You Have Been Blocked」といった適切なメッセージが表示されるページにユーザーをリダイレクトするよう、クライアント・アプリケーションに指示します。

次の属性を使用して、ブロック・アクション・グループを作成します。

表12-19 ブロック・グループ

属性

値

グループ名

Block

グループ・タイプ

アクション

キャッシュ・ポリシー

フル・キャッシュ

説明

Blacklist Action Group

使用可能なアクションから「ブロック」を選択して、グループを編集します。

12.7.5.5 ブラックリスト国セキュリティ・ポリシーの作成(5/5): 不正な国ルールへのグループの付加

ルールがトリガーされたときに、このリストに含まれる国からログインしているすべてのユーザーがブロックされるように、ブラックリストに記載された国グループをルールに付加します。

1. OAAM管理コンソールでBlackListCountryポリシーを検索します。

2. 「ロケーション: 国グループ内」条件を含むLocCountry_Ruleを追加します。

3. 次のようにポリシーを定義します。

- グループ内: True

- 国グループ内の国: Country_blacklist

- スコア: 1000

- 重み: 100

- アクション・グループ: Block

- アラート・グループ: Loc_Blacklist

4. グループ・リンク: グループ・タイプを「ユーザーID」に設定します。

5. グループから、グループを選択します。

12.7.6 ユース・ケース: 特定の国からのユーザーのブロック

ポリシーで、疑わしいアクティビティが識別されている国のユーザーをブロックする場合は、ブロックされる国グループ、不正の高アラート・グループ、ブロック・アクション・グループを作成できます。

- ブロックされる国グループ: 不正として識別されている国の名前を「国」グループ・タイプに移入します。

- 不正の高アラート・グループ: このグループには、不正なシナリオが発生したことを分析者に示すためにトリガーされるアラートが含まれます。このグループは、ブロックされている国のユーザーがログインして、ルールがトリガーされ、高アラートになる場合に使用されます。

- ブロック・アクション・グループ: ルールの結果はアクションで、このアクションは、ユーザーがブロックされている国からログインした場合に(当然のこととして)実行されるものです。この場合は、このユーザーをブロックし、「You Have Been Blocked」といった適切なメッセージが表示されるページにユーザーをリダイレクトするよう、クライアント・アプリケーションに指示します。

12.7.7 ユース・ケース: 特定のIPアドレスからのユーザーのみを許可

ポリシーで、安全圏としてホワイトリストに記載されているIPアドレスのユーザーのみを許可する場合は、IPグループおよび調査の中アラート・グループを作成できます。

- IPグループ: 機関によって安全圏としてホワイトリストに記載されているIPアドレスを「IP」グループ・タイプに移入します。安全圏としてホワイトリストに記載されているIPアドレスのユーザーのみを許可します。

- 調査の中アラート・グループ: アラートは、不正行為分析者へのインジケータになります。ホワイト・リスト・グループに含まれていないIPアドレスからログインしたユーザーによって、中アラートが生成されます。アラート・タイプは「調査」です。

12.7.8 ユース・ケース: 特定のデバイスからのユーザーのチェック

ポリシーで、不正なアクティビティが報告されているデバイスからのユーザーをチェックする場合は、デバイス・グループおよび情報アラート・グループを作成できます。

- デバイス・グループ: 疑わしいと識別されているデバイスを「デバイス」グループ・タイプに移入します。デバイスは、基本的にはブラウザ、特性、Flash、Cookieなどの多数の属性に基づいて生成されるIDです。

- 情報アラート・グループ: アラートは、不正行為分析者へのインジケータになります。不正な動作が識別されているデバイス(デバイス・グループに登録されている)からユーザーがログインすると、ルールがトリガーされ、情報タイプのアラートが生成されます。

12.7.9 ユース・ケース: 特定のユーザーの監視

ポリシーで、不正なアクティビティが報告されているユーザーを監視する場合は、ユーザーIDグループおよびカスタマ・ケア・グループを作成できます。

- ユーザーIDグループ: 不正なアクティビティが識別されているユーザーを「ユーザーID」タイプのグループに移入します。

- カスタマ・ケア・アラート・グループ: アラートは、不正行為分析者とカスタマ・ケア担当へのインジケータになります。疑わしいユーザーがログインすると、ルールがトリガーされ、カスタマ・ケア・アラートが生成されます。

12.8 ベスト・プラクティス

この項では、グループ使用のベスト・プラクティスを示します。

- レポートに対して、またはメンバーを集めるだけで評価には使用しないグループに対してのみグループを使用する場合は、キャッシュ・ポリシーを「フル・キャッシュ」に設定しないでください。グループに変更があるとそのグループが再キャッシュされるため、たとえば、長い要素のリストがある場合には、グループをキャッシュしないようにする必要があります。

- アクション・グループおよびアラート・グループの場合は、キャッシュを「フル・キャッシュ」に設定するようにします。

13 ポリシー・セットの管理

この章では、Oracle Adaptive Access Managerでのポリシー・セットの管理および使用について説明します。

この章では、次の内容を説明します。

- 13.1項「概要と概念」

- 13.2項「「ポリシー・セット詳細」ページへのナビゲート」

- 13.3項「ポリシー・セット詳細の表示」

- 13.4項「スコア・オーバーライドの追加または編集」

- 13.5項「アクション・オーバーライドの追加または編集」

- 13.6項「ポリシー・セットの編集」

- 13.7項「ユース・ケース」

- 13.8項「ポリシー・セットのベスト・プラクティス」

13.1 概要と概念

この項では、ポリシー・セットの概念およびOracle Adaptive Access Managerでどのように使用されるかについて説明します。内容は次のとおりです。

- ポリシー・セット

- アクション・オーバーライドおよびスコア・オーバーライド

13.1.1 ポリシー・セット

ポリシー・セットは、個々のポリシーの上位にある評価ロジックのレベルです。ポリシー・セット・ロジックは、チェックポイントに対してすべてのポリシーが実行された後に実行される機能の集合です。この機能には、最終的なリスク・スコアの計算およびオーバーライドが含まれます。

ポリシー・セットを使用して、アクションまたはスコア・ベースのオーバーライドを作成できます。オーバーライドを使用すると、管理者は、ポリシーによって生成されたアクションまたはスコアが望ましくない結果となる可能性がある特別な状況に対処できます。たとえば、ルールが非常に控えめに構成されている場合、コール・センターに電話が殺到することを回避するために、管理者は、短時間にきわめて多数のブロックがある場合にブロック・アクションを変換するためのアクション・オーバーライドを作成できます。

ポリシー・セットにはいくつかの主要な機能があります。

- 個々のポリシーによって生成されたスコアを最終的なリスク・スコアに結合するために使用されるスコアリング・エンジンは、ここで構成します。

- アクション・オーバーライドまたはスコア・オーバーライドを作成するために使用できます。

例: ポリシー・セット・スコアリング・エンジン

セキュリティ管理者のJeffは、各チェックポイントでの最終リスク・スコアが、最も高い個別のポリシー・リスク・スコアに基づくようにすることを考えています。この要件を満たすため、彼はポリシー・セット・レベルでのスコアリング・エンジンとして「最大」を選択します。

1. 管理者としてOAAM管理コンソールにログインします。

2. 「ポリシー・セット」ノードをダブルクリックします。「ポリシー・セット」ページが表示されます。

3. 「サマリー」タブをクリックします。

4. 「スコアリング・エンジン」リストから「最大」を選択します。
最大スコアリング・エンジンでは、最も高いポリシー・スコアがチェックポイント・スコアとして使用されます。このスコアリング・エンジンでは、ポリシーの重みは無視されます。

5. 「適用」をクリックします。
「ポリシー・セットの詳細が正常に更新されました」というメッセージを含む確認ダイアログが表示されます。

6. 「OK」をクリックします。

13.1.2 アクション・オーバーライドおよびスコア・オーバーライド

アクション・オーバーライドおよびスコア・オーバーライドを使用して、チェックポイントの結果を変更できます。

アクション・オーバーライドを作成する場合は、個々のルールによってトリガーされたアクションを置き換えるアクションを指定します。たとえば、時間およびアクションに基づくアクション・オーバーライドを使用して、指定した時間枠でブロックの数を制限したり、登録の数を制御できます。

スコア・オーバーライドを作成する場合は、チェックポイントの最終的なリスク・スコアが指定した範囲内にあるときにトリガーされるアクション・グループまたはアラート・グループ、あるいは両方を指定します。たとえば、スコア範囲を500から1000に設定し、アラート・グループを指定した場合、チェックポイントのリスク・スコアが500から1000の間になるとアラートが生成されます。

13.1.3 始める前に

Oracle Adaptive Access Managerは、アクション・オーバーライドが無効の状態(デフォルト)で出荷されます。この機能を有効にするには、次のプロパティを「true」に設定します。

vcrypt.tracker.rules.allowControlledActions

13.2 「ポリシー・セット詳細」ページへのナビゲート

1つのポリシー・セットのみを使用できます。

「ポリシー・セット詳細」ページにアクセスするには:

1. ナビゲーション・ツリーを開きます。

2. ナビゲーション・ツリーから、「ポリシー・セット」を選択します。

「ポリシー・セット詳細」が表示されます。

または、次の方法で「ポリシー・セット詳細」ページを開くこともできます。

- ナビゲーション・ツリーで「ポリシー・セット」を右クリックし、コンテキスト・メニューから「ポリシー・セットを開く」を選択します。

- ナビゲーション・ツリーで「ポリシー・セット」を選択し、「アクション」メニューから「ポリシー・セットを開く」を選択します。

- ナビゲーション・ツリーのツールバーの「ポリシー・セットを開く」ボタンをクリックします。

13.3 ポリシー・セット詳細の表示

「ポリシー・セット詳細」ページでは、ポリシー・セット詳細を表示および編集できます。

次の4つのタブがあります。

- 「サマリー」: ポリシー・セットの一般的な詳細が表示され、詳細を編集し、スコアリング・エンジンを選択できます。

- 「スコア・オーバーライド」: スコア・オーバーライドを設定できます。

- 「アクション・オーバーライド」: アクション・オーバーライドを設定できます。

13.4 スコア・オーバーライドの追加または編集

スコア・オーバーライドを追加または編集するには:

1. 「ポリシー・セット詳細」ページを開きます。

2. 「スコア・オーバーライド」タブをクリックします。
既存のスコア・オーバーライドのリストが表示されます。

3. スコア・オーバーライドを追加するには、「追加」をクリックします。
スコア・オーバーライドを編集するには、オーバーライドを選択し、「編集」をクリックします。

「スコア・オーバーライドの追加」または「スコア・オーバーライドの編集」ダイアログが表示されます。

4. このオーバーライドを適用するチェックポイントを選択します。

5. 最小スコアと最大スコアを入力します。
スコアが最小スコアと最大スコアの間にある場合、オーバーライドがトリガーされます。

6. オーバーライドでトリガーされるアクションを選択します。

7. オーバーライドでトリガーされるアラートを選択します。

8. 「適用」をクリックします。

13.5 アクション・オーバーライドの追加または編集

アクション・オーバーライドを追加または編集するには:

注意:

特定期間中にユーザー/デバイス/IPにアクションがすでに提示されている場合、同じアクションが継続され、オーバーライドは提供されません。

1. 「ポリシー・セット詳細」ページを開きます。

2. 「アクション・オーバーライド」タブをクリックします。
既存のアクション・オーバーライドのリストが表示されます。

3. アクション・オーバーライドを追加するには、「追加」をクリックします。
アクション・オーバーライドを編集するには、オーバーライドを選択し、「編集」をクリックします。

「アクション・オーバーライドの追加」または「アクション・オーバーライドの編集」ダイアログが表示されます。

4. このオーバーライドを適用するチェックポイントを選択します。

5. 「アクション(自)」フィールドで、置き換えるアクションを選択します。
たとえば、ブロックをチャレンジ質問に変換できるように、「ブロック」を選択できます。

「アクション(至)」の指定はオプションです。「アクション(自)」と「アクション(至)」は同じ値にできます。

6. 「アクション(至)」フィールドで、置換に使用するアクションを選択します。
たとえば、「チャレンジ」を選択してブロックをチャレンジに変換できます。

7. 「アラート・グループ」リストから、このイベントが発生したときに生成されるアラートを選択します。
アラートは、個人(CSR、調査担当者など)に対するインジケータ(メッセージ)です。アラート・グループには、ルールによってトリガーできる等級付けされたメッセージが含まれます。

アラート・グループはルール内の結果として使用され、ルールがトリガーされると、グループ内のすべてのアラートがアクティブ化されます。

8. 「継続時間」に、「アクション(至)」がトリガーされる期間(分数)を入力します。
たとえば、30分以内に100ブロック以上ある場合、システムがユーザーのブロックを停止し、ブロックされる予定だったユーザーのチャレンジを開始するように、数値「30」を入力できます。

9. 「件数」に、「アクション(自)」によって生成されるイベントの数を入力します。
たとえば、10ブロック以上を示すために「100」を入力できます。

アクションの件数は、アクションが異なるユーザー、IPおよびデバイスからのものである場合にのみ増分されます。

件数は、ユーザー、IPおよびデバイスがすべて一意である場合にのみ更新されます。たとえば、これらが一意ではなく、デバイスがブロックされる場合、ブロックはチャレンジされるのではなく、指定された期間継続してブロックされます。

10. 「適用」をクリックします。

13.6 ポリシー・セットの編集

ポリシー・セットを編集するには:

1. 「ポリシー・セット詳細」ページを開きます。

2. ポリシー・セットの一般情報を編集するには、「サマリー」タブで変更を加え、「適用」をクリックします。
ポリシー・セットのスコアリング・エンジンと説明を変更できます。

スコアリング・エンジンの詳細は、10.2.8項「スコアリング・エンジンとは」を参照してください。OAAM管理では、スコアリング・エンジンを使用して、リスク・レベルの計算時に適用される数値スコアを計算します。

変更が成功すると、ポリシー・セット詳細が正常に更新されたことの確認が表示されます。

3. スコア・オーバーライドを追加または編集するには、13.4項「スコア・オーバーライドの追加または編集」の手順を実行します。

4. アクション・オーバーライドを編集するには、13.5項「アクション・オーバーライドの追加または編集」の手順を実行します。

13.7 ユース・ケース

この項では、ポリシー・セットを使用するサンプル・ユース・ケースについて説明します。

13.7.1 ユース・ケース: ポリシー・セット - オーバーライド

Williamはセキュリティ管理者であり、認証前のスコアが500から700の間の場合、不正調査担当者が即座に対応するために特別なアラートがトリガーされ、ユーザーがチャレンジされるのではなくブロックされるように、スコア・オーバーライドとアクション・オーバーライドを設定する必要があります。

1. スコア・オーバーライドの編集
スコア・オーバーライドを作成する場合は、スコアが特定の範囲内にあるときにトリガーされるアクション・グループまたはアラート・グループ、あるいはアクション・グループとアラート・グループの両方を指定します。たとえば、最小スコアを500に設定した場合、スコアが501に達したときにトリガーされるアクション・グループまたはアラート・グループを指定できます。

1. 「チェックポイント」: 「認証前」

2. 最小スコア: 500
500は、スコア・オーバーライドがトリガーされるまでに許可される最小スコアです。

3. 最大スコア: 700
700は、スコア・オーバーライドがトリガーされるまでに許可される最大スコアです。

4. アラート・グループ: 新規アラート
アラートは、個人(CSR、調査担当者など)に対するインジケータ(メッセージ)です。アラート・グループには、ルールによってトリガーできる等級付けされたメッセージが含まれます。

アラート・グループはルール内の結果として使用され、ルールがトリガーされると、グループ内のすべてのアラートがアクティブ化されます。

5. アクション・グループ: Block
Oracle Adaptive Access Managerは、ブロックされているユーザーがシステムにアクセスすることを許可しません。

2. アクション・オーバーライドの編集
アクション・オーバーライドを作成する場合は、個々のルールによってトリガーされたアクションを置き換えるアクションを指定します。たとえば、時間およびアクションに基づくアクション・オーバーライドを使用して、指定した時間枠でブロックの数を制限したり、登録の数を制御できます。

1. 「チェックポイント」: 「認証前」

2. アクション(自): チャレンジ

3. アクション(至): ブロック

4. アラート・グループ: 新規アラート

13.7.2 ポリシー・セット - オーバーライド(評価の順序)

Williamはセキュリティ管理者であり、認証前のスコアが500から700の間の場合、不正調査担当者が即座に対応するために特別なアラートがトリガーされ、ユーザーがチャレンジされるのではなくブロックされるように、スコア・オーバーライドとアクション・オーバーライドを設定する必要があります。ただし、約10名の研修生がおり、次の1週間、一時許可を付与されます。アクション・オーバーライドとスコア・オーバーライドはこれらのユーザーにどのように影響するでしょうか。

1. スコア・オーバーライドの編集
スコア・オーバーライドを作成する場合は、スコアが特定の範囲内にあるときにトリガーされるアクション・グループまたはアラート・グループ、あるいはアクション・グループとアラート・グループの両方を指定します。たとえば、最小スコアを500に設定した場合、スコアが501に達したときにトリガーされるアクション・グループまたはアラート・グループを指定できます。

1. 「チェックポイント」: 「認証前」

2. 最小スコア: 500
500は、スコア・オーバーライドがトリガーされるまでに許可される最小スコアです。

3. 最大スコア: 700
700は、スコア・オーバーライドがトリガーされるまでに許可される最大スコアです。

4. アラート・グループ: 新規アラート
アラートは、個人(CSR、調査担当者など)に対するインジケータ(メッセージ)です。アラート・グループには、ルールによってトリガーできる等級付けされたメッセージが含まれます。

アラート・グループはルール内の結果として使用され、ルールがトリガーされると、グループ内のすべてのアラートがアクティブ化されます。

5. アクション・グループ: Block
Oracle Adaptive Access Managerは、ブロックされているユーザーがシステムにアクセスすることを許可しません。

2. アクション・オーバーライドの編集
アクション・オーバーライドを作成する場合は、個々のルールによってトリガーされたアクションを置き換えるアクションを指定します。たとえば、時間およびアクションに基づくアクション・オーバーライドを使用して、指定した時間枠でブロックの数を制限したり、登録の数を制御できます。

1. 「チェックポイント」: 「認証前」

2. アクション(自): チャレンジ

3. アクション(至): ブロック

4. アラート・グループ: 新規アラート

3. 研修生グループを作成します。

4. すべての「チャレンジ」ルールの「事前条件」の除外グループでグループを選択します。

13.8 ポリシー・セットのベスト・プラクティス

この項では、ポリシー・セットの使用に関するベスト・プラクティスについて概説します。

- ポリシー・セットを本番システムにインポートする前に、本番システムのシステム構成全体が置き換えられることを認識しておく必要があります。現在の構成を失わないために、実際のインポート前に現在のポリシー・セットをエクスポートします。インポートが失敗した場合、または予期しない他の問題が発生した場合。ポリシー・セットをインポートした後は、元に戻すことはできません。バックアップを使用できるようにしておくと、インポートが失敗した場合にその構成をすぐにシステムにインポートできます。

- エクスポートが正常に実行された場合にのみ、ポリシー・セットをオフライン・システムからオンライン・システムにインポートします。

- 構成可能なアクションがポリシー・セットとともにエクスポートされた場合。インポート後、構成可能なアクションが再度システムにインポートされたときに破壊されないように、指定したディレクトリにJavaクラスをコピーする必要があります。

14 システム・スナップショットの管理

この章では、Oracle Adaptive Access Manager 11gの新機能であるUniversal Risk Snapshot機能について説明します。

この章では、次の内容を説明します。

- 14.1項「概念」

- 14.2項「スナップショットの制限事項について」

- 14.3項「システム・スナップショット検索ページへのナビゲート」

- 14.4項「スナップショットの検索」

- 14.5項「スナップショットのインポート」

- 14.6項「スナップショットの詳細の表示」

- 14.7項「バックアップの作成」

- 14.8項「スナップショットのリストア」

- 14.9項「スナップショットの削除」

- 14.10項「ユース・ケース」

- 14.11項「スナップショットのベスト・プラクティス」

14.1 概念

この項では、スナップショットの概念と、Oracle Adaptive Access Managerでスナップショットがどのように使用されるかについて説明します。

Universal Risk Snapshotを使用すると、システム・スナップショットを作成できるため、セキュリティ管理者は異なる環境間でセキュリティ・データを簡単に移行したり、セキュリティ構成を既知の状態にリストアできます。

14.1.1 スナップショット

スナップショットとは、現在のシステム構成のバックアップのことです。元のシステムでエラーが発生した場合、システムを事前定義済のポイントにまでリストアできます。

Universal Risk Snapshotを使用すると、システム管理者はシステム・イメージを格納して管理できます。次の操作を実行できます。

- 安全、セキュリティまたはバージョニングの目的で、システム構成をバックアップします。

- 他のサーバーで使用できるように(たとえば、テスト環境から本番環境への移行や、本番のトラブルシューティングなどの目的で)、システム構成をレプリケートします。

- 事前定義済のポイントからシステム構成をリストアします。

Universal Risk Snapshotでは、構成データ(メタデータ)のみが処理されます。セッション、トランザクション・データ、ケース、ルール・ログ、アクション・ログなどのランタイム・データは処理されません。

14.1.2 スナップショットの格納

スナップショットが作成されると、OAAMサーバーのメタデータがデータベースからコピーされます。

スナップショットは、その格納場所に応じてファイルまたはデータベースからリストアできます。

14.1.3 スナップショット・メタデータ

スナップショットの場合、メタデータは次のアイテムとともに格納されます。

アーティファクト

コメント

補足説明

ポリシー・セット

ポリシー・セットのオーバーライド

ポリシー

すべてのポリシー

トリガー組合せを含む

ルール・インスタンス

すべてのルール・インスタンス

条件

すべてのルール条件

グループ

リンクされているかどうか、すべてのグループのグループ定義

アラートおよびアクションのグループ・メンバーのみがエクスポートされる

パターン

すべてのパターン

トランザクション定義

すべてのトランザクション定義

エンティティ

リンクされているかどうか、すべてのエンティティ

プロパティ

データベース内のみ

列挙

データベース内のみ

構成可能なアクション

チャレンジ質問

検証、カテゴリおよび構成を含む(回答ロジックなど)

14.1.4 バックアップ

バックアップでは、すべてのグループ定義を含む既存のすべての構成(アクティブなアイテムと非アクティブなアイテムの両方)が保存されます。アクション・グループおよびアラート・グループのメンバーのみがバックアップに含められます。他のグループ・メンバーは、必要に応じて「グループ」ユーザー・インタフェースを使用してエクスポートできます。

バックアップ・スナップショットは、データベースまたはローカル・ファイル・システム(あるいはその両方)に作成するように選択できます。

14.1.5 リストア

新しいシステム構成をファイルまたはデータベースからリストアできます。

リストアにより、現在のシステム構成がリストアされた構成に置き換わり、さらに既存システム内の追加構成が削除されて無効化されます。

注意:

ただし、グループ定義をシステムにインポートする場合は例外です。すでに使用可能になっている追加のグループ・メンバーはリストアによって削除されません。

- スナップショットを作成すると、機能領域のすべての構成(アクティブな構成と無効な構成の両方)が選択されます。たとえば、ポリシー・セット内に10個のポリシーがあり、そのうち5個がアクティブで、5個が無効になっている場合、スナップショットを作成すると、すべてのポリシーとその構成およびステータス情報が含められます。

- スナップショットにはグループのメンバーは含められません(アクション・グループおよびアラート・グループを除く)。ただし、グループそのものはスナップショットに含められます。グループ・メンバーをバックアップするには、スナップショットとは別にグループのエクスポート機能を使用する必要があります。これらのグループ・メンバーは、必要に応じて「グループ」ユーザー・インタフェースを使用してインポートする必要があります。

- 構成可能アクション定義はリストア時に含められますが、必要なJavaクラスは目的のフォルダに手動でコピーする必要があります。

- バックアップおよびリストア時には、アイテムのステータスは保存されます。たとえば、無効なアイテムはバックアップおよびリストア時も無効なままです。

- 個別のアイテムを選択してスナップショットに含めたり、選択的なリストアを実行することはできません。特定の構成のみをスナップショットに含める場合は、そのモジュール(個別のユーザー・インタフェース)からそれらをエクスポートして再びインポートした後、スナップショットを作成します。

14.1.6 リストアで行われる処理

システムに存在するメタデータは非アクティブ化されます。データを削除するとデータベース制約の違反になるため、データ(ポリシーまたはパターン)は削除できません。このため、アクティブなアーティファクトはすべて、非アクティブまたは削除済の状態に適宜設定されます。

その後、インポートするアーティファクトが現在のデータベースに挿入されます。

この挿入プロセス中、古いシステムと新しいスナップショットの両方にアーティファクトが存在すると、それらのアーティファクトは新しいスナップショットと同じ状態にリストアされます。

新しいスナップショット内のグループには、メンバーが含まれません。既存のシステムに(名前が)同じグループが存在する場合、システムのリストア後、リストアされたグループにはメンバーが含まれます。

14.2 スナップショットの制限事項について

スナップショットには、次の制限事項が適用されます。

- 次のデータは格納もリストアもされません。

- ランタイム・データ(例: ユーザー・ノード・ログ、セッション・ログ、トランザクション・ログ、フィンガープリント、パターン収集データ、生成済アラート・データ、ルール・ログ・データ、ポリシー・ログ・データ)

- 地理的位置データ

- サーバーAPIログに関連するユーザー・アクション・ログ

- この機能にコマンドライン・ユーティリティは使用できません。

14.3 システム・スナップショット検索ページへのナビゲート

システム・スナップショット検索ページを表示するには、次の手順を実行します。

1. 環境管理者ロールが割り当てられているユーザーとしてOAAM管理コンソールにログインします。

2. ナビゲーション・ツリーで、「環境」の下の「システム・スナップショット」を選択します。
検索ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

システム・スナップショット検索ページでは、次のタスクを実行できます。

- スナップショットの検索

- データベースからのスナップショットのリストア

- ファイルからのスナップショットのリストア

- 現在のシステムをファイルまたはデータベースにバックアップ

- 選択したスナップショットをデータベースから削除

14.4 スナップショットの検索

システム・スナップショット検索ページでは、「検索」フィルタで基準を指定してスナップショットを検索します。

システム・スナップショット検索ページを初めて表示すると、「検索結果」表にOracle Adaptive Access Manager環境内のスナップショットのリストが表示されます。

スナップショットを検索するには:

1. ナビゲーション・ツリーで、「環境」の下の「システム・スナップショット」を開きます。
システム・スナップショット検索ページが表示されます。

2. スナップショットの検索基準を「検索」フィルタで指定して、「検索」をクリックします。

- 検索では大/小文字が区別されません。

- 検索で名前の一部を入力しても、結果が戻されます。

- 検索で入力した空白は切り捨てられます。

「検索」のかわりに「リセット」をクリックすると、検索基準がリセットされます。

入力した検索基準に基づいて、検索結果が表示されます。

表14-1 システムの「検索」フィルタ基準

フィルタおよびフィールド

説明

スナップショット名

スナップショットの名前。データベースからのスナップショットの場合は、ユーザーが入力した名前で、ファイル・ベースのバックアップの場合は、ファイル名です。

「結果」表に、指定した名前のスナップショットが表示されます。

ノート

スナップショットが作成された理由を説明するノート。「結果」表に、指定したノート・キーワードを含むすべてのバックアップ名が表示されます。

バックアップ日付

バックアップが作成された日付。特定の作成日範囲内に作成されたバックアップを検索するには、範囲の開始日および終了日を入力します。指定した日付範囲内にバックアップされたすべてのバックアップ名が表示されます。

14.5 スナップショットのインポート

システムで使用するスナップショットをインポートするには、次の手順に従います。

1. ナビゲーション・ツリーで、「環境」にある「システム・スナップショット」を開きます。
システム・スナップショット検索ページが表示されます。

2. 「ファイルからロード」ボタンをクリックします。
「スナップショットのロードおよびリストア」ダイアログが表示されます。スナップショットをインポートすると現在のシステムの構成内容が上書きされるため、ここで現在のシステムをバックアップしておくこともできます。

3. 現在のシステムのバックアップを保持しておくには、現在のシステムを今すぐバックアップするボックスを選択し、バックアップの名前とノートを入力したら「続行」をクリックします。
「スナップショットのロードおよびリストア」ダイアログが表示され、現在のシステムが正常にデータベースに格納されたことを示すメッセージが示されたら、「OK」をクリックします。

続いて、「スナップショットのロードおよびリストア」ページが表示されたら、サーバーにロードするスナップショットを選択し、基本的な認証フローを実行します。

4. 現在の構成のバックアップが確実に必要ない場合や、空のシステムにスナップショットをインポートする場合は、ダイアログを空白のままにして「続行」をクリックします。
システムのバックアップを選択しなかったために、新しいスナップショットをロードするとメタデータの詳細が上書きされる可能性があることを示す警告が表示されます。バックアップを取得する場合は、「戻る」ボタンをクリックして前のページに戻り、バックアップの詳細を指定します。インポートを進める場合は、「続行」をクリックします。

「スナップショットのロードおよびリストア」ページが表示されたら、サーバーにロードするスナップショットを選択し、基本的な認証フローを実行します。

5. これで、スナップショットをロードできるようになりました。ダイアログの「参照」ボタンをクリックして、ロードするスナップショットのファイル名を入力します。画面が表示されたら、スナップショット・ファイルが配置されているディレクトリに移動します。「オープン」をクリックします。続いて、「ロード」ボタンをクリックして、スナップショットをシステムにロードします。
標準のスナップショットを初めてロードすると、スナップショット・ファイルoaam_base_snapshot.zipはOracle_IDM1/oaam/initディレクトリに置かれます。このディレクトリにはOAAMの基本コンテンツが配置されています。

6. 「OK」をクリックします。
スナップショットがロードされると、スナップショットのサマリーが表示されます。

「プレビュー」タブでは、次のことを実行できます。

- スナップショット内の条件、ルール、ポリシーなどを表示できます。

- オブジェクトに実行されるアクションを表示できます。たとえば、構成可能なアクションを含むスナップショットをロードする際に、構成可能なアクションがシステムにない場合は、その構成可能なアクションは無効になります。

- 更新分、変更分、または追加分のみなど、オブジェクトをフィルタして確認できます。
スナップショットをロードする際に、システム内の構成を無効にしてしまう可能性や既存のメタデータを上書きしてしまう可能性があるため、通常は前述したシステム内の変更はすべて確認する必要があります。

「更新」ボタンを使用すると、スナップショットを更新または別のスナップショットに変更し、既存のシステム・スナップショットと比べた場合の変更点を表示できます。

ここまでで、システムにスナップショットをロードし、既存のメタデータと比べた場合の変更点を確認しました。しかし、スナップショット内のアイテムはまだ有効ではありません。「リストア」ボタンをクリックするまでは、スナップショット内のアイテムは適用されません。

7. スナップショットを適用するには、「リストア」をクリックします。
スナップショットを適用したら、そのスナップショットが「システム・スナップショット」ページに表示されることを確認します。検索を実行して、データベースにロードされているすべてのスナップショットを表示します。任意のスナップショットをクリックして表示したら、「リストア」をクリックして変更を適用します。この機能を使用すると、システムを定期的にバックアップできます。バックアップはデータベースのメモリーまたはファイル、あるいはその両方に保存されます。

14.6 スナップショットの詳細の表示

スナップショットの詳細を表示するには:

1. ナビゲーション・ツリーで、「環境」の下の「システム・スナップショット」を選択します。
システム・スナップショット検索ページが表示されます。

2. スナップショットの検索基準を「検索」フィルタで指定して、「検索」をクリックします。
「検索」のかわりに「リセット」をクリックすると、検索基準がリセットされます。

3. 「結果」表のスナップショット名をクリックすると、特定のスナップショットのスナップショット詳細ページが表示されます。
「サマリー」タブに、バックアップのバックアップ名、ノート、システム・ユーザー、クライアントIP、サーバーIPおよびサーバー名が表示されます。

「スナップショット・プレビュー」タブに、次の構成詳細が表示されます。

- 回答のヒント

- 質問カテゴリ

- 条件

- 検証

- 質問

- グループ

- ポリシー

- エンティティ定義

- スケジューラ・タスク・グループ

- パターン

14.7 バックアップの作成

バックアップを作成するには:

1. ナビゲーション・ツリーで、「環境」の下の「システム・スナップショット」を開きます。
システム・スナップショット検索ページが表示されます。

2. ページの右上隅にある「バックアップ」ボタンをクリックするか、「アクション」メニューから「バックアップ」をクリックします。
現在のシステムのバックアップ・ページが表示されます。このページから、オプションを選択し、必要な情報を入力できます。

現在のシステムを、システム・データベースまたはファイル(あるいはその両方)にバックアップできます。

3. 「バックアップ」タイプを選択します。

- データベース

- データベースおよびファイル

- ファイル

14.7.1 システム・データベースへの現在のシステムのバックアップ

現在のシステムをシステム・データベースにバックアップするには:

1. 現在のシステムのバックアップ・ページで、「バックアップ・タイプ」として「データベース」を選択します。

2. バックアップの名前を入力します。

3. バックアップのノートを入力します。

4. 「バックアップ」をクリックします。
現在のシステムが正常にデータベースに格納されたというメッセージを示すダイアログが表示されます。

5. 「OK」をクリックします。
システム・スナップショットがデータベース内に作成されます。

14.7.2 データベースおよびファイルへのシステム構成のバックアップ

現在のシステムをデータベースおよびファイルにバックアップするには:

1. 現在のシステムのバックアップ・ページで、「バックアップ・タイプ」として「データベースおよびファイル」を選択します。

2. バックアップの名前を入力します。

3. バックアップのノートを入力します。

4. ZIPファイルのファイル名を入力します。

5. 「バックアップ」をクリックします。
現在のシステムが正常にデータベースに格納されたというメッセージを示すダイアログが表示されます。

6. 「OK」をクリックします。
システム・スナップショットがデータベースおよびファイル内に作成されます。

7. スナップショットがデータベースおよびファイル内に保存されたことを確認します。
システム・スナップショット検索ページで、スナップショット名により検索します。

バックアップがデータベースに保存されると、「結果」表にスナップショット名が表示されます。

14.7.3 ファイルへの現在のシステムのバックアップ

現在のシステムをファイルにバックアップするには:

1. 現在のシステムのバックアップ・ページで、「バックアップ・タイプ」として「ファイル」を選択します。

2. バックアップの名前を入力します。

3. バックアップのノートを入力します。

4. ZIPファイルのファイル名を入力します。

5. 「バックアップ」をクリックします。
現在のシステムが正常にデータベースに格納されたというメッセージを示すダイアログが表示されます。

6. 「OK」をクリックします。
システム・スナップショットがファイル内に作成されます。

14.8 スナップショットのリストア

同じシステムまたは別のシステムのスナップショットから、システム構成をリストアできます。スナップショットのサブセットのみをリストアすることはできません。

スナップショットをリストアすると、システム構成が完全に置換されます。

操作中にエラーが発生した場合、システムをエラーの前の時点のスナップショットにリストアできます。

14.8.1 選択したスナップショットをリストアする手順

リストア操作を実行するには:

1. ナビゲーション・ツリーで、「環境」にある「システム・スナップショット」を開きます。
システム・スナップショット検索ページが表示されます。

2. 「検索」をクリックして「結果」タブに移入するか、システムのリストアに使用するスナップショットを検索します。

3. 「結果」表からスナップショットを選択します。

4. 「リストア」をクリックするか、「アクション」メニューから「リストア」を選択します。
置換前に現在のシステムをバックアップすることを選択できる、現在の構成のバックアップ・ダイアログが表示されます。「バックアップ」、「スキップ」または「取消」を押すことができます。

5. バックアップの名前を入力します。

6. バックアップのノートを入力します。

7. 「バックアップ」を押し、バックアップが正常に完了すると、現在のシステムが正常にデータベースに格納されたことを示すメッセージが表示されます。

8. 「リストア」をクリックします。
サマリーに、インポートされるアイテムのリストと、操作のステータスが表示されます。

9. 「OK」をクリックします。

ファイルの形式が間違っていた場合は、エラー・メッセージが表示されます。

14.8.2 スナップショットのロードおよびリストア

スナップショットをシステム・データベースにロードするには:

1. ナビゲーション・ツリーで、「環境」にある「システム・スナップショット」を開きます。
システム・スナップショット検索ページが表示されます。

2. 「ファイルからロード」ボタンをクリックします。
データベースにバックアップする現在のシステム構成の名前およびノートを入力するための「スナップショットのロードおよびリストア」ダイアログが表示されます。

3. 現在のシステム構成の名前およびノートを入力し、「続行」をクリックします。
「スナップショットのロードおよびリストア」ダイアログが表示され、現在のシステムが正常にデータベースに格納されたことを示すメッセージが示されます。

4. 「OK」をクリックします。
ロードするスナップショットを選択するための「スナップショットのロードおよびリストア」ページが表示されます。

5. スナップショットを参照し、「ロード」ボタンをクリックして、スナップショットをシステム・データベースにロードします。
「ロード」を押すと、ロードされたスナップショットがリストアされて、現在のスナップショットになります。このオプションを選択した場合、リストア前にスナップショットをプレビューすることはできません。

6. 「OK」をクリックします。

7. 「リストア」をクリックします。

14.8.3 スナップショットのリストアに関する考慮事項

この項では、スナップショットのリストアに関する考慮事項について説明します。

14.8.3.1 稼働中システムでのスナップショット(単一サーバー)

スナップショットのZIPファイルには、それが作成されたサーバー・バージョンが含まれます。リストア時にバージョンに互換性がないと判断された場合、スナップショットのリストアは失敗します。

稼働中のシステムでスナップショットをリストアすると、結果は約30秒後、すべてのデータベース・アーティファクトが再ロードされたときに有効になります。

14.8.3.2 (同じデータベースに接続されている)複数サーバー・システムでのスナップショット・リストア

複数のサーバーが同じデータベースに接続されている稼働中のシステムでスナップショットをリストアすると、スナップショットは約20秒後、サーバーによってデータベース・アーティファクトが再ロードされたときに有効になります。

すべてのサーバーは、同じバージョンのOracle Adaptive Access Managerで稼働しています。

14.8.3.3 異なるバージョンを実行している複数サーバーでのスナップショット・リストア

スナップショット・リストアは、リストアが実行されたサーバーによってチェックされます。クラスタ内のサーバーとリストアするスナップショットに互換性がない場合、サーバーは、データベースから認識できない情報を読み取ろうとするため、機能しません。データベース・スキーマに互換性があっても、機能や列の値の解釈がサーバー間で異なる場合があります。

14.9 スナップショットの削除

スナップショットを削除するには:

1. ナビゲーション・ツリーで、「環境」の下の「システム・スナップショット」を選択します。

2. 「検索」をクリックして、システム内のスナップショットのリストを表示します。

3. 削除するスナップショットを選択して「削除」アイコンをクリックするか、「アクション」メニューから「選択項目の削除」をクリックします。
選択したスナップショットを削除しますか。というメッセージを含む確認ダイアログが表示されます。

4. 「削除」をクリックします。
選択したスナップショットは正常に削除されましたというメッセージを含む確認ダイアログが表示されます。

5. 「OK」をクリックします。

14.10 ユース・ケース

この項では、スナップショットを使用するサンプル・ユース・ケースを示します。

14.10.1 システム・スナップショットのインポート/エクスポート

Jeffはセキュリティ管理者であり、ポリシー変更およびすべての依存アイテムをテスト環境から本番環境に移行する必要があります。

1. Jeffはテスト環境でOAAM管理を使用し、ポリシー・セットをエクスポートします。

2. エクスポート・プロセスの一部として、ポリシー、ルール、条件、リンクされたパターン、リンクされたグループ(アラート・グループおよびアクション・グループのメンバーはデフォルトで含められます。これ以外のグループ・タイプのメンバーは、指定しないかぎり含められません)、ポリシーで使用される列挙、ポリシーで使用されるトランザクションとエンティティ、およびポリシーで使用される構成可能アクションが、ファイルへのエクスポート用にすべて選択されます。

3. 本番環境にインポートされるとき、上書きされるファイルに関してJeffに警告メッセージが表示されます。

14.10.2 ユース・ケース: ユーザーが調査用のレコードとしてポリシー・セットをエクスポート

スナップショットはルールおよびポリシーの構成内容を示すレコードであり、セッション情報を含んでいます。

1. ユーザーが、オフライン・システムを使用して履歴データを後で表示し調査を実施できるように、スナップショットを作成します。

2. スナップショットにタイムスタンプが記録されます。

3. 後で、ユーザーは古いスナップショットをリストアして、不正な分析を実行します。

4. ユーザーはルールおよびポリシーを実行して、過去のその時点におけるシステムの動作を判別します。

5. ユーザーは、異なる時点から保存した複数のスナップショットを持ち、調査を実行するためにそれらをオフライン・システムで再利用します。

14.10.3 ユース・ケース: ユーザーがシステム全体を置換

スナップショットはシステム構成のコピーであり、ポリシー、ルール、グループ、およびシステム内のその他の要素を含んでいます。

1. ユーザーは、本番システムのポリシー・セットに変更を加えます。

2. ユーザーは、変更に間違いがあったことに気付きます。

3. ユーザーはスナップショットをリストアし、システム全体をまとめて置換します。

14.10.4 ユース・ケース: ユーザーがインポートするポリシー・セットを指定

ユーザーは複数のスナップショットをオフラインで使用して、ルールをテストし、ポリシーが予測どおりに機能することを確認します。SnapshotID 1とSnapshotID 3に対する作業は完了しており、別の構成に対する作業を実行しています。作業が完了したすべてのスナップショットのうち、SnapshotID 3をリストアするとします。スナップショットIDでSnapshotID 3を指定し、本番システム内にこれをリストアします。

14.11 スナップショットのベスト・プラクティス

この項では、スナップショットを使用する際のベスト・プラクティスについて概説します。

- 本番システムでリストアを実行する前に、本番システムのシステム構成全体が置換されることに注意してください。リストアが失敗した場合や、予期しないその他の問題が発生した場合に現在の構成が失われることがないように、実際のリストアの前に、現在のポリシー・セットのスナップショットを作成します。スナップショットをリストアした後で元に戻すことはできません。リストアが失敗した場合、使用可能なバックアップがあると、その構成を即時にシステムにリストアできます。

- オフライン・システムからオンライン・システムにスナップショットをリストアするのは、スナップショットの作成が正常に完了した場合のみにしてください。

- 構成可能アクションがスナップショットに含まれる場合、スナップショットがシステムに復元されたときに構成可能アクションが壊れないように、スナップショットの作成後に、指定されたディレクトリにJavaクラスをコピーする必要があります。

第V部

自動学習

このマニュアルのこの部では、Oracle Adaptive Access Managerの構成可能な自動学習アクションおよび予測分析機能を構成する手順について説明します。

次の章で構成されます。

- 第15章「自動学習の管理」

- 第16章「構成可能なアクションの管理」

- 第17章「予測分析」

15 自動学習の管理

この章では、ユーザー、デバイスおよびロケーションをプロファイリングするようにパターンを構成して現在の動作のリスクを評価する方法に焦点を当てます。

この章では、次の内容を説明します。

- 15.1項「概要と概念」

- 15.2項「自動学習プロパティ」

- 15.3項「パターン属性」

- 15.4項「パターン属性演算子」

- 15.5項「システムの自動学習を有効化するためのクイック・スタート」

- 15.6項「自動学習の使用を始める前に」

- 15.7項「ユーザー・フロー」

- 15.8項「パターン検索ページへのナビゲート」

- 15.9項「パターンの検索」

- 15.10項「パターン詳細ページへのナビゲート」

- 15.11項「パターン詳細の表示」

- 15.12項「パターンの作成と編集」

- 15.13項「データのインポートおよびエクスポート」

- 15.14項「パターンの削除」

- 15.15項「自動学習データ/プロファイリング・データの使用」

- 15.16項「トランザクション・ベースのパターンの使用」

- 15.17項「自動学習パターン分析が機能しているかどうかの確認」

- 15.18項「自動学習ルールが機能しているかどうかの確認」

- 15.19項「自動学習のデバッグ」

- 15.20項「ユース・ケース」

15.1 概要と概念

自動学習は、動作をリアルタイムで動的にプロファイリングするために使用される、Oracle Adaptive Access Managerの一連の機能です。ユーザー、デバイス、ロケーション、クレジット・カード、住所、アカウント番号などのエンティティの動作が記録され、現在の動作のリスクを評価するために使用されます。

自動学習パターンによって、OAAMでのリスクの取得および評価方法が2通りの方法で最適化されます。1つ目に、セッション・データ全体のパージを許可し、リスク分析に必要なデータのみを管理することにより、パターンは定義された特定のエンティティとデータの組合せのみを取得して、データの増加を抑えます。2つ目に、自動学習ルールは、基礎となる問合せがパフォーマンスの観点から標準のルールよりもコストが低くなるように、最適化されたパターンに対する評価を行います。

この項では、自動学習の概念およびその使用方法について説明します。

15.1.1 自動学習

自動学習機能を使用すると、様々なアクターが実行するトランザクションおよび認証を、作成したパターンに基づいて追跡できます。このプロセスで、個人または集団の正常または平均的な動作が確立されます。

15.1.2 パターン

パターンは、アクセス・データのダイジェストを作成することによって、システムにアクセスするユーザー、デバイスおよびロケーションの動作を記録します。その後、ダイジェストまたはプロファイル情報が履歴データ表に格納され、ルールを使用して現在のリスクを計算するために使用されます。

パターンを定義するには、バケットの作成方法、メンバー・タイプ、およびプロファイリングする属性を構成します。また、パターンにより実行されるプロファイリングを評価するためのルールを構成する必要もあります。

パターンは、1つのバケットを定義したり、複数のバケットを動的に作成する際に、Oracle Adaptive Access Managerによって使用されます。Oracle Adaptive Access Managerでデータが収集され、パターン・パラメータに基づいてこれらのバケットにメンバーが移入されると、動的に変化するメンバーシップとバケットの分散についてルールによるリスク評価が実行されます。パターンの評価および移入は、トランザクションの結果が成功した場合にのみ行われます。

バケットの作成および移入

図15-1に、バケットの作成および移入の例を示します。

図15-1 ログイン時間

従業員のログイン時間を追跡する場合は、次の手順を実行します。

- メンバー・タイプを「ユーザー」、属性を「時間」として、パターンを設定します。

- パターンの作成方法として、複数バケットを選択します。単一バケット・パターンでは、特定の動作を取得するために1つのみのバケットが作成されるのに対して、複数バケット・パターンでは、動作を取得するためにバケットが必要な数だけ作成されます。

- 日の開始時刻を0:00、終了時刻を23:59として設定し、増分ステップ・サイズは8時間に設定します。

トランザクション・データおよびログイン・データの処理中、Oracle Adaptive Access Managerによってバケットが必要な数だけ作成され、各メンバーの件数がバケットに移入されます。各バケットは、システム内にすでに存在する他のバケットに基づいて互いに重ならないよう自動的に調整されます。図15-1に示すとおり、Oracle Adaptive Access Managerでは、ログインが発生した8時間間隔で最大3個のバケットが作成されます。

たとえば、Jeffが8:27にログインした場合、7:00から14:59までのバケットでのJeffのカウンタは1増えます。7:00から14:59までの間にこのシステムにログインしたユーザーがいない場合も、Oracle Adaptive Access Managerの処理の一部としてそのバケットが作成されます。この7:00から14:59までのバケットは、以降のすべてのユーザーのログイン時間動作を記録するために使用されます。

作成されたバケットにはその後、それぞれの8時間範囲内に行われるユーザー・ログインが移入されます。

Oracle Adaptive Access Managerでは、Jeffの認証が成功した場合、Jeffがこの時刻にログインしたことのみが記録されます。これにより、記録される内容が、不正なアクセスではなく、Jeffの実際の動作となる可能性が高くなることが確認されます。メンバーシップおよび関連付けられた統計が各ユーザー・プロファイルに保存されます。

15.1.3 メンバー・タイプおよび属性

動作をプロファイリングするには、メンバーおよび属性を定義します。

メンバーおよび属性は、Oracle Adaptive Access Managerがデータを分析するためのガイドとして機能します。メンバーは、アクセス・リクエストまたはトランザクションに関連するエンティティのいずれかです。エンティティの例として、ユーザー、ログインに使用するIPアドレス、都道府県、購入に使用するクレジット・カード、資金振替に使用する振込先口座などがあります。

属性は、追跡中のアクティビティに関連付けられた特定の情報です。例としてログイン時刻をあげることができます。パターンによって、メンバーに関するデータが収集されます。メンバー・タイプが「ユーザー」の場合、パターンによってユーザーに関するデータが収集されます。

パターンを定義する際、メンバーに目的のデータ・ポイントを指定します。

たとえば、サンフランシスコに住むJoeが金曜日の9:00 amに自宅から保護されたアプリケーションにログインする場合、ユーザーJoeに関連する属性は「市区町村」、「時間」および「曜日」となります。Joeがログインに使用したすべての市区町村、時間および曜日の組合せが取得されるようにパターンを構成できます。あるいは、時間、市区町村および曜日がまとめてまたは個別に評価されるように、それぞれに個別のパターンを作成するともできます。選択する構成は、ビジネスのユース・ケースに基づきます。

ログインしたユーザーの市区町村をプロファイリングする場合、プロファイリングする属性は「市区町村」となります。

また、使用するデバイスに基づいてユーザーを追跡する場合は、ユーザーに関する情報を収集する必要があるため、メンバー・タイプを「ユーザー」としてパターンを設定します。各ユーザーが使用しているデバイスを調べる必要があるため、次に属性として「デバイスID」を選択します。

Oracle Adaptive Access Managerでは、メンバーおよびその属性が追跡されるため(そのように構成されている場合)、複雑な動作を取得することが可能です。ただし、多くの場合、パターンは属性の数に関して比較的単純なものにしておき、ルールを使用して、様々な属性を追跡する複数のパターンが関与する複雑な評価を実行することがベスト・プラクティスです。長期的にはこの戦略のほうが柔軟で、管理が容易です。

15.1.4 バケット

パターンは管理者が構成し、Oracle Adaptive Access Managerでは、その構成を使用して、必要に応じてバケットを作成します。管理者はどのような方法でも、直接バケットを使用または参照できません。

パターンは、1つまたは複数のバケットを作成できるように構成されます。バケットは、動作の頻度を取得するために使用するコンテナです。ルールによって、これらのバケットのカウンタが特定のメンバーについて評価され、状況が異常であるかどうかが確認されます。

- 単一バケット
単一バケット・パターンでは、パターンで指定された完全に一致するデータ・ポイントおよび値範囲を持つ1つのバケットが作成および移入されます。

たとえば、国がアメリカ合衆国(属性)のユーザー(メンバー・タイプ)の認証パターンの作成を選択した場合、正確に1つのバケットが作成されユーザーが移入されます。ユーザーがアメリカ合衆国からログインした場合、そのユーザーはバケットのメンバーになり、バケット・カウントが増分されます。そのユーザーがアメリカ合衆国からログインしていない場合、バケット・カウントは増分されません。

別の例として、午前8時から午後5時までの時間(属性)のユーザー(メンバー・タイプ)の認証パターンを作成することを選択した場合、バケットは1つのみ作成され、ユーザーが移入されます。ユーザーが午前8時から午後5時までの間にログインした場合、そのユーザーはバケットのメンバーとなり、バケットの件数が増分されます。ユーザーが午前8時から午後5時までの間にログインしていない場合、バケットの件数は増分されません。

図15-2 単一バケット

- 複数バケット
複数バケット・パターンでは、通常単一バケット・パターンよりも多くのバケットが作成されます。パラメータの構成に基づき、必要に応じてバケットが作成されます。

Oracle Adaptive Access Managerでのバケットの作成に使用するデータ型およびサンプルを構成すると、パターンの処理中にOracle Adaptive Access Managerによって動作の取得に必要なバケットが作成されます。バケットは、データの組合せが発生したときにのみ作成されます。

例:

デバイスをメンバー・タイプとしてパターンを指定し、国を属性とし、For eachを比較演算子として追加すると、Oracle Adaptive Access Managerでは、アクティビティが発生するときに、デバイスと国の組合せごとにバケットが動的に作成されます。いずれかのユーザーがカナダから初めてログインすると、Oracle Adaptive Access Managerによってカナダ・バケットが作成され、そのユーザーのデバイスがメンバーとして追加され、件数が1になります。その次にカナダからログインしたユーザーのデバイスは、メンバーとして同じバケットに追加され、件数が1になります。以降は、カナダからユーザーが同じデバイスを使用してログインするたびに、カナダ・バケットのカウンタが増分されます。

図15-3 国の複数バケット

15.1.5 パターン・ルール評価

OAAMでは、パターンおよびパターンが生成するバケットを使用して、個々のユーザー、デバイス、ロケーションなどのそれぞれについて特定の動作が発生する頻度を取得します。パターン・バケットはリアルタイムで更新されるため、これらに照らし合わせてルールを実行することにより、現在の動作が異常であるかどうかを動的に判断できます。ルール評価では、個人の現在の動作と過去の動作を比較することも、個人の現在の動作とすべての個人の過去の動作を比較することもできます。

自動学習では、様々なユーザーにより実行されるトランザクションおよび認証が、作成するパターンに基づいて追跡されます。このプロセスで、個人または集団について何が通常の動作であるかが確立されます。

図15-4 バケット評価

この例では、Johnのログイン動作がJohn自身のプロファイルおよびすべてのユーザーのプロファイルに対して評価されています。

バケット評価の例

この例では、ユーザーのログイン時間動作を取得するためのパターンを作成しました。8時間のサンプルで24時間全体をカバーするバケットを作成するように、複数バケット・パターンを構成しました。各時間範囲内でログイン・アクティビティが発生したため、OAAMでは最終的に3つの時間バケットが作成されました。

バケット

時間範囲

バケット#1

1:00 - 8:59

バケット#2

9:00 - 16:59

バケット#3

17:00 - 00:59

先月、すべてのユーザーは100件のアクセス・リクエストに成功し、Johnは25件のアクセス・リクエストに成功しました。バケットには、メンバーおよび各メンバーのカウンタが移入されます。次の表に、先月のJohnおよびすべてのユーザーのバケット・メンバーシップを示します。

バケット

John

すべてのユーザー

バケット#1

1

8

バケット#2

24

90

バケット#3

0

2

15.1.6 バケットの移入

バケットの作成と移入、およびカウンタの増分は、トランザクションが正常に完了したときにのみ行われます。

例

Joeは、3つの市区町村(自宅、オフィスAおよびオフィスB)からログインします。市区町村パターンにより、各市区町村からログインした頻度が記録されます。

バケット

ロケーション

市区町村バケット#1

自宅

市区町村バケット#2

オフィスA

市区町村バケット#3

オフィスB

Joeの会社では、先月に使用していない市区町村からログインしたユーザーが、2つの連続するセッションで、OTPのチャレンジを受けるようにする必要があります。JoeがオフィスBでの勤務を37日間停止し、その市区町村の他のどの場所からもアクセスしていない場合、Joeがその市町区村から次にログインするときに、OTPのチャレンジを受けます。このユース・ケースを実現するには、先月の現在の市区町村バケットのメンバーシップ件数をチェックするようにルールを構成します。件数のしきい値は、最後のローリング月の期間でユーザーが2回以上メンバーになるまでこのルールがトリガーされるように2に設定されます。

15.2 自動学習プロパティ

この項では、自動学習プロパティと標準のデフォルト値を示します。

表15-1 自動学習プロパティ

プロパティ

デフォルト

プロパティ・タイプ

動的

コメント

vcrypt.bharosa.autolearning.numPriorities

2

整数

いいえ

これにより、スレッドプールの数が優先度の数として作成されます。これらのスレッド・プールは、自動学習データの後処理に使用されます。この数値は1より大きい必要があります。

vcrypt.bharosa.autolearning.threadMultiplier

7

整数

いいえ

この数字は、後処理用のスレッド数を作成するために使用されます。これらのスレッドは、自動学習データの後処理に使用されるスレッド・プールの一部です。この数値は必ず5以上にしてください。

vcrypt.tracker.autolearnin.enabled

true

ブール

はい

このフラグは、製品レベルのステータスを制御するために使用されます。値をfalseに設定すると、自動学習の後処理の一部が無効になります。ルールの実行は続行されますが、失効データを使用している場合があります。

vcrypt.tracker.autolearning.use.auth.status.for.analysis

false

ブール

はい

このフラグは、クライアント・コードにより自動学習APIが明示的にコールされない場合に使用されます。自動学習(後処理)を実行するが、クライアント・コードは変更しないようにする場合、このフラグをtrueに設定すると、認証タイプがupdateAuthStatusの要求について、その認証要求のステータスが「成功」である場合に自動学習処理が実行されます。ただし、ステータスが「成功」でない場合は、自動学習は実行されません。このフラグをfalseに設定して自動学習ルールを実行すると、失効したデータに対してルールが実行されます。このフラグがfalseに設定された状態で自動学習ルールが実行され、「com.bharosa.vcrypt.tracker.rules.impl.VCryptTrackerAutoLearningImpl」クラスのログ・レベルがdebugに設定されている場合は、このプロパティが無効であり、ルールが引き続き実行されるというメッセージがログに書き込まれます。

oracle.oaam.transactions.analyzepatterns

false

ブール

トランザクションでパターン・データを収集するためには、プロパティをtrueに設定する必要があります。

vcrypt.tracker.autolearning.use.tran.status.for.analysis

false

ブール

はい

このフラグは、クライアント・コードにより自動学習APIが明示的にコールされない場合に使用されます。自動学習(後処理)を実行するが、クライアント・コードは変更しないようにする場合、このフラグをtrueに設定すると、updateTransactionStatus要求について、そのトランザクション要求のステータスが「成功」である場合に自動学習処理が実行されます。ただし、ステータスが「成功」でない場合は、自動学習は実行されません。このフラグをfalseに設定して自動学習ルールを実行すると、失効したデータに対してルールが実行されます。このフラグがfalseに設定された状態で認証ルールを実行し、「com.bharosa.vcrypt.tracker.rules.impl.VCryptTrackerAutoLearningImpl」クラスのログ・レベルがdebugに設定されている場合は、このプロパティが無効であり、ルールが引き続き実行されるというメッセージがログに書き込まれます。

vcrypt.tracker.autolearning.use.synchronous.execution.for.pattern.analysis

false

ブール

はい

このプロパティは、パターン分析を同期モードで行うかどうかを制御します。trueに設定した場合、パターン分析は同期的に実行されます。すべてのパターン・データの更新は同じupdateStatusコールの一部として実行されるため、updateAuthStatusまたはupdateTransactionStatusコールでは完了までにより長い時間がかかる場合があります。

vcrypt.tracker.autolearning.update.entity.profile.for.auth.patterns

true

ブール

はい

このプロパティをfalseに設定した場合、エンティティのプロファイルはパターン分析の一部としては更新されません。

bharosa.menu.queries.entities

false

ブール

はい

このフラグは、履歴データを表示するためのメニュー・アイテムをOAAM管理コンソールに表示するかどうかを決定します。

bharosa.arm.pagetitle.queries.entities.patternworkflow

文字列

はい

パターン履歴データのメニューのデフォルト位置です。この履歴データ・ページを使用して、パターン・データ収集が適切に機能しているかどうかを確認します。

15.3 パターン属性

この項では、パターン属性に関する情報を示します。

表15-2 パターン属性

名前

説明

タイプ

演算子

有効な値

バケット

コメント(適用可能なルール)

日付

該当月の日(第1日目は1、最終日は月によって異なる)

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

1から31まで

複数バケット

ユーザー - 自身およびすべて

該当年の月

該当年の月(1月は0、12月は11)

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

0から11まで

複数バケット

ユーザー - 自身およびすべて

接続タイプ

認証リクエストの接続タイプ。この属性の値は、接続タイプを示す正の整数です。接続タイプの例には、光接続、無線接続、ダイアルアップ接続、T1/T3タイプの接続、DSL接続、ケーブル接続などがあります。接続タイプの詳細は、location.connection.type.enumを参照してください。

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

lookup location.connection.type.enum

複数バケット

- ユーザー - 自身

- デバイス - 自身およびすべて

- ロケーション - 自身

接続スピード

認証リクエストの接続スピード。この属性の値は、接続スピードを示す正の整数です。接続スピードの例には、高、中、低などがあります。詳細は、connection.linespeed.enumを参照してください。

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

lookup connection.linespeed.enum

複数バケットのみ

- ユーザー - 自身

- デバイス - 自身およびすべて

ルーティング・タイプ

認証リクエストの接続ルーティング・タイプ。この属性の値は、ルーティング・タイプを示す正の整数です。ルーティング・タイプの例には、POP、プロキシ、AOLなどがあります。ルーティング・タイプの詳細は、location.routing.type.enumを参照してください。

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

lookup location.routing.type.enum

複数バケットのみ

- ユーザー - 自身およびすべて

- デバイス - 自身およびすべて

ブラウザ

認証リクエストに使用するWebブラウザ。ブラウザの例には、Mozilla、Operaなどがあります。

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

任意の文字列値

複数バケットのみ(単一であることはほとんどない)

- ユーザー - 自身およびすべて

- デバイス - 自身およびすべて

オペレーティング・システム

認証リクエストに使用するオペレーティング・システム。オペレーティング・システムの例には、UNIX、Linux、Windowsなどがあります。

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

任意の文字列値

複数バケット

- ユーザー - 自身およびすべて

- デバイス - 自身およびすべて

ロケール

認証リクエストに使用するロケール。ロケールの例には、en_US、fr_CN、en_GBなどがあります。

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

任意の文字列値

複数バケットのみ

- ユーザー - 自身およびすべて

- デバイス - 自身およびすべて

- IP - 自身およびすべて

デバイス・フィンガープリント識別子

認証リクエストに使用可能なデバイス・フィンガープリント識別子。この数字は、この認証リクエストに対してユーザーが使用するデバイスに基づいて計算されます。

LONG型

「各」、「次と等しい」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「次と等しくない」、「範囲」

任意の正数(java.lang.Long)

複数バケット

- ユーザー - 自身

- デバイス - 自身

Cookie有効化ステータス

このブール変数は、この認証リクエストについてユーザーのデバイスやブラウザでCookieが有効であるか無効であるかを追跡します。

ブール

「各」、「次と等しくない」、「次と等しい」

trueまたはfalse。

複数バケット

ユーザー - 自身

Cookieステータス

この変数は、デバイスやブラウザCookieのステータスを追跡します。これは、ブラウザCookieのステータスに対応する正の整数です。ステータスの例には、学習モード(0)、有効化(1)および無効化(2)などがあります。Cookie状態の詳細は、cookie.state.enumを参照してください。

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

lookup cookie.state.enum

複数バケット

ユーザー - 自身

画面解像度(Flashに基づく)

この変数は、ユーザーが使用する画面解像度を追跡します。例の1つとして、1600x1200 (ピクセル)があります。

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

任意の文字列値。通常、解像度はMxNのように表示されます。例: (1600x1200)

複数バケットのみ

デバイス - 自身

カラー画面(Flashに基づく)

この変数は、ユーザーのデバイスにカラー画面が備わっているかどうかを追跡します。

ブール

「各」、「次と等しくない」、「次と等しい」

trueまたはfalse。

複数バケット

デバイス - 自身

音声エンコーダ(Flashに基づく)

この変数は、ユーザーのデバイスに音声エンコーダが備わっているかどうかを追跡します。

ブール

「各」、「次と等しくない」、「次と等しい」

trueまたはfalse。

複数バケット

デバイス - 自身

アクセシビリティ(Flashに基づく)

この変数は、ユーザーのデバイスにアクセシビリティの対策が備わっているかどうかを追跡します。

ブール

「各」、「次と等しくない」、「次と等しい」

trueまたはfalse。

複数バケット

ユーザー - 自身

音声対応(Flashに基づく)

この変数は、ユーザーのデバイスに音声機能が備わっているかどうかを追跡します。

ブール

「各」、「次と等しくない」、「次と等しい」

trueまたはfalse。

複数バケット

デバイス - 自身

国

国

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

任意の文字列値

単一バケットおよび複数バケット

- ユーザー - 自身およびすべて

- デバイス - 自身およびすべて

都道府県

都道府県

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

任意の文字列値

単一バケットおよび複数バケット

- ユーザー - 自身およびすべて

- デバイス - 自身およびすべて

市区町村

市区町村

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

任意の文字列値

単一バケットおよび複数バケット

- ユーザー - 自身およびすべて

- デバイス - 自身およびすべて

時間

ユーザーがログインした時間

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

整数値(0から23まで)

複数バケット

ユーザー - 自身およびすべて

曜日

曜日(日曜日は1、土曜日は7)

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

整数(1から7まで)

単一バケットおよび複数バケット

ユーザー - 自身およびすべて

自律システム番号

インターネット上の自律システムの一意の識別子。ユーザーが別のASNに属している場合、別のバケットとして追跡できるため、他の比較演算子と同様に「各」を使用できます。ASNが公開されておらず、ユーザーにはASNがわからないため、この属性では「次と等しい」比較演算子は使用できません。

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

正の整数

複数バケット

- ユーザー - 自身およびすべて

- デバイス - 自身およびすべて

- ロケーション - 自身およびすべて

ユーザーID

ユーザーの識別番号

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

文字列値

複数バケット

- デバイス - 自身

- ロケーション - 自身

グループID

グループ識別番号

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

任意の文字列値

複数バケット

- デバイス - 自身

- ロケーション - 自身

デバイスID

デバイス識別番号

整数

「次と等しい」、「次と等しくない」、「各」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「範囲」

任意の文字列値

複数バケット

- ユーザー - 自身

- ロケーション - 自身

リモートIP

これは認証元のIPアドレスです。ユーザー、アノニマイザ、プロキシまたはゲートウェイなどの実際のIPで、エンド・ユーザーの接続先になります。

文字列

「各」、「次に含まれる」、「次に含まれない」、「次と相似」、「次と相似でない」

形式a.b.c.d

複数バケット

- ユーザー - 自身

- デバイス - 自身

登録済

この属性は、isRegistered基準に基づいてユーザーを追跡する必要があるかどうかを追跡します。したがって、ユーザーが登録済ユーザーである(登録を完了している)場合は一方の方法で扱われ、登録済ユーザーではない(登録を完了していない)場合は別の方法で扱われます。

ブール

「各」、「次と等しくない」、「次と等しい」

trueまたはfalse。

複数バケット

ユーザー - 自身

インターネット・サービス・プロバイダ

インターネット接続サービス・プロバイダのID。

LONG型

「各」、「次と等しい」、「次より小さい」、「次以下」、「次より大きい」、「次以上」、「次に含まれる」、「次に含まれない」、「次と等しくない」、「範囲」

任意の正数

複数バケット

- ユーザー - 自身およびすべて

- デバイス - 自身およびすべて

15.4 パターン属性演算子

この項では、パターン属性演算子に関する情報を示します。

以降の例で、「曜日」属性と「市区町村」属性を使用して演算子の機能を示します。

曜日に対応する数字は次のとおりです。

- 1: 日曜日

- 2: 月曜日

- 3: 火曜日

- 4: 水曜日

- 5: 木曜日

- 6: 金曜日

- 7: 土曜日

Oracle Adaptive Access Managerでは、必要に応じてバケットが動的に作成されます。指定した基準が初めて満たされたとき、Oracle Adaptive Access Managerによってその基準に対するバケットが作成され、アクターがメンバーとして追加されて、件数が1になります。その次に基準が満たされると、アクターがメンバーとして同じバケットに追加されて、件数が1になります。それ以降は、基準が満たされるたびにバケットのカウンタが増分されます。

15.4.1 各

「各」属性を設定した場合、この属性の固有の値ごとにバケットが作成されます。

ユーザーが「各」を指定し、属性として「曜日」を指定した場合、曜日ごとに必要に応じて動的にバケットが作成され、ログインが行われるたびにバケットの件数が更新されます。

15.4.2 次と等しい

「次と等しい」演算子を設定した場合、属性値が「値の比較」フィールドで指定されている値と等しい場合にのみ、バケットが作成されて件数が更新されます。

ユーザーが属性として「曜日」を指定し、「値の比較」フィールドに7 (土曜日)を入力した場合、ユーザーが土曜日にログインすると、土曜日に対するバケットが作成されて、件数が更新されます。それ以外の曜日は、指定された基準を満たしません。

15.4.3 次より小さい

「次より小さい」演算子を指定した場合、属性値が「値の比較」フィールドで指定されている値よりも小さい場合にのみ、バケットが作成されて件数が更新されます。

ユーザーが属性として「曜日」を指定し、4 (水曜日)を入力した場合、ユーザーが日曜日、月曜日および火曜日にログインするたびに、日曜日(曜日1)、月曜日(曜日2)および火曜日(曜日3)に対する単一バケットが作成され、そのバケットの一部としてカウントされます。

15.4.4 次より大きい

「次より大きい」演算子を指定した場合、属性値が「値の比較」フィールドで指定されている値よりも大きい場合にのみ、バケットが作成されて件数が更新されます。

ユーザーが属性として「曜日」を指定し、3 (火曜日)を入力した場合、水曜日(曜日4)、木曜日(曜日5)、金曜日(曜日6)および土曜日(曜日7)に対してのみ単一バケットが作成され、件数が更新されます。火曜日(曜日3)のユーザーにはバケットは作成されず、件数も更新されません。

15.4.5 次以下

「次以下」演算子を指定した場合、属性値が「値の比較」フィールドで指定されている値以下の場合にのみ、バケットが作成されて件数が更新されます。

ユーザーが属性として「曜日」を指定し、3 (火曜日)を入力した場合、ユーザーが日曜日(曜日1)、月曜日(曜日2)および火曜日(曜日3)にログインした場合にのみバケットが作成され、件数が更新されます。「次以下」の値が3の場合、火曜日(曜日3)もバケット移入基準も満たしています。

15.4.6 次以上

「次以上」演算子を指定した場合、属性値が「値の比較」フィールドで指定されている値以上の場合にのみ、バケットが作成されて件数が更新されます。

ユーザーが属性として「曜日」を指定し、3 (火曜日)を入力した場合、ユーザーが火曜日(曜日3)、水曜日(曜日4)および木曜日(曜日5)、金曜日(曜日6)および土曜日(曜日7)にログインすると、バケットが作成されて、件数が更新されます。「次以上」の値が3の場合、火曜日もバケット移入基準も満たしています。

15.4.7 次と等しくない

「次と等しくない」演算子を設定した場合、認証属性またはトランザクション属性がユーザーにより「値の比較」フィールドに指定された値と等しくない場合に、バケットが作成されて件数が更新されます。

曜日の例では、ユーザーが1の値(日曜日)を指定した場合、日曜日(曜日1)以外のすべてのログインに対して単一バケットが作成されます。

15.4.8 次に含まれる

「次に含まれる」演算子は「次と等しい」演算子と似ていますが、「値の比較」フィールドにあるすべてのカンマ区切り値は等価比較に使用されます。曜日の例では、ユーザーが「1,2,3,4,5」と入力した場合、日曜日(曜日1)から木曜日(曜日5)までに行われたすべてのログインに対して単一バケットが作成されます。

15.4.9 次に含まれない

「次に含まれない」演算子は、「次に含まれる」の逆の機能を持ちます。曜日の例では、ユーザーが曜日に「1,2,3,4,5」の値を入力した場合、金曜日(曜日6)と土曜日(曜日7)に対してのみ単一バケットが作成されます。

15.4.10 次と相似

「次と相似」演算子は、文字列タイプの属性にのみ適用可能かつ有効です。ユーザーのログイン「市区町村」を属性として使用し、ユーザーが市区町村属性にSanを指定した場合、ユーザーがSan Francisco、Santa Clara、San JoseおよびSangamnerからログインしても単一バケットは作成されず、件数も更新されません。

「次と相似」では、文字列属性の値とユーザーが指定した値が比較されます。

15.4.11 次と相似でない

「次と相似でない」演算子は、文字列タイプの属性にのみ適用可能かつ有効です。ユーザーのログイン「市区町村」を属性として使用し、ユーザーが「市区町村」属性にSanを指定した場合、ユーザーがSan Francisco、Santa Clara、San JoseおよびSangamnerからログインしても単一バケットは作成されず、件数も更新されません。ユーザーがRedwood City、Austinおよび名前にSanを含まない他の市区町村からログインすると、単一バケットが作成され、このパターンが更新されます。

15.4.12 範囲

「範囲」は通常、数字とともに使用します。

図15-5 「範囲」比較演算子

15.4.12.1 固定範囲

ユーザーが「開始値」と「終了値」に値を入力し、「増分ステップ」の値を0のままにした場合、属性値が「開始値」以上かつ「終了値」以下であると、そのアクティビティに対してバケットが作成されます。曜日の例を使用すると、ユーザーが「開始値」に1 (日曜日)を、「終了値」に5 (木曜日)を入力した場合、日曜日(曜日1)から木曜日(曜日5)までにログインが行われるたびに単一バケットが作成され、その件数が更新されます。固定範囲とは上限と下限が固定されている範囲で、中間にステップが存在しません(ユーザーが増分ステップを入力していません)。

15.4.12.2 ステップ(または増分)を含む固定範囲

ユーザーが「開始値」と「終了値」に値を入力し、さらに「増分ステップ」に値を指定した場合、属性値が「開始値」以上かつ「終了値」以下であると、そのアクティビティに対してバケットが作成され、属性の増分値により区切られたより詳細なレベルのバケットが作成されます。曜日の例を使用すると、ユーザーが「開始値」に1 (日曜日)を、「終了値」に5 (木曜日)を、「増分ステップ」に1を入力した場合、日曜日(曜日1)から木曜日(曜日5)までにログインが行われるたびに複数バケットが作成され、その件数が更新されます。月曜日から毎日(増分が1であるため)、バケットが作成されて更新されます。

15.4.12.3 ステップを含む非連結上限範囲

増分ステップを含む非連結上限範囲は、番号や数量などのアイテムに対して使用します。基本的に、複数層からなる範囲を構成できます。

たとえば、次のような範囲を構成できます。

0から100まで(ステップ10)。

101から1000まで(ステップ100)。

1001から10000まで(ステップ1000)。

10001から... (ステップ10000)。

最後の範囲以外の範囲はすべて、「増分ステップ」を含む「開始値」と「終了値」を使用した前述の範囲例と同じように機能します。

最後の範囲は、上限が無限大である場合と同じように機能します。このシナリオでは、10001から後、10000ごとにバケットが作成されます。

ユーザーの数量が200,123である場合、そのユーザーに200,000から210,000までに対するバケットが作成されます。この数量に対するユーザーのトランザクションは、このバケットに含められます。

15.5 システムの自動学習を有効化するためのクイック・スタート

この章は、トピック別の項で構成されています。以前に自動学習を使用したことがある場合、この章は必要に応じた順序で使用してください。

システムのプロファイリングおよび自動学習を有効にするには、次の手順を実行します。

1. エンティティがインポートされていることを確認します。
15.6.1項「認証に関連するベース・エンティティのインポート」を参照してください。

2. パターンを作成します。
システムでパターン・データの収集を開始できるように、パターンを定義して属性を追加し、パターンをアクティブ化および有効化します。

15.12項「パターンの作成と編集」を参照してください。

3. 最後に、ルール評価でパターンを使用します。
自動学習の使用の詳細は、15.15項「自動学習データ/プロファイリング・データの使用」を参照してください。

自動学習が有効になっており、機能していることを確認するには、第29章「FAQ/トラブルシューティング」を参照してください。

15.6 自動学習の使用を始める前に

自動学習機能を使用する前に、15.1項「概要と概念」をよくお読みください。この項は、この章に示されている概念を理解するのに役立ちます。

自動学習機能を使用するには、次の手順を実行する必要があります。

15.6.1 認証に関連するベース・エンティティのインポート

認証の際に追跡されるアクターは認証エンティティと呼ばれ、ユーザー、市区町村、デバイスなどが含まれます。これらのベース・エンティティは、パターンに使用される条件を有効にする際に必要となります。自動学習の使用を始める前に、これらのベース・エンティティをシステムにインポートする必要があります。14.5項「スナップショットのインポート」を参照してください。

サーバーにエンティティをインポートするには:

1. 19.3.2項「エンティティ定義の検索」で説明するとおりにエンティティ定義の検索ページを開きます。

2. 「エンティティのインポート」をクリックします。

3. 「パターンのインポート」ダイアログで「参照」をクリックして、Auth_EntityDefinition.zipを見つけます。

4. 「OK」をクリックします。
OAAM管理コンソールにそのファイル内のエンティティが表示されます。

5. これらすべてを選択してインポートします。

15.6.2 自動学習プロパティの有効化

OAAMでプロファイリング・データが収集されるように、自動学習を有効化します。

1. vcrypt.tracker.autolearning.enabledがtrueに設定されていることを確認します。
デフォルト値はtrueです。これは自動学習のマスター(オン/オフ)スイッチのようなものです。

このプロパティが使用できない場合は、プロパティを作成してtrueに設定する必要があります。

2. 次のプロパティをtrueに設定します。

- vcrypt.tracker.autolearning.use.auth.status.for.analysis
認証パターンが動作するためには、このプロパティをtrueに設定する必要があります。デフォルトでは、trueに設定されています。認証パターンは、認証(ログイン)関連情報に関係するデータを処理する際にのみ使用するパターンです。

- vcrypt.tracker.autolearning.use.tran.status.for.analysis
トランザクション関連パターンが動作するためには、このプロパティをtrueに設定する必要があります。デフォルトでは、trueに設定されています。トランザクション・パターンでは、トランザクションに関連するエンティティがプロファイリングされます。たとえば、ユーザーがオンライン・バンキング・アプリケーションで資金振替を行うたびに、その送金先口座および頻度がすべて取得されます。

- oracle.oaam.transactions.analyzepatterns
このプロパティはデフォルトでtrueに設定され、トランザクションのパターン・データの収集が可能になっています。このプロパティが存在しない場合は、作成してください。

15.6.3 サーバーへの自動学習ポリシーのインポート

標準の自動学習ポリシーをインポートする場合は、14.5項「スナップショットのインポート」を参照してください。

15.6.4 ネイティブ統合での自動学習の使用

トランザクションおよび認証の監視に自動学習を使用するためには、ネイティブ統合クライアントで、自動学習フラグを使用するupdateStatus APIまたはupdateTransaction APIを使用する必要があります。あるいは、ネイティブ統合では、自動学習の対象となるセッション・データを処理するためのprocessPatternAnalysis APIを使用することもできます。

APIにより、OAAMにユーザー・アクティビティ(ログインまたはトランザクション)に関する情報を提供できます。たとえば、カスタマ・ログインが完了したときやログインがブロックされたときなどには、updateAuthStatusまたはupdateTransactionがコールされます。

UpdateAuth Status APIの場合、analyzePatterns値をTrueに設定すると、ログインのパターン処理がトリガーされます。何も値が渡されない場合は、falseの値とみなされます。認証ステータスの値resultStatusがsuccessで、analyzePatternsの値がTrueの場合、OAAMではユーザーのデータが処理され、そのユーザーに関する自動学習およびプロファイリング・データが収集されます。認証ステータスがsuccessの場合、ログインごとに自動学習が1回のみ実行されます。認証またはトランザクション・ステータスがsuccessでない場合、バケットは更新されません。バケットが更新されない場合、その自動学習ルールで使用されるデータが正確でなくなる可能性があります。

自動学習APIの詳細は、付録H「パターン処理」を参照してください。

15.7 ユーザー・フロー

次の操作に対するユーザー・フローを示します。

- 新しいパターンの作成

- パターンの編集

15.7.1 新しいパターンの作成

次の手順では、新しいパターンの作成フローを示します。

1. パターンを検索します。

2. パターンが存在する場合は、パターンの詳細を確認します。

3. パターンが存在しない場合は、新しいパターンを作成します。

4. パターン名、メンバー・タイプ、評価優先度および説明を指定します。

5. 属性を追加します。
検証エラーがない場合、新しいパターンが正常に作成されます。

15.7.2 パターンの編集

次の手順では、パターンの編集フローを示します。

注意:

パターンを編集すると、そのパターンに基づいてすでに収集されたデータが使用できなくなる可能性があります。たとえば、ユーザーがパターンを編集して属性の1つを削除した場合、削除した属性がこのパターンに対して過去に作成されたバケットで考慮されていたため、以前に収集されたデータを使用できなくなることがあります。

1. パターンを検索します。

2. パターンが存在する場合は、パターンの詳細を確認します。

3. 詳細を変更します。

4. 属性を追加します。

検証エラーがない場合、パターンの編集は正常に完了します。

15.8 パターン検索ページへのナビゲート

パターン検索ページを開くには:

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。
パターン検索ページが表示され、デフォルトの検索基準に基づく結果が示されます。

検索ページを開く他の方法については、3.5項「検索、作成およびインポートの使用」を参照してください。

パターンの管理は、パターン検索ページから開始します。パターン検索ページからは、次の操作を実行できます。

- パターンの検索

- パターンのリストの表示

- 新規パターンの作成

- パターンの削除

- パターンのアクティブ化

- パターンの非アクティブ化

- パターンのインポート

- パターンのエクスポート

15.9 パターンの検索

パターンを検索するには:

1. 15.8項「パターン検索ページへのナビゲート」の説明に従って、パターン検索ページを開きます。
図15-6に、パターン検索ページの例を示します。

図15-6 パターン検索ページ

パターン検索ページには、「検索」セクションと、検索基準と一致したパターンのサマリーを示す「結果」表が表示されます。

2. 検索フィルタでパターンを見つけるための基準を指定して、「検索」をクリックします。
検索フィルタ基準については、表15-3で説明します。

検索パラメータをデフォルト設定にリセットする場合は、「リセット」ボタンを使用します。

表15-3 検索フィルタの基準

フィールド

説明

パターン名

パターンの名前。パターン名の全部または一部を入力できます。

評価優先度

収集されたデータが評価される優先度。

- 高
ほとんどのリソースがデータの評価に割り当てられます。

- 低
データの評価に割り当てられるリソースの量は、「高」優先度の半分です。

パターン・ステータス

パターンの状態。次のパターン状態があります。

- アクティブ
データを収集する必要がある場合、パターンはアクティブな状態であることが必要です。

- 非アクティブ
パターン定義が完了したがデータ収集を行わない場合は、「非アクティブ」を選択します。

- 未完了
パターンの作成を開始したが、後で完成させるために保存する必要がある場合は、「未完了」を選択します。この状態ではデータは収集されません。

- 無効
パターンに問題がある場合は、パターンに「無効」のマークを付けて他のオペレータに知らせることができます。この状態のパターンに対する自動学習データ分析は実行されません。

- 削除済
パターンは削除されましたが、データの整合性を維持するため、システムはこのレコードを保持する必要があります。この状態のパターンに対する自動学習データ分析は実行されません。

「削除済」ステータスの使用はお薦めしません。このステータスは、今後のリリースで使用できなくなる可能性があります。

トランザクション・タイプ

この特定のOracle Adaptive Access Managerインストールで構成されているトランザクション定義。

認証(ログイン)、請求書の支払、電信送金、住所変更など、自動学習でエンティティがプロファイリングされるプロセスのタイプ。

「検索結果」表に、「評価優先度」、「パターン名」、「パターン・ステータス」および「トランザクション・タイプ」フィールドで指定した基準に一致するパターンのサマリーが表示されます。

「パターン」列ヘッダーをクリックすると、すべてのパターン名が昇順または降順でソートされます。すべての列に対してソートを実行できます。

ユーザー・インタフェースに説明の一部が表示されていない場合、ツールチップを使用するとパターンの完全な説明が表示されます。

15.10 パターン詳細ページへのナビゲート

パターン詳細ページにナビゲートするには、次の手順を実行します。

1. パターン検索ページが開いていない場合は、15.8項「パターン検索ページへのナビゲート」の手順を実行します。

2. 15.9項「パターンの検索」の手順に従って、目的のパターンを検索します。
「検索結果」表のパターン名にはリンクがあります。

3. パターン名をクリックすると、特定のパターンのパターン詳細ページが表示されます。

パターン詳細からは、パターンの作成後にメンバー・タイプを選択してパターン名、パターン・ステータス、評価優先度および説明を変更したり、属性を追加したり、パターン使用ポイントを表示できます。

15.11 パターン詳細の表示

この項では、パターンの表示について詳しく説明します。

15.11.1 特定のパターンの詳細の表示

パターン検索ページでパターン名をクリックすると、特定のパターンのパターン詳細ページが表示されます。手順については、15.10項「パターン詳細ページへのナビゲート」を参照してください。

パターン詳細ページには、パターンの一般詳細(パターン名、ステータス、メンバー・タイプ、評価優先度、説明など)が表示されます。

パターン詳細ページには、次の3つのタブが表示されます。

- サマリー: パターン名、ステータス、トランザクション・タイプなどの一般詳細が表示されます。

- 属性: 定義、ステータス、説明などの属性詳細が表示されます。

タブには属性の数が(カッコ付きで)表示されます。

15.12 パターンの作成と編集

この項では、パターンを作成および編集する方法について説明します。この章の内容は、次のとおりです。

- パターンの作成

- パターンの編集

- 属性の追加

- 属性の編集

- 属性の削除

15.12.1 パターンの作成

自動学習およびパターン作成のベスト・プラクティス

自動学習およびパターン作成のベスト・プラクティスは、次のとおりです。

- 自動学習の構成: 管理者は、動作の追跡には計算能力や記憶領域が必要となることに留意し、最大の効果が得られるように慎重にシステムを構成する必要があります。

- パターン作成のベスト・プラクティス: パターンを作成するときは、システム内の他のパターンによって同じ種類の情報が収集されていないことを確認する必要があります。たとえば、ユーザーおよびIPのログイン時間情報を収集するパターンを作成し、続いてユーザーおよびログイン時間に関する別のパターンを作成すると、同じ情報を収集するパターンが2つ作成されます。

- Oracle Adaptive Access Managerを常に最新の状態に保ち、進化するオンラインのセキュリティ脅威に対処するためのベスト・プラクティス: 自動学習テクノロジは、変化するアクティビティおよび動作に合わせて自動的に調整されます。たとえば、自動学習により、各ユーザーおよびすべてのユーザーの通常の動作がプロファイリングされます。このようにして、セキュリティ・ポリシーは、ユーザーがどのように行動するかを推測するのではなく、ユーザーの実際の行動に基づいてリアルタイムで動的に調整されます。自動機能に加えて、セキュリティ・ポリシーを定期的に確認して、ユーザーが予想どおりの動作をしているか確認することをお薦めします。

- パターンの使用量が多い場合: 複数のパターンに異なる評価優先度を割り当てることができます。たとえば、ログイン・パターンを「高」に設定し、それ以外のパターンを「低」に設定できます。

- 評価プロパティの場合: すべてのパターンの評価優先度を「高」に設定しないでください。パフォーマンスが影響を受けます。

パターンを作成する手順

パターンを作成するには、次の手順に従います。

「トランザクション・タイプ」以外の値はすべて、パターン詳細ページで後から変更できます。

「トランザクション・タイプ」、「作成方法」、「メンバー・タイプ」、「評価優先度」および「説明」は、必須フィールドです。

1. 15.8項「パターン検索ページへのナビゲート」の説明に従って、パターン検索ページを開きます。

2. パターン検索ページで、「新規パターン」ボタンまたは「新規」アイコンをクリックします。
「新規パターン」ページを開く他の方法については、3.5項「検索、作成およびインポートの使用」を参照してください。

3. 「新規パターン」ページで、パターン名を入力します。
一意のパターン名を入力する必要があります。

4. トランザクション・タイプを選択します。
デフォルトのトランザクション・タイプは「認証」です。

表示されるこれ以外のトランザクション・タイプは、システムで設定されているトランザクション定義です。

リストではアクティブなトランザクション・タイプのみが使用可能です。

トランザクション・タイプには、たとえば認証、請求書の支払、送金、商品の購入、クレジット・カードなどがあります。たとえば、トランザクション・タイプとして商品の購入を選択した場合、商品の購入中のすべてのメンバーのアクティビティに関するデータを収集する必要があります。

5. 「作成方法」リストから、パターンを作成するために使用する方法を選択します。

- 単一バケット

- 複数バケット

6. メンバー・タイプを選択します。
メンバー・タイプは、データ取得の対象となるアクターです。

たとえば、メンバー・タイプとして「市区町村」を選択した場合、作成されたパターンによって市区町村データが収集されます。

メンバー・タイプ・リストの値は、選択したトランザクション・タイプによって異なります。

選択した「トランザクション・タイプ」が「認証」の場合、使用可能なメンバー・タイプは「ユーザー」、「市区町村」、「都道府県」、「国」などです。

選択した「トランザクション・タイプ」がデータベースからのトランザクション(小売り、インターネット、請求書の支払など)の場合、使用可能なメンバー・タイプはそのトランザクションのデータ要素です。たとえば、「トランザクション・タイプ」が「インターネット・バンキング」の場合、メンバー・タイプのデータ要素はカスタマと銀行名になります。

1つのパターンに対して1つ以上のメンバー・タイプを選択できます。

7. 評価優先度を選択します。
評価優先度は、データが評価される優先度です。「高」と「低」の2つの評価優先度があります。

- 高
このカテゴリでは、優先度が「低」の場合と比べて、パターン・データの処理に使用できるリソース量が2倍になります。

リソースには、処理リソースおよびデータベース・リソースが含まれます。

- 低
このカテゴリでは、優先度が「高」の場合と比べて、パターン・データの処理に使用できるリソース量が半分になります。

優先度の高いパターンの処理が完了する確率は、優先度の低いパターンが完了する確率の2倍です。

8. 説明を入力します。

9. 「適用」をクリックします。

図15-7 新しいパターン

「サマリー」タブと「属性」タブで構成されるパターン詳細ページが開きます。

データベースにすでに存在するパターンを作成しようとすると、エラーが発生します。

別のパターンと同じメンバー名を使用してパターンを作成しようとすると、次のメッセージが表示されます。「同じメンバー構成のパターンがすでに存在します。新規パターンを作成しますか。「はい」と回答すると、パターンを作成できます。

パターンは作成後すぐに有効になり、パターン詳細ページが表示されます。パターンを編集または確認できます。

パターンは、属性なしでも作成できます。

10. 属性を追加します。

図15-8 属性の追加

詳細は、15.12.2項「属性の追加」を参照してください。

属性の詳細は、15.1.3項「メンバー・タイプおよび属性」を参照してください。

11. パターンをアクティブ化します。
パターンをアクティブ化するには、15.12.3.1項「パターンのアクティブ化」を参照してください。

ルール評価でパターンを使用するには、15.15項「自動学習データ/プロファイリング・データの使用」を参照してください。

自動学習が機能していることを確認するには、第29章「FAQ/トラブルシューティング」を参照してください。

15.12.2 属性の追加

属性の詳細は、15.1.3項「メンバー・タイプおよび属性」を参照してください。

属性を追加するには、次の手順を実行します。

1. パターンのパターン詳細ページが開いていない場合は、15.11.1項「特定のパターンの詳細の表示」を参照してください。

2. 「属性」タブで、「検索結果」ツールバーの「追加」ボタンをクリックします。

3. 「属性の追加」ダイアログで、「追加」リストから属性を選択します。
メンバー・タイプに目的の属性(データ・ポイント)を選択します。OAAMによって属性に関するデータが収集され、メンバーがプロファイルに属しているかどうかが判断されます。

たとえば、メンバー・タイプとして「ユーザー」を選択し、属性を「IP」(NNN.N.N.N)、「市区町村」(Redwood City)および「登録済」(「False」)にした場合、OAAMでは、ユーザーがこれらすべての属性に一致した場合(ユーザーのIPアドレスがNNN.N.N.N、住所がRedwood Cityで、ユーザーが登録されていない場合)に記録されます。このプロファイリングは、ユーザーのリスクを評価するために使用できます。

たとえば、OAAMで「ユーザー」および「IP」 (メンバー・タイプ)のログイン時間を追跡する場合は、属性として「時間」を選択します。

追加した属性は、リスト内でそれ以降選択可能として表示されなくなります。

4. 属性の条件情報を指定します。

1. 「ステータス」を選択します。
たとえば、パターン・メンバーシップで使用する属性に関するデータをOAAMで収集する場合は、「アクティブ」を選択します。

2. 説明を入力します。
たとえば、「このパターンによって、ユーザーおよびIPのログイン時間を追跡するバケットが作成されます」のように入力します。

3. 比較演算子を選択します。
たとえば、24時間の範囲でデータを収集する場合は、開始値を0、終了値を23とした「範囲」を指定します

比較演算子のリストは、選択した属性値およびパターン・タイプ(複数バケットまたは単一バケット)によって異なります。

比較演算子の詳細は、15.4項「パターン属性演算子」を参照してください。

4. 「増分ステップ」を入力します。
サンプル・サイズ(間隔)

たとえば、2時間間隔にする場合は2を指定します。

5. 「追加」をクリックします。

5. 「属性」タブで、必要に応じて矢印コントロールを使用して属性を並べ替えます。
「順序」は必須ではなく、自動的に事前入力されます。

6. 「適用」をクリックします。
属性が正常にパターンに追加されたというメッセージを示すダイアログが表示されます。

7. 「OK」をクリックしてダイアログ・ボックスを閉じます。

15.12.3 パターンのアクティブ化および非アクティブ化

この項では、パターンをアクティブ化および非アクティブ化する方法について説明します。

アクティブなパターンを選択すると、そのパターンを非アクティブ化するためのオプションが有効になります。また、非アクティブなパターンを選択すると、そのパターンをアクティブ化するためのオプションが有効になります。

15.12.3.1 パターンのアクティブ化

パターンをアクティブ化するには:

1. 15.8項「パターン検索ページへのナビゲート」の説明に従って、パターン検索ページを開きます。

2. パターン検索ページで、目的の検索基準を入力して「検索」をクリックします。詳細は、15.9項「パターンの検索」を参照してください。

3. アクティブ化するパターンごとに、行を選択します。

4. 「アクティブ化」ボタンを押します。

15.12.3.2 パターンの非アクティブ化

パターンの無効化は、非常に慎重に行ってください。無効化するパターンがいずれかのポリシーで使用されているかどうかは、システムによりチェックされません。

パターンが無効になると、データ収集は停止されます。

また、ルールが実行され、ルール条件で使用されているパターンがアクティブになっていない場合、条件は(trueに戻すように構成されている場合を除き)falseに評価されます。

パターンを非アクティブ化するには:

1. パターンを非アクティブ化するには、パターン検索ページから、非アクティブ化するパターンごとに行を選択し、「非アクティブ化」ボタンを押します。

2. パターン詳細ページからパターンを非アクティブ化するには、「非アクティブ化」ボタンを押します。

15.12.4 パターンの編集

パターンの編集は慎重に行ってください。編集後、そのパターンに基づいてすでに収集されたデータが使用できなくなる可能性があります。たとえば、属性の1つを削除したが、そのパターンに対して過去に作成されたバケットで削除した属性が考慮されていた場合、データは使用できなくなります。

特定のパターンの詳細を編集するには:

1. 編集するパターンのパターン詳細ページが開いていない場合は、15.10項「パターン詳細ページへのナビゲート」の手順を実行します。

2. パターン名、評価優先度および説明を変更するには、パターン詳細ページの「サマリー」タブで該当するフィールドを編集します。

3. ステータスを変更するには、目的のステータスを選択します。
パターンのステータスを変更するには、15.12.5項「パターン・ステータスの変更」を参照してください。

4. メンバー・タイプを追加または変更します。
詳細は、15.12.6項「メンバー・タイプの追加または変更」を参照してください。

メンバー・タイプの詳細は、15.1.3項「メンバー・タイプおよび属性」を参照してください。

5. 評価優先度を変更します。
評価優先度を変更するには、15.12.7項「評価優先度の変更」を参照してください。

6. 属性を追加するには、15.12.2項「属性の追加」を参照してください。
属性の詳細は、15.1.3項「メンバー・タイプおよび属性」を参照してください。

7. 属性を編集するには、15.12.8項「属性の編集」を参照してください。

8. 属性を削除するには、15.12.9項「属性の削除」を参照してください。

9. 「適用」をクリックします。

15.12.5 パターン・ステータスの変更

「アクティブ」がデフォルトのパターン・ステータスですが、希望のステータスに変更できます。

次のパターン状態があります。

- アクティブ
データを収集する必要がある場合、パターンはアクティブな状態であることが必要です。

- 非アクティブ
パターンは完了したがデータ収集を行わない場合は、「非アクティブ」を選択します。

- 未完了
パターンの作成は完了したが、選択する属性をまだ決定していない場合は、「未完了」を選択します。この状態ではデータは収集されません。

- 無効
このパターンを使用しない場合は、「無効」を選択します。この状態ではデータは収集されません。

- 削除済
パターンは削除されましたが、データの整合性を維持するため、システムはこのレコードを保持する必要があります。この状態のパターンに対する自動学習データ分析は実行されません。

注意:

「削除済」ステータスの使用はお薦めしません。このステータスは、今後のリリースで使用できなくなる可能性があります。

15.12.6 メンバー・タイプの追加または変更

追加または変更するメンバー・タイプは複数選択できます。

別のパターンと同じメンバーを選択しようとすると、次のメッセージが表示されます。「同じメンバー構成のパターンがすでに存在します。新規パターンを作成しますか。「はい」と回答すると、パターンを作成できます。

メンバー・タイプの詳細は、15.1.3項「メンバー・タイプおよび属性」を参照してください。

メンバー・タイプを追加または変更するには、次の手順を実行します。

1. パターンのパターン詳細ページが開いていない場合は、15.10項「パターン詳細ページへのナビゲート」の手順を実行します。

2. 「サマリー」タブで、データを取得するアクターを追加または変更します。
たとえば、ユーザーに関する情報を収集する場合、メンバー・タイプはユーザーです。

15.12.7 評価優先度の変更

評価優先度を変更するには、次の手順を実行します。

1. パターンのパターン詳細ページが開いていない場合は、15.10項「パターン詳細ページへのナビゲート」の手順を実行します。

2. 「サマリー」タブで、評価優先度を変更します。

15.12.8 属性の編集

属性を編集するには、次の手順を実行します。

1. パターン詳細ページの「属性」タブをクリックします。
編集するパターンのパターン詳細ページが開いていない場合は、15.11.1項「特定のパターンの詳細の表示」の手順を実行します。

2. 「属性」ページで、編集する属性を選択します。

3. 属性詳細を編集し、「保存」をクリックします。

4. 必要に応じて属性を並べ替えます。

5. 「適用」をクリックします。

15.12.9 属性の削除

パターンの削除は慎重に行ってください。たとえば、属性の1つを削除したが、そのパターンに対して過去に作成されたバケットで削除した属性が考慮されていた場合、データは使用できなくなります。

属性を削除するには、次の手順を実行します。

1. パターン詳細ページの「属性」タブをクリックします。
編集するパターンのパターン詳細ページが開いていない場合は、15.11.1項「特定のパターンの詳細の表示」の手順を実行します。

2. 「属性」ページで、パターンから削除する「属性」の横のチェック・ボックスをクリックします。

3. 「削除」をクリックします。
属性を削除すると、その属性が「追加」リストに追加され、次回に「属性」を選択するときに使用可能になります。

15.13 パターンのインポートおよびエクスポート

他のアプリケーションとの間でパターンをインポートおよびエクスポートできます。この項では、パターンをインポートおよびエクスポートする方法について説明します。

15.13.1 パターンのインポート

パターンをインポートするには:

1. 15.8項「パターン検索ページへのナビゲート」の説明に従って、パターン検索ページを開きます。

2. パターン検索ページで、「パターンのインポート」をクリックします。

3. 「パターンのインポート」ダイアログで「参照」をクリックして、インポートするパターン・ファイルを見つけます。

4. 「OK」をクリックします。

独自のパターン・インポート・ファイルを作成することはできません。パターンをエクスポートする際に使用される拡張子は.zipであり、zip形式のファイルのみを使用できます。それ以外のファイル(.xmlファイルなど)をパターン・インポート・ファイルとしてインポートすることはできません。

15.13.2 パターンのエクスポート

パターンをエクスポートするには:

1. 15.8項「パターン検索ページへのナビゲート」の説明に従って、パターン検索ページを開きます。

2. パターン検索ページで、目的の検索基準を入力して「検索」をクリックします。詳細は、15.9項「パターンの検索」を参照してください。

3. エクスポートするパターンごとに、行を選択します。

4. 「アクション」メニューから「選択項目のエクスポート」を選択します。

5. 「パターンのエクスポート」ダイアログで、「エクスポート」をクリックします。

6. 「保存」ダイアログで「OK」をクリックします。

15.14 パターンの削除

アクティブなパターンが存在し、それによってデータが収集された場合、そのパターンを削除することはできません。

パターンを削除できるのは、データおよびルールとのアソシエーションがない場合のみです。次のメッセージが表示されます。「このデータを使用しているパターン・データまたは関連ルールがあり、非同期となる可能性があります。更新しますか。

複数のパターンを削除するように選択した場合、それらのパターンの一部が他のシステムで使用されていたり、他のシステムにリンクされていると、次の警告メッセージが表示されます。「次のインスタンスはリンクされており、削除できません。それ以外のパターンを削除しますか」。「はい」と回答すると、リンクされていないパターンが削除されます。

パターンを削除するには:

1. 15.8項「パターン検索ページへのナビゲート」の説明に従って、パターン検索ページを開きます。

2. パターン検索ページで、目的の検索基準を入力して「検索」をクリックします。詳細は、15.9項「パターンの検索」を参照してください。

3. 削除するパターンごとに行を選択し、「削除」ボタンを押します。
削除するように選択したパターンがポリシーで使用されておらず、リンクされてもいない場合、確認を求める警告メッセージが表示されます。「はい」と回答すると、これらのパターンが削除されます。

15.15 自動学習データ/プロファイリング・データの使用

パターンを構成(メンバーおよび属性のあるバケットを作成)してアクティブ化し、データの収集を開始すると、自動学習を使用できるようになります。

自動学習データを処理するようにOAAMを設定する方法については、次の各項で説明します。

15.15.1 自動学習条件を使用するポリシーの作成

自動学習条件を使用するポリシーを作成します。

ポリシーを作成する手順については、15.20.1項「ユース・ケース: ログイン時間が通常と異なるユーザーに対するチャレンジ」を参照してください。

15.15.2 自動学習条件とポリシーとの関連付け

自動学習条件に対して、作成したパターンを関連付けて、要件に応じて条件パラメータを変更します。

収集されたプロファイリング・データを使用して特定の計算を実行する自動学習には、固有の条件があります。これらの条件は自動学習プロファイリング・データにのみ適用され、他のリスク分析に使用することはできません。

詳細は、15.20.4項「ユース・ケース: 1日の特定時間のユーザー・ログインがX回を超える」を参照してください。

パターン・ベースのルールは、一定時間におけるユーザーの動作をプロファイリングします。これらのルールは、十分な履歴を持たないユーザーに対しては実行しないでください。同様に、パターンを正確に評価するにはOAAMデータベースに十分なデータが必要です。データベースにパターンのために十分なデータが存在するかどうかと、OAAMデータベースにユーザー、デバイス、IPおよびその他の要因が持っているセッションの数を評価し、エンティティに設定されたしきい値より多くのセッションがある場合にのみパターン・ベース・ルールを実行するルールがあります。

自動学習のルールと条件の詳細は、第10章「OAAMポリシーの概念およびリファレンス」の自動学習(パターン・ベース)ポリシーに関する項と、付録B「条件リファレンス」の自動学習の条件を参照してください。

15.15.3 セッション詳細の確認

ログイン/トランザクションを実行し、セッション詳細を確認して、作成されたポリシーがトリガーされ、パターンおよびバケットのデータが収集されることを確認します。

パターンが適切に機能しているかどうかを判断する方法については、15.20.2項「ユース・ケース: パターンのテスト」を参照してください。

15.16 トランザクション・ベースのパターンの使用

11.1.2.0以降は自動学習でトランザクションを使用できるため、エンティティをパターン・メンバーとして使用でき、エンティティ・データ要素とトランザクション・データをパターン属性として使用できます。その利点は、パターン・ベースの不正分析のパワーと柔軟性がトランザクションにもたらされることです。

トランザクション・ベースのパターンでは、認証ベースのパターンと同じフレームワークが使用され、パターン・データの処理が非同期的に実行されます。パターンはトランザクションにバインドされているため、トランザクション・メタデータへの変更がパターン・データ収集に影響します。OAAMオフラインでのパターン・データ収集は、データが時系列順にロードされた場合にのみ正常に行われます。

次の操作を実行できます。

- トランザクション定義に基づいてパターンを作成できます。パターンとそのトランザクション定義の間の関係は、いったん作成すると変更できません。これらのパターンにより、ユーザー、時間、ロケーション、ブラウザ・フィンガープリント、Flashフィンガープリントなどのトランザクション・データ、エンティティ・データおよび暗黙的データを組み込むことができます。

- これらのトランザクション・ベースのパターンを組み込むポリシーを定義できます。

- セッション・ログ内のパターン処理詳細を表示できます。

- トランザクション・ベースのパターンを含むポリシーの作成を可能にする新しい条件を使用できます。ユーザー定義トランザクションからのエンティティに基づいてパターンに属性を追加すると、トランザクション・データが利用可能になります。次のルール条件が利用可能です。

- パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです

- パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです

- パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです

- パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

- パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

- パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

- パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

詳細は、B.3項「自動学習条件」および15.20項「ユース・ケース」を参照してください。

15.17 自動学習パターン分析が機能しているかどうかの確認

自動学習が機能しているかどうかを簡単に確認するには、次の手順を実行します。

1. 認証関連のベース・エンティティがインストールされており、次のプロパティがtrueに設定されていることを確認します。

- vcrypt.tracker.autolearnin.enabled

- vcrypt.tracker.autolearning.use.auth.status.for.analysis

- vcrypt.tracker.autolearning.use.tran.status.for.analysis

2. パターンが定義されてアクティブになっていることを確認します。メンバー・タイプが「ユーザー」、属性が「時間」、「市区町村」、「都道府県」または「国」であるパターンが1つ以上存在する必要があります。「時間」を選択した場合、演算子として「範囲」を選択します。それ以外の属性を選択した場合、演算子として「各」を選択します。このパターンをテスト・パターンとして使用できるように、1つのみの属性を選択する必要があります。

3. OAAMサーバーに数回ログインします。

4. v_fprints表に対して次のデータベース問合せを実行します。
実行

"select * from v_fprints where pattern_id is not null and create_time > sysdate - 1/96"

これにより、過去15分間に作成したパターン・ベースのフィンガープリントが戻されます。

実行

"select * from vt_wf_days where fprint_id in ( select fprint_id from v_fprints where pattern_id is not null and create_time > sysdate - 1/96) "

これによりレコードが戻され、レコードの本日の「日」列に正の整数が示されている場合は、自動学習が機能しています。注意: 本日の日付が15日の場合、このデータベース問合せにより戻されたレコードのDay_15列を調べます。

15.18 自動学習ルールが機能しているかどうかの確認

ルールがトリガーされたかどうかを確認するには、ユーザーを追跡する時間ベースのパターンを作成します。

1. ポリシー(認証後)を作成し、ユーザー初回バケット・ルールをそれに追加します。時間ベースのパターンを選択し、他の値はすべてデフォルトのままにしておきます。

2. ポリシーを保存します。

3. 新しいユーザー名を使用して、オーセンティケータからのログインを実行します。
自動学習処理が機能している場合は、ポリシーに追加したルールがトリガーされます。

4. この後、同じ時間内に再び同じログインを実行します。
自動学習ルールが機能している場合、この2回目のログインに対してはルールがトリガーされません。

15.19 自動学習のデバッグ

デバッグ・レベルまでロギングするための重要なクラスを次にまとめます。

表15-4 自動学習のクラスおよびロギング

クラス名/ロガー

デバッグ・ロギングで実行される処理

com.bharosa.vcrypt.tracker.autolearning.VCryptAuthPatternAnalysisRequest AND com.bharosa.vcrypt.tracker.autolearning.VCryptTransactionPatternAnalysisRequest

リクエストの処理中にデバッグ・ログが印刷されます。自動学習リクエストを処理するために必要な時間(ミリ秒)が印刷されます。すべての関数のエントリ・ポイントおよび終了ポイントが、受信パラメータおよび送信パラメータとともに記録されます。

com.bharosa.vcrypt.tracker.rules.impl.VCryptTrackerAutoLearningImpl

自動学習ルールの処理中にデバッグ・ログが印刷されます。セッションと関連してログを追跡できるように、ログ文とともにリクエストIDが出力されます。すべての関数のエントリ・ポイントおよび終了ポイントが、受信パラメータおよび送信パラメータとともに記録されます。

com.bharosa.vcrypt.tracker.autolearning.VCryptAutoLearningRulesUtil

このクラスは、自動学習ルール内のロジックの大部分を実装します。セッションと関連してログを追跡できるように、ログ文とともにリクエストIDが出力されます。すべてのデータベース問合せも出力されます。データベース問合せに必要な時間が、ログ文に示された時間からわかります。すべての関数のエントリ・ポイントおよび終了ポイントが、受信パラメータおよび送信パラメータとともに記録されます。

15.20 ユース・ケース

この項では、自動学習およびパターンのサンプル・ユース・ケースについて説明します。

15.20.1 ユース・ケース: ログイン時間が通常と異なるユーザーに対するチャレンジ

JeffはDollar Bankのセキュリティ管理者です。ユーザーが通常と異なる時間にログインした場合、OTPのチャレンジを受けるようにする必要があります。このために、セキュリティ・ポリシーと、関連付けられたグループ、ルールおよびパターンを構成する必要があります。

1. Jeffはパターンでの操作を開始します。このユース・ケースで焦点を当てているのはユーザーの動作であるため、ユーザーがメンバーとなっているパターンの検索を実行します。
ユーザーがメンバーとなっているパターンが2つあることがわかりました。どちらにもこのユース・ケースに適した時間範囲属性がないため、Jeffは新しいパターンを作成する必要があります。

2. Jeffは「ユーザー」メンバー・タイプで第1評価優先度のマルチバケット・ログイン・チェックポイント・パターンを作成します。次に、時間範囲属性(0:00から23:0まで)とステップ・サイズ4を追加します。このパターンによって、ユーザーがログインすると6個の時間範囲バケットが作成されて移入されます。

3. Jeffは、すでにシステム内に存在する「認証後」チェックポイント・ポリシーを検索します。これは4個存在しています。OTPのチャレンジを受けるようにするために、OTPのチャレンジ結果を持つ他のルールを含むポリシーが必要となります。

4. 次に、バケット・メンバーシップを評価するためのルールが必要になります。Jeffは、最後の指定期間中にメンバーが現在のバケットに含まれる率が、指定率を下回っているかどうかを評価するルールを検索します。該当するルールが見つからないため、時間条件の率未満のバケット内のユーザーを使用するルールを作成します。

5. Jeffは、そのルールをポリシーに追加し、パターンをリンクします。

6. 次に、アクション・グループおよびアラート・グループをリンクする必要があります。Jeffは、OTPのチャレンジ・アクションを含むアクション・グループを検索します。すでに1つ存在しているため、そのグループをルールにリンクします。

7. 彼はアラート・メッセージ・テキスト内にtime (時間)が含まれるアラート・グループを検索します。デバイスがログインに失敗した回数(times)が10回を超えたことを示すアラート・テキストのアラートが含まれたアラート・グループが1つ見つかりました。このアラートは該当するルールに適していないため、アラート・グループおよびアラートを作成することにします。

8. Jeffは、アラートに対して新しいアラート・グループを作成します。次に、新しい中程度のアラートをこのグループに追加し、「ユーザーが過去3か月以内にこのログイン時間バケットに含まれていた時間が5%未満でした」というテキストを指定します。

9. 最後に、Jeffはアラート・グループをルールにリンクします。

10. システムへのログインを実行して、自動学習を開始します。

15.20.2 ユース・ケース: パターンのテスト

Jeffはセキュリティ管理者として、ユース・ケースで構成したパターン(15.20.1項「ユース・ケース: ログイン時間が通常と異なるユーザーに対するチャレンジ」)が適切に機能しているか確認する必要があります。

パターンをテストするには:

1. ある日の9:30 amに新しいテスト・ユーザーを作成し、正常なログインを7回実行します。

2. 同じ日の午後3時に、正常なログインを3回実行します。

3. 翌日、午後7時にログインすると、OTPのチャレンジを受けます。
これは、ユーザーが午後7時のバケットに含まれていたのが、先月の時間の5%未満だったためです。

4. ポリシーおよびパターンを本番システムに1か月間適用した後、ルール評価でのバケット処理が正確かどうかを確認します。Jeffは、「ユーザーが過去3か月以内にこのログイン時間バケットに含まれていた時間が5%未満でした」というアラートが発生したセッションを検索することにより、ルールをトリガーしたユーザーを調べるレポートを実行します。

5. 次に、そのうちいくつかを選択し、先月のこのパターンのバケット・メンバーシップを検索します。
これにより、Jeffは、アラートをトリガーしたセッションの時刻が、先月の時間の5%以上含まれていたバケットとは異なるバケットに含まれていたことがわかります。このことから、ポリシー構成およびパターンが意図したとおりに機能していることを確認できます。

15.20.3 ユース・ケース: 時間外アクセスの追跡

JeffはDollar Bankのセキュリティ管理者です。標準昼間勤務に基づいて、従業員の時間外アクセスを追跡する必要があります。このために、時間どおりに動作ベースのプロファイリングを行うためのパターンを作成する必要があります。

図15-9 バケットを使用した時間外アクセスの追跡

ユーザーのログイン時間を3つの8時間バケットにプロファイルするパターンを作成するには:

1. 管理者としてOAAM管理コンソールにログインします。

2. 1日における各8時間期間のアクセス件数を取得するために、複数バケットのパターンを作成します。

1. OAAM管理コンソールにログインしたら、ナビゲーション・ペインで「パターン」をダブルクリックします。パターン検索ページが表示されます。

2. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」画面が表示されます。

パラメータ

値

パターン名

ユーザー: 作業時間

トランザクション・タイプ

認証

作成方法

複数バケット

メンバー・タイプ

ユーザー

評価優先度

高

説明

1日24時間の8時間ごとにアクセス数を収集するパターンです。

3. 「作成」をクリックします。パターンの詳細を含むページが表示されます。

4. 「属性」タブをクリックして、確認する属性を指定します。

5. 「追加」ボタンをクリックします。これにより検索画面が表示されるので、確認する属性を検索します。検索基準を入力し、「検索」をクリックして、使用する属性の一覧を確認します。

パラメータ

値

属性

時間

ステータス

アクティブ

比較演算子

範囲

開始値

0

終了値

23

増分ステップ

8

説明

これにより3つの8時間バケットが作成されます

3. 「追加」をクリックします。

OAAMによって、動作に必要な数のバケットが作成されます。

15.20.4 ユース・ケース: 1日の特定時間のユーザー・ログインがX回を超える

JeffはDollar Bankのセキュリティ管理者です。午前10時から午後5時の間のユーザーのログインが3回を超えた場合にアラートで通知を受ける必要があります。このために、ユーザーと時間をプロファイリングするパターンと、アラート・グループを作成する必要があります。

1. メンバー・タイプをユーザーとして、TimeLog10AM-5PM_PSという名前の単一バケット・パターンを作成します。

2. 属性として「時間」を追加します。

- 「比較演算子」は「範囲」です。

- 「開始値」は10 (午前10時)です。

- 「終了値」は17 (午後5時)です。

3. ルールがトリガーされたときにアラートを使用してシステムの異常または情報が通知されるように、アラート・グループを作成します。
アクション・グループおよびアラート・グループの詳細は、第12章「グループの管理」を参照してください。

4. 「認証後」チェックポイントで自動学習条件を使用するポリシーを作成します。

5. 条件を使用するポリシー内にルールを作成して、パターンに関連付けます。

- ルールに自動学習条件「パターン(認証): エンティティはN回にわたるパターンのメンバーです」が含まれることを確認します。

- 条件の値を入力します。

ラベル

名前

デフォルト

次を超えるパターン・ヒット件数

次を超えるパターン・ヒット件数

3

メンバーシップのパターン名

メンバーシップのパターン名

TimeLog10AM-5PM_PS

ユーザーのパターン・ヒット件数より多いメンバーシップ件数

isMoreThan

true

パターン・メンバーシップの期間タイプ

パターン・メンバーシップの期間タイプ

時間

パターン・メンバーシップの期間タイプ

パターン・メンバーシップの期間タイプ

1

パターン・メンバーシップのメンバー・タイプ

パターン・メンバーシップのメンバー・タイプ

ユーザー

- ルールの結果としてアラート・グループを追加します。

6. ユーザー・グループへのリンクをグループ化します。

7. 4回目のログインからアラートが生成されることを確認します。

15.20.5 ユース・ケース: パターンに含まれる複数のメンバー・タイプ

JeffはDollar Bankのセキュリティ管理者です。曜日およびデバイスに基づいて、従業員のログインを追跡する必要があります。このために、曜日、ユーザーおよびデバイスのログインをプロファイリングするパターンを作成する必要があります。

Joeが月曜日にログインすると、JoeのユーザーIDおよび使用しているコンピュータのデバイスIDが、月曜日バケットに1回追加されます。Fredが同じコンピュータを使用して月曜日にログインすると、FredのユーザーIDおよびコンピュータのデバイスIDが1回追加されます。この時点で、月曜日バケットにはJoeの1件とFredの1件、およびデバイスの2件が含まれます。その後、ルール条件を使用してバケット・メンバーシップが評価されます。

ルールは、複数のメンバー・タイプのうち1つのメンバー・タイプを評価するように作成できます。

例:

- Joeが過去2か月間に火曜日にログインした時間は、5%未満です。

- Joeおよびこのコンピュータが過去2か月間に火曜日にログインした時間は、5%未満です。

複数のメンバー・タイプを含むが、それぞれのメンバーが別々にプロファイリングされるようにパターンを設定するには、次の手順を実行します。

1. ユーザーおよびデバイスをエンティティとしてパターンを作成します。その属性は「該当週の日」となり、属性の演算子は「各」となります。
バケットの移入を適切に指定します。

詳細は、B.3.2項「パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」を参照してください。

2. ルールを1つ作成します。

1. ルール内のパーセント値を5%に設定します。

2. このルール内のパターンとして、手順1で説明したパターンを設定します。

3. 「エンティティ」を「ユーザー」に設定します。

4. 「期間」を2に設定します。

5. 「期間タイプ」を「月」に設定します。

6. 他の値はデフォルトのままにしておきます。

3. 別のルールを作成します。

1. ルール内のパーセント値を5%に設定します。

2. このルール内のパターンとして、手順1で説明したパターンを設定します。

3. 今度は「エンティティ」を「デバイス」に設定します。

4. 「期間」を2に設定します。

5. 「期間タイプ」を「月」に設定します。

6. 他の値はデフォルトのままにしておきます。

15.20.6 ユース・ケース: 市区町村の使用

Joeの会社では、ユーザーがメンバーでない市区町村からログインした場合にOTPのチャレンジを受けるようにする必要があります。

Joeは、3つの市区町村(自宅、オフィスAおよびオフィスB)からログインします。市区町村パターンにより、各市区町村からログインした頻度が記録されます。

バケット

ロケーション

市区町村バケット#1

自宅

市区町村バケット#2

オフィスA

市区町村バケット#3

オフィスB

Joeの会社では、先月に使用していない市区町村からログインしたユーザーが、2つの連続するセッションで、OTPのチャレンジを受けるようにする必要があります。JoeがオフィスBでの勤務を37日間停止し、その市区町村の他のどの場所からもアクセスしていない場合、Joeがその市町区村から次にログインすると、OTPのチャレンジを受けます。このユース・ケースを実現するには、先月における現在の市区町村バケットのメンバーシップ件数がチェックされるようにルールを構成します。最後のローリング月の期間でユーザーが2回以上メンバーになるまでこのルールがトリガーされるように、件数のしきい値を2に設定します。

ユーザーがメンバーでない市区町村からログインした場合にOTPのチャレンジを受けるようにシステムを設定するには、次の手順を実行します。

1. アクターを「ユーザー」、属性を「市区町村」、比較演算子を「各」としてパターンを作成します。

2. 条件として「パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです」を使用します。

3. 条件のルール・パラメータを次のように設定します。

1. 「パターン名」は、作成したパターンです。

2. 「期間タイプ」は「月」です。

3. 「期間」は1です。

4. 「件数」は3です。

5. 演算子(必要な場合)は「次より小さい」です。

ユーザーが先月(過去30日間)にその市区町村を使用した回数が2回以下の場合、このルールがトリガーされ、ユーザーはチャレンジを受けます。

15.20.7 ユース・ケース: エンティティの動作に対する自動学習の適応

自動学習は、プロファイリング、データ収集およびそのチェックに加えて、システムでユーザーの動作に基づいた処理が行われるように適応されます。条件および指定率は変更されません。

毎日カリフォルニアから銀行アプリケーションにログインしているユーザーが、銀行に通知することなくシアトルに異動したとします。このユーザーがシアトルから初めてログインする際には、チャレンジを受けます。2回目も、ある市区町村から1か月間にログインした回数が合計ログイン回数の50%未満なので、再びチャレンジを受けます。システムにより、シアトルはこのユーザーが通常ログインする場所でないことが認識されます。不便ではありますが、ここでこれを障害とは考えないでください。再びチャレンジを受けると、ユーザーの操作性は低下します。

このため、ユーザーに対するチャレンジを停止する必要のある率が設定されるように、条件を構成する必要があります。以降はユーザーが毎回シアトルからログインするため、チャレンジを停止する必要があることを、システムが自動的に判断する必要があります。

3回目にシアトルからログインすると、チャレンジを受けません。3か月後にカリフォルニアに行ってログインすると、チャレンジを受けます。これは、システムにログインしているのがこのユーザーであることを確認するために行われたものです。

例

ユーザーが1か月以内にある市区町村からログインした時間が50%未満の場合にKBAチャレンジを受けるようにシステムを設定する必要があります。

1. 市区町村ごとに、UserLoginsCityという名前の複数バケット・パターンを作成します。

- メンバー・タイプは「ユーザー」

- 属性は「市区町村名」、比較演算子は「各」

ユーザーが異なる市区町村からログインすると、市区町村ごとにバケットが作成されます。

2. メンバーシップが%未満の市区町村それぞれについて、ユーザーがKBAチャレンジを受けるようにアクション・グループを作成します。

3. 「認証後」チェックポイントで自動学習条件を使用するポリシーを作成します。

4. 条件を使用するポリシー内にルールを作成して、パターンに関連付けます。
このルールによって、パターンに属するユーザーのメンバーシップの率が計算されます。

- ルールに自動学習条件「パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」が含まれることを確認します。
この条件の詳細は、「パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」を参照してください。

- 条件の値を入力します。

ラベル

デフォルト

次より小さいパターン・ヒット率

50

メンバーシップのパターン名

UserLoginsCity

patternHitPercentより少ないメンバーシップ件数

True

パターン・メンバーシップの期間タイプ

月

パターン・メンバーシップの期間

1

パターン・メンバーシップのメンバー・タイプ

ユーザー

- ルールの結果としてアクション・グループを追加します。

5. ユーザー・グループへのリンクをグループ化します。

6. 1か月以内にユーザーがある市区町村からログインした回数が合計ログインの50%未満の場合、ユーザーはチャレンジを受けます。

15.20.8 ユース・ケース: 単一バケット・パターン

(手動で作成した)単一バケット・パターンでは、1つのバケットが作成され、パターンで指定されている正確なデータ・ポイントと値範囲が移入されます。業界の専門知識に基づいて高リスクとみなされる動作を指定してパターンを作成できます。

次のカテゴリに分類されるトラフィックをOAAMで検索できるように、バケットを構成できます。

- 午前8時から午前10時までのパターン

- 新しいロケーション

- 新規デバイス

- このユーザーが所有していない新しい振替口座の作成

- 新しい口座への電信送金

この特定の組合せは非常に不正リスクが高いことがすでにわかっているため、このパターンが検出された場合にはSMSを介してOTPのチャレンジを行う必要があります。

15.20.9 ユース・ケース: パターンの使用

セキュリティ管理者は、ユーザーのログインの頻度が低い(具体的には1か月のログイン回数が2回未満の)都道府県からログインした場合にユーザーがチャレンジ質問を受けるようなポリシーを構成する必要があります。

結果にスコアとアラートが含まれる必要があります。

このシナリオでパターンを使用する理由

この評価には、プロファイリング(パターン)と、これらのパターンを評価するためのルールが関連します。

このシナリオでパターンを使用する理由は、次のとおりです。

- ルールにより動作の頻度を追跡する場合、特に評価に月や年が必要となる場合は、頻度を評価する期間が比較的長くなる可能性があります。このような場合は、ルールで大きい問合せを実行して結果を取得する必要はないため、パターンを使用することをお薦めします。Oracle Adaptive Access Managerによって、ユーザーが現在含められている都道府県バケットのメンバーかどうか、およびそのバケットに含められた頻度を確認するためのバケット処理がチェックされます。

- 別のリスク評価タイプに対して、他のルールで都道府県または都道府県の使用頻度を追跡するパターンを使用できます。同じパターンを使用することにより、パフォーマンス低下の原因となるオーバーヘッドを回避できます。

手順

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。
次のようなパターンを作成します。

- 作成方法: 複数バケット

- メンバー・タイプ: ユーザー

- 評価優先度: 高

- 説明: 都道府県の使用と頻度を追跡するためのパターン

4. 「作成」をクリックします。

5. 「属性」タブをクリックします。

6. 「追加」ボタンをクリックします。

7. 「属性の追加」ダイアログで、属性として「都道府県」を選択して「次」をクリックします。

8. 次に表示されるページで、「比較演算子」として「各」を選択して「追加」をクリックし、「OK」をクリックします。
比較演算子「各」を選択すると、ユーザーがログインしたすべての都道府県がプロファイリングされます(都道府県ごとにバケットが作成され、バケットに含められたユーザーが移入されます)。

9. ナビゲーション・ツリーで「グループ」をダブルクリックします。

10. 「新規グループ」をクリックします。「グループの作成」ダイアログが表示されます。

11. StateNotUsedOftenという新しいアラート・グループを作成します。

- グループ名: 使用頻度の低い都道府県

- グループ・タイプ: アラート

- キャッシング・ポリシー: フル・キャッシュ(グループがルールおよび条件で使用されるため)

12. 「作成」をクリックし、「OK」をクリックします。グループ詳細ページが表示されます。

13. グループ詳細ページの「アラート」タブで、「メンバーの追加」をクリックします。

14. メンバーの追加ページで、新規要素の作成を選択します。

15. 「アラート・タイプ」としてカスタマ・ケアを選択します。

16. 「アラート・レベル」として「中」を選択します。

17. 「アラート・メッセージ」ボックスにアラート・メッセージを入力します。
たとえば、「ユーザーが1か月に使用した回数が2回未満の都道府県からログインしています」のように入力します。

18. 「追加」をクリックして、新しいアラートを作成してアラート・グループに追加します。

19. 確認ダイアログが表示されたら、「OK」をクリックしてダイアログを閉じます。

20. ナビゲーション・ツリーで「ポリシー」をダブルクリックします。ポリシー検索ページが表示されます。

21. 使用可能な認証後ポリシーを検索します。
ベスト・プラクティスでは、KBAチャレンジは認証後チェックポイントで発生します。

ルールを作成した結果、KBAチャレンジが生成されるため、これを「認証後」チェックポイントに配置する必要があります。また、このルールは実行前に、KBA登録のチェックが指定されたポリシー内に配置しておく必要があります。

22. ポリシーを詳細ページで開き、「ルール」タブをクリックします。

23. 「追加」をクリックします。

24. ルールを計画します。
トリガーされた場合にユーザーがKBAチャレンジを受けるようなルールを作成する必要があるため、このルールは他のルール・チャレンジを含むポリシーに含める必要があります。

ルールの結果としてKBAチャレンジが生成されるため、このルールに設定および構成したスコアリングを、そのルールのアクションや結果、および評価されるそのルールの重大度と関係付けることをお薦めします。状況の重大度、ルールをトリガーするアクション、およびルールにより生成されるスコアは互いに比例する必要があります。

ルールによって、ユーザーが最近使用していない都道府県からログインしていても、その状況が不正を表しているとはかぎらないかどうかがチェックされます。この状況は中リスクの1つであり、ブロックではなくKBAチャレンジを使用するのはそのためです。KBAチャレンジは、500から700のリスク範囲のスコアに適しています。この例では、スコア600を指定します。OTPチャレンジは、701から900の範囲のスコアに適しています。900以上のスコアの場合、トリガーされるアクションは「ブロック」にしてください。ユーザーは、スコアが500未満の場合に続行を許可される必要があります。

25. サマリー情報を入力し、「結果」タブをクリックします。

26. 「スコア」として600を入力します。

27. 「重み」として100を入力します。

28. 「アクション」として「ChallengeQuestionPad」を選択します。

29. 「アラート」として「StateNotUsedOften」を選択します。

30. 「条件」タブをクリックします。

31. 「追加」をクリックし、「パターン(認証): エンティティはN回にわたるパターンのメンバーです」を選択します。
次の値を入力します。

ラベル

名前

デフォルト

次を超えるパターン・ヒット件数

次を超えるパターン・ヒット件数

2

メンバーシップのパターン名

メンバーシップのパターン名

ユーザー: 都道府県

ユーザーのパターン・ヒット件数より多いメンバーシップ件数

isMoreThan

false

パターン・メンバーシップの期間タイプ

パターン・メンバーシップの期間タイプ

月

パターン・メンバーシップの期間タイプ

パターン・メンバーシップの期間タイプ

1

パターン・メンバーシップのメンバー・タイプ

パターン・メンバーシップのメンバー・タイプ

ユーザー

32. 「保存」をクリックして変更を保存します。
確認ダイアログに操作のステータスが表示されます。

33. 「OK」をクリックして、確認ダイアログを閉じます。

15.20.10 ユース・ケース: 都道府県外からのログイン

Acmeは小規模なビジネス・グループであり、クライアントはすべてその市区町村に属し、都道府県から出る頻度は少ないと予測されます。このビジネス・グループは他の都道府県から行われたすべてのログインを追跡する必要があるため、ユーザーに対するチャレンジを設定し、他の都道府県からログインしたユーザーが有効なユーザーかどうかを確認するための高アラートをトリガーできます。ユーザーが有効な場合は、次回に別の都道府県からログインしたときにチャレンジを受けないように、ユーザーをAllow Userに追加します。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。

4. パターンによりこの都道府県外から行われたすべてのログインが追跡されるように、次のパラメータを設定して単一バケット・パターンを作成します。基本的にカウンタは、別の都道府県からログインが行われるたびに増分します。

- トランザクション・タイプ: 認証

- 属性: 都道府県

- 比較演算子: 次に含まれない

- 値の比較: 都道府県名

- メンバー・タイプ: ユーザー

- 評価優先度: 第1

5. ルール条件にこのパターンを使用します。

1. ルールを作成します。

2. 条件として「パターン(認証): エンティティはN回にわたるパターンのメンバーです」を追加します。

- 次を超えるパターン・ヒット件数: 件数

- メンバーシップのパターン名: パターン名

- patternHitCountForUserより多いメンバーシップ件数: True

- パターン・メンバーシップの期間タイプ: 時間

- パターン・メンバーシップの期間: 1

- パターン・メンバーシップのメンバー・タイプ: ユーザー

6. ポリシーおよびルールを保存します。

7. 異なる都道府県からのログインを数回シミュレートします。ユーザーがチャレンジを受け、高アラートがトリガーされるはずです。

8. White User Groupにユーザーを追加します。

9. このユーザー・グループをルールの事前条件の除外ユーザー・グループに追加します。

10. ポリシーおよびルールを保存します。

11. 手順5を繰り返します。ホワイト・ユーザー・グループ内のユーザーはチャレンジを受けません。

15.20.11 ユース・ケース: 電信送金する金額(ドル)のパターン

Mikeはセキュリティ管理者であり、ユーザーがオンライン・バンキングで実施した電信送金に基づいてそのユーザーの動作をプロファイリングする必要があります。また、各ユーザーが通常送金する金額(ドル)の範囲を追跡する必要があります。ユーザーの複数バケット・パターンを作成し、$100のドル範囲を作成します。Mikeは次に、現在のドル範囲バケット送金が過去3か月間にユーザーが送金した時間の10%に満たないバケットに含まれた場合にユーザーがチャレンジを受けるようにルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。システムには、「インターネット・バンキング」トランザクションなど、銀行電信送金を表す定義済トランザクションがあります。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。ユーザーの複数バケット・パターンを作成し、$100のドル範囲を作成します。

4. 新規パターンに関する最初の詳細を指定し、「作成」をクリックします。「トランザクション・タイプ」および「作成方法」以外の値はすべて、パターン詳細ページで後から変更できます。

パラメータ

値

パターン名

ユーザー: インターネット・バンキングの金額

トランザクション・タイプ

「インターネット・バンキング」にして、インターネット・トランザクションに基づいてユーザーの動作をプロファイリングします

作成方法

$100のドル範囲を作成する必要があるため、「複数バケット」

メンバー・タイプ

ユーザー

評価優先度

「高」にして、最初に処理されるようにします。

説明

各ユーザーのインターネット・バンキングのトランザクション金額を追跡します。

「作成」をクリックすると、パターンに関する詳細を示すページが表示されます。

5. 「属性」タブをクリックし、ツールバーで「属性の追加」アイコンをクリックします。

6. 「属性の追加」ダイアログが表示されたら、「属性名」フィールドにAmountと入力して「検索」をクリックします。

7. 一覧からAmountを選択し、「次」をクリックします。

8. 次の情報を指定して、「追加」をクリックします。

パラメータ

値

説明

属性の説明を入力します。

比較演算子

範囲

開始値

0

終了値

空白のままにします。

増分ステップ

トランザクション金額が100の範囲で収集されるので、「100」。

9. ナビゲーション・ペインで、「ポリシー」をダブルクリックします。これによりポリシー検索ページが表示されるので、「OAAMユーザー対自分自身」ポリシーを検索します。検索基準を入力し、「検索」をクリックします。

10. 「OAAMユーザー対自分自身」ポリシーを開きます。

11. 「ルール」タブをクリックし、「追加」ボタンをクリックします。現在のドル範囲バケット送金が、ユーザーが過去3か月間に10%に満たない時間メンバーとなっていたバケットに含まれた場合にユーザーがチャレンジを受けるようにルールを実装しようとします。

12. 「サマリー」タブで、「ルール名」、「説明」など、ルールに関する詳細を入力します。「ルール・ステータス」は変更しないでください。「アクティブ」のままにしておいてください。

13. 「条件」タブをクリックし、「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」条件を追加します。
次の値を入力します。

パラメータ

値

次より少ないパターン・ヒット件数

10

メンバーシップのパターン名

ユーザー: 電子送金

パターン・ヒット率より少ないメンバーシップ数

True

パターン・メンバーシップの期間タイプ

月

パターン・メンバーシップの期間

3

パターン・メンバーシップのメンバー・タイプ

ユーザー

14. 「結果」タブを開きます。

15. スコアを入力します。

16. 重みを入力します。

17. ルール結果「アクション・グループ」を「OAAMチャレンジ」に設定します。

18. 「保存」をクリックして変更を保存します。確認ダイアログに操作のステータスが表示されます。

19. 「OK」をクリックして、確認ダイアログを閉じます。

事後条件: 過去3か月間の電信送金の90%ではないドル範囲金額の電信送金を実行したユーザーは、チャレンジを受けます。

電信送金するトランザクション金額が他のすべてのトランザクションの10%未満である場合、パターン・ルールがトリガーされます。

15.20.12 ユース・ケース: ユーザーごとのHR従業員レコードへのアクセス・パターン

Mikeはセキュリティ管理者であり、ユーザーによるHRアプリケーションに対する従業員レコードのアクセス・リクエストの頻度と量に基づいてユーザーの動作をプロファイリングし、評価する必要があります。Mikeは、各HR担当者が通常アクセスする8時間当たりのレコード数を追跡する必要があります。1日における各8時間期間のリクエスト件数を取得するために、複数バケットのパターンを作成します。Mikeは次に、現在のアクセスが先月中のユーザー平均を40%超える8時間範囲に含められた場合にアラートを生成するルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。従業員レコード・アクセスを表すトランザクションがシステムで定義されています。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。

4. 従業員レコード・アクセス・トランザクションに対して、1日の各8時間期間でのリクエスト件数を取得するための新しい複数バケット・パターンを作成しようとします。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」としてHR Record Access、「作成方法」として「複数バケット」、「メンバー・タイプ」としてHR Rep、「評価優先度」として「高」を選択します。

2. 「属性」タブで、新しい属性を追加し、リストから「時間」を選択します。属性の詳細で、「比較演算子」として「範囲」、「開始値」として0、「終了値」として23、「増分ステップ」として8を選択します。

5. 現在のアクセスが先月中のユーザー平均を40%超える8時間範囲に含められた場合にアラートを生成するルールを作成します。

6. 「OAAMユーザー対自分自身」ポリシーを開き、新しいルールを追加します。

7. 「パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」条件をルールに追加し、「次より大きいパターン・ヒット率」を40、「メンバーシップのパターン名」を手順4で作成したパターン、「パターン・メンバーシップの期間タイプ」を「日」、「パターン・メンバーシップの期間」を30、「パターン・メンバーシップのメンバー・タイプ」をHR repに設定します。

8. アラートを生成するために、ルール結果を設定します。

事後条件: ユーザーが先月のアクセス・リクエストの平均数よりも40%多いアクセス・リクエスト数を8時間で実行した場合、アラートがトリガーされます。

15.20.13 ユース・ケース: 全ユーザーのHR従業員レコードへのアクセス・パターン

Mikeはセキュリティ管理者であり、ユーザーによるHRアプリケーションに対する従業員レコードのアクセス・リクエストの頻度と量に基づいて、ユーザーの動作を他のアクセス・リクエストと比較しながらプロファイリングし評価する必要があります。Mikeは、HR担当者が通常アクセスする8時間当たりのレコード数を追跡します。1日における各8時間期間のリクエスト件数を取得するために、複数バケットのパターンを作成します。Mikeは次に、現在のアクセスが先月中のすべてのユーザーの平均を30%超える8時間範囲に含められた場合にアラートを生成するルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。従業員レコード・アクセスを表すトランザクションがシステムで定義されています。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。

4. 従業員レコード・アクセス・トランザクションに対して、1日の各8時間期間でのリクエスト件数を取得するための新しい複数バケット・パターンを作成しようとします。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」としてHR Record Access、「作成方法」として「複数バケット」、「メンバー・タイプ」としてHR Rep、「評価優先度」として「高」を選択します。

2. 「属性」タブで、新しい属性を追加し、リストから「時間」を選択します。「属性の詳細」で、「比較演算子」として「範囲」、「開始値」として0、「終了値」として23、「増分ステップ」として8を選択し、8時間以内に行われる現在のアクセスが先月中の全ユーザーの平均を30%超えるとアラートを生成します。

5. 「OAAMユーザー対すべてのユーザー」ポリシーを開いて、新しいルールを追加します。

6. 「パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」条件をルールに追加し、「次より大きいパターン・ヒット率」を30、「メンバーシップのパターン名」を手順4で作成したパターン、「パターン・メンバーシップの期間タイプ」を「日」、「パターン・メンバーシップの期間」を30、「パターン・メンバーシップのメンバー・タイプ」をHR Repに設定します。

7. アラートを生成するために、ルール結果を設定します。

事後条件: ユーザーが先月の全ユーザーからのアクセス・リクエストの平均数よりも40%多いアクセス・リクエスト数を8時間で実行した場合、アラートがトリガーされます。

15.20.14 ユース・ケース: 出荷先住所の国のパターン

Mikeはセキュリティ管理者であり、商品の出荷先国に基づいて、E-Commerceのトランザクションをプロファイリングする必要があります。国ごとにバケットを作成し、それぞれの国に出荷されるトランザクションをカウントするためのパターンを作成します。次に、トランザクションでの商品の出荷先国が過去3か月間の他のすべての受注の出荷先の5%未満である場合にアラートを生成するルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。システムには、OAAMサンプル・アプリケーションからの小売りE-Commerceトランザクションなど、E-Commerceトランザクションを表す定義済トランザクションがあります。トランザクションに、出荷先住所の国を示すエンティティまたは属性が含まれている必要があります。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。

4. 小売りE-Commerceトランザクションに対して、出荷先住所の国ごとにバケットを作成するための新しい複数バケット・パターンを作成します。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として小売りE-Commerce、「作成方法」として「複数バケット」、「メンバー・タイプ」として「出荷先住所」、「評価優先度」として「高」を選択します。

2. 「属性」タブで新しい属性を追加し、リストから「国」を選択し、「比較演算子」として「各」を選択します。

小売りE-Commerceトランザクション・タイプに対してパターンが作成されます。トランザクションごとに国情報が収集されます。

5. トランザクションでの商品の出荷先国が過去3か月間の他のすべての受注の出荷先の5%未満である場合にアラートを生成するルールを作成します。

6. 「OAAMユーザー対自分自身」ポリシーを開き、新しいルールを追加します。

7. 「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」条件をルールに追加し、「次より小さいパターン・ヒット率」を5、「メンバーシップのパターン名」を手順4で作成したパターンの名前、「patternHitPercentより少ないメンバーシップ数」を「True」、「パターン・メンバーシップの期間タイプ」を「月」、「パターン・メンバーシップの期間」を3、「パターン・メンバーシップのメンバー・タイプ」を「出荷先住所」に設定します。

8. ルール結果「アクション・グループ」を「OAAMチャレンジ」に設定します。

事後条件: ユーザーが過去3か月間にトランザクションで使用された回数が5%未満である国に出荷した場合、アラートが生成されます。

表15-5 出荷先住所の国パターン

パターン記述のブレークダウン

Oracle Adaptive Access Managerセキュリティ・ポリシー・コンポーネント

E-Commerceのトランザクションのプロファイリング

トランザクション・タイプ: 小売りE-Commerce

ユーザーが各国に商品を出荷

エンティティ: ユーザー

商品の出荷先国

属性: Shipping.Address.Country

国ごとにバケットを作成

「作成方法」は「複数バケット」、「比較演算子」は「各」

各出荷先国のトランザクションのカウント

トランザクションの国情報を収集するためのパターン

パターンによって、小売りE-Commerceトランザクションに対する各ユーザーの出荷先住所が追跡されます。

ルール

ユーザーが他のすべての出荷先国の5%未満である国に出荷した場合、アラートがトリガーされます。

条件

「パターン(トランザクション): エンティティは特定の率より少ないパターンのメンバーです」条件

現在の動作を履歴動作に対して評価するためのポリシー

OAAMユーザー対自分自身

ルールで指定された率の基準

5%

ルールで指定された期間

過去3か月間

チェックポイント

「トランザクション更新」チェックポイントで実行されるポリシー内に作成されたルール

ルール結果「アクション・グループ」を「OAAMチャレンジ」に設定

OAAMチャレンジ

15.20.15 ユース・ケース: 出荷先住所の国のパターンと請求の不一致

Mikeはセキュリティ管理者であり、商品の出荷先国に基づいて、また請求先と出荷先の住所が異なる国の場合に、E-Commerceのトランザクションをプロファイリングする必要があります。国ごとにバケットを作成し、それぞれの国に出荷されるトランザクションをカウントするためのパターンを作成します。次に、トランザクションで商品の出荷先国が過去3か月間における他のすべての受注の出荷先の5%未満である場合、および出荷先住所の国と請求先住所の国が同じでない場合にアラートを生成するルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。システムには、oaam_sampleからの小売りE-Commerceトランザクションなど、E-Commerceトランザクションを表す定義済トランザクションがあります。トランザクションに、出荷先住所の国および請求先住所の国を示すエンティティまたは属性が含まれている必要があります。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。

4. 国ごとにバケットを作成し、各国に出荷されるトランザクションをカウントするために、新しい複数バケット・パターンをE-Commerceのトランザクションに作成します。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として小売りE-Commerce、「作成方法」として「複数バケット」、「メンバー・タイプ」として「出荷先住所」、「評価優先度」として「高」を選択します。

2. 「属性」タブで新しい属性を追加し、リストから「国」を選択し、「比較演算子」として「各」を選択します。

5. トランザクションの出荷先国が、過去3か月間の他のすべての注文の出荷先の中で5%未満の国であり、出荷先住所の国と請求先住所の国が異なる場合にアラートを生成するルールを作成します。

6. 「OAAMユーザー対すべてのユーザー」ポリシーを開いて、新しいルールを追加します。

7. 「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」条件をルールに追加し、「次より小さいパターン・ヒット率」を5、「メンバーシップのパターン名」を手順4で作成したパターンの名前、「patternHitPercentより少ないメンバーシップ数」を「True」、「パターン・メンバーシップの期間タイプ」を「月」、「パターン・メンバーシップの期間」を3、「パターン・メンバーシップのメンバー・タイプ」を「出荷先住所」に設定します。

8. 「セッション: 2つのパラメータ値の比較」条件をルールに追加し、「パラメータ・キー1」として「Transaction.billingAddress.country」、「操作」として「次と等しくない」、「パラメータ・キー2」として「Transaction.shippingAddress.country」、「大/小文字区別なし」として「True」、「データ無しの場合の戻り値」として「False」を指定します。

9. アラートを生成するために、ルール結果を設定します。

事後条件: ユーザーが請求先住所と異なる国に出荷した場合、かつ出荷先国の使用回数が5%未満である場合、アラートが生成されます。

15.20.16 ユース・ケース: 出荷先住所の国のIPパターン

Mikeはセキュリティ管理者であり、米国内のIPから実行されてナイジェリアに出荷されるE-Commerceのトランザクションで、クレジット・カードの使用が正常かどうかをプロファイリングする必要があります。米国内のどこかにマップされたIPから行われてナイジェリア国内のどこかに出荷されたトランザクションに対してバケットを作成し、使用された各クレジット・カードの件数を管理するためのパターンを作成します。次に、昨年のカードによる注文数が5件以上あり、このパターンで取得された組合せがあり、かつ注文が過去4か月間にこのカードから行われた他のすべての注文の25%未満である場合にアラートを生成するルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。E-Commerceのトランザクションを表すトランザクションがシステムで定義されています。トランザクションに、クレジット・カードを表すエンティティと、IPアドレスから解決された出荷先国およびユーザーの国を示すエンティティまたは属性が含まれている必要があります。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。

4. 米国内のどこかにマップされたIPから行われてナイジェリア国内のどこかに出荷されたトランザクションについて、E-commerceのトランザクションに対する新しい単一バケット・パターンを作成し、これにより使用された各クレジット・カードの件数を管理します。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として小売E-Commerce、「作成方法」として「単一バケット」、「メンバー・タイプ」として「クレジット・カード」、「評価優先度」として「高」を選択します。

2. 「属性」タブで、新しい属性を追加し、リストから出荷先住所の「国」を選択し、「比較演算子」として「次に含まれる」を選択し、「値の比較」にnigeriaと入力します。

3. 「属性」タブで、新しい属性を追加し、リストからIPアドレスの「国」を選択し、「比較演算子」として「次に含まれる」を選択し、「値の比較」にunited statesと入力します。

5. 昨年のカードによる注文数が5件以上あり、このパターンで取得された組合せがあり、かつ注文が過去4か月間にこのカードから行われた他のすべての注文の25%未満である場合にアラートを生成するルールを作成します。

6. 「OAAMユーザー対すべてのユーザー」ポリシーを開いて、新しいルールを追加します。

7. 「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」条件をルールに追加し、「次より小さいパターン・ヒット率」を5、「メンバーシップのパターン名」を手順4で作成したパターンの名前、「patternHitPercentより少ないメンバーシップ数」を「True」、「パターン・メンバーシップの期間タイプ」を「月」、「パターン・メンバーシップの期間」を4、「パターン・メンバーシップのメンバー・タイプ」を「クレジット・カード」に設定します。

8. 「トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認」条件をルールに追加し、「チェックするトランザクションの選択」を小売りE-Commerce、「カウントするエンティティまたは要素の選択」を「クレジット・カード」、「カウントに指定された条件」を「次以上」、「カウントに指定されたチェック値」を5、「継続時間」を1 Rolling years、「現在のトランザクションをカウントで無視しますか。」を「True」、「同じユーザーの場合ですか。」を「False」、「現在のトランザクションにフィルタ・チェックを適用しますか。」を「False」に設定します。

9. アラートを生成するために、ルール結果を設定します。

事後条件: 米国内からログインしたユーザーがナイジェリアを出荷先住所として注文し、その際に過去4か月間に25%以上この方法で使用されていないカードを使用した場合、アラートが生成されます。

15.20.17 ユース・ケース: ブラウザのロケール・パターン

Mikeはセキュリティ管理者であり、ユーザーがアクセスに利用しているブラウザのロケールに基づいてユーザーをプロファイリングする必要があります。ロケール別にユーザーの複数バケット・パターンを作成します。これにより、ロケールごとにバケットが作成されます。次に、このユーザーが以前に使用したことのないロケールが使用された場合にチャレンジを受けるルールを作成します。

前提条件: デフォルトのスナップショットがロードされています。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。

4. 各ブラウザ・ロケールを追跡するために、新しい複数バケット・パターンを認証トランザクションに作成します。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として「インターネット・バンキング」、「作成方法」として「複数バケット」、「メンバー・タイプ」として「カスタマ」、「評価優先度」として「高」を選択します。

2. 「属性」タブで、新しい属性を追加し、リストから「ロケール」を選択し、「比較演算子」として「各」を選択します。

5. 使用されるロケールをこのユーザーがこれまで使用したことがない場合にチャレンジするルールを作成します。

6. 「OAAMユーザー対自分自身」ポリシーを開き、新しいルールを追加します。

7. 「パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです」条件をルールに追加し、「条件がTrue」を「True」、「バケット・メンバーシップの期間タイプ」を「年」、「バケット・メンバーシップの期間」を999、「パターン・バケット・メンバーシップのメンバー・タイプ」を「カスタマ」、「初回件数」を1に設定します。

8. ルール結果「アクション・グループ」を「OAAMチャレンジ」に設定します。

事後条件: これまでに使用したことがないロケールを使用したユーザーは、チャレンジを受けます。

15.20.18 ユース・ケース: 出荷先住所の国別のクレジット・カード・パターン

Mikeはセキュリティ管理者であり、クレジット・カードと商品の出荷先国に基づいてE-Commerceのトランザクションをプロファイリングする必要があります。クレジット・カードおよび出荷先住所の国ごとにバケットを作成し、トランザクションをカウントするためのパターンを作成します。次に、トランザクションでクレジット・カードが5回を超えて使用され、過去3か月間に現在の国に出荷された時間が5%未満であった場合にアラートを生成するルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。E-Commerceのトランザクションを表すトランザクションがシステムで定義されています。トランザクションに、クレジット・カードおよび出荷先住所を表すエンティティが含まれている必要があります。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。

4. 各クレジット・カードと出荷先住所の国に対応した新しい複数バケット・パターンをE-Commerceのトランザクションに作成し、トランザクションをカウントします。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として小売E-Commerce、「作成方法」として「複数バケット」、「メンバー・タイプ」として「クレジット・カード」、「評価優先度」として「高」を選択します。

2. 「属性」タブで新しい属性を追加し、リストから出荷先住所の「国」を選択し、「比較演算子」として「各」を選択します。

5. トランザクションで使用されるクレジット・カードが5種類を超える品物に使用されたことがあり、現在の出荷先国が過去3か月間の出荷先の中で5%未満の国である場合に通知するルールを作成します。

6. 「OAAMユーザー対自分自身」ポリシーを開き、新しいルールを追加します。

7. 「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」条件をルールに追加し、「次より小さいパターン・ヒット率」を5、「メンバーシップのパターン名」を手順4で作成したパターンの名前、「patternHitPercentより少ないメンバーシップ数」を「True」、「パターン・メンバーシップの期間タイプ」を「月」、「パターン・メンバーシップの期間」を3、「パターン・メンバーシップのメンバー・タイプ」を「クレジット・カード」に設定します。

8. 「トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認」条件をルールに追加し、「チェックするトランザクションの選択」を小売りE-Commerce、「カウントするエンティティまたは要素の選択」を「クレジット・カード」、「カウントに指定された条件」を「次より大きい」、「カウントに指定されたチェック値」を5、「継続時間」を3 Rolling months、「現在のトランザクションをカウントで無視しますか。」を「True」、「同じユーザーの場合ですか。」を「False」、「現在のトランザクションにフィルタ・チェックを適用しますか。」を「False」に設定します。

9. アラートを生成するために、ルール結果を設定します。

事後条件: ユーザーが過去3か月間にクレジット・カードに関連付けられていない国に出荷した回数が5%以上であり、そのカードが過去3か月間に使用された回数が5回を超える場合、トランザクションでアラートがトリガーされます。

15.20.19 ユース・ケース: 金額(ドル)の範囲と時間別のクレジット・カード・パターン

Mikeはセキュリティ管理者であり、クレジット・カード、注文の頻度および金額(ドル)の範囲に基づいて、E-Commerceの注文をプロファイリングする必要があります。$10の注文金額範囲ごとにバケットを作成してクレジット・カードをプロファイリングするためのパターンを作成します。次に、クレジット・カード別に注文の頻度範囲をプロファイリングするためのパターンを作成します。次に、トランザクションで過去24時間にクレジット・カードを使用した回数が過去3か月の平均よりも40%多く、過去24時間に同じドル金額範囲バケットに含まれたそのクレジット・カードによる注文数が4件を超えた場合にアラートを生成するルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。E-Commerceのトランザクションを表すトランザクションがシステムで定義されています。トランザクションに、クレジット・カードを表すエンティティと、ドル金額を示すエンティティまたは属性が含まれている必要があります。

1. 管理者としてOAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. コンソールの右上にある「新規パターン」ボタンをクリックします。これにより、新しいパターンを作成するための「新規パターン」ダイアログが表示されます。

4. E-Commerceのトランザクションに対して、$10の注文金額範囲ごとに新しい複数バケットを作成してクレジット・カードをプロファイリングするためのパターンを作成します。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として小売E-Commerce、「作成方法」として「複数バケット」、「メンバー・タイプ」として「クレジット・カード」、「評価優先度」として「高」を選択します。

2. 「属性」タブで、リストからトランザクション金額を選択して新しい属性を追加します。属性の詳細で、「比較演算子」として「範囲」、「開始値」として0、「終了値」を空白、「増分ステップ」として10を選択します。

5. E-Commerceに対して、クレジット・カード別に注文の頻度範囲をプロファイリングするための新しい複数バケット・パターンを作成します。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として小売E-Commerce、「作成方法」として「複数バケット」、「メンバー・タイプ」として「クレジット・カード」、「評価優先度」として「高」を選択します。

2. 「属性」タブで新しい属性を追加し、リストから「日付」を選択し、「比較演算子」として「各」を選択します。

6. トランザクションで最初の24時間に(最初の3か月間には使用されなかった)頻度範囲バケットに含まれたクレジット・カードが使用され、過去24時間に同じドル金額範囲バケットに含まれたそのクレジット・カードによる注文数が4件を超えた場合にアラートを生成するルールを作成します。

7. 「OAAMユーザー対自分自身」ポリシーを開き、新しいルールを追加します。

8. パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです条件をルールに追加し、「メンバーシップのパターン名」を手順4で作成したパターン、「パターン・メンバーシップの期間」を24、「パターン・メンバーシップの期間タイプ」を「時間」、「パターン・メンバーシップのメンバー・タイプ」を「クレジット・カード」、「バケットのヒット件数」を4、「件数の比較演算子」を「次より大きい」、「条件がtrueの場合の戻り値」を「True」、「条件にエラーが発生した場合の戻り値」を「False」に設定します。

9. 「パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」条件をルールに追加し、「次より大きいパターン・ヒット率」を40、「メンバーシップのパターン名」を手順4で作成したパターンの名前、「パターン・メンバーシップの期間タイプ」を「月」、「パターン・メンバーシップの期間」を3、「パターン・メンバーシップのメンバー・タイプ」を「クレジット・カード」に設定します。

10. アラートを生成するために、ルール結果を設定します。

事後条件: クレジット・カードが過去3か月間には使用されなかった24時間頻度バケットに含まれ、過去24時間に同じドル範囲に含まれたトランザクション数が4件ある場合、アラートが生成されます。

16 構成可能なアクションの管理

Oracle Adaptive Access Managerには、Webアプリケーションで処理される多くの標準アクションが用意されています。このような標準アクションには、ブロック、KBAチャレンジ、パスワードTextPadなどがあります。標準アクションは、構成可能なアクションのトリガー・アクションとして使用することもできます。構成可能なアクションは、OAAMサーバーによってトリガーされる外部Javaコードです。カスタマは、希望するカスタム操作を実行するJavaコードを、Oracle Adaptive Access Managerを変更せずに記述できます。構成可能なアクション機能を使用すると、無制限にカスタマイズすることができます。

この章では、構成可能なアクションの構成の概要、アクション・インスタンスを定義、表示、編集および削除する手順、アクション・インスタンスをチェックポイントに関連付ける手順について説明します。

この章では、次の内容を説明します。

- 16.1項「概要と概念」

- 16.2項「構成可能なアクションの作成」

- 16.3項「アクション・テンプレート検索ページへのナビゲート」

- 16.4項「アクション・テンプレートの検索」

- 16.5項「アクション・テンプレートの詳細の表示」

- 16.6項「新規アクション・テンプレートの作成」

- 16.7項「アクション・インスタンス検索ページへのナビゲート」

- 16.8項「アクション・インスタンスの検索」

- 16.9項「アクション・インスタンスの作成およびチェックポイントへの追加」

- 16.10項「カスタム・アクション・インスタンスの作成」

- 16.11項「アクション・テンプレートの編集」

- 16.12項「アクション・テンプレートのエクスポート」

- 16.13項「アクション・テンプレートのインポート」

- 16.14項「アクション・テンプレートのテスト環境からの移行」

- 16.15項「アクション・テンプレートの削除」

- 16.16項「構成可能なアクション・インスタンスのリストの表示」

- 16.17項「アクション・インスタンスの詳細の表示」

- 16.18項「アクション・インスタンスの編集」

- 16.19項「既存のアクション・インスタンスの削除」

- 16.20項「標準の構成可能なアクション」

- 16.21項「ユース・ケース」

16.1 概要と概念

この項では、構成可能なアクションの概念およびOracle Adaptive Access Managerでの構成可能なアクションの使用について説明します。

16.1.1 構成可能なアクション

OAAMでは、チェックポイント実行後に、結果アクションまたはリスク・スコアリング、あるいはその両方に基づいてトリガーされる、構成可能なアクションと呼ばれるアクションを構成できます。構成可能なアクションは、同期モードまたは非同期モードのいずれかで実行されるように指定できます。構成可能なアクションの一例として、チェックポイント実行から結果のアクションとして「ブロック」が返されるたびに送信される電子メールがあります。この場合、「電子メールの送信」が構成可能なアクションで、「ブロック」がトリガー基準となります。同様に、トリガー基準として「リスク・スコア」に基づく構成可能なアクションも可能です。

特定の構成可能なアクションのJavaクラスおよびアクション・テンプレートはOAAMで提供されていますが、特定の要件に基づいてカスタムの構成可能なアクションを開発することもできます。デフォルトの構成可能なアクションを構成する詳細な手順は、16.20項「標準の構成可能なアクション」を参照してください。

16.1.2 アクション・テンプレート

アクション・テンプレートを使用すると、構成可能なアクションの共通詳細を定義できます。アクションに関連付けられているJavaクラスを指定でき、アクションのデフォルトのパラメータ値も指定できます。

構成可能なアクションは、アクション・テンプレートを使用して作成されます。アクション・テンプレートは、Javaクラス・ファイルごとに1つのみ作成できます。ニーズに合ったカスタムJavaクラス・ファイルおよび対応するアクション・テンプレートを作成できます。

たとえば、「グループへの追加」というアクション・テンプレートがある場合、アクション・テンプレートの次のような4つのインスタンスを作成できます。

- ホワイト・リスト・グループへのユーザーの追加

- ブラック・リスト・グループへのユーザーの追加

- IPホワイト・リスト・グループへのIPの追加

- IPブラック・リスト・グループへのIPの追加

アクション・テンプレートを使用して、シナリオに基づくアクション・インスタンスを作成します。たとえば、「ブロック・アクションのたびにケースを作成」というインスタンスや「チャレンジ・アクションのたびにケースを作成」という別のインスタンスを作成できます。

16.1.3 構成可能なアクションのデプロイ

図16-1に、構成可能なアクションのデプロイメントのフロー・チャートを示します。

図16-1 カスタム構成アクションの開発およびデプロイ

注意:

この図には、新規作成したJavaクラスのインストール手順が含まれています。

この章は、トピック別の項で構成されています。以前に構成可能なアクションを構成したことがある場合は、この章を参照として使用します。

ご使用のシステムで構成可能なアクションを有効にするには、次の手順を実行します。

1. 構成可能なアクション・プロパティを有効にします。
dynamicactions.enabledをtrueに設定します。

2. 構成可能なアクションの定義がOracle Adaptive Access Managerデータベースで構成されていることを確認します。カスタム・アクションごとに、対応する定義がOAAMデータベース内に必要です。OAAMに付属している構成可能なアクション・テンプレートは、OAAMのベース環境の設定時にスナップショットをインポートすると、インポートされます。構成可能なアクションを新たに追加する前に、構成可能なアクションのリストを確認できます。

3. どのチェックポイントにどの構成可能なアクションを追加する必要があるのか、およびそれらの構成可能なアクションを実行するための事前条件を明らかにします。

4. 構成可能なアクションをチェックポイントに関連付けます。この手順では、チェックポイントを選択し、このチェックポイントに構成可能なアクションをトリガー基準および実行タイプとともに追加します。追加した構成可能なアクションのすべてのパラメータの値を指定します。

5. 構成可能なアクションがチェックポイントに関連付けられると、チェックポイントのルール実行の完了後に構成可能なアクションがトリガーされるようになります。チェックポイントの実行後に、ルール・エンジンによって、最終アクション、スコアおよびその他の結果アクションを指定する結果が返されます。最終アクションおよびスコアに基づき、関連する構成可能なアクションが、同期モードまたは非同期モードで実行されます。

カスタムの構成可能なアクション

既存の構成可能なアクションで不十分な場合は、カスタムの構成可能なアクションを開発およびデプロイします。構成可能なアクションの開発の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

製品にはいくつかの構成可能なアクションが用意されていますが、特定の要件にあわせてカスタム・テンプレートを開発する必要がある場合があります。

1. カスタム・アクション・テンプレートを定義します。

2. カスタム・アクション・テンプレートをロードします。

16.2 構成可能なアクションの作成

この項では、構成可能なアクションの作成フローを示します。

次の操作を実行できます。

- 既存のアクション・テンプレートを使用するか、または新しいアクション・テンプレートを作成して、構成可能なアクションを作成します。

- アクション・インスタンスを定義し、構成可能なアクションを作成します。

図16-2 「構成可能なアクション」ウィザードのフロー

16.2.1 新規アクション・テンプレートの定義

新規アクション・テンプレートの定義の詳細は、16.6項「新規アクション・テンプレートの作成」を参照してください。

16.2.2 既存のアクション・テンプレートの使用

既存のアクション・テンプレートを使用する場合は、16.4項「アクション・テンプレートの検索」を参照してください。

16.2.3 アクション・インスタンスの作成

アクション・インスタンスの定義の詳細は、16.9項「アクション・インスタンスの作成および作成したインスタンスのチェックポイントへの追加」を参照してください。

16.3 アクション・テンプレート検索ページへのナビゲート

Oracle Adaptive Access Managerでは、アクション・テンプレート検索ページでアクション・テンプレートを管理します。このページでは、アクション・テンプレートを検索、表示、作成、エクスポートおよび削除できます。

1. ナビゲーション・ツリーで、「構成可能なアクション」を開きます。

2. 「アクション・テンプレート」をクリックします。
アクション・テンプレート検索ページが表示されます。

検索ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

16.4 アクション・テンプレートの検索

アクション・テンプレート検索ページでは、検索フィルタに基準を指定して、表示されるアクション・テンプレートの数を絞り込むことができます。

アクション・テンプレートを検索するには:

1. 16.3項「アクション・テンプレート検索ページへのナビゲート」の手順に従って、アクション・テンプレート検索ページを開きます。
アクション・テンプレート検索ページを初めて表示した場合、「検索結果」表には結果が表示されません。

2. 検索フィルタに基準を指定して、アクション・テンプレートを検索します。

3. 「検索」をクリックします。
検索を実行しない場合は、「リセット」をクリックして、検索パラメータをデフォルト設定にリセットします。

表示されるアクション・テンプレートは、「名前」、「Javaクラス名」および「キーワード」フィールドに指定されている基準と一致するテンプレートです(表16-1)。

表16-1 アクション・テンプレートの検索フィルタ基準

フィルタおよびフィールド

説明

名前

アクション・テンプレートの名前。アクション・テンプレートの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、名前の一部にnewを含むアクション・テンプレートが表示されます。

Javaクラス名

Javaクラス・ファイルの完全修飾クラス・パス。

キーワード

説明内のキーワード。

各アクション・テンプレートには名前があります。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。

デフォルトでは、アクション・テンプレートはアクション・テンプレート名でソートされますが、説明やJavaクラス名でソートすることもできます。

「検索結果」表で、対象となるアクション・テンプレートの行をクリックすると、詳細が表示されます。

16.5 アクション・テンプレートの詳細の表示

アクション・テンプレート検索ページの「検索結果」表で、対象となるアクション・テンプレートの行をクリックすると、そのアクション・テンプレートの詳細が表示されます。アクション・テンプレート詳細ページでは、Javaクラス名、アクション名、説明およびJavaクラス・パラメータといったケースの一般詳細が提供されます。

アクション・テンプレートの詳細を表示するには:

1. 16.4項「アクション・テンプレートの検索」の説明に従って、アクション・テンプレートを検索します。

2. 「結果」表で、対象となるアクション・テンプレートの行をクリックします。アクション・テンプレート詳細ページが開きます。
フィールドにはデフォルト値が事前移入されています。

パラメータの値、アクション名および説明は編集できますが、Javaクラス名は編集できません。

16.6 新規アクション・テンプレートの作成

新規アクション・テンプレートを定義するには:

1. 構成可能なアクション・テンプレートのJavaクラス・ファイルを作成します。

2. Javaクラス・ファイルをコピーします。
これで、アクション・テンプレートを作成できるようになりました。

アクション・テンプレートは、クラス・ファイルごとに1つのみ作成できます。

3. 16.3項「アクション・テンプレート検索ページへのナビゲート」の手順に従って、アクション・テンプレート検索ページを開きます。

4. アクション・テンプレート検索ページで「新規アクション・テンプレート」をクリックします。
作成ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

「新規アクション・テンプレート」ページが表示され、詳細を入力してアクション・テンプレートを作成できます。

5. 「Javaクラス名」フィールドに、構成可能なアクションの完全修飾クラス・パスを入力します。
構成可能なアクションの作成時に、Javaクラスは作成されています。構成可能なアクションの作成の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

Javaクラスの例:

com.bharosa.vcrypt.tracker.dynamicactions.impl.AddItemToWatchListAction

完全修飾Javaクラス名を入力する必要があります。

誤ったJavaクラス名を入力すると、「パラメータのロード」をクリックしたときにエラーが発生します。

また、Javaクラスが適切なディレクトリにあることを確認する必要があります。

6. 「パラメータのロード」をクリックします。
Oracle Adaptive Access Managerによりパラメータのリストが取得され、名前、ラベル、タイプおよび値が表示されます。

次の表に、パラメータの例を示します。

名前

ラベル

タイプ

値

アイテム・タイプ

アイテム・タイプ:

文字列

value

監視リスト名

監視リスト名を入力してください:

文字列

value

ホワイト・リスト名

ホワイト・リスト名を入力してください:

文字列

value

ブラック・リスト名

ブラック・リスト名を入力してください:

文字列

value

アクション・テンプレートは、Javaクラス・ファイルごとに1つのみ作成できます。同じJavaクラス・ファイルを使用してアクション・テンプレートを作成しようとすると、「パラメータのロード」をクリックした後に警告が表示されます。

7. 「アクション名」フィールドにアクションの名前を入力します。

8. 「説明」フィールドに、アクションの説明を入力します。

9. パラメータの値を入力します。
すべてのパラメータの値は必須です。すべての値を入力するまで、テンプレートは保存できません。

10. 「適用」をクリックします。
「アクション・テンプレートは正常に作成されました」というメッセージが表示されます。

11. 「OK」をクリックしてダイアログ・ボックスを閉じます。

アクション・テンプレートの定義後の次の手順は、アクション・インスタンスの構成です。単一のアクション・テンプレートに複数のインスタンスを指定できます。アクション・インスタンスの構成の詳細は、16.9項「アクション・インスタンスの作成およびチェックポイントへの追加」を参照してください。

16.7 アクション・インスタンス検索ページへのナビゲート

Oracle Adaptive Access Managerでは、アクション・インスタンス検索ページで構成可能なアクションを管理します。このページでは、アクション・インスタンスを検索、表示、作成、アクティブ化、非アクティブ化および削除できます。

1. ナビゲーション・ツリーで、「構成可能なアクション」を開きます。

2. 「アクション・インスタンス」をクリックします。
アクション・インスタンス検索ページが表示されます。

検索ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

16.8 アクション・インスタンスの検索

アクション・インスタンス検索ページでは、検索フィルタに基準を指定して、表示される構成可能なアクション・インスタンスの数を絞り込むことができます。

アクション・インスタンスを検索するには:

1. 16.7項「アクション・インスタンス検索ページへのナビゲート」の説明に従って、アクション・インスタンス検索ページを開きます。

2. 検索フィルタに基準を指定して、アクション・インスタンスを検索します。

3. 「検索」をクリックします。

表示されるアクション・インスタンスは、「名前」、「チェックポイント」、「キーワード」および「実行タイプ」フィールド(表16-2)に指定された基準を満たすアクション・インスタンスです。

表16-2 アクション・インスタンスの検索フィルタ基準

フィルタおよびフィールド

説明

名前

構成可能なアクション・インスタンスの名前。完全な名前、または名前の一部を入力できます。

チェックポイント

ポリシー内のルールが実行される、セッション内で指定されている時点。たとえば、認証前、認証後、セッション中などがあります。

実行タイプ

実行タイプには、「同期」および「非同期」の2つがあります。

- 同期アクションは、優先度の昇順で実行されます。たとえば、CSRケースを作成してケースIDとともに電子メールを送信する場合は、同期アクションを選択します。同期アクションは即時にトリガー(実行)されます。
アクションが順次実行されており、順序内のアクションの1つがトリガーされない場合でも、その他のアクションはトリガーされます。

- 非同期アクションは、実行のためにキューに入れられていますが、特定の順序はありません。たとえば、電子メールを送信するか、アクションを実行するときに、即時実行せず、実行順序にこだわらない場合は、非同期アクションを選択します。

キーワード

説明内のキーワード。

各アクション・インスタンスには名前があります。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。

「結果」表で、対象となるアクション・インスタンスの行をクリックして、アクション・インスタンス詳細ページを表示します。

16.9 アクション・インスタンスの作成およびチェックポイントへの追加

アクション・インスタンスを作成するには、この項の手順を実行します。

アクション・インスタンスの作成およびチェックポイントへの関連付け

1. 16.7項「アクション・インスタンス検索ページへのナビゲート」の説明に従って、アクション・インスタンス検索ページを開きます。

2. 「新規アクション・インスタンス」をクリックします。
作成ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

「新規アクション・インスタンス」ページが表示されます。

3. アクション・インスタンス・テンプレートの詳細の横にある「アクション・テンプレートの選択」をクリックします。

4. 「既存のアクション・テンプレート」ページで、テンプレートを選択し、「OK」をクリックします。

5. 「アクション・インスタンス」セクションで、アクション・インスタンスの値を入力します。

- 名前

- 説明

- ログ・レベル
ログ・レベルは、インスタンスの実行ステータスを記録する必要があるかどうかを示します。

- 「無効化」にするとロギングがオフになります。

- 「有効化」にするとロギングがオンになります。

- 「エラーの場合にログ」にすると、エラーが発生した場合にロギングがオンになります。
エラーがある場合にのみ、実行ステータスがログに記録されます。それ以外の場合は、インスタンスのトリガーはログに記録されません。

- 構成可能なアクションを関連付けるチェックポイント
たとえば、チェックポイントをトランザクション前(カスタム・チェックポイント)にすることができます。

構成可能なアクションの実行タイプの選択

1. 2つの実行タイプ「同期」と「非同期」のいずれかを選択します。
同期アクションは、優先度の昇順で実行されます。

ルール・アクションがトリガーされた直後にアクションが実行されるように、実行タイプとして「同期」を選択します。

同期実行タイプでは、アクションが順次実行されており、順序内のアクションの1つがトリガーされない場合でも、その他のアクションはトリガーされます。

また、同期アクションを使用して、構成可能なアクション間でデータを渡したり、共有できます。これは、カスタムの構成可能なアクションを開発する場合に役立ちます。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』の構成可能なアクションに関する説明を参照してください。

非同期アクションは、実行のためにキューに入れられており、不特定の順序で実行されます。

2. 実行タイプが「同期」の場合は実行順序を入力します。
優先度はチェックポイント内で一意です。実行順序が一意ではない場合、エラーが表示されます。

3. 実行タイプが「非同期」の場合は、「アクション優先度」および「有効時間」を選択します。
アクションは、アクション優先度に基づいて異なるキューに入れられます。キューの次のアクションを実行するタイミングになると、優先度の高いアクションが最初に実行されます。

「有効時間」は、アクションが破棄されるまでの最大待機時間を示します。

構成可能なアクションの事前条件の入力

1. トリガー基準を選択します。
トリガー基準によって、セッション内のアクションをトリガーするタイミングが決定されます。

基準はスコアまたはアクション(またはその両方)である必要があります。これらは、選択されたチェックポイントの値に対して比較されます。

- 評価されたアクションが指定されたアクションに一致する場合、構成可能なアクションがトリガーされます。

- 指定された範囲のスコアがルール・エンジンから返された場合、構成可能なアクションが実行されます。

たとえば、アクション・タイプがブロックの場合に必ずケースを作成するようにする場合、Oracle Adaptive Access Managerではポリシーにブロックのアクションが含まれる場合に必ずケースを作成します。スコアが500より大きい場合に必ずケースを作成するようにする場合、Oracle Adaptive Access Managerではその特定のセッション内でスコアが500より大きい場合にケースを作成します。

アクションおよびスコアの両方が指定された場合は、両方の基準がルール・エンジンの結果に一致する場合にのみ、構成可能なアクションが実行されます。

2. アクションの値を入力します。
アクションを選択します。たとえば、ルール・エンジンがアクションとして「許可」を返した場合に、アクション・インスタンスが実行されるというトリガー基準にすることができます。

通常、ルール・エンジンからのアクションは、「許可」、「ブロック」、「PasswordTextPad」などとなります。

この例では、アクション・トリガーとして「チャレンジ」が選択されています。ルール結果としてKBAチャレンジが返された場合に、構成可能なアクションがトリガーされます。

3. このアクションを最終アクションにする場合は、「これが最終アクションの場合のみ」を選択します。
この例では、最終アクションではない場合でも構成可能なアクションがチャレンジに対してトリガーされるように、「これが最終アクションの場合のみ」は選択されていません。

4. スコア範囲を選択します。
通常、ルール・エンジンからのスコアは、0から1000の数値です。

範囲を選択します。たとえば、ルール・エンジンがxからyの間のスコアを返す場合に構成可能なアクションが実行されるようにします。

5. アクションに関連するすべてのパラメータの値を入力します。
この例では、「監視リスト名」がAmtTransferSuspectedListに変更されています。

変更の適用

変更を適用するには:

1. 「適用」をクリックします。
アクション・インスタンスが正常に作成されると、確認が表示されます。

2. 「OK」をクリックしてダイアログ・ボックスを閉じます。

16.10 カスタム・アクション・インスタンスの作成

カスタム・アクション・インスタンスを追加するには、次の手順を実行する必要があります。

1. com.bharosa.vcrypt.tracker.dynamicactions.intf.DynamicAction Javaインタフェースを実装して、アクション・インスタンスを開発します。

注意:

実装とは、Javaインタフェースcom.bharosa.vcrypt.tracker.dynamicactions.intf.DynamicActionで指定されている規定に基づいてJavaコードを記述することです。

2. アクション・インスタンスの実装を詳細にテストします。

3. Javaクラスをコンパイルし、コンパイル済クラス・ファイルのJARファイルを作成します。

4. Oracle Adaptive Access Managerを拡張またはカスタマイズして、カスタムJARを追加します。
Oracle Adaptive Access ManagerへのカスタムJARの追加の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

5. OAAMサーバーとOAAM管理サーバーを再起動します。

6. OAAM管理コンソールにログインし、新しくデプロイされた構成可能なアクションのアクション定義エントリを作成します。

7. 構成可能なアクションに必要なすべてのパラメータがユーザー・インタフェースに表示されていることを確認します。

8. 新しく使用可能になった構成可能なアクションを必要なチェックポイントに追加して使用します。

16.11 アクション・テンプレートの編集

特定のアクション・テンプレートの詳細を編集するには:

1. 16.4項「アクション・テンプレートの検索」の説明に従って、アクション・テンプレートを検索します。

2. 「結果」表で、対象となるアクション・テンプレートの行をクリックします。アクション・テンプレート詳細ページが開きます。
デフォルト値は、アクション・テンプレート詳細ページに事前移入されています。

3. アクション・テンプレートのパラメータ、アクション名および説明の値を編集します。

16.12 アクション・テンプレートのエクスポート

アクション・テンプレートをエクスポートするには:

1. 16.4項「アクション・テンプレートの検索」の説明に従って、アクション・テンプレートを検索します。

2. エクスポートする各アクション・テンプレートの行を選択します。

3. 「エクスポート」ボタンをクリックするか、または「アクション」メニューの「選択項目のエクスポート」を選択します。

4. 「アクション・テンプレートのエクスポート」ダイアログで「エクスポート」をクリックします。

5. 「保存」ダイアログで「OK」をクリックします。

16.13 アクション・テンプレートのインポート

アクション・テンプレートをインポートするには:

1. 16.3項「アクション・テンプレート検索ページへのナビゲート」の手順に従って、アクション・テンプレート検索ページを開きます。

2. アクション・テンプレート検索ページで、「インポート」をクリックします。

3. アクション・テンプレートのインポート・ダイアログで、「参照」をクリックし、インポートするアクション・テンプレート・ファイルを検索します。

4. 「OK」をクリックします。

16.14 アクション・テンプレートのテスト環境からの移行

アクション・テンプレートをテスト環境から本番環境に移行するには、次の作業を実行します。

1. アクション・テンプレートをテスト環境からエクスポートします。16.12項「アクション・テンプレートのエクスポート」を参照してください。

2. アクション・テンプレートをターゲット・システムにインポートします。16.13項「アクション・テンプレートのインポート」を参照してください。

3. 構成可能なアクションがカスタマイズされたアクションの場合は、手順1および2をスキップします。OAAM拡張共有ライブラリ(oracle.oaam.extensions.war)を使用して、構成可能なアクションおよび関連するJARをパッケージ化し、WARファイルをターゲット・システムにデプロイします。
カスタムJARの追加の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のOracle Adaptive Access Manager拡張共有ライブラリを使用したカスタマイズまたは拡張機能の追加に関する項を参照してください。

注意:

11g以降では、カスタムJARをOAAM webappフォルダにコピーしないでください。

10gアクション・テンプレートの11gへの移行

11gでは、アクション・テンプレートのユーザー・インタフェースから「ノート」フィールドが削除されています。「ノート」フィールドに、10gアクション・テンプレートのテキストが含まれている場合、11gへの移行後に、そのノートが説明テキストに追加(結合)されます。

16.15 アクション・テンプレートの削除

アクション・テンプレートを削除するには:

1. 16.4項「アクション・テンプレートの検索」の説明に従って、アクション・テンプレートを検索します。

2. 削除する各アクション・テンプレートの行を選択し、「アクション」メニューのアクション・テンプレートの削除を選択します。

削除するために選択したアクション・テンプレートがチェックポイントで使用されている場合は、構成可能なアクションが現在チェックポイントで使用されていることを示すエラーが表示されます。

削除するアクション・テンプレートが複数選択されており、選択されている一部のアクション・テンプレートのインスタンスを含むチェックポイントがある場合は、インスタンスがチェックポイントにリンクされているため削除できないことを示す警告メッセージが表示されます。リンク解除されたアクション・テンプレートは削除できます。

16.16 構成可能なアクション・インスタンスのリストの表示

1. 16.7項「アクション・インスタンス検索ページへのナビゲート」の説明に従って、アクション・インスタンス検索ページを開きます。

2. 検索フィルタで、すべてのアクション・インスタンスを表示するチェックポイントを選択するか、または「すべて」を選択してチェックポイントのすべてのアクション・インスタンスを表示します。

3. 「検索」をクリックします。
「結果」表にアクション・インスタンスのリストが表示されます。

特定のインスタンスを表示する場合は、対象となるアクション・インスタンスの行をクリックします。アクション・インスタンス詳細ページが表示されます。

16.17 アクション・インスタンスの詳細の表示

アクション・インスタンスの詳細を表示するには:

1. 16.7項「アクション・インスタンス検索ページへのナビゲート」の説明に従って、アクション・インスタンス検索ページを開きます。

2. 表示するアクション・インスタンスの行をクリックします。
アクション・インスタンスの詳細ページが表示されます。

16.18 アクション・インスタンスの編集

アクション・インスタンスを編集するには:

1. 16.7項「アクション・インスタンス検索ページへのナビゲート」の説明に従って、アクション・インスタンス検索ページを開きます。

2. 編集するアクション・インスタンスをクリックします。

3. 「アクション・インスタンス」セクションで、アクション・インスタンスの値を変更します。

- 名前

- 説明

- ログ・レベル

- チェックポイント

4. 実行タイプを変更します。

5. トリガー基準を変更します。

6. アクションに関連するすべてのパラメータの値を入力します。

7. 変更を適用します。

16.19 既存のアクション・インスタンスの削除

アクション・インスタンスを削除するには:

1. 16.7項「アクション・インスタンス検索ページへのナビゲート」の説明に従って、アクション・インスタンス検索ページを開きます。

2. 検索フィルタで、すべてのアクション・インスタンスを表示するチェックポイントを選択するか、または「すべて」を選択してチェックポイントのすべてのアクション・インスタンスを表示します。

3. 「検索」をクリックします。

4. 削除する既存のアクション定義の横のチェック・ボックスを選択します。

5. 「削除」をクリックします。

チェックポイントに関連付けられているアクションは削除できません。

16.20 標準の構成可能なアクション

次の標準の構成可能なアクションが使用可能です。

- CaseCreationAction: ケースの作成に使用されます。

- AddItemToWatchListAction: 監視リストへのアイテムの追加に使用されます。

これらの構成可能なアクションをチェックポイントに対して構成するには、構成可能なアクションの定義を追加する必要があります。

注意:

システム提供の構成可能なアクションを使用するには、構成可能なアクションの定義をインポートする必要があります。14.5項「スナップショットのインポート」を参照してください。

16.20.1 CaseCreationActionの定義

CaseCreationActionを定義するには:

1. セキュリティ管理者としてログインします。

2. ナビゲーション・ツリーで、「構成可能なアクション」を開きます。

3. 「アクション・テンプレート」をクリックします。
アクション・テンプレート検索ページが表示されます。

4. アクション・テンプレート検索ページで「新規アクション・テンプレート」をクリックします。
「新規アクション・テンプレート」ページが表示され、詳細を入力してアクション・テンプレートを作成できます。

5. 構成可能なアクションのJavaクラス名を次のように入力します。

com.bharosa.vcrypt.tracker.dynamicactions.impl.CaseCreationAction

6. 「アクション名」フィールドにCaseCreationActionの名前を入力します。

7. 「説明」フィールドに、CaseCreationActionの説明を入力します。

8. 「ケース・タイプ」パラメータに、CSRケースの場合は1を、エージェント・ケースの場合は2を入力します。

9. 「重大度」パラメータに、低の場合は1を、中の場合は2を、高の場合は3を入力します。

10. ケースの作成時に設定される必要がある「ケースの説明」の値を入力します。

11. 「ケース作成者のユーザーID」にuserIdを入力します。ユーザーIDにケースを作成するための適切なロールおよびアクセス権があることを確認してください。

16.20.2 AddItemtoListActionの定義

AddItemToListActionを定義するには:

1. セキュリティ管理者としてログインします。

2. ナビゲーション・ツリーで、「構成可能なアクション」を開きます。

3. 「アクション・テンプレート」をクリックします。
アクション・テンプレート検索ページが表示されます。

4. アクション・テンプレート検索ページで「新規アクション・テンプレート」をクリックします。
「新規アクション・テンプレート」ページが表示され、詳細を入力してアクション・テンプレートを作成できます。

5. Javaクラス名として、com.bharosa.vcrypt.tracker.dynamicactions.impl.AddItemToWatchListActionを入力します。

6. 「アクション名」フィールドにAddItemToWatchListの名前を入力します。

7. 「説明」フィールドに、アクションの説明を入力します。

8. 「アイテム・タイプ」パラメータに、次のいずれかを入力します。

- vtusers: 現在のセッションのUserIdを監視リストに追加する必要がある場合

- devices: 現在のセッションのDeviceIdを監視リストに追加する必要がある場合

- ips: 現在のセッションのIPアドレスを監視リストに追加する必要がある場合

- countries: 現在のセッションの国IDを監視リストに追加する必要がある場合

- states: 現在のセッションの都道府県IDを監視リストに追加する必要がある場合

- cities: 現在のセッションの市区町村IDを監視リストに追加する必要がある場合

- userLogin: 現在のセッションのLoginIdを監視リストに追加する必要がある場合

9. 「監視リスト名」パラメータに、監視リストの名前を入力します。同じ名前を持つグループがあることを確認します。

10. 「ホワイト・リスト名」パラメータにホワイト・リストの名前を入力します。同じ名前を持つグループがあることを確認します。アクションによってこのリストが確認されてから、アイテムが監視リストに追加されます。
ホワイト・リストにアイテムが存在する場合、そのアイテムは監視リストには追加されません。

11. 「ブラック・リスト名」パラメータに監視リストの名前を入力します。同じ名前を持つグループがあることを確認します。アクションによってこのリストが確認されてから、アイテムが監視リストに追加されます。
ブラックリストにアイテムが存在する場合、そのアイテムは監視リストには追加されません。

16.20.3 グループへの追加

グループにアイテムを追加するJavaクラスは次のとおりです。

com.bharosa.vcrypt.tracker.dynamicactions.impl.AddToListConfigurableAction

16.20.4 MoveItemBetweenListsアクションの定義

リストにアイテムを移動するアクションを定義するには:

1. セキュリティ管理者としてログインします。

2. ナビゲーション・ツリーで、「構成可能なアクション」を開きます。

3. 「アクション・テンプレート」をクリックします。
アクション・テンプレート検索ページが表示されます。

4. アクション・テンプレート検索ページで「新規アクション・テンプレート」をクリックします。
「新規アクション・テンプレート」ページが表示され、詳細を入力してアクション・テンプレートを作成できます。

5. Javaクラス名として、com.bharosa.vcrypt.tracker.dynamicactions.impl.MoveItemBetweenListsActionを入力します。

6. 「アクション名」フィールドに「リスト間でアイテムを移動します」の名前を入力します。

7. 「説明」フィールドに、アクションの説明を入力します。

8. 「アイテム・タイプ」パラメータに、次のいずれかを入力します。

- vtusers - 現在のセッションのUserIdを移動する必要がある場合

- devices - 現在のセッションのDeviceIdを移動する必要がある場合

- ips - 現在のセッションのIPアドレスを移動する必要がある場合

- countries - 現在のセッションの国IDを移動する必要がある場合

- states - 現在のセッションの都道府県IDを移動する必要がある場合

- cities - 現在のセッションの市区町村IDを移動する必要がある場合

- userLogin - 現在のセッションのLoginIdを移動する必要がある場合

9. 「元リスト名」パラメータに元リストの名前を入力します。同じ名前を持つグループがあることを確認します。

10. 「宛先リスト名」パラメータに宛先リストの名前を入力します。同じ名前を持つグループがあることを確認します。

11. 「ホワイト・リスト名」パラメータにホワイト・リストの名前を入力します。同じ名前を持つグループがあることを確認します。

12. 「ブラック・リスト名」パラメータにブラック・リストの名前を入力します。同じ名前を持つグループがあることを確認します。

16.21 ユース・ケース

この項では、構成可能なアクションのサンプル・ユース・ケースについて説明します。

16.21.1 ユース・ケース: デバイスのブラック・リストへの追加

JeffはDollar Bankのセキュリティ管理者です。彼は、ブラックリストに記載されている国からのログイン試行の失敗が1か月以内に3回を超えたデバイスをブラックリスト・グループに追加するアクションを構成する必要があります。

たとえば、本日、ブラックリストに記載された国のデバイスからのログイン試行が2回あり、2週間前に同じデバイスからのログイン試行が2回あった場合、この構成可能なアクションによって、このデバイスは自動的にグループに追加されます。

アクションを構成するには:

1. グループ内メンバーシップを評価するデバイス・ルールを検索します。
最大件数チェックまたは認証ステータス・チェックを持つルールを検索します。

2. ルールが存在しない場合は、作成します。

1. 一般セキュリティ・ルールで使用されている既存の認証後ポリシーを検索します。

2. ルールを作成し、追加します。

3. add device to black listという名前の新規トリガー・アクション列挙およびそのアクション・グループを構成します。

4. グループ内にブロック・アクションを追加します。

5. デバイスをブラック・リスト・グループに追加するadd device to black listでトリガーする構成可能なアクションを構成します。

16.21.2 デバイスの監視リスト・アクションへの追加の例

JeffはDollar Bankのセキュリティ管理者です。彼は、ログイン試行の失敗が1か月以内に3回を超えたデバイスを監視リスト・グループに追加するアクションを構成する必要があります。必要なルールから開始します。グループ内メンバーシップを評価するデバイス・ルールを検索します。グループ内デバイス用のルールを1つ見つけましたが、このルールには最大件数チェックまたは認証ステータス・チェックがありません。Jeffはルールを作成することにしました。一般セキュリティ・ルールで使用されている既存の認証後ポリシーを検索して、ルールを作成し、追加します。また、Jeffは「add device to watch list」という名前の新規トリガー・アクション列挙およびそのアクション・グループを構成します。グループ内にブロック・アクションも追加します。次に、Jeffはデバイスを監視リスト・グループに追加する「add device to watch list」アクションでトリガーする構成可能なアクションを構成します。本日、北朝鮮のデバイスからのログイン試行が2回あり、2週間前に同じデバイスからのログイン試行が2回あったため、この構成可能なアクションによって、このデバイスは自動的にグループに追加されました。

実装上の注意:

要件を実装するには、次の手順を実行します。

1. ホワイトリストに記載済またはブラックリストに記載済として分類する前に監視する必要があるデバイスを格納する「Device Watch List」という名前のグループを作成します。

2. 同様に、「Device While List」および「Device Black List」という名前のグループを作成します。

3. 「add_device_to_watch_list」という名前のカスタム・ルール・アクションを作成します。

4. ルール条件「ユーザー: ログイン数の確認」とともにルールを認証前チェックポイントのポリシーに追加します。30日以内にログイン試行の失敗が3回を超えた場合にアクション「add_device_to_watch_list」をトリガーし、返すように構成します。

5. 次に、アクション・テンプレート「AddItemToWatchListAction」のアクション・インスタンスを作成して認証前チェックポイントに関連付けます。

6. 「add_device_to_watch_list」アクションを選択してトリガー基準をアクションとして設定し、スコア範囲を0から1000と設定します。

7. このリストにはdeviceidが追加される必要があるため、「アイテム・タイプ」パラメータの値をdevicesに設定します。

8. 「監視リスト名」パラメータの値をDevice Watch Listに設定します。

9. 「ブラック・リスト名」パラメータの値をDevice White Listに設定します。

10. 「ホワイト・リスト名」パラメータの値をDevice Black Listに設定します。

11. アクション・インスタンスを保存します。

ルールによって、「add_device_to_watch_list」がルール・アクションとしてトリガーされ、返されるようにログインをシミュレートします。この場合、現在のデバイスが「Device Watch List」に追加されます。

16.21.3 カスタム構成アクションの例

Jeffはセキュリティ管理者です。彼はテスト環境でカスタムの構成可能なアクションを定義しました。ここでは、カスタム・アクション・テンプレートをテスト環境からエクスポートして本番環境にインポートする必要があります。(ヒント: インポート・アクションの前にカスタムJAR(カスタム・クラス)を手動でリンクする必要があります。リンクしない場合、インポートが失敗します。11gでは、カスタムJARをOAAM拡張共有ライブラリに追加して、これを行います。変更内容を有効にするには、サーバーを再起動する必要があります)

実装上の注意:

ユース・ケースを実現するには、次の手順を実行します。

1. Jeffは、com.bharosa.vcrypt.tracker.dynamicactions.intf.DynamicAction Javaインタフェースを実装するJavaクラスを記述することによって、カスタムの構成可能なアクションを実装します。

2. クラスをコンパイルするには、$IDM_ORACLE_HOME\oaam\native\java\libフォルダのOracle Adaptive Access Manager JARをリンクします。

3. 次に、カスタムの構成可能なアクションをテストして、適切に機能することを確認します。

4. このクラスをJARファイルとしてパッケージ化し、$IDM_ORACLE_HOME\oaam\oaam_extensions\genericフォルダにあるOAAM拡張共有ライブラリの構造に従って共有ライブラリを作成する必要があります。

5. 既存のoracle.oaam.extensions共有ライブラリを上書きするか、または異なる実装バージョンの拡張共有ライブラリをデプロイする必要があります。

6. これで、カスタムの構成可能なアクションのアクション・テンプレートおよびアクション・インスタンスを作成できます。

7. これをテストするには、アクション・インスタンスを作成してチェックポイントに関連付け、トリガー基準を設定し、OAAMサーバーからのログイン(セッション)をシミュレートしてカスタムの構成可能なアクションをトリガーする必要があります。

8. テストが完了したら、カスタム・アクション・テンプレートをエクスポートできます。

9. これで、カスタム・アクション・テンプレートおよびカスタムの構成可能なアクションに関連付けられているカスタムJavaコードを含む共有ライブラリをエクスポートしました。

10. 共有ライブラリを使用してOAAM拡張共有ライブラリを再デプロイすることによってカスタムの構成可能なアクションをデプロイし、エクスポート・ファイルからカスタムの構成可能なアクション・テンプレートをインポートできます。

16.21.4 ユース・ケース: ケースの作成

Mattはセキュリティ管理者です。ユーザーが過去1か月の間に4回以上ブロックされた場合に自動的にエージェント・ケースが作成される構成可能なアクションを構成する必要があります。不正調査担当者はこのようなケースを使用して、ユーザーがリスクの高いユーザーであるかどうかを決定します。

実装上の注意:

要件を実装するには、次の手順を実行します。

1. Create customer care caseという名前のカスタム・ルール・アクションを作成します。

2. ルール条件「ユーザー: ログイン数の確認」とともにルールを認証後チェックポイントのポリシーに追加します。30日以内にユーザーが4回以上ブロックされた場合にアクションCreate customer care caseをトリガーし、返すように構成します。

3. 次に、アクション・テンプレートCaseCreationActionのアクション・インスタンスを作成して認証後チェックポイントに関連付けます。

4. Create customer care caseアクションを選択してトリガー基準をアクションとして設定し、スコア範囲を0から1000と設定します。

5. CaseCreationActionのパラメータを次のように設定します。

1. 「ケース・タイプ」パラメータの値として2を入力します。

2. 「重大度」パラメータの値として2 (中)または3 (高)を入力します。

3. 「ケースの説明」パラメータの値を入力します。

4. 「ケース作成者のユーザーID」パラメータにユーザーIDを入力します。userIdに、ケースを作成するための適切なロールおよびアクセス権があることを確認します。

6. アクション・インスタンスを保存します。

7. 3回以上のブロックでこれがトリガーされ、返されるようにユーザーのログインを数回試行します。

8. 3番目のブロック後に、構成可能なアクションによってエージェント・ケースが自動的に作成されます。

17 予測分析

Oracle Adaptive Access Managerの予測分析機能は、データ・マイニングやデータ分析アルゴリズムなどのODM機能を統合する、標準の予測分析アプリケーションを使用して統計リスク分析をリアルタイムで実行できるようにすることによって、構成可能なルールおよび動作に関するプロファイリングを補完します。リスク分析は、時間とともにトレーニングされます。

この章には次の項が含まれます:

- 17.1項「重要な用語」

- 17.2項「前提条件」

- 17.3項「初期設定」

- 17.4項「フィードバックを提供し、トレーニング・データを更新するためのODMモデルの再作成」

- 17.5項「ポリシーの評価」

- 17.6項「予測分析ルール条件のチューニング」

- 17.7項「カスタム・データベース・ビューの追加」

- 17.8項「カスタム付与の追加」

- 17.9項「新規ODMモデルの追加」

- 17.10項「カスタム入力データ・マッピングの追加」

17.1 重要な用語

この項では、予測分析の重要な用語について説明します。

17.1.1 予測分析

予測分析では、将来のイベントを予測するために、統計、データ・マイニングおよびゲーム理論の様々な技術を利用して、現在のファクトと履歴ファクトを分析します。

- 個々のユーザーの動作のプロファイリング: ユーザーの過去の動作を取得済の場合に、エンド・ユーザーのログイン動作が、過去の動作と比較して現在どれだけ異常であるかを判別するために、エンド・ユーザーのログイン動作が評価されます。

- 個々のデバイスのプロファイリング: ログインに使用されるデバイスの動作は、過去の動作が記録されていた場合、過去の動作と比較して現在どれだけ異常であるかを判別するために評価されます。

- 新規デバイスのプロファイリング: デバイスにプロファイリングする履歴データがない場合、デバイスにどれだけリスクがあるかを判別するために予測技術が使用されます。

- ユーザー・タイプおよびロケーション・プロファイリング: 予測モデルでは、個々のユーザーではなくユーザーのタイプ(グループ、組織ID)に基づいて異常の度合いが評価されます。

- ユーザー・タイプおよび時間プロファイリング: ロケーション・プロファイリングと同様に、時間プロファイリングでは、特定のユーザーの履歴データがあまりないが、同じタイプのユーザーに関連する本番データがある場合、動作の異常を識別するために予測技術が使用されます。

17.1.2 データ・マイニング

データ・マイニングとは、大量の保管データを自動的に検索して、単純な分析では得られない複雑なパターンや傾向を見つける手続きです。データ・マイニングでは高度な数学的アルゴリズムを使用して、データを分割し、将来のイベントの発生確率を判断します。データ・マイニングは、データからの知識発見(KDD)としても知られています。

データ・マイニングを行うと、単純な問合せや報告技術では解決できない問題を解決できます。

17.1.3 ODM

Oracle Data Mining (ODM)は、Oracle Database 11g Enterprise Editionの標準機能を拡張するオプションです。ODMは、予測および異常検出用のデータ・マイニング・アルゴリズムとデータ分析アルゴリズムを実装し、データベース内でのデータ・マイニング・モデルのデプロイメントを可能にします。ODMオプションは個別のコンポーネントではなく、機能がOracle Databaseカーネルに組み込まれており、データベース表に格納されたデータを処理します。分析するためにデータをデータベースからファイルに移動し、格納するためにファイルからデータベースに戻す必要はありません。データがデータベースの外部に出ることはなく、データ、データ準備、モデル作成およびモデルのスコアリングの結果は、すべてデータベースに残ります。

17.1.4 予測モデル

予測モデルは、監視される学習機能です。OAAMでは予測モデルを使用して分析が微調整され、モデルのトレーニングの進むにつれてリスク分析がより正確になります。標準の予測モデルは2通りの方法でトレーニングされます(異常検出モデルは履歴アクセス・データを供給されたときに自動的にトレーニングされ、不正分類モデルは人間の不正調査担当者の検索によってトレーニングされます)。必要に応じて、特定のデプロイメントのユース・ケースに合わせて追加モデルを構成できます。予測リスク分析のこのアプローチを使用して、結果がどの決定に基づいているかを明確に確認し、必要に応じて拡張できます。

17.2 前提条件

予測分析機能をアクティブ化する前に、次の前提条件が満たされていることを確認します。

- Oracle 11g Enterprise Editionリリースのデータベースが使用されています。

- Oracle Data Mining (ODM)オプション

- アイデンティティ管理スイートがインストールされています。

- 通常の様々なOAAMセッションを表す、妥当な量(少なくとも100)のOAAMセッションが存在します。

- エージェント・ケース機能を使用して「不正」および「不正ではない」と分類される、少なくとも100以上のセッションが存在します。

注意:

セッションを「不正」/「不正ではない」としてマークするには、セッションをリンクするエージェント・ケースを作成し、「確認済不正」または「不正ではない」の処置とともにエージェント・ケースをクローズします。

テストを目的とする場合、セッションを「不正」または「不正ではない」としてマークするための基準に注意してください。これは、ODM (Oracle Data Mining)モデルはその基準をトレーニング・データとして使用するためです。

17.3 初期設定

1. ODMデータベース・ユーザーを作成します。SQLスクリプトcreate_odm_user.sqlを実行します。
入力を求められたら、最初のパラメータの値としてODMユーザー名を入力し、次に2番目のパラメータの値としてODMユーザーのパスワードを入力します。

スクリプトは、$MW_HOME\oaam\cli\odmフォルダにあります。

2. OAAM CLI環境を設定します。Oracle Enterprise Manager Fusion Middleware Controlを使用して、CSF/資格証明ストアに次の設定が追加されていることを確認します。

1. OAAMデータベース・ユーザー名とパスワード(マップoaamの下でキー名としてoaam_db_keyを指定)。

2. ODMデータベース・ユーザー名とパスワード(マップoaamの下でキー名としてoaam_odm_db_keyを指定)。

3. OAAMデータベースのJDBC URLを使用してプロパティoaam.db.urlをoaam_cli.propertiesに設定します。

3. デフォルトで、予測リスクではOAAM_CLASSIFIED_REQUEST_VIEWが使用されます。予測リスクがFlash以外のデバイスのセッションに対して機能するには、「OAAM_CLASSIFIED_REQ_NOFLASH_VW」を使用する必要があります。
OAAM_CLASSFIED_REQ_NOFLASH_VWビューにはすべてのリクエストが含まれます(FlashとFlash以外の両方)。

OOTB ODMモデル「OAAM不正なリクエスト・モデル」でFlash以外のデータが使用されるように設定するには、initODM.shを実行する前に次のプロパティを設定します。

oracle.oaam.odm.model.enum.oaam_fraud_request_model.data_table_name=OAAM_CLASSFIED_REQ_NOFLASH_VW
oracle.oaam.odm.model.enum.oaam_fraud_request_model.inputdata_mapping=oracle.oaam.odm.datamapping.enum.user_request_data_noflash

4. OAAM CLIフォルダでシェル・スクリプトinitODM.shを実行します。このスクリプトは次の処理を実行します。

- ブラウザおよびFlashフィンガープリントの正規化されたデータを含むODM表をシードします。

- OAAM_DEVICE_BROWSER_FPRINTS

- OAAM_DEVICE_FLASH_FPRINTS

- ODMモデルによって入力データとして使用される次のデータベース・ビューを作成します。

- OAAM_CLASSIFIED_REQUESTS_VW

- OAAM_INVESTIGATED_REQUESTS

- OAAM_UNCLASSIFIED_REQUESTS_VW

- OAAM_CLASSIFIED_REQ_NOFLASH_VW

- OAAM_UNCLASSIFIED_REQ_NOFLASH_VW

- 必要なデータが存在する場合は、次のODMモデルを作成します。

- OAAM_ANOMALY_REQUEST

- OAAM_FRAUD_REQUEST

5. OAAM管理サーバーにログインし、予測分析ポリシーを「すべてのユーザー」または必要なユーザー・グループにリンクします。

6. WebLogicコンソールを使用してWebLogic管理サーバーにログインし、jdbc/OAAM_SERVER_ODM_DSなどのJNDI名でデータソースを作成してODMデータベース・ユーザーを指すようにし、OAAMサーバーの管理対象サーバーをターゲットとして追加します。

7. ODMの初期化では一部の列挙関連のプロパティが更新されるため、OAAMサーバーを再起動します。

8. 異常検出をテストするには、OAAMデータベースにまだ存在しない異なる種類のブラウザまたはロケーションからログインを試みます。

9. 不正セッション予測機能をテストするには、「確認済不正」の処置とともに閉じられたエージェント・ケースにリンクされている類似したセッションにログインします。

OAAM_CLASSFIED_REQ_NOFLASH_VW

デフォルトで、予測リスクではOAAM_CLASSIFIED_REQUEST_VIEWが使用されます。予測リスクがFlash以外のデバイスのセッションに対して機能するには、「OAAM_CLASSIFIED_REQ_NOFLASH_VW」を使用する必要があります。

OAAM_CLASSFIED_REQ_NOFLASH_VWビューにはすべてのリクエストが含まれます(FlashとFlash以外の両方)。

OOTB ODMモデル「OAAM不正なリクエスト・モデル」でFlash以外のデータが使用されるように設定するには、次のプロパティを設定し、initODM.shを実行します。

oracle.oaam.odm.model.enum.oaam_fraud_request_model.data_table_name=OAAM_CLASSFIED_REQ_NOFLASH_VW
oracle.oaam.odm.model.enum.oaam_fraud_request_model.inputdata_mapping=oracle.oaam.odm.datamapping.enum.user_request_data_noflash

17.4 フィードバックを提供し、トレーニング・データを更新するためのODMモデルの再作成

この項では、ODMモデルの再作成に関する重要な点について説明します。

- ODMモデルの再作成は、セッションに適切なフラグが付けられるように、最新のケース作成データによってODMにフィードバックを提供する1つの方法です。

- ODMモデルがOAAMの最新のデータでトレーニングされるように、ODMモデルを定期的に再作成できます。

- モデルの再作成の頻度は、リクエストの量に基づいて決定できます。毎月月末にモデルを再作成することをお薦めします。

- プロパティoracle.oaam.predictive_analysis.request.periodを次のように設定することによって、ODMモデルで考慮される必要があるリクエストの日付範囲を設定できます。

- 値の形式:

Number_of_Years,Number_of_Months,Number_of_Days,Number_of_Hours

- 例:

- 0 (ゼロ)を使用してすべてを指定できます。200万件以上のOAAMリクエストがある場合、モデルの作成に非常に多くの時間がかかり、メモリー不足に関連するデータベース・エラーが発生する可能性があるため、このオプションは注意して使用してください。

- 最後の2年は2,0,0,0または単に2を使用して指定できます。

- 最後の2年と3か月は2,3,0,0または単に2,3を使用して指定できます。

- 最後の3日は0,0,3,0を使用して指定できます。

- 最後の4時間は0,0,0,4を使用して指定できます。

- OAAM CLI環境を設定し、スクリプトinitODM.shを実行します。

17.5 ポリシーの評価

次の手順では、予測分析評価のフローについて説明します。

1. OAAMユーザー・リクエストは、認証後チェックポイント評価を受けます。

2. 予測分析ポリシーは、認証後の一部として実行されます。

3. 現在のリクエストが不正であるかどうかのチェックが実行されます。実行の一環として、現在のリクエストから必要な分類タイプおよび属性の値が取得され、指定したモデル名を持つODM SQL関数prediction_probability()が実行されます。このコールは、予測確率値を戻し、この値は指定された範囲内に収まるかどうかを確認するためにテストされます。その場合、OAAM不正の疑いがあるリクエスト・アラートが生成され、リスク・スコアが700に設定されます。

4. 現在のリクエストが異常であるかどうかのチェック・ルールが実行されます。実行の一環として、現在のリクエストから属性の値が取得され、指定したモデル名を持つODM SQL関数prediction_probability()が実行されます。このコールは、予測確率値を戻し、この値は指定された範囲内に収まるかどうかを確認するためにテストされます。その場合、「OAAM異常なリクエスト・モデル」アラートが生成され、リスク・スコアが600に設定されます。

17.6 予測分析ルール条件のチューニング

予測分析ルール条件の次のパラメータは調整および変更できます。

- 評価またはスコアリングに使用されるODMモデル名

- ルール条件をトリガーする予測確率の範囲

- エラーが発生した場合のデフォルトの戻り値

- 分類タイプ(不正なユーザーの確認ルール条件にのみ適用されます)

パラメータを設定するには、「予測分析ポリシー」に移動し、必要なルールを開いてパラメータを更新します。

注意:

次の項では、通常はJavaコーディングの知識およびOAAMとODMの両方の知識があるインテグレータによって実行される高度な機能について説明します。

17.7 カスタム・データベース・ビューの追加

- カスタム・ビュー定義を$MW_HOME\oaam\cli\odm\custom_oaam_odm_views.sqlに追加します。

注意:

ビュー定義SQLが「;」で終了し、ファイル内に余分な行やコメントがないことを確認します。

- OAAMデータベース・ユーザー名をハードコードしない場合は、OAAMスキーマを参照するときに常に変数oaam_userを使用します。これは、initODM.shを次回実行したときに実際のOAAMデータベース・ユーザー名に置き換えられます。

- initODM.shを次回実行したときに、custom_oaam_odm_views.sqlでSQL文が実行され、カスタム・ビューが作成されます。

17.8 カスタム付与の追加

- 選択アクセスOAAM表を付与するSQL文をファイル$MW_HOME\oaam\cli\odm\custom_oaam_grants_to_odm_user.sqlに追加します。

注意:

注意: ビュー定義SQLが「;」で終了し、ファイル内に余分な行やコメントがないことを確認します。

- ODMデータベース・ユーザー名をハードコードしない場合は、ODMデータベース・ユーザーを参照するときに常に変数odm_userを使用します。これは、initODM.shを次回実行したときに実際のODMデータベース・ユーザー名に置き換えられます。

- initODM.shを次回実行したときに、custom_oaam_odm_views.sqlでSQL文が実行されます。

17.9 新規ODMモデルの追加

新規ODMモデルを追加するには、次の手順を実行します。

1. モデルのタイプを決定します。現在、OAAMではCLASSIFICATIONモデルのみがサポートされています。

2. 既存のODMビューを使用してモデルを作成できるかどうかを確認します。できない場合は、新規ビューを作成し、その定義を$MW_HOME\oaam\cli\odm\custom_oaam_odm_views.sqlに追加します。

注意:

ビュー定義SQLが「;」で終了し、ファイル内に余分な行やコメントがないことを確認します。

3. いずれかの新規ビューに、OAAM表またはカスタム表にアクセスするための追加の付与が必要かどうかを確認します。それらのカスタム付与を$MW_HOME\oaam\cli\odm\custom_oaam_grants_to_odm_user.sqlに追加します。

注意:

grant文が「;」で終了し、ファイル内に余分な行やコメントがないことを確認します。

4. Oracle Data MinerまたはSQLコマンドcall dbms_data_mining.drop_model()を使用して、新規ODMモデルを作成します。詳細は、ODMのドキュメントを参照してください。

5. サンプル・データを使用してODMモデルをテストします。通常は、次を実行して行うことができます。

- 異常検出モデルの場合:
Select prediction_probability(model_name, '0' using value1 as attribute1, value2 as attribute2, …. valueN as attributeN> from dual

- その他の分類モデルの場合:
Select prediction_probability(model_name, classificationValue using value1 as attribute1, value2 as attribute2, …. valueN as attributeN> from dual

6. テストを実行したら、次のプロパティを使用して新しい列挙要素をoracle.oaam.odm.model.enumに追加します。

表17-1 oracle.oaam.odm.model.enumのプロパティ

プロパティ名

ノート

name

モデルの名前

description

モデルの説明。

type

モデルのタイプ。

異常検出: oracle.oaam.odm.modeltypes.enum.oneclasssvm

分類: oracle.oaam.odm.modeltypes.enum.classification

odm_model_name

ODMモデルの正確な名前。OAAM設定スクリプトではこれを使用してODMモデルが作成されます。

data_table_name

入力データ表またはビューの正確な名前。モデルはこの表またはビューの名前を使用して作成されます。

case_id_column

各行を一意に識別するデータ表またはビューの列。

target_column

異常検出モデルの場合は指定しないでください。分類モデルでは、値を予測する必要がある列を指定します。通常、この列には、oracle.oaam.odm.fraud_classification_types.enumで示されている値(「fraud」または「not_fraud」)があります。

settings_table_name

ODMモデルの設定が含まれるデータベース表の名前。明示的な設定がない場合は、既存の表「OAAM_ANOMALY_MODEL_SETTINGS」(異常検出モデルの場合)および「OAAM_ANOMALY_MODEL_SETTINGS」(分類モデルの場合)を使用できます。

inputdata_mapping

評価またはスコアリングに必要な入力がOAAMデータにマッピングされる方法を指定します。新しい要件がない場合は、次の既存のマッピングを使用できます。そうでない場合は、17.10項「カスタム入力データ・マッピングの追加」を参照してください。

oracle.oaam.odm.datamapping.enum.user_request_data

oracle.oaam.odm.datamapping.enum.user_request_data_noflash

is_available

initODM.shスクリプトでODMモデルを作成してこの値を「true」に設定できるように、「false」に設定します。すでに自身でODMモデルを作成した場合は、OAAMルールで入力データに対する評価またはスコアにこのモデルを使用できるように、この値を「true」に設定します。

17.10 カスタム入力データ・マッピングの追加

この項では、カスタム入力データ・マッピングに関する情報を提供します。

17.10.1 使用する状況

カスタム入力データ・マッピングは、次の条件が当てはまる場合に必要になります。

- 標準ODMモデルの評価またはスコアに(標準の属性よりも)少ない属性を使用する場合。

- 既存の入力データ・マッピングとは異なる属性セットを含むカスタム表またはビューに基づいてカスタムODMモデルを作成する場合。

17.10.2 OAAM属性を使用したカスタム入力データ・マッピングの作成

既存のOAAM属性を使用してカスタム入力データ・マッピングを作成できます。この方法は、セッション、ブラウザ・フィンガープリント、Flashフィンガープリントおよびロケーション・データを含むOAAMリクエスト・データを使用する既存のデータベース・ビューを再利用する場合に役立ちます。

入力データ・マッピングを作成する手順は次のとおりです。

1. 新しい列挙要素をoracle.oaam.odm.datamapping.enumに追加します。

2. モデル列挙要素のinputdata_mappingプロパティを新しく追加した列挙要素を指すように設定します。

3. 名前-値の必要なリストを、次のリストから新しく追加した列挙要素に追加します。

- request_minute=request.minute

- request_hour=request.hour

- request_day_of_week=request.day_of_week

- request_day_of_month=request.day_of_month

- request_day_of_year=request.day_of_year

- request_week_of_month=request.week_of_month

- request_week_of_year=request.week_of_year

- request_month=request.month

- request_quarter=request.quarter

- request_year=request.year

- auth_status=request.auth_status

- user_identifier=request.user_identifier

- login_id=request.login_id

- user_group_id=request.user_group

- request_ip_address=request.ip_address

- is_registered=request.is_registered

- auth_client_type=request.auth_client_type

- secure_client_type=request.secure_client_type

- pre_auth_action=request.pre_auth_action

- post_auth_action=request.post_auth_action

- device_id=device.device_id

- device_cookie_disabled=device.cookie_disabled

- device_flash_disabled=device.flash_disabled

- browser_country=browser.country

- browser_language=browser.language

- browser_language_variant=browser.language_variant

- browser_name=browser.browser_name

- browser_operating_system=browser.os

- browser_user_agent_string=browser.user_agent_string

- audio_video_disabled=flash_fingerprint.audio_video_disabled

- has_accessibility=flash_fingerprint.has_accessibility

- has_audio=flash_fingerprint.has_audio

- has_audio_encoder=flash_fingerprint.has_audio_encoder

- embedded_video=flash_fingerprint.embedded_video

- has_ime_installed=flash_fingerprint.has_ime_installed

- has_mp3=flash_fingerprint.has_mp3

- supports_printer=flash_fingerprint.supports_printer

- supports_screen_broadcast=flash_fingerprint.supports_screen_broadcast

- supports_playback_screen_brd=flash_fingerprint.supports_playback_screen_brd

- supports_streaming_audio=flash_fingerprint.supports_streaming_audio

- supports_streaming_video=flash_fingerprint.supports_streaming_video

- supports_native_ssl=flash_fingerprint.supports_native_ssl

- contains_video_encoder=flash_fingerprint.contains_video_encoder

- debug_version=flash_fingerprint.debug_version

- flash_language=flash_fingerprint.flash_language

- is_local_file_read_disabled =flash_fingerprint.is_local_file_read_disabled

- manufacturer=flash_fingerprint.manufacturer

- flash_operating_system =flash_fingerprint.flash_operating_system

- aspect_ratio_of_screen =flash_fingerprint.aspect_ratio_of_screen

- player_type=flash_fingerprint.player_type

- is_color_screen=flash_fingerprint.is_color_screen

- dots_per_inch=flash_fingerprint.dots_per_inch

- screen_resolution=flash_fingerprint.screen_resolution

- flash_version=flash_fingerprint.flash_version

- country_id=location.country_id

- state_id=location.state_id

- city_id=location.city_id

- metro_id=location.metro_id

- isp_id=location.isp_id

- routing_type=location.routing_type

- connection_type=location.connection_type

- connection_speed=location.connection_speed

- top_level_domain=location.top_level_domain

- sec_level_domain=location.secondary_level_domain

- asn=location.asn

- carrier=location.carrier

- zip_code=location.zip_code

- region_id=location.region_id

- phone_area=location.phone_area

17.10.3 カスタム属性を使用したカスタム入力データ・マッピングの作成

OAAMでODMモデルの評価またはスコアリング中にカスタム属性を使用する場合は、カスタム属性の値を取得するために使用できるカスタムJavaクラスを作成できます。

ODMモデルの作成および評価にカスタム属性を使用するには、次の手順を実行します。

1. 新しい列挙要素を「oracle.oaam.predictive_analysis.attribute_resolvers.enum」に追加します。

2. カスタム属性の値を戻すロジックがあるJavaクラスの完全修飾クラス名として値を持つ「class」プロパティを追加します。

3. すべてのカスタム属性を新しく追加した列挙要素にプロパティとして追加します。これらのプロパティの値は、属性の名前や説明を指定できます。属性名として「name」、「description」、「class」は使用しないでください。

4. カスタム属性を処理するJavaクラスを作成します。

- 次のOAAMクラスを拡張する必要があります: oracle.oaam.integration.datamining.rules.OAAMAttributesResolver

- このクラスはパラメータとしてrequestIdを取得するpublicコンストラクタを実装する必要があります。そのコンストラクタはスーパー・コンストラクタをコールする必要があります。

- このクラスはメソッドpublic Object getValue(String attributeName)を拡張し、指定された属性の値を戻すロジックを持っている必要があります。AttributeNameは「enumElement.property」の形式にします。

- OAAM拡張共有ライブラリを使用してカスタムJavaクラスをOAAM拡張としてデプロイします。OAAM拡張のデプロイは、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

5. カスタム・データベース・ビューを使用している場合は、新しい列挙要素を「oracle.oaam.odm.datamapping.enum」列挙に追加することによって、カスタム・マッピングを追加し、データベース・ビューの全列名をプロパティとしてその列要素に追加します。関連するカスタム属性名をそれらのプロパティの値として追加します。値はenumElement.propertyという形式である必要があります。

6. カスタム・データベース・ビューを使用していないが、既存のリクエスト・データのカスタム・マッピングを作成する場合は、次の表から必要な列を選択し、カスタム・マッピング列挙要素に追加します。

表17-2 カスタム・マッピング

A

B

C

request_minute

device_flash_disabled

flash_language

request_hour

browser_country

is_local_file_read_disabled

request_day_of_week

browser_language

manufacturer

request_day_of_month

browser_language_variant

flash_operating_system

request_day_of_year

browser_name

aspect_ratio_of_screen

request_week_of_month

browser_operating_system

player_type

request_week_of_year

browser_user_agent_string

is_color_screen

request_month

audio_video_disabled

dots_per_inch

request_quarter

has_accessibility

screen_resolution

request_year

has_audio

flash_version

auth_status

has_audio_encoder

country_id

user_identifier

embedded_video

state_id

login_id

has_ime_installed

city_id

user_group_id

has_mp3

metro_id

request_ip_address

supports_printer

isp_id

is_registered

supports_screen_broadcast

routing_type

auth_client_type

supports_playback_screen_brd

connection_type

secure_client_type

supports_streaming_audio

connection_speed

pre_auth_action

supports_streaming_video

top_level_domain

post_auth_action

supports_native_ssl

sec_level_domain

device_id

contains_video_encoder

asn

device_cookie_disabled

debug_version

carrier

zip_code

region_id

phone_area

第VI部

トランザクションの管理

このマニュアルのこの部では、Oracle Adaptive Access Managerでのトランザクションの管理について説明します。

次の章で構成されます。

- 第18章「OAAMでのトランザクションのモデル化」

- 第19章「エンティティの作成および管理」

- 第20章「トランザクションの管理」

18 OAAMでのトランザクションのモデル化

Oracle Adaptive Access Managerでトランザクションを分析するためには、Oracle Adaptive Access Managerでトランザクションを表す方法、渡されたデータを処理する方法、データを使用する方法、およびデータを表示する方法を決定する必要があります。たとえば、E-Commerceのトランザクションでは、関係するデータはクレジット・カード番号、出荷先住所および請求先住所、名前、金額などであり、電信送金では、関係するデータは金額、名前、送金先口座、送金元口座、ルーティング番号、銀行住所、銀行電話番号などです。

この章では、次の内容を説明します。

- 18.1項「概要」

- 18.2項「ユース・ケース」

- 18.3項「ユース・ケースの設定」

- 18.4項「OAAMエンティティおよびトランザクションの観点での、OAAMでトランザクションをモデル化する方法の決定」

- 18.5項「エンティティ定義およびトランザクション定義の作成後」

- 18.6項「医療分野のデプロイメント」

18.1 概要

トランザクションのどのアイテムがエンティティかを決定し、エンティティを作成することは、時間を節約し、システムのパフォーマンスを向上させ、作成されるデータ量を減らし、エンティティを使用するルールの実行をトランザクション・データを使用した場合よりも高速にします。

エンティティは複数の場所で使用および再利用できるため、トランザクション定義の作成が大幅に簡単になります。再利用できるエンティティの例は、住所です。出荷先住所および請求先住所は、住所エンティティから異なるトランザクション用に作成できます。住所をトランザクション・データとして定義した場合は、2回定義する必要があります。

18.2 ユース・ケース

ユース・ケースとして、カスタマが購入を行おうとしており、その請求先住所と出荷先住所(番地、市区町村、都道府県、郵便番号)が異なる場合にセキュリティ管理者に通知する場合があります。不一致は、カスタマが請求書の送付先とは別の住所に品物を送ろうとしていることを示している可能性があります。不一致は、不正行為者が盗んだクレジット・カードを使用して品物を購入していることを意味する可能性がありますが、カスタマが購入した物を職場に送付したり、別の住所に住んでいる人への贈り物を購入したりするなど、妥当な理由がある場合もあります。

18.3 ユース・ケースの設定

このユース・ケースを設定するには:

1. ユース・ケースを実現するセキュリティ・ポリシーを作成します。

1. 何を実現しようとしているのかを決定します(問題記述)。

2. 問題記述を次のものに分割します。
入力: 評価に使用できるデータは何ですか。

ルール: どのような種類の評価をデータに対して実行する必要がありますか。

結果: 分析に基づいて何が行われる必要がありますか。

3. OAAM構成にデータ、評価および結果をマッピングして、問題記述の文章をセキュリティ・ポリシーに変換します。

18.4 OAAMエンティティおよびトランザクションの観点での、OAAMでトランザクションをモデル化する方法の決定

トランザクションをモデル化する方法の決定の概要は、次のとおりです。

1. カスタマからソース・データを受け取った後、ソース・データとOAAMエンティティおよびトランザクション間のマッピングを識別します。ソース・データ要素は、カスタマ・アプリケーションからのフィールドです。

表18-1 データ・フィールドとソース・キー

データ名

ソース・フィールドの内部ID

項目

itemId

価格

itemPrice

件数

itemCount

名

customer.firstName

姓

customer.lastName

クレジット・カード

creditCard.number

CC有効期限日

creditCard.expDate

CC発行国

creditCard.issuingCountry

出荷先住所が同じであるか

shippingAddress.addressSame

住所1

shippingAddress.addressLine1

住所2

shippingAddress.addressLine2

住所3

shippingAddress.addressLine3

市区町村

shippingAddress.city

都道府県

shippingAddress.state

国

shippingAddress.country

PINコード

shippingAddress.pinCode

住所1

billingAddress.addressLine1

住所2

billingAddress.addressLine2

住所1

billingAddress.addressLine3

市区町村

billingAddress.city

都道府県

billingAddress.state

国

billingAddress.country

PINコード

billingAddress.pinCode

2. OAAM管理コンソールを使用し、考え出したモデルに基づいて、トランザクションのエンティティ定義およびトランザクション定義を作成およびアクティブ化します。

18.5 エンティティ定義およびトランザクション定義の作成後

エンティティおよびトランザクションを作成した後、次の手順を実行します。

1. トランザクションに対する不正チェックを実行するよう、該当する不正ポリシーをトリガーするOAAMチェックポイントを決定します。既存のチェックポイントを再利用できる場合は、チェックポイントを作成する必要はありません。それ以外の場合は、トランザクションのOAAMチェックポイントを作成します。

2. 次に、対象のトランザクションに対する不正ポリシーにどのようなルールを組み込む必要があるかを考えます。

3. トランザクション・ルール条件のリストを確認し、必要となるルール条件を検討してください。それらのルール条件の「使用例」に関する項を参照してください。

4. OAAMポリシーを作成し、ルールを追加してください。

5. ルール条件の構成後、ルール条件を満たした場合に「結果」に何を表示するかを指定します。ユーザーがしきい値とスコアに達したことを通知するよう、「アラート」および「アクション」グループを構成できます。クライアント・アプリケーションでは、結果を解釈し、ユーザー・アクションが禁止されていることを示す関連ページにユーザーを適宜リダイレクトできます。

6. これで、OAAMで設定を準備して、OAAMでトランザクションを作成したり、不正ポリシーとルールをトリガーできるようになりました。

7. OAAM共有ライブラリを使用して、クライアント・アプリケーションをOAAMと統合します。統合の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のネイティブJavaアプリケーションの統合に関する項を参照してください。これが必要になるのは、トランザクション機能はネイティブ統合を通じて利用可能になるためです。この統合の一環として、クライアント・アプリケーションで次の2つが実行されます。

- OAAMデータ収集APIを呼び出して、トランザクション・データを渡します。OAAMデータ収集APIにより、トランザクション定義に基づくトランザクション・データがOAAMデータベースに保持されます。これにより、OAAMエンティティおよびトランザクション・データが作成されます。これらのAPIの結果は、トランザクションIDです。

- OAAMルールAPIを呼び出して、チェックポイントに関連付けられている不正ポリシー/ルールをトリガーします。この手順により、該当するチェックポイントに関連付けられているポリシーやルールを実行するルール・エンジンがトリガーされ、特定のルールがトリガーされた場合はアラートが作成されます。これらのAPIの結果は、ポリシーやルールによって返される一連のアクションおよびリスク・スコアです。

8. クライアント・アプリケーションとの統合が完了したら、サンプルのトランザクションを実行し、エンドツーエンド・フローを確認できます。

18.6 医療分野のデプロイメント

データへのセキュアなアクセスを実現できない医療組織は、機関の評判への深刻な損害、患者、利害関係者およびコミュニティからの信頼の喪失、および重大な損失をこうむります。セキュアなデータを維持することは、ITおよびすべてのパートナ、保険会社、プロバイダと連携するベンダーを含め、すべての医療機関の従業員に影響するプロセスです。OAAMには一連の不正監査および検出ツールがあり、組織をサポートするために使用できます。医療分野のデプロイメントの検出フェーズにおいて、ビジネス・アナリストは監視する必要があるユーザー・アクティビティを識別します。ユーザー・アクティビティには、患者情報などの機密データの読取り専用アクセスやデータを追加または管理する操作があります。ユーザー・アクティビティの例の一部は、次のとおりです。

- 機密レコードへのアクセス

- VIPの患者レコードへのアクセス

- 同僚の患者レコードへのアクセス

- 患者レコードへの非常に頻度の高いアクセス

- 患者レコードへの未認可アクセス

- VIPの患者レコードへの未認可アクセス

これらのユース・ケースでは、エンティティ属性情報は精密に計画する必要があり、患者レコード・アクセス用にポリシーを作成する必要があります。設計フェーズにおいて、エンティティ、トランザクション、ルール、ポリシー、アラートおよび構成可能なアクションが定義されます。

- エンティティおよびトランザクション - 検出フェーズで識別されたユーザー・アクティビティおよびデータは、Oracle Adaptive Access Managerでトランザクション定義およびエンティティ定義にマップされます。次に、これらのエンティティおよびトランザクションを使用してポリシーが構成されます。

- ポリシーおよびルール - 要件に基づいて、ポリシーおよびルールがOracle Adaptive Access Managerで定義されます。各ルールに対して適切なアクションが構成されます。

- アラート - プライバシおよび不正インシデントに対してアラートを生成できます。アラートは、Oracle Adaptive Access Manager管理コンソールで定義され、ルールに関連付けられます。アラートは、高、中、低に分類できます。

- 構成可能なアクション - 構成可能なアクションによって、ルールから返された静的なアクションにその他のタスクを追加するメカニズムが提供されます。構成可能なアクションでは、Javaクラスを使用してカスタム動作が実装されます。自動のケース作成や電子メール通知など、標準の構成可能なアクションを構成して、ケースまたは電子メール送信通知を作成できます。特定の要件を満たすように、その他のカスタマイズされたアクションを作成できます。

従業員による患者レコードへの非常に頻度の高いアクセス

説明: 患者レコードへの従業員のアクセスの頻度が増加し、非常に高い頻度になっています。

条件:

過去12か月の各月に、従業員が患者レコードにアクセスしており、

かつ、従業員の患者レコードへのアクセスが、過去6か月間にその前の6か月間よりも500%を超えて増加している場合、

患者レコードへの不適切なアクセスの可能性について報告します。

パラメータ

必要なデータ:

- 従業員の人口統計:

- 個人ID

- 名前

- 患者の人口統計:

- 医療記録番号

- 名前

報告形式

従業員[個人ID、名前]の患者レコードへのアクセスが、過去6か月間にその前の6か月間よりも500%を超えて増加しました。

19 エンティティの作成および管理

Oracle Adaptive Access Managerでは、不正および誤用を防ぐために、トランザクションに関連するリスクをリアルタイムで評価できます。ユーザーが正常にログインした後に実行するすべてのプロセスをトランザクションと呼ぶことができます。Oracle Adaptive Access Managerトランザクションのコア要素はエンティティおよびトランザクション・データです。この章では、OAAMトランザクションで使用されるエンティティの作成および管理に焦点を当てます。

この章では、次の内容を説明します。

- 19.1項「概念」

- 19.2項「エンティティ定義の作成」

- 19.3項「エンティティの管理」

- 19.4項「ターゲットを指定したエンティティ・データのパージの設定」

- 19.5項「ベスト・プラクティス」

19.1 概念

エンティティは複数のトランザクションで再利用できるデータ構造です。たとえば、住所エンティティは出荷先住所、請求先住所、自宅住所などとして使用できます。また、ほとんどのエンティティでは、データを最適化するために、複数のデータ・ポイントをこの構造に組み込むこともできます。たとえば、住所の一連のプロパティには、addr_ line1、addr_line2、addr_line3、city、state、zip、countryおよびmobileエンティティ・プロパティを含めることができます。カスタマのプロパティには「名」、「姓」、「電話」および「電子メール」エンティティ・プロパティを含めることができます。

図19-1 単純なエンティティ

エンティティ

- これらは一度のみ設定されるため、構成時間が短縮されます。

- 保存されるデータを最小限に抑えます。たとえば、Johnの出荷先住所がデータベースに一度保存されると、Johnのすべてのトランザクションがそのインスタンスを参照します。

- 処理速度を向上します。たとえば、Johnのクレジット・カードがハッシュとして保存され、そのように比較されます。

エンティティは、トランザクションのインスタンスとして定義および関連付けることができます。次の例は住所エンティティを示します。セキュリティ管理者は、カスタマ・エンティティがE-Commerceのトランザクションで使用されるように定義できます。カスタマ・エンティティ定義の一部として、住所エンティティを出荷先住所および請求先住所としてリンクできます。住所エンティティを、その2つのインスタンスである出荷先住所および請求先住所とともに次に示します。エンティティ定義は、エンティティ・インスタンスがパターン化される際に元となるモデルです。エンティティ・インスタンスの作成は、その対応するエンティティ定義がデータベース内にすでに存在する場合にのみ実行できます。

図19-2 住所エンティティ

エンティティは別のエンティティにリンクできます。関係はエンティティ間のアソシエーションです。患者エンティティは、住所タイプの別のエンティティにリンクできます。患者と住所エンティティ間には1対1の直接マッピングがあるため、これらの間の関係は1対1 (1:1)であると言うことができます。住所エンティティは患者に依存せず、それ自身で存在できます。これはカスタマおよびプロバイダといったその他のエンティティにリンクできます。

1つのエンティティが他のエンティティへの多数の参照を持つことができます。たとえば、患者エンティティは、自宅住所、勤務場所といった、複数の住所エンティティのインスタンスを持つことができます。たとえば、カスタマ・エンティティは、出荷先住所、勤現住所といった、複数の住所エンティティのインスタンスを持つことができます。特定の関係名について、1つの親エンティティ・インスタンスに対しリンクされたエンティティ・インスタンスを複数作成することはできないため、特定の関係名について2つのエンティティ間の1対多の関係はサポートされません。患者エンティティが複数の自宅住所を持つことはできません。

図19-3 住所エンティティのエンティティ・インスタンス

情報転送の個別インスタンスをトランザクションと呼ぶことができます。請求書の支払、電信送金および住所変更がトランザクションです。OAAMにおけるトランザクションは不正の検出のために使用されます。これらは一連のルールおよび予測モデルを使用して評価できます。トランザクションのコア要素はエンティティ・データおよびトランザクション・データです。エンティティ・データは、トランザクションのインスタンスとして定義および関連付けられたエンティティを参照します。Oracle Adaptive Access Managerでは、様々なソースおよびチャネルから入力を取得して、OAAM管理コンソールを使用してアプリケーション・データをすばやくマップできます。

データはエンティティの属性にマップできます。エンティティ・データのマップを次に示します。

キー: 名

値: Mark

キー: 姓

値: Henry

キー: 電子メール

値: x@y.com

キー: shipping.addr_line1

値: #1, Lex residence

キー: shipping.addr_line2

値: Redmond street

キー: shipping.zip

値: 418001

キー: カスタマID

値: 9876543210

エンティティそのものをエンティティの属性にできます。そのような属性はリンクされたエンティティと呼ばれます。たとえば、出荷先住所はカスタマ・エンティティのリンクされたエンティティです。

カスタマ: カスタマID (属性)

名(属性)

姓(属性)

電子メール(属性)

出荷先住所(リンクされたエンティティ) - タイプ

住所:住所1

住所2

郵便番号

エンティティは一度のみ設定されるため、構成時間が短縮されます。これにより、保存されるデータが最小限に抑えられます。たとえば、ユーザーの出荷先住所がデータベースに一度保存されると、そのユーザーのすべてのトランザクションがこのインスタンスを参照します。データはハッシュとして保存され、そのように比較されるため、エンティティにより処理速度が向上します。実行時にはトランザクションにこのデータが含められ、このデータに対してリスク評価を行えます。

エンティティの主要な概念は次のとおりです。

- エンティティは、その属性の詳細を指定して作成します。

- エンティティ間の関連を反映するアソシエーションを作成できます。

- トランザクションで使用するようにエンティティを定義できます。

- エンティティ・データに対してリスク評価を実行できます。

- 特定のトランザクション・タイプにマップされるエンティティに関連する属性を含むエンティティ・データを検索して、不正の可能性を検出できます。

- ルール評価で使用するために、エンティティ・データをグループに追加できます。(たとえば、クレジット・カードおよびアカウントをブラックリストに記載されたグループに追加して、このアカウントまたはクレジット・カードからのすべてのトランザクションをブロックできます。)

- トランザクションを提供するクライアント・アプリケーションとの関連でエンティティを作成、更新または検索できます。

エンティティ定義

住所などの再利用可能なデータ構造を定義する構成。

エンティティ・インスタンス

エンティティが別のエンティティにリンクされた場合またはトランザクション定義で使用された場合に、自宅住所や勤務先住所などのインスタンスが作成されます。

エンティティの発生

注文番号356893で出荷先住所が使用されるなど、ランタイム操作でエンティティ・インスタンスが使用されると、個別の発生が作成されます。

データ型

エンティティ・データは、文字列、数値、日付およびブールの4つの型のいずれかとして構成できます。文字列データ型は、ほとんどのユース・ケースで使用されます。数値データ型は、ルールによってデータに対する算術計算が実行される場合に使用する必要があります。日付データ型はデータ固有のデータで使用されます。ブール・データ型はTrue/Falseデータに使用されます。

IDラベル

OAAM管理コンソールにランタイム・エンティティ・データが表示される場合、示されるラベルはエンティティ定義の「IDスキーム」タブで定義されたものになります。

リンク名

エンティティが別のエンティティにリンクされた場合、リンクされたエンティティには、トランザクション定義を含む、他の管理コンソール画面でそのエンティティを識別するために使用される名前が付けられます。

19.2 エンティティ定義の作成

セキュリティ管理者は、OAAM管理コンソールを利用して住所やクレジット・カードなどのエンティティを構成します。この項では、単純および複雑なエンティティの作成の手順について説明します。トランザクションの定義手順は、第20章「トランザクションの管理」を参照してください。

19.2.1 エンティティ要素

エンティティ定義には、エンティティ・タイプ、データ要素およびそのプロパティ、IDスキームおよびリンクされたエンティティ(ある場合)が含まれます。

ベスト・プラクティス: エンティティが定義され、トランザクションで使用された後は、エンティティのデータ型や長さなどを変更しないでください。

19.2.1.1 データ要素

データ要素はエンティティを構成する属性を記述するために使用されます。たとえば、クレジット・カード・エンティティは、住所1、住所2、市区町村、郵便番号および都道府県などの属性を持ちます。説明、長さ、タイプなどといったデータ要素は各属性を記述するために使用されます。

19.2.1.2 表示要素

表示要素は、ユーザー・インタフェースに表示する要素およびエンティティの値を表示する順序です。たとえば、住所を表示する場合に、住所1を最初のアイテム、住所2を2番目のアイテム、市区町村を3番目のアイテム、都道府県を4番目のアイテムおよび郵便番号を5番目のアイテムとして表示します。

19.2.1.3 IDスキーム

IDスキームはエンティティを一意に識別できるデータ要素で構成され、つまり、ユーザーはエンティティを識別する一意の組合せを定義します。たとえば、クレジット・カード・エンティティは多数の属性を持ちますが、クレジット・カードを一意に識別するには、16桁のクレジット・カード番号を使用します。その場合、IDスキームは単にクレジット・カード番号です。

別の例としては、住所エンティティは住所1、住所2、市区町村、都道府県および郵便番号を属性として持ちます。都道府県および市区町村属性を除く、住所1、住所2および郵便番号属性を使用することによっても、住所を一意に識別できます。

トランザクションおよびエンティティ・データについてセッション詳細を表示する場合、トランザクションはすべてのIDスキーム属性とともに送信されます。IDスキームは、表におけるコンポジット・キーのようなものです。IDスキームが一意に識別され、トランザクションを更新できるようにするためには、IDスキームに定義されたすべての属性を送信する必要があります。たとえば、SSNがIDスキームに示される唯一の属性である場合、SSNが存在する場合に受信トランザクションが一意に識別されます。エンティティにSSNが含まれない場合、エンティティはその作成時に新規エンティティとみなされます。たとえば、名、姓、SSNを持つエンティティは、名、姓、電話を持つエンティティとは異なるエンティティです。

19.2.1.4 リンクされたエンティティ

リンクされたエンティティは、エンティティ間の関係を構成するために使用されます。リンクされたエンティティは、エンティティCRUD APIまたはトランザクションCRUD APIのいずれかを使用して作成および更新されます。

19.2.1.5 エンティティ・キー

エンティティ・キーは、システム・インテグレータにより提供される一意の識別子であり、APIを使用してエンティティを作成および更新するときに使用されます。

19.2.2 単純なエンティティ定義の作成の概要

単純なエンティティは、以前にリンクされたエンティティまたは新規にリンクされたエンティティなしで作成されます。この項では、単純なエンティティの作成の概要を示します。エンティティ定義の作成の詳細な手順は、19.2.4「エンティティ定義の作成」を参照してください。

1. 19.3.2項「エンティティ定義の検索」で説明するとおりにエンティティ定義の検索ページを開きます。

2. エンティティ名、キーおよび説明とともにエンティティを作成します。

1. 右上隅にある「新規エンティティ」をクリックしてエンティティを作成します。

2. エンティティ名、定義キーおよび説明を入力して、「適用」をクリックします。
定義キーはエンティティ定義の一意の識別子です。たとえば、エンティティ定義のキーとして住所を指定します。同じキー値を使用して別のエンティティ定義を作成することはできません。

3. 確認ダイアログが表示されたら「OK」をクリックします。エンティティは正常に作成されました。

3. エンティティに属性を追加します。詳細は、19.2.4.2項「データ要素の追加および編集」を参照してください。

1. 「データ」タブをクリックし、ツールバーで「追加」ボタンをクリックして、属性の行を追加します。

2. エンティティの属性を定義し、「適用」をクリックします。

4. IDスキームを定義します。詳細は、19.2.4.3項「IDスキームの要素の選択」を参照してください。

1. 「IDスキーム」タブで、「追加」をクリックしてデータ要素を追加します。

2. IDラベルを選択して「追加」をクリックします。

3. 確認ダイアログが表示されたら、「OK」をクリックします。
データ要素が正常に追加されました。

4. 別のデータ要素を追加します。

5. 表示要素を指定します。詳細は、19.2.4.4項「表示スキームのデータの指定」を参照してください。

1. 「表示」タブをクリックし、ツールバーで「追加」ボタンをクリックして、エンティティの表示要素を選択します。

2. 表示要素を選択して「追加」をクリックします。

3. 「OK」をクリックして確認ダイアログを閉じます。

6. エンティティをアクティブ化します。詳細は、19.2.4.7項「エンティティのアクティブ化」を参照してください。
単純なエンティティは、以前にリンクされたエンティティまたは新規にリンクされたエンティティなしで作成されます。

19.2.3 複雑なエンティティ定義の作成の概要

関係名に基づいて、1つのエンティティを複数のエンティティにリンクできます。複雑なエンティティには、他のエンティティが関係名によってリンクされています。たとえば、カスタマは次の属性により定義できます。

カスタマ: 名(単純な属性)

姓(単純な属性)

電子メール(単純な属性)

出荷先住所(住所タイプのリンクされたエンティティ)

住所: 住所1

住所2

郵便番号

電話番号

出荷先住所は、カスタマを別の住所タイプのエンティティにリンクする関係名です。

この項では、複雑なエンティティの作成の概要を示します。エンティティ定義の作成の詳細な手順は、19.2.4「エンティティ定義の作成」を参照してください。

1. 19.3.2項「エンティティ定義の検索」で説明するとおりにエンティティ定義の検索ページを開きます。

2. エンティティ名、キーおよび説明とともにエンティティを作成します。

1. 右上隅にある「新規エンティティ」をクリックしてエンティティを作成します。

2. エンティティ名、キーおよび説明を入力します。

3. 確認ダイアログが表示されたら「OK」をクリックします。エンティティは正常に作成されました。

3. エンティティに属性を追加します。詳細は、19.2.4.2項「データ要素の追加および編集」を参照してください。

1. 「データ」タブをクリックし、ツールバーで「追加」ボタンをクリックして、属性の行を追加します。

2. エンティティの属性を定義し、「適用」をクリックします。

4. IDスキームを定義します。詳細は、19.2.4.3項「IDスキームの要素の選択」を参照してください。

1. 「IDスキーム」タブで、「追加」をクリックしてデータ要素を追加します。

2. IDラベルを選択して「追加」をクリックします。

3. 確認ダイアログが表示されたら、「OK」をクリックします。
データ要素が正常に追加されました。

4. 別のデータ要素を追加します。

5. 表示要素を指定します。詳細は、19.2.4.4項「表示スキームのデータの指定」を参照してください。

1. 「表示」タブをクリックし、ツールバーで「追加」ボタンをクリックして、エンティティの表示要素を選択します。

2. 表示要素を選択して「追加」をクリックします。

3. 「OK」をクリックして確認ダイアログを閉じます。

6. エンティティを別のエンティティにリンクします。詳細は、19.2.4.5項「エンティティ間の関係を反映するアソシエーションの作成」を参照してください。

7. エンティティをアクティブ化します。詳細は、19.2.4.7項「エンティティのアクティブ化」を参照してください。

19.2.4 エンティティ定義の作成

エンティティ定義を作成するには、この項の手順に従います。エンティティをアクティブ化するには、その前に「エンティティ詳細」ページのすべてのタブに必要な情報を提供する必要があります。

注意:

エンティティの作成後、それをトランザクションで使用するには、そのエンティティをアクティブ化する必要があります。トランザクションで使用できるのはアクティブなエンティティのみです。デフォルトでは、エンティティは作成時には無効になっています。エンティティのアクティブ化の詳細は、19.2.4.7項「エンティティのアクティブ化」を参照してください。

19.2.4.1 初期手順

エンティティを作成するには、次の手順を実行します。

1. 19.3.2項「エンティティ定義の検索」で説明するとおりにエンティティ定義の検索ページを開きます。

2. エンティティ定義の検索ページで、「新規エンティティ」ボタンをクリックします。
作成ページを開く別の方法は、3.5項「検索、作成およびインポート」を参照してください。

「新規エンティティ」ページを図19-4に示します。

図19-4 「新規エンティティ」ページ

3. 「新規エンティティ」ページで、「エンティティ名」フィールドに一意のエンティティ名を入力します。
たとえば、住所エンティティの場合は、「エンティティ名」フィールドに住所と入力します。

最大256文字のASCII文字または最大85文字のUTF-8文字を入力できます。

4. 「エンティティ・キー」フィールドに、エンティティを示すエンティティ・キー(文字列)を入力します。
エンティティ・キーは、システム・インテグレータにより提供される一意の識別子であり、APIを使用してエンティティを作成および更新するときに使用されます。インテグレータにより提供されたキーを入力します。トランザクションを変更する際にキーを変更しないでください。他のアプリケーションによりキーが参照される場合があります。キーを指定しない場合、キー・フィールドは「適用」をクリックすると自動移入されます。

5. 「説明」フィールドにデータ要素に関する説明を入力します。たとえば、カスタマの住所を入力できます。

6. 「適用」をクリックして変更を適用します。
エンティティが正常に作成されたというメッセージを示す確認ダイアログが表示されます。

7. 「OK」をクリックして、ダイアログを閉じます。
作成したエンティティの「エンティティ詳細」ページが表示されます。

ページには次の7つのタブが含まれます。

- サマリー - 一般詳細

- データ - データ要素(エンティティのデータ要素の追加および編集のために使用されます)

- IDスキーム - データ要素(エンティティのデータ要素の追加および編集のために使用されます)

- 表示 - 表示要素(識別スキームに基づいてエンティティの表示要素を追加および編集するために使用されます)

- リンクされたエンティティ - データ要素(エンティティのリンクに使用されます)

- 使用状況 - エンティティの使用方法に関する情報を表示します。

- パージ - エンティティ・データのパージの設定を有効にします。

要素を追加した場合、「データ」、「IDスキーム」、「リンクされたエンティティ」および「表示」のタブ・タイトルでは、存在するデータ要素の数がカッコ内に示されます。

19.2.4.2 データ要素の追加および編集

「データ」タブを使用して、そのエンティティの一部であるデータ要素を指定します。

住所のようなエンティティの場合、属性は住所1、住所2、住所3、市区町村、都道府県、郵便番号および国にすることができます。ラベル、説明、データ型などのメタデータ要素は、属性のプロパティを記述します。

図19-5 エンティティ・データ

次の手順に従って、エンティティの各属性の要素を定義します。

1. 「ラベル」フィールドに属性のラベルを入力します。
たとえば、住所1です。

2. エンティティの「データ・キー」フィールドにデータ・キーを指定します。
使用されるエンティティ・データ・キーは、保護されたアプリケーションから取得される文字列に必ず一致するようにしてください。エンティティ・データ・キーはデータ要素を識別するために使用されます。データ・キーは内部で使用するために指定されます。これは通常、ルール条件およびその他の目的で使用されます。

3. 「説明」フィールドにデータ・プロパティに関する説明を入力します。
たとえば、ログインするカスタマの住所です。

4. 「必須」フィールドで、要素が必須かどうかを指定します。
データ要素の中には、エンティティがそのデータがなくても機能できるために、常に移入されるわけではないものがあります。それらの要素は、必須かどうかについて「True」または「False」とマークされます。たとえば、多くの住所が住所2を持たないため、住所の住所2は必須ではありません。

5. 「暗号化済」フィールドで、要素を暗号化する必要があるかどうかを指定します。
「暗号化済」が「True」に設定されている場合、データが暗号化されてデータベース内に安全に保存できるため、機密データが保護されます。

暗号化は文字列データ・フィールドに対して使用され、その他のデータ・フィールドは暗号化する必要はありません。

暗号化されたフィールドには次の制約があります。

- これらのフィールドはルールでは使用しないでください。使用された場合、これらのフィールドとの比較対象として通常の値を指定できず、値は暗号化された値にする必要があります。

- これらのフィールドは、問合せ画面からトランザクションを問い合せるときに、検索基準で使用できません。
数値フィールドは暗号化できません。

6. 「データ型」フィールドでデータ要素のデータ型を指定し、「適用」をクリックします。
データ型は、属性が取ることができるデータの型を指定する属性であり、ブール・データ型、日付データ型、名前値プロファイル、数値データ型および文字列データ型があります。

注意:

数値データ型では暗号化は許可されません。数値データ型が選択された場合、「暗号化済」列は非アクティブになります。

7. 確認ダイアログが表示された後、「OK」をクリックします。

8. 別の要素を追加する場合は、ツールバーで「追加」ボタンをクリックし、手順1から7を繰り返します。

「削除」ボタンを使用して、エンティティ内のデータ要素を削除できます。

注意:

行および列の値はデータ型に基づいて自動的に割り当てられ、データベース内の値を再配置する場合を除き、変更しないでください。

19.2.4.3 IDスキームの要素の選択

「IDスキーム」タブで、エンティティを一意に識別するために使用する要素を選択します。

住所エンティティは、属性として住所1、住所2、住所3、市区町村、都道府県、郵便番号および国を持ちます。住所1、市区町村、国および郵便番号属性は、住所を一意に識別するために使用できます。住所2属性は必須ではありません。

住所1単独では、住所は一意に識別されません。たとえば、150 Main Streetは複数のロケーションに存在する場合があります。

「IDスキーム」タブの例を図19-6に示します。

図19-6 エンティティのIDスキーム

1. 「データ識別スキーム」を選択します。
識別スキームにより、エンティティの一部である要素を使用してエンティティを一意に識別する方法が決定されます。選択された要素はプレーン・テキスト(キー)または暗号化済(ダイジェスト)として保存する必要があります。

- キー別: このスキームは、エンティティの選択された要素を連結して、一意の識別子を作成します。

- ダイジェスト別: このスキームは、エンティティの選択された要素の値をハッシュして、一意の識別子を作成します。結果として作成されるキーは、通常は暗号化されます。データ値が大きい場合、またはデータ値を保護する必要がある場合、このスキームを使用します。

2. ツールバーで「追加」ボタンをクリックして、データ要素を追加します。

3. 「データ要素の追加」画面で、IDスキームに追加するデータ要素を選択し、「追加」をクリックします。
識別スキームに追加する1つ以上のデータ要素を選択できます。追加されたデータ要素は、その後リストで選択できなくなります。

4. 要素の順序を選択します。
「IDスキーム」タブにおける行の順序によって、情報がデータベースに保存される方法および一意に識別される方法が決まります。順序によって、エンティティを識別するデータの構成時にデータが連結される方法が決まります。順序は必須ではなく、この情報を入力しない場合は、自動的に事前入力されます。

順序は重要であるため、後から変更が必要になった場合は、行をドラッグ・アンド・ドロップして列の順序を変更できます。

「削除」ボタンを使用して、エンティティ内のデータ要素を削除できます。

19.2.4.4 表示スキームのデータの指定

「表示」タブで表示スキームを定義します。表示スキームは、表示するデータ要素、およびレポートでエンティティの値を表示する際のデータ要素の順序を指定します。

- データ要素は表示できるエンティティ・データを構成します。

- 順序によって、エンティティに対して表示されるデータの構成時にデータが連結される方法が決まります。

「表示」タブの例を図19-7に示します。

図19-7 エンティティの表示

表示することを選択したデータ要素は「トランザクション詳細」ページに表示されます。

データ要素を選択するには、次の手順を実行します。

1. 「追加」ボタンをクリックして、データ要素を追加します。

2. 「データ要素の追加」画面で、表示に追加するデータ要素を選択し、「追加」をクリックします。
たとえば、住所の場合、番地1と「市区町村」を表示することを選択できます。

3. 要素の順序を選択します。
順序によって、エンティティのデータが表示されるときに、どのデータが1番目、2番目、3番目などに表示されるかが決まります。順序は必須ではなく、この情報を入力しない場合は、自動的に事前入力されます。

たとえば、住所を表示する場合、番地1を1番目のアイテムとして表示し、「市区町村」を2番目のアイテムとして表示します。

順序は重要であるため、後から変更が必要になった場合は、行をドラッグ・アンド・ドロップして列の順序を変更できます。たとえば、英国および米国の住所には、市区町村、都道府県、郵便番号を表示に含めることを決定できます。

「削除」ボタンを使用して、表示要素を削除できます。

19.2.4.5 エンティティ間の関係を反映するアソシエーションの作成

エンティティは別のエンティティにリンクできます。患者エンティティは、住所タイプの別のエンティティにリンクできます。患者と住所エンティティ間には1対1の直接マッピングがあるため、これらの間の関係は1対1 (1:1)であると言うことができます。住所エンティティは患者に依存せず、それ自身で存在できます。これはカスタマおよびプロバイダといったその他のエンティティにリンクできます。

エンティティ間のアソシエーションを作成するには、次の手順を実行します。

1. エンティティの詳細ページから、「リンクされたエンティティ」タブをクリックし、ツールバーで「リンク」ボタンをクリックしてこのエンティティにリンクするエンティティを選択します。

2. 「エンティティ名」フィールドで、このエンティティにリンクするために選択するエンティティの名前を入力し、「エンティティ名」フィールドの隣にある「検索」ボタンをクリックします。

エンティティが名前および説明とともに結果表に表示されます。

注意:

エンティティをそれ自身にリンクすることはできません。たとえば、患者を別の患者にリンクすることはできません。

3. エンティティのリストから、このエンティティにリンクするエンティティを選択し、「次」をクリックします。
一度に選択できるエンティティは1つのみです。リンクするために選択されたエンティティが、その属性およびリンクとともに表示されます。たとえば、番地1、番地2、番地3、「市区町村」、「都道府県」、「国」、郵便番号および電話番号は、住所に対してリストされる属性の例です。

4. リンク名および説明を入力し、「追加」をクリックしてエンティティをリンクします。リンク名は2つのエンティティ間の関係です。
データ・プレビューにエンティティのデータ・フィールドが表示されます。

図19-8 「エンティティのリンク」ダイアログ

たとえば、カスタマ・エンティティは住所タイプの別のエンティティにリンクされ、出荷先住所が関係名です。

出荷先住所は、選択されたエンティティのエンティティ・インスタンスです。関係名はエンティティ内で一意である必要があります。たとえば、患者およびプロバイダ・エンティティが自宅住所という同じ名前のリンク・エンティティを持つことはできますが、患者エンティティが2つの自宅住所を持つことはできません。

図19-9 「リンクされたエンティティ」タブ

19.2.4.6 エンティティ作成中のエンティティのパージの設定

エンティティ・データのパージを設定するには、19.4項「ターゲットを指定したエンティティ・データのパージの設定」を参照してください。

19.2.4.7 エンティティのアクティブ化

エンティティの作成後、それをトランザクションで使用するには、そのエンティティをアクティブ化する必要があります。トランザクションで使用できるのはアクティブなエンティティのみです。デフォルトでは、エンティティは作成時には無効になっています。

エンティティをアクティブ化するには:

1. エンティティ定義の検索ページで、アクティブ化する各エンティティの行を選択します。

2. 「アクティブ化」ボタンをクリックします。
「アクティブ化」をクリックすると、エラーについてエンティティが検証されます(データ要素が存在する場合)。エラーがある場合は、エンティティをアクティブ化する前に修正する必要があります。

トランザクションで使用できるのはアクティブなエンティティのみです。エンティティ定義をトランザクションで使用する場合は、必ずアクティブ化してください。

19.2.5 エンティティ定義作成時の処理

エンティティ定義を作成すると、OAAMによりそのデータベース・スキーマに次のように情報が保存されます。

- VT_ENTITY_DEFにエンティティ・ヘッダー・データ(名前、キーなど)

- VT_DATA_DEF_ELEMにエンティティ・データ・フィールド定義(VT_DATA_DEF_MAPおよびVT_DATA_DEF経由のリンクを含む)

- VT_DATA_DEF_ELEMにIDスキームおよび表示スキーム・データ(VT_DATA_DEF_MAPおよびVT_DATA_DEF経由のリンクを含む)

- VT_ENT_DEFS_MAPにエンティティ(定義)間の関係RELATION_TYPE列は関係の名前を指定するために使用されます。たとえば、患者という名前のエンティティは、住所エンティティに対し、RELATION_TYPEが自宅住所の関係を持つことができます。

19.3 エンティティの管理

この項では、エンティティの管理手順について説明します。

19.3.1 エンティティ・アソシエーションの管理

エンティティのリンクは、エンティティ・データのモジュール化および再利用において非常に役立ちます。たとえば、従業員エンティティ定義およびカスタマ・エンティティ定義があるとします。両方の定義について住所情報を保存するとします。住所関連の属性を2つのエンティティに個別に追加するのではなく、住所エンティティ定義を作成して、それを従業員およびカスタマにリンクするほうが、より優れた一貫性のあるアプローチです。

リンクされたエンティティ・データは、トランザクション関連ルールで不正を検出および防止するために使用できます。リンクされたエンティティはVT_ENT_DEFS_MAP表に保存されます。

この項では、エンティティのリンクに関連するタスクを示します。

19.3.2 エンティティ定義の検索

エンティティ定義の検索ページを開くには、ナビゲーション・ツリーで「エンティティ」をダブルクリックします。

エンティティ定義の検索ページは、エンティティを管理するための開始位置です。エンティティ定義の検索ページでは、次のことを行えます。

- エンティティのリスト

- エンティティの検索

- 新規エンティティの作成

- エンティティのインポート/エクスポート

- エンティティのアクティブ化/非アクティブ化

- エンティティの削除

- 「エンティティ詳細」ページを開く

エンティティ定義の検索ページの例を図19-10に示します。

図19-10 エンティティ定義の検索

19.3.3 特定のエンティティの詳細の表示

特定のエンティティの詳細を表示するには:

1. 19.3.2項「エンティティ定義の検索」で説明するとおりにエンティティ定義の検索ページを開きます。

2. エンティティ定義の検索ページから、必要なエンティティを検索します。

3. 「検索結果」で、エンティティ名をクリックして「エンティティ詳細」ページを開きます。

図19-11 エンティティを開く

19.3.4 エンティティ使用状況の表示

「使用状況」タブは、特定のエンティティをリンクするエンティティのリストを表示するために使用できます。このページからそのようなリンクをもう1つ削除することもできます。

エンティティの使用状況を表示するには、次の手順を実行します。

1. 詳細が必要なエンティティの「エンティティ詳細」ページにいない場合は、19.3.3項「特定のエンティティの詳細の表示」の手順を実行します。

2. 「使用状況」タブをクリックして、このエンティティにリンクを追加したエンティティのリストを表示します。
「使用状況」タブは、エンティティが他のエンティティにより使用されているかどうか、およびエンティティに対する編集が他のエンティティにどのような影響を与えるかを示します。

図19-12 エンティティの使用状況

このエンティティが別のエンティティによって複数回リンクされている場合、エンティティ名にはそのエンティティがリンクされているエンティティの異なるエンティティ・インスタンス名が表示されます。

19.3.5 エンティティの編集

特定のエンティティの詳細を編集するには:

注意:

エンティティを編集する際には注意してください。エンティティを編集し、そのエンティティが複数のトランザクションに含まれる場合、異なるトランザクションに含まれるそのエンティティのすべてのインスタンスに編集が適用されます。

1. 編集するエンティティの「エンティティ詳細」ページにいない場合は、19.3.3項「特定のエンティティの詳細の表示」の手順を実行します。

2. 「サマリー」タブから、エンティティの名前および説明を変更し、エンティティをアクティブ化または非アクティブ化できます。

3. 「データ」および「IDスキーム」タブから、エンティティのデータ要素を変更できます。
スキームからデータ要素を削除すると、そのデータ要素が「追加」リストに追加されて、次に「データ要素の追加」を選択したときに使用できるようになります。

4. 「表示」タブから、エンティティの表示方法を編集できます。

5. 「適用」をクリックします。

19.3.6 エンティティの削除またはリンク解除

関係のリンク解除は、関係の削除と同じです。ただし、リンクされたエンティティの削除は同じではありません。たとえば、カスタマから住所(出荷先住所)へのリンクがあるとします。関係をリンク解除または削除すると、データベースから出荷先住所エントリが削除されます。ただし、住所エンティティ定義は保持されます。(出荷先住所という名前の)カスタマとのリンクのみが削除されます。他の名前(たとえば、請求先住所)または他のエンティティ定義(たとえば、従業員)によって、まだカスタマにリンクされている場合もあります。

リンクされたエンティティの選択されたインスタンスは、トランザクションにおいてこのインスタンスへの参照がない場合にのみ削除できます。

エンティティからエンティティをリンク解除するには:

1. エンティティをリンク解除するエンティティの「エンティティ詳細」ページにいない場合は、19.3.3項「特定のエンティティの詳細の表示」の手順を実行します。

2. 「エンティティのリンク」タブをクリックし、リンク解除するエンティティを選択します。

3. 「エンティティのリンク解除」ボタンをクリックして、選択されたエンティティをリンク解除します。

19.3.7 関係名の変更

関係名を変更するには、次の手順を実行します。

1. 編集するエンティティの「エンティティ詳細」ページにいない場合は、19.3.3項「特定のエンティティの詳細の表示」の手順を実行します。

2. 「リンクされたエンティティ」タブをクリックします。

3. リンクされたエンティティを強調表示し、「アクション」メニューからリンクされたエンティティを開くを選択します。

4. リンクされたエンティティの編集ダイアログから、「リンク名」および「説明」フィールドの情報を編集して、「保存」をクリックできます。

関係名は、エンティティ・インスタンスの作成時にエンティティ・データを渡す際に使用されます。また、エンティティがトランザクションで使用されている場合にも使用されます。トランザクション定義の作成時のマッピング・フェーズでは、ソース・データをリンクされたエンティティ・データにリンクする必要があります。特定の命名規則はありません。ただし、ドット(.)の記号は使用できません。

19.3.8 エンティティのインポートおよびエクスポート

この項では、エンティティのインポートおよびエクスポート手順について説明します。

19.3.8.1 エンティティのエクスポート

エンティティをエクスポートするには:

1. 19.3.2項「エンティティ定義の検索」で説明するとおりにエンティティ定義の検索ページを開きます。

2. エンティティ定義の検索ページで、必要な検索基準を入力し、「検索」をクリックします。

3. エクスポートする各エンティティの行を選択します。

4. 「エクスポート」ボタンをクリックするか、または「アクション」メニューの「選択項目のエクスポート」を選択します。

5. 「エンティティのエクスポート」画面で「エクスポート」をクリックします。

6. 「保存」画面で「OK」をクリックします。

19.3.8.2 エンティティのインポート

エンティティをインポートするには:

1. 19.3.2項「エンティティ定義の検索」で説明するとおりにエンティティ定義の検索ページを開きます。

2. エンティティ定義の検索ページで、「インポート」をクリックします。

3. エンティティのインポート画面で、「参照」をクリックしてインポートするエンティティ・ファイルを検索します。

4. 「OK」をクリックします。

19.3.9 エンティティの非アクティブ化および削除

この項では、エンティティの非アクティブ化および削除について説明します。

19.3.9.1 エンティティの非アクティブ化

エンティティを非アクティブ化するには:

1. 19.3.2項「エンティティ定義の検索」で説明するとおりにエンティティ定義の検索ページを開きます。

2. エンティティ定義の検索ページで、必要な検索基準を入力し、「検索」をクリックします。

3. 非アクティブ化する各エンティティの行を選択します。

4. 「非アクティブ化」ボタンを押します。

19.3.9.2 エンティティの削除

エンティティを削除するには:

1. 19.3.2項「エンティティ定義の検索」で説明するとおりにエンティティ定義の検索ページを開きます。

2. エンティティ定義の検索ページで、必要な検索基準を入力し、「検索」をクリックします。

3. 削除する各エンティティの行を選択し、ツールバーから「削除」ボタンを選択します。
削除するために選択したエンティティが使用されていないかトランザクションにリンクされている場合、確認を求める警告メッセージが表示されます。

エンティティが使用されている場合、そのエンティティは削除できません。

4. 「削除」をクリックしてエンティティを削除します。

5. 確認ダイアログで、「はい」をクリックします。

非アクティブ化したエンティティはトランザクションで使用できなくなります。トランザクションにより参照されているエンティティは削除または非アクティブ化できません。

19.4 ターゲットを指定したエンティティ・データのパージの設定

ほとんどのエンティティ関連データは、非トランザクションおよび永続的な性質を持ちます。非トランザクションおよび永続エンティティ・データのアーカイブおよびパージを効果的に管理するには、ターゲットを指定したパージ・ポリシーを使用します。

ターゲットを指定したパージ・ポリシーにより、データベースからパージするエンティティ定義の含有および除外が決定されます。データをまったくパージしないことや他のエンティティから異なる時間順序でパージすることを決定できます。ターゲットを指定したエンティティ・データのパージを設定するには、次の手順を実行します。

1. エンティティおよびトランザクション・データをアーカイブする場合は、アーカイブ表を設定し、フラグを「true」に設定します。
アーカイブはパージ・プロセスの一部であるため、データのアーカイブのみを行うよう選択することはできません。

2. 表示するエンティティの「エンティティ詳細」ページにいない場合は、19.3.3項「特定のエンティティの詳細の表示」の手順を実行します。

3. 「パージ」タブをクリックします。

4. データをパージする場合は、「いずれのエンティティ・データもパージしないでください。」オプションの選択を解除します。データをパージしない場合は、「いずれのエンティティ・データもパージしないでください。」を選択します。
注意: データがパージされている場合であっても、エンティティ定義およびトランザクション定義は保持されます。

パージ・メカニズムは階層的です。データは、トランザクションからエンティティへ、さらに関連エンティティへとパージされます。

5. 指定した日数より古いデータを削除するようデータベースを設定します。
指定の日数より古い未使用のエンティティ・データをパージするオプションにより、関連エンティティを含め、どのデータをパージするかが決定されます。

指定する単位として、年数および月数は日数に変換する必要があります。

過去180日間に更新されていないデータはデフォルトでパージされます。

保存期間が0の場合、そのデータがパージされることはありません。保存期間には英文字または負数は使用できません。

データをパージするオプションを選択した場合、保存期間をnullまたは空にできません。

19.5 ベスト・プラクティス

この項では、エンティティ作成のベスト・プラクティスについて説明します。

- トランザクション間で再利用可能なデータ構造はエンティティにする必要があります。

- クレジット・カードおよび社会保障番号などの機密データはデータベース内で暗号化する必要があります。

- 使用されるデータ・キーは、保護されたアプリケーションから取得される文字列に必ず一致するようにしてください。

- パフォーマンス上の目的のためにデータベース内のフィールドを再配置する場合は、行および列の値を変更できます。10列のうち最初の3列のみがデフォルトで索引付けされます。フィールドの再配置はパフォーマンスに影響します。

20 トランザクションの管理

この章では、トランザクション定義の作成と使用、およびクライアント固有のデータとOAAMデータベースのマッピングに焦点を当てます。このマッピングは、管理者がトランザクション・エンティティの調査とトランザクションのリスク・レベル定義を行ったり、調査担当者がトランザクション・データを確認して不正を予防するのに役立ちます。

この章では、次の内容を説明します。

- 20.1項「トランザクション処理」

- 20.2項「トランザクション定義の作成の概要」

- 20.3項「トランザクションを分析するための前提条件」

- 20.4項「トランザクション定義の作成および使用」

- 20.5項「トランザクション定義の管理」

- 20.6項「トランザクション定義別のトランザクション・データのターゲット・パージ設定」

- 20.7項「トランザクション検索」

- 20.8項「OAAMトランザクションのユース・ケース」

20.1 トランザクション処理

Oracle Adaptive Access Managerでは、不正および誤用を防ぐために、トランザクションに関連するリスクをリアルタイムで評価できます。正常ログイン後に監視が必要となるユーザー・アクティビティは、トランザクションと呼ばれます。トランザクションは、OAAMでリスク分析のために処理される有用な情報で構成されており、操作しやすくするために、関連データをグループ化してエンティティを形成できます。トランザクション機能を使用する場合は、ネイティブ統合が必要になります。デプロイメントの詳細は、第18章「OAAMでのトランザクションのモデル化」を参照してください。OAAMトランザクション処理のフローは次のとおりです。

1. Oracle Adaptive Access Managerを利用する管理者は、クライアント・トランザクションを表すためのエンティティおよびトランザクション・データを定義します(トランザクション定義)。

2. Oracle Adaptive Access Managerサーバーでクライアント・アプリケーションからの情報を処理できるよう、エンティティおよびトランザクション・データ要素がソース・データ(クライアント固有のデータ)にマップされます。たとえば、オンライン・トランザクションでは、クレジット・カード、eチェック、デビット・カード、金額(ドル)、名前、出荷先住所、請求先住所などの情報が関係します。

3. クライアントのトランザクション・ページから、アクティビティを監視するために必要な情報がOracle Adaptive Access Managerに渡されます。

4. 『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』で説明されているAPIを使用して、トランザクション・データがOracle Adaptive Access Managerサーバーに保存されます。

5. Oracle Adaptive Access Managerにより、トランザクション定義に基づいて、クライアントのトランザクション・データに対して認可ルールや不正分析が施行されます。

20.2 トランザクション定義の作成の概要

トランザクション定義を作成するには、次のタスクが必要になります。

1. トランザクション定義を作成します。図20-1に、トランザクション定義作成プロセスを示します。

図20-1 トランザクション定義作成プロセス

トランザクション定義により、カスタマ・トランザクションに直接マップするトランザクションが取得されます。カスタマからのトランザクション・データは、OAAMでリスク分析のために処理されます。図20-2に、エンティティとトランザクションの関係およびそれらが分析でどのように使用されるかを示します。

図20-2 データの関係

トランザクション定義を作成して使用するための大まかな手順は次のとおりです。

1. トランザクション定義にエンティティ・インスタンスを追加します。
詳細は、20.4.3項「トランザクションへの既存のエンティティの追加」または20.4.4項「トランザクションへの新規エンティティの追加」を参照してください。

2. Oracle Adaptive Access Managerエンドでトランザクションのトランザクション・データ要素を追加します。
たとえば、トランザクション金額やトランザクション日です。

エンティティに適合しないすべてのデータ・フィールドをトランザクション・データ要素として追加する必要があります。

詳細は、20.4.5項「OAAM用のトランザクション・データの定義」を参照してください。

3. クライアント・エンドからトランザクションのソース・データを追加します。
ソース・データ要素は、クライアント・エンドからのパラメータのリストです。これらのフィールドには、外部アプリケーションからの詳細が入力されます。トランザクション・データを送信するときに、外部アプリケーションで使用されるキーとソース・データの内部IDが一致することを確認してください。

詳細は、20.4.6項「クライアント・エンドからのトランザクションのソース・データ」を参照してください。

4. トランザクションをソース・データにマップし、さらにエンティティをソース・データにマップします。
詳細は、20.4.7.2項「エンティティとソース・データのマップ」を参照してください。

マッピングにより、ソース・データがエンティティおよびトランザクション・データに接続されます。

5. トランザクション定義をアクティブ化します。
詳細は、20.5.7項「トランザクション定義のアクティブ化」を参照してください。

2. アラートを作成します。アラートは異常を管理者に通知するか、またはルールがトリガーされた場合にシステムの情報を送信するために使用されます。

3. トランザクション条件を使用するポリシーを作成します。

4. ルールをポリシーに追加します。ルールには、トランザクション条件を含める必要があります。

5. ルールをポリシーに追加する際、「チェックするトランザクションの選択」フィールドでトランザクション定義を選択します。

6. アラートをポリシーにリンクします。

7. クライアント・アプリケーションにログインしてトランザクションを実行することで、ポリシーを検証します。

20.3 トランザクションを分析するための前提条件

Oracle Adaptive Access Managerでトランザクションを分析するためには、Oracle Adaptive Access Managerでトランザクションを表す方法、渡されたデータを処理する方法、データを使用する方法、およびデータを表示する方法を決定する必要があります。

アプリケーションにログインして、利用可能なビジネス・データを確認します。

1. サード・パーティ・トランザクションの対象となるすべてのエンティティおよびトランザクション・フィールドを識別します。

2. 紙面上で、トランザクション定義を決め、その定義とソース・データのマッピングを決定します。ソース・データ要素は、カスタマ・アプリケーションからのフィールドです。カスタマ・アプリケーションで使用されるキーとソース・データのキーが一致することを確認してください。

3. Oracle Adaptive Access Managerにログインします。

4. 「サインイン」ページで、資格証明を入力し、「サインイン」をクリックします。
サインインが成功したら、Oracle Adaptive Access ManagerにOAAM管理コンソールが表示されます。

5. 必要なエンティティを作成してアクティブ化します。例では、カスタマ、クレジット・カード、出荷先住所および請求先住所をエンティティとして作成します。詳細は、第19章「エンティティの作成および管理」を参照してください。

これで、OAAMトランザクションを作成できるようになりました。トランザクション定義により、カスタマ・トランザクションに直接マップするトランザクションが取得されます。この定義は、監視のためにポリシーで使用されます。

20.4 トランザクション定義の作成および使用

OAAMでは、トランザクション定義に基づいて、カスタマ・データとシステム・データベース間のマッピングが指定されます。これらのマッピングは、トランザクションごとに作成されます。

20.4.1 「トランザクション」ページを開く

「トランザクション」ページは、トランザクション定義を管理するための開始位置です。「トランザクション」ページでは、次のことが可能です。

- トランザクション定義とトランザクション検索の各ページを開く

- トランザクション定義の表示

- 新規トランザクション定義の作成

- トランザクション定義のアクティブ化

- トランザクション定義の非アクティブ化

- トランザクション定義のインポート

- トランザクション定義のエクスポート

- トランザクション・インスタンスおよびログの検索

- エンティティ・インスタンスおよびログの検索

トランザクション定義の新規作成、アクティブ化および非アクティブ化には、一括操作は指定できません。

「トランザクション」ページを開くには、ナビゲーション・ツリーで「トランザクション」をダブルクリックします。

または次の方法を使用できます。

- ナビゲーション・ツリーで「トランザクション」を右クリックし、コンテキスト・メニューから「トランザクションのリスト」を選択します。

- ナビゲーション・ツリーで「トランザクション」を選択し、「アクション」メニューから「トランザクションのリスト」を選択します。

- ナビゲーション・ツリーのツールバーで「トランザクションのリスト」ボタンをクリックします。

20.4.2 トランザクション定義の作成

トランザクション定義の作成を開始するには、次の手順を実行します。

1. トランザクション検索ページで、「新規トランザクション」ボタンをクリックします。
または次の方法を使用できます。

- ナビゲーション・ツリーで「トランザクション」を右クリックし、コンテキスト・メニューから「新規トランザクション」を選択します。

- ナビゲーション・ツリーで「トランザクション」を選択し、「アクション」メニューから「新規トランザクション」を選択します。

- ナビゲーション・ツリーのツールバーで「新規トランザクションの作成」ボタンをクリックします。

- 「検索結果」ツールバーから「新規トランザクションの作成」ボタンを選択します。

- 「検索結果」の「アクション」メニューから「新規トランザクション」を選択します。

新規トランザクション定義ページが表示されます。

2. 新規トランザクション定義ページで、トランザクション定義名を入力します。
有効な名前を入力してください。一意である必要があります。トランザクション定義名では、大/小文字は区別されません。

3. 説明を入力します。
参考のために、トランザクション定義の説明を入力します。

4. 定義キーを入力します。
Oracle Adaptive Access Managerでは、この定義キーの値に基づいて、クライアント/外部トランザクション・データがトランザクション定義にマップされます。

この値は、OAAMサーバーでトランザクション・データの作成または更新のためのAPIコールを行うときに送信されます。

5. 必要な入力が済んだら、「適用」ボタンをクリックします。
新しいトランザクションが作成されます。これで、新規エンティティを追加したり、既存のエンティティをマップできるようになりました。

20.4.3 トランザクションへの既存のエンティティの追加

エンティティは複数のトランザクションで再利用できるデータ構造です。たとえば、住所エンティティは出荷先住所、請求先住所、自宅住所などとして使用できます。また、ほとんどのエンティティでは、データを最適化するために、複数のデータ・ポイントをこの構造に組み込むこともできます。たとえば、従業員エンティティのプロパティのセットには、名、姓、社会保障番号、部門、給与エンティティ・プロパティなどがあります。従業員エンティティをトランザクションに関連付ける場合は、請負業者、海外勤務従業員などのインスタンスを作成できます。

トランザクション定義にエンティティのインスタンスを追加し、後でデータ・フィールドをカスタマ・ソース・データにマップできます。

「エンティティ選択」ページで、次の手順を実行します。

1. 「既存エンティティの追加」をクリックします。
「エンティティの追加」画面が表示されます。

2. エンティティを検索し、「エンティティ名」フィールドの横にある「検索」ボタンをクリックします。
非アクティブなエンティティは、トランザクションに追加できません。

エンティティは単一選択が可能です。

3. 「次」ボタンをクリックします。
プレビューには、選択したエンティティに関連付けられているデータ・フィールドと選択したエンティティにリンクされたエンティティが表示されます。

図20-3 既存のエンティティの追加

4. インスタンス名を入力します。
インスタンス名は、一意である必要があります。インスタンス名は、必要に応じて後で編集できます。

5. 「追加」をクリックして、選択したエンティティを追加します。
エンティティおよびリンクされたエンティティが「エンティティ」タブに表示されます。

図20-4 リンクされたエンティティ

表示順序は自動的に生成され、次に利用可能な順序になります。順序は、必要に応じて後で変更できます。

同じエンティティの複数のインスタンスを追加できます。

20.4.4 トランザクションへの新規エンティティの追加

「エンティティ選択」ページで、次の手順を実行します。

1. 新規エンティティの作成をクリックします。

2. 「エンティティ名」および「説明」に情報を入力し、「次」をクリックします。
詳細は、第19章「エンティティの作成および管理」の19.2.4.1項で初期手順に関する項を参照してください。

3. 「エンティティ・データ」ページで、エンティティのデータ要素を追加します。
ベスト・プラクティス: トランザクションを定義し、使用を開始した後で、トランザクション定義に含まれるフィールドのデータ型や長さなどを変更しないでください。

詳細は、第20章「トランザクションの管理」の19.2.4.2項「データ要素の追加および編集」を参照してください。

4. エンティティIDスキーム・ページで、エンティティを一意に識別するために使用する要素を選択します。
詳細は、第19章「エンティティの作成および管理」の19.2.4.3項でIDスキームの要素の選択に関する項を参照してください。

5. エンティティ表示ページで、エンティティの値を表示するときに提示するデータ要素とその順序を指定し、「終了」をクリックします。
エンティティの作成を取り消すには、「取消」ボタンを使用します。「取消」を押すと、「エンティティ選択」画面が表示されます。

詳細は、第19章「エンティティの作成および管理」の19.2.4.4項で表示スキームのデータの指定に関する項を参照してください。

6. 手順1から5を実行して、トランザクション定義に追加する新規エンティティを作成します。

20.4.5 OAAM用のトランザクション・データの定義

トランザクション・データは、発生したトランザクションごとに一意で一時的なものであるため、異なるトランザクション間で再利用することはできません。たとえば、トランザクションの合計金額(ドル)を複数のトランザクションで再利用することはできないため、合計金額はエンティティではなくトランザクション・データである必要があります。

トランザクション・データの例を次に示します。

- 金額(ドル)

- クーポン・コード

- 項目番号

トランザクション定義にトランザクション・データを追加するには、次の手順を実行します。

1. 「データ」タブをクリックします。

図20-5 小売りE-Commerceのデータ

2. 「トランザクション・データ」ページで、「行の追加」をクリックします。

3. データ名を入力します。

4. データ型を入力します。

5. 内部IDを入力します。
内部IDは、データ要素の識別に使用されます。トランザクション・データで指定する内部IDは内部で使用されます。これは通常、ルール条件およびその他の目的で使用されます。一度定義した内部IDは変更しないでください。

6. 説明を入力します。

7. 要素を暗号化するかどうかを指定します。
暗号化するように設定した場合、データはデータベースに格納される前に暗号化されます。この機能により機密データを保護できます。

暗号化されたフィールドには次の制約があります。

- これらのフィールドをルールで使用することはできません。

- 問合せ画面からトランザクションを問い合せる際は、これらのフィールドを検索基準として使用することはできません。

トランザクション・データ・フィールドで暗号化された値は、OAAMアプリケーション以外では復号化できません。たとえば、暗号化されたデータには、カスタマイズされたルール条件ではアクセスできません。さらに、暗号化されたデータ要素は、BI Publisherレポートでは表示できません。

8. 要素が必須かどうかを指定します。
データは利用できない場合もあるため、一部のデータ要素は未入力になることもあります。これらの要素は、必須ではないものです。たとえば、住所の「住所2」は存在しないことが多いため、必須ではありません。

9. 「追加」をクリックします。

10. 手順2から8を実行して、他の要素を追加します。
トランザクション定義に新規トランザクション・データを追加する前に、前の行の必須のフィールドを指定する必要があります。

11. 「次」ボタンを押してソース・データを追加します。

行値および列値

行値と列値は、Oracle Adaptive Access Managerサーバーによって自動的に割り当てられます。行値や列値を変更する必要がある場合は、次のガイドラインに従ってください。

1. 最もよく使用するフィールドの列値を1から3または11から13に設定します(数値か数値以外かによります)。

2. 特定の行に対して合計で13個のフィールドを使用できます。

3. 数値以外のフィールドの場合、列値を1から10に設定します。

4. 数値フィールドの場合、列値を11から13に設定します。

「データ」タブのフィールドは、データベース内のVT_TRX_DATA表のDATAX列(数値以外の場合)、NUM_DATAX列(数値の場合)にマップされます。

「エンティティ」のフィールドは、データベース内のVT_ENTITY_ONE_PROFILE表のDATAX列(数値以外の場合)、NUM_DATAX列(数値の場合)にマップされます。

20.4.6 クライアント・エンドからのトランザクションのソース・データ

ソース・データ(クライアント・データ)は、トランザクションの一環として、保護されたアプリケーションから渡されるデータのことです。

ソース・データはクライアントによって定義されます。トランザクション定義にソース・データ要素を追加するには、次の手順を実行します。

1. 「ソース・データ」タブをクリックします。

図20-6 小売りE-Commerceのソース・データ

2. 「ソース・データ」ページで、「行の追加」をクリックします。

3. データ名を入力します。
データ名は、要素を識別するための手段です。

データ名は一意にする必要があります。

4. データ型を入力します。

5. 内部IDを入力します。
内部IDはクライアントから提供されます。

6. 説明を入力します。

7. ソース・データが必要かどうかを指定します。

8. 「追加」を押します。

9. 手順1から7を実行して、他の要素を追加します。

10. すべてのソース・データ要素を追加したら、「次」をクリックします。

20.4.7 ソース・データのマップ

マッピングは、トランザクション・データおよびエンティティにソース・データを接続するための手段です。

図20-7 小売りE-Commerceのマッピング

20.4.7.1 トランザクション・データとソース・データのマップ

ソース・データにトランザクション・データを接続するには、次の手順を実行します。

1. 「マッピング」ページの「トランザクション・データ・マッピング」セクションで、「トランザクション・データ・マッピングの追加」をクリックします。

2. トランザクション・データを選択します。
「OAAM用のトランザクション・データの定義」セクションで定義したデータ要素が選択肢になります。

3. 「ソース・データ」を選択します。
「クライアント・エンドからのトランザクションのソース・データ」セクションで追加したクライアント・データ要素が選択肢になります。

4. マッピング・タイプを選択します。
「直接」、「連結」、「終了文字列」および「部分文字列」を選択します。

- ソース・データ要素と宛先データ要素の1対1のマッピングが必要な場合は、「直接」を選択します。

- 複数のソース・データ要素を結合して1つのデータ要素を形成する場合は、「連結」を選択します。

- ソース・データの最後のx個の文字をデータとして使用する場合は、「終了文字列」を選択します。

- ソース・データの一部をデータとして使用する場合は、「部分文字列」を選択します。

5. マッピング・タイプとして「連結」を選択した場合は、セパレータを入力する必要があります。

6. 「終了文字列」を選択した場合は、最後のx個の文字を入力する必要があります。
「部分文字列」を選択した場合は、「開始索引」および「終了索引」を入力する必要があります(CSV形式)。たとえば、「account」の「acc」を使用する場合は、「1,3」と指定します。

「変換パラメータ」は、終了文字列、小文字、部分文字列など、特定のマッピング・タイプを選択する場合に定義するパラメータです。

7. 「データのマップ」を選択します。

8. 手順2から6を実行して、他の要素をマップします。

9. 「終了」をクリックするか、エンティティのマッピングを実行します。

20.4.7.2 エンティティとソース・データのマップ

エンティティ要素のマッピングを追加するには、次の手順を実行します。

1. 「マッピング」ページのエンティティ・データ・マッピング・パネルで、エンティティ名を選択します。
マッピングで目的のエンティティ名を選択すると、対応するエンティティのデータ要素が「エンティティ・データ」リストに一覧表示されます。

図20-8 エンティティ・データのマップ

2. エンティティ・データを選択します。

3. 「ソース・データ」を選択します。

4. マッピング・タイプを選択します。
「直接」、「連結」、「終了文字列」および「部分文字列」を選択します。

- ソース・データ要素と宛先データ要素の1対1のマッピングが必要な場合は、「直接」を選択します。

- 複数のソース・データ要素を結合して1つのデータ要素を形成する場合は、「連結」を選択します。

- ソース・データの最後のx個の文字をデータとして使用する場合は、「終了文字列」を選択します。

- ソース・データの一部をデータとして使用する場合は、「部分文字列」を選択します。

5. マッピング・タイプとして「連結」を選択した場合は、セパレータを入力する必要があります。

6. 「終了文字列」を選択した場合は、最後のx個の文字を入力する必要があります。
「部分文字列」を選択した場合は、「開始索引」および「終了索引」を入力する必要があります(CSV形式)。たとえば、「account」の「acc」を使用する場合は、「1,3」と指定します。

「変換パラメータ」は、終了文字列、小文字、部分文字列など、特定のマッピング・タイプを選択する場合に定義するパラメータです。

7. 「データのマップ」をクリックします。

8. 「終了」をクリックするか、トランザクション・データのマッピングを実行します。
トランザクション定義を作成すると、新しい「トランザクション詳細」ページが開きます。

20.4.7.3 マッピングの編集

トランザクション・データの場合、トランザクション・データ、ソース・データおよびマッピング・タイプを指定できます。

エンティティ・マッピングの場合、エンティティ名、トランザクション・データ、ソース・データおよびマッピング・タイプを指定できます。

20.4.8 定義のアクティブ化

デフォルトでは、作成したトランザクション定義は無効化されています。

トランザクション定義は、「トランザクション詳細」ページの「アクティブ化」ボタンを使用してアクティブ化します。

トランザクション定義をアクティブ化するには、事前にいくつかの手順を済ませておく必要があります。そうしないと、エラー・メッセージが表示されます。

トランザクション定義をアクティブ化するための前提条件は次のとおりです。

- ソース/入力データ要素

- 必要なすべてのトランザクション・データ要素のマッピング

- トランザクション・エンティティで必要になるすべての要素のマッピング

20.4.9 ポリシーのモデル化

トランザクションに対する不正チェックを実行するよう、該当する不正ポリシーをトリガーするOAAMチェックポイントを決定します。既存のチェックポイントを再利用できる場合は、チェックポイントを作成する必要はありません。それ以外の場合は、トランザクションのOAAMチェックポイントを作成します。

次に、対象のトランザクションに対する不正ポリシーにどのようなルールを組み込む必要があるかを考えます。

トランザクション・ルール条件のリストを確認し、必要となるルール条件を検討してください。それらのルール条件の「使用例」に関する項を参照してください。

OAAMポリシーを作成し、ルールを追加してください。

20.4.10 トリガー結果の構成

ルール条件の構成後、ルール条件を満たした場合に「結果」に何を表示するかを指定します。ユーザーがしきい値とスコアに達したことを通知するよう、「アラート」および「アクション」グループを構成できます。クライアント・アプリケーションでは、結果を解釈し、ユーザー・アクションが禁止されていることを示す関連ページにユーザーを適宜リダイレクトできます。

これで、OAAMで設定を準備して、OAAMでトランザクションを作成したり、不正ポリシーとルールをトリガーできるようになりました。

20.4.11 クライアント・アプリケーションの統合

OAAM共有ライブラリを使用して、クライアント・アプリケーションをOAAMと統合します。統合の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のネイティブJavaアプリケーションの統合に関する項を参照してください。これが必要になるのは、トランザクション機能はネイティブ統合を通じて利用可能になるためです。この統合の一環として、クライアント・アプリケーションで次の2つが実行されます。

- OAAMデータ収集APIを呼び出して、トランザクション・データを渡します。OAAMデータ収集APIにより、トランザクション定義に基づくトランザクション・データがOAAMデータベースに保持されます。これにより、OAAMエンティティおよびトランザクション・データが作成されます。これらのAPIの出力は、トランザクションID (カスタマがトランザクションを送信したときに作成される一意の識別子)です。

- OAAMルールAPIを呼び出して、チェックポイントに関連付けられている不正ポリシー/ルールをトリガーします。この手順により、該当するチェックポイントに関連付けられているポリシーやルールを実行するルール・エンジンがトリガーされ、特定のルールがトリガーされた場合はアラートが作成されます。これらのAPIの出力は、ポリシーやルールによって返される一連のアクションおよびリスク・スコアです。

クライアント・アプリケーションとの統合が完了したら、サンプルのトランザクションを実行し、エンドツーエンド・フローを確認できます。

20.5 トランザクション定義の管理

この項では、トランザクション定義を管理するための手順を説明します。

20.5.1 トランザクション定義の検索

トランザクション検索ページでは、すべてのトランザクション定義のリストを表示し、様々な基準に基づいてトランザクション定義を検索できます。トランザクション検索ページでは、任意のトランザクションの「トランザクション詳細」ページにアクセスできます。

トランザクション定義を検索するには、次の手順を実行します。

1. 20.5.1項「トランザクション定義の検索」の説明に従って、トランザクション検索ページを開きます。

2. 「検索フィルタ」でトランザクションの検索基準を指定し、「検索」をクリックします。
表20-1「検索フィルタの基準」に、検索フィルタ基準の説明を示します。

検索パラメータをデフォルト設定にリセットする場合は、「リセット」ボタンを使用します。

表20-1 検索フィルタの基準

フィールド

説明

名前

トランザクションの名前

キー

このキー値は、Oracle Adaptive Access Managerサーバーでトランザクションにクライアント/外部トランザクション・データをマップするために使用されます。

キーワード

キーワード。キーワード・フィルタを使用すると、有益な検索結果が得られやすくなります。

ステータス

トランザクションのステータス

「検索結果」表に、指定した基準を満たすトランザクションのサマリーが表示されます。

デフォルトでは、トランザクションは「名前」でソートされますが、「キー」や「キーワード」でソートすることもできます。

トランザクションごとに名前があります。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。

20.5.2 トランザクション定義の表示

「検索結果」表に、検索基準を満たすトランザクションのサマリーが表示されます。

目的のトランザクションの行をクリックすると、詳細が表示されます。

20.5.3 トランザクション定義の編集

特定のトランザクション定義の詳細を編集するには、次の手順を実行します。

トランザクション定義を変更する場合、定義IDは変更しないでください。定義IDは、他のアプリケーションによって参照されている場合があります。

1. 編集対象のトランザクション定義に関するトランザクション定義の詳細ページが表示されていない場合は、20.5.1「トランザクション定義の検索」の手順に従います。

2. 「一般」タブで、トランザクション定義の名前と説明を編集します。

3. 「エンティティ」タブで、対象のエンティティを選択し、「エンティティの編集」をクリックして、エンティティを編集します。

4. 「データ」タブで、データ要素を編集します。

5. 「ソース・データ」タブで、編集を行います。

6. 「マッピング」タブの「データ・マッピング」セクションで、「マッピングの編集」をクリックし、ソース・データとマッピング・タイプを編集して、「マップ」をクリックします。

7. 「マッピング」タブの「エンティティ・マッピング」セクションで、「マッピングの編集」をクリックし、エンティティ名、トランザクション・データ、ソース・データおよびマッピング・タイプの各フィールドを編集します。

8. 「適用」または「元に戻す」をクリックします。
「適用」をクリックした場合、トランザクション定義の更新は適用されます。

「元に戻す」をクリックした場合、トランザクション定義の更新は適用されません。

20.5.4 トランザクション定義の削除

トランザクション定義を削除するには、次の手順を実行します。

1. 20.5.1項「トランザクション定義の検索」の説明に従って、目的のトランザクション定義を検索します。

2. 削除するポリシーに対応する行を選択し、「削除」ボタンを押すか、「アクション」メニューからトランザクション定義の削除を選択します。
変更が永続的であることを通知し、続行するかどうかを確認する警告メッセージが表示されます。

削除対象として選択したトランザクション定義がもう使用されていなかったり、過去のトランザクション・データが含まれている場合は、確認を求めるメッセージが表示されます。「はい」と回答すると、トランザクション定義が削除されます。

削除対象として複数のトランザクション定義を選択し、そのうちの一部がまだ使用されていたり、過去のトランザクション・データが含まれている場合は、使用中のインスタンスは削除できないことを示す警告メッセージが表示されます。そこで、残りのトランザクション定義を削除するかどうか確認を求められます。「はい」と回答すると、使用されていないトランザクション定義が削除されます。

注意:

使用中であったり、過去のトランザクション・データが含まれているトランザクション定義は削除できません。

3. 「情報」ダイアログで、「OK」をクリックします。
トランザクション定義が削除されます。

20.5.5 トランザクション定義のエクスポート

トランザクション定義をエクスポートするには、次の手順を実行します。

1. 20.4.1項「トランザクション・ページを開く」の説明に従って、トランザクション定義検索ページを開きます。

2. トランザクション定義検索ページで、目的の検索基準を入力し、「検索」をクリックします。20.5.1項「トランザクション定義の検索」を参照してください。

3. エクスポートするトランザクション定義に対応する行をすべて選択します。

4. 「エクスポート」ボタンをクリックするか、「アクション」メニューからトランザクション定義のエクスポートまたは「削除スクリプトの生成」を選択します。

5. トランザクション定義のエクスポート画面で、「エクスポート」をクリックします。
「削除スクリプトの生成」を使用すると、選択したトランザクション定義の削除スクリプトをエクスポートできます。アプリケーションにトランザクション定義が存在する場合は、このスクリプトを後でインポートして、それらの定義を削除できます。

6. ファイルをディスクに保存します。
ファイルがエクスポートされます。

7. 「OK」をクリックします。

エクスポートおよび削除対象として選択したトランザクション定義がもう使用されていなかったり、過去のトランザクション・データが含まれていない場合は、確認を求めるダイアログが表示されます。「はい」と回答すると、トランザクション定義が削除されます。

エクスポートおよび削除対象として複数のトランザクション定義を選択し、そのうちの一部がまだ使用されていたり、過去のトランザクション・データが含まれている場合は、削除可能な定義と削除不可の定義を通知するメッセージが表示されます。使用されているトランザクション定義ごとに、「使用状況」ツリーへのリンクが用意されています。ダイアログには、使用されていなかったり、過去のトランザクション・データが含まれているトランザクション定義を削除するためのオプションも用意されています。

20.5.6 トランザクション定義のインポート

トランザクション定義をインポートするには、次の手順を実行します。

1. 20.4.1項「トランザクション・ページを開く」の説明に従って、トランザクション定義検索ページを開きます。

2. トランザクション定義検索ページで、「インポート」をクリックするか、「アクション」メニューからトランザクション定義のインポートを選択します。

3. トランザクション定義のインポート画面で、「参照」をクリックして、インポート対象のトランザクション定義を探します。

4. 「OK」をクリックします。

20.5.7 トランザクション定義のアクティブ化

トランザクション定義をアクティブ化するには、次の手順を実行します。

1. 20.4.1項「トランザクション・ページを開く」の説明に従って、トランザクション定義検索ページを開きます。

2. トランザクション定義検索ページで、目的の検索基準を入力し、「検索」をクリックします。20.5.1項「トランザクション定義の検索」を参照してください。

3. アクティブ化するトランザクション定義に対応する行を選択します。

4. 「アクティブ化」ボタンを押すか、または「アクション」メニューから「アクティブ化」を選択します。

複数の行を選択した場合、「アクティブ化」ボタンは無効化されます。

トランザクションをアクティブ化するには、(すべてのタブで)必須の情報をすべて入力しておく必要があります。少なくとも1つのソース・データ要素が存在している必要があります。

20.5.8 トランザクション定義の非アクティブ化

トランザクション定義を非アクティブ化するには、次の手順を実行します。

1. 20.4.1項「トランザクション・ページを開く」の説明に従って、トランザクション定義検索ページを開きます。

2. トランザクション定義検索ページで、目的の検索基準を入力し、「検索」をクリックします。20.5.1項「トランザクション定義の検索」を参照してください。

3. 非アクティブ化するトランザクション定義に対応する行を選択します。

4. 「非アクティブ化」ボタンを押すか、または「アクション」メニューから「非アクティブ化」を選択します。

複数の行を選択した場合、「非アクティブ化」ボタンは無効化されます。

トランザクションを無効化しても、トランザクション・ベースのルールがトリガーされるので注意してください。トランザクションが無効な場合でも、そのトランザクションに作用するように設定されているルールがアクティブな場合は、トランザクション・データが評価の入力として使用されます。ルールがトリガーされると、「セッション詳細」にトランザクション・データが表示され、アラートとアクションがトリガーされます。トランザクションを無効化しても、そのトランザクションは無効になりません。トランザクションの条件マッピングにトランザクションが表示されなくなるだけです。ユーザー・インタフェース・レポート・サマリーに返されるルールに表示されるレコード件数を減らす場合は、トランザクションを無効にします。ただし、すべてのトランザクションの処理を無効にする場合は、ルールを非アクティブ化する必要があります。

20.6 トランザクション定義別のトランザクション・データのターゲット・パージ設定

データの増大量はトランザクションごとに異なります。データの増大をより効果的に管理できるよう、トランザクション・データのターゲット・パージを指定できます。

ターゲット・パージ・ポリシーにより、データのどの部分をデータベースからパージするかを指定します。データをまったくパージしないように指定したり、他のトランザクションとは異なる時系列でパージすることもできます。ターゲット・パージを設定するには、次の手順を実行します。

1. エンティティおよびトランザクション・データをアーカイブする場合は、アーカイブ表を設定し、フラグを「true」に設定します。

注意:

アーカイブはパージ・プロセスの一部であるため、データのアーカイブのみを行うよう選択することはできません。

2. トランザクション定義の詳細ページで、「パージ」タブをクリックして、トランザクション・データをデータベースからいつパージするかを決める値を設定します。

図20-9 小売りE-Commerceのパージ

3. データをパージする場合は、「いずれのトランザクション・データもパージしないでください。」オプションの選択を解除します。データをパージしない場合は、「いずれのトランザクション・データもパージしないでください。」を選択します。
注意: データがパージされている場合であっても、エンティティ定義およびトランザクション定義は保持されます。

パージ・メカニズムは階層的です。データは、トランザクションからエンティティへ、さらに関連エンティティへとパージされます。

4. 「次の期間更新されていないトランザクション・データをすべてパージします: 過去」オプションを使用して、削除対象とするデータを指定します。指定した日数より古いデータを削除するようデータベースを設定します。

注意:

パージ対象のデータが年規模や月規模である場合は、年や月を日に変換する必要があります。

過去180日間に更新されていないデータはデフォルトでパージされます。

保存期間が0の場合、そのデータがパージされることはありません。保存期間には英文字または負数は使用できません。

20.7 トランザクション検索

この項では、Oracle Adaptive Access Managerのトランザクション検索機能について説明します。トランザクション検索の詳細は、後続の項を参照してください。

トランザクション検索を使用すると、システムで作成された様々なトランザクションを検索できます。トランザクションを見ると、認可や分析でどのような情報が使用されるかがわかります。たとえば、トランザクション金額やトランザクション口座番号などを検索フィルタとして、「インターネット・バンキング」に関する情報を検索できます。

次に、「インターネット・バンキング」とそのトランザクション関連フィルタを使用したトランザクション検索の例を紹介します。

インターネット・バンキング:

- トランザクション金額

- トランザクション口座番号

- カスタマの名

- カスタマの姓

20.8 OAAMトランザクションのユース・ケース

この項では、トランザクション定義のサンプル・ユース・ケースについて説明します。

20.8.1 トランザクションのユース・ケースの実施

Joeは、リテール・バンキングのカスタマの1人です。リテール・バンキングのカスタマは、1日当たり合計で$500までの送金を行うことができます。

実施タスク:

1. 送金トランザクションを構成するソース・データ・フィールドを識別します。

2. 送金トランザクション・タイプを識別する一意の識別子を割り当てます。

3. OAAMエンティティおよびトランザクションの観点で、送金トランザクションをモデル化する方法を決定します。

4. 送金のソース・データとOAAMエンティティおよびトランザクションのマッピングを識別します。

5. OAAM管理を使用して、策定したモデルに基づいて、送金のエンティティおよびトランザクション定義を作成およびアクティブ化します。

6. 送金トランザクションに対する不正チェックを実行するよう、該当する不正ポリシーをトリガーするOAAMチェックポイントを決定します。既存のチェックポイントを再利用できる場合は、チェックポイントを作成する必要はありません。それ以外の場合は、送金トランザクションのOAAMチェックポイントを作成します。

7. 次に、対象のトランザクションに対する不正ポリシーにどのようなルールを組み込む必要があるかを考えます。

8. ユース・ケースに基づいて、1日当たりに許容される送金額合計にしきい値を設けます。

9. B.8「トランザクション条件」でトランザクション・ルール条件のリストを確認します。それらのルール条件の「使用例」に関する項を参照してください。

10. このユース・ケースでは、「トランザクション: フィルタ条件を使用したトランザクション集計および件数の確認」ルール条件を使用して、ユーザーが1日当たりの送金額のしきい値である$500に達したかどうかを確認できます。

11. OAAMポリシーを作成し、「トランザクション: フィルタ条件を使用したトランザクション集計および件数の確認」ルール条件を使用してルールを追加し、ルール条件で次のように指定します。

表20-2 トランザクション・ルールの構成

パラメータ

値

チェックするトランザクション

送金のトランザクション定義を選択します。

集計関数

Sum

カウントするエンティティまたは要素

送金額を示すデータ・フィールドを選択します。

集計の条件

「次以上」を選択します。

集計のチェック値

500

カウントの条件

次以上

カウントのチェック値

1 (少なくとも1つのトランザクションが存在することが望ましいため)

継続時間

1ローリング日(最後の24時間を1日として扱う)または1カレンダ日(現在のカレンダ日、つまり午前12時から午後11時59分までを1日として扱う)

トランザクション・ステータス

特定のステータスのトランザクションのみを考慮する場合に選択します。

現在のトランザクションをカウントで無視する

現在のトランザクションを除外する場合は、「True」を選択します。含める必要がある場合は「False」を選択し、ルールの実行前にトランザクション・データが作成されていることを確認します。

同じユーザーに対してか

デフォルトはTRUEです。現在のユーザーのトランザクションのみを考慮しているので、これを選択します。

現在のトランザクションにフィルタ・チェックを適用する

「問合せフィルタ」で条件を指定し、それらを現在のトランザクションに最初に適用する場合は、「True」を選択します。

問合せフィルタ

しきい値に達したかどうかを確認する前に集計計算の対象とするトランザクションを微調整できるよう、任意のフィルタを選択します。

12. ルール条件の構成後、ルール条件を満たした場合に「結果」に何を表示するかを指定します。ユーザーがしきい値とスコアに達したことを通知するよう、「アラート」および「アクション」グループを構成できます。クライアント・アプリケーションでは、結果を解釈し、ユーザー・アクションが禁止されていることを示す関連ページにユーザーを適宜リダイレクトできます。

13. これで、OAAMで設定を準備して、OAAMでトランザクションを作成したり、不正ポリシーとルールをトリガーできるようになりました。

14. OAAM共有ライブラリを使用して、クライアント・アプリケーションをOAAMと統合します。統合の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のネイティブJavaアプリケーションの統合に関する項を参照してください。これが必要になるのは、トランザクション機能はネイティブ統合を通じて利用可能になるためです。この統合の一環として、クライアント・アプリケーションで次の2つが実行されます。

- OAAMデータ収集APIを呼び出して、トランザクション・データを渡します。OAAMデータ収集APIにより、トランザクション定義に基づくトランザクション・データがOAAMデータベースに保持されます。これにより、OAAMエンティティおよびトランザクション・データが作成されます。これらのAPIの出力は、トランザクションIDです。

- OAAMルールAPIを呼び出して、チェックポイントに関連付けられている不正ポリシー/ルールをトリガーします。この手順により、該当するチェックポイントに関連付けられているポリシーやルールを実行するルール・エンジンがトリガーされ、特定のルールがトリガーされた場合はアラートが作成されます。これらのAPIの出力は、ポリシーやルールによって返される一連のアクションおよびリスク・スコアです。

15. クライアント・アプリケーションとの統合が完了したら、サンプルの送金トランザクションを実行し、エンドツーエンド・フローを確認できます。

20.8.2 ユース・ケース: トランザクション頻度チェック

このようなチェックは、「トランザクション: フィルタ条件を使用したトランザクション件数の確認」ルール条件を使用して実施できます。表20-3に、ルール条件の重要なパラメータを示します。

表20-3 トランザクション頻度チェック

パラメータ

値

カウントするトランザクションの選択

このチェックを適用するトランザクション定義を選択します。

カウントに指定された条件

「次以上」を選択します。

カウントに指定されたチェック値

頻度値を入力します。

継続時間

継続時間を入力します。

20.8.3 ユース・ケース: 疑わしい送金先口座に対するトランザクション頻度および金額のチェック

このようなチェックは、「トランザクション: フィルタ条件を使用したトランザクション集計および件数の確認」ルール条件を使用して実施できます。表20-4に、ルール条件の重要なパラメータを示します。

表20-4 疑わしい送金先口座に対するトランザクション頻度および金額のチェック

パラメータ

値

チェックするトランザクションの選択

このチェックを適用するトランザクション定義を選択します。

集計関数の選択

Sum

カウントするエンティティまたは要素の選択

金額を示す数値データ・フィールドを選択します。

集計の条件の選択

「次以上」を選択します。

集計に指定されたチェック値

チェックする金額の値を入力します。

カウントに指定された条件

次以上

カウントに指定されたチェック値

頻度値を入力します。

継続時間

継続時間を入力します。

20.8.4 ユース・ケース: ブラックリストに記載された預金口座および送金先口座に対するトランザクション・チェック

このようなチェックは、「トランザクション: フィルタ条件を使用した現在のトランザクションの確認」ルール条件を使用して実施できます。

ルールを構成する前に、2つの口座グループ、つまりブラックリストに記載された預金口座のリストおよびブラックリストに記載された送金先口座のリストをそれぞれ1つずつ作成します。これらのグループには、ブラックリストに記載された口座のリストを移入してください。これらのタスクは、OAAM管理で行うことができます。

その後、「トランザクション: フィルタ条件を使用した現在のトランザクションの確認」ルール条件を使用してルールを作成し、次のように構成します。

表20-5 ブラックリストに記載された預金口座および送金先口座に対するトランザクション・チェック

パラメータ

値

チェックするトランザクションの選択

このチェックを適用するトランザクション定義を選択します。

フィルタ条件

「トランザクション」から預金口座データ・フィールドを選択し、条件として「次に含まれる」を指定し、グループとしてブラックリストに記載された預金口座を選択します。

フィルタ条件

「トランザクション」から送金先口座データ・フィールドを選択し、条件として「次に含まれる」を指定し、グループとしてブラックリストに記載された送金先口座を選択します。

20.8.5 ユース・ケース: トランザクション・パターン

例: 大きなトランザクション(金額 > $500)が最後の数時間で試行される前に、いくつかの小さなトランザクション(金額 < $10)が行われたかどうかを確認するルールを構成します。その場合、ユーザーは、この大きなトランザクションの前にチャレンジを受ける必要があります。

このようなチェックを構成するには、「トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認」ルール条件を使用します。

ルール条件パラメータは、次のように構成する必要があります。

表20-6 トランザクション・パターン

パラメータ

値

チェックするトランザクションの選択

このチェックを適用するトランザクション定義を選択します。

継続時間

考慮するトランザクションの継続時間を入力します。

チェック中のトランザクションのギャップを許可するか

ギャップを許容する場合は「True」を選択し、許容しない場合は「False」を選択します。

1番目の条件セットをチェックするトランザクション数

1番目の条件セットの対象とするトランザクションの数を入力します。たとえば、最初に2つの小さなトランザクションをチェックする場合は、値として「2」を入力します。

1番目の条件セットのチェック

1番目のトランザクション・セットに適用する条件を次のように入力します。

- 金額データ要素を選択し、条件として「次より小さい」、値として「10」を指定します。

2番目の条件セットをチェックするトランザクション数

1番目の条件セットの対象とするトランザクションの数を入力します。たとえば、2つの小さなトランザクションの後に1つの大きなトランザクションをチェックする場合は、「2番目の条件セットをチェックするトランザクション数」の値として「1」を入力します。

2番目の条件セットのチェック

2番目のトランザクション・セットに適用する条件を次のように入力します。

- 金額データ要素を選択し、条件として「次より大きい」、値として「500」を指定します。

第VII部

OAAMオフライン環境

この部では、OAAMオフライン環境の使用方法に関する手順について説明します。

21 OAAMオフライン

OAAMは、OAAMオンラインとOAAMオフラインをサポートしています。OAAMオンラインを使用すると、リアルタイムでリスク評価を実行できます。OAAMオフラインを使用すると、履歴データやリアルタイムでないログインまたはトランザクション・データに基づいてリスク評価を実行できます。

この章では、ルール評価と不正検出に関するOAAMオフラインの設定に関する情報を提供します。

この章では、次の内容を説明します。

- 21.1項「概念」

- 21.2項「アクセス制御」

- 21.3項「OAAMオフライン・システムのインストールと構成」

- 21.4項「ジョブのスケジュール」

- 21.5項「ポリシーとルールのテスト」

- 21.6項「OAAMオフラインに関する注意事項」

- 21.7項「OAAMオフラインの監視」

- 21.8項「OracleまたはMicrosoft Server SQL Server以外のデータベースからのロード」

- 21.9項「実行するチェックポイントの変更」

- 21.10項「移行」

- 21.11項「ユース・ケース」

- 21.12項「ベスト・プラクティス」

21.1 概念

この項では、OAAMオフラインの概要について簡単に説明します。この項の内容は、次のとおりです。

- OAAMオフラインとは

- OAAMオフラインのアーキテクチャ

- OAAMオフラインのユーザー・インタフェース

- ダッシュボードの違い

21.1.1 OAAMオフラインとは

OAAMオフラインは、次の目的で使用できます。

- スタンドアロンのセキュリティ・ツール
OAAMオフラインを使用すると、トランザクションとログインを分析できます。OAAM本番システムを所有していないユーザーは、オフライン・システムをプライマリ・リスク分析システムとして使用できる場合があります。

- 調査および開発ツール
OAAMオフラインを使用すると、リアルタイム環境のカスタマに影響を与えることなく、リアルタイムでないカスタマ・データを使用して、新しいポリシーとルールを作成および検証できます。ユーザーは、本番システムでは実行に時間がかかる可能性がある複雑なルールをセカンダリ・システムで実行できます。OAAMではより単純なルールを実行し、OAAMオフラインをセカンダリ・システムとして使用します。

- 補足的なオフライン分析ツール
OAAMオフラインを使用すると、リアルタイム環境のカスタマに影響を与えることなく、カスタマおよびトランザクション・データに対して、ルールのチューニングとルール動作の検証を行うことができます。

21.1.2 OAAMオフラインのアーキテクチャ

OAAMオフラインはスタンドアロン・アプリケーションです。OAAMオンラインとは異なり、OAAMオフラインにはクライアント・アプリケーションが含まれません。図21-1「OAAMオフラインのアーキテクチャ」は、ソース・データ、ローダー、OAAMオフラインをホストするWebサーバーおよびカスタマ・ログインとトランザクションのデータを格納するデータベースの関係を示しています。

図21-1 OAAMオフラインのアーキテクチャ

OAAMオフラインには、独自のデータベースがあります。このデータベースには、OAAMオンライン・バージョンのものと同じスキーマがあります。これは、カスタマ・データをロードしてリスク分析やルールのチューニングを行うために使用されます。OAAMオフラインでは、ログイン・データとトランザクション・データの両方をサポートできます。データのロードに使用されるローダーのタイプについては、21.1.7項「データ・ローダー」を参照してください。

カスタマ・データ(ソース・データ)をオフライン・データベースにロードするには、ロード・ジョブを作成する必要があり、データをデータベースにロードするためのデータ・ローダーも必要になります。

21.1.3 ジョブ

ジョブは、OAAMで実行できるタスクの集合です。データのロード、リスク評価の実行、監視データのロールアップなど、様々なジョブを実行できます。OAAMでは次のジョブがサポートされています。

表21-1 ジョブ

ジョブ

説明

ロード

ロード・ジョブは、リモート・データソースからレコードを読み取り、データをOAAMログイン・セッションに変換して、ログイン・セッションをOAAMオフライン・データストアに格納します。

実行

実行ジョブは、一連のOAAMセッションに対してリスク分析を実行します。実行が実行を開始すると、ジョブのデータ・フィルタ内にあるレコードのクリーンアップが実行されます。このクリーン・アップでは、ルール・ログ、アラートおよびアクションの削除、リスク・スコアおよび認証ステータスのリセットが行われます。

ロードおよび実行

ロードおよび実行ジョブは、ロード・ジョブと実行ジョブの組合せです。ロード・ジョブによって各レコードが処理された後、その結果は実行ジョブに直接入力されます。

監視データのロールアップ

監視データのロールアップ・ジョブは、ダッシュボードおよび一部のリスク評価で使用される監視データを定期的に統合します。このジョブは、処理時にデータベースを最適化するためにデータを統合します。

ユーザーはジョブをスケジュールし、それらをオフラインで実行できます。ジョブについては、第22章「OAAMでのジョブのスケジュールと処理」を参照してください。

21.1.4 ロード・ジョブの説明とその設定方法

ロード・ジョブでは、リモート・データソースからレコードを読み取り、データをOAAMログイン・セッションに変換して、そのログイン・セッションをOAAMオフライン・データストアに格納します。

ロード・ジョブを作成するプロセスは、次のとおりです。

1. オフライン・データベースへのデータのロードに使用するローダーのタイプとデータベース接続の詳細を指定します。OAAMローダーを使用する場合、OAAMスキーマへのリモート・データベースのマッピングの詳細はすでに提供されていますが、必要に応じてこれらをデータベース側で編集できます。

2. ロードされるデータベースのレコード・セットを定義するデータ・フィルタを指定します。

3. ロード・ジョブを実行するタイミングに関するスケジュールを設定します。

ロード・ジョブでは、まずジョブの接続プロパティで定義されたデータベースに接続した後、ジョブのデータ・マッピング・プロパティから構成され、ジョブのデータ・フィルタの値によってフィルタされたSQL問合せを実行します。その後問合せの結果を取得し、ログイン・レコードをOAAMオフライン・データベース内に生成します。ログインの生成時には、Cookieを割り当てるためのデバイス識別チェックポイントも実行します。ロード・ジョブの作成については22.4.1項「ロード・ジョブの作成」を、データ・ローダーについては21.1.7項「データ・ローダー」を参照してください。

21.1.5 実行ジョブの説明とその設定方法

実行ジョブは、一連のOAAMセッションに対してリスク分析を実行します。

実行ジョブを作成するプロセスは、次のとおりです。

1. OAAMポリシーがセッションに適用される方法および条件を定義します。

2. ロードまたは実行されるデータベースのレコード・セットを定義するデータ・フィルタを設定します。

3. 実行ジョブを実行するタイミングに関するスケジュールを設定します。

実行が実行を開始すると、ジョブのデータ・フィルタ内にあるレコードのクリーンアップが実行されます。このクリーン・アップでは、ルール・ログ、アラートおよびアクションの削除、リスク・スコアおよび認証ステータスのリセットが行われます。実行ジョブは、その実行タイプに基づいて実行されます。実行ジョブの作成については、22.4.2項「実行ジョブの作成」を参照してください。

21.1.6 ロード・ジョブと実行ジョブ

ロードおよび実行ジョブは、ロード・ジョブと実行ジョブの組合せです。ロード・ジョブによって各レコードが処理された後、その結果は実行ジョブに直接入力されます。

21.1.7 データ・ローダー

ローダーは、ジョブ用に処理されるカスタマ・ログインまたはトランザクション・データをロードします。

図21-2 データ・ローダー

OAAMに付属する標準的なOAAMローダーを使用すると、OAAMスキーマに簡単にマップできるログイン・データをロードできます。このデータは、OAAMスキーマ・データベースからでもリモート・データベースからでも取得できます。

複雑なマッピングやトランザクション・ユース・ケースの場合には、カスタム・データ・ローダーが必要です。ログインおよびトランザクション・データは、ファイルを含むほぼすべてのソースからロードできます。カスタム・ローダーの開発の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』の「OAAMオフライン用のカスタム・ローダーの開発」の章を参照してください。

表21-2に、デフォルト・ローダーとカスタム・ローダーの違いを要約します。

表21-2 OAAMローダーとカスタム・ローダー

ローダー

OAAMへの付属

任意のデータのロード

任意のソースからのロード

複雑なデータ・マッピング

ユース・ケース

OAAMローダー

はい。

デフォルト・ローダー

いいえ

ログイン・データのロード

いいえ

OAAMスキーマ・データベースまたはOAAMスキーマにマップされたリモート・データベースからロードします。

いいえ

データ・マッピングは単純でわかりやすいものにする必要があります。

ユース・ケース: リスク評価をオフラインで実行するソリューションの構成

カスタム・ローダー

いいえ。

カスタム開発

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のカスタム・ローダーの開発に関する説明を参照してください。

はい

ログインおよびトランザクション・データをロードします。

はい

ファイルを含むリモート・カスタム・ソースからロードします。

はい

データを簡単にマップできず、複雑なSQL問合せやなんらかの操作を必要とする場合に使用されます。

ユース・ケース: 複数のソースからのトランザクション・データのロードとリスク評価の実行

21.1.8 実行タイプ

実行タイプでは、OAAMポリシーがセッションに適用される方法および条件が定義されます。「OAAM」実行タイプを使用する実行ジョブでは、セッション・レコード・セットをデータベースから読み取ります。認証前チェックポイントは、セットに含まれるすべてのセッションに対して実行されます。認証後チェックポイントは、ユーザーが正常に認証されたセッションに対してのみ実行されます。

実行するチェックポイントを変更する必要がある場合は、21.9「実行するチェックポイントの変更」を参照してください。カスタム実行ジョブでは、他のタスクを実行したり、標準的なチェックポイントとは異なるチェックポイントを実行できます。

21.1.9 OAAMオフラインのユーザー・インタフェース

OAAMオンラインおよびオフラインでは、ダッシュボード、ジョブ作成ページおよびジョブ監視ページを除き、同じユーザー・インタフェースが提供されます。

21.1.9.1 ダッシュボードの違い

OAAMオフラインのダッシュボードは、次の詳細部分を除き、OAAMオンラインのダッシュボードと類似しています。

リアルタイムでないカスタマ・データの使用

OAAMオフラインのダッシュボードでは、リアルタイムのデータではなく、OAAMオンラインまたはリモート・カスタム・ソースのリアルタイムでないカスタマ・データを使用します。

リスク分析ダッシュボード

OAAMオフラインのダッシュボードでは、現在のロードまたは実行タスクの進行状況を示す「リスク分析」ダッシュボードへのアクセスが提供されます。

21.1.9.2 ロード・ジョブ、実行ジョブおよびロードおよび実行ジョブのインタフェース

ジョブ検索ページを使用すると、ジョブを検索して、その詳細を表示および確認できます。ジョブ作成ウィザードでは、ロード・ジョブ、実行ジョブおよびロードおよび実行ジョブのジョブ定義プロセスとスケジュール・プロセスに関する、手順を追ったガイドが提供されます。これらのジョブは、OAAMオンラインでは使用できません。

21.1.9.3 ジョブ・キュー

「ジョブ・キュー」ページには、現在処理中のジョブ・インスタンスとその進行状況が、予測完了時間と完了率の観点から表示されます。キューのインタフェースからは、ジョブ・インスタンスの処理の取消しまたは一時停止と再開が可能です。スケジューリングでジョブが処理されるように設定されていない場合、ジョブ・キューに表示されません。

21.2 アクセス制御

次の表に、オフライン環境のアクセス権の詳細を示します。

表21-3 オフライン環境

ロール

アクセス

CSRおよびCSRマネージャ

アクセス権なし

不正調査担当者および調査マネージャ

オンラインと同じアクセス(セキュリティ・ダッシュボードを含む)

システム管理者

オンラインと同じアクセス(環境ノード)およびスケジューラ・ノードへの完全なアクセス権

セキュリティ管理者

オンラインと同じアクセス(「環境」ノードを除く)およびスケジューラ・ノードへの完全なアクセス権

21.3 OAAMオフライン・システムのインストールと構成

この項では、OAAMオフラインを構成するための手順について説明します。

21.3.1 概要

表21-4に、OAAMオフラインを構成するためのタスクを要約します。また、各タスクの詳細情報の入手先も示します。

表21-4 OAAMオフラインの設定タスク

タスク

説明

ドキュメント

タスク1 - OAAMオフラインのインストール

OAAMオフラインのインストールは、OAAMオンラインのインストールと類似しています。

21.3.2項「OAAMオフラインのインストール」を参照してください。

タスク2 - オフライン・データベース・スキーマの作成

OAAMオフラインには、独自のデータベースがあります。このオフライン・データベースには、OAAMオンライン・バージョンのものと同じスキーマがあります。

21.3.3項「オフライン・データベース・スキーマの作成」を参照してください。

タスク3 - データベース接続の構成

Oracle Fusion Middleware構成ウィザードを使用してOAAMオフラインを構成すると、スキーマ所有者、スキーマ・パスワード、データベースとサービス、ホスト名およびポートの値を設定できます。

21.3.4項「データベース接続の構成」を参照してください。

タスク4 - OAAMオフラインへのログイン

OAAMオフラインにログインします。

21.3.5項「OAAMオフラインへのログイン」を参照してください。

タスク5 - 環境の設定

OAAMオフラインをインストールおよび構成したら、ベース環境を設定する必要があります。

21.3.6項「環境の設定」を参照してください。

21.3.2 OAAMオフラインのインストール

Oracle Adaptive Access Manager(オフライン)は、Oracle Identity and Access Management Suiteに含まれています。OAAMオフラインをインストールするには、Oracle Identity and Access Management 11gインストーラを使用します。

21.3.3 オフライン・データベース・スキーマの作成

OAAMオフラインをインストールする前に、OAAMオフライン・スキーマを作成およびロードする必要があります。OAAMの場合、Oracle Database Standard Editionを使用することもできますが、本番デプロイメントにはEnterprise Editionをお薦めします。Oracle Technology Network (OTN) Webサイト上から入手できるOracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)を使用して、スキーマを作成およびロードします。OTNのWebサイトには次でアクセスできます:

http://www.oracle.com/technetwork/index.html

後から、カスタマ・ログイン・データとトランザクション・データのいずれかまたは両方をOAAMオフライン・データベースにロードすると、OAAMオフラインがこのデータベースを使用してリスク分析を実行します。次の項では、OAAMオフライン・データベースのベスト・プラクティスについて説明します。

21.3.4 データベース接続の構成

Oracle Fusion Middleware構成ウィザードを使用してOAAMオフラインを構成すると、スキーマ所有者、スキーマ・パスワード、データベースとサービス、ホスト名およびポートの値を設定できます。また、接続をテストすることもできます。

21.3.5 OAAMオフラインへのログイン

OAAMオフラインにサインインするには、次の手順を実行します。

1. ブラウザ・ウィンドウで、Oracle Adaptive Access Manager Offline 11gへのサインイン・ページのURLを入力します。

http://host:port/oaam_offline/

ここで

- hostは、Oracle Adaptive Access Manager Offlineの管理対象サーバー・ホストを示します。

- portは、OAAM管理オフラインの管理対象サーバー・ポートを示します。

- /oaam_offline/は、OAAMオフライン管理のサインイン・ページを示します。

2. サインイン・ページで、資格証明を入力します。

3. 「サインイン」ボタンをクリックします。

21.3.6 環境の設定

OAAMオフラインをインストールおよび構成したら、次のタスクを完了してベース環境を設定する必要があります。

- スナップショットのインポート

- Oracle Adaptive Access Manager用の暗号化とデータベース資格証明の設定

- 自動学習の有効化

- 構成可能なアクションの有効化

- IPロケーション・データのインポート

21.3.6.1 スナップショットのインポート

OAAMオンラインとOAAMオフラインの両方によって使用されるスナップショットをインポートします。オンラインとオフラインでのスナップショットの使用方法は同じです。スナップショットは、デフォルト・ポリシー、ルール、グループおよびOAAMオフラインの構成に必要なその他の情報を含むzipファイルです。OAAMスナップショット・ファイルはMW_HOME/IDM_ORACLE_HOME/oaam/initディレクトリにあります。スナップショットのロードについては、第2章「OAAM環境の設定」を参照してください。

21.3.6.2 Oracle Adaptive Access Manager用の暗号化とデータベース資格証明の設定

暗号化は、Oracle Adaptive Access Manager内のデータを未認可アクセスから保護するために使用されます。この処理では、メソッドとキーを使用して、プレーン・テキストを判読不可能な形式にエンコードします。キーは、暗号化された情報を復号化し、判読可能な状態に戻すために必要です。キーを所有し、認可されているユーザーは、同じキーを使用して暗号化された情報を復号化できます。OAAMオフライン用に暗号化とデータベース資格証明を設定する方法については、2.4項「暗号化およびデータベース資格証明の設定」を参照してください。

21.3.6.3 自動学習の有効化

自動学習を使用するには(パターン分析):

1. デフォルト・エンティティをインポートします。

2. デフォルト・スナップショットを使用しない場合は、自動学習ポリシーおよびルールをインポートします。これらは、データに対して自動学習実行を実行するために必要です。

3. 自動学習プロパティを有効化します。

vcrypt.tracker.autolearning.enabled=true
vcrypt.tracker.autolearning.use.auth.status.for.analysis=true
vcrypt.tracker.autolearning.use.tran.status.for.analysis=true

詳細は、15.6項「自動学習の使用を始める前に」を参照してください。

4. パターンを定義および有効化します。

5. ロードと実行を同時に実行します。

パターンは自動学習でサポートされますが、同じデータをリロードした場合、評価が実行されないため、その評価は役立ちません。

21.3.6.4 構成可能なアクションの有効化

ご使用のシステムで構成可能なアクションを有効にするには、次の手順を実行します。

1. 構成可能なアクション・プロパティを有効にします。
dynamicactions.enabledをtrueに設定します。

2. 構成可能なアクションの定義がOracle Adaptive Access Managerデータベースで構成されていることを確認します。
構成可能なアクションを新たに追加する前に、構成可能なアクションのリストを確認できます。

3. どのチェックポイントにどの構成可能なアクションを追加する必要があるのか、およびそれらの構成可能なアクションを実行するための事前条件を明らかにします。

4. 既存の構成可能なアクションで不十分な場合は、カスタムの構成可能なアクションを開発およびデプロイします。構成可能なアクションの開発の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。
製品にはいくつかの構成可能なアクションが用意されていますが、特定の要件にあわせてカスタム・テンプレートを開発する必要がある場合があります。

1. カスタム・アクション・テンプレートを定義します。

2. カスタム・アクション・テンプレートをロードします。

5. 構成可能なアクションをチェックポイントに関連付けます。

構成可能なアクションの有効化については、第16章「構成可能なアクションの管理」を参照してください。

21.3.6.5 IPロケーション・データのインポート

IPロケーション・データは、特定のIPアドレス(ロケーション)に関連する不正のリスクを判断するために、リスク・ポリシー・フレームワークによって使用されます。ログインまたはトランザクションのロケーションを判断できるようにするには、このデータをアップロードする必要があります。詳細は、26.3項「IPロケーション・データのインポート」を参照してください。

21.4 ジョブのスケジュール

ジョブのスケジュールについては、第22章「OAAMでのジョブのスケジュールと処理」を参照してください。この章には、Oracle Adaptive Access Managerのバッチ・ジョブを定義、スケジュールおよび実行する方法が記載されています。

21.5 ポリシーとルールのテスト

OAAMオフラインを使用して、新しいデプロイメントまたは既存のデプロイメントのOAAMポリシーおよびルールをテストできます。

21.5.1 OAAMオフラインを使用した新しいデプロイメント

OAAMオフラインおよびBIPレポートの組合せを使用して、ポリシーとルールのユーザーに対する影響をテストできます。これを行うには:

1. OAAMのオフライン・インスタンスをデプロイしてバッチ分析を実行します。

2. OAAMローダーを構成するか、または独自のものを開発して、本番データのセットをオフライン環境にロードし、テスト・セットとして使用します。

3. データのテスト・セットに対してポリシーとルールを複数回実行し、ポリシー変更の影響を表示します。

たとえば、新規デプロイでは、1か月分の本番データをOAAMにロードし、基本ポリシーを実行して、OAAMが1か月間に本番環境で使用された場合に生成されるアラートおよびアクションの数を確認できます。ルールおよび結果の集計値を収集するには、BIPレポートが役立ちます。結果において、OAAMが動作を学習するとユーザーが生成するアラートおよびアクションが少なくなることがわかります。新規ルールを追加したり、ルールのしきい値を編集した場合、再度実行して、BIPレポートの結果と元の実行の結果を比較できます。

21.5.2 OAAMオフラインを使用した既存のデプロイメント

OAAMがすでに本番環境にある場合、ポリシー/ルール変更の影響をテストする本番データのセットをエクスポートできます。

1. スケジュール・データ・ロードを設定し、24時間ごとにオフライン環境データを更新します。

2. セキュリティ・チームが新規ルールを追加したりルールのしきい値を編集する必要がある場合は、まず本番環境の現在のポリシーに対して24時間分のデータを実行し、XLSにエクスポートされたBIPレポートを実行します。

3. 次に、チームは編集を行い、同じデータ・セットに対して2回目を実行し、さらに同じBIPレポートを実行できます。

4. 実行1および実行2のレポートを比較すると、ポリシーの変更によってユーザーの移入がどのように影響されたかがわかります。つまり、最初の実行で100のアラートが生成され、2回目の実行で125のアラートが生成された場合、25の追加アラートが生成されたことが編集の結果ということになります。

また、追加のテスト・オプションについてサード・パーティ・ツールのライセンスを取得できます。たとえば、IntegratID (http://integratid.com/)に組み込まれたARMオートメータ・ツールは、テスト対象の非常に具体的なトラフィック・シナリオをシミュレートするために使用できます。

たとえば、ユーザーが10:24 am PST(太平洋標準時)にロサンゼルスからログインした後、10:45 am PSTにニューヨーク市から同じデバイスを使用してログインした場合に速度ルールがトリガーされるかどうかをテストする場合があげられます。

21.6 OAAMオフラインに関する注意事項

自動学習におけるパターンの設定

オンライン・システムでは、管理者が任意のタイミングでパターンを設定でき、その時点からログインに対してパターンの処理が開始されます。オフライン・システムでは、管理者がロード・ジョブを開始する前にプロパティとパターンを設定し、ロード・ジョブの実行時にパターンの処理が同時に行われるようにする必要があります。これはオンライン・システムとオフライン・システムの重要な違いの1つです。

自動学習でのジョブの実行

自動学習が必要な場合、ロードを実行した後に実行を実行することはできません。パターンの処理では、ロードおよび実行のみがサポートされます。ジョブの作成時に、ロードおよび実行をジョブ・タイプとして選択します。ロードおよび実行ジョブは、ロード・ジョブと実行ジョブの組合せです。ロード・ジョブによって各レコードが処理された後、その結果は実行ジョブに直接入力されます。ロードおよび実行ジョブを送信した後、「ジョブ・キュー」に移動してジョブを検索し、そのステータスとその他の詳細を表示する必要があります。

タイムスタンプと自動学習

オフライン・データにはタイムスタンプが含まれます。自動学習では、バケットを作成すると、作成されたバケットにログインのタイムスタンプが含まれます。その後バケット数が更新されるたびに、OAAMではその更新が発生したログイン(リクエスト)のタイムスタンプを使用して、タイムスタンプを更新します。自動学習ベースのルールでは、バケットのタイムスタンプを合計と率の計算に使用します。たとえば、ユーザーが今月の12日(月曜日)と22日(日曜日)にシステムにログインしたとします。バケットは適切に移入されますが、ルール評価は更新タイムスタンプを識別できないため、機能しません。

21.7 OAAMオフラインの監視

この項では、ダッシュボードとサーバー・ログを使用してOAAMオフラインを監視する方法について説明します。

21.7.1 ダッシュボードを使用したローダー処理の監視

OAAMオフラインのダッシュボードでは、次の内容を提供するために、リアルタイムのデータではなく、OAAMオンラインまたはリモート・カスタム・ソースのリアルタイムでないカスタマ・データを使用します。

- ログイン率に基づく統計のビュー

- アクティビティの概要

- ユーザーの動作とキー・トランザクションのステータスに関する高度にパーソナライズされたビュー

「リスク分析」ダッシュボードには、現在のロードまたは実行タスクの進行状況が表示されます。次の項目について、「リスク分析」統計が提供されます。

- ロード・データ: OAAMオンラインまたはリモート・カスタム・ソースからロードされたデータです。

- 実行データ: ポリシーの実行対象となるデータです。ルールはデータベース全体に対して実行することも、データベースのサブセットに対して実行することもできます。

表示される情報には、完了率、処理されたレコードの数、残っているレコードの数、予測完了時間などがあります。

ダッシュボードの次の部分を使用して、ローダー処理を監視します。

1. 最上部のパフォーマンス・パネルには、1分当たりのログイン、1分当たりにロードされたトランザクションなどのスループットが表示されます。パフォーマンスに基づく様々なタイプのデータのトレンド・グラフが表示されるため、ローダーのトレンドを監視できます。

2. 最下部のダッシュボードには、履歴データが表示されます。「ダッシュボード」リストの「パフォーマンス」を選択します。APIやルールなどの平均レスポンス時間の観点で、パフォーマンスを監視できます。選択した項目に関するトレンド・グラフが提供されます。

オフライン・ジョブ・データは、タイムスタンプではなく、いつレコードが処理されたかに基づきます。

21.7.2 ルール・ロギングの有効化

ルールのログを処理するには、vcrypt.tracker.rules.trace.policySet.min.msの値を-1に設定する必要があります。

詳細情報のルール・ロギングをオンにするには、次を設定します。

vcrypt.tracker.rules.trace.policySet=true
vcrypt.tracker.rules.trace.policySet.min.ms=-1

21.7.3 パフォーマンス監視のデータベース問合せログ

次のプロパティが設定されていることを確認します。

bharosa.db.query.performance.warning.print.stack=false
bharosa.db.query.performance.warning.threshold.ms=200

サーバーでは、実行に200ミリ秒を超える時間がかかったSQLをログ・ファイルに書き込みます。SQLがランダムにログに記録されている場合、処理される負荷の面では問題ありません。ただし、SQLの数が多い場合は、データベースまたはネットワーク領域における改善が可能です。

21.7.4 Oracle Adaptive Access Managerのサーバー・ログ

リクエストが1000個処理されるたびに、ローダー処理ではそれらの1000個のリクエストの処理にかかった時間を出力します。これらのログは、スループットの確認に役立ちます。

21.7.5 データベースのチューニング

Oracle Enterprise Manager Fusion Middleware Controlなどのツールを使用して、データベースのパフォーマンスを監視およびチューニングできます。

21.7.6 管理性

オフラインでは、Oracle Dynamic Monitoring Service (DMS)がパフォーマンス監視に使用されます。パフォーマンスの監視については、第23章「OAAMの管理機能とパフォーマンス」を参照してください。

21.8 OracleまたはMicrosoft Server SQL Server以外のデータベースからのロード

「OAAM」ローダー・タイプは、OracleまたはMicrosoft SQL Serverデータベースからロードできるように構成されています。OracleまたはMicrosoft Server SQL Serverデータベースを使用していない場合は、21.8.1項「OracleまたはMicrosoft Server SQL Server以外のデータベース用のオフライン・ローダー・データベース・プラットフォームの指定」と21.8.2項「OAAM以外のデータベースのビューの作成」に記載されている手順を実行します。Microsoft Server SQL Serverデータベースを使用している場合は、21.8.2項「OAAM以外のデータベースのビューの作成」に記載されている手順を実行します。

21.8.1 OracleまたはMicrosoft Server SQL Server以外のデータベース用のオフライン・ローダー・データベース・プラットフォームの指定

様々なタイプのデータベースからロードする必要がある場合、2つの手順に従う必要があります。データベースのJDBCドライバを含むjarファイルをデプロイした後、プロパティ・エディタを使用し、カッコで囲まれた太字の値を変更して、次の形式のプロパティを作成する必要があります。

oaam.offline.loader.databaseplatform.enum.[identifier]=[number > 10]
oaam.offline.loader.databaseplatform.enum.[identifier].name=[Human Readable Name]
oaam.offline.loader.databaseplatform.enum.[identifier].driver=[Driver Class Name]

注意:

複数のデータベース・タイプを追加する場合、[number > 10]はそれぞれについて一意である必要があります。

たとえば、IBM DB2用に設定するには、次のプロパティを設定します。

oaam.offline.loader.databaseplatform.enum.db2=11
oaam.offline.loader.databaseplatform.enum.db2.name=IBM DB2
oaam.offline.loader.databaseplatform.enum.db2.driver=COM.app.db2.jdbc.app.DB2Driver

21.8.2 OAAM以外のデータベースのビューの作成

OAAM以外のデータベースからロードする必要があるユーザーは、リモート・データソース内にビューを作成する必要があります。この項では、必要なデータベース・ビューをリモート・データベース内に設定する方法について説明します。

21.8.2.1 OAAM_LOAD_DATA_VIEW

OAAMオフライン用の標準OAAMローダーでは、リモート・データソース内に存在するための特定の名前と構造を持つ表またはビューが必要になります。デフォルトではこのビューがすでにOAAMスキーマ内に存在しますが、OAAM以外のスキーマからロードする必要がある場合、OAAMロード・データ・ビューの仕様に準拠したビューをリモート・データソース内に作成する必要があります。次の表に、その構造を示します。

表21-5 OAAM_LOAD_DATA_VIEW

フィールド名

データ型

説明

LOGIN_TIMESTAMP

日付/時間

ログイン時間。

SESSION_ID

文字

ログイン・レコードを一意に識別します。

USER_ID

文字

ユーザーのユーザーID。

LOGIN_ID

文字

ユーザーのログインID。ロード・データソースによってユーザーIDとログインIDが区別されない場合、これはUSER_IDと同じになる可能性があります。

DEVICE_ID

文字

ユーザーのデバイスを識別します。

GROUP_ID

文字

アプリケーションID。

IP_ADDRESS

整数

長整数形式のIPアドレス。

AUTH_STATUS

整数

認証ステータス。OAAM以外のスキーマからロードする場合、このフィールドは、リモート・データソースの認証ステータスを、ユーザーが定義した列挙auth.status.enumによって定義されたOAAM認証ステータスに変換するデコード関数にする必要があります。リモート・スキーマに認証ステータスの概念がない場合、この値は-1にする必要があります。

CLIENT_TYPE

整数

クライアント・タイプ。OAAM以外のスキーマからロードする場合、これは-1にする必要があります。

USER_AGENT

文字

ブラウザからのユーザー・エージェント文字列。

FLASH_FINGERPRINT

文字

このフィールドは、デジタル・フィンガープリントを表します。ロード・データソースによってサポートされていない場合、nullになる可能性があります。

DIGITAL_COOKIE

文字

このフィールドは、OAAMによって設定されたデジタルCookieを表します。OAAM以外のスキーマからロードする場合、これはnullにする必要があります。

EXP_DIGITAL_COOKIE

文字

このフィールドは、OAAMによって設定された予期するデジタルCookieを表します。OAAM以外のスキーマからロードする場合、これはnullにする必要があります。

SECURE_COOKIE

文字

このフィールドは、OAAMによって設定されたセキュアCookieを表します。OAAM以外のスキーマからロードする場合、これはnullにする必要があります。

EXP_SECURE_COOKIE

文字

このフィールドは、OAAMによって設定された予期するセキュアCookieを表します。OAAM以外のスキーマからロードする場合、これはnullにする必要があります。

21.8.2.2 スキーマ例

OAAMスキーマとカスタム・スキーマを次に示します。

21.8.2.2.1 OAAMスキーマ

次の例は、OAAMに付属するOAAM_LOAD_DATA_VIEW用のSQLを示しています。

CREATE OR REPLACE FORCE VIEW OAAM_LOAD_DATA_VIEW (
LOGIN_TIMESTAMP, SESSION_ID, USER_ID, LOGIN_ID, DEVICE_ID, GROUP_ID,
IP_ADDRESS, AUTH_STATUS, CLIENT_TYPE, USER_AGENT, FLASH_FINGERPRINT,
DIGITAL_COOKIE, EXP_DIGITAL_COOKIE, SECURE_COOKIE, EXP_SECURE_COOKIE) AS
SELECT l.create_time LOGIN_TIMESTAMP, l.request_id SESSION_ID, l.user_id USER_ID,
l.user_login_id LOGIN_ID, l.node_id DEVICE_ID, l.user_group_id GROUP_ID,
l.remote_ip_addr IP_ADDRESS, l.auth_status AUTH_STATUS, l.auth_client_type_code
CLIENT_TYPE,
(SELECT t1.data_value FROM v_fprints t1 WHERE t1.fprint_id=l.fprint_id) USER_AGENT,
(SELECT t2.data_value FROM v_fprints t2 WHERE t2.fprint_id=l.digital_fp_id)
FLASH_FINGERPRINT,
l.sent_dig_sig_cookie DIGITAL_COOKIE, l.expected_dig_sig_cookie EXP_DIGITAL_COOKIE,
l.sent_secure_cookie SECURE_COOKIE, l.expected_secure_cookie EXP_SECURE_COOKIE
FROM vcrypt_tracker_usernode_logs l;

説明を目的として、この文を2つの部分に分けて考えます。

1つ目の部分は、先頭からSelectの前までです。この部分は必須であるため、変更できません。

2つ目の部分は、Selectから文の末尾までです。OAAM以外のスキーマからロードする場合、そのスキーマからデータを選択するようこの部分をカスタマイズすることが考えられます。

21.8.2.2.2 カスタム・スキーマ例

この例では、次のような表からロードするとします。アプリケーションIDとしてBankingを使用し、テスト・データをロードしないようにすることができます。

LOGINS

表21-6 LOGINS

フィールド名

データ型

説明

LOGIN_TIME

日付/時間

ログイン時間。

LOGIN_ID

整数

主キー。

USER_NAME

文字

ユーザーのログインID。

DEVICE_ID

文字

ユーザーのデバイスを識別します。

IP_ADDRESS

文字

ドット表記法のIPアドレス。

AUTH_STATUS

文字

Sは成功、Iは無効なユーザー、Fは正しくないパスワードを示します。

USER_AGENT

文字

ブラウザからのユーザー・エージェント文字列。

IS_TEST

整数

0は実際のデータ、1はテスト・データを示します。

この場合、カスタム認証ステータスをOAAM認証ステータスに変換するためのdecode文が必要であり、さらにIPアドレスを解析して長整数に変換する必要があります。次のようなビューを作成する必要があります。

CREATE OR REPLACE FORCE VIEW OAAM_LOAD_DATA_VIEW (
LOGIN_TIMESTAMP, SESSION_ID, USER_ID, LOGIN_ID, DEVICE_ID, GROUP_ID,
IP_ADDRESS, AUTH_STATUS, CLIENT_TYPE, USER_AGENT, FLASH_FINGERPRINT,
DIGITAL_COOKIE, EXP_DIGITAL_COOKIE, SECURE_COOKIE, EXP_SECURE_COOKIE) AS
SELECT l.login_time LOGIN_TIMESTAMP, cast(l.login_id AS varchar2(256)) SESSION_ID,
l.user_name USER_ID, l.user_name, LOGIN_ID, l.device_id DEVICE_ID,
'Banking' GROUP_ID,
to_number(substr(l.ip_address, 1, instr(l.ip_address, '.')-1))*16777216
to_number(substr(l.ip_address, instr(l.ip_address, '.', 1, 1)+1,
instr(l.ip_address, '.', 1, 2)-instr(l.ip_address, '.', 1, 1)-1))*65536
to_number(substr(l.ip_address, instr(l.ip_address, '.', 1, 2)+1,
instr(l.ip_address, '.', 1, 3)-instr(l.ip_address, '.', 1, 2)-1))*256
to_number(substr(l.ip_address, instr(l.ip_address, '.', 1, 3)+1)) IP_ADDRESS,
decode(l.auth_status, 'S', 0,
'I', 1,
'F', 2,
-1) AUTH_STATUS,
-1 CLIENT_TYPE, l.user_agent USER_AGENT, null FLASH_FINGERPRINT,
null DIGITAL_COOKIE, null EXP_DIGITAL_COOKIE, null SECURE_COOKIE,
null EXP_SECURE_COOKIE
FROM logins l
WHERE l.is_test = 0

ここでは、user_nameをUSER_IDとLOGIN_IDにマップし、リテラル文字列BankingをGROUP_IDにマップし、ip_address文字列を解析して長整数に変換し、decode文を使用してauth_statusを変換し、-1をCLIENT_TYPEにマップし、リテラルnullをFLASH_FINGERPRINT、DIGITAL_COOKIE、EXP_DIGITAL_COOKIE、SECURE_COOKIEおよびEXP_SECURE_COOKIEにマップします。

21.9 実行するチェックポイントの変更

「OAAM」ロード・タイプを使用する実行ジョブでは、セッション・レコードをデータベースから読み取り、認証前および認証後チェックポイント用のポリシーを適用します。PreAuthプロパティがtrueに設定されている場合、すべてのセッションに対して、認証前チェックポイントが実行されます。デフォルトでは、trueに設定されています。認証後チェックポイントは、ユーザーが正常に認証され、PostAuthプロパティがtrueに設定されたセッションに対してのみ実行されます。

標準的なチェックポイントとポリシーに加えて、またはそれらのかわりにチェックポイントとポリシーをカスタマイズした後、さらにチェックポイントを実行するかどうかを変更する場合、プロパティ・エディタを使用して次のプロパティを作成または編集することが必要になります。

profile.type.enum.[checkpoint-key].isPreAuth
or
profile.type.enum.[checkpoint-key].isPostAuth

特定のチェックポイントのisPreAuthまたはisPostAuthプロパティをtrueまたはfalseに設定すると、実行するチェックポイントが変更されます。まず認証前チェックポイントが実行され、次に認証後チェックポイントが実行されます。チェックポイントは数値順になっており、その順序に従って実行されるため、チェックポイントの順序は変更できません。

21.10 移行

10gからのカスタム・ローダーの移行はサポートされていません。

21.11 ユース・ケース

この項では、OAAMオフラインとジョブの実行に関する一般的なユース・ケースを紹介します。

21.11.1 ユース・ケース: 複数のスケジュール済ジョブを含むデプロイメントのアップグレード

管理者のChuckは、複数のスケジュール済ジョブを含む10gデプロイメントを、スケジュールを中断することなくオフラインで11.1.2にアップグレードする必要があります。

必要なもの: アップグレード・アシスタント

ソリューション: Chuckはアップグレード・アシスタントを実行して10gをオフラインで11.1.2にアップグレードすることによって、スケジュール済ジョブを新しい環境に移行します。

21.11.2 ユース・ケース: リスク評価をオフラインで実行するソリューションの構成

Georgeはセキュリティとコンプライアンスを担当しています。彼は、リアルタイムで実行するにはコストが高すぎると考えられたリスク評価をオフラインで実行できるソリューションの構成を依頼されました。このプロセスの目的の一部は、構成可能なアクションを使用して、ユーザー、デバイス、IPおよびロケールなどのその他のデータをグループに、またはグループからプロビジョニングし、それらの動作をプロファイリングすることです。

必要なもの: ログイン・ローダー、ロード/実行、構成可能なアクションおよびBIP

ソリューション: Georgeは構成したグループをエクスポートし、それらをリアルタイム・リスク分析に使用する本番データベースにインポートします。使用するOAAMローダーは、データをオフライン・データベースにプルし、それを正しくマップするよう構成されています。また、標準の実行タスクを使用し、選択項目に含まれるすべてのセッションに対してチェックポイントのログイン・チェーン全体を実行します。

手順: OAAM管理コンソールで、GeorgeはデータソースとしてOAAM本番データベースを定義し、日付範囲を指定することによって、どれぐらいのデータをロード(1か月)および実行するかを定義します。必要に応じて、選択項目をロードし、そのデータの下位の項目に対してのみチェックポイントを実行できます。最後に、ロードおよび実行する単一の日付/時間または再発生するロードおよび実行を構成するか、単に「開始」をクリックしてすぐにロードおよび実行を開始します。(ブロックされたユーザーをブラックリスト・グループに追加するために、構成可能なアクションを構成できます)

ロードおよび実行が完了したら、Georgeは各チェックポイントの各アクション、アラートおよびリスク・スコアの合計数と、各プロファイリング・グループに対して追加または削除されたメンバーの合計数に関するメトリックを示す、いくつかのBI Publisher集計レポートを生成します。

このフローにおける一般的なタスクとユーザーが直面する疑問/問題の概要

- データソースの構成

- 役立つ構造へのデータのマップ - ログイン(OOTB)

- ロードするデータの選択 - すべてまたは特定の項目

- チェックポイントも実行するか

- 今すぐロードするか、または設定時間に開始するか

- ロードが発生するまたは繰り返されるタイミングのスケジュール

- 結果を見やすい形式で表示して、実行したリスク評価とプロファイリングからわかった実態を把握する

21.11.3 ユース・ケース: 同じデータに対する複数回のログイン分析の実行(データのリセット)

Georgeはセキュリティとコンプライアンスを担当しています。彼は、新しいまたは編集済のリスク評価を、本番環境にデプロイして実行する前にオフラインでテストできるソリューションの構成を依頼されました。

必要なもの: OAAMローダー、Universal Risk Snapshotおよびセキュリティ・ポリシー

ソリューション: データをオフライン・データベースにプルし、それを正しくマップするよう構成されたOAAMローダーを使用します。また、標準の実行タスクを使用し、選択項目に含まれるすべてのセッションに対してチェックポイントのログイン・チェーン全体を実行します。

手順: OAAM管理コンソールで、GeorgeはデータソースとしてOAAM本番データベースを定義し、日付範囲を指定することによって、どれぐらいのデータをロードおよび実行するかを定義します。必要に応じて、選択項目をロードし、そのデータの下位の項目に対してのみチェックポイントを実行できます。彼は先月のデータを選択します。次にGeorgeは、本番環境のOAAM管理からスナップショットをエクスポートし、それをOAAMオフライン・テスト環境にリストアします。すべてのデータについて、ロードおよび実行を構成します。実行には「Production state 08/11/2010」というベース名を付けます。実行の最初のインスタンスが発生すると、そのインスタンスには、ベース名に開始日時が付加された名前「Production state 08/11/2010_18:01.80112010」が自動的に付けられます。実行が完了すると、チームでは、設計したセキュリティ・ポリシーに対する編集と追加を行います。Georgeは自動的に「Production state 08/11/2010_23:12.80112010」という名前が付けられた別の実行を、すべてのデータに対して開始します。この2回目の実行では、結果のずれを防ぐために、1回目の実行で作成されたデータをすべて無視します。1回目の実行で生成されたアクション・アラートおよびスコアは、2回目以降の実行の結果に影響を与えません。2回目の実行が完了したら、2回の実行の集計結果値を示すレポートを生成し、それらを並べて比較できるようにします。Georgeは結果に満足したため、スナップショットをバックアップし、それを本番環境にリストアします。

このフローにおける一般的なタスクとユーザーが直面する疑問/問題

1. データソースの構成

2. 役立つ構造へのデータのマップ - ログイン(OOTB)

3. ロードするデータの選択 - すべてまたは特定の項目

4. チェックポイントも実行するか

5. 今すぐロードするか、または設定時間に開始するか

6. ロードが発生するまたは繰り返されるタイミングのスケジュール

7. 結果を見やすい形式で表示して、実行したリスク評価とプロファイリングからわかった実態を把握する

21.11.4 ユース・ケース: 監視データのロールアップ

IT管理者のGramは、ダッシュボードで使用する監視データを最適な状態で維持する必要があります。彼はデータの統合を構成して、今後それを週3回自動的に実行する必要があります。

ソリューション: Gramはすでに使用可能な「データ・ロールアップの監視」タスクを使用して、週3回監視データを統合します。OAAM本番データベースにマップするデータベース接続プロパティを正しく構成します。

手順: OAAM管理コンソール(オンライン)で、GramはデータソースとしてOAAM本番データベースを定義し、日付範囲を指定することによって、どれぐらいのデータを統合するかを定義します。適切なロールアップ単位とカットオフ日付を使用して、監視データのロールアップを構成します。その後、そのジョブを週3回実行するようスケジュールします。

21.11.5 ユース・ケース: ダッシュボードの監視データの統合

IT管理者のGramは、ダッシュボードで使用する監視データを毎日最適な状態で維持する必要があります。彼はデータの統合を構成して、今後それを毎日自動的に実行する必要があります。

ソリューション: Gramはすでに使用可能な「データ・ロールアップの監視」タスクを使用して、毎日監視データを統合します。OAAM本番データベースにマップするデータベース接続プロパティを正しく構成します。

手順: OAAM管理コンソール(オンライン)で、GramはデータソースとしてOAAM本番データベースを定義し、日付範囲を指定することによって、どれぐらいのデータを統合するかを定義します。ロールアップ単位を毎日、カットオフ時間を1として、監視データのロールアップを構成します。その後、そのジョブを週3回実行するようスケジュールします。履歴ダッシュボードを確認したとき、彼は予想どおり、ダッシュボードの最下部に表示された時間ごとのトレンド・ビューで、いくつかの時間の粒度が失われていることに気付きます。

21.11.6 ユース・ケース: 複数のソースからのトランザクション・データのロードとリスク評価の実行

Georgeはセキュリティとコンプライアンスを担当しています。彼は、従業員のガス・カードの使用状況を監視して、リソースを濫用している可能性があるすべての従業員を識別できるソリューションの構成を依頼されました。

ソリューション: Georgeは、相乗り自動車タイプのデータ、使用された自動車のタイプに関する従業員の詳細およびガス・カードのトランザクション・レコードに対してリスク評価を実行しようと考えています。このデータは3つの異なるソースから、CSV形式で提供されます。Georgeは所属チームおよび契約者と協力し、要件に合ったカスタム・データ・ローダーを開発しました。

このローダーでは、以前にOAAM管理コンソールで定義したエンティティとトランザクションを使用して、受信データをOAAMスキーマにマップします。また、チームでは2つのトランザクション・チェックポイントを使用して評価するカスタム実行タスクも開発しました。開発した実行タスクでは、管理者が2つのチェックポイントのどちらを実行するかを選択できます。

手順: OAAM管理コンソールで、Georgeは日付範囲を指定することによって、どれぐらいのデータをロードおよび実行するかを定義します。必要に応じて、選択項目をロードし、そのデータの下位の項目に対してのみルールを実行できます。Georgeはリスク評価の実行対象となるデータを決定した後、実行するチェックポイントを選択します。一度に1つまたは複数を実行できます。最後に、ロードおよび実行する単一の日付/時間または再発生するロードおよび実行を構成するか、単に「開始」をクリックしてすぐにロードおよび実行を開始します。

実行とロードおよび実行が完了したら、Georgeのチームは開発した集計とリスト・レポートを両方実行します。一方には月ごとの各アラートの合計数と、その月の日ごとの各アラートのトレンドが表示されるため、変化を確認できます。もう一方には、アラートをトリガーした従業員が、トリガーしたアラートのリストおよび時間とともに表示されます。

一般的なタスクの概要: このフローにおける一般的なタスクとユーザーが直面する疑問/問題の概要を次に示します。

- データソースの構成

- OAAMスキーマへのデータのマップ - トランザクション(カスタム)

- ロードするデータの選択 - すべてまたは特定の項目

- ルールも実行するか

- どのチェックポイントを実行する必要があるか

- 今すぐロードするか、または設定時間に開始するか

- ロードが発生するまたは繰り返されるタイミングのスケジュール

- ビジネス・ユーザーに役立つ形式で結果を表示できるレポートの作成

21.11.7 ユース・ケース: OAAMオフラインの使用(標準的なロード)

OAAMオフラインの使用に関するユーザー・フローを次に示します。

1. オフライン・システムをインストールします。

2. データをロードします。

3. データに対してルールを実行します。
チェックポイントの評価順序は、オンラインの場合と同じです。

認証後、チャレンジ・アクションを含むルールに対しては、認証ステータスが保留中に設定されます。

疑わしいアクティビティに対しては、アラートが生成されます。

4. ダッシュボードとレポートを調べます。

5. 試みられたハッキングを探します。

6. 攻撃を捕捉するための新しいルールとポリシーを作成します。

7. 新しいルールとポリシーを通じて古いデータを実行します。

8. 新しいルールが役立ったかどうか、再度レポートを調べます。

9. 本番前環境でルールをテストします。

10. Oracle Adaptive Access Manager本番システムに新しいルールとポリシーを実装します。

21.12 ベスト・プラクティス

この項では、OAAMオフラインを使用する管理者のためのいくつかのベスト・プラクティスについて説明します。

21.12.1 ワーカー/ライター・スレッドの構成

ローダー構成の作成時は、10個のワーカー・スレッドから始めて、ダッシュボードを使用してスループット(1分当たりに処理されるリクエストの数)を監視します。

スループットが必要に満たない場合は、ライター・スレッドを5個単位で増やします。ライター・スレッドの数を増やしても、必ずしもスループットが向上するわけではありません。特定のハードウェアで最大のスループットを得るには、ワーカー・スレッドの数を調整します。

21.12.2 I/Oの性能に優れたデータベース・サーバー

データベース・サーバーを実行するホストは、I/Oの性能に優れている必要があります。オフライン処理では、I/Oを集中的に使用します。

21.12.3 データベースの索引

適切な索引が提供されるように、最新のOracle Adaptive Access Managerデータベース・パッチを入手して適用します。

21.12.4 メモリー・バッファ・サイズの設定

ロードおよび実行は、バッファがフラッシュされた後にのみ一時停止します。一時停止および再開の必要がある場合は、スロットルのサイズを小さく保ちます。デフォルトは100です。

21.12.5 入力データの質

データをデータベースにロードする場合、そのデータがマッピングのとおりに有効であることを確認します。ソース・データの検証(基本的な健全性の確認)は、ロード前の方が簡単に行うことができます。これにより、サイクルのロードや情報の正しくない処理が行われずに済みます。

検証内容を次に示します。

- nullまたは空の必須フィールド(ユーザー名など)があるかどうかを確認します。

- 同じユーザーからのログインやトランザクションが何回も発生していないこと、および正しくないデリミタやエスケープ文字が原因でユーザーID「0」が30%を超える割合でログインしていないことを確認します。このようなエラーは必ずしもエラーとして記録されませんが、ロード処理が遅くなったり、データが誤って処理される原因となります。

- フィールドの組合せが一意であることが予期されていること、およびデータが一意であることを確認します。

- 重複したレコードやコンテンツがソース・データに含まれていないことを確認します。レコードが重複した場合、結果にずれが生じ、誤ったアラートが発生する可能性があります。

- リクエストを識別するフィールド(リクエスト識別子)が一意であることを確認します。

- データの切捨てを回避するには、ソース・データをデータベースにロードしてからOracle Adaptive Access Managerにフィードする場合に、そのソース・データがデータベースへのロード中に切り捨てられないようにします。

21.12.6 デバイス・データの構成

ソース・データにセキュアなCookieやデジタルCookieが含まれない場合、常にセキュアなCookieとデジタルCookieのいずれかまたは両方を送信し、Oracle Adaptive Access Manager内でのCookieの循環を無効にします。

21.12.7 可用性

フェイルオーバーは即座に発生しません。システムでは、リース・メカニズムを使用して、ジョブがまだ有効であるかどうかを確認し、リースの有効期限が切れたときにフェイルオーバーしますが、そのフェイルオーバーには10分もかかる場合があります。

21.12.8 OAAMローダーとファイル・ベースおよびカスタム・ローダー

OAAMローダーは最適化されているため、ファイル・ベースのローダーやカスタム・ローダーよりもOAAMローダーを使用することをお薦めします。次の場合において、制御に優れ、使いやすく、動作も迅速です。

- 一時停止と再開

- 部分データ・セットの使用

ファイル・ベース・ローダーやカスタム・ローダーを使用するかわりに、標準的なツールを使用して一時データベースにファイルをロードまたはデータを格納した後、その一時データベースを使用してデータをデータベースにロードできます。

21.12.9 カスタム・ローダーの使用方法

カスタム・ローダーは、次のような場合に使用できます。

- データを簡単にマップできず、複雑なSQL問合せやなんらかの操作が必要な場合

- データをマップするためのカスタムJavaコードが必要な場合

- トランザクション・データのロードが必要な場合

- ログインおよびトランザクション・データのロードが必要な場合

カスタム・ローダーを開発するためのガイドラインについては、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のカスタム・ローダーの開発に関する項を参照してください。

第VIII部

ジョブのスケジュール

この部では、バッチ分析を実行するためのジョブの定義、スケジュールおよび実行に関する情報を提供します。

22 OAAMでのジョブのスケジューリングと処理

この章では、Oracle Adaptive Access Managerのバッチ・ジョブを定義、スケジュールおよび実行する方法について説明します。

この章では、次の内容を説明します。

- 22.1項「アクセス制御」

- 22.2項「OAAMのジョブの概要」

- 22.3項「ジョブ作成ウィザードの起動」

- 22.4項「ジョブの作成」

- 22.5項「ジョブの管理」

- 22.6項「ジョブの編集」

- 22.7項「移行」

- 22.8項「ユース・ケース」

22.1 アクセス制御

次の表では、オンライン・スケジューリング・システムおよびオフライン環境のアクセス権について説明します。

表22-1 オンライン・ジョブ・スケジューリング・システム

ロール

アクセス

CSRおよびCSRマネージャ

アクセス権なし

不正調査担当者および調査マネージャ

アクセス権なし

システム管理者

完全なアクセス権

セキュリティ管理者

アクセス権なし

表22-2 オフライン環境

ロール

アクセス

CSRおよびCSRマネージャ

アクセス権なし

不正調査担当者および調査マネージャ

オンラインと同じアクセス(セキュリティ・ダッシュボードを含む)

システム管理者

オンラインと同じアクセス(環境ノード)およびスケジューラ・ノードへの完全なアクセス権

セキュリティ管理者

オンラインと同じアクセス(環境ノードを除くすべて)およびスケジューラ・ノードへの完全なアクセス権

22.2 OAAMのジョブの概要

セキュリティ管理では、リスクの高い状況を検出するために評価を実行することが、頻繁に必要になります。システム管理では、データを統合するジョブを実行することは、システムの最適なパフォーマンスを維持するために重要です。Oracle Adaptive Access Managerには、バッチ・ジョブを構成してスケジュールする機能があります。

ジョブは、OAAMで実行できるタスクの集合です。データのロード、リスク評価の実行、監視データのロールアップなど、様々なジョブを実行できます。

表22-3に、これらのジョブの説明を示します。

表22-3 ジョブ

ジョブ

適用可能なデプロイメント

説明

ロード

オフライン

ロード・ジョブは、リモート・データソースから記録し、データをOAAMログイン・セッションに変換して、ログイン・セッションをOAAMオフライン・データストアに格納します。

実行

オフライン

実行ジョブは、一連のOAAMセッションに対してリスク分析を実行します。

ロードおよび実行

オフライン

ロードおよび実行ジョブは、ロード・ジョブと実行ジョブの組合せです。ロード・ジョブによって各レコードが処理された後、その結果は実行ジョブに直接入力されます。

監視データのロールアップ

オンラインおよびオフライン

監視データのロールアップ・ジョブは、ダッシュボードおよび一部のリスク評価で使用される監視データを定期的に統合します。このジョブは、処理時にデータベースを最適化するためにデータを統合します。

22.2.1 ジョブ・インタフェース

ジョブ検索ページを使用すると、ジョブを検索して詳細を表示できます。ジョブに対して実行できるアクションを次の表に示します。

表22-4 ジョブ・アクション

アクション

説明

検索

ジョブを検索します。

作成

ジョブを作成します。

実行

ジョブの実行を開始します。

ログの表示

ジョブのログを表示します。

実行キューの表示

ジョブの処理順序を表示します。

ジョブの進行状況の表示

完了率および予測完了時間を表示します。

一時停止および再開

ジョブを停止し、再度開始します。

ジョブの取消し

ジョブを停止します。

ジョブ作成ウィザードは、「新規ジョブ」アイコンをクリックすると起動され、ジョブの定義およびスケジューリング・プロセスが、ステップごとに順を追って示されます。ウィザードの進行に伴い、情報の入力を要求されます。標準のロード・プロセスを使用している場合は、リモート・データベースのオフライン・データにデータ・ローダーがアクセスするためのデータベース接続URL、実行セッションの特性、データベースにロードされるデータ用のフィルタ、ジョブを実行するスケジュールを構成します。

「ジョブ・キュー」ページには、現在処理中のジョブと、予測完了時間と完了率の観点からの進行状況が表示されます。キューからは、ジョブの処理を取り消すか一時停止して再開できます。スケジューリングでジョブが処理されるように設定されていない場合、ジョブ・キューに表示されません。

22.2.2 ジョブ・キュー

ジョブが作成されてスケジュールされると、ジョブのインスタンスが1つジョブ・キューに追加されます。ジョブ・キューはジョブ実行の順序です。処理順序は、スケジュールされた開始時間、優先度、およびキューに追加された日付/時間に基づきます。ジョブは、処理の順序でキューに表示されます。

たとえば、ジョブAが高優先度で構成されて即時処理されるように設定され、次にジョブBが高優先度で構成されて即時処理されるように設定された場合、キューではAのインスタンスがBよりも上に表示されます。ジョブはその順序で処理されます。

22.2.3 ジョブの検索

ジョブ検索ページを使用すると、ジョブを検索してその詳細を表示できます。

1. ナビゲーション・ツリーで、「ジョブ」をダブルクリックしてジョブ検索ページを開きます。

2. 検索フィルタでジョブを検索する基準を指定し、「検索」をクリックします。

表22-5 検索フィルタ

フィルタ

定義

ジョブ・タイプ

ジョブが実行する特定のタスク。

ジョブ・ステータス

「有効化」または「無効化」。無効なジョブは実行されません。

ジョブの優先度

ジョブの優先度: 「高」、「低」、「中」

作成日

ジョブが作成された日付。

デフォルトでは、「作成日」は過去1か月に設定されます。

スケジュール・タイプ

「1回」または「繰返し」。

繰返し間隔

「毎時」、「日次」、「週次」または「月次」。

前回開始日

ジョブ実行の前回開始時間。このフィールドの「開始」セクションを設定した場合、「終了」セクションには現在の時間が自動的に移入されます。

前回終了日

デフォルトでは、前回終了日は前回開始日の24時間後に設定されます。

ジョブ名をクリックすると、対応するジョブ詳細ページが新しいタブで開きます。

注意:

Oracle Adaptive Access Managerにパッケージされている標準ジョブでは、多数の言語がサポートされます。ただし、Default Monitor Data Rollup Taskというジョブ名は、英語以外のコンテンツを表示している場合でも、英語で表示されます。

ジョブ検索ページで、ツールバーから次のタスクを実行できます。

表22-6 結果表のツールバー・アクション

アクション

説明

オープン

ジョブを開いて詳細を表示します。

削除

ジョブを削除します。

有効化

ジョブを有効化します。

無効化

ジョブを無効化します。

すぐに処理

ジョブをすぐに処理します。

ジョブ作成ウィザードの起動

ジョブを定義してスケジュールできるように、ジョブ作成ウィザードを起動します。

22.3 ジョブ作成ウィザードの起動

ジョブ作成ウィザードを使用して、ジョブを作成します。ジョブは、オンライン・アプリケーションでセキュリティ管理者によって、またはオフライン・アプリケーションでセキュリティ管理者またはシステム管理者によって作成されます。監視データのロールアップ・ジョブは、システム管理者が作成します。

ジョブ作成ウィザードを開くには、次の手順を実行します。

1. ナビゲーション・ツリーで、「ジョブ」をダブルクリックしてジョブ検索ページを開きます。

2. コンソールの右上にある「新規ジョブ」ボタンまたはツールバーの「新規ジョブ」ボタンをクリックするか、「アクション」メニューから「新規ジョブ」を選択します。
「新規ジョブ」ダイアログが選択可能なジョブ・タイプとともに表示されます。

注意:

表に示されているすべてのジョブは、OAAMオフラインで使用できます。「データ・ロールアップの監視」のみ、OAAMオンラインで使用できます。

表22-7 OAAMのジョブ・タイプ

ジョブ・タイプ

定義

ロード

OAAMセッションを作成するためにデータを読み取ります。

ロードおよび実行

OAAMセッションを1ステップで作成して読み取ります。

監視データのロールアップ

データ統合を監視します。

実行

OAAMセッションでバルク・リスク分析を実行します。

3. 作成するジョブを選択し、「続行」をクリックします。
ジョブ作成ウィザードの最初のページとして、「一般」ページがデフォルトで開きます。

次の各項では、ジョブ作成ウィザードのページについて説明します。これらのページで、アスタリスク(*)は必須の設定です。

22.3.1 ジョブの作成: 一般

「一般」ページには、ジョブ・タイプ、ジョブ名、ジョブ・ステータスなど、ジョブに関する一般情報が表示されます。このページを使用して、ジョブの名前と説明を入力します。「ジョブ名」フィールドには英数字を入力します。ジョブはデフォルトで有効化されます。

注意:

ジョブ・タイプは変更できません。

22.3.2 ジョブの作成: ロードの詳細(「ロード」ジョブと「ロードおよび実行」ジョブの場合)

「ロードの詳細」ページでは、処理するレコードを制御できます。

カスタム・ローダーとOAAMローダーから選択できます。

表22-8 カスタム・ローダーとOAAMローダー

ローダー

説明

カスタム・ローダー

カスタム・ローダーは、複雑なシナリオやカスタム・シナリオを実行する方法を定義するユーザー定義のローダーです。

カスタム・ローダーの場合、カスタム・ローダー・クラスの完全修飾クラス名を指定する必要があります。

OAAMローダー

OAAMローダーは、リモート・データソースからレコードを読み取る方法およびそれをOAAMセッションに変換する方法を定義するデフォルトのローダーです。

OAAMデータ・ローダーは、ログイン・データをリレーショナル・データベースからロードします。

デフォルトでは、OAAMローダーが選択されています。データソースおよびその他のプロパティに関する情報が必要です。

表22-9 OAAMローダーの詳細

パネル

説明

データソース

このパネルには、データソースに関する情報と接続情報が表示されます。

その他のプロパティ

このパネルには、トランザクション・サイズ、メモリー・バッファ・サイズ、書込みプール・サイズなどのその他の情報が表示され、パフォーマンスを向上させるために値を調整できます。

22.3.3 ジョブの作成: 実行の詳細(「実行」ジョブと「ロードおよび実行」ジョブの場合)

「実行の詳細」ページでは、カスタム実行タイプまたはOAAM実行タイプを選択できます。実行タイプでは、OAAMポリシーがセッションに適用される方法および条件が定義されます。

22.3.4 ジョブの作成: データ・フィルタ

「データ・フィルタ」ページでは、オフライン・システムにロードする、または処理するデータのセットを決定するフィルタを選択できます。ジョブ・タイプが「ロードおよび実行」の場合、ロードと実行の両方に同じデータ・フィルタが適用されます。

「自動増分」フィルタは、レコードのセットを、「開始日」フィールドで指定された日付の後に作成されたすべてのレコードとして定義します。「日付範囲」フィルタは、レコードのセットを、「開始日」および「終了日」フィールドで指定された日付の間に作成されたすべてのレコードとして定義します。

22.3.5 ジョブの作成: スケジュール

「スケジュール」ページでは、ジョブのスケジュール・オプションを指定できます。次の情報を指定します。

表22-10 「スケジュール」ページのオプション

オプション

説明

ジョブの優先度

ジョブの優先度によりジョブの重要性が決まり、優先度に基づいてジョブがジョブ実行キューに追加されます。詳細は、22.3.5.1項「ジョブの優先度」を参照してください。

スケジュール・タイプ

ジョブを即時に実行することも、後で実行するようにスケジュールすることもできます。詳細は、22.3.5.2項「スケジュール・タイプ」を参照してください。

開始日および開始時間(1回)

ジョブは開始日時に実行されます。

繰返し間隔(繰返し)

日次、毎時、週次、月次

ジョブは選択内容に基づいて実行を繰り返します。

実行間隔(繰返し)

繰返し間隔の繰返し頻度。たとえば、「繰返し間隔」が「週次」の場合、「実行間隔」には2を入力できます。ジョブは2週間ごとに実行されます。

開始時間(繰返し)

繰返しジョブは、「繰返し範囲」の「開始日」に指定した時間に開始します。

必要な曜日の開始時間を選択することによって、曜日を選択できます。

「繰返し範囲」の「開始日」および「終了日」(繰返し)

ジョブ実行の日付範囲。ジョブは、指定された間隔で開始日から終了日まで実行を続行します。繰返しジョブの場合、「開始日」はジョブが最初に実行される日時です。「終了日」は、繰返しがなくなる日時です。空白のままにすると、ジョブはジョブ・キューから手動で削除されるまで永久に繰り返されます。「終了日」は非繰返しジョブには適用されません。

ジョブ実行が次を超える場合は実行を取消

ジョブが一定期間を超えて実行される場合、ジョブを取り消します。例: 60秒。実行時間が60秒を超えると、ジョブは実行を取り消します。詳細は、22.3.5.3項「取消し時間」を参照してください。

22.3.5.1 ジョブの優先度

ジョブの優先度は、ジョブの重要度を示します。ジョブの優先度は、低、中および高に設定できます。2つのジョブが競合する場合、優先度の高いジョブが先に処理されます。2つのジョブが競合し、優先度が同じ場合、OAAMはいずれかのジョブをランダムに選択して先に処理します。

表22-11 ジョブの優先度の例

例

処理の設定

優先度

管理者が同時に「送信」をクリックしたときの結果

1

ジョブA: 即時

ジョブB: 即時

ジョブA: 高

ジョブB: 中

ジョブAのほうが優先度が高いため、キューでAのインスタンスがBのインスタンスの上に表示され、その順序で処理されます。

2

同じ開始日時

ジョブA: 中

ジョブB: 低

ジョブAのほうが優先度が高いため、キューでAのインスタンスがBのインスタンスの上に表示され、その順序で処理されます。

3

同じ開始日時

どちらも中

ジョブ・キューのロジックによって、AまたはBがランダムに選択されて先に処理され、インスタンスはランダムに決定された順序でジョブ・キューに表示されます。

22.3.5.2 スケジュール・タイプ

「スケジュール・タイプ」によって、特定のジョブが実行される頻度と時間が決まります。「スケジュール・タイプ」は、「1回」か「繰返し」のいずれかです。

表22-12 スケジュール・タイプ

タイプ

定義

必要なフィールド

適用されないフィールド

1回

将来の指定された日時にジョブを1回のみ実行します。

スケジュール・タイプが「1回」に設定された場合、実行時間(「開始日」および「開始時間」)はデフォルトで現在の日付と時刻に設定され、ジョブは(今)すぐに処理されます。

「開始日」および「開始時間」

繰返し/間隔タイプ、「繰返し頻度」または「終了時間」

繰返し

ジョブをスケジュールに基づいて複数回実行します。

すべて

「頻度」は、実行が繰り返される頻度です。

なし

スケジュール・タイプの例を次の表に示します。

表22-13 スケジュール・タイプの例

処理

設定する値

ノート

関連ジョブおよび依存ジョブのグループを2週間ごとに実行

- 繰返し/間隔タイプ: 週次

- 繰返し頻度: 2

2010年8月30日から2010年10月25日まで、2週間ごとに月曜日の午後3時にジョブを実行

- スケジュール・タイプ: 繰返し

- 開始時間: 08/30/2010 3:00 PM

- 終了時間: 10/25/2010 3:00 PM

- 間隔: 週次

- 頻度: 2

- 時間: 3:00 PM

ユーザーは曜日を直接は指定しません。週次の繰返しでは、ユーザーは必要な曜日の開始時間を選択することによって、間接的に曜日を選択します。この例では、08/30/2010が月曜日であるため、ジョブは月曜日に実行されます。

22.3.5.3 取消し時間

ジョブ定義の一部として、オプションの取消し時間を指定できます。取消し時間によって、ジョブが自動的に停止されるまでのジョブの最大実行時間が決まります。この方法で、ユーザーは他のアクティビティと競合する可能性がある時間にジョブが実行されているという問題を回避できます。このオプションは必須ではなく、ジョブに取消し時間がない場合、ジョブは、終了するか、またはユーザーが手動で停止するまで実行されます。ジョブが現在実行中の場合、取消し時間の変更は将来の繰返しにのみ影響します。現在実行中のジョブ・インスタンスでは元の設定が使用されます。

22.3.6 ジョブの作成: サマリー

「サマリー」ページには、前のウィザード・ページで行った選択の内容および入力した情報が表示されます。

22.4 ジョブの作成

この項の手順に従って、新規ジョブを作成します。この項には、次の項目があります。

- ロード・ジョブの作成

- 実行ジョブの作成

- ロードおよび実行ジョブの作成

- 監視データのロールアップ・ジョブの作成

22.4.1 ロード・ジョブの作成

ロード・ジョブは、リモート・データソースからレコードを読み取り、データをOAAMログイン・セッションに変換して、ログイン・セッションをOAAMオフライン・データストアに格納します。

注意:

OAAM以外のスキーマからロードする場合は、データベース・ビューを設定する必要があります。手順は、21.8.2項「OAAM以外のデータベースのビューの作成」を参照してください。

ロード・ジョブを作成するプロセスは、次のとおりです:

1. 「ジョブ・タイプ」を選択し、ジョブ詳細を指定します。22.4.1.1項「ロード・ジョブ・タイプの選択とジョブ詳細の指定」を参照してください。

2. ロードの詳細を入力します。
ローダー・タイプは、リモート・データソースからレコードを読み取る方法およびそれをOAAMセッションに変換する方法を定義します。

データベースからデータをロードする場合は、OAAMに付属しているOAAMローダー・タイプを選択します。22.4.1.3項「OAAMデータ・ローダーのロードの詳細の指定」を参照してください。

別のタイプのタスクを実行する場合は、「カスタム・ローダー」タイプを選択します。22.4.1.2項「カスタム・ローダーのロードの詳細の指定」を参照してください。

「OAAM」ローダー・タイプを使用する場合は、次の手順を実行する必要があります。

3. データ・フィルタを設定します。
データ・フィルタでは、ロードまたは実行されるデータベースのレコード・セットを定義する条件が定義されます。

特定の日付より後に作成されたすべてのレコードとしてレコード・セットを定義する場合は、データ・フィルタ・タイプとして「自動増分」を選択します。22.4.1.4項「特定の日付より後に作成されたすべてのデータをロードする指定」を参照してください。

「開始日」と「終了日」の間に作成されたすべてのレコードとしてレコード・セットを定義する場合は、「日付範囲」を選択します。22.4.1.5項「日付範囲内に作成されたデータをロードする指定」を参照してください。

4. スケジュールを設定します。
1回実行するロード・ジョブをスケジュールする場合は、スケジュール・タイプとして「1回」を選択します。22.4.1.6項「1回実行されるロード・ジョブのスケジュール」を参照してください。

定期的に実行するロード・ジョブをスケジュールする場合は、スケジュール・タイプとして「繰返し」を選択します。22.4.1.7項「定期的に実行されるロード・ジョブのスケジュール(繰返し)」を参照してください。

5. 詳細を確認します。22.4.1.8項「ロード・ジョブのサマリーの詳細の確認」を参照してください。

22.4.1.1 ロード・ジョブ・タイプの選択とジョブ詳細の指定

ロード・ジョブを作成するには:

1. ジョブ検索ページで、「新規ジョブ」ボタンをクリックします。
ジョブ・タイプの選択ダイアログが選択可能なジョブ・タイプとともに表示されます。

2. 「ロード」を選択し、「続行」ボタンをクリックします。
「ジョブの作成」ページの「一般」ページが開き、ロード・ジョブの名前と説明を指定できます。

デフォルトでは、ステータスは「有効化」であり、「ジョブ・タイプ」フィールドには「ロード」と表示されています。

「ジョブ・タイプ」フィールドは変更できません。

3. 定義するジョブの名前を決め、「ジョブ名」フィールドに入力します。
「ジョブ名」に入力できるのは英数字のみです。

4. ロード・ジョブの説明を入力します。
ジョブ名と説明を入力すると、「次」ボタンが有効になります。

5. 「次」ボタンをクリックして、ロード・ジョブを作成します。
ジョブが作成され、「ロードの詳細」ページが表示されます。

22.4.1.2 カスタム・ローダーのロードの詳細の指定

カスタム・ローダーは、複雑なシナリオやカスタム・シナリオを実行する方法を定義するユーザー定義のローダーです。ジョブを作成すると、ジョブの定義を開始できる「ロードの詳細」ページが表示されます。

カスタム・ローダーを使用してデータソースをロードする場合は、次の手順を実行します。

1. 「ロードの詳細」ページで、「カスタム・ローダー」を選択します。
これは、デプロイメントに固有の複雑なシナリオやカスタム・シナリオを実行するために自分で開発したカスタム・ローダーです。このローダーを定義するためにカスタム・クラスを作成します。

2. カスタム・ローダーを選択するには、「クラス・パスの更新」ボタンをクリックします。
ダイアログが表示され、カスタム・ローダー指定を実装するJavaクラスの正確なパスを入力する必要があります。

3. カスタム・ローダー指定を実装するJavaクラスの正確なパスを入力し、「OK」を押します。
クラスが見つからない場合、またはクラスが正しく定義されたカスタム・ローダーではない場合、エラーが発生します。

22.4.1.3 OAAMデータ・ローダーのロードの詳細の指定

ローダー・タイプは、リモート・データソースからレコードを読み取る方法およびそれをOAAMセッションに変換する方法を定義します。ジョブを作成すると、ジョブの定義を開始できる「ロードの詳細」ページが表示されます。

OAAMデータ・ローダーは、ログイン・データをリレーショナル・データベースからロードします。データソースのデータ・ローダー・タイプとしてOAAMローダーが必要な場合は、次の手順を実行します。

1. 「ロードの詳細」ページで、OAAMローダー・タイプが選択されていることを確認します。

2. 「データ・ソースの詳細」で、ソース・データベースのデータベース接続パラメータを入力します。
データベース接続パラメータによって、リモート・データベースへの接続方法が定義されます。

表22-14 データベース接続パラメータ

パラメータ

説明

データベース・プラットフォーム

ロード元のデータベースのタイプ

JDBC URL

データベースの接続文字列

データベース・ユーザー・スキーマ

データベースのユーザー名

データベースのパスワード

データベースのパスワード

3. その他のプロパティの値を入力します。
このパネルには、トランザクション・サイズ、メモリー・バッファ・サイズ、書込みプール・サイズなど、パフォーマンスを向上させるために調整できる情報が表示されます。

表22-15 ロード・ジョブの特性

プロパティ

説明

書込みプール・サイズ

受信レコードの処理専用のスレッドの数を定義します。最適な値はユーザーのシステムによって異なるため、あるシステムでパフォーマンスが最適となる値を見つけるために、ユーザーが試験する必要がある場合があります。

メモリー・バッファ・サイズ

メモリー内で未処理のレコードを保持するバッファのサイズを定義します。再開する予定のジョブを一時停止する場合は、ジョブの停止前にこのバッファ内のすべてのレコードが処理される必要があります。この値が大きいほど、停止手順に時間がかかります。

トランザクション・サイズ

レコードをバッチとして処理する方法を定義し、ロギング頻度も制御します。

4. 「次」ボタンをクリックします。
「ロードの詳細」ページで、データベース接続の詳細を指定し、様々なプロパティを調整すると、ロード・ジョブのデータ・フィルタを適用する準備が整います。

22.4.1.4 特定の日付より後に作成されたすべてのデータをロードする指定

「ロードの詳細」ページで必要なデータベース接続パラメータおよびその他のプロパティを入力すると、ロードするデータのセットを指定できる「データ・フィルタ」ページが表示されます。データ・フィルタによって、オフライン・システムにロードするレコード・セットが決まります。

指定より後に作成されたすべてのレコードとしてレコード・セットを定義する場合は、次の手順を実行します。

1. フィルタ・タイプとして「自動増分」を選択します。

2. 「開始日」を入力します。

3. 「次」ボタンをクリックします。
ジョブを1回実行するか繰返し実行するかを指定できる、「スケジュール」ページが表示されます。

「自動増分」フィルタが指定された繰返しロード・ジョブは、基準を満たすすべてのレコードが処理されると一時停止し、次の繰返しではその間に追加された新規レコードが処理されます。「自動増分」フィルタを適用する場合は、ロード・ジョブに「繰返し」スケジュールを使用することがベスト・プラクティスとなります。

22.4.1.5 日付範囲内に作成されたデータをロードする指定

「ロードの詳細」ページで必要なデータベース接続パラメータおよびその他のプロパティを入力すると、ロードするレコードのセットを定義するために使用するデータ・フィルタを指定できる「データ・フィルタ」ページが表示されます。「日付範囲」フィルタは、「開始日」と「終了日」の間に作成されたすべてのレコードとしてレコード・セットを定義します。

日付範囲内のデータをデータソースからロードする場合は、次の手順を実行します。

1. フィルタ・タイプとして「日付範囲」を選択します。

2. 「開始日」および「終了日」を入力します。
その特定の日付範囲内のデータのみがロードされます。データ収集のために「開始日」および「終了日」を入力する必要があります。これらの日付内に処理されたすべてのデータがオフライン・システムにロードされます。

3. 「次」ボタンをクリックします。
ジョブを1回実行するか繰返し実行するかを指定できる、「スケジュール」ページが表示されます。

22.4.1.6 1回実行されるロード・ジョブのスケジュール

データ・フィルタを指定すると、ジョブの優先度およびスケジュール・タイプを定義できる「スケジュール」ページが表示されます。

ジョブをすぐに実行する場合は、次の手順を実行します。

1. 「スケジュール」ページで、ジョブの優先度を「高」、「中」または「低」から選択します。
ジョブの優先度によって、ジョブの重要度が決まります。

2. 「スケジュール・タイプ」として「1回」を選択します。
ジョブは指定した開始日と開始時間に実行されるか、またはジョブをすぐに実行できます。このジョブは1回のみ実行され、繰返しはありません。「スケジュール・タイプ」が「1回」に設定された場合、実行時間(「開始日」および「開始時間」)は現在の日付と時刻に設定され、ジョブは(今)すぐに処理されます。

3. 「スケジュールの詳細」で「開始日」および「開始時間」を入力します。

4. 実行が次を超える場合は実行を取消しオプションを選択します。
ジョブが一定期間を超えて実行される場合、ジョブを取り消します。

例: 60秒。実行時間が60秒を超えると、ジョブは実行を取り消します。

5. 「次」をクリックします。

22.4.1.7 定期的に実行されるロード・ジョブのスケジュール(繰返し)

データ・フィルタを指定すると、ジョブの優先度およびスケジュール・タイプを定義できる「スケジュール」ページが表示されます。

ジョブを定期的に実行する場合は、次の手順を実行します。

1. 「スケジュール」ページで、ジョブの優先度を選択します。
ジョブの優先度によって、ジョブの重要度が決まります。

2. スケジュール・タイプとして「繰返し」を選択します。
スケジュール・タイプは後で設定または変更できますが、ここで指定する必要があり、指定しないとジョブを実行できません。

ジョブは、指定した繰返し間隔に基づいて繰返し実行されます。

ジョブが繰返しの場合、同時に実行できる特定のジョブのジョブ・インスタンスは1つのみです。前の繰返しがまだ実行中か、一時停止されているか、またはジョブ・キューで実行を待機している場合、このジョブ・インスタンスはスキップされます。ジョブ・インスタンスはステータス「スキップ」でジョブ・ログに移動され、次の繰返しがある場合はジョブ・キューに配置されます。

3. スケジュールの詳細を必要な値に設定します。

表22-16 スケジュールの詳細

パラメータ

説明

繰返し間隔

「日次」、「毎時」、「週次」、「月次」。

ジョブは選択内容に基づいて実行を繰り返します。

実行間隔

繰返し間隔の繰返し頻度。たとえば、「繰返し間隔」が「週次」の場合、「実行間隔」には2を入力できます。ジョブは2週間ごとに実行されます。

開始時間

繰返しジョブは、「繰返し範囲」の「開始日」に指定した時間に開始します。

「繰返し範囲」の「開始日」および「終了日」

ジョブ実行の日付範囲。ジョブは、指定された間隔で開始日から終了日まで実行を続行します。繰返しジョブの場合、「開始日」はジョブが最初に実行される日時です。「終了日」は、繰返しがなくなる日時です。空白のままにすると、ジョブはジョブ・キューから手動で削除されるまで永久に繰り返されます。「終了日」は非繰返しジョブには適用されません。

ジョブ実行が次を超える場合は実行を取消

ジョブが一定期間を超えて実行される場合、ジョブを取り消します。

例: 60秒。実行時間が60秒を超えると、ジョブは実行を取り消します。

4. 「サマリー」ページを表示するために「次」をクリックするか、「終了」をクリックしてジョブを処理します。

22.4.1.8 ロード・ジョブのサマリーの詳細の確認

「スケジュール」ページで「次」をクリックした場合は、「サマリー」ページが表示されます。このページには、前のウィザード・ページで行った選択の内容および入力した情報が表示されます。

「サマリー」ページに表示された選択内容や入力情報が適切でない場合は、「戻る」ボタンを使用してウィザード・ページに戻り、必要な変更を加えます。

「サマリー」ページに表示された選択内容および入力情報が適切な場合は、「終了」ボタンをクリックしてジョブを作成します。成功を確認するメッセージが表示され、ジョブ編集ページが表示されます。ジョブ編集ページでは、ジョブを変更および再スケジュールできます。

22.4.2 実行ジョブの作成

実行ジョブは、一連のOAAMセッションに対してリスク分析を実行します。OAAMロード・タイプを使用する実行ジョブは、データベースからセッション・レコードを読み取り、ユーザーが正常に認証される認証前および認証後チェックポイントのポリシーを適用します。

注意:

プロパティ・エディタを使用して次のプロパティを作成または編集することによって、どのチェックポイントが認証前または認証後かを変更できます。

profile.type.enum.[checkpoint-key].isPreAuth

profile.type.enum.[checkpoint-key].isPostAuth

カスタム実行ジョブは、その他のタスクを実行するか、または実行されるチェックポイントを別の方式で解決する場合があります。

実行ジョブを作成するプロセスは、次のとおりです。

1. 「ジョブ・タイプ」を選択し、ジョブ詳細を指定します。22.4.2.1項「実行ジョブ・タイプの選択とジョブ詳細の指定」を参照してください。

2. 実行の詳細を入力します。22.4.2.2項「実行タイプとしてのデフォルトまたはカスタム実行の選択」を参照してください。
実行タイプでは、OAAMポリシーがセッションに適用される方法および条件が定義されます。

「OAAM」実行タイプを使用する場合は、次の手順を実行する必要があります。

3. データ・フィルタを設定します。
データ・フィルタでは、ロードまたは実行されるデータベースのレコード・セットを定義する条件が定義されます。

特定の日付より後に作成されたすべてのレコードとしてレコード・セットを定義する場合は、データ・フィルタ・タイプとして「自動増分」を選択します。22.4.2.3.2項「特定の日付より後に作成されたすべてのデータに対する分析を実行する指定」を参照してください。

指定された日付の間に作成されたすべてのレコードとしてレコード・セットを定義する場合は、「日付範囲」を選択します。22.4.2.3.1項「日付範囲内に作成されたデータに対する分析を実行する指定」を参照してください。

4. スケジュールを設定します。
1回実行する分析をスケジュールする場合は、スケジュール・タイプとして「1回」を選択します。22.4.2.4.1項「1回実行される分析のスケジュール」を参照してください。

定期的に実行する分析をスケジュールする場合は、スケジュール・タイプとして「繰返し」を選択します。22.4.2.4.2項「定期的に実行される分析のスケジュール(繰返し)」を参照してください。

5. 詳細を確認します。22.4.2.5項「実行ジョブのサマリーの詳細の確認」を参照してください。

22.4.2.1 実行ジョブ・タイプの選択とジョブ詳細の指定

実行ジョブを作成するには、次の手順を実行します。

1. ジョブ検索ページで、「新規ジョブ」ボタンをクリックします。
ジョブ・タイプの選択ダイアログが選択可能なジョブ・タイプとともに表示されます。

2. 「実行」を選択し、「続行」ボタンをクリックします。
「ジョブの作成」ページの「一般」ページがデフォルトで開き、実行ジョブの名前と説明を指定できます。

3. 実行ジョブの名前と説明を入力します。
ジョブ名と説明を入力した後にのみ、「次」ボタンが有効になります。

4. 「次」ボタンをクリックします。
実行ジョブが作成され、「実行の詳細」ページが表示されます。

22.4.2.2 実行タイプとしてのデフォルトまたはカスタム実行の選択

ジョブを作成すると、実行タイプを選択できる「実行の詳細」ページが表示されます。実行タイプでは、OAAMポリシーがセッションに適用される方法および条件が定義されます。

1. 「実行の詳細」ページで、「実行タイプ」を次の2つのオプションから選択します。

表22-17 実行タイプ

実行タイプ

説明

デフォルト

デフォルトでは、「OAAM」実行タイプが選択されます。デフォルトで有効になっている「認証前」および「認証後」チェックポイントが実行されます。デフォルトの実行タイプを選択する場合、「トランザクション・サイズ」および「メモリー・バッファ・サイズ」を指定する必要があります。

カスタム実行

「カスタム実行」タイプを選択するには、「クラス・パスの更新」ボタンをクリックしてから、カスタム実行クラスの完全修飾クラス名を入力します。それが有効な場合は次のページに進むことができ、それ以外の場合はエラー・メッセージが表示されます。カスタム実行のクラス・パスは、通常カスタム・ロードのクラス・パスとは異なります。

2. 「次」ボタンをクリックします。
「データ・フィルタ」ページが表示されます。

22.4.2.3 分析するレコード・セットの指定

実行タイプを選択すると、次のことを実行できる「データ・フィルタ」ページが表示されます。

- 日付範囲を指定することによって、ロードおよび実行されるデータ量を指定します。

- 選択内容をロードし、そのデータの下位選択に対してのみチェックポイントを実行することを選択します。

22.4.2.3.1 日付範囲内に作成されたデータに対する分析を実行する指定

指定した日付の間に作成されたすべてのレコードとしてレコード・セットを定義する場合は、次の手順を実行します。

1. フィルタ・タイプとして「日付範囲」を選択します。

2. データ処理の「開始日」および「終了日」を入力します。
これらの日付内にロードされたすべてのデータが処理されます。

3. 「次」をクリックします。
「スケジュール」ページが表示されます。

22.4.2.3.2 特定の日付より後に作成されたすべてのデータに対する分析を実行する指定

指定より後に作成されたすべてのレコードとしてレコード・セットを定義する場合は、次の手順を実行します。

1. フィルタ・タイプとして「自動増分」を選択します。

2. 「開始日」を入力します。
これは、データが実行される開始日です。

特定の日付から後のすべてのデータが、現在のポリシーとルールで処理されます。

3. 「次」をクリックします。
「スケジュール」ページが表示されます。

22.4.2.4 実行される分析のスケジュール

データ・フィルタを指定すると、ジョブの優先度およびスケジュール・タイプを定義できる「スケジュール」ページが表示されます。

次のいずれかを選択できます。

- ロードおよび実行の単一の日付/時間の構成

- 繰返しのロードおよび実行の構成

- 「開始」のクリックによるロードおよび実行の即時開始

22.4.2.4.1 1回実行される分析のスケジュール

ロードおよび実行の単一の日付/時間を構成するには:

1. 「スケジュール」ページで、ジョブの優先度を選択します。
ジョブの優先度によって、ジョブの重要度が決まります。

2. 「スケジュール・タイプ」として「1回」を選択します。
ジョブは指定した開始日と開始時間に実行されるか、またはジョブをすぐに実行できます。このジョブは1回のみ実行され、繰返しはありません。「スケジュール・タイプ」が「1回」に設定された場合、実行時間(「開始日」および「開始時間」)は現在の日付と時刻に設定され、ジョブは(今)すぐに処理されます。

3. スケジュールの詳細を必要な値に設定します。

表22-18 1回実行される実行ジョブのスケジュールの詳細

プロパティ

説明

「開始日」および「開始時間」

ジョブは「開始日」の「開始時間」に実行されます。

ジョブ実行が次を超える場合は実行を取消

ジョブが自動的に停止されるまでのジョブの最大実行時間。このオプションは必須ではなく、ジョブに取消し時間がない場合、ジョブは、終了するか、またはユーザーが手動で停止するまで実行されます。

4. 「次」をクリックします。

22.4.2.4.2 定期的に実行される分析のスケジュール(繰返し)

繰返しのロードおよび実行を構成するには:

1. 「スケジュール」ページで、ジョブの優先度を選択します。

2. 「スケジュール・タイプ」を「繰返し」として選択します。
ジョブは、指定した繰返し間隔に基づいて繰返し実行されます。ジョブが繰返しの場合、同時に実行できる特定のジョブのジョブ・インスタンスは1つのみです。前の繰返しがまだ実行中か、一時停止されているか、またはジョブ・キューで実行を待機している場合、このジョブ・インスタンスはスキップされます。ジョブ・インスタンスはステータス「スキップ」でジョブ・ログに移動され、次の繰返しがある場合はジョブ・キューに配置されます。

3. スケジュールの詳細を必要な値に設定します。
実行ジョブは、スケジュールの詳細に従って実行されます。

表22-19 繰返し実行ジョブのスケジュールの詳細

プロパティ

説明

繰返し間隔

「毎時」、「日次」、「週次」または「月次」。

実行間隔

繰返しパターンの頻度。

開始時間

繰返しジョブは、「繰返し範囲」の「開始日」に指定した時間に開始します。

「開始日」および「終了日」

ジョブ実行の日付範囲。ジョブは、指定された間隔で開始日から終了日まで実行を続行します。繰返しジョブの場合、「開始日」はジョブが最初に実行される日時です。「終了日」は、繰返しがなくなる日時です。空白のままにすると、ジョブはジョブ・キューから手動で削除されるまで永久に繰り返されます。「終了日」は非繰返しジョブには適用されません。

実行時間が次を超える場合は実行を取消し

ジョブが自動的に停止されるまでのジョブの最大実行時間。このオプションは必須ではなく、ジョブに取消し時間がない場合、ジョブは、終了するか、またはユーザーが手動で停止するまで実行されます。

4. 「次」をクリックしてサマリー・ページに進むか、「終了」をクリックしてジョブを処理します。

22.4.2.5 実行ジョブのサマリーの詳細の確認

「スケジュール」ページで「次」をクリックした場合は、「サマリー」ページが表示されます。

このページには、前のウィザード・ページで行った選択の内容および入力した情報が表示されます。「サマリー」ページに表示された選択内容や入力情報が適切でない場合は、「戻る」ボタンを使用してウィザード・ページに戻り、必要な変更を加えます。「サマリー」ページに表示された選択内容および入力情報が適切な場合は、「終了」ボタンをクリックしてジョブを作成します。成功を確認するメッセージが表示され、ジョブ編集ページが表示されます。ジョブ編集ページでは、ジョブを変更および再スケジュールできます。

データのクリーンアップ

実行が開始されると、ジョブのデータ・フィルタ内にあるレコードのクリーンアップが実行されます。このクリーン・アップでは、ルール・ログ、アラートおよびアクションの削除、リスク・スコアおよび認証ステータスのリセットが行われます。これにより、ある実行から作成されたこのデータが、同じデータに対する他の実行に影響を及ぼすことがなくなります。パターンおよびグループの更新は実行間でリセットされないため、これらの機能は同じデータが複数回実行されるユース・ケース向けではありません。

たとえば、R&D Runという名前の実行ジョブを作成し、それを3回処理する場合、R&D Run_090820100429の結果(アクション、アラートおよびスコア)は、R&D Run_090820100715に影響せず、R&D Run_090920100807では前の2つの結果は無視されます。

22.4.3 ロードおよび実行ジョブの作成

ロードおよび実行ジョブは、ロード・ジョブと実行ジョブの組合せです。ロード・ジョブによって各レコードが処理された後、その結果は実行ジョブに直接入力されます。ロードおよび実行ジョブでは、認証後ルールが処理された後で、正常なログインのためにパターンが処理されます。

注意:

OAAM以外のスキーマからロードする場合は、データベース・ビューを設定する必要があります。手順は、21.8.2項「OAAM以外のデータベースのビューの作成」を参照してください。

22.4.3.1 ロードおよび実行ジョブ・タイプの選択と詳細の指定

1. ジョブ検索ページで、「ジョブの作成」ボタンをクリックします。
ジョブ・タイプの選択ダイアログが選択可能なジョブ・タイプとともに表示されます。

2. 「ロードおよび実行」を選択し、「続行」ボタンをクリックします。
「ジョブの作成」ページからデフォルトで「一般」ページが開かれ、ロードおよび実行ジョブの名前と説明を指定する必要があります。

デフォルトでは、「ステータス」は「有効化」です。

3. ジョブ・タイプとして「ロードおよび実行」を選択します。

4. ロードおよび実行ジョブの名前と説明を入力し、ステータスを選択します。
ロードおよび実行ジョブのジョブ・タイプ、名前および説明とステータスが「一般」ページに表示されます。デフォルトでは、ステータスは「有効化」です。

5. 「次」ボタンをクリックします。
ロードおよび実行ジョブが作成され、「ロードの詳細」ページが表示されます。

22.4.3.2 ロードおよび実行ジョブのローダー・タイプの選択

ジョブを作成すると、ジョブの定義を開始できる「ロードの詳細」ページが表示されます。

1. 「ロードの詳細」ページで、ローダー・タイプを「OAAM」と「カスタム・ローダー」の2つのオプションから選択します。
デフォルトでは、「OAAM」ローダー・タイプが選択されています。カスタム・ローダーは、カスタム・クラスを作成する場合に選択できます。

2. 「データ・ソースの詳細」で、ソース・データベースのデータベース接続パラメータを入力します。次のパラメータを入力する必要があります。

表22-20 データベース接続パラメータ

パラメータ

説明

データベース・プラットフォーム

ロード元のデータベースのタイプ

JDBC URL

データベースの接続文字列

データベース・ユーザー・スキーマ

データベースのユーザー名

データベースのパスワード

データベースのパスワード

3. その他のプロパティを検証します。
このパネルには、トランザクション・サイズやメモリー・バッファ・サイズなど、パフォーマンスを向上させるために変更できる情報が含まれています。

4. 「次」ボタンをクリックします。
「実行の詳細」ページが表示されます。

22.4.3.3 ロードおよび実行ジョブのデータ・フィルタの指定

「ロードの詳細」ページで必要なデータベース接続パラメータおよびその他のプロパティを入力すると、ロードするデータ用に使用するデータ・フィルタを指定できる「データ・フィルタ」ページが表示されます。

1. フィルタ・タイプとして「自動増分」または「日付範囲」を選択します。「自動増分」を選択した場合は、データがロードおよび実行される開始日を入力します。
選択したデータ・フィルタは、ロードと実行の両方のジョブに適用されます。特定の日付から後のすべてのデータがロードされます。特定の日付から後のすべてのデータが、現在のポリシーとルールで処理されます。

2. 「日付範囲」フィルタ・タイプを選択した場合は、データ処理の「開始日」および「終了日」を入力します。
これらの日付内にロードされたすべてのデータが処理されます。

22.4.3.4 1回実行されるロードおよび実行ジョブのスケジュール

データ・フィルタを指定すると、ジョブの優先度およびスケジュール・タイプを定義できる「スケジュール」ページが表示されます。

1. 「スケジュール」ページで、ジョブの優先度を選択します。
ジョブの優先度によって、ジョブの重要度が決まります。

2. 「スケジュール・タイプ」として「1回」を選択します。
ジョブは指定した開始日と開始時間に実行されるか、またはジョブをすぐに実行できます。このジョブは1回のみ実行され、繰返しはありません。「スケジュール・タイプ」が「1回」に設定された場合、実行時間(「開始日」および「開始時間」)は現在の日付と時刻に設定され、ジョブは(今)すぐに処理されます。

3. スケジュールの詳細を必要な値に設定します。

表22-21 1回実行される実行ジョブのスケジュールの詳細

プロパティ

説明

「開始日」および「開始時間」

ジョブは「開始日」の「開始時間」に実行されます。

ジョブ実行が次を超える場合は実行を取消

ジョブが自動的に停止されるまでのジョブの最大実行時間。このオプションは必須ではなく、ジョブに取消し時間がない場合、ジョブは、終了するか、またはユーザーが手動で停止するまで実行されます。

4. 「次」をクリックします。

22.4.3.5 定期的に実行されるロードおよび実行ジョブのスケジュール(繰返し)

データ・フィルタを指定すると、ジョブの優先度およびスケジュール・タイプを定義できる「スケジュール」ページが表示されます。

1. 「スケジュール」ページで、ジョブの優先度を選択し、スケジュール・タイプを「繰返し」として選択します。
ジョブは、指定した繰返し間隔に基づいて繰返し実行されます。

ジョブが繰返しの場合、同時に実行できる特定のジョブのジョブ・インスタンスは1つのみです。前の繰返しがまだ実行中か、一時停止されているか、またはジョブ・キューで実行を待機している場合、このジョブ・インスタンスはスキップされます。ジョブ・インスタンスはステータス「スキップ」でジョブ・ログに移動され、次の繰返しがある場合はジョブ・キューに配置されます。

2. スケジュールの詳細を必要な値に設定します。
ロードおよび実行ジョブは、スケジュールの詳細に従って実行されます。スケジュールの詳細に従って、ロード・ジョブが先に実行されてから実行ジョブが実行されます。

表22-22 スケジュールの詳細

パラメータ

説明

繰返し間隔

日次、毎時、週次、月次

ジョブは選択内容に基づいて実行を繰り返します。

実行間隔

繰返し間隔の繰返し頻度。たとえば、「繰返し間隔」が「週次」の場合、「実行間隔」には2を入力できます。ジョブは2週間ごとに実行されます。

開始時間

繰返しジョブは、「繰返し範囲」の「開始日」に指定した時間に開始します。

「繰返し範囲」: 「開始日」および「終了日」

ジョブ実行の日付範囲。ジョブは、指定された間隔で開始日から終了日まで実行を続行します。繰返しジョブの場合、「開始日」はジョブが最初に実行される日時です。「終了日」は、繰返しがなくなる日時です。空白のままにすると、ジョブはジョブ・キューから手動で削除されるまで永久に繰り返されます。「終了日」は非繰返しジョブには適用されません。

ジョブ実行が次を超える場合は実行を取消

ジョブが一定期間を超えて実行される場合、ジョブを取り消します。

例: 60秒。実行時間が60秒を超えると、ジョブは実行を取り消します。

3. 「次」をクリックします。
サマリーの詳細ページが表示されます。

22.4.3.6 ロードおよび実行ジョブのサマリーの詳細の確認

「スケジュール」ページで「次」をクリックした場合は、「サマリー」ページが表示されます。

このページには、前のウィザード・ページで行った選択の内容および入力した情報が表示されます。「サマリー」ページに表示された選択内容や入力情報が適切でない場合は、「戻る」ボタンを使用してウィザード・ページに戻り、必要な変更を加えます。

「サマリー」ページに表示された選択内容および入力情報が適切な場合は、「終了」ボタンをクリックしてジョブを作成します。成功を確認するメッセージが表示され、ジョブ編集ページが表示されます。ジョブ編集ページでは、ジョブを変更および再スケジュールできます。

22.4.4 監視データのロールアップ・ジョブの作成

この項では、監視データのロールアップ・ジョブの作成方法を示します。この項のトピックは次のとおりです。

- 監視データのロールアップ・ジョブについて

- 監視データのロールアップのタイプの選択と詳細の指定

- ロールアップ単位およびカットオフ時間の指定

- 1回実行される監視データのロールアップ・ジョブのスケジュール

- 定期的に実行される監視データのロールアップのスケジュール(繰返し)

- 監視データのロールアップのサマリーの詳細の確認

22.4.4.1 監視データのロールアップ・ジョブについて

監視データのロールアップ・ジョブは、V_MONITOR_DATA表内の冗長レコードをマージすることによって、データベース内の領域を再利用します。データの監視レコードが同じタイプであり、データ値とフィンガープリントが同じであり、特定のスケールのトレンド・グラフ上で同じ期間内にある場合、これらのレコードはそのスケールに対して冗長であるとみなされます。

たとえば、日次スケールの監視データのロールアップ・ジョブでは、毎日の冗長レコードはすべてその日の1つのレコードにマージされます。

データの監視レコードは、あるスケールでは冗長であっても、より粒度の高いスケールでは冗長ではない場合があります。たとえば、同じタイプでデータ値とフィンガープリントが同じ2つのデータの監視レコードがあり、1つが月曜日に作成され、1つが2日後に作成された場合、これら2つのレコードは週次スケールでは冗長ですが、日次スケールでは冗長ではありません。

データの監視レコードがマージされると、冗長なデータの監視レコードの各セットが取得され、各セットの最も早い開始日、最も遅い終了日、カウントと実行時間の合計、最も小さい最小実行時間および最も大きい最大実行時間を使用して、新しいレコードが作成されます。次に、冗長なデータの監視レコードのセット全体が削除され、新しいマージされたデータの監視レコードがかわりに挿入されます。ロールアップするスケールに応じて、各期間について監視タイプ、データ値およびフィンガープリントの一意の組合せごとに、最大で1つのデータの監視レコードが生成されます。

22.4.4.2 監視データのロールアップのタイプの選択と詳細の指定

監視データのロールアップ・ジョブを作成するには、次の手順を実行します。

1. ナビゲーション・ツリーで、「ジョブ」をダブルクリックしてジョブ検索ページを開きます。

2. ジョブ検索ページで、「ジョブの作成」ボタンをクリックします。
ジョブ・タイプの選択ダイアログが選択可能なジョブ・タイプとともに表示されます。

3. 「データ・ロールアップの監視」を選択し、「続行」ボタンをクリックします。
「ジョブの作成」ページの「一般」ページがデフォルトで開きます。

4. ジョブ・タイプとして「データ・ロールアップの監視」を選択します。

5. 監視データのロールアップ・ジョブの名前と説明を入力します。

6. ステータスを選択します。
デフォルトでは、ステータスは「有効化」です。

7. 「次」ボタンをクリックします。
監視データのロールアップ・ジョブが作成され、「ロールアップ詳細」ページが表示されます。

22.4.4.3 ロールアップ単位およびカットオフ時間の指定

監視データのロールアップ・ジョブを作成すると、このジョブのロールアップ・オプションを指定できる「ロールアップ詳細」ページが表示されます。指定された単位サイズ内のすべてのレコードが1つのレコードにロールアップ(圧縮)されます。

1. 「ロールアップ詳細」ページで、ロールアップ単位を指定します。
ロールアップ単位によって、データの監視レコードがロールアップされるスケールが定義されます。

選択肢は、「毎時」、「日」、「週次」および「月次」です。

2. カットオフ時間を選択します。
この値によって、圧縮されるレコードが決まります。たとえば、カットオフ時間に6か月が指定された場合、6か月よりも古いすべてのレコードが1つのレコードに圧縮されます。カットオフ時間プロパティによって、そのままにしてロールアップしないレコードがジョブに対して指定されます。

カットオフ時間の値がデフォルト値を下回るとダッシュボード・グラフが正確でなくなる可能性があるため、カットオフ時間はデフォルト値のままにすることをお薦めします。

表22-23 カットオフ時間のデフォルト値

ロールアップ

カットオフ時間

毎時

1時間

日

2日

週次

13週

月次

6か月

3. 「次」をクリックします。

22.4.4.4 1回実行される監視データのロールアップ・ジョブのスケジュール

ジョブのロールアップ・オプションを指定すると、ジョブの優先度およびスケジュール・タイプを定義できる「スケジュール」ページが表示されます。

監視データのロールアップ・ジョブが1回実行されるように指定するには、次の手順を実行します。

1. 「スケジュール」ページで、ジョブの優先度を選択します。
ジョブの優先度によって、ジョブの重要度が決まります。

2. スケジュール・タイプとして「1回」を選択します。
ジョブは指定した開始日と開始時間に実行されるか、またはジョブをすぐに実行できます。このジョブは1回のみ実行され、繰返しはありません。スケジュール・タイプが「1回」に設定された場合、デフォルトで実行時間(「開始日」および「開始時間」)は現在の日付と時刻に設定され、ジョブは(今)すぐに処理されます。

3. スケジュールの詳細を必要な値に設定します。

表22-24 1回実行される実行ジョブのスケジュールの詳細

プロパティ

説明

「開始日」および「開始時間」

ジョブは「開始日」の「開始時間」に実行されます。

ジョブ実行が次を超える場合は実行を取消

ジョブが自動的に停止されるまでのジョブの最大実行時間。このオプションは必須ではなく、ジョブに取消し時間がない場合、ジョブは、終了するか、またはユーザーが手動で停止するまで実行されます。

4. 「次」をクリックします。

22.4.4.5 定期的に実行される監視データのロールアップ・のスケジュール(繰返し)

ジョブのロールアップ・オプションを指定すると、ジョブの優先度およびスケジュール・タイプを定義できる「スケジュール」ページが表示されます。

監視データのロールアップ・ジョブが繰り返されるように指定するには、次の手順を実行します。

1. 「スケジュール」ページで、ジョブの優先度を選択します。
ロールアップ・ジョブのジョブの優先度が設定され、2つのジョブのスケジュール日時が同じ場合の実行順序が決まります。

2. スケジュール・タイプとして「繰返し」を選択します。
ジョブは、指定した繰返し間隔に基づいて繰返し実行されます。ジョブが繰返しの場合、同時に実行できる特定のジョブのジョブ・インスタンスは1つのみです。前の繰返しがまだ実行中か、一時停止されているか、またはジョブ・キューで実行を待機している場合、このジョブ・インスタンスはスキップされます。ジョブ・インスタンスはステータス「スキップ」でジョブ・ログに移動され、次の繰返しがある場合はジョブ・キューに配置されます。

3. スケジュールの詳細を必要な値に設定します。

表22-25 スケジュールの詳細

パラメータ

説明

繰返し間隔

「日次」、「毎時」、「週次」、「月次」。

ジョブは選択内容に基づいて実行を繰り返します。

実行間隔

繰返し間隔の繰返し頻度。たとえば、「繰返し間隔」が「週次」の場合、「実行間隔」には2を入力できます。ジョブは2週間ごとに実行されます。

開始時間

繰返しジョブは、「繰返し範囲」の「開始日」に指定した時間に開始します。

「繰返し範囲」: 「開始日」および「終了日」

ジョブ実行の日付範囲。ジョブは、指定された間隔で開始日から終了日まで実行を続行します。繰返しジョブの場合、「開始日」はジョブが最初に実行される日時です。「終了日」は、繰返しがなくなる日時です。空白のままにすると、ジョブはジョブ・キューから手動で削除されるまで永久に繰り返されます。「終了日」は非繰返しジョブには適用されません。

ジョブ実行が次を超える場合は実行を取消

ジョブが一定期間を超えて実行される場合、ジョブを取り消します。

例: 60秒。実行時間が60秒を超えると、ジョブは実行を取り消します。

監視データのロールアップ・ジョブは、スケジュールの詳細に従って実行されます。

4. 「次」をクリックします。
監視データのロールアップ・ジョブのサマリーの詳細ページが表示されます。

22.4.4.6 監視データのロールアップのサマリーの詳細の確認

「スケジュール」ページで「次」をクリックした場合は、「サマリー」ページが表示されます。このページには、前のウィザード・ページで行った選択の内容および入力した情報が表示されます。

「サマリー」ページに表示された選択内容や入力情報が適切でない場合は、「戻る」ボタンを使用してウィザード・ページに戻り、必要な変更を加えます。

「サマリー」ページに表示された選択内容および入力情報が適切な場合は、「終了」ボタンをクリックしてジョブを作成します。成功を確認するメッセージが表示され、ジョブ編集ページが表示されます。

22.5 ジョブの管理

この項では、OAAMでのジョブの管理方法を示します。この項のトピックは次のとおりです。

- ジョブの実行について

- ジョブの再スケジュールに関する注意事項

- ジョブの即時実行

- ジョブの一時停止

- 一時停止したジョブの再開

- ジョブの取消し

- ジョブの有効化

- ジョブの無効化

- ジョブの削除

- ジョブ詳細の表示

- ジョブのインスタンスの表示

- ジョブ・ログの表示

- ジョブ・キューの表示およびソート

- ジョブの編集

- 監視データのロールアップの編集

22.5.1 ジョブの実行について

ジョブ・インスタンスのスケジュールされた開始時間になると、システムで実行が可能かがチェックされます。ジョブが繰返しの場合、特定のジョブで一度に実行できるジョブ・インスタンスは1つのみであるため、前の繰返しがまだ実行中、一時停止、またはジョブ・キューで実行を待機している場合は、このジョブ・インスタンスはスキップされます。ジョブ・インスタンスはステータス「スキップ」でジョブ・ログに移動され、次の繰返しがある場合はジョブ・キューに配置されます。

ジョブ・インスタンスの実行中にサーバーが停止した場合、サーバーが起動するとそのジョブ・インスタンスは停止したところから自動的に再開されます。クラスタ化された環境では、ジョブ・インスタンスが実行されているサーバーで障害が発生した場合は、クラスタ内の別のサーバーがそのジョブ・インスタンスを自動的に再開します。

ジョブが取消し時間を使用してスケジュールされており、サーバーが遅れて起動された場合、サーバーが停止していた時間は、ジョブの自動一時停止を決定するための経過時間に対してカウントされません。たとえば、ジョブが12:00 amに開始され2時間後に取り消されるようにスケジュールされたが、サーバーが1:30 amに停止し、7:00 amまで再起動されなかった場合、ジョブは停止したところから7:00に残り時間30分で再開され、7:30に自動的に取り消されます。

22.5.1.1 バルク・リスク分析ジョブ実行

ロード、実行、ロードおよび実行ジョブ・タイプは、すべて相互排他的です。ロード、実行、またはロードおよび実行ジョブは、いずれかのジョブ・タイプの別のジョブと同時に実行できません。

22.5.1.2 実行データのリセット

同じデータ選択内容に対して別の実行が処理されると、アクション、アラートおよびルール・ログ・データは削除されます。これにより、ある実行から作成されたこのデータが、同じデータに対する他の実行に影響を及ぼすことがなくなります。パターンおよびグループの更新は実行間でリセットされないため、これらの機能は同じデータが複数回実行されるユース・ケース向けではありません。

たとえば、管理コンソール・ユーザーがR&D Runという名前の実行ジョブを作成し、それを3回処理する場合、R&D Run_090820100429の結果(アクション、アラートおよびスコア)は、R&D Run_090820100715に影響せず、R&D Run_090920100807では前の2つの結果は無視されます。

22.5.1.3 グループの移入

実行の結果として、構成可能なアクションによってメンバーがグループに追加されるかグループから削除される場合、これらの変更は後続の実行によって使用可能になります。

グループの詳細は、第12章「グループの管理」を参照してください。

22.5.1.4 パターン・バケットとメンバーシップ

実行の結果として作成されたパターン・バケットと発生したメンバーシップ件数の更新は、後続の実行によって使用可能です。

パターン・バケットとメンバーシップの詳細は、15.1.2項「パターン」を参照してください。

22.5.1.5 アクション、アラート、スコア

実行によるルールの結果は、同じデータに対する後続の実行の前に削除されます。

結果としてのアクション、アラートおよびスコアの詳細は、10.2項「基本的な概念」を参照してください。

22.5.2 ジョブの再スケジュールに関する注意事項

開始時間が変更されないかぎり、OAAMによってジョブは再スケジュールされません。ジョブの繰返しパターンを変更する場合(繰返し間隔または繰返し頻度、あるいはその両方)、ベスト・プラクティスは、開始日時も変更して次の繰返しがいつ発生するかを明示することです。そうしないと、次のスケジュールされた繰返し(ある場合)はスケジュールされたとおりに行われ、その後の次の繰返しがその時点から計算されます。ジョブに将来の繰返しがスケジュールされていない場合、開始時間を変更しない繰返しパターンの変更は無効であり、変更が保存された後も、ジョブに将来の繰返しはスケジュールされません。

22.5.3 ジョブの即時実行

ジョブをただちに処理するには:

1. 22.2.3項「ジョブの検索」で説明する手順を実行して、有効化するジョブを検索します。

2. 「検索結果」表からジョブを選択し、「すぐに処理」をクリックします。
または、「アクション」メニューから「すぐに処理」を選択します。

現在実行されている他のジョブがない場合、ジョブはジョブ・インスタンスとしてキュー内に配置されます。ジョブ・ステータスは「実行中」で、「開始時間」は現在時間に設定されます。

別のジョブが現在実行中であるために選択したジョブを実行できない場合は、メッセージによって、ジョブを開始できずキューは変更されないことが通知されます。

22.5.4 ジョブの一時停止

ジョブを一時停止するか(実行中の場合)、ジョブを実行しないでキュー内に残しておくには、次の手順を実行します。

1. 「ジョブ・キュー」ページで、ジョブを選択します。

2. 「結果」ツールバーの「一時停止」アイコンを押します。
ジョブ・インスタンスが一時停止されます。キュー内の次のジョブが実行されます。ジョブを一時停止しても、実行キュー内のジョブ・インスタンスの順序には影響しません。

まだ開始されていない繰返しジョブ・インスタンスを一時停止すると、ジョブ・インスタンスが一時停止され、再開または取り消されるまでキュー内に一時停止状態で残ります。

繰返しジョブ・インスタンスが一時停止された後、別のジョブの実行がスケジュールされたときに再開される場合、再開されるジョブの方が優先度が高くなります。

22.5.5 一時停止したジョブの再開

一時停止したジョブを再開するには、次の手順を実行します。

1. 「ジョブ・キュー」ページで、一時停止したジョブを選択します。
ジョブ・インスタンスが一時停止されると、「プロセス」ボタンが有効になります。

2. 「結果」ツールバーの「プロセス」アイコンを押します。
他のジョブが現在実行されていない場合、ジョブ・インスタンスは一時停止されたところから処理を再開します。プロセスの開始時間には、ジョブ・インスタンスが再開された開始時間ではなく、元のプロセスの開始時間が表示されます。

別のジョブの実行がスケジュールされているときにジョブが再開された場合、スケジュールされているジョブはスキップされます。

別のジョブがすでに実行されている場合、一時停止したジョブを再開するとジョブはジョブ・キューに配置され、現在のジョブの実行が完了した後に実行されます。

22.5.6 ジョブの取消し

ジョブ・インスタンスを実行中に停止してジョブ・キューから削除するには、次の手順を実行します。

1. 「ジョブ・キュー」ページで、ジョブを選択します。

2. 「結果」ツールバーの「取消」アイコンを押します。
選択したジョブ・インスタンスは一時停止され、ジョブ・キューから削除されます。

ジョブが繰返しの場合、次のインスタンスがジョブ・キューに追加されます。

22.5.7 ジョブの有効化

ジョブの作成および変更以外に、現在無効なジョブを有効化できます。「有効化」ボタンが有効な場合は、ジョブが現在無効であり、「有効化」をクリックして有効化できることを意味します。検索結果表に無効なジョブが表示されていない場合、「有効化」ボタンは無効です。

ジョブを有効化するには:

1. 22.2.3項「ジョブの検索」で説明する手順を実行して、有効化するジョブを検索します。

2. 検索結果表で、ジョブを選択して「有効化」をクリックします。
または、「アクション」メニューから「有効化」を選択します。

ジョブが正常に有効化されたことを示すメッセージが表示されます。

3. 「OK」をクリックして、ダイアログを閉じます。

22.5.8 ジョブの無効化

現在有効なジョブを無効化できます。「無効化」ボタンが有効な場合は、ジョブが現在有効であり、「無効化」をクリックして無効化できることを意味します。検索結果表のすべてのジョブが無効な場合、「無効化」ボタンは有効になりません。

処理済のジョブのみを無効化できます。実行中または将来の実行がスケジュールされたジョブは無効化できません。

ジョブを無効化するには:

1. 22.2.3項「ジョブの検索」で説明する手順を実行して、無効化するジョブを検索します。

2. 検索結果表で、ジョブを選択して「無効化」をクリックします。
または、「アクション」メニューから「無効化」を選択します。

ジョブが正常に無効化されたことを示すメッセージが表示されます。

3. 「OK」をクリックして、ダイアログを閉じます。

22.5.9 ジョブの削除

ジョブを削除する手順は、次のとおりです。

1. 22.2.3項「ジョブの検索」で説明する手順を実行して、削除するジョブを検索します。

2. 「検索結果」表からジョブを選択し、「削除」ボタンをクリックします。
または、「アクション」メニューから「削除」を選択することもできます。

未処理のジョブのみを削除できます。処理済の(完了した)ジョブにはジョブ・インスタンスへの参照とログが含まれるため、削除できません。これらのジョブを削除しようとすると、エラー・メッセージが表示されます。処理済のジョブは無効にすることのみ可能です。ステータスが処理中のジョブは削除できません。複数のジョブが選択されているときに、その中のいずれか1つが削除できない場合は、選択されたジョブはいずれも削除されません。

表22-26 ジョブの削除

ステータス

削除の可否

未処理

はい

処理済

いいえ。無効にすることのみ可能です。

処理中

いいえ

22.5.10 ジョブ詳細の表示

「検索結果」表のジョブ名をクリックすると、対応するジョブ詳細ページが開きます。ジョブ詳細ページには、次の情報が表示されます。

- 「一般」ページには、ジョブ・タイプ、ジョブ名、ジョブ・ステータスなど、ジョブに関する一般情報が表示されます。

- 「ロードの詳細」ページには、処理するレコードを制御するローダーが表示されます。

- 「ロールアップ詳細」ページには、ロールアップの監視の詳細が表示されます。

- 「実行の詳細」ページには、実行タイプの詳細が表示されます。

- 「データ・フィルタ」タブには、オフライン・システムにロードする、または処理するデータのセットが表示されます。

- 「スケジュール」ページには、ジョブに対して選択したスケジュール・オプションが表示されます。

22.5.11 ジョブのインスタンスの表示

ジョブ詳細ページの「インスタンス」タブには、ジョブの過去および現在のすべてのジョブ・インスタンスが表示されます。上部のパネルで、表示されるジョブ・インスタンスをフィルタできます。

表22-27 ジョブ・インスタンスのフィルタ

フィルタ

説明

都道府県

「実行中」、「スキップ」、「完了」、「取消」など、特定の状態のジョブ・インスタンスのみを表示します。

プロセス・メッセージ

プロセス・メッセージが一致するジョブ・インスタンスのみを表示します。

プロセス開始時間

指定されたタイムスタンプ範囲内に処理が開始されたジョブ・インスタンスのみを表示します。

プロセス終了時間

指定されたタイムスタンプ範囲内に(正常か失敗かに関係なく)処理が停止されたジョブ・インスタンスのみを表示します。

「すぐに処理」ボタンを使用すると、スキップされたかエラーのために実行されなかったジョブの実行を開始できます。このジョブがすでに実行されており、同じジョブ・タイプの別のジョブがすでに実行されている場合は、このジョブをすぐに開始できないことが通知されます。

22.5.12 ジョブ・ログの表示

ジョブ・ログを表示するには、「ジョブ・キュー」ページから「ジョブ・ログ」ページを開きます。このページには、過去のジョブ・インスタンスが表示されます。上部のパネルを使用して、結果をフィルタできます。

表22-28 ジョブ・ログのフィルタ

フィルタ

説明

ジョブ・インスタンス名

ジョブ・インスタンス名が一致するジョブ・インスタンスのみを表示します。

ジョブ・タイプ

指定したジョブ・タイプのジョブ・インスタンスのみを表示します。

都道府県

「実行中」、「スキップ」、「完了」、「取消」など、特定の状態のジョブ・インスタンスのみを表示します。

プロセス・メッセージ

プロセス・メッセージが一致するジョブ・インスタンスのみを表示します。

プロセス開始時間

指定されたタイムスタンプ範囲内に処理が開始されたジョブ・インスタンスのみを表示します。

プロセス終了時間

指定されたタイムスタンプ範囲内に(正常か失敗かに関係なく)処理が停止されたジョブ・インスタンスのみを表示します。

22.5.13 ジョブ・キューの表示およびソート

ジョブを表示およびソートできます。

22.5.13.1 ジョブ・キューの表示

ナビゲーション・ツリーで、「ジョブ・キュー」をダブルクリックして「ジョブ・キュー」ページを開きます。

このページでは、現在処理中のジョブと将来のジョブのリストを表示します。ジョブ・インスタンスは、実行キューが実行される正確な順序で表示されます。1つのジョブに対するジョブ・インスタンスは1つのみです。

繰返しジョブ・インスタンスのジョブ名の後には、現在のインスタンスが開始された日時または次に開始される日時が続きます。

「プロセス開始時間」は、ジョブが現在のジョブの実行を開始した正確な時間と将来のジョブの開始予定時間です。「プロセス継続時間」は、現在処理中のジョブに対してのみ表示されます。

ジョブ・タイプ、ステータス、開始/終了日、名前および説明に基づいてフィルタできます。キューには、どのジョブが現在実行中で、そのステータスが何であるかが予測完了時間と完了率の観点から表示されます。完了したジョブはその旨表示されます。

表の「ジョブ・インスタンス名」は、そのジョブのジョブ詳細ページへのリンクです。

22.5.13.2 ジョブ・キューのソート

ジョブ・キューをソートするには:

1. ナビゲーション・ツリーで、「ジョブ・キュー」をダブルクリックして「ジョブ・キュー」ページを開きます。

2. 「ジョブ・キュー」ページで、「優先度」列または「開始時間」列の「昇順ソート」アイコンをクリックして、リストをソートします。
ジョブ・レコードが実行順に配置されていて、これは編集できないため、他のデータ・ポイントではソートできません。

2つのジョブの開始日時が同じで優先度が異なる場合、ジョブ・キューではジョブ優先度のより高いものが最初にリストされます。

22.6 ジョブの編集

この項では、ジョブの編集方法を説明します。

22.6.1 ジョブの編集

ジョブ編集ページでは、ジョブを変更および再スケジュールできます。

表22-29に、ジョブ編集タブの概要を示します。

表22-29 ジョブの編集

ジョブの編集のタブ

説明

一般

ジョブの一般情報(ジョブ・タイプ、名前およびステータス)。「ジョブ名」フィールドは変更できません。

ジョブ・タイプ

このタブのフィールドは、ジョブ・タイプ固有です。

スケジュール

ジョブ作成ウィザードの「スケジュール」ページと同様です。

インスタンス

このタブには、ジョブの過去および現在のすべてのジョブ・インスタンスが表示されます。

次の変更が可能です。

1. 「一般」タブから、ジョブを有効化または無効化します。

2. 「実行の詳細」タブから、「トランザクション」および「メモリー・バッファ・サイズ」を変更します。

3. 「スケジュール」タブから、ジョブ・スケジュールを変更します。

編集の影響を受けるのは、次に発生するジョブ・インスタンスのみです。現在処理中のものは影響を受けません。

22.6.2 監視データのロールアップの編集

監視データのロールアップ・ジョブを編集するには、次の手順を実行します。

1. 次の変更を行います。

1. 「一般」タブから、ジョブを有効化または無効化します。

2. 「実行の詳細」タブから、「トランザクション」および「メモリー・バッファ・サイズ」を変更します。

3. 「スケジュール」タブから、ジョブ・スケジュールを変更します。

2. 「すぐに処理」ボタンをクリックします。
監視データのロールアップ・ジョブは、1回かぎりの処理です。このジョブの定期スケジュールは、1回かぎりのジョブ実行の影響を受けません。ジョブは、定期スケジュールされた日時に再度実行されます。

22.7 移行

OAAM以外のスキーマからロードする場合は、必要なデータベース・ビューを設定する必要があります。21.8.2項「OAAM以外のデータベースのビューの作成」を参照してください。

22.8 ユース・ケース

ユース・ケースを次に示します。

22.8.1 ユース・ケース: OAAMログイン・データのロードおよびチェックポイントの実行(繰返し)

1. セキュリティ管理者はジョブを作成するオプションをアクティブ化します。

2. セキュリティ管理者は、ダイアログから「ロードおよび実行」ジョブを選択します。

3. セキュリティ管理者は、一般情報を入力して「次」をクリックします。

4. 「ロードの詳細」ページがセキュリティ管理者に表示されます。セキュリティ管理者は、OAAMローダーを選択し、データベース接続情報を入力して、必要に応じてその他のプロパティを変更します。次に、セキュリティ管理者は「次」をクリックします。

5. 「実行の詳細」ページがセキュリティ管理者に表示されます。セキュリティ管理者は、デフォルトの実行タイプを選択し、必要に応じて実行のプロパティを変更します。次に、セキュリティ管理者は「次」をクリックします。

6. 「データ・フィルタ」ページがセキュリティ管理者に表示されます。セキュリティ管理者は、「自動増分」を選択し、必要な「開始日」を選択します。

7. ウィザードの「スケジュール」ページがセキュリティ管理者に表示されます。デフォルトのスケジュール・タイプは「1回」で、「開始日」と「開始時間」はデフォルトで現在の日付と時刻に設定されています。

8. セキュリティ管理者は、「繰返し」スケジュール・タイプを選択し、スケジュールの詳細を必要な値に設定します。セキュリティ管理者は、必要に応じて、ジョブの優先度を変更し、取消し時間を設定することもできます。

9. セキュリティ管理者は、「次」をクリックし、サマリーの情報を確認して、「終了」をクリックします。

代替処理1: リモート・データベースがOAAMスキーマではない場合、セキュリティ管理者は、21.8.2項「OAAM以外のデータベースのビューの作成」で説明されている仕様に準拠したビューをスキーマに作成する必要があります。

代替処理2: ロードされるデータがデータベースではなくファイルにある場合、セキュリティ管理者はファイルからデータをロードするカスタム・ローダーを作成できますが、ファイル・データをデータベース表にインポートして代替処理1を実行することをお薦めします。

代替処理3: ジョブ・インスタンスはジョブ・キューに配置され、必要な時間に開始されるようにスケジュールされます。完了すると、次のジョブ・インスタンスがジョブ・キューに配置されます。ロードされたデータは、セッション・リスト内で使用可能になります。

22.8.2 ユース・ケース: トランザクション・データのロードおよびチェックポイントの実行(繰返し)

事前条件: セキュリティ管理者はOAAM管理コンソールにログインしており、適切な権限を保持しています。カスタム・ローダーが作成されており、生成されたクラスがOAAMオフライン・アプリケーションのクラスパスに指定されています。必要なプロパティがOAAM Environment Managerで設定されています。

1. セキュリティ管理者はジョブを作成するオプションをアクティブ化します。

2. セキュリティ管理者は、ダイアログから「ロードおよび実行」ジョブ・タイプを選択します。

3. セキュリティ管理者は、一般情報を入力して「次」をクリックします。

4. 「ロードの詳細」ページがセキュリティ管理者に表示されます。セキュリティ管理者は、「カスタム・ローダー」タイプを選択し、「クラス・パスの更新」をクリックします。

5. セキュリティ管理者は、「カスタム・ローダー」タイプの完全修飾されたJavaクラス名を入力し、「OK」をクリックします。

6. セキュリティ管理者は、必要に応じてその他のプロパティを変更し、「次」をクリックします。

7. 「実行の詳細」ページがセキュリティ管理者に表示されます。セキュリティ管理者は、デフォルトの実行タイプを選択し、必要に応じて実行のプロパティを変更します。次に、セキュリティ管理者は「次」をクリックします。

8. 「データ・フィルタ」ページがセキュリティ管理者に表示されます。セキュリティ管理者は、「自動増分」を選択し、必要な「開始日」を選択します。

9. ウィザードの「スケジュール」ページがセキュリティ管理者に表示されます。デフォルトのスケジュール・タイプは「1回」で、「開始日」と「開始時間」はデフォルトで現在の日付と時刻に設定されています。

10. セキュリティ管理者は、「繰返し」スケジュール・タイプを選択し、スケジュールの詳細を必要な値に設定します。セキュリティ管理者は、必要に応じて、「ジョブの優先度」を変更し、取消し時間を設定することもできます。

11. セキュリティ管理者は、「次」をクリックし、サマリーの情報を確認して、「終了」をクリックします。
ジョブ・インスタンスはジョブ・キューに配置され、必要な時間に開始されるようにスケジュールされます。完了すると、次のジョブ・インスタンスがジョブ・キューに配置されます。ロードされたデータは、セッション・リスト内で使用可能になります。

代替処理: カスタム・ローダーのインスタンス化で問題がある場合、手順5でエラーが発生します。発生する可能性がある問題の1つは、クラスが見つからないことです。発生する可能性がある別の問題は、クラスは存在するが、クラスをインスタンス化するときにエラーが発生したということです。発生する可能性がある最後の問題は、クラスはインスタンス化できたが、カスタム・ローダーの指定が正しく実装されないことです。ユーザーに表示されるエラー・メッセージは、問題によって異なります。

22.8.3 ユース・ケース: 即時実行ジョブの作成

事前条件: セキュリティ管理者はOAAM管理コンソールにログインしており、適切な権限を保持しています。

実行者: セキュリティ管理者

手順:

1. セキュリティ管理者はジョブを作成するオプションをアクティブ化します。

2. セキュリティ管理者は、ダイアログから必要なジョブ・タイプを選択します。

3. セキュリティ管理者は、一般情報を入力して「次」をクリックします。

4. セキュリティ管理者は、ジョブ・タイプ固有の情報を入力し、「次」をクリックします(ジョブ・タイプによっては複数画面になる場合もあります)。

5. ウィザードの「スケジュール」画面がセキュリティ管理者に表示されます。デフォルトのスケジュール・タイプは「1回」で、「開始日」と「開始時間」はデフォルトで現在の日付と時刻に設定されています。

6. セキュリティ管理者は、「スケジュール・タイプ」が「1回」に設定され、「開始日」と「開始時間」がデフォルトで現在の日付と時刻に設定されていることを確認します。セキュリティ管理者は、必要に応じて、「ジョブの優先度」を変更し、「一時停止時間」を設定することもできます。

7. セキュリティ管理者は、「次」をクリックし、サマリーの情報を確認して、「終了」をクリックします。

代替処理:

代替処理1: 選択したジョブ・タイプが相互排他的であり、同じジョブ・タイプの別のジョブが現在実行中の場合、この新規ジョブはジョブ・キューに配置されますが、現在実行中のジョブが完了するまで実行は開始されません。

事後条件: ジョブが実行を開始し、ジョブ・インスタンスがジョブ・キューに表示されます。

22.8.4 ユース・ケース: 将来実行ジョブの作成

事前条件: セキュリティ管理者はOAAM管理コンソールにログインしており、適切な権限を保持しています。

実行者: セキュリティ管理者

手順:

1. セキュリティ管理者はジョブを作成するオプションをアクティブ化します。

2. セキュリティ管理者は、ダイアログから必要なジョブ・タイプを選択します。

3. セキュリティ管理者は、一般情報を入力して「次」をクリックします。

4. セキュリティ管理者は、ジョブ・タイプ固有の情報を入力し、「次」をクリックします(ジョブ・タイプによっては複数画面になる場合もあります)。

5. ウィザードの「スケジュール」画面がセキュリティ管理者に表示されます。デフォルトのスケジュール・タイプは「1回」で、「開始日」と「開始時間」はデフォルトで現在の日付と時刻に設定されています。

6. セキュリティ管理者は、「スケジュール・タイプ」が「1回」に設定されていることを確認します。セキュリティ管理者は、「開始日」および「開始時間」を必要な日付と時刻に設定します。セキュリティ管理者は、必要に応じて、「ジョブの優先度」を変更し、「一時停止時間」を設定することもできます。

7. セキュリティ管理者は、「次」をクリックし、サマリーの情報を確認して、「終了」をクリックします。

代替処理: なし。

事後条件: ジョブ・インスタンスはジョブ・キューに配置され、必要な時間に開始されるようにスケジュールされます。

22.8.5 ユース・ケース: 繰返し実行ジョブの作成

事前条件: セキュリティ管理者はOAAM管理コンソールにログインしており、適切な権限を保持しています。

実行者: セキュリティ管理者

手順:

1. セキュリティ管理者はジョブを作成するオプションをアクティブ化します。

2. セキュリティ管理者は、ダイアログから必要なジョブ・タイプを選択します。

3. セキュリティ管理者は、一般情報を入力して「次」をクリックします。

4. セキュリティ管理者は、ジョブ・タイプ固有の情報を入力し、「次」をクリックします(ジョブ・タイプによっては複数画面になる場合もあります)。

5. ウィザードの「スケジュール」画面がセキュリティ管理者に表示されます。

6. セキュリティ管理者は、「スケジュール・タイプ」を「繰返し」に設定し、「開始日」と「開始時間」を必要な日付と時刻に設定します。セキュリティ管理者は、必要に応じて、「ジョブの優先度」を変更し、「終了時間」および「一時停止時間」を設定することもできます。

7. セキュリティ管理者は、「次」をクリックし、サマリーの情報を確認して、「終了」をクリックします。

代替処理: なし。

事後条件: ジョブ・インスタンスはジョブ・キューに配置され、必要な時間に開始されるようにスケジュールされます。完了すると、次のジョブ・インスタンスがジョブ・キューに配置されます。

22.8.6 ユース・ケース: ジョブ・キューの表示

事前条件: セキュリティ管理者はOAAM管理コンソールにログインしており、適切な権限を保持しています。

実行者: セキュリティ管理者

セキュリティ管理者は、ジョブ・キューを表示するオプションをアクティブ化し、必要に応じて「現在のキュー」タブをクリックします。

代替処理:

代替処理1: セキュリティ管理者は、ジョブ・インスタンスを一時停止する場合は、必要なジョブ・インスタンスをクリック(または、ジョブ・インスタンスを複数選択)して、「一時停止」ボタンをクリックします。ジョブ・インスタンスはジョブ・キューに残りますが、「状態」は「一時停止」に変わります。ジョブ・インスタンスは実行中だった場合は停止し、このジョブ・インスタンスによって別のジョブ・インスタンスがブロックされていた場合は、その実行が開始されます。

代替処理2: セキュリティ管理者は、一時停止されているジョブ・インスタンスを再開する場合は、必要なジョブ・インスタンスをクリック(または、ジョブ・インスタンスを複数選択)して、「再開」ボタンをクリックします。このジョブ・インスタンスのスケジュールされた開始時間が過ぎて、他の競合するジョブが実行されていない場合は、このジョブ・インスタンスが「実行中」状態になり、実行が開始されます。それ以外の場合、このジョブ・インスタンスは「スケジュール済」状態になります。複数のジョブ・インスタンスが同時に再開された場合、スケジュールされた開始時間が最も早いジョブ・インスタンスが最初に処理されます。

代替処理3: セキュリティ管理者は、ジョブ・インスタンスを取り消す場合は、必要なジョブ・インスタンスをクリック(または、ジョブ・インスタンスを複数選択)して、「取消」ボタンをクリックします。選択したジョブ・インスタンスは、ジョブ・キューから削除されます。ジョブが繰返しの場合、次のジョブ・インスタンスがジョブ・キューに配置されます。

事後条件: 現在実行中および今後のジョブ・インスタンスがすべて表示されます。ジョブが繰返しの場合は、次のインスタンスのみが表示されます。

22.8.7 ユース・ケース: ジョブの実行ログの表示

事前条件: セキュリティ管理者はOAAM管理コンソールにログインしており、適切な権限を保持しています。

実行者: セキュリティ管理者

ジョブの実行ログを表示するには:

1. ナビゲーション・ツリーで「ジョブ・キュー」をダブルクリックします。

2. 「ジョブ・ログ」タブをクリックします。
このページ・タブには、過去のジョブ・インスタンスが表示されます。上部のパネルを使用して、結果をフィルタできます。

3. ジョブ・インスタンスを検索します。

このページには、過去のジョブ・インスタンスが表示されます。上部のパネルを使用して、結果をフィルタできます。

表22-30 ジョブ・ログのフィルタ

フィルタ

説明

ジョブ・インスタンス名

ジョブ・インスタンス名が一致するジョブ・インスタンスのみを表示します。

ジョブ・タイプ

指定したジョブ・タイプのジョブ・インスタンスのみを表示します。

ジョブの状態

「実行中」、「スキップ」、「完了」、「取消」など、特定の状態のジョブ・インスタンスのみを表示します。

プロセス・メッセージ

プロセス・メッセージが一致するジョブ・インスタンスのみを表示します。

プロセス開始時間

指定されたタイムスタンプ範囲内に処理が開始されたジョブ・インスタンスのみを表示します。

プロセス終了時間

指定されたタイムスタンプ範囲内に(正常か失敗かに関係なく)処理が停止されたジョブ・インスタンスのみを表示します。

完了率(%)

完了したジョブの率。

プロセス継続時間

完了の時間(秒)。

代替処理: なし。

事後条件: 過去のジョブ・インスタンスのフィルタされたリストが表示されます。

22.8.8 ユース・ケース: ジョブが正常に実行されたかどうかの確認

ジョブが正常に実行されたことを確認するには:

1. 新規作成されたジョブのジョブ詳細ページを開きます。

2. 「インスタンス」タブをクリックして、ジョブの完了を確認します。
ジョブ実行のスケジュール時間が経過していた場合は、ジョブ・インスタンスを検索します。「状態」は「完了」で、「プロセス開始時間」と「プロセス終了時間」が表示されている必要があります。「プロセス・メッセージ」には処理済レコードの数が示され、「完了率(%)」には完了した割合が表示されます。「プロセス継続時間」には完了に要した時間が秒単位で表示されます。

3. セッション・ページを開いてジョブと同じ期間で検索することにより、ジョブの完了を確認します。
「実行」ジョブでは、セッション件数がロード完了後の件数と同じである必要があります。「ロード」ジョブでは、ジョブ・インスタンスのページに表示された数だけ、セッション件数が増加している必要があります。「ロードおよび実行」ジョブでは、ジョブ・インスタンスのページに表示された処理済レコードの数だけ、セッション件数が増加している必要があります。

4. 「セッション詳細」ページを開きます。
「実行」ジョブと「ロードおよび実行」ジョブの場合、「セッション詳細」ページには、レコードでポリシーとルールが処理されたことが示されている必要があります。「ロード」ジョブの場合は、レコードはロードされていますが、セッション・レコードで処理されたポリシーとルールはありません。

22.8.9 ユース・ケース: ジョブの実行順序の表示

ナビゲーション・ツリーで、「ジョブ・キュー」をダブルクリックして「ジョブ・キュー」ページを開きます。このページでは、現在処理中のジョブと将来のジョブのリストを表示します。ジョブ・インスタンスは、実行キューが実行される正確な順序で表示されます。1つのジョブに対するジョブ・インスタンスは1つのみです。

繰返しジョブ・インスタンスのジョブ名の後には、現在のインスタンスが開始された日時または次に開始される日時が続きます。

「プロセス開始時間」は、ジョブが現在のジョブの実行を開始した正確な時間と将来のジョブの開始予定時間です。「プロセス継続時間」は、現在処理中のジョブに対してのみ表示されます。

ジョブ・タイプ、ステータス、開始/終了日、名前および説明に基づいてフィルタできます。キューには、どのジョブが現在実行中で、そのステータスが何であるかが予測完了時間と完了率の観点から表示されます。完了したジョブはその旨表示されます。

表の「ジョブ・インスタンス名」は、そのジョブのジョブ詳細ページへのリンクです。

第IX部

レポートおよび監査

この部では、Oracle Adaptive Access Manager 11gにおけるレポートおよび監査の機能について説明します。

次の章で構成されます。

- 第23章「OAAM管理機能およびパフォーマンスの監視」

- 第24章「レポートおよび監査」

23 OAAM管理機能およびパフォーマンスの監視

パフォーマンス・メトリックを表示するための方法がいくつかあります。

この章では、次の内容を説明します。

- 23.1項「Oracle Adaptive Access Managerダッシュボードを使用したパフォーマンス・データおよび管理機能の監視」

- 23.2項「Dynamic Monitoring Systemを使用したパフォーマンスの監視」

- 23.3項「Fusion Middleware Controlを使用したパフォーマンス・データおよび管理機能の監視」

- 23.4項「ユース・ケース」

23.1 Oracle Adaptive Access Managerダッシュボードを使用したパフォーマンス・データおよび管理機能の監視

この項では、ダッシュボードおよびその使用方法について説明します。

23.1.1 ダッシュボードとは

Oracle Adaptive Access Managerダッシュボードは、実際の監視データの概要を提供するアプリケーションです。監視データは、データの代理サンプルです。

これは、集計およびトレンド経由でアクティビティのリアルタイム・ビューを表示します。

ダッシュボードは、関連データを重点的に確認できる次の3つのセクションで構成されています。

- パフォーマンス統計

- 拡張されたサマリー・データ

- ロケーション、スコアリング、デバイス、セキュリティおよびパフォーマンスに基づいた統計情報

ダッシュボード・レポートは、トレンドを視覚化および追跡するのに役立ちます。ダッシュボード・レポートにより、システム内の不正/アラートを確認できます。また、ダッシュボードを使用すると、システム内で発生しているリスクを容易に識別し、ユーザー/ロケーション/デバイス・プロファイルに基づいて意思決定を行うことができます。

ダッシュボード(ユーザー・インタフェース・ビューおよびコントロール)へのアクセスのレベルが、ロールおよび会社要件に基づいています。

23.1.2 一般的な用語および定義

この項では、一般的なダッシュボードの用語および定義について説明します。

表23-1 一般的なダッシュボードの用語および定義

用語

定義

リフレッシュ

新規データによってダッシュボードを更新する間隔。選択項目は、「30秒」、「1分」および「10分」です。

「パフォーマンス」パネル

リアルタイム・データを表示するダッシュボードのセクション1。

「サマリー」パネル

集計データを表示するダッシュボードのセクション2。

「ダッシュボード」パネル

履歴データを表示するダッシュボードのセクション3。

データ型

Oracle Adaptive Access Managerシステムにおける情報の種類。

範囲

時間枠。選択項目は、「今日」、「過去1日間」、「過去7日間」、「過去30日間」および「過去90日間」です。

平均処理時間

実行にかかる平均ミリ秒数。

ブロックされたトランザクション

トランザクション・チェックポイント中にブロックされたトランザクション。

高アラート(ログイン)

ログイン・チェックポイント中にトリガーされた高レベル・アラート。

高アラート(トランザクション)

トランザクション・チェックポイント中にトリガーされた高レベル・アラート。

KBAチャレンジ

チャレンジ質問レスポンス。

OTPチャレンジ

OTPチャレンジ・レスポンス

23.1.3 ナビゲーション

ナビゲーション・ツリーで、「ダッシュボード」をダブルクリックします。ダッシュボードがOAAM管理コンソールの右側に表示されます。

ダッシュボードは、次の3つのセクションに分割されています。

- 「パフォーマンス」パネル(セクション1)は、リアルタイム・データを示します。システム内のトラフィックのパフォーマンスを示します。パフォーマンスに基づき、異なる種類のデータのトレンド・グラフが表示されます。

- 「サマリー」パネル(セクション2)は、時間範囲および異なるデータ型に基づく集計データを示します。

- 「ダッシュボード」パネル(セクション3)は、履歴データを示します。詳細ダッシュボードは一定の時間範囲におけるデータのトレンドを示すために使用されます。

23.1.4 Oracle Adaptive Access Managerにおけるダッシュボードの使用

Oracle Adaptive Access Managerダッシュボードでは、リアルタイム・データを使用して、アラートを生成したユーザーおよびデバイスの概要および地理的位置ごとのすべてのアラートの概要をすばやく提供します。オンライン・トラフィックの分析、疑わしい動作の特定および不正防止のためのルールの設計に役立つ異なるレベルのセキュリティを表示します。ダッシュボードでは、パフォーマンス・レベルの合計時間ビューおよびトレンド・ビューの両方も提供します。

23.1.4.1 パフォーマンス

この項では、合計ビューおよびトレンド・ビューの表示に関する情報を提供します。

23.1.4.1.1 合計ビューおよびトレンド・ビューにおける統計情報の表示

「パフォーマンス」パネル(セクション1)では、左側に合計ビューが、右側にトレンド・ビューが表示されます。

- 合計ビューには、現時点でのログインの現行量または率に関する統計が最大値に照らして表示されます。
最大 - 1分当たりの最大ログイン数

現在 - 現在の1分当たりのログイン数

- トレンド・ビューでは、過去1時間の選択されたデータに関する統計情報(データの変化状況)を提供します。

23.1.4.1.2 パフォーマンス・データの表示

パフォーマンス・データを表示するには:

1. 「データ」リストから目的のデータ型を選択します。
提供されるデータ型は次のとおりです。

表23-2 パフォーマンスのデータ型

データ型

定義

ログイン/分

1分当たりの成功したログイン数

KBAチャレンジ/分

1分当たりのチャレンジ質問レスポンスの数

OTPチャレンジ/分

1分当たりのOTPチャレンジ・レスポンスの数

ブロックされたログイン/分

1分当たりのブロックされたログイン数

ブロックされたトランザクション/分

1分当たりのブロックされたトランザクション数

トランザクション/分

1分当たりの成功したトランザクション数

高アラート(ログイン)/分

1分当たりのログイン・チェックポイント中にトリガーされた高アラートの数

高アラート(トランザクション)/分

1分当たりのトランザクション・チェックポイント中にトリガーされた高アラートの数

2. 複数のデータ型を選択するには、[Ctrl]キーを押しながら目的の型をクリックします。
注意: 「パフォーマンス」パネルでは、一度に1から3個のデータ・ポイントを表示することが意図されています。

3. リフレッシュ間隔を変更するには、「リフレッシュ」リストからリフレッシュ間隔を選択します。

図23-1 「パフォーマンス」パネル

グラフは、表されているデータ・スキームを識別するために、オンザフライで異なる色で生成されて表示されます。

「パフォーマンス」パネルには、関心のあるデータ・ポイントに関するより詳細な情報を表示するためのツールチップもあります。ツールチップを使用して情報を表示するには、目的のデータ・ポイントにマウスを移動します。

23.1.4.1.3 「パフォーマンス」パネルと「パフォーマンス」ダッシュボードの違い

「パフォーマンス」パネル(セクション1)には、選択した間隔で更新されるリアルタイムの補間が表示されます。表示される数値は、多くの場合に合計と数値的に対応していたとしても、合計ではありません。

「パフォーマンス」ダッシュボードは、セクション3内の5つの詳細ダッシュボードの1つです。セクション3では、正確な合計および合計の一定期間におけるトレンドが提供されます。

これらの2つのビューの違いを適切に表す例はスピードメーターです。セクション1はスピードメーターに似ています。運転中に、スピードメーターに時速60マイルと表示される場合があります。これは、1時間に60マイル進んだことを意味するわけではありません。実際には、速度が変動したり、給油のために停止したりして、25マイル進んでいるでしょう。セクション1には移動速度が示されるとすると、セクション3には実際に移動した距離が示されます。

23.1.4.2 サマリー

「サマリー」パネルには、指定した範囲または時間枠における、選択したデータ型の概要または集計が表示されます。

データ型

表23-3に、「サマリー」パネルのデータ型を示します。

表23-3 サマリーのデータ型

データ型

定義

ログイン・セッション

ログイン・セッション

成功ログイン

成功ログイン

一時許可ログイン

一時許可がアクティブな間に発生したログイン

ブロックされたログイン

ログイン・チェックポイント中にブロックされたログイン

高アラート(ログイン)

ログイン・チェックポイント中にトリガーされた高レベル・アラート

KBAチャレンジ

チャレンジ質問レスポンス

OTPチャレンジ

OTPチャレンジ・レスポンス

トランザクション・セッション

トランザクションID

成功トランザクション

成功したトランザクション

ブロックされたトランザクション

トランザクション・チェックポイント中にブロックされたトランザクション。

高アラート(トランザクション)

トランザクション・チェックポイント中にトリガーされた高レベル・アラート

平均ルール処理時間

ルール実行にかかる平均ミリ秒数

平均ポリシー処理時間

ポリシー実行にかかる平均ミリ秒数

平均チェックポイント処理時間

チェックポイント実行にかかる平均ミリ秒数

データ型を選択するには、「データ」リストから目的のデータ型をクリックします。

複数のデータ型を選択するには、[Ctrl]キーを押しながら目的の型をクリックします。

図23-2 「サマリー」パネル

リフレッシュ

リフレッシュ間隔を変更するには、「リフレッシュ」リストをクリックし、必要なリフレッシュ間隔をクリックします。

範囲

範囲または時間枠を変更するには、「範囲」リストをクリックし、必要な範囲をクリックします。

23.1.4.3 ダッシュボード

セクション3では、次の5種類のダッシュボードへのアクセスを提供します。

- ロケーション
「ロケーション」ダッシュボードの詳細は、23.1.4.3.1項「ロケーションごとのデータ型の表示」を参照してください。

- スコアリング
「スコアリング」ダッシュボードの詳細は、23.1.4.3.2項「スコアリング・ブレークダウンのリストの表示」を参照してください。

- セキュリティ
「セキュリティ」ダッシュボードの詳細は、23.1.4.3.3項「「セキュリティ」ダッシュボード」および23.1.4.3.4項「セキュリティごとのルールまたはアラートのリストの表示」を参照してください。

- デバイス
「デバイス」ダッシュボードの詳細は、23.1.4.3.5項「デバイスごとのブラウザおよびオペレーティング・システム・データの表示」を参照してください。

- パフォーマンス
「パフォーマンス」ダッシュボードの詳細は、23.1.4.3.6項「パフォーマンスごとのデータ型の表示」を参照してください。

図23-3 5つのダッシュボード

各ダッシュボード・タイプについて、データ型のメニューに表示するデータのタイプを選択できます。たとえば、「ロケーション」ダッシュボードを選択した場合、目的の国を選択できる「国」リストが表示されます。

図23-4 データ型選択後の選択項目

23.1.4.3.1 ロケーションごとのデータ型の表示

ロケーションごとにデータ型を表示できます。

1. セクション3の「ダッシュボード」ドロップダウン・メニューで、「ロケーション」を選択します。
セクションが「ロケーション」ダッシュボードになります。

2. 「データ」ドロップダウン・メニューで、ロケーションごとに表示するデータ型を選択します。
国ごとに表示するよう選択できるデータ型は次のとおりです。

表23-4 ロケーションごとのデータ型

ロケーションごとのデータ型

定義

アラート

国ごとのトリガーされたアラート

アクション

国ごとの実行されたアクション

KBAチャレンジ

チャレンジ結果および国ごとのトリガーされたKBAチャレンジ

OTPチャレンジ

チャレンジ結果および国ごとのトリガーされたOTPチャレンジ

ルーティング・タイプ

国ごとのルーティング・タイプ

セッション

国ごとのセッション

一時許可

国ごとの作成された一時許可

3. 特定の組織IDにリストを絞り込むには、「組織ID」ドロップダウン・メニューからアプリケーションを選択します。

4. 特定の時間枠にリストを絞り込むには、「範囲」ドロップダウン・メニューから範囲を選択します。

5. 特定のチェックポイントにリストを絞り込むには、「チェックポイント」ドロップダウン・メニューからチェックポイントを選択します。

6. 特定の国にリストを絞り込むには、「国」リストから国を選択し、目的の国をクリックします。

7. アラート・データ型を選択した場合、「アラート・レベル」ボックスから目的のアラート・レベルを選択することにより、さらにリストを絞り込むことができます。

8. アラートまたは一時許可データ型を選択した場合、「チェックポイント」リストから目的のチェックポイントを選択することにより、さらにリストを絞り込むことができます。

注意:

電話チャレンジからのKBAチャレンジでは、国は「データ使用不可」としてリストされます。これらのレコードについては、トレンド・グラフは表示されません。

23.1.4.3.2 スコアリング・ブレークダウンのリストの表示

スコアリング・ブレークダウンのリストを表示するには:

1. 「ダッシュボード」リストで「スコアリング」をクリックします。
「スコアリング」ダッシュボードが表示され、デフォルトでリスク・スコアに設定されます。

2. 特定のチェックポイントにリストを絞り込むには、「チェックポイント」リストで目的のチェックポイントをクリックします。

3. 特定の時間枠にリストを絞り込むには、「範囲」リストで目的の範囲をクリックします。

4. 「リフレッシュ」をクリックします。

23.1.4.3.3 「セキュリティ」ダッシュボード

「ダッシュボード」リストのアイテムは、ロールに基づいてアクセス可能になります。「セキュリティ」ダッシュボードにアクセスできるのは不正調査担当者のみです。

23.1.4.3.4 セキュリティごとのルールまたはアラートのリストの表示

セキュリティごとにルールまたはアラートのリストを表示するには:

1. 「ダッシュボード」リストで「セキュリティ」をクリックします。
「セキュリティ」ダッシュボードが表示され、デフォルトでルールに設定されます。

2. 異なるデータ型を指定するには、「データ」リストで目的のデータ型をクリックします。
提供されるデータ型は次のとおりです。

- ルール

- アラート

3. 特定の組織IDにリストを絞り込むには、「組織ID」リストで、目的の組織IDをクリックします。

4. 特定のチェックポイントにリストを絞り込むには、「チェックポイント」リストで目的の範囲をクリックします。

5. 特定の時間枠にリストを絞り込むには、「範囲」リストで目的の範囲をクリックします。

6. 「リフレッシュ」をクリックします。

23.1.4.3.5 デバイスごとのブラウザおよびオペレーティング・システム・データの表示

デバイスごとにブラウザおよびオペレーティング・システム・データを表示するには:

1. 「ダッシュボード」リストで「デバイス」をクリックします。
「デバイス」ダッシュボードが表示され、デフォルトでブラウザ/オペレーティング・システムに設定されます。

2. 特定の組織IDにリストを絞り込むには、「組織ID」リストで、目的の組織IDをクリックします。

3. 特定の時間枠にリストを絞り込むには、「範囲」リストで目的の範囲をクリックします。

4. 「リフレッシュ」をクリックします。

23.1.4.3.6 パフォーマンスごとのデータ型の表示

パフォーマンスごとにデータ型を表示するには:

1. 「ダッシュボード」リストで「パフォーマンス」をクリックします。
「パフォーマンス」ダッシュボードが表示され、デフォルトでルールに設定されます。

2. 異なるデータ型を指定するには、「データ」リストで目的のデータ型をクリックします。
提供されるデータ型は次のとおりです。

表23-5 パフォーマンスごとのデータ型

パフォーマンスごとのデータ型

定義

ルール

現在システム内にあるルール

ポリシー

現在システム内にあるポリシー

チェックポイント

ルール実行時のセッション内のポイント

API

SOAPインタフェース経由のシステムに対するコール

トラッカAPI

トラッカ・サブシステムに対するコール

認可API

認可サブシステムに対するコール

共通API

その他のコール

CC API

ケース・サブシステムに対するコール

ルールAPI

ルール・プロセッサに対するコール

図23-5 パフォーマンスごとのデータ型の表示

3. ルールまたはポリシー・データ型を選択した場合、「チェックポイント」リストから目的のチェックポイントを選択することにより、さらにリストを絞り込むことができます。

4. 特定の時間枠のデータ・トレンドを表示するには、「範囲」リストで目的の範囲をクリックします。

5. 特定のデータ型アイテムのデータ・トレンドを表示するには、「パフォーマンス」表から行を選択します。

6. 「リフレッシュ」をクリックします。

23.1.4.3.7 合計およびトレンド・ビューの使用

「ダッシュボード」パネルの左側には合計ビューが表示され、右側には選択したデータ型のトレンド・ビューが表示されます。

合計およびトレンド・ビュー・セクションは左右に並べて配置され、ビューを切り替えていずれかの詳細をより明確に確認できます。たとえば、トレンド・ビュー・セクションを拡張して、凡例の一部ではなく全体を表示できます。

トレンド・ビューでデータを表示するには、合計ビュー内の表から行を選択する必要があります。1つ以上の行を選択すると、トレンド・ビューにそのデータの対応するグラフが表示されます。グラフは、表されているデータ・スキームを識別するために、異なる色で表示されます。色はオンザフライで生成され、事前定義されません。

図23-6 合計およびトレンド・ビュー

23.1.4.3.8 トレンド・ビュー・グラフの表示

トレンド・ビュー内のグラフは、表示されている情報に基づいて適宜調整されます。Y座標は最大のデータ・ポイントに合わせて調整されます。サンプルは範囲に基づいて調整されます。また、時間、日、週または月ごとにデータを表示するよう選択できるかどうかは、範囲に対して選択した項目によって決まります。

23.1.4.3.9 範囲ごとの表示

収集されるデータを特定の時間枠に絞り込むには、「範囲」リストから、「今日」、「過去1日間」、「過去7日間」、「過去30日間」または「過去90日間」を選択します。

23.1.4.3.10 サンプルごとの表示

定期的な間隔でデータを表示するには、「サンプル」リストから、「毎時」、「日次」、「週次」または「月次」を選択します。使用可能な選択項目は、選択された範囲によって異なります。

たとえば、6か月間にわたってデータを収集し、前月のデータを使用して収集された毎日のデータ量を表示する場合は、1か月間の日次サンプルのトレンドを表示するように選択します。

23.1.4.3.11 最終更新

「最終更新」フィールドは、「パフォーマンス」パネル(セクション1)にも表示され、異なるデータ型を選択すると更新されます。

23.1.4.3.12 ツールチップの使用

ツールチップは、データ・ポイントが固まって(密集して)表示されている場合に特に便利であり、ツールチップを使用して情報を収集できます。たとえば、1時間ごとのサンプルについてデータを表示する場合です。

図23-7 ツールチップ

23.2 Dynamic Monitoring Systemを使用したパフォーマンスの監視

Oracle Adaptive Access Managerは、Oracle Dynamic Monitoring Systems (DMS)を使用し、ログインおよびルールとAPIの実行についてアプリケーション固有のパフォーマンス情報を測定します。イベントの発生、重要な時間間隔の開始および終了、または事前に計算された値の状態の変化がDMSに通知されます。実行時には、DMSによりメトリックがメモリーに保存され、ユーザーはFusion Middleware Controlでメトリックを保存または表示できます。DMSでは、トラブルシューティングおよび診断をサポートするために、Oracle DMSスパイ・アプリケーションを使用してシステムの統計情報を表示できます。

Oracle DMSスパイ・アプリケーションは、ご使用のブラウザのURLアドレス・フィールドにhttp://machine_name:port/dms/と入力することにより起動されます。次のメトリックの表が使用可能です。

次のメトリックの表が使用可能です。

23.2.1 ログイン情報(件数のみ)

送信されるログイン情報(件数のみ)を表23-6に示します。

表23-6 ログイン情報

説明

DMSナウン・パス

DMSナウン・タイプ/グループ

ログイン件数 - 合計

/OAMS/OAAM/LoginCount_Total

OAMS.OAAM_Counters

ログイン件数 - 成功

/OAMS/OAAM/LoginCount_Success

OAMS.OAAM_Counters

ログイン件数 - 失敗

/OAMS/OAAM/LoginCount_Failed

OAMS.OAAM_Counters

ログイン件数 - ブロック

/OAMS/OAAM/LoginCount_Blocked

OAMS.OAAM_Counters

ログイン件数 - チャレンジ

/OAMS/OAAM/LoginCount_Challenged

OAMS.OAAM_Counters

23.2.2 ルール・エンジンの実行情報(件数および実行時間)

ルール・エンジンの実行情報(件数および実行時間)を表23-7に示します。

表23-7 ルール・エンジンの実行

説明

DMSナウン・パス

DMSナウン・タイプ/グループ

ルール実行

/OAMS/OAAM/Rules_Execution

OAMS.OAAM

ポリシー実行

/OAMS/OAAM/Policies_Execution

OAMS.OAAM

チェックポイント実行

/OAMS/OAAM/Checkpoints_Execution

OAMS.OAAM

23.2.3 APIの実行情報(件数および実行時間)

APIの実行情報(件数および実行時間)を表23-8に示します。

表23-8 APIの実行

説明

DMSナウン・パス

DMSナウン・タイプ/グループ

APIコールupdateLog

/OAMS/OAAM/API/Tracker/UpdateLog

OAMS.OAAM

APIコールupdateAuthStatus

/OAMS/OAAM/API/Tracker/UpdateAuthStatus

OAMS.OAAM

APIコールprocessRules

/OAMS/OAAM/API/RulesEngine/ProcessRules

OAMS.OAAM

23.3 Fusion Middleware Controlを使用したパフォーマンス・データおよび管理機能の監視

Fusion Middleware Controlは、広範囲のパフォーマンス・データと管理機能を独自のWebベースのホームページとして編成します。Fusion Middleware Controlホームページでは、最も重要な監視データ機能をWebブラウザから簡単に探すことができます。

23.3.1 Fusion Middleware Controlの表示

Fusion Middleware Controlを表示するには:

1. Fusion Middleware ControlのURLを入力します。このURLには、インストール時に割り当てられたホスト名と管理ポート番号が含まれます。このURLの形式は次のとおりです。

http://hostname.domain:port/em

2. Oracle Fusion Middleware管理者のユーザー名とパスワードを入力して、「ログイン」をクリックします。
管理ユーザーのデフォルト・ユーザー名は、weblogicです。これは、Fusion Middleware Controlに初回ログインするときに使用できるアカウントです。パスワードは、Oracle Fusion Middlewareのインストール時に指定したものです。

Fusion Middleware Controlのログインを図23-8に示します。

図23-8 Fusion Middleware Controlのログイン

23.3.2 ベース・ドメイン11gファーム・ページの表示

初めてFusion Middleware Controlにログインするときには、ベース・ドメインのホームページが表示されます。

Fusion Middleware Controlの左側にはターゲット・ナビゲーション・パネルが、右側にはコンテンツ・パネルが表示されます。

ファーム・ホームページを図23-9に示します。

図23-9 Oracle Adaptive Access Managerファーム・ホームページ

コンテンツ・パネル

コンテンツ・パネルには、Oracle Fusion Middleware環境の全体的なステータスおよび参照情報へのリンクが表示されます。

ここから次のものを表示できます。

- デプロイメントにおける内部アプリケーションのステータスおよびターゲット。

- リポジトリおよびサーバー・インスタンスのステータス、ホストおよびCPU使用状況。

- 概念およびタスクのリソース情報。

ターゲット・ナビゲーション・パネル

ターゲット・ナビゲーション・パネルには、ファーム内のすべてのターゲットがナビゲーション・ツリーに示されます。

Fusion Middleware ControlでのOracle Adaptive Access Managerの詳細は、ナビゲーション・パネル内の次のノードに分割されます。

- アプリケーションのデプロイ

- WebLogicドメイン

- Identity and Access

- メタデータ・リポジトリ

管理対象サーバーやコンポーネントなどのターゲットを選択すると、ターゲットのホームページがコンテンツ・パネルに表示され、コンテンツ・パネル内のページの上部にそのターゲットのメニューが表示されます。たとえば、「管理対象サーバー」を選択した場合、「WebLogic Server」メニューが表示されます。ナビゲーション・パネルのターゲットで右クリックすることにより、ターゲットのメニューを表示することもできます。

「ファーム」メニュー

ターゲット・ナビゲーション・パネルの左上隅にある「ファーム」メニューには、ファームで実行できる操作のリストが表示されます。

図23-10 「ファーム」メニュー

動的メニュー

動的ターゲット・メニュー: 現在選択されているターゲットで実行可能な操作のリストが表示されます。表示されるメニューは、選択するターゲットによって異なります。特定のターゲットのメニューには、右クリック・ターゲット・メニューで表示される操作と同じ操作が含まれます。

図23-11 動的メニュー

23.3.3 「Oracle Adaptive Access Managerクラスタ」ホーム・ページ

「Oracle Adaptive Access Managerクラスタ」ホームページにアクセスするには:

1. Fusion Middleware Controlにログインします。

2. 「Identity and Access」ノードを開きます。

3. 「OAAM」(クラスタ)ノードをクリックします。

「Oracle Adaptive Access Managerクラスタ」ホームページが表示されます。このページを使用してOAAMクラスタを監視します。

Oracle Access Management Access Managerクラスタ・ホームページでは、次のことを行えます。

- OAAMクラスタの監視

- OAAMクラスタの一部であるOAAMサーバーのステータスの表示

- Oracle Adaptive Access Managerによって使用されるデータベースの詳細の表示

- OAAMに関する一般情報(名前、バージョン、Oracleホーム、ドメイン・ホームなど)へのアクセス

- クラスタ内のサーバー・インスタンスのパフォーマンス・サマリーへのアクセス

Oracle Adaptive Access Managerクラスタの監視

「Oracle Adaptive Access Managerクラスタ」ホームページの「パフォーマンス概要」セクションには、ログイン統計のグラフィカルな表現と表ビューが表示されます。

次のデータが表示されます:

- 最後の5分間の収集間隔中に成功したログイン数

- 最後の5分間の収集間隔中に失敗したログイン数

グラフィカルな表現では、X軸に時刻、Y軸にログイン数が表示されます。

また、グラフの下部にある「表ビュー」リンクをクリックすると、パフォーマンス概要が表形式で使用できるようになります。

Oracle Adaptive Access Managerクラスタの一部であるサーバーのステータスの表示

「Oracle Adaptive Access Managerクラスタ」ホームページの「デプロイ」セクションには、OAAMサーバー・インスタンスのステータスに関する情報が表示されます。

次の情報を表示できます:

フィールド

説明

インスタンス名

OAAMサーバー・インスタンスの名前。例: oaam_serverなど。

ステータス

OAAMサーバー・インスタンスのステータス:

- 緑の上矢印は、インスタンスが実行中であることを示します

- 赤の下矢印は、インスタンスが実行されていないことを示します

- 時計は、ステータス情報が現在使用可能でないことを示します。

ホスト

サーバーが稼働しているマシンの名前。

ポート

サーバーがリスニングしているアドレス。

サーバー名

アプリケーションが実行されているコンテナの名前。

ログイン合計

起動時以降に試行されたログインの合計数。

ログインに成功しました

起動時以降に成功したログインの合計数。

ログインに失敗しました

起動時以降に失敗したログインの合計数。

Oracle Adaptive Access Managerによって使用されるデータ・リポジトリの詳細の表示

データ・リポジトリのホスト名、ポートおよびサービスIDを表示するには、「データ・ストア」セクションを参照してください。Oracle Adaptive Access Managerでは、RDBMSデータベースをデータ・ストアとして使用します。

フィールド

説明

ホスト名

データ・ストアが置かれているサーバーの名前。

ポート

リスナーがリスニングするOracle接続用のポート。

サービスID

Oracle Adaptive Access Managerが使用しているデータベースの名前。

Oracle Adaptive Access Managerに関する一般情報へのアクセス

「Oracle Adaptive Access Managerクラスタ」ホームページでは、クラスタおよびデータソースに関する一般情報にアクセスできます。

ターゲット名、バージョン、Oracleホームおよびドメイン・ホームを表示する手順は、次のとおりです:

1. ホームページ上部の「Oracle Adaptive Access Managerクラスタ」をクリックし、動的メニューを開きます。

2. 「一般情報」を選択します。

Oracle Adaptive Access Managerクラスタのパフォーマンス・サマリーへのアクセス

Oracle Adaptive Access Managerクラスタの現在のパフォーマンスについて実態の把握に役立つパフォーマンス・サマリーを表示するには:

1. ホームページ上部の「Oracle Adaptive Access Managerクラスタ」をクリックし、動的メニューを開きます。

2. 「パフォーマンス・サマリー」をクリックします。

23.3.4 Oracle Adaptive Access Managerサーバー・ホーム・ページ

Oracle Adaptive Access Managerサーバー・ホームページには、インスタンスのパフォーマンス概要が表示されます。

Oracle Adaptive Access Managerサーバー・ホームページにアクセスするには:

1. Fusion Middleware Controlにログインします。

2. 「Identity and Access」ノードを開きます。

3. 「OAAM」(クラスタ)ノードを開きます。

4. OAAMサーバー・ノードをクリックします。

Oracle Adaptive Access Managerサーバー・ホームページが表示されます。このページからは、次の操作が可能です。

- OAAMサーバー・インスタンスの統計サマリーの表示

- パフォーマンス概要の表示(グラフィカルな表現および表)

- 実行する操作のリストへのアクセス

Oracle Adaptive Access Managerサーバー・インスタンスの統計サマリーの表示

OAAMサーバー・ホームページには、主要なメトリックによるパフォーマンスの概要が表示されます。

このページから、選択されたOAAMサーバー・インスタンスの統計サマリーを表示できます。

メトリック

説明

ログイン - ログインに成功しました

起動時以降に成功したログインの合計数。

ログイン - ログインに失敗しました

起動時以降に失敗したログイン試行の合計数。

チェックポイント - 平均処理時間

起動時以降のチェックポイント内のすべてのポリシーについて、処理に要した平均時間(ミリ秒)。

チェックポイント - 処理済チェックポイント数

起動時以降に処理したチェックポイントの合計数。

ポリシー - 平均ポリシー処理時間

ポリシーの処理に要した平均時間(ミリ秒)。

ポリシー - 処理されたポリシーの数

起動時以降に処理したポリシーの合計数。

Oracle Adaptive Access Managerサーバー・インスタンスのパフォーマンス概要の表示

OAAMサーバー・ホームページの「パフォーマンス概要」セクションには、OAAMサーバー・インスタンスへのログインのグラフィック表示があります。このセクションから、ログインの表ビューを開くこともできます。

- グラフィカル
X軸には、時刻が表示されます。

Y軸には、処理されたログイン、チェックポイントまたはポリシーの数が表示されます。

- 表
「表ビュー」をクリックすると、パフォーマンス概要が表形式で表示されます。

Oracle Adaptive Access Managerサーバー・インスタンスで実行する操作のリストへのアクセス

ページ上部の「Oracle Adaptive Access Manager」をクリックすると使用可能になる「Oracle Adaptive Access Manager」メニューには、サーバー・インスタンスに関連する操作のリストがあります。このメニューには、コンテキスト・メニューと同じ操作が含まれています。

メニュー項目

操作

ホーム

インスタンス・ホームページを表示できます。

コントロール

サーバー・インスタンスを起動および停止できます。

メニューから「コントロール」をクリックし、「起動」または「停止」を選択します。

ログ

サーバー・ログの表示およびロギングの構成を実行できます。

メニューから「ログ」をクリックし、「ログ・メッセージの表示」または「ログ構成」を選択します。

パフォーマンス・サマリー

パフォーマンス・サマリーを表示できます。

メニューから「パフォーマンス・サマリー」をクリックします。

サマリー・メトリックのカテゴリは次のとおりです:

- チェックポイント実行サマリー

- ログイン・メトリックのサマリー

- ポリシー実行サマリー

- ルール実行サマリー

- ルール処理サマリー

- 更新認証ステータス・サマリー

- 更新ログ・サマリー

- Webモジュール・メトリック

Webサービス

Webサービスを表示できます。

メニューから「Webサービス」をクリックします。

セキュリティ

OAAMサーバー・アプリケーションのポリシーおよびロールを表示できます。

メニューから「セキュリティ」をクリックし、「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択します。

システムMBeanブラウザ

システムMBeanブラウザにアクセスできます。

メニューから「システムMBeanブラウザ」をクリックします。

WebLogic Server管理コンソール

WebLogic Server管理コンソールにアクセスできます。

メニューから「WebLogic Server管理コンソール」をクリックします。

一般情報

サーバー・インスタンスに関する一般情報を表示できます。

メニューから「一般情報」をクリックします。

23.4 ユース・ケース

この項では、Oracle Adaptive Access Managerのダッシュボードの使用方法に関するシナリオについて説明します。

23.4.1 ユース・ケース: ダッシュボードにおけるルール・パフォーマンスのトレンドの表示

ポリシーを計画、構成およびデプロイするセキュリティ管理者は、ダッシュボードを使用してルールのパフォーマンスを監視し、必要に応じて変更できます。

ルールやポリシーはパフォーマンスに影響を与える可能性があります。たとえば、セキュリティ管理者が、今まで使用していた電子メール・アドレスを使用していないユーザーをチェックする新規ポリシーを定義するとします。銀行のデータベースに10億を超えるレコードがある場合、トランザクションごとにすべてのレコードに対してこのチェックを実行すると、パフォーマンスに多大な影響を与えます。

ダッシュボードでルール・パフォーマンスのトレンドを表示する(日次サンプルにより前週の平均ルール処理時間を検出する)には:

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ツリーで、「ダッシュボード」を選択します。ダッシュボードが表示されます。
ダッシュボードは、次の3つのセクションに分割されています。

- 上部にある「パフォーマンス」パネルにはリアルタイム・データが表示されます。システム内のトラフィックのパフォーマンスを示します。パフォーマンスに基づき、異なる種類のデータのトレンド・グラフが表示されます。

- 中間にある「サマリー」パネルには、時間範囲および異なるデータ型に基づく集計データが表示されます。

- 下部にあるダッシュボードには履歴データが表示されます。詳細ダッシュボードは一定の時間範囲におけるデータのトレンドを示すために使用されます。

3. セクション3の「パフォーマンス」ダッシュボードで、「ダッシュボード」リストから「パフォーマンス」を選択します。

4. 「データ」リストから「ルール」を選択します。
ルール・パフォーマンスを表示するために「ルール」を選択しました。

「パフォーマンス - ルール」表にルールが表示されます。

5. 特定の時間枠を指定して、表示するデータを絞り込みます。前週の平均ルール処理時間を表示するには、「範囲」リストで「過去7日間」を選択します。
各ルールの平均処理時間が「パフォーマンス - ルール」表の「平均処理時間」列に表示されます。

6. トレンド・データに使用するサンプルを選択します。日次サンプルを使用してパフォーマンス・データのトレンドを表示することを指定するには、「サンプル」リストから「日次」を選択します。

7. 特定のトレンド・グラフを表示します。パフォーマンス・トレンド・グラフを表示するには、「パフォーマンス - ルール」表で特定のルールをクリックします。

23.4.2 ユース・ケース: 現在のアクティビティの表示

ビジネス・アナリスト、セキュリティ管理者および不正調査担当者は、ユーザーに影響を与えるアクションに関心を持ちます。

ダッシュボード・パネル(セクション3)に、選択したデータ型の合計ビューとトレンド・ビューを示します。

アクションを監視するには:

1. ブロック数を表示します

2. KBAチャレンジ数を表示します

3. OTPチャレンジ数を表示します

4. トレンド情報(通期)、スパイク(突出)および影響を受けたカスタマ数を記録します。

23.4.3 ユース・ケース: 集計データの表示

ビジネス・アナリスト、セキュリティ管理者および不正調査担当者は、ユーザーに影響を与えるアクションに関心を持ちます。

最新のユーザー・アクセス数およびアクション数を把握するには、「サマリー」パネル(セクション2)で集計データを表示します。

23.4.4 ユース・ケース: 追加のセキュリティ管理者および不正調査担当者のユース・ケース

セキュリティ管理者および不正調査担当者は、次のデータに関心を持ちます。

- 現行アクティビティおよびトレンド・アクティビティ(通期)

- 平均パフォーマンス値およびトレンド・パフォーマンス平均(通期)

- 地域別のイベント・トレンドの分布

- セキュリティ・イベント・トレンド(通期)

現行アクティビティおよびトレンド(通期)の表示

セキュリティ管理者および不正調査担当者は、現行アクティビティおよびトレンド(短期)の表示に関心を持ちます。

1. OAAM管理コンソールにログインします。

2. ダッシュボードを開きます。

3. 「パフォーマンス」パネル(セクション1)で、「データ」リストからデータ型を選択します。

4. 合計ビューおよびトレンド・ビューで統計情報を表示します。

- 合計ビュー: 短期の現行アクティビティ

- トレンド・ビュー: 短期の現行アクティビティのトレンド

5. 「サマリー」パネル(セクション2)で、一定範囲の現行アクティビティのサマリーを表示します。

- セッション

- アクション

- アラート

- その他

平均パフォーマンス値およびトレンド・パフォーマンス平均(通期)

セキュリティ管理者および不正調査担当者は、平均パフォーマンス値およびトレンド・パフォーマンス平均(通期)の表示に関心を持ちます。

1. OAAM管理コンソールにログインします。

2. ダッシュボードを開きます。

3. 「パフォーマンス」ダッシュボード(セクション3)で、パフォーマンス別に次の項目を表示します。

- ルール

- API

- その他

地域別のイベント・トレンドの分布

セキュリティ管理者および不正調査担当者は、地域別のイベント・トレンドの分布に関心を持ちます。

1. OAAM管理コンソールにログインします。

2. ダッシュボードを開きます。

3. 「パフォーマンス」ダッシュボード(セクション3)で、ロケーション別にイベントを表示します。

- セッション

- アクション

- アラート

- その他

セキュリティ・イベント・トレンド(通期)

セキュリティ管理者および不正調査担当者は、セキュリティ・イベント・トレンド(通期)に関心を持ちます。

1. OAAM管理コンソールにログインします。

2. ダッシュボードを開きます。

3. 「パフォーマンス」ダッシュボード(セクション3)で、セキュリティ・イベントを表示します。

- ルール

- アラート

- その他

23.4.5 ユース・ケース: 追加のビジネス・アナリストのユース・ケース

ビジネス・アナリストは次のデータに関心を持ちます。

- カスタマの行動トレンド

- オペレーティング・システムおよびブラウザの組合せ

- KBAチャレンジ

- ブロック

- 地域別のイベント・トレンドの分布

- セッション

- アクション

- アラート

- その他

23.4.6 ユース・ケース: OTPパフォーマンス・データの表示

1. ナビゲーション・ツリーで、「ダッシュボード」をダブルクリックします。

2. 「OTPチャレンジ/分」について、ダッシュボードのセクションIを確認します。
グラフに「OTPチャレンジ/分」統計情報が表示されています。

3. ダッシュボードのセクションIIを確認します。
ダッシュボードのサマリー表に、指定した期間のOTPチャレンジ数が表示されます。

4. 「ロケーション」の下にあるダッシュボードのセクションIIIを確認します。
「ロケーション」ダッシュボードに、「件数」、「割合」などのパフォーマンス統計が表示されます。

24 レポートおよび監査

Oracle Adaptive Access Managerでは、豊富なフォレンジック・データにアクセスして調査や監査に役立てることができます。

- OAAMレポートでは、Oracle BI PublisherをOAAMコンポーネントのレポート・ソリューションとして使用できます。

- Oracle Adaptive Access Managerでは、Oracle Platform Security Servicesの共通監査フレームワークを活用して、管理コンソール・ユーザーの完全な監査証跡を取得します。

この章では、次の内容を説明します。

- 24.1項「OAAMレポートの構成」

- 24.2項「OAAMイベントの監査」

- 24.3項「ユース・ケース」

24.1 OAAMレポートの構成

Oracle Adaptive Access Managerレポートは、Oracle BI Publisherをレポート・ソリューションとして使用することを可能にします。Oracle Adaptive Access Managerレポートは、Oracle BI Publisherを使用して、OAAMスキーマの情報について問合せおよびレポートを行います。

24.1.1 Oracle BI Publisherとは

Oracle BI Publisherはオラクル社のエンタープライズ・レポート・ソリューションの1つで、すべてのレポートおよびビジネス文書を作成、管理および配信するための、単一のレポート環境を提供します。Microsoft Word、Microsoft Excel、Adobe Acrobatなどの使い慣れた一連のデスクトップ・ツールを利用して、様々なソースのデータに基づいてレポート・レイアウトを作成および管理できます。

Oracle Fusion Middleware Oracle Business Intelligence Publisherスタート・ガイドでは、Oracle BI Publisherを使用してレポートを作成する方法について説明します。このガイドにアクセスするには、Oracle Technology Network Webサイトで検索します。

Oracle Technology Network Webサイトでは、Oracle Business Intelligence Publisherドキュメント・ライブラリが提供されています。Oracle Technology NetworkのWebサイトには、次でアクセスできます:

http://www.oracle.com/technology/index.html

24.1.2 OAAMレポートおよびFusion Middleware監査用のOracle BI Publisher設定

データがデータベースに存在する場合、事前定義済のOracle Business Intelligence Publisher (Oracle BI Publisher)レポートを実行したり、データに関する独自のレポートを作成できます。この項では、OAAMレポート用のOracle BI Publisherの構成に関する次のトピックについて説明します。

- Oracle BI Publisherの入手およびインストール

- レポート・データベースへのOAAMレポートのコピー

- OAAMレポート用のデータソースの設定

パフォーマンス上の理由で、本番データをレポート・データベースにレプリケートしたり、Oracle BI Publisher専用のレポート環境を提供することをお薦めします。

監査レポートを構成したり、表示する方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査分析の使用方法とレポートの作成に関する項を参照してください。

24.1.2.1 Oracle BI Publisherの入手およびインストール

OAAMはOracle BI Publisherを使用してOAAMレポートを生成します。

Oracle BI Publisherを入手してインストールするには、次の手順を実行します。

1. http://www.oracle.com/technetwork/index.htmlにあるOracle Technology NetworkのWebサイトにアクセスします。

2. Oracle BI PublisherまたはOracle BI Publisher Downloadというキーワードを使用して、Oracle BI Publisher Downloadページを検索します。

3. Oracle BI Publisher Downloadページに表示されるOracle Technology Network License Agreementを確認します。Oracle BI Publisherをダウンロードするには、Oracle Technology Network License Agreementに同意する必要があります。

4. 該当するリンクをクリックして、使用するオペレーティング・システムに適したOracle BI Publisherのバージョンをダウンロードします。

5. Oracle Business Intelligence Publisherインストレーション・ガイドを参照してOracle BI Publisherをインストールします。Oracle Business Intelligence Publisherインストレーション・ガイドにアクセスする方法の詳細は、Oracle Business Intelligence Publisherのドキュメントを参照してください。

6. OAAMレポートをインストールおよび構成する前に、Oracle BI Publisherが使用できることを確認します。

24.1.2.2 レポート・データベースへのOAAMレポートのコピー

この項では、Oracle BI Publisher OAAMレポートをインストールする方法について説明します。OAAMレポートをインストールする前に、Oracle BI Publisherをインストールして正しく動作することを確認する必要があります。詳細は、『Oracle Identity Management Business Intelligence Publisher Reports管理者ガイド』を参照してください。

レポートをインストールするには、次の手順を実行します。

1. Oracle BI Publisherサーバーを停止します。詳細は、Oracle Business Intelligence Publisherのドキュメントを参照してください。

2. OAAMホストで、/IAM_HOME/oaam/reportsディレクトリからOAAM製品のレポート・パッケージを見つけて、その内容をOracle BI Publisherサーバーがあるロケーションに抽出します。例:
/ORACLE_BI_PUBLISHER_HOME/xmlp/XMLP/reports

3. properties.xmlファイルをOracle BI Publisherサーバーのファイル・システム上の任意のディレクトリにコピーします。

4. Oracle BI Publisherサーバーを起動します。詳細は、Oracle Business Intelligence Publisherのドキュメントを参照してください。

24.1.2.3 OAAMレポート用のデータソースの設定

レポート用のデータソースを構成するには、次の手順を実行します。

1. 次の手順を実行して、レポート用のJDBCデータソースを構成します。

1. Webブラウザから管理者としてOracle BI Publisherにログインします。詳細は、Oracle Business Intelligence Publisherのドキュメントを参照してください。

2. 「管理」タブをクリックし、「データソース」の下の「JDBC」をクリックして、「データソースの追加」ボタンをクリックします。「データソースの追加」画面が表示されます。

3. 「データソースの追加」画面のフィールドに次の情報を入力します。次の例の変数値をOracle Adaptive Access Managerデータベースの実際の値に置き換えます。

フィールド

入力するデータ

データソース名

ARM

Oracle Adaptive Access Managerレポートを標準にするには、JDBCデータソースの名前を「ARM」にする必要があります。別の名前を指定する場合は、すべてのレポートでデータソース・プロパティを変更する必要があります。

接続文字列

jdbc:oracle:thin:@host:port:sid

ユーザー名

Oracle Adaptive Access Managerへのアクセス権を持つデータベース・スキーマ・ユーザーのユーザー名です。

パスワード

「ユーザー名」フィールドで指定したユーザーのパスワードです。

データベース・ドライバ・クラス

oracle.jdbc.driver.OracleDriver

4. 「接続のテスト」ボタンをクリックして、JDBCデータソースへの接続をテストします。接続に成功すると、「接続は正常に確立されました。」というメッセージが表示されます。
「接続は正常に確立されました。」というメッセージが表示されない場合、入力したデータが正しいか検証し、OAAMデータベースが稼働しているかどうか確認してください。

5. 「接続は正常に確立されました。」というメッセージが表示されたら、「データソースの追加」画面の「適用」ボタンをクリックします。

2. AdminPropertiesデータソースを構成します。AdminPropertiesには、Oracle BI Publisherでレポートを生成するときに必ず読み込まれる構成情報が含まれます。

1. 「管理」タブをクリックし、「データソース」の下の「ファイル」をクリックして、「データソースの追加」ボタンをクリックします。「データソースの追加」画面が表示されます。

2. 「データソースの追加」画面のフィールドに次の情報を入力します。

フィールド

入力するデータ

データソース名

AdminProperties

このデータソースには、「AdminProperties」という名前を付ける必要があります。

最上位レベル・ディレクトリのフルパス

パスにはproperties.xmlをコピーしたディレクトリを指定する必要があります。

データソースの構成は完了です。Oracle Adaptive Access Managerレポートの生成方法は、Oracle Fusion Middleware Oracle Identity Management Business Intelligence Publisher Reports管理者ガイドを参照してください。

3. 「レポート」、「共有フォルダ」、「oaam」の順にクリックします。
レポートは、「共通」、「KBA」、「OTP」、「セキュリティ」、「ユーザー」、「デバイス」、「ロケーション」、「パフォーマンス」および「サマリー」で分類されています。

4. これらのグループから任意のレポートを選択します。

5. 任意の出力タイプを選択し、「表示」をクリックします。

24.1.3 レポートの表示/実行

この項では、レポートを表示/実行する方法について説明します。

レポートを表示/実行するには、次の手順を実行します。

1. 次の形式のURLを使用して、Oracle BI Publisherにログインします。
http://host.domain.com:port/xmlpserver/

2. 「共有フォルダ」、「OAAM」、「oradb」の順にクリックします。

3. 生成するレポートについて「表示」をクリックします。

4. レポートの出力フォーマットを選択して「表示」をクリックします。
レポートが生成されます。Oracle BI Publisherの詳細は、Oracle Business Intelligence Publisherのドキュメントを参照してください。

24.1.4 プリファレンスの設定

Oracle BI Publisherの「レポート・ロケール」、「ユーザー・インタフェース言語」、「タイム・ゾーン」および「アクセシビリティ・モード」を設定できます。

- レポート・ロケール - ロケールは、言語と地域の組合せ(英語(米国)、フランス語(カナダ)など)です。Oracle BI Publisherでは、選択したレポート・ロケールに基づいて、適用されるテンプレート翻訳、およびレポート・データの数値フォーマットや日付フォーマットが決定されます。

- ユーザー・インタフェース言語 - ユーザー・インタフェース言語は、ユーザー・インタフェースの表示言語です。ログイン時に選択した言語がデフォルトとして選択されます。ただし、このオプションでは、インストールに使用できる複数の言語の中から選択できます。

- タイム・ゾーン - レポートに適用するタイム・ゾーンを選択します。該当ユーザーが実行するレポートには、ここで選択するタイム・ゾーン・プリファレンスに従って時間が表示されます。

- アクセシビリティ・モード - これをオンに設定すると、キーボードでアクセスできるレポート・カタログがツリー構造で表示されます。

プリファレンスの設定の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Publisherレポート・デザイナーズ・ガイド』の「アカウント・プリファレンスの設定とグループの表示」の章を参照してください。

24.1.5 Oracle BI Publisherカタログおよびレポートの翻訳の追加

リリース11gのOracle BI Publisherでは、次の2種類の翻訳がサポートされています。

- カタログ翻訳

- テンプレート(またはレイアウト)翻訳

カタログ翻訳によって、選択したカタログ・フォルダに含まれるすべてのオブジェクトから翻訳可能文字列を単一の翻訳ファイルに抽出できます。その後、このファイルを翻訳してOracle BI Publisherにアップロードし、適切な言語コードを割り当てることができます。

カタログ翻訳では、レポート・レイアウトの翻訳可能文字列のみでなく、ユーザーに表示されるカタログ・オブジェクトの説明、レポート・パラメータ名、およびデータ表示名などのユーザー・インタフェース文字列も抽出されます。

ユーザーがカタログを表示すると、「アカウント」プリファレンスで選択されたユーザー・インタフェース言語に対応するアイテムの翻訳が表示されます。ユーザーがレポートを表示すると、「マイ・アカウント」プリファレンスで選択されたレポート・ロケールに対応するアイテムの翻訳が表示されます。

テンプレート翻訳によって、単一のRTFベースのテンプレート(サブテンプレートとスタイル・テンプレートを含む)または単一のOracle BI Publisherレイアウト・テンプレート(.xptファイル)から翻訳可能な文字列を抽出できます。このオプションは、最終的なレポート・ドキュメントを翻訳する必要があるときに使用します。たとえば、企業が翻訳された請求書をドイツと日本の顧客に送信する必要がある場合などです。

翻訳ファイルのダウンロードやアップロードのプロセスの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Publisher管理者および開発者ガイド』のBI Publisherのカタログとレポートの翻訳の追加に関する説明を参照してください。

24.1.6 レポートのローカライズ

レポートをローカライズするには、次の手順を実行します。

1. oaam_reports_translations.zipを解凍します。oaam_reports_translations.zipは、前にインストールしたレポートと同じディレクトリにあります。24.1.2.2項「レポート・データベースへのOAAMレポートのコピー」を参照してください。

2. Oracle BI Publisherカタログで「OAAM」フォルダを選択します。

3. XLIFFをインポートするためのオプションをクリックします。

4. 使用する言語に対応するCatalog_*.xlfファイルをアップロードします。

24.1.7 レポートのスケジュール

Oracle BI Publisher Enterpriseでは、レポートをスケジュールし、実行した出力を様々な宛先に配信できます。Oracle BI Publisherスケジューラは、Oracle BI Enterprise Editionのインストール・プロセスの一環として構成します。レポートのスケジュールを開始する前に、スケジューラが適切に構成されていることを確認してください。

レポートのスケジュールの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Publisherレポート・デザイナーズ・ガイド』のレポート・ジョブの作成に関する説明を参照してください。

24.1.8 OAAMレポート

OAAMには、Oracle Business Intelligence Publisherからアクセスできる一連の標準レポートが用意されています。

24.1.8.1 共通レポート

これらのレポートには、デバイスのロケーションやログイン情報に基づくデータがまとめられます。

レポート名

説明

最近のログイン

指定された時間範囲内のすべてのログインがリストされます。

24.1.8.2 デバイス・レポート

これらのレポートには、デバイス情報に基づくデータがまとめられます。

レポート名

説明

デバイスIDスコアリング

指定された日付範囲のデバイスIDスコアリング・サマリーが表示されます。

複数の失敗

指定された時間範囲内にログインの失敗が複数発生したすべてのデバイスがリストされます。

複数のユーザー

複数のユーザーを持つすべてのデバイスがリストされます。

24.1.8.3 KBAレポート

これらのレポートには、KBA情報に基づくデータがまとめられます。

レポート名

説明

チャレンジ統計

チャレンジ・レスポンスの統計がリストされます。

例:

失敗カウンタ > 0のユーザー - 1回以上失敗

複数の失敗を持つユーザー - 複数回失敗

質問統計

チャレンジ質問の統計がリストされます。

登録

質問登録の統計がリストされます。

注意:

ユーザーがチャレンジしたり、質問に回答しても、統計はすぐには更新されません。Oracle BI Publisherレポートはデータベースから生成され、データベースが統計のためにリアルタイムで更新されることはありません。

24.1.8.4 ロケーション・レポート

これらのレポートには、ロケーション情報に基づくデータがまとめられます。

レポート名

説明

国集計

指定された日付範囲の国集計サマリーが表示されます。

複数のユーザー

複数のユーザーを持つすべてのロケーションがリストされます。

都道府県集計

指定された日付範囲の都道府県集計サマリーが表示されます。

24.1.8.5 パフォーマンス・レポート

これらのレポートには、パフォーマンス情報に基づくデータがまとめられます。

レポート名

説明

ルールAPIのパフォーマンス

指定された日付範囲のルールAPIコールの平均処理時間および数が表示されます。

ルールのパフォーマンス

指定された日付範囲のルールの平均処理時間、ランタイムおよび数が表示されます。

トラッカAPIのパフォーマンス

指定された日付範囲のトラッカAPIコールの平均処理時間および数が表示されます。

24.1.8.6 セキュリティ・レポート

これらのレポートには、セキュリティ情報に基づくデータがまとめられます。

レポート名

説明

アラート・ブレークダウン

指定された日付範囲のアラート・ブレークダウン・サマリーが表示されます。

認証後スコアリング

指定された日付範囲の認証後スコアリング・サマリーが表示されます。

認証前スコアリング

指定された日付範囲の認証前スコアリング・サマリーが表示されます。

ルール・ブレークダウン

指定された日付範囲のルール・ブレークダウン・サマリーが表示されます。

スコアリングの組合せ

指定された日付範囲のスコア組合せサマリーが表示されます。

24.1.8.7 サマリー・レポート

これらのレポートには、日付範囲に関するサマリーがまとめられます。

レポート名

説明

平均のサマリー

指定された日付範囲の平均サマリーが表示されます。

ログイン・サマリー

指定された日付範囲のログイン集計サマリーが表示されます。

24.1.8.8 ユーザー・レポート

これらのレポートには、ユーザー情報に基づくデータがまとめられます。

レポート名

説明

複数のデバイス

複数のデバイスを使用するすべてのユーザーがリストされます。

24.1.9 カスタムOAAMレポートの作成

24.1.8項「OAAMレポート」に説明されている標準のレポートでは要件を十分に満たせない場合は、カスタム・レポートを作成できます。必要に応じて、『Oracle Fusion Middleware Oracle Identity Managementリファレンス』の「Oracle Adaptive Access Managerデータベース・スキーマ」の章を参照してください。そこでは、カスタム・レポートの作成時に役立つOAAMスキーマについて説明されています。この項では、拡張レポートの作成について説明します。

カスタムOAAMレポートを作成するには、次のタスクを実行する必要があります。

- データ・モデルの作成

- ユーザー定義列挙の数値型コードと読取り可能な名前のマッピング

- 値リストの追加

- 地理的位置データの追加

- セッションおよびアラートの追加

参考用に例が紹介されています。

コード・リストでは、OAAM表とフィールドの名前は太字および斜体になっています。

24.1.9.1 データ・モデルの作成

『Oracle Business Intelligence Publisherレポート・デザイナーズ・ガイド』の新規レポートの作成に関する説明を参照してください。

http://download.oracle.com/docs/cd/E12844_01/doc/bip.1013/e12187/T518230T518233.htm

24.1.9.2 ユーザー定義列挙の数値型コードと読取り可能な名前のマッピング

多くの表のいくつかのフィールドは、OAAMユーザー定義列挙に対応する数値型コードです。OAAMユーザー定義列挙の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。この項では、これらの型コードと読取り可能な名前をマップする方法について説明します。

これらの名前を解決する方法は2つあり、どちらを使用するかは、英語のみで表示するか、国際化した文字列で表示するかによります。

24.1.9.2.1 結果表示

レポート出力に型コード値ではなく読取り可能な文字列を表示するには、ユーザー定義列挙を保持する表に結合を追加し、select句にフィールドを追加する必要があります。

24.1.9.2.2 英語のみのユーザー定義列挙の結果表示

次のSQLコードは、問合せに結合基準を追加する方法を示しています。

SELECT …
FROM …
LEFT OUTER JOIN (
SELECT enumElement.num_value, enumElement.label
FROM v_b_enum enum
INNER JOIN v_b_enum_elmnt enumElement ON on enum.enum_id = enum_element.enum_id
WHERE enum.prop_name = 'enum name') alias
ON table.type_field = alias.num_value
…

このコード中のtable.type_fieldは、文字列に置き換える型コード値を格納するフィールドです。aliasは、内部select句に渡す名前です。最後に、enum_nameは、ユーザー定義列挙のプロパティ名です。

レポートに表示するには、select句にalias.labelを追加する必要があります。

24.1.9.2.3 国際化したユーザー定義列挙の結果表示

次のSQLコードは、問合せに結合基準を追加する方法を示しています。

SELECT …
FROM …
LEFT OUTER JOIN (
SELECT t0.config_value, element.num_value
FROM v_b_config_rb t0
INNER JOIN (
SELECT enum_element.num_value, enum_element.str_value, enum.prop_name
FROM v_b_enum enum
INNER JOIN v_b_enum_elmnt enum_element ON enum.enum_id = enum_element.enum_id
WHERE enum.prop_name = 'enum name') element
ON t0.config_name=element.prop_name || '.' || element.str_value || '.name'
WHERE t0.locale_id = (
SELECT locale_id FROM v_b_locale
WHERE language = substr(:xdo_user_ui_locale, 1, 2)
AND country = substr(:xdo_user_ui_locale, 4, 2)
AND (substr(:xdo_user_ui_locale, 1, 2) in ('de', 'en', 'es', 'fr', 'it', 'ja', 'ko')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'pt' AND substr(:xdo_user_ui_locale, 4, 2) = 'BR')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'zh' AND substr(:xdo_user_ui_locale, 4, 2) IN ('CN', 'TW')))
UNION SELECT locale_id FROM v_b_locale
WHERE language = substr(:xdo_user_ui_locale, 1, 2)
AND NOT EXISTS(SELECT locale_id FROM v_b_locale
WHERE language = substr(:xdo_user_ui_locale, 1, 2)
AND country = substr(:xdo_user_ui_locale, 4, 2))
AND country IS NULL
AND (substr(:xdo_user_ui_locale, 1, 2) in ('de', 'en', 'es', 'fr', 'it', 'ja', 'ko')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'pt' AND substr(:xdo_user_ui_locale, 4, 2) = 'BR')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'zh' AND substr(:xdo_user_ui_locale, 4, 2) IN ('CN', 'TW')))
UNION SELECT locale_id FROM v_b_locale
WHERE language = 'en'
AND NOT (substr(:xdo_user_ui_locale, 1, 2) in ('de', 'en', 'es', 'fr', 'it', 'ja', 'ko')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'pt' AND substr(:xdo_user_ui_locale, 4, 2) = 'BR')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'zh' AND substr(:xdo_user_ui_locale, 4, 2) IN ('CN', 'TW'))))
ORDER BY t0.config_name) alias
ON table.type_field = alias.num_value
…

このコード中のtable.type_fieldは、文字列に置き換える型コード値を格納するフィールドです。aliasは、内部select句に渡す名前です。最後に、enum_nameは、ユーザー定義列挙のプロパティ名です。

レポートに表示するには、select句にalias.config_valueを追加する必要があります。

24.1.9.3 値リストの追加

ユーザーがレポートと対話して目的のデータをデータ・セットから指定できるよう、レポート定義にパラメータを追加します。

型コードを表す読取り可能な文字列のリストから選択できるようにするには、ユーザー定義列挙の表に対する問合せによって値リスト(LOV)を作成し、列挙名でフィルタ処理する必要があります。

24.1.9.3.1 値リストとしてユーザー定義列挙を使用したフィルタ処理 - 英語のみ

次のリストは、値リストにデータを移入するための問合せを作成する方法を示しています。

SELECT enumElement.label, enumElement.num_value
FROM v_b_enum enum
INNER JOIN v_b_enum_elmnt enumElement ON on enum.enum_id = enumElement.enum_id
WHERE enum.prop_name = 'enum name'
ORDER BY enumElement.label

次のリストは、このLOVに基づいてレポートをフィルタ処理する方法を示しています。

WHERE …
AND (:parameter IS NULL OR :parameter = table.type_field)

これらのリスト中のenum_name、table.type_fieldおよびparameterは、それぞれユーザー定義列挙のプロパティ名、文字列に置き換える型コード値を格納するフィールド、および名前付きパラメータです。レポート・パラメータの作成と設定の詳細は、Oracle BI Publisherユーザーズ・ガイドを参照してください。

24.1.9.3.2 値リストとしてユーザー定義列挙を使用したフィルタ処理 - 国際化

次のリストは、値リストにデータを移入するための問合せを作成する方法を示しています。

SELECT t0.config_value, element.num_value
FROM v_b_config_rb t0
INNER JOIN (
SELECT enum_element.num_value, enum_element.str_value, enum.prop_name
FROM v_b_enum enum
INNER JOIN v_b_enum_elmnt enum_element ON enum.enum_id = enum_element.enum_id
WHERE enum.prop_name = 'enum name') element
ON t0.config_name=element.prop_name || '.' || element.str_value || '.name'
WHERE t0.locale_id = (
SELECT locale_id FROM v_b_locale
WHERE language = substr(:xdo_user_ui_locale, 1, 2)
AND country = substr(:xdo_user_ui_locale, 4, 2)
AND (substr(:xdo_user_ui_locale, 1, 2) in ('de', 'en', 'es', 'fr', 'it', 'ja', 'ko')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'pt' AND substr(:xdo_user_ui_locale, 4, 2) = 'BR')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'zh' AND substr(:xdo_user_ui_locale, 4, 2) IN ('CN', 'TW')))
UNION SELECT locale_id FROM v_b_locale
WHERE language = substr(:xdo_user_ui_locale, 1, 2)
AND NOT EXISTS(SELECT locale_id FROM v_b_locale
WHERE language = substr(:xdo_user_ui_locale, 1, 2)
AND country = substr(:xdo_user_ui_locale, 4, 2))
AND country IS NULL
AND (substr(:xdo_user_ui_locale, 1, 2) in ('de', 'en', 'es', 'fr', 'it', 'ja', 'ko')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'pt' AND substr(:xdo_user_ui_locale, 4, 2) = 'BR')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'zh' AND substr(:xdo_user_ui_locale, 4, 2) IN ('CN', 'TW')))
UNION SELECT locale_id FROM v_b_locale
WHERE language = 'en'
AND NOT (substr(:xdo_user_ui_locale, 1, 2) in ('de', 'en', 'es', 'fr', 'it', 'ja', 'ko')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'pt' AND substr(:xdo_user_ui_locale, 4, 2) = 'BR')
OR (substr(:xdo_user_ui_locale, 1, 2) = 'zh' AND substr(:xdo_user_ui_locale, 4, 2) IN ('CN', 'TW'))))
ORDER BY t0.config_name

フィルタ処理の方法は、英語のみの場合と同じです。

24.1.9.4 地理的位置データの追加

OAAMスキーマには、IPアドレス範囲と位置データ(市町村、都道府県、国など)をマップする表が含まれています。関連する表は、VCRYPT_IP_LOCATION_MAP、VCRYPT_CITY、VCRYPT_STATEおよびVCRYPT_COUNTRYです。多くの表にIPアドレスが含まれており、VCRYPT_IP_LOCATION_MAPには、VCRYPT_CITY、VCRYPT_STATEおよびVCRYPT_COUNTRYのそれぞれに対応する外部キーが含まれています。

OAAMでは、IPアドレスは長い数値として格納されます。次のリストは、IPアドレスを含む表をVCRYPT_IP_LOCATION_MAPに結合する方法を示しています。

SELECT ...
FROM vcrypt_tracker_usernode_logs logs
INNER JOIN vcrypt_ip_location_map loc ON (
logs.remote_ip_addr >= loc.from_ip_addr AND logs.remote_ip_addr <= loc.from_ip_addr
)

ユーザー入力や表示目的では、一般に4つの要素で構成される標準IPアドレスを使用します。次のリストは、数値IPアドレスを標準IPとして表示する方法を示しています。ipFieldは、表示する数値IPアドレスを含むフィールドまたはパラメータです。

…
to_char(to_number(substr(to_char(ipField, 'XXXXXXXX'), 1, 3), 'XX')) || '.' ||
to_char(to_number(substr(to_char(ipField, 'XXXXXXXX'), 4, 2), 'XX')) || '.' ||
to_char(to_number(substr(to_char(ipField, 'XXXXXXXX'), 6, 2), 'XX')) || '.' ||
to_char(to_number(substr(to_char(ipField, 'XXXXXXXX'), 8, 2), 'XX'))
...

次のリストは、標準IPアドレスを長い数値フォーマットに変換する方法を示しています。

…
to_number(substr(ipField, 1, instr(ipField, '.')-1))*16777216 +
to_number(substr(ipField, instr(ipField, '.', 1, 1)+1, instr(ipField, '.', 1, 2)-instr(ipField, '.', 1, 1)-1))*65536 +
to_number(substr(ipField, instr(ipField, '.', 1, 2)+1, instr(ipField, '.', 1, 3)-instr(ipField, '.', 1, 2)-1))*256 +
to_number(substr(ipField, instr(ipField, '.', 1, 3)+1))

24.1.9.5 セッションおよびアラートの追加

セッションおよびアラートは、それぞれVCRYPT_TRACKER_USERNODE_LOGS表およびVCRYPT_ALERT表に存在します。これらはREQUEST_IDフィールドを介して相互に結合され、それぞれVCRYPT_IP_LOCATION_MAP表を使用してBASE_IP_ADDRフィールドを介して地理的位置データに結合されます。

24.1.9.5.1 型コードの参照

セッション表とアラート表には、ユーザー定義列挙を名前で参照して読取り可能なテキストに変換できる型コード・フィールドがいくつか含まれています。次の表に、型コード・フィールドとユーザー定義列挙の名前を示します。

表24-1 VCRYPT_TRACKER_USERNODE_LOGS

フィールド名

ユーザー定義列挙の名前

AUTH_STATUS

auth.status.enum

AUTH_CLIENT_TYPE_CODE

auth.client.type.enum

表24-2 VCRYPT_ALERT

フィールド名

ユーザー定義列挙の名前

ALERT_LEVEL

alert.level.enum

ALERT_TYPE

alert.type.enum

ALERT_STATUS

alert.status.enum

RUNTIME_TYPE

profile.type.enum

24.1.9.6 例

このレポートには、ユーザーID、ログインID、認証ステータスおよび位置で構成されるセッション・リストが表示されます。最初に、fromDateとtoDateの2つの日付パラメータを作成する必要があります。問合せは次のようになります。

SELECT s.request_id, s.user_id, s.user_login_id, auth.label, country.country_name, state.state_name,
city.city_name
FROM vcrypt_tracker_usernode_logs s
INNER JOIN vcrypt_ip_location_map loc ON s.base_ip_addr = loc.base_ip_addr
INNER JOIN vcrypt_country country ON loc.country_id = country.country_id
INNER JOIN vcrypt_state loc ON loc.state_id = country.state_id
INNER JOIN vcrypt_city city ON loc.city_id = city.city_id
LEFT OUTER JOIN (
SELECT enumElement.num_value, enumElement.label
FROM v_b_enum enum
INNER JOIN v_b_enum_elmnt enumElement ON on enum.enum_id = enum_element.enum_id
WHERE enum.prop_name = 'auth.status.enum') auth
ON s.auth_status = auth.num_value
WHERE (:fromDate IS NULL OR s.create_time >= :fromDate)
AND (:toDate IS NULL OR s.create_time <= :toDate)
ORDER BY s.create_time DESC

24.1.9.7 レポート定義へのレイアウトの追加

Oracle BI Publisherには、レポート用のテンプレートを設計するための各種オプションが用意されています。詳細は、『Oracle Business Intelligence Publisherレポート・デザイナーズ・ガイド』を参照してください。

24.1.10 OAAMトランザクション・レポートの作成

この項では、トランザクション・レポートを作成する方法について説明します。この章の内容は、次のとおりです。

- エンティティおよびトランザクション情報の取得

- エンティティ・データのマッピング情報の取得

- トランザクション・データのマッピング情報の取得

- トランザクション・レポートの作成

24.1.10.1 エンティティおよびトランザクション情報の取得

トランザクション定義キーとエンティティ定義キーを取得するには、次の手順を実行します。

1. OAAM管理コンソールにログインし、「トランザクション」メニューに移動して、目的のトランザクション定義を検索します。

2. 「一般」タブに移動し、トランザクションの「定義キー」を書き留めます。これがトランザクションのトランザクション定義キーです。

3. トランザクションの「エンティティ」タブに移動し、各リストの「エンティティ名」を書き留めます。

4. 「エンティティ」メニュー・オプションを選択してエンティティを検索し、各エンティティの「キー」を書き留めます。これがエンティティのエンティティ定義キーです。

24.1.10.2 エンティティ・データのマッピング情報の取得

レポートの作成時に必要になるエンティティ・データのマッピング情報を取得するには、この項の手順に従ってください。

24.1.10.2.1 データ型に関する情報

参考までに、次の表に数値データ型を示します。

表24-3 データ型に関する情報

データ型

説明

1

文字列データを表します。

2

数値データを表します。格納されるデータは(元の値 * 1000)と等しくなります。

3

日付型のデータです。データは'YYYY-MM-DD HH24:MI:SS TZH:TZMフォーマットで格納および取得されます。

4

ブール型のデータです。文字列として格納されます。「True」はTRUEを表し、「False」はFALSEを表します。

24.1.10.2.2 エンティティ・データの詳細(データ型、行および列のマッピングなど)の取得

レポートの作成時に必要になるエンティティ・データの詳細を取得するには、次の手順を実行します。

1. OAAM管理コンソールでエンティティ定義を確認して、エンティティ定義キーを取得します。

2. SQL問合せを使用して、エンティティ・データのマッピングの詳細を取得します。

SELECT label,
data_row,
data_col,
data_type
FROM vt_data_def_elem
WHERE status =1
AND data_def_id =
(SELECT data_def_id
FROM vt_data_def_map
WHERE relation_type   ='data'
AND parent_obj_type   =3
AND parent_object_id IN
(SELECT entity_def_id
FROM vt_entity_def
WHERE entity_def_key=<Entity Definition Key>
AND status =1
)
)
ORDER BY data_row ASC,
data_col ASC;

24.1.10.2.3 エンティティ・データのSQL問合せおよびビューの作成

前述のSQL問合せを使用すると、エンティティのデータ・フィールドとしてデータ型、行位置および列位置が一覧表示されます。その情報からエンティティを指定し、そのエンティティの次のデータに基づくSQL問合せを作成します。指定したエンティティのデータを表すビューを作成する場合も、このSQL問合せを基準にすることをお薦めします。

注意:

EntityRowNは、エンティティ・データの行を表します。前述の問合せによりエンティティの3つの異なるdata_row値が取得された場合は、3つのEntityRowを扱い、別名をEntityRow1、EntityRow2のようにし、同様に、次に示すように、対応する結合を処理します。

SELECT ent.ENTITY_ID,
ent.EXT_ENTITY_ID,
ent.ENTITYNAME,
ent.ENTITY_KEY,
ent.ENTITY_TYPE,
EntityRowN<row>.DATA<col> <column_name>,
(EntityRowN<row>.NUM_DATA<col>/ 1000.0) <numeric_column_name>,
to_timestamp_tz(EntityRowN<row>.DATA<col>, 'YYYY-MM-DD HH24:MI:SS TZH:TZM') <date_column_name>,
ent.CREATE_TIME,
ent.UPDATE_TIME,
ent.EXPIRY_TIME,
ent.RENEW_TIME
FROM
VT_ENTITY_DEF entDef,
VT_ENTITY_ONE ent
LEFT OUTER JOIN VT_ENTITY_ONE_PROFILE EntityRowN
ON (EntityRowN.ENTITY_ID    = ent.ENTITY_ID
AND EntityRowN.ROW_ORDER    = <row>
AND EntityRowN.EXPIRE_TIME IS NULL)
LEFT OUTER JOIN VT_ENTITY_ONE_PROFILE EntityRowN+1
ON (EntityRowN+1.ENTITY_ID    = ent.ENTITY_ID
AND EntityRowN+1.ROW_ORDER    = <row+1>
AND row1.EXPIRE_TIME IS NULL)
WHERE
ent.ENTITY_DEF_ID      = entDef.ENTITY_DEF_ID and
entDef.ENTITY_DEF_KEY=<Entity Definition Key>

24.1.10.3 トランザクション・データのマッピング情報の取得

レポートの作成時に必要になるトランザクション・データのマッピング情報を取得するには、この項の手順に従ってください。

24.1.10.3.1 トランザクション・データの詳細(データ型、行および列のマッピングなど)の取得

次の手順を実行して、レポートの作成時に必要になるエンティティ・データの詳細を取得します。

1. 次のSQLを使用して、エンティティ定義のマッピングIDに対するトランザクションのリストを取得します。

SELECT map_id
FROM
vt_trx_ent_defs_map,
vt_trx_def
WHERE
vt_trx_ent_defs_map.trx_def_id = vt_trx_def.trx_def_id
AND vt_trx_def.trx_def_key  =<Transaction Definition Key>

2. 次のSQL問合せを使用して、すべてのトランザクション・データ・フィールド、データ型、行および列のマッピングの詳細を取得します。

SELECT label,
data_row,
data_col,
data_type
FROM vt_data_def_elem
WHERE status    =1
AND data_def_id =
(SELECT data_def_id
FROM vt_data_def_map
WHERE relation_type   ='data'
AND parent_obj_type   =1
AND parent_object_id IN
(SELECT trx_def_id
FROM vt_trx_def
WHERE trx_def_key='mayo_pat_rec_acc'
AND status       =1
)
)
ORDER BY data_row ASC,
data_col ASC;

24.1.10.3.2 トランザクション・データのSQL問合せおよびビューの作成

前の項の情報を使用して、次のトランザクション・データを表すSQL問合せを作成します。

注意: レポートの作成が容易になるよう、この問合せを基準にしてビューを作成することをお薦めします。

SELECT trx.LOG_ID,
trx.USER_ID,
trx.REQUEST_ID,
trx.EXT_TRX_ID,
trx.TRX_TYPE,
trx.STATUS,
trx.SCORE,
trx.RULE_ACTION,
trx.TRX_FLAG,
trx.POST_PROCESS_STATUS,
trx.POST_PROCESS_RESULT,
TxnDataRowN<row>.DATA<col> <data_column_name>,
(TxnDataRowN<row>.NUM_DATA<col>/ 1000.0) <numeric_column_name>,
to_timestamp_tz(TxnDataRowN<row>.DATA<col>, 'YYYY-MM-DD HH24:MI:SS TZH:TZM') <date_column_name>,
(SELECT entTrxMap.MAP_OBJ_ID
FROM VT_ENT_TRX_MAP entTrxMap
WHERE entTrxMap.DEF_MAP_ID = <Transaction to Entity Mapping Id of Entity1_Name>
AND entTrxMap.TRX_ID       = trx.LOG_ID
) <EntityN_Name>,
(SELECT entTrxMap.MAP_OBJ_ID
FROM VT_ENT_TRX_MAP entTrxMap
WHERE entTrxMap.DEF_MAP_ID = <Transaction to Entity Mapping Id of Entity2_Name>
AND entTrxMap.TRX_ID       = trx.LOG_ID
) <EntityN+1_Name>,
trx.CREATE_TIME,
trx.UPDATE_TIME,
TRUNC(trx.create_time, 'HH24') created_hour,
TRUNC(trx.create_time, 'DDD') created_day,
TRUNC(trx.create_time, 'DAY') created_week,
TRUNC(trx.create_time, 'MM') created_month,
TRUNC(trx.create_time, 'YYYY') created_year
FROM VT_TRX_DEF trxDef,
VT_TRX_LOGS trx
LEFT OUTER JOIN VT_TRX_DATA TransactionDataRowN
ON (TransactionDataRowN.TRX_ID         = trx.LOG_ID
AND TransactionDataRowN.ROW_ORDER      = <rowN>)
LEFT OUTER JOIN VT_TRX_DATA TransactionDataRowN+1
ON (TransactionDataRowN+1.TRX_ID         = trx.LOG_ID
AND TransactionDataRowN+1.ROW_ORDER      = <rowN+1>)
WHERE trx.TRX_DEF_ID      = trxDef.TRX_DEF_ID  and
trxDef.TRX_DEF_KEY=<Transaction Definition Key>

24.1.10.4 トランザクション・レポートの作成

エンティティおよびトランザクションのレポートを作成するには、この項の手順に従ってください。

24.1.10.4.1 エンティティ・データ・レポートの作成

24.1.10.2.3項「エンティティ・データのSQL問合せおよびビューの作成」の説明に従って作成したSQL問合せまたはビューを使用してください。

24.1.10.4.2 トランザクション・データ・レポートの作成

24.1.10.3.2項「トランザクション・データのSQL問合せおよびビューの作成」の説明に従って作成したSQL問合せまたはビューを使用してください。

24.1.10.4.3 エンティティ・データ表およびトランザクション・データ表の結合

疑似列EntityN_Nameによって指定するVT_ENT_TRX_ MAP.MAP_OBJ_IDを使用すると、作成したトランザクション・データ・ビューとエンティティ・データ・ビューを結合できます。

24.2 OAAMイベントの監査

Fusion Middleware監査フレームワークでは、Oracle BI Publisherを利用して、監査データベースに記録されたデータを監査します。Oracle BI Publisherを使用すると、柔軟なレポート表示、フィルタ処理、スケジュール、カスタム・レポートといった強力なレポート機能を利用できます。

24.2.1 監査の概要

Oracle Adaptive Access Managerでは、Oracle Fusion Middleware共通監査フレームワークを使用して、多数のイベントを監査できます。Oracle Fusion Middleware共通監査フレームワークでは、一貫したロギングが可能です。

監査機能は有効または無効のどちらに設定しておくことも可能ですが、本番環境では有効にしておくのが普通です。監査によるパフォーマンスへの影響は最小限に抑えられており、監査によって得られた情報は有用です(業務に不可欠な場合もあります)。

監査データは、集中管理された1つのOracle Databaseインスタンスに書き込むか、バグストップと呼ばれるフラット・ファイルに書き込むことができます。監査記録の保存場所にかかわらず、記録には、特定の要件に合わせて構成することのできる一連の項目が含まれています。監査ログ・ファイルは、監査フレームワークが正常に機能しない場合に監査管理者がエラーを追跡したり問題を診断したりする助けとなります。

24.2.2 監査レコードの格納について

データベース・ロギング: 一連のOracle Fusion Middleware製品全体で共通監査フレームワークを実装します。その利点は、プラットフォーム・レベルで監査機能が共通化されることです。

データベース監査ストア: 本番環境においては、共通監査フレームワークのスケーラビリティと高可用性を実現するために、データベース監査ストアを使用することをお薦めします。監査データは累積的なもので、その量は時間とともに増大します。これは監査データ専用のデータベースとして、他のアプリケーションは使用しないようにするのが理想です。

Oracle Fusion Middleware監査フレームワークの監査ログ表用スキーマはOracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)によって提供されます。このユーティリティは、データベースに情報をログする前に起動している必要があります。

24.2.3 監査可能なOracle Adaptive Access Managerイベント

OAAMイベントとは、Oracle Adaptive Access Managerコンソール使用時に生成されるイベントです。

この項では、監査可能なOAAMイベントとそれによって取得される詳細を示します。これらのイベントの定義と構成は、Oracle Platform Security Servicesの監査サービスの一部として実装されます。

24.2.3.1 カスタマ・ケア・イベント

表24-4に、カスタマ・ケア・イベントを示します。

表24-4 カスタマ・ケア・イベント

イベント

イベント・データ

CSRケースの作成

CaseId、UserGroupName、UserId、CaseSeverity、Description

ケースの更新

CaseId、CaseSeverity、CaseStatus、CaseDisposition、CaseExpirationDurationInHrs、ActionNotes、CaseActionResult

ステータスの変更

CaseId、CaseStatus、CaseDisposition、ActionNotes、CaseActionResult

ケース・アクションの実行

CaseId、CaseActionEnum、CaseSubActionEnum、ActionNotes、CaseActionResult

チャレンジ質問の取得

CaseId、ActionNotes、CaseChallengeQuestion

チャレンジ質問レスポンスの確認

CaseId、ActionNotes、CaseChallengeQuestion、CaseChallengeQuestionResult

24.2.3.2 KBA質問イベント

表24-5に、KBA質問イベントを示します。

表24-5 KBA質問イベント

イベント

イベント・データ

KBAカテゴリの作成

KBACategoryId、KBACategoryName、KBACategoryDetails

KBAカテゴリの更新

KBACategoryId、KBACategoryName、KBACategoryDetails

KBAカテゴリの削除

KBACategoryIds

KBA質問の作成

KBAQuestionId、KBAQuestion、KBAQuestionDetails

KBA質問の更新

KBAQuestionId、KBAQuestion、KBAQuestionDetails

KBA質問の削除

KBAQuestionIds

KBA検証の作成

KBAValidationId、KBAValidationName、KBAValidationDetails

KBA検証の更新

KBAValidationId、KBAValidationName、KBAValidationDetails

KBA検証の削除

KBAValidationIds

グローバルへのKBA検証の追加

KBAValidationId

グローバルからのKBA検証の削除

KBAValidationId

KBA回答ロジックの更新

KBAAnswerLogicDetails

KBA登録ロジックの更新

KBARegistrationLogicDetails

24.2.3.3 ポリシー管理イベント

表24-6に、ポリシー管理イベントを示します。

表24-6 ポリシー管理イベント

イベント

イベント・データ

ポリシーの作成

PolicyId、PolicyName、PolicyDetails

ポリシーのコピー

SourcePolicyId、PolicyName、PolicyDetails

ポリシーの更新

PolicyId、PolicyName、PolicyDetails

ポリシーの削除

PolicyIds

オーバーライドの追加

PolicyId、PolicyOverrideRowId、PolicyOverrideDetails

オーバーライドの更新

PolicyId、PolicyOverrideIds、PolicyOverrideDetails

オーバーライドの削除

PolicyId、PolicyOverrideIds

ポリシーをグループにリンク

PolicyId、GroupId、ActionNotes

グループからポリシーのリンク解除

PolicyId、GroupIds

ルールの作成

PolicyId、RuleId、RuleName、RuleDetails

ルールへの条件の追加

PolicyRuleMapId、RuleConditionIds

ポリシーのルールの更新

PolicyId、RuleId、RuleName、RuleDetails

ポリシーへのルールのコピー

PolicyId、PolicyRuleMapDetails

ポリシーからのルールの削除

PolicyRuleMapIds

ポリシーのルール順序の更新

PolicyRuleMapId、RuleConditionMapIds

ルール・パラメータ値の更新

PolicyRuleMapId、RuleConditionMapId、RuleParamValueDetails

24.2.3.4 ポリシー・セット管理イベント

表24-7に、ポリシー・セット管理イベントを示します。

表24-7 ポリシー・セット管理イベント

イベント

イベント・データ

ポリシー・セット更新

UpdatePolicySet

ポリシー・セット保存スコア

SaveScoreActions

ポリシー・セット保存アクション

SaveActionOverrides

ポリシー・セット削除スコア

DeleteScoreActions

ポリシー・セット削除アクション

削除アクション・オーバーライド

24.2.3.5 グループ/リスト管理イベント

表24-8に、グループ/リスト管理イベントを示します。

表24-8 グループ管理イベント

イベント

イベント・データ

グループの追加

GroupId、GroupName、GroupDetails

グループの更新

GroupId、GroupName、GroupDetails

グループの削除

GroupIds

グループ要素の追加

GroupId、GroupElementsDetails

グループ要素の更新

GroupId、GroupElementId、GroupElementValue

グループ要素の削除

GroupId、GroupElementIds

すべてのグループ要素の削除

GroupId

24.2.3.6 パターン管理イベント

表24-9に、パターン管理イベントを示します。

表24-9 パターン管理イベント

イベント

イベント・データ

パターン更新ステータス

UpdatePattern

パターン作成

CreatePattern

パターン更新

UpdatePatternStatus

パターン削除

DeletePattern

パターン追加パラメータ

AddParam

パターン更新パラメータ

UpdateParam

パターン削除パラメータ

DeleteParams

パターン更新パラメータの順序

UpdateParamsOrder

24.2.3.7 動的アクション管理イベント

表24-10に、動的アクション管理イベントを示します。

表24-10 動的アクション管理イベント

イベント

イベント・データ

動的アクション作成

CreateDynamicAction

動的アクション更新

UpdateDynamicAction

動的アクション削除

DeleteDynamicActions

動的アクション作成インスタンス

CreateDynamicActionInstance

動的アクション更新インスタンス

UpdateDynamicActionInstance

動的アクション更新ステータス

UpdateDynamicActionInstanceStatus

動的アクション削除インスタンス

DeleteDynamicActionInstances

24.2.3.8 エンティティ管理イベント

表24-11に、エンティティ管理イベントを示します。

表24-11 エンティティ管理イベント

イベント

イベント・データ

エンティティ作成

CreateEntityDef

エンティティ更新

エンティティ更新ステータス

UpdateEntityDefStatus

エンティティ削除

DeleteEntityDefs

エンティティ保存データ

SaveDataElements

エンティティ削除データ

DeleteDataElements

エンティティ追加ID

AddIDSchemeElements

エンティティ更新ID

UpdateIDSchemeElements

エンティティ削除ID

DeleteIDSchemeElements

エンティティ追加表示

AddDisplayElements

エンティティ更新表示

UpdateDisplayElements

エンティティ削除表示

DeleteDisplayElements

エンティティ作成参照

CreateEntityDefsRelation

エンティティ更新参照

UpdateEntityDef

エンティティ削除参照

DeleteEntityDefsRelations

エンティティ定義の属性/プロパティを更新すると、次の監査イベントがトリガーされます。

- エンティティ定義の更新

- IDスキーム要素の更新

- データ要素の保存

24.2.3.9 トランザクション管理イベント

表24-12に、トランザクション管理イベントを示します。

表24-12 トランザクション管理イベント

イベント

イベント・データ

トランザクション作成

CreateTransactionDef

トランザクション更新

UpdateTransactionDef

トランザクション・ステータス更新

UpdateTransactionDefStatus

トランザクション削除

DeleteTransactionDef

トランザクション・エンティティ追加

AddTransactionEntityDefMap

トランザクション・エンティティ更新

UpdateTransactionEntityDefMap

トランザクション・エンティティ削除

DeleteTransactionEntityDefMaps

トランザクション・データ保存

SaveTransactionDataElemDefs

トランザクション・データ削除

DeleteTransactionDataElemDefs

トランザクション・ソース保存

SaveTransactionSourceDataElemDefs

トランザクション・ソース・データ要素定義削除

DeleteTransactionSourceDataElemDefs

トランザクション・データ・マップ設定

SetTransactionDataMapping

トランザクション・データ・マップ削除

DeleteTransactionDataMappings

トランザクション・エンティティ・マップ設定

SetTransactionEntityDataMapping

トランザクション・エンティティ・マップ削除

DeleteTransactionEntityDataMappings

トランザクション定義の属性/プロパティを更新すると、監査イベントに加え、関連するAPIの監査イベントもトリガーされます。たとえば、ソース保存のトランザクションを実行すると、次の監査イベントもトリガーされます。

- トランザクション・データ要素定義の保存

- トランザクション定義の更新

24.2.3.10 スナップショット管理イベント

表24-13に、スナップショット管理イベントを示します。

表24-13 スナップショット管理イベント

イベント

イベント・データ

スナップショット作成

CreateSnapshotInDB

スナップショット格納

StoreSnapshot

スナップショット差分コミット

CommitDiff

スナップショット削除

DeleteSnapshots

24.2.3.11 OAAMサーバー管理イベント

表24-14に、OAAMサーバー管理イベントを示します。

表24-14 OAAMサーバー管理ユーティリティ・イベント

イベント

イベント・データ

プロパティ作成

CreateProperty

プロパティ削除

UpdateProperty

プロパティ更新

DeleteProperties

24.2.3.12 ユーザー詳細イベント

表24-15に、ユーザー・イベントを示します。

表24-15 ユーザー・イベント

イベント

イベント・データ

ログインの取得

GetUserRecentLogins

セッション・データの取得

GetSessionData

ユーザー・トランザクションの取得

GetUserTransaction

トランザクション詳細の取得

GetUserTransactionDetails

チェックポイントの取得

GetUserCheckpointDetails

24.2.3.13 インポート・イベント

表24-16に、インポート・イベントを示します。

表24-16 インポート・イベント

イベント

イベント・データ

ポリシーのインポート

ImportPolicies

KBAのインポート

ImportKBAQuestions

動的アクションのインポート

ImportDynamicActions

トランザクションのインポート

ImportTransactions

パターンのインポート

ImportPatterns

エンティティのインポート

ImportEntities

条件のインポート

ImportConditions

グループのインポート

ImportGroups

プロパティのインポート

ImportProperties

検証のインポート

ImportValidations

24.2.4 Oracle Adaptive Access Managerの監査の設定

Oracle Adaptive Access Managerは、監査レコードを中央データベースに書き込むように構成できます。本番環境においては、共通監査フレームワークのスケーラビリティと高可用性を実現するために、データベース監査ストアを使用することをお薦めします。監査データは累積的なもので、その量は時間とともに増大します。これは監査データ専用のデータベースとして、他のアプリケーションは使用しないようにするのが理想です。

Oracle Adaptive Access Managerの監査を構成するには、次の手順を実行します。

1. 『Oracle Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』のRCUを使用した監査スキーマの作成に関する項に従い、データベースに対してOracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)を実行します。

2. 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査データ・ソースの設定の項に従って監査ローダーの監査データ・ソースを設定し、それをOAAMサーバーに合わせて構成します。

3. Fusion Middleware Controlを使用して、監査ポリシーと監査ストアを有効化します。

4. Oracle Business Intelligence Publisher監査レポートを設定します。

5. WebLogic Serverを再起動します。

監査のデプロイの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査の構成と管理に関する項を参照してください。

24.2.4.1 リポジトリ作成ユーティリティを使用した監査スキーマの作成

監査レコードの永続的ストアとしてデータベースに切り替えるには、最初にOracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)を使用して監査データ用のデータベース・ストアを作成する必要があります。

始める前に、使用するデータベースの詳細情報を収集し、DBA資格証明を入手してください。RCUを使用して監査スキーマを作成します。そのためには、RCUの実行時に監査サービスを選択します。RCUの実行時にOAAMコンポーネントを選択した場合、デフォルトでは監査は選択されません。したがって、デフォルトでは、監査データはデータベースではなくファイル・システム(IAMDomain/servers/AdminServer/logs/auditlogs/JPS/audit.log)に記録されます。本番環境で監査を使用する場合は、RCUの実行時に監査スキーマを構成することをお薦めします。

24.2.4.2 監査データベース用のデータソースの構成

データベースに監査レコードを格納するためのデータベース・スキーマを作成したら、そのスキーマを指すOracle WebLogic Server監査データソースを設定する必要があります。

WebLogic管理コンソールを使用して監査データベース用のJDBCデータソースを定義し、WebLogicサーバーがデータベースにアクセスできるようにしてください。管理サーバー上だけでなく、Oracle Adaptive Access Managerサーバーを実行するすべてのWebLogic管理対象サーバー・インスタンス上でデータソースを構成する必要があります。データソースの構成を実行する個別の手順については、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

24.2.4.3 監査の有効化

Fusion Middleware Controlを使用して、監査ポリシーと監査ストアを有効化します。

監査ポリシーとは、特定のコンポーネントの監査フレームワークによって取得されるイベントのタイプの宣言です。

1. 監査ストアをファイルからデータベースに変更します。「WebLogicドメイン」、「IAM_Domain」、「セキュリティ」、「監査ストア」の順にナビゲートします。監査データベース用のデータソースのJNDI名を指定します。

2. 監査ポリシーを有効化します。「WebLogicドメイン」、「IAM_Domain」、「セキュリティ」、「監査ポリシー」の順にナビゲートします。

24.2.4.4 Oracle Business Intelligence Publisher監査レポートの設定

Fusion Middleware監査レポートをインストールする前に、Oracle BI Publisherをインストールして正しく動作することを確認する必要があります。詳細は、Oracle Business Intelligence Publisherのドキュメントを参照してください。

標準のOracle BI Publisher監査レポートを標準のデフォルト・フォーマットで設定するには、次の手順を実行します。

1. Oracle BI Publisherサーバーを停止します。詳細は、Oracle Business Intelligence Publisherのドキュメントを参照してください。

2. Oracle BI Publisherサーバー上でAuditReportTemplates.jarを解凍します。例:
/ORACLE_BI_PUBLISHER_HOME/xmlp/XMLP/reports

AuditReportTemplates.jarは、$MW_ORA_HOME/oracle_common/modules/oracle.iau_version/reports/AuditReportTemplates.jarにあります。

3. Oracle BI Publisherサーバーを起動します。詳細は、Oracle Business Intelligence Publisherのドキュメントを参照してください。

4. 次の手順を実行して、レポート用のJDBCデータソースを構成します。

1. Webブラウザから管理者としてOracle BI Publisherにログインします。詳細は、Oracle Business Intelligence Publisherのドキュメントを参照してください。

2. 「管理」タブをクリックし、「データソース」の下の「JDBC」をクリックして、「データソースの追加」ボタンをクリックします。「データソースの追加」画面が表示されます。

3. 「データソースの追加」画面のフィールドに次の情報を入力します。次の例の変数値を監査スキーマの実際の値に置き換えます。

フィールド

入力するデータ

データソース名

Audit

データソースの名前を指定します。

接続文字列

jdbc:oracle:thin:@host:port:sid

ユーザー名

監査スキーマ・ユーザーのユーザー名です。

パスワード

「ユーザー名」フィールドで指定したユーザーのパスワードです。

データベース・ドライバ・クラス

oracle.jdbc.driver.OracleDriver

5. 接続が正常かどうかをテストします。接続が正常でない場合は、入力した値を確認します。

6. 「適用」をクリックします。

24.2.4.5 WebLogic Serverの再起動

WebLogic Serverインスタンスを再起動します。すべてのWebLogic Serverインスタンス(ドメイン内の管理サーバーとすべての管理対象サーバー・インスタンス)を再起動する必要があります。再起動時に、監査ローダーによって監査ストア構成が再度読み込まれ、監査対象のデータベースの使用が開始されます。

24.2.5 Fusion Middleware監査フレームワーク・レポートの生成

Oracle BI PublisherでFusion Middleware監査フレームワーク・レポートを生成するには、次の手順を実行します。

1. Oracle BI Publisherにログインします。

2. 「レポート」タブを選択します。

3. 「詳細」をクリックして、監査レポートを含む標準レポート・リストを表示します。

4. 「Oracle_Fusion_Middleware_Audit」をクリックして、実行対象のレポートにナビゲートします。

5. レポート・ページの上部にあるフィルタ・オプションを使用して、レポート・データを様々な方法でフィルタ処理します。レポート・データは、レポート・ページの下部に表示されます。

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査分析の使用方法とレポートの作成に関する項を参照してください。

24.2.6 Fusion Middleware共通ユーザー・アクティビティ・レポートの実行

Oracle BI PublisherでFusion Middleware共通ユーザー・アクティビティ・レポートを実行するには、次の手順を実行します。

1. Oracle BI Publisherにログインします。

2. 「レポート」タブを選択します。

3. 「詳細」をクリックして、監査レポートを含む標準レポート・リストを表示します。

4. 「Oracle_Fusion_Middleware_Audit」をクリックして、実行対象のレポートにナビゲートします。

5. 「すべてのイベント」を選択します。

24.2.7 監査レポート・フィルタの設定

標準の監査レポートをデフォルトの形式で標準として使用できます。ただし、レポートのデータの範囲やその他の関連する側面をカスタマイズする場合は、監査レポート・フィルタを設定します。

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査分析の使用方法とレポートの作成に関する項を参照してください。

24.2.8 Oracle Business Intelligence Publisherのスケジューラの構成

レポートの「スケジュール」ボタンをクリックして表示されるページでは、スケジュールを使用してレポートを管理できます。

監査レポートのカスタマイズの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査分析の使用方法とレポートの作成に関する項を参照してください。

24.2.9 カスタム・レポートの設計および作成

データベース監査ストア内のデータは、OAAMレポートを通じて公開されます。OAAM監査レポートは、標準のOracle Adaptive Access Managerでは利用できません。Oracle Fusion Middleware監査フレームワークには、一連の事前定義済レポートが付属しています。これらのレポートは、Oracle Fusion Middlewareコンポーネントで標準で利用可能になっていますが、Oracle Business Intelligence Publisherは、カスタム・レポートの設計や作成にも完全に対応しています。

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査分析の使用方法とレポートの作成に関する項を参照してください。

24.3 ユース・ケース

次の項では、Oracle Adaptive Access Managerレポートの使用シナリオを紹介します。

24.3.1 ユース・ケース: BIPレポート

MartyはAcme Corpのビジネス・アナリストです。Oracle Adaptive Access Managerセキュリティ・システムがカスタマに及ぼす影響について、関連データを集計してまとめる必要があります。

指示: KBAチャレンジ統計レポートとルール集計ブレークダウン・レポートを実行します。また、最近のログイン・レポートを実行し、セッションでフィルタ処理してブロックで表示します。すべてのレポートをXLS出力で実行するため、結果を事業単位と共有できます。

24.3.1.1 説明

このユース・ケースでは、Oracle BI Publisherの使用例を示します。

24.3.1.2 手順

このユース・ケースでは、Oracle BI Publisherレポートの使用例を示します。

1. Oracle BI Publisherにアナリストとしてログインします。

2. 「共有フォルダ」で「OAAM」を選択します。

3. 「oaam」フォルダで「oradb」を選択します。

4. 実行するレポートを探します。

1. 「共通」フォルダで、「最近のログイン」をクリックして「最近のログイン」レポートを表示します。

2. 「KBA」フォルダで、「チャレンジ統計」をクリックして「チャレンジ統計」レポートを表示します。

3. 「KBA」フォルダで、「質問統計」をクリックして「質問統計」レポートを表示します。

4. 「セキュリティ」フォルダで、「ルール・ブレークダウン」をクリックして「ルール・ブレークダウン」レポートを表示します。

5. 「最近のログイン」レポートの場合、「認証ステータス」で検索基準として「ブロック済」を選択します。

6. 各レポートに対して次の手順を繰り返します。

1. 「表示」をクリックします。

2. 「テンプレート」メニューで、「Excel2000」を選択し、「エクスポート」をクリックします。

24.3.2 ユース・ケース: 「ログイン・サマリー」レポート

「ログイン・サマリー」には、指定された日付範囲のログイン集計サマリーが表示されます。

1. 次の形式のURLを使用して、Oracle BI Publisherにログインします。
http://host.domain.com:port/xmlpserver/

2. メイン・ページで、「共有フォルダ」の「OAAM」をクリックし、「oradb」をクリックします。

3. 「セキュリティ」フォルダで、「ログイン・サマリー」をクリックして「ログイン・サマリー」レポートを表示します。
デフォルトの期間である1か月を対象として、「ログインのサマリー」レポートが表示されます。

サマリー・グラフには、次の情報が表示されます。

- セッション数

- ユーザー数

- 登録数

- ブロック数

4. 必要に応じてレポートを保存またはエクスポートします。

第X部

デプロイメント管理

このマニュアルのこの部では、Oracle Adaptive Access Managerでのデプロイメント管理について説明します。

25 プロパティ・エディタの使用

Oracle Adaptive Access Managerには、標準のプロパティおよびプロパティ・エディタが用意されており、要件に応じた新規データベース・プロパティの作成、既存のデータベースおよびファイル・プロパティの変更、および列挙の作成および編集を行うことができます。

注意: すべてのロールにプロパティ・エディタにアクセスする権限があるわけではありません。

この章では、OAAM管理コンソールを使用したプロパティ管理に焦点を当てます。

この章では、次の内容を説明します。

- 25.1項「プロパティ検索ページへのナビゲート」

- 25.2項「プロパティの検索」

- 25.3項「プロパティの値の表示」

- 25.4項「列挙の表示」

- 25.5項「新規データベース・タイプ・プロパティの作成」

- 25.6項「データベースおよびファイル・タイプ・プロパティの値の編集」

- 25.7項「データベース・タイプ・プロパティの削除」

- 25.8項「データベースおよびファイル・タイプ・プロパティのエクスポート」

- 25.9項「データベース・タイプ・プロパティのインポート」

- 25.10項「プロパティ・エディタにおける列挙の編集」

25.1 プロパティ検索ページへのナビゲート

プロパティ検索ページは、プロパティ定義を管理するための開始位置です。

プロパティ検索ページを開くには:

1. ナビゲーション・ツリーで、「環境」の下にある「プロパティ」をダブルクリックします。
または次の方法を使用できます。

- ナビゲーション・ツリーで「プロパティ」を右クリックし、コンテキスト・メニューから「プロパティのリスト」を選択します。

- ナビゲーション・ツリーで「プロパティ」を選択し、「アクション」メニューから「プロパティのリスト」を選択します。

- ナビゲーション・ツリー・ツールバーで「プロパティのリスト」ボタンをクリックします。

プロパティ検索ページが表示されます。

2. 「検索」をクリックしてシステム内のプロパティのリストを表示します。

25.2 プロパティの検索

プロパティ検索ページでは、システム内のすべてのプロパティのリストを表示したり、名前、ロード・タイプおよび値に基づいてプロパティを検索できます。

図25-1 「プロパティ」ページ

システム内に存在するプロパティのリストを表示するには、「検索」をクリックします。使用可能なすべてのプロパティが結果表に表示されます。

プロパティを検索するには:

1. プロパティ検索ページの検索フィールドで基準を指定して、プロパティを検索します。
検索フィルタの基準を表25-1「検索フィルタの基準」で説明します。

表25-1 検索フィルタの基準

フィールド

説明

名前

プロパティ名。

ロード・タイプ

プロパティのロード・タイプ。プロパティがデータベースで使用可能な場合、そのロード・タイプは「データベース」であり、プロパティがプロパティ・ファイルに含まれる場合、そのロード・タイプは「プロパティ」であり、プロパティがシステム・プロパティである場合、そのロード・タイプは「システム」です。デフォルトでは、ロード・タイプは「すべて」に設定されます。

値

プロパティの値。

2. 「検索」をクリックします。
検索パラメータをデフォルト設定にリセットする場合は、「リセット」ボタンを使用します。

結果表に、指定した基準に一致するプロパティのサマリーが表示されます。

デフォルトでは、プロパティはプロパティ名でソートされますが、ロード・タイプでプロパティをソートできます。

25.3 プロパティの値の表示

プロパティの値を表示するには、結果表でプロパティを選択します。プロパティの名前、ロード・タイプおよび値が下部パネルに表示されます。

25.4 列挙の表示

列挙はプロパティ・エディタを使用して表示および編集できます。

プロパティ・エディタに列挙をリストするには、次のプロパティをfalseに設定する必要があります。

bharosa.config.ui.list.filter.enum=false

25.5 新規データベース・タイプ・プロパティの作成

データベース・タイプ・プロパティを作成するには:

1. プロパティ検索ページで、「新規プロパティ」ボタンまたは「新規プロパティの作成」アイコンをクリックします。
「新規プロパティ」ダイアログが表示されます。

2. 「新規プロパティ」ダイアログで、プロパティの名前および値を入力します。
次の場合はエラー・メッセージが表示されます。

- 重複名

- 特殊文字

- 空白の値

- ASCII文字の場合は4000文字以上、UTF-8文字の場合は1333文字以上の長さの名前または値

プロパティの作成後は、プロパティ名を編集できません。

3. 「保存」をクリックします。

プロパティ・エディタを使用して作成したプロパティは必ずデータベース・タイプになります。これらはサーバー・データベース内に作成されます。

ユーザー・インタフェースからはシステムおよびファイル・タイプ・プロパティは作成できません。

新規プロパティを作成しない場合は、「保存」ではなく「取消」をクリックします。

25.6 データベースおよびファイル・タイプ・プロパティの値の編集

データベースおよびファイル・タイプ・プロパティの値を簡単に編集して保存できます。

システム・プロパティは読取り専用であり、編集できません。

データベースまたはファイル・タイプ・プロパティを編集するには、次の手順を実行します。

1. 結果表でプロパティを選択します。
詳細パネルに名前、ロード・タイプおよび値が表示されます。

複数のプロパティが選択された場合、最後に選択されたプロパティの詳細が詳細パネルに表示されます。

2. 詳細パネルで、プロパティの値を編集します。
詳細パネルの名前およびタイプは読取り専用です。

3. 「保存」をクリックします。
変更されたプロパティ詳細が正常に保存されます。

ファイル・ロード・タイプ・プロパティが編集されると、データベース・タイプ・プロパティに変更されます。既存のファイル・タイプ・プロパティは結果表に表示されなくなります。

変更されたプロパティを保存しない場合は、「保存」ではなく「取消」をクリックして、変更を元の値に戻します。

25.7 データベース・タイプ・プロパティの削除

システムおよびファイル・プロパティは削除できません。

データベース・タイプ・プロパティを削除するには:

1. 結果表でプロパティを選択します。
確認ダイアログが表示されます。

2. 「削除」ボタンをクリックします。選択されたプロパティが正常に削除されます。

ファイル・タイプ・プロパティから変更されたデータベース・タイプ・プロパティを削除すると、選択したプロパティが削除され、古いファイル・タイプ・プロパティがリストアされます。

25.8 データベースおよびファイル・タイプ・プロパティのエクスポート

ファイル・プロパティをエクスポートするには、次の手順を実行します。

注意:

システム・プロパティはエクスポートされません。ファイルおよびデータベース・タイプ・プロパティのみがエクスポートされます。

1. ナビゲーション・ツリーで、「環境」の下にある「プロパティ」を開きます。
プロパティ検索ページが表示されます。

2. 「検索」をクリックしてシステム内のプロパティのリストを表示します。

3. エクスポートするプロパティを選択します。「アクション」メニューから「選択項目のエクスポート」を選択します。
エクスポート・タイプを選択し、名前を入力するためのオプションを示す「プロパティのエクスポート」ダイアログが表示されます。

4. ZIPファイルの名前を入力します。

5. エクスポート・タイプとして「Javaプロパティ」または「XMLプロパティ」を選択します。

6. 「エクスポート」をクリックします。
ファイルをエクスポートしない場合は、「保存」ではなく「取消」をクリックします。

7. 「保存」をクリックしてから、「OK」をクリックします。
XMLまたはJava形式の選択したプロパティのZIPファイルがエクスポートされます。

25.9 データベース・タイプ・プロパティのインポート

データベース・タイプ・プロパティをインポートするには、次の手順を実行します。

1. ナビゲーション・ツリーで、「環境」の下にある「プロパティ」を開きます。
プロパティ検索ページが表示されます。

2. 「プロパティのインポート」ボタンをクリックします。
「プロパティのインポート」ダイアログが表示されます。

3. 「グループのインポート」ダイアログ・ボックスで、ファイルのパスおよび名前を入力するか、「参照」(...)ボタンを使用してプロパティを含むZIPファイルを見つけ、ファイルを選択します。

4. 「オープン」をクリックしてから、「OK」をクリックします。
更新がデータベースに保存されます。更新は、プロパティの値が変更された場合にのみ行われます。

5. 「OK」をクリックします。
無効な形式でプロパティをインポートしようとすると、エラーが表示されます。

25.10 プロパティ・エディタにおける列挙の編集

ユーザー定義列挙は、アイテムのリストを表すプロパティの集合です。リスト内の各要素には、複数の異なる属性が含まれている場合があります。ユーザー定義列挙の定義はキーワード.enumで終わるプロパティで始まり、ユーザー定義列挙の使用を記述する値が続きます。各要素定義は、列挙と同じプロパティ名に要素名が追加されたもので始まり、IDである一意の整数の値が続きます。要素の属性も同じパターンに従い、要素のプロパティ名で始まり、その後に属性名がその属性の適切な値とともに示されます。

OAAMサーバー実装のログイン画面に表示される、列挙定義資格証明の例を次に示します。

bharosa.uio.default.credentials.enum = Enum for Login Credentials
bharosa.uio.default.credentials.enum.companyid=0
bharosa.uio.default.credentials.enum.companyid.name=CompanyID
bharosa.uio.default.credentials.enum.companyid.description=Company ID
bharosa.uio.default.credentials.enum.companyid.inputname=comapanyid
bharosa.uio.default.credentials.enum.companyid.maxlength=24
bharosa.uio.default.credentials.enum.companyid.order=0
bharosa.uio.default.credentials.enum.username=1
bharosa.uio.default.credentials.enum.username.name=Username
bharosa.uio.default.credentials.enum.username.description=Username
bharosa.uio.default.credentials.enum.username.inputname=userid
bharosa.uio.default.credentials.enum.username.maxlength=18
bharosa.uio.default.credentials.enum.username.order=1

列挙の場合、変換不可のコア・プロパティをオーバーライドするには、それをoaam_custom.propertiesに設定し、ロケール固有のプロパティをclient_resource_locale.propertiesに設定してください。ユーザー定義列挙にすでに定義されている要素を無効にするには、単にfalseの値を持つenabled属性を追加します。

第XI部

コマンドライン・インタフェース

この部では、Oracle Adaptive Access Managerのコマンドライン・インタフェースを設定および使用する方法について説明します。

26 Oracle Adaptive Access Managerのコマンドライン・インタフェース・スクリプト

この章では、コマンドライン・インタフェース(CLI)に関する情報を提供します。

この章では、次の内容を説明します。

- 26.1項「CLIの概要」

- 26.2項「CLIの使用」

- 26.3項「IPロケーション・データのインポート」

26.1 CLIの概要

Oracle Adaptive Access Managerのコマンドライン・インタフェース(CLI)スクリプトでは、OAAM管理コンソールを使用しないで様々なタスクを実行できます。

Oracle Adaptive Access ManagerのCLIスクリプトは、次の目的で使用できます。

- ポリシー、グループ、条件、その他のモジュールなどのオブジェクトをグラフィカル・ユーザー・インタフェースを使用しないでインポートまたはエクスポートします。

- Oracle Adaptive Access Managerデータベースにロケーション・データをロードします。

26.2 CLIの使用

Oracle Adaptive Access ManagerのCLIは、OAAM管理コンソールではなくキーボードを使用して様々なタスクを実行できるツールです。

Oracle Adaptive Access ManagerのCLIは、次の方法で使用できます。

- ポリシー、グループ、条件、その他のモジュールなどのオブジェクトをグラフィカル・ユーザー・インタフェースを使用しないでインポートまたはエクスポートします。

- プログラムを使用して、異なる環境間でインポートおよびエクスポートを実行します(QAやステージングなど)。

- ロケーション・データをロードします。

いずれかのスクリプトを実行する前に、Oracle Adaptive Access ManagerのCLI環境を設定します。詳細は、2.3項「CLI環境の設定」を参照してください。

26.2.1 インポートまたはエクスポートのための使用状況情報の取得

インポートまたはエクスポートのためにOracle Adaptive Access Manager CLIの使用状況情報を取得するには:

1. コマンドラインで、Oracle Adaptive Access ManagerのCLI作業フォルダに移動します。

2. 引数を指定せずにrunImportExport.shスクリプトを実行します。

$ sh runImportExport.sh

26.2.2 コマンドライン・オプション

この項では、コマンドライン・オプションに関する詳細を提供します。

インポートまたはエクスポートを実行するには、コマンドを次とともに入力します。

- インポートやエクスポートなどのアクションに関する情報

- ポリシー、グループ、検証などのモジュールに関する情報

- 異なるモジュールをエクスポートまたはインポートするかどうかに関する引数

- インポートおよびエクスポート機能に関する追加のパラメータ

26.2.2.1 コマンドの構文

コマンドライン・インタフェースでは、次の構文を使用します(改行やキャリッジ・リターンなしで1行に入力します)。

sh runImportExport.sh
|-- action < import | export >
|    +-- <export>
|    +     |-- entitycmd < add | delete >
|    +     |-- exportmode < zip | file >
|    +     |-- includeelements < true | false >
|    +     |-- listelemcmd < add | delete | replace >
|    +     -- outdir < path_to_dest_dir >
|    +-- <import>
|           -- batchmode < true | false >
-- module < rules | groups | policy(models) | questions
| validations | answerHint | properties
| conditions  | questionsForTranslation | patterns
| entities    | transactions | dynamicActions
| taskGroups| snapshot>
+-- <groups>"
-- submodule < all | users | alerts | ... >
+-- <properties>"
-- name < propertyId >
-- loadType < database | properties | system >
+-- <conditions>"
-- forceUpdate < true|false >
-- adminUser < user name >
-- adminPassword < password >

26.2.2.2 CLIのパラメータ

このオプションは、26.2項「CLIの使用」で説明されています。

表26-1 CLIのパラメータ

パラメータ

説明

entitycmd

エクスポートされるモジュールのエンティティが、ファイルのインポート時にデータベースに追加されるかデータベースから削除されるかを示します。デフォルトはaddです。

exportmode

エクスポートの結果がZIPファイルかXMLファイルかを示します。デフォルトはZIPです。

includeelements

グループ要素をエクスポートに含める必要があるかどうかを示します。デフォルトはtrueです。これは、グループのエクスポートのみに適用されます。

listelemcmd

このファイルがインポートされるときに、データベースでグループ要素が追加されるか、削除されるか、置換されるかを示します。デフォルトはaddです。これは、グループのエクスポートのみに適用されます。

outdir

エクスポート結果のファイルが保存される出力フォルダ。デフォルト値は現在のフォルダです。

batchmode

リスト項目がバッチでインポートされるときのデータベース・コミットを制御します。バッチがその制限に達したときに、オブジェクトはデータベースに挿入されます。batchmodeがtrueの場合、データベース更新もコミットされます。デフォルトでは、batchmodeはfalseに設定されています。

submodule

エクスポートに含める必要があるグループのタイプを指定するために使用されます。デフォルト値はallです。これは、グループのエクスポートのみに適用されます。

loadType

エクスポートする必要があるプロパティのタイプを指定するために使用されます。指定しない場合は、すべてのタイプのプロパティが含まれます。これは、プロパティのエクスポートのみに適用されます。

26.2.2.3 インポートおよびエクスポートのサポートされているモジュール

表26-2に、Oracle Adaptive Access Manager 11gのサポートされているモジュールのリストが示されています。

表26-2 サポート・モジュール

モジュール

エンティティ名

グループ

グループ

ポリシー

モデル

質問

質問

検証

検証

回答のヒント

answerHint

プロパティ

プロパティ

条件

条件

変換の質問

questionsForTranslation

パターン

パターン

エンティティ

エンティティ

トランザクション

トランザクション

構成可能なアクション

dynamicActions

スケジューラ・タスク・グループ

taskGroups

スナップショット

スナップショット

10gのポリシー・セットおよびポリシー・モジュールは、11gでは有効ではなくなりました。

10gと11gにおけるCLIのインポート/エクスポートの違いは、モジュールmodelsとpoliciesが同じ意味を持つことです(-module policyはmodule modelsと同じです)。

26.2.2.4 ファイルのインポート

インポート・オプションの例は次のとおりです。

ファイルからのインポート

ファイルからインポートするには、次のコマンドを発行します。

$ sh runImportExport -action import -module properties
exportData\properties\properties_zip_file

ZIPファイルのコンテンツのインポート

ZIPファイルのコンテンツをインポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action import -module supported_module filename

次に例を示します。

チャレンジ質問をアップロードするには、次のコマンドを発行します。

$ sh runImportExport.sh -action import -module questions filename

条件をインポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action import -module conditions filename

ポリシーをインポートするには、次のコマンドを実行します。

$ sh runImportExport.sh -action import -module models filename

グループをインポートするには、次のコマンドを実行します。

$ sh runImportExport.sh -action import -module groups filename

スナップショットのインポート

注意:

スナップショットのインポートによってシステムの現在の構成が変更されます。インポートを実行する前に、データがバックアップされていることを確認してください。

バックアップのオプションは次のとおりです。

- 構成データをデータベースまたはファイルにバックアップします。ファイルの場合は、CLIまたはUniversal Risk Snapshot機能を使用してエクスポートを実行します。Universal Risk Snapshot機能の使用の詳細は、第14章「システム・スナップショットの管理」を参照してください。

- インポートを実行する前に、CLIを使用してスナップショットをエクスポートします。

runImportExport.sh -action import -module snapshot path_to_valid_snapshot_zip_file

runImportExport.sh -action import -module snapshot IDM_ORACLE_HOME/oaam/init/
oaam_base_snapshot.zip

XMLファイルのユーザーのグループのインポート

XMLファイルのユーザーのグループをインポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action import -module groups abc.xml

複数のZIPファイルからの複数のポリシーのインポート

複数のXMLファイルの複数のポリシーをインポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action import
-module models ManyModels.zip OneModel.zip

複数のZIPファイルからの複数の質問のインポート

複数のZIPファイルから複数の質問をインポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action import
-module questions ManyQuestions.zip OneQuestions.zip

複数のZIPファイルからの複数の検証のインポート

複数のZIPファイルから複数の検証をインポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action import
-module validations ManyValidations.zip OneValidations.zip

注意:

不適切なオプションは警告なしで無視され(たとえば、outdirオプションがインポートに使用された場合)、優先度の低いオプションはオーバーライドされます(たとえば、includeelementsがfalseである場合、listelemcmdは無関係です)。

26.2.2.5 ファイルのエクスポート

次に、エクスポート・オプションの例を示します。

プロパティのエクスポート

loadtypeに関係なくすべてのプロパティをエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export -module properties

任意の特定のloadtypeのプロパティをすべてエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export -module properties -loadtype
<database | properties | system>

たとえば、loadtypeがデータベースであるすべてのプロパティをエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export -module properties -loadtype database

任意の単一のプロパティをエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export -module properties -name propertyname

すべてのエクスポート

エクスポートを実行する場合、エンティティ名を指定しないと、その特定のモジュール(およびサブモジュール)のすべてのエンティティがエクスポートされます。このため、エクスポートでは名前を指定する必要はありません。

特定のモジュールのすべてのエンティティをエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export -module module_entity_name

スナップショットのエクスポート

スナップショットのエクスポートの例を次に示します。

runImportExport.sh -action export -module snapshot
-snapshotname "name of snapshot" -description "snapshot description"

runImportExport.sh -action export -module snapshot
-snapshotname "OAAM Snapshot" -description "OAAM snapshot description"

-snapshotname、-descriptionはオプションです。snapshotnameを指定した場合、エクスポートされるZIPファイルの名前は-snapshotname.zipで指定した値になります。snapshotnameを指定しなかった場合は、snapshot_unique_valueなど、一意の名前が生成されます。

エクスポートされるZIPファイルには、次の内容で構成されたsnapshot.propertiesファイルも1つ含まれます。

プロパティ

説明

serverIP

CLIが実行されるサーバーのIPです。

ユーザー

オペレーティング・システムのユーザー名

name

-snapshotnameでスナップショット名を指定した場合はその名前、指定しなかった場合はシステムで生成された一意の名前です。

description

-descriptionでスナップショットの説明を指定した場合はその説明、指定しなかった場合はシステムで生成された一意の名前です。

serverName

CLIが実行されたホスト名です。

すべてのポリシーのエクスポート

すべてのポリシーをエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export -module models

すべてのユーザー・グループのエクスポート

グループをエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export -module groups -submodule users

すべての質問のエクスポート

質問をエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export -module questions

それらの質問を完全なものにするために、CLIではすべての関連するカテゴリ、検証およびロケール情報がエクスポートされます。

すべての検証のエクスポート

すべての検証をエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export -module validations

条件のエクスポート

条件をエクスポートするには、次のコマンドを発行します。

$ sh runImportExport -action export -module conditions

削除スクリプトを含む条件のエクスポート

削除スクリプトを含む条件をエクスポートするには、次のコマンドを発行します。

$ sh runImportExport -action export -module conditions -entitycmd delete

要素を含めない特定のグループ(Grp1およびGrp2)の削除対象としてのエクスポート

要素を含めずに特定のグループをエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export
-module groups -includeelements false -entitycmd delete Grp1 Grp2

entitycmdは、エクスポートされるモジュールのエンティティが、ファイルのインポート時にデータベースに追加されるかデータベースから削除されるかを示します。

この例では、このエクスポート・コマンドの結果のファイルがインポートされると、グループGrp1およびGrp2はデータベースから削除されます。

リスト・コマンドreplaceを使用したグループのエクスポート

リスト・コマンドreplaceを使用してグループをエクスポートするには、次のコマンドを発行します:

$ sh runImportExport.sh -action export -module groups -listelemcmd replace G1 G2

グループG1およびG2のグループ要素は、このエクスポート・コマンドの結果のファイルのインポート時にZIPファイル内の要素によって置換されます。たとえば、グループG1は要素e1とe2がデータベース内にあり、ZIPファイルに要素e2とe3がある場合、インポートの実行後、グループG1の要素はe2とe3になります。ただし、listelemcmdの値がaddであった場合は、インポート後、G1の要素はe1、e2およびe3になります。指定された値がdeleteであった場合は、インポート後、e2は削除されるためグループG1の要素はe1のみになります。

DESTDIRにポリシーをエクスポートするが、ZIPファイルは作成しない

DESTDIRにポリシーをエクスポートするが、ZIPファイルは作成しない場合は、次のコマンドを発行します:

$ sh runImportExport.sh -action export -outdir DESTDIR -exportmode file
-module groups Group1 Group2

exportmodeがfileの場合、データは1つ以上のXMLファイルとしてエクスポートされます。

注意:

コマンドは、依存データを含むポリシーや質問などのモジュールに対しては機能しません。エラーが発生し、ZIPストリームが予期されるというメッセージが表示されます。

26.2.2.6 インポート・オプション

batchmodeオプションは、リスト項目がバッチでインポートされるときのデータベース・コミットを制御します。バッチがその制限に達したときに、オブジェクトはデータベースに挿入されます。batchmodeがtrueの場合、データベース更新もコミットされます。デフォルトでは、batchmodeはfalseに設定されています。

batchmode {true | false}

注意:

batchmodeは他のモジュールと組み合せて使用しないでください。リストのみとともに使用する必要があります。

次に、batchmodeの使用例を示します。

バッチ・モードでのグループのインポート

バッチ・モードでグループをインポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action import -module groups -batchmode true

26.2.2.7 同じトランザクションでの、複数タイプのエンティティのインポート

前述の例は、処理されるエンティティが同じタイプであるシナリオのみを対象としています。異なるタイプのモジュールを同時に処理できるようにするには、複数のモジュールをサポートするようにコマンドラインを変更する必要があります。1つのコマンドに指定したすべてのエンティティは単一のトランザクションで処理されるため、関連するエンティティのセットを同時に使用して、「すべてまたはなし」というアプローチを適用できます。

次に、複数のモジュールを同時にインポートする例を示します。

様々なモジュールの同時インポート

様々なモジュールを同時にインポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action import
-module groups 5grps.zip
-module models model1.zip

注意:

アクション・パラメータは繰り返しませんが、-moduleパラメータからのコマンドのみ、インポートされる異なるアイテムの数だけ繰り返します。コマンドラインでアイテムを指定した順序は、エンティティのタイプと各エンティティのファイルの両方で保持されます。

26.2.2.8 複数のモジュールおよび追加のオプション(共通と固有)

複数のモジュールをサポートすることによって、数多くの質問が発生します。

- 追加のオプションにはどのようなものがあるか。

- すべてのモジュールに共通のオプションを指定するにはどうするか。

- 共通のオプションとして定義されているオプションに、特定のモジュールの固有の指定を行うにはどうするか。

次の点に注意してください。

- インポートまたはエクスポート・コマンドを作成するときには、-moduleは新しいオプションのセットの先頭とみなされることに注意してください。-moduleの後に続くすべての内容が、1つのオプションのセットとなります。

- 最初の-moduleオプションの前に指定するすべての内容は、共通オプションのセットとみなされ、各-moduleに適用されます。

- 特定のオプションが、共通オプションとして指定され、かつ、モジュール固有のオプションとしても指定された場合、固有の値が優先されます。

次に例を示します。

allディレクトリにすべてエクスポートするが、ポリシーはpoliciesディレクトリにエクスポートする場合

allディレクトリにすべてエクスポートするが、ポリシーはpoliciesディレクトリにエクスポートする場合は、次のコマンドを実行します。

$ sh runImportExport.sh
-action export -outdir all
-module models -outdir models
-module groups

グループG1とG2の削除アイテムとしてのエクスポートおよびG3とG4の置換アイテムとしてのエクスポート

グループG1とG2を削除アイテムとしてエクスポートし、G3とG4を置換アイテムとしてエクスポートするには、次のコマンドを発行します。

$ sh runImportExport.sh -action export
-module groups -listelemcmd delete G1 G2
-module groups -listelemcmd replace G3 G4

26.2.2.9 トランザクション処理

トランザクション処理はインポートおよびエクスポートとは異なります。

インポートは、リストをインポートするためにバッチ・モードを使用する場合を除いて、厳密に1つのトランザクションで処理されます。いずれかのモジュールのエンティティのインポートでエラーが発生した場合は、プロセス全体がロールバックされます。このため、データベースの更新はコミットされません。インポートは厳密に1つのトランザクションで実行されますが、リスト内に無効なアイテムがあっても(たとえば、正しくない都道府県や国を含む市区町村のインポートなど)停止しません。警告メッセージが記録され、インポート・プロセスはそのようなアイテムを無視して続行します。

エクスポートはベスト・エフォート原則に基づいて処理されます。いずれかのエンティティのエクスポートが失敗した場合、次のエンティティの処理が続行されます。これは、エクスポートではデータベースの更新が実行されないためです。データベースからの情報の選択とファイルへの情報の挿入のみが行われます。

26.2.2.10 ロケーション・データベースのアップロード

IPロケーション・ローダー・ユーティリティを使用するには、26.3項「IPロケーション・データのインポート」の設定手順を実行します。

26.2.3 グローバリゼーション

OAAM CLIはグローバル化されていません。

26.3 IPロケーション・データのインポート

地理的位置は、データを使用してネットワーク接続対応デバイスの位置を確認するテクノロジです。OAAMでは、指定されたIPアドレスに関連付けられたリスクへのアクセス、および動作に関するプロファイリングに、IP地理的位置データを使用します。このIPロケーション・データと更新は、サード・パーティ・プロバイダから取得されます。これらの機能を有効化するには、OAAMデータベースにデータをロードする必要があります。標準のOAAM地理的位置データ・ローダーでは、QuovaとMaxMindの両方のデータがサポートされています。

他のプロバイダのデータには、カスタム・データ・ローダーが必要となる場合があります。IPロケーション・データは、データ・プロバイダのガイドラインに従って定期的に更新する必要があります。通常、データは少なくとも1か月に1回更新されます。自動ジョブを実装し、サード・パーティ・サービス・プロバイダから新しいデータを定期的にダウンロードしてOAAMにロードすることをお薦めします。

この項では、Oracle Adaptive Access ManagerデータベースにIPロケーション・データをインポートする方法について説明します。

注意: ロケーション・データのロード・プロセスはオフライン・プロセスです。これは、ロケーション・データの更新(通常は、プロバイダに応じて1か月に1回か2回)があるときに実行する必要があります。データベースはリアルタイム・プロセスとオフライン・プロセス間の唯一の共有コンポーネントであるため、リアルタイムの処理はロケーション・データのロード・プロセスによって直接影響を受けません。

この項の内容は次のとおりです。

- Oracle Adaptive Access Managerデータベースへのロケーション・データのロード

- システム動作

- Quova/Neustarのファイル・レイアウト

- Oracle Adaptive Access Managerの表

- ロードが成功したときの確認

26.3.1 Oracle Adaptive Access Managerデータベースへのロケーション・データのロード

いずれかのスクリプトを実行する前に、Oracle Adaptive Access ManagerのCLI環境を設定します。詳細は、2.3項「CLI環境の設定」を参照してください。

26.3.1.1 SQL Serverデータベースの設定

Microsoft SQL Serverデータベースにデータをロードするには、sqljdbc.jarをサード・パーティ・ディレクトリにコピーする必要があります。このファイルはMicrosoftからダウンロードできます。

26.3.1.2 IPロケーション・ローダー・プロパティの設定

1. ORACLE_MW_HOME/IAM_HOME/oaam/cliディレクトリに移動し、サンプルbharosa_location.propertiesファイルのコピーを作成します。

cp sample.bharosa_location.properties bharosa_location.properties

2. 次の例のように、ロケーション・データの詳細でbharosa_location.propertiesを更新します。ロケーション・データは、MaxMindやQuova/Neustarなどのサポートされているサード・パーティ・サービス・プロバイダから取得する必要があります。

一般的に、「拡張」とマークされているプロパティは変更できません。

表26-3 IPローダー・プロパティ

IPローダー・プロパティ

説明

location.data.provider

quovaまたはmaxmind

location.data.file

/tmp/quova/EDITION_Gold_2008-07-22_v374.dat.gz

location.data.ref.file

/tmp/quova/EDITION_Gold_2008-07-22_v374.ref.gz

location.data.anonymizer.file

/tmp/quova/anonymizers_2008-07-09.dat.gz

location.data.location.file

maxmindロケーション・データをロードする場合のみ(それ以外の場合、このプロパティは未設定/空白のままにします)

location.data.blocks.file

maxmindロケーション・データをロードする場合のみ(それ以外の場合、このプロパティは未設定/空白のままにします)

location.data.country.code.file

maxmindロケーション・データをロードする場合のみ(それ以外の場合、このプロパティは未設定/空白のままにします)

location.data.sub.country.code.file

maxmindロケーション・データをロードする場合のみ(それ以外の場合、このプロパティは未設定/空白のままにします)

location.loader.database.pool.size

データベースを更新するために使用するスレッドの数

location.loader.dbqueue.maxsize

拡張: データベース・スレッドのキューに保持するロケーション・レコードの最大数

location.loader.cache.location.maxcount

拡張: 既存のロケーション・データの更新中にキャッシュに保持するロケーション・レコードの最大数

location.loader.cache.split.maxcount

拡張: 既存のロケーション・データの更新中にキャッシュに保持するロケーション分割レコードの最大数

location.loader.cache.anonymizer.maxcount

拡張: 既存のロケーション・データの更新中にキャッシュに保持するアノニマイザ・レコードの最大数

location.loader.database.commit.batch.size

データベース・コミットを発行する前にバッチ処理するロケーション・レコードの最大数

location.loader.database.commit.batch.seconds

コミットされていないバッチを保持する最大時間

location.loader.cache.isp.maxcount

キャッシュに保持するISPレコードの最大数

26.3.1.3 MaxMind IPデータのロードの設定

IPロケーション・ローダーを実行する前に、次のコマンドを使用してMaxMindのBlocks.csvファイルを前処理する必要があります。

$ mv Blocks.csv Blocks-original.csv
$ sed -e 's/\"//g' Blocks-original.csv | sort -n -t, -k1,1 -o Blocks.csv

26.3.1.4 暗号化の設定

暗号化の設定の詳細は、第2章「OAAM環境の設定」を参照してください。

26.3.1.5 ロケーション・データのロード

前述の設定を完了した後、次のコマンドを実行してOracle Adaptive Access Managerデータベースにロケーション・データをロードします。

1. JAVA_HOME環境変数をJDKのロケーションを指すように設定します。
JAVA_HOME環境変数が、Identity Management Suite for 11gで認証されているJDKに設定されていることを確認します。

2. loadIPLocationDataスクリプトを実行します。
bash shellから、loadIPLocationData.shを実行します。

Windowsコマンド・プロンプトから、loadIPLocationData.cmdを実行します。

このコマンドでは、データのロードが正常に実行された場合は0が返され、失敗した場合は1が返されます。

IP地理的位置データは、プロバイダのガイドラインに従って定期的に更新する必要があります。通常、少なくとも1か月に1回です。プロバイダからデータを定期的にダウンロードしてOAAMにロードする自動ジョブをITスタッフが実装することをお薦めします。

26.3.2 システム動作

IPロケーション・ローダー・ユーティリティは、Oracle Adaptive Access ManagerシステムのIPロケーション表に移入する情報を(Quova/NeustarまたはMaxMindの) IPロケーション・データファイルから読み込みます。

IPロケーション・ローダー・ユーティリティは、Oracle Adaptive Access ManagerシステムのIPロケーション表に移入する情報を(Quova/NeustarまたはMaxMindの) IPロケーション・データファイルから読み込みます。ユーティリティは、新しいデータベースに対して初めて実行されたときに、データファイル内のレコードごとに1行以上をvcrypt_ip_location_mapに追加します。また、データファイル内の一意の国名ごとにvcrypt_countryに新しいレコードを作成し、データファイル内の国名と都道府県名の一意の組合せごとにvcrypt_stateに新しいレコードを作成し、データファイル内の国名、都道府県名および市区町村名の一意の組合せごとにvcrypt_cityに新しいレコードを作成します。

IPロケーション・ローダーは、新しいデータファイルを使用して、すでに移入済のデータベースに対して実行されると、データファイル内の一致がある(vcrypt_ip_location_map表に同じレコードがある)レコードをスキップします。これは、データベースにFROM_IP_ADDRがまだ存在しないデータファイル内のレコードごとに、vcrypt_ip_location_mapに新しい行を作成します。これは、FROM_IP_ADDRがデータファイル内のレコードと一致するが、他の列に異なるデータがあるvcrypt_ip_location_mapの行を更新します。また、ローダーは、データベースにまだ存在しない新しい国、都道府県および市区町村も作成します。

注意:

Neustar/QuovaおよびMaxMindデータは、OAAMローダー(標準)なしでロードできます。

26.3.3 Quova/Neustarのファイル・レイアウト

Quova/Neustarデータファイルは、各行に29フィールド、行ごとに1レコードが含まれているパイプ区切り(|)のファイルです。これらの表の情報は、Quova/NeustarのGeoPoint Data Glossaryから取得されます。次の表で、IPはvcrypt_ip_location_map表、COはvcrypt_country表、STはvcrypt_state表、CIはvcrypt_city表をそれぞれ表します。

ファイル・レイアウトは次のとおりです。

表26-4 Quova/Neustarのファイル・レイアウト

Quova/Neustarのフィールド

Oracle Adaptive Access Managerのフィールド

説明

Start IP

IP.from_ip_addr

IP範囲の先頭であり、vcrypt_ip_location_map表で代替主キーとしても使用されます。

End IP

IP.to_ip_addr

IP範囲の終わり。

CIDR

(使用されていません)

Continent

(使用されていません)

国

CO.country_name

国名。

Country ISO2

(使用されていません)

Region

(使用されていません)

都道府県

ST.state_name

都道府県名。

市区町村

CI.city_name

市区町村名。

Postal code

(使用されていません)

Time zone

(使用されていません)

Latitude

CI.latitude

IPアドレスの緯度。正の値は北、負の値は南を表します。

Longitude

CI.longitude

IPアドレスの緯度。正の値は東、負の値は西を表します。

Phone number prefix

(使用されていません)

AOL Flag

IP.isp_idにマップされます。

IPアドレスがAOL IPアドレスかどうかを示します。

DMA

(使用されていません)

MSA

(使用されていません)

PMSA

(使用されていません)

Country CF

IP.country_cf

正しい国が識別されていることの信頼度係数(1-99)。

State CF

IP.state_cf

正しい都道府県が識別されていることの信頼度係数(1-99)。

City CF

IP.city_cf

正しい市区町村が識別されていることの信頼度係数(1-99)。

Connection type

IP.connection_typeにマップされます。

デバイスまたはLANとインターネット間のデータ接続を示します。「接続タイプ・マッピング」を参照してください。

IP routing type

IP.routing_typeにマップされます。

ユーザーがインターネットにルーティングされる方法を示します。「IPルーティング・タイプ・マッピング」を参照してください。

Line speed

IP.connection_speedにマップされます。

接続スピードを示します。接続タイプによって異なります。「接続スピード・マッピング」を参照してください。

ASN

IP.asn

単一のエンティティによって管理されるネットワークまたはネットワークのグループに割り当てられたグローバルに一意の番号。

Carrier

IP.carrier

ASNエンティティを管理するエンティティの名前。

Second-level Domain

IP.sec_level_domainにマップされます。

URLの第2レベルのドメイン。たとえば、www.example.comの名前。Quova/Neustar参照ファイルを介してマップされます。

Top-level Domain

IP.top_level_domainにマップされます。

URLの最上位レベルのドメイン。たとえば、www.company.comのcom。Quova/Neustar参照ファイルを介してマップされます。

Registering Organization

(使用されていません)

26.3.3.1 ルーティング・タイプ・マッピング

表26-5には、ルーティング・タイプ・マッピングの表が示されています。

表26-5 ルーティング・タイプ・マッピング

ルーティング・タイプ

Oracle Adaptive Access Manager ID

説明

固定

1

ユーザーIPはユーザーと同じロケーションにあります。

アノニマイザ

2

ユーザーIPは、アノニマイザ・アクティビティに対してテストで肯定的となったネットワーク・ブロック内にあります。

AOL

3

ユーザーはAOLサービスのメンバーであり、ほとんどの場合ユーザーの国は特定できますが、国よりも詳細な地域情報は特定できません。

AOL POP

4

ユーザーはAOLサービスのメンバーであり、ほとんどの場合ユーザーの国は特定できますが、国よりも詳細な地域情報は特定できません。

AOLダイアルアップ

5

ユーザーはAOLサービスのメンバーであり、ほとんどの場合ユーザーの国は特定できますが、国よりも詳細な地域情報は特定できません。

AOLプロキシ

6

ユーザーはAOLサービスのメンバーであり、ほとんどの場合ユーザーの国は特定できますが、国よりも詳細な地域情報は特定できません。

POP

7

ユーザーは地域のISPにダイアルしており、IPロケーションの近くにいる可能性が高くなります。ユーザーは地理的境界をまたいでダイアルしている可能性があります。

スーパーPOP

8

ユーザーは複数の都道府県または複数国のISPにダイアルしており、IPロケーションの近くにいない可能性が高くなります。ユーザーは地理的境界をまたいでダイアルしている可能性があります。

衛星

9

ユーザーは民生衛星を介してインターネットに接続しているか、または地上接続に関する情報を入手できないバックボーン衛星プロバイダを使用してインターネットに接続しています。

キャッシュ・プロキシ

10

ユーザーは、インターネット・アクセラレータまたはコンテンツ配信サービスを介してプロキシされます。

国際プロキシ

11

複数の国からのトラフィックを含むプロキシ。

地域プロキシ

12

1つの国の複数の都道府県からのトラフィックを含むプロキシ(アノニマイザではなく)。

モバイル・ゲートウェイ

13

モバイル・デバイスを一般のインターネットに接続するゲートウェイ。たとえば、WAPは携帯電話のプロバイダによって使用されるゲートウェイです。

なし

14

ルーティング方法は不明であるか、前述の説明で特定できません。

不明

99

ルーティング方法は不明であるか、前述の説明で特定できません。

26.3.3.2 接続タイプ・マッピング

表26-6には、接続タイプ・マッピングが示されています。

表26-6 接続タイプ・マッピング

接続タイプ

Oracle Adaptive Access Manager ID

説明

OCX

1

主に大規模なバックボーン・キャリアによって使用される、OC-3回線、OC-48回線などを表します。

TX

2

数多くの中小企業で現在も使用されているT-3回線とT-1回線が含まれます。

衛星

3

民生衛星と地球同期衛星または低軌道衛星の間の高速リンクまたはブロードバンド・リンクを表します。

フレーム・リレー

4

フレーム・リレー回線は低速から高速までの幅があり、T-1のバックアップまたは代替として使用されます。ほとんどの場合は高速リンクであり、GeoPointではそのように分類されます。

DSL

5

aDSL、iDSL、sDSLなどを含むデジタル・サブスクライバ・ライン・ブロードバンド回線。通常、速度は256kから20MB/秒の範囲です。

ケーブル

6

ケーブル・テレビの会社によって提供されるケーブル・モデム・ブロードバンド回線。速度は128k/秒から36MB/秒の範囲であり、提供されるケーブル・モデム・スイッチに設定されたロードによって異なります。

ISDN

7

デジタル総合サービス網高速銅線テクノロジ(128K/秒の速度をサポートし、1MB/秒以上の速度を提供するISDNモデムおよびスイッチを使用)。主要な電気通信会社によって提供されます。

ダイアルアップ

8

このカテゴリはコンシューマ・ダイアルアップ・モデム・スペースを表し、56k/秒で動作します。プロバイダにはEarthlink、AOL、Netzeroなどがあります。

固定無線

9

受信機の位置が固定されている固定無線接続を表します。カテゴリには、Sprint Broadband DirectなどのWDSLプロバイダおよび新しいWiMaxプロバイダが含まれます。

モバイル無線

10

CDMA、EDGE、EV-DOテクノロジを採用しているCingular、Sprint、Verizon Wirelessなどのセルラー・ネットワーク・プロバイダを表します。速度は19.2k/秒から3MB/秒の範囲です。

民生衛星

11

不明/高

12

GeoPointで接続タイプを取得できなかったか、接続タイプを前述の説明で特定できません。

不明/中

13

GeoPointで接続タイプを取得できなかったか、接続タイプを前述の説明で特定できません。

不明/低

14

GeoPointで接続タイプを取得できなかったか、接続タイプを前述の説明で特定できません。

不明

99

GeoPointで接続タイプを取得できなかったか、接続タイプを前述の説明で特定できません。

26.3.3.3 接続スピード・マッピング

表26-7には、接続スピード・マッピングが示されています。

表26-7 接続スピード・マッピング

接続スピード

Oracle Adaptive Access Manager ID

説明

高

1

OCX、TXおよびフレーム・リレー。

中

2

衛星、DSL、ケーブル、固定無線およびISDN。

低

3

ダイアルアップおよびモバイル無線。

不明

99

Quova/Neustarは回線スピード情報を取得できませんでした。

26.3.4 Oracle Adaptive Access Managerの表

この項には、ETLプロセスで使用される表が含まれます。

26.3.4.1 アノニマイザ

アノニマイザ・データをアップロードするために次の表および順序が使用されます。ETLプロセスにこれらの表の読取りおよび更新を行うための十分な権限があることを確認してください。

表26-8 アノニマイザ・データ

名前

表/順序

V_LONG_VALUE_ELEM_SEQ

順序

VCRYPT_LONG_VALUE_ELEMENT

表

VCRYPT_VALUE_LIST

表

V_VALUE_LIST_SEQ

順序

VCRYPT_CACHE_STATUS

表

VCRYPT_CACHE_STATUS_SEQ

順序

26.3.4.2 ロケーション・ロードの表

IPロケーション・ローダーには、次の表への読取り/書込みアクセス権が必要です。

- VCRYPT_IP_LOCATION_MAP

- V_IP_LOCATION_MAP_SEQ

- V_IP_LOC_MAP_HIST

- V_IP_LOC_MAP_HIST_SEQ

- V_IP_LOC_MAP_SPLIT

- V_IP_LOC_MAP_SPLIT_SEQ

- V_IP_LOC_MAP_SPLIT_HIST

- V_IP_LOC_MAP_SPLIT_HIST_SEQ

- VCRYPT_COUNTRY

- V_COUNTRY_SEQ

- V_COUNTRY_HIST

- V_COUNTRY_HIST_SEQ

- VCRYPT_STATE

- V_STATE_SEQ

- V_STATE_HIST

- V_STATE_HIST_SEQ

- VCRYPT_CITY

- V_CITY_SEQ

- V_CITY_HIST

- V_CITY_HIST_SEQ

- VCRYPT_ISP

- VCRYPT_ISP_SEQ

- V_ISP_HIST

- V_ISP_HIST_SEQ

- V_LOC_LOOKUP

- V_LOC_LOOKUP_SEQ

- V_LOC_UPD_SESS

- V_LOC_UPD_SESS_SEQ

- V_UPD_LOGS

- V_UPD_LOGS_SEQ

- VCRYPT_LONG_VALUE_ELEMENT

- V_LONG_VALUE_ELEM_SEQ

- VCRYPT_VALUE_LIST

- V_VALUE_LIST_SEQ

- VCRYPT_VALUE_LIST_HIST

- V_VALUE_LIST_HIST_SEQ

- VCRYPT_CACHE_STATUS

- VCRYPT_CACHE_STATUS_SEQ

- VCRYPT_TRACKER_USERNODE_LOGS

- VCRYPT_ALERT

- VR_MAX_BLOCKS_LOGS

26.3.5 ロードが成功したときの確認

ローダー・スクリプトでは、データのロードが正常に実行された場合は0が返され、失敗した場合は1が返されます。

26.3.6 IPロケーション・データに関するトラブルシューティングのヒント

データ・ファイルに空白行があると、OAAMデータ・ローダーがIPロケーション・データをロードできません。これが起こらないようにするには、IPロケーション・データ・ファイルを開き、空白行を削除して、ファイルを保存します。

第XII部

マルチテナント

このマニュアルのこの部では、Oracle Adaptive Access Managerのマルチテナントに関する概念について説明します。

次の章で構成されています。

- 第27章「CSRおよびエージェント操作のためのマルチテナント・アクセス制御」

27 CSRおよびエージェント操作のためのマルチテナント・アクセス制御

この章では、Oracle Adaptive Access Managerのマルチテナント・アクセス制御について説明します。マルチテナント・アクセス制御では、複数のテナントの管理ユーザーの操作性が様々になるように、各組織のOAAM管理コンソールへのアクセスを処理します。

この章では、次の内容を説明します。

- 27.1項「マルチテナント・アクセス制御」

- 27.2項「アプリケーションID (クライアント側)から組織ID (管理側)へのマッピング」

- 27.3項「マルチテナントのアクセス制御の設定」

- 27.4項「効果」

- 27.5項「マルチテナント・アクセス制御のユース・ケース」

- 27.6項「トラブルシューティング/FAQ」

27.1 マルチテナント・アクセス制御

マルチテナントとは、サーバーで単一のソフトウェア・インスタンスを実行して複数のクライアント組織にサービスを提供するという、ソフトウェア・アーキテクチャの原則の1つです。マルチテナント・アーキテクチャにおいては、各クライアント組織はインスタンスに対して個別にカスタマイズしたアプリケーションを使用している感覚で操作できます。

図27-1は、マルチテナント・アクセス制御のシナリオを示しています。

図27-1 マルチテナント・アクセス制御のシナリオ

アプリケーションID

これは、クライアント(ブラウザ)からのアプリケーション・リクエストです。通常、URLがアプリケーションIDにマップされ、アプリケーションIDが組織IDにマップされます。

組織ID

各ユーザーは、1つの組織IDのみに属します。これは、ユーザーが使用するテナント・アプリケーションおよびOAAMポリシーの稼働範囲を識別します。

共有インフラストラクチャ/共有アプリケーション

図27-1に示す例では、オンライン・バンキング・アプリケーション(同じサーバーの同じインスタンス)に、アプリケーションの概観がクライアントごとに異なったものになるように、データ・パーティションが含まれています。

アプリケーションの認識

各組織は、他の組織とは異なるアプリケーションになるように、オンライン・バンキング・アプリケーションをカスタマイズできます。各アプリケーションは、アプリケーションID (Bank1、Bank2、Bank3およびBank4)に対応しています。

27.2 アプリケーションID (クライアント側)から組織ID (管理側)へのマッピング

各カスタマのデータの固有性を確実にするために、アプリケーションIDを組織IDにマッピングして、OAAM管理で使用できるようにします。

クライアント・アプリケーションのアプリケーションIDが組織IDにマップされます。ユーザーは、初めてアプリケーションにアクセスしたときに組織IDに自動プロビジョニングされます。アプリケーションを組織IDにマップする方法の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のアプリケーションIDおよびユーザー・グループの決定に関する説明を参照してください。

アプリケーションIDは、OAAMサーバーでカスタマのページがパーソナライズおよびブランディングされる際に使用されます。これらは、カスタマ・アプリケーションのカスタマイズに使用する構成プロパティのセットがOAAM管理で判別される際に使用されます。ユーザー・インタフェース・ブランディングのカスタマイズの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のユーザー・インタフェース・ブランディングのカスタマイズに関する説明を参照してください。

ユーザーからは、(オンライン・バンキング)アプリケーションが複数のテナントにより共有されていることはわかりません。ユーザーは、そのアプリケーションにアクセスするとき、銀行アプリケーションの特定のURLを通過するか、組織IDを別の2つのいずれかの方法で伝達します。OAAMサーバーは、このURLを使用して適切なページを表示できます。続いて、ユーザーは、組織IDにマップされているユーザーIDを入力します。

図27-2 アプリケーションIDから組織IDへのマッピング

ただし、複数の銀行が共通のURLを共有している場合、OAAMサーバーはユーザーがどこからログインしているかを認識できないため、汎用の銀行画面を表示します。次のいずれかのシナリオに対してOAAMサーバーを構成できます。例1では、ユーザーがユーザーIDと組織IDを入力し、OAAMサーバーがその組合せに基づいて表示するページを決定します。例2では、ユーザーがユーザーIDを入力し、OAAMサーバーは組織ID参照によって表示する適切なページを判断できます。例3では、ユーザーはURLにアクセスするとすぐに適切な画面にダイレクトされます。

27.3 マルチテナントのアクセス制御の設定

マルチテナントのアクセス制御を設定するには、このセッションの手順を実行します。

27.3.1 マルチテナントのアクセス制御の設定

マルチテナントのアクセス制御を設定するには、次の手順を実行します。

1. プロパティ検索ページで、検索する名前としてbharosa.multitenant.booleanを指定します。

2. 「検索」をクリックします。

3. bharosa.multitenant.booleanプロパティの値をtrueに変更します。このプロパティが見つからない場合は、このプロパティを作成してtrueに設定します。

27.3.2 CSRに対する特定の組織へのアクセスの提供

CSR管理ユーザーに対して特定の組織へのアクセスを提供するには、CSR管理ユーザーがその組織に所属している必要があります。

どの時点においても、CSRまたはCSRマネージャは複数の組織にサービスを提供できます。割り当てられている組織のすべてのケースを表示できるようになります。

CSRが変更された場合や、組織に追加された場合、設定は現在のログインではなく次回のログイン時に有効になります。

以前のリリースから移行する場合、マルチテナント・アクセス制御はデフォルトではオフになっているため、何も変更しなくてもこれまでと同じように操作できます。マルチテナント・アクセス制御が必要な場合は、設定する必要があります。マルチテナントを設定すると、アクセス制御が適用されます。たとえば、以前のリリースでCSRが組織1に所属していた場合、アクセス制御の適用後も、CSRは組織1内のすべてのケースに引き続きアクセスできます。以前にアクセス制御を使用していない場合、CSRはすべてのケースにアクセスできます。ここで、マルチテナント・アクセス制御を設定すると、組織1からのケースのみを表示できるようになります。11gへのアップグレード前にCSRが5つの異なる組織からの5つの異なるケースを操作していた場合、それらのケースにはアクセスできなくなります。

27.3.2.1 WebLogicの使用

これを実現するには、この組織IDと完全に同じ名前の組織が存在する必要があり、その組織をCSR管理ユーザーに割り当てる必要があります。

1. WebLogicユーザーとしてWebLogic管理コンソールにログインします。
http://hostname:port/console

hostnameは管理サーバーのホスト名、portは管理サーバーがリクエストをリスニングするポートのアドレス(デフォルトでは7001)です。

2. 組織IDの名前と完全に一致するWebLogicセキュリティ・レルムを使用して、グループまたは組織を作成します。たとえば、Bank1などを使用します。
Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・ヘルプ 11gのグループの作成に関する説明を参照してください。

3. 必要に応じて、このグループまたは組織をCSRおよびCSRマネージャに割り当てます。
Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・ヘルプ 11gのグループへのユーザーの追加に関する説明を参照してください。

異なる組織間でユーザーを移動するには:

1. WebLogicユーザーとしてWebLogic管理コンソールにログインします。

http://hostname:port/console

hostnameは管理サーバーのホスト名で、portは管理サーバーがリクエストをリスニングするポートのアドレス(デフォルトは7001)です。

2. 「セキュリティ・レルム」で、「レルム名の設定」ページの「ユーザーとグループ」→「ユーザー」を選択します。

3. CSRおよびCSRマネージャからグループまたは組織を削除し、新しいグループまたは組織をCSRおよびCSRマネージャに追加することにより、グループまたは組織のユーザー・メンバーシップを変更します。
変更は、CSRおよびCSRマネージャが次にログインしたときから有効になります。

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・ヘルプ 11gのユーザーの変更に関する説明を参照してください。

27.3.2.2 Oracle Internet Directoryへのユーザーおよびグループの追加

OIDを介してユーザーおよびグループを追加する場合は、Oracle Fusion Middleware Oracle Identity Management用チュートリアルのOracle Internet Directoryへのユーザーおよびグループの追加に関する説明を参照してください。

27.3.2.3 LDAPストアへのユーザーおよびグループの追加

外部LDAPストアでユーザーおよびグループの作成を行う場合は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』を参照してください。

27.4 効果

この項では、OAAMでのマルチテナント・アクセス制御の使用環境に関するサマリーと例を提供します。マルチテナント・アクセス制御は、ケース管理データ・アクセス、組織IDに基づいたフィルタリング、およびセッション検索結果に基づいたフィルタリングにのみ適用できます。Oracle Adaptive Access Managerでは、OAAM管理コンソールのデータ管理およびセキュリティの担当者のビューを制御できません。

表27-1 CSRおよびエージェントのマルチテナント使用環境

タスク

CSRの使用環境

エージェントの使用環境

CSRケースの作成

CSRは、1つの組織IDを選択してケースを作成できます。

該当なし

エージェント・ケースの作成

該当なし

エージェントは、1つの組織IDを選択してケースを作成できます。

ケースの検索

CSRは、アクセス権を持つ組織IDを表示でき、そこから1つ(以上)の組織IDを選択できます。

エージェントは、アクセス権を持つ組織IDを表示でき、そこから1つ(以上)の組織IDを選択できます。

ケースの表示

CSRは、アクセス権を持つ組織のユーザーからのみケースを表示できます。

エージェントは、アクセス権を持つ組織のユーザーからのみケースを表示できます。エージェントがアクセス権を持つ組織IDに関連付けられたエスカレーション済ケースも、問合せ基準に一致している場合は、検索結果に含められます。

ケース詳細

CSRは、アクセス権を持つ組織に所属するユーザーに属するケースについて、ケース詳細を表示できます。CSRがアクセス権を持つ組織にユーザーが所属していない場合、そのケースは検索結果に表示されません。

エージェントは、アクセス権を持つ組織に所属するユーザーに属するケース、または自分の組織IDに関連付けられたケースについて、ケース詳細を表示できます。

ケース・アクション

CSRは、表示されたケースに対してケース・アクションを実行できます。

エージェントは、表示されたケースに対してケース・アクションを実行できます。

セッション検索および詳細ページ

CSRは、セッションの検索ページおよび詳細ページにはアクセスできません。

マルチテナント・アクセス制御が有効になっている場合、エージェントはセッション・ページまたはセッション検索からいずれの詳細ページにもナビゲートできません。マルチテナント・アクセス制御が無効になっていても、リンクが使用可能になっていれば、エージェントはセッション検索から詳細ページにアクセスできます。

セッションの検索

該当なし

エージェントは、アクセス権を持つ組織に所属するユーザーに属するセッション、およびアクセス権を持つ組織に属するセッションを検索できます。

(組織IDの割当てが変更された)ケースの検索

CSRは、org1に割り当てられています。"org1"内のユーザーに対してケースを作成しました。

一定の期間、その組織のユーザーにサービスを提供しました。

その後、org1サービスから削除された後、彼はorg2へのサービス提供を開始しました。

この後で再びログインすると、org1のケースは(自分で作成したかどうかに関係なく)表示できなくなっています。表示および操作できるのは、org2に属するケースのみです。

CSRの使用環境と同じです。

セッションのリンク

該当なし

エージェントは、アクセス権を持つ組織に属するケースにセッションをリンクできます。

また、リンクの検索セッションにおいて、エージェントはアクセス権を持つ組織のセッションのみを表示できます。

27.5 マルチテナント・アクセス制御のユース・ケース

次の各項で、マルチテナント・アクセス制御に関する一般的なユース・ケースの例について説明します。

27.5.1 CSRおよびCSRマネージャのアクセス制御

Second Bankは、コンシューマ・バンキング・アプリケーションおよびビジネス・バンキング・アプリケーションの両方を保護するために、OAAMをデプロイしました。そのCSRは、2つの異なる組織に分かれています。一方の組織はコンシューマ・バンキングのカスタマのみを取り扱い、もう一方の組織はビジネス・バンキングのカスタマのみを取り扱います。これらのCSR組織それぞれに表示されるカスタマ・データを厳密に制御する必要があります。また、すべてのカスタマのデータにアクセスする必要のある上級CSRマネージャの組織もあります。コンシューマ・バンキングのCSRには、ケースの検索、表示、作成、編集時に、コンシューマ・バンキングのカスタマに関連するデータのみが表示されます。同様に、ビジネス・バンキングのCSRには、ビジネス・バンキングのカスタマのデータのみが表示されます。どちらの側にも、OAAMでこのようなデータの事前フィルタリングが行われていることさえわかりません。CSRマネージャは、コンシューマ・バンキングのカスタマ・アクティビティとビジネス・バンキングの両方のカスタマ・アクティビティに関連するデータを表示でき、すべてのケース・フロー操作を実行できます。

アクター: CSRおよびCSRマネージャ

設定: シナリオを設定するには:

1. マルチテナント・アクセス制御を有効にします。

2. 組織IDと同じ名前を使用して、カスタマを取り扱うコンシューマ組織とビジネス組織を作成します。
一方の組織はコンシューマ・バンキングのカスタマのみを取り扱い、もう一方の組織はビジネス・バンキングのカスタマのみを取り扱います。これらのCSR組織それぞれに表示されるカスタマ・データを厳密に制御する必要があります。

3. 管理者としてCSR1、CSR2およびCSRSeniorを作成します。

4. CSR1をコンシューマ組織に、CSR2をビジネス組織に、CSRSeniorをコンシューマ組織とビジネス組織に割り当てます。
CSR管理ユーザーに対して特定の組織へのアクセスを提供するには、CSR管理ユーザーがその組織に所属している必要があります。

コンシューマ・バンキングのCSR (CSR1)には、ケースの検索、表示、作成、編集時に、コンシューマ・バンキングのカスタマに関連するデータのみが表示されます。同様に、ビジネス・バンキングのCSR (CSR2)には、ビジネス・バンキングのカスタマのデータのみが表示されます。どちらの側にも、OAAMでこのようなデータの事前フィルタリングが行われていることさえわかりません。CSRマネージャ(CSRSenior)は、コンシューマ・バンキングのカスタマ・アクティビティとビジネス・バンキングの両方のカスタマ・アクティビティに関連するデータを表示でき、すべてのケース・フロー操作を実行できます。

フロー:

1. CSRがOAAM管理コンソールを開きます。

2. CSRには、適切なユーザー・インタフェース・ビューと、そのロールに許可されているコントロールのみが表示されます。

3. CSRには、そのロール(組織ID)に許可されている適切なデータのみが表示されます。表示する権限のない組織IDに関連するユーザーまたはセッションのデータは表示されません。

4. CSRマネージャには、そのロール(組織ID)に許可されている適切なデータのみが表示されます。表示する権限のない組織IDに関連するユーザーまたはセッションのデータは表示されません。

27.5.2 エージェントのアクセス制御

Second Bankは、コンシューマ・バンキング・アプリケーションおよびビジネス・バンキング・アプリケーションの両方を保護するために、OAAMをデプロイしました。そのセキュリティ・アナリストは、2つの異なるグループに分かれています。一方のグループはコンシューマ・バンキングの問題のみを調査し、もう一方のグループはビジネス・バンキングの問題のみを調査します。これらのセキュリティ・アナリスト組織それぞれに表示されるすべてのセッション、ポリシーおよびデータを厳密に制御する必要があります。また、すべてのデータにアクセスする必要のある上級セキュリティ・アナリスト・マネージャの組織もあります。コンシューマ・バンキングのセキュリティ・アナリストには、ケースの検索、表示、作成、編集時に、コンシューマ・バンキングのカスタマに関連するデータのみが表示されます。同様に、ビジネス・バンキングのセキュリティ・アナリストには、ビジネス・バンキングのデータのみが表示されます。どちらの側にも、OAAMでこのようなデータの事前フィルタリングが行われていることさえわかりません。セキュリティ・アナリストは、コンシューマ・バンキングとビジネス・バンキングの両方のアクティビティやポリシーなどに関連するデータを表示でき、すべてのケース・フロー操作を実行できます。同様に、マネージャには、ビジネス・バンキングのケースまたはデータのみ、あるいはカスタマ・バンキングのケースまたはデータのみが表示されるように選択できるフィルタがあります。

アクター: セキュリティ・アナリストおよびCSR

フロー:

1. CSRまたはアナリストが、OAAM管理コンソールを開きます。

2. CSRまたはアナリストには、適切なユーザー・インタフェース・ビューと、そのロールに許可されているコントロールのみが表示されます。

3. CSRまたはアナリストには、そのロール(組織ID)に許可されている適切なデータのみが表示されます。表示する権限のない組織IDに関連するユーザーまたはセッションのデータは表示されません。

4. CSRまたはアナリスト・マネージャには、そのロール(組織ID)に許可されている適切なデータのみが表示されます。表示する権限のない組織IDに関連するユーザーまたはセッションのデータは表示されません。

5. CSRマネージャは、組織IDに基づいて表示されるデータをフィルタリングできます。

27.5.3 CSRケースのAPIデータのアクセス制御

Second Bankは、OAAMを既存のカスタマ・チケッティング・アプリケーションと統合することにしました。APIを使用してカスタマ・データを取得し、カスタマにかわってカスタマ・サービス・アクションを実行します。そのCSRは、2つの異なる組織に分かれています。一方の組織はコンシューマ・バンキングのカスタマのみを取り扱い、もう一方の組織はビジネス・バンキングのカスタマのみを取り扱います。これらのCSR組織それぞれに表示されるカスタマ・データを厳密に制御する必要があります。また、すべてのカスタマのデータにアクセスする必要のある上級CSRマネージャの組織もあります。APIを使用すると、統合を構成して、これらの異なる従業員グループに対する組織IDに基づいてカスタマ・データへのアクセスを制御できます。

アクター: CSR

フロー:

1. CSRがカスタム・コンソールを開きます。

2. CSRには、そのロール(組織ID)に許可されている適切なデータのみが表示されます。

27.6 トラブルシューティング/FAQ

この項では、マルチテナント・アクセス制御の設定時に発生する可能性がある問題のトラブルシューティングに関する情報を提供します。

27.6.1 マルチテナント・アクセス制御を設定したはずなのに、CSRや調査担当者がまだすべてのケースにアクセスできる

bharosa.multitenant.booleanがtrueに設定されていることを確認します。falseに設定されている場合、マルチテナント・アクセス制御は無効です。デフォルトでは、マルチテナント・アクセス制御は無効です。

マルチテナント・アクセス制御が無効になっている場合は、次のようになります。

- CSRおよび調査担当者は、ケースの作成時にすべての組織IDを表示でき、そのいずれかを選択できます。

- 「ケース」ホームページに、CSRおよび調査担当者に対してすべての組織IDが表示されます。

27.6.2 マルチテナント・アクセス制御を設定し、プロパティがtrueに設定されていることを確認したのに、CSRおよび調査担当者がすべてのケースにアクセスできる

アクセス制御を適用するには、ログアウトしてから再びログインする必要があります。プロパティを変更すると、現在のログインではなく次回のログイン時に有効になります。

27.6.3 マルチテナント・アクセス制御を設定するとセキュリティ管理者およびシステム管理者は影響を受けるか

マルチテナント・アクセス制御を有効化および無効化しても、セキュリティ管理者およびシステム管理者のロールを持つユーザーに影響はありません。マルチテナント・アクセス制御は、ケース管理にのみ適用されます。ユーザーの使用環境に影響はありません。

27.6.4 CSRおよび調査担当者は複数の組織にアクセスできるか

はい。複数の組織に割り当てることができます。

27.6.5 以前のアクセスに関係なくCSRまたは調査担当者のアクセスを特定の組織のみに制限できるか

はい。アクセス制御を適切に設定すると、CSRまたは調査担当者はその組織IDにアクセスできなくなります。その組織のケースにはアクセスできなくなります。プロパティを変更すると、現在のログインではなく次回のログイン時に有効になります。

27.6.6 CSRおよび調査担当者がケースにアクセスできない。何が問題なのか

CSRおよび調査担当者がケースにアクセスできるように、適切なロールおよび組織に割り当てられていることを確認してください。

第XIII部

トラブルシューティング

この部では、症状のトラブルシューティングに関する情報および発生する可能性がある問題のソリューションを提供します。

28 パフォーマンスに関する考慮事項およびベスト・プラクティス

パフォーマンス問題を確認するには、パフォーマンス問題が存在するという判断に至った原因を監視し、構成やパフォーマンス情報を使用する必要があります。

この章の内容は次のとおりです。

- 28.1項「パフォーマンスのトラブルシューティング」

- 28.2項「パフォーマンス監視およびトラブルシューティング・ツール」

- 28.3項「パフォーマンスのベスト・プラクティス」

28.1 パフォーマンスのトラブルシューティング

トラブルシューティング・プロセス

トラブルシューティング・プロセスは、トラブルシューティング・フローの最上位から開始します。

1. OAAMダッシュボードのパフォーマンス・セクションを使用して、ルールおよびポリシーのパフォーマンスを確認します。時間のかかるルールを究明します。

1. 「ダッシュボード」リストで「パフォーマンス」をクリックします。

2. 「データ」リストで、「ルール」または「ポリシー」データ型をクリックします。

図28-1 パフォーマンスごとのデータ型の表示

2. データベース・パフォーマンスを確認するには、Fusion Middleware Controlを使用して、SQL問合せのパフォーマンスを確認します。Fusion Middleware Controlから、パフォーマンス向上のために新しい索引の設定を薦められます。

3. 次のようなトランザクション表のサイズ(行数)を確認します。

- VCRYPT_TRACKER_NODE

- VCRYPT_TRACKER_NODE_HISTORY

- VCRYPT_TRACKER_USERNODE_LOGS

- VT_DYN_ACT_EXEC_LOG

- VT_SESSION_ACTION_MAP

- VT_USER_DEVICE_MAP

4. システム設定で自動学習を使用する場合は、次のような自動学習トランザクション表のサイズを確認します。

- VT_WF_DAYS

- VT_WF_HOURS

- VT_WF_MONTHS

- VT_WF_YEARS

- V_FPRINTS

5. 前回のアーカイブ/パージ・プロセスがいつ正常に完了したか確認します。このプロセスを設定していない場合は、設定して定期的に実行します。そうしないと、パフォーマンスが低下するおそれがあります。設定手順の詳細は、付録D「アーカイブおよびパージ手順の設定」を参照してください。

6. 前述の手順を適用しても、データベース・パフォーマンスがまだ遅い場合は、詳細分析のためにOracle Databaseから自動ワークロード・リポジトリ(AWR)レポートを生成します。

7. サーバー・ログを表示します。サーバー・ログは長時間実行されている問合せを出力します(完全なバインド変数により、500ミリ秒を超えると出力されます)。

8. 前述の手順を確認した後で、データベースにI/O問題がある場合は、データベース・マシンまたはディスクをアップグレードする必要があることもあります。

その他の確認

- 診断ログ、メモリー構成チェック、ネットワーク・ボトルネック、CPU監視を調査します。
最良のパフォーマンスを確実に得られるように、すべてのパフォーマンス領域および関連事項を確認し、ボトルネックの発生場所を特定します。データを収集し、I/Oのボトルネックを調査することにより、DBAや設計者が問題を解決するための選択肢が広がります。システムが想定どおりに動作しないときには、応答時間が長くなったり、タイムアウトが頻繁に発生することがあります。

Fusion Middleware Controlで主要なメトリックを監視することもできます。

- アプリケーション・サーバーとデータベース間の接続、jStackのスタック・トレースおよびスレッド・ダンプを確認します。

- 次のOAAMプロパティを確認します。

bharosa.db.query.performance.warning.print.stack=false
bharosa.db.query.performance.warning.threshold.ms=500 (print WARN for every call that takes more than 0.5 secs, this can be adjusted for optimal value other than this).
bharosa.db.query.performance.warning.print.stack=true

OAAM APIに対するコールが時間の経過とともに悪化する場合

OAAM APIに対するコールが時間の経過とともに悪化する場合、次のような原因が考えられますので確認してください。

- データベースが大きくなりすぎています。データベースから古いデータを定期的にアーカイブおよびパージすることで、問題を回避できます。

- サーバー・マシン上のハード・ドライブが一杯になっている可能性があります。この場合、アプリケーションの速度低下または停止につながる様々な問題が発生します。

- アプリケーション・サーバーを正常に動作させるためのバイナリが破損しています。Webコンテナのアプリケーション・ディレクトリ内に最近の変更時刻または通常と異なる変更時刻がないか確認します。

- 1秒当たりのユーザーまたはトランザクションの数が、システムが設計上処理できる数を超えています*。これを解決するには、ハードウェアを追加したり、より高度な受信接続処理を行う必要があります。
*参照用のステージング・ハードウェア/ソフトウェア環境でデプロイ前のパフォーマンス・テストを実施し、取得したメトリックを利用することにより、処理可能な最大同時セッション数および1秒当たりのセッション数を特定してください。

28.2 パフォーマンス監視およびトラブルシューティング・ツール

使用環境のパフォーマンスを監視して改善するには、使用可能なツールと各ツールの使用方法を理解しておく必要があります。

この項では、次の各ツールについて、その用途およびパフォーマンス関連のデータを収集するための使用方法を説明します。

ダッシュボード

ダッシュボードを使用すると、システムのパフォーマンスをより明確に把握できます。統計情報によって、ルール、ポリシー、チェックポイントおよびAPIの処理にかかった時間を確認できます。ルール、ポリシーおよびチェックポイントの実行にかかっている平均処理時間はどれぐらいですか。最も多くリソースを消費するアイテム(最もコストが高いおよび低いルールなど)を特定できます。今日、過去1日、過去7日間、過去30日間または過去90日間のデータを表示できます。また、ログイン回数、KBAまたはOTPのチャレンジ回数および1分当たりのトランザクション件数を表示できます。

ダッシュボードにはシステムの状態に関するデータが表示されます。これを使用して、ボトルネックの有無を判断できます。また、「セッション詳細」ページも便利なツールです。このページには、実行されたルールやポリシーの概要、および収集された詳細情報(実行時間、タイムスタンプ、実行されたルールの数、ランタイム、追加のデータなど)が表示されます。

ダッシュボードを起動するには、OAAMのナビゲーション・ツリーで「ダッシュボード」をダブルクリックします。ダッシュボードがOAAM管理コンソールの右側に表示されます。

ルール・ログ

ルール・ログのBI Publisherレポートを作成すると、サマリー情報およびパフォーマンスのボトルネックが潜在する場所の特定に役立つ情報をすばやく収集できます。

レポートによって、ルールに関する詳細情報を表示できます。「セッション詳細」ページにはルールの実行時間が表示されます。ルールで異常なほどの時間がかかる場合は、さらに分析を行います。また、各ランタイムの実行を確認します。問合せを印刷するのに何秒かかりますか。そのしきい値よりも問合せに時間がかかる場合は、その問合せを印刷します。

Javaプロファイリング

アプリケーションのCPU使用率が高く、データベースの動作速度が期待どおりではない場合、JAVAプロファイリング・ツールを使用できます。これらのツールにより、多くの時間を要するメソッド、コードおよびクラスに関するデータが提供されます。これらのツールを使用すると、実行の発生回数および実行の合計時間に関する問題を解決できます。

Oracle Fusion Middleware Control

Oracle Adaptive Access Managerのパフォーマンスおよびアクティビティの監視には、Fusion Middleware Controlを使用できます。

1. 「Identity and Access」で「OAAM」を選択して、ホームページに移動します。
ホームページで、Oracle Adaptive Access Managerのパフォーマンス概要を確認できます。

2. ホームページの左上にある「Oracle Adaptive Access Manager」メニューから「パフォーマンス・サマリー」を選択して、パフォーマンス・メトリックを表示します。

Fusion Middleware Controlを使用したステータスおよびパフォーマンスの監視の詳細は、『Oracle Fusion Middleware管理者ガイド』のOracle Fusion Middlewareの監視に関する項を参照してください。

その他の環境依存ツール

その他の環境依存ツールを使用します。

28.3 パフォーマンスのベスト・プラクティス

次の各項では、OAAMパフォーマンスのベスト・プラクティスをいくつか示します。

- ポリシーとルール

- ロギング

- データベース

- メモリー

- ネットワーク

- ハードウェア

28.3.1 ポリシーとルール

ほとんどの場合、パフォーマンスへの対応時に、ルールおよびポリシーの作成に着目する必要はありません。ただし、どのテクノロジにも言えることですが、パフォーマンスを最大化するのに役立つヒントやコツがありますので、必要に応じて利用してください。この項の考慮事項の大半は、構成に関するものです。

最初に単純な条件のルールを順序付ける

ルール条件の順序を変更すると、時間またはメモリー使用量、あるいはその両方の点でルール評価のパフォーマンスが向上します。プロパティまたは小さな変数をチェックするなど、単純なルールを構成し、評価順序の最初に実行します。自動学習(動的条件)など、複雑な条件を含むルールを構成し、単純なルールの後に実行します。ルールがtrueと評価されると、評価は停止します。たとえば、最初のルールがtrueを返した場合、2番目のルールの評価は試行されません。

ポリシーの構造および動作を検討する

処理に非常に多くの時間を要するルールを分離し、ポリシーを確認してパフォーマンス問題が存在すると思われる場所を特定します。たとえば、ポリシーに関連付けられているすべてのルールを実行する際に非常に時間がかかる場合は、ポリシーに関連付けられているルールが多すぎるか、より高負荷のルールが使用されていることが考えられます。ルールが多すぎる場合は、これらを別々のポリシーに分割することを検討します。高負荷のルールがある場合は、基礎となるSQL問合せの最適化、またはデータベースの最適化/チューニングを検討します。

条件を何度も実行するのは非効率であるため、それらの条件をネストする

結果によってアクションを実行するか、特定のユーザーにスコアを渡す、または機能が有効な場合にスコアを渡すポリシーがあります。特定のユーザーまたは有効な機能を様々なルールで確認するために、いくつもの条件が繰り返される場合は、かわりにその条件をいずれかのポリシーの決定ポイントにし、このポイントから別のフローを続行します。たとえば、条件で特定のタイプのユーザーをチェックする場合、同じ条件を何度も評価することにより同じユーザーが評価されます。条件でユーザーが携帯電話ユーザーかどうかを確認し、該当するユーザーの場合はあるアクションを実行してスコアを渡し、さらにまた、ユーザーが携帯電話ユーザーかどうかを確認して、該当するユーザーの場合は別のアクションを実行して別のスコアを渡す、といった場合です。そのように条件を評価するのではなく、ポリシーをネストする方法を検討します。ユーザーが携帯電話カスタマかどうかを確認し、該当する場合は前述のそれぞれのポリシーを実行するように評価を設定します。この方法の場合、条件が何度も実行されることはありません。

すべてのオーバーライドを評価しなくても済むようにルールを順序付ける

オーバーライドはありますか。オーバーライド(トリガー組合せ)は、ルールの結果をオーバーライドするために使用します。「トリガー組合せ」タブでは、トリガー組合せの各行は、ポリシーを提示しているルールを表します。ポリシーに一連のトリガー組合せがある場合、各行はルールに相当します。縦の列は、トリガーするまたはしないルールの組合せを表します。トリガー組合せは、列1から列2、3、4と移動しながら順に評価し、ルール・リターンが一致すると停止します。

より複雑なルールを特定し、それらのルールが先に評価されるように配置します。最初の列がTrueの場合、2番目の列は評価されません。すべてのオーバーライドが評価されずに済むようにルールを配置します。

必要なルール、パターンおよびログのみを維持する

- 必要なルールのみを維持します。使用していないルールは、無効化または削除できます。セッションが実行されるたびにルールによって問合せが追加されます。その問合せが必要でなければ、データベースで追加の問合せを実行する必要はありません。OAAMには標準のデバイス・ルールが付属しています。評価時にデバイスを使用する予定がない場合は、デバイス用のルールをすべて無効化できます。

- 必要なパターンのみを維持します。ルールでパターンを使用していない場合は、それらのパターンを無効化または削除します。操作を実行し、セッションが実行されるたびに、自動学習によって5個から10個の問合せが潜在的に実行される場合があります。データベースで問合せが実行されると、パフォーマンスに影響します。

- 必要な更新(ルール・ログなど)のみを維持します。OAAMデータベースにはルール・ログが機能として用意されています。ルール・ログはデータベースの表を更新します。調査時の分析対象としてすべてのセッションを使用する必要がない場合は、詳細ルール・ログを完全にオフにするか、必要な時間のみ(5秒間など)有効にすることができます。

デプロイメントに必要なリソース・バンドルを特定する

リソース・バンドルは、アプリケーションの国際化のために使用されるロケール固有のデータを含むプロパティ・ファイルです。

すべてのリソース・バンドルが必要かどうか、また、一部のリソース・バンドルは削除できるかどうかを検討します。デプロイメントがマルチリンガルでない場合、またはすべてのリソースおよびロケールが必要ではない場合は、一部のリソース・バンドルについて使用しないことを検討します。

軽量なアプリケーションおよびポリシー/ルール構成を使用する

軽量なアプリケーションおよびポリシー/ルールを使用します。カスタム・デプロイメントでは、ポリシー、ルールおよびアクションの追加時に、必要なリソースを検討します。

28.3.2 ロギング

ルール・ロギング

ルール・ロギングには大量のデータが含まれます。1日のログイン回数が多いユーザーの場合、ログに書き込まれるデータの行が多くなります。

実行時間がしきい値を超える場合にのみ詳細ルール・ログが作成されるようにルール・ロギングを構成できます。実行時間の長いルール(ランタイム)に関する詳細がロギングされるため、詳細ロギングのオーバーヘッドはかなり大きくなります。詳細ロギングが行われる前に必要な最小時間を設定する場合は、次のプロパティを設定する必要があります。

vcrypt.tracker.rulelog.detailed.minMillis=time

ロギング

Oracle Adaptive Access Manager 11gコンポーネントでは、ロギング・インフラストラクチャの一部としてjava.util.loggingパッケージを使用します。このパッケージは、すべてのJava環境で使用できます。OAAMロガーは、エラーを報告したりOAAMの追加情報を提供するロギング・メッセージを生成します。

どの程度のロギングが必要ですか。ログ・レベルは、どのメッセージをログに書き込むかを定義するために使用されます。ログの出力量を減らすことによりパフォーマンスが向上します。

ロギング構成にアクセスするには:

1. 管理者としてFusion Middleware Controlにログインします。

2. 「WebLogicドメイン」でoaam_server_server1をクリックします。

3. 「WebLogic Server」タブ、「ログ」を展開し、「ログ構成」を選択します。

4. 「ログ・レベル」をクリックし、「ルート・ロガー」→「oracle」を展開して「oracle.oaam」を選択します。

5. ログ・レベルを必要なレベルに設定します。

デバッグおよびトレース

デバッグとトレースを有効にするには、次の手順を実行します。

1. Oracle WebLogic Scripting Tool (WLST)の環境を設定します。

2. 次を入力して、IAM_ORACLE_HOME/common/binディレクトリに移動します。

cd IAM_ORACLE_HOME/common/bin

3. 次のコマンドを実行して、WLSTシェル環境に入ります。

./wlst.sh

4. Connectと入力し、WebLogic管理サーバーに接続します。

5. ユーザー名を入力します。たとえば、admin_usernameなどです。

6. パスワードを入力します。たとえば、admin_passwordなどです。

7. t3://hostname:portを入力します。
次に例を示します。

t3://AdminHostname:7001

8. domainRuntime()を入力します。

wls:/iam_domain/domainRuntime> setLogLevel(logger="oracle.oam",level="TRACE:32", persist="0", target="oam_server1")
wls:/iam_domain/domainRuntime>  listLoggers(pattern="oracle.oam.*",target="oam_server1")

28.3.3 データベース

データベース・アクティビティの量

データベース・アクティビティの量は、いくつかの要因によって決まります。

- ユーザー、デバイス、ブラウザが新規か、または既存か

- 自動学習を使用する場合、パターンの数

- 定義されているポリシーとルールの数、およびチェックポイントの数

プロパティbharosa.db.query.performance.warning.threshold.msがゼロに設定されている場合、OAAMではすべてのSQLを出力します。

このプロパティを設定し、通常のログインを試行した後で、ログ・メッセージから文字列ms execution forまたはSQLCallをgrepしてください。

これにより、データベースの標準的なログイン・アクティビティを見積もることができます。

使用領域を判別するためのデータベース問合せ

次の問合せを使用すると、表内の行の平均サイズを判別できます。

.
select table_name,
avg_row_len
from   user_tables
.

次の問合せを使用すると、表の索引のサイズを判別できます。

.
select inds.table_name,
inds.index_name,
sum( inds.sizes ) as index_bytes_per_row
from   (
select i.index_name,
i.table_name,
i.column_name,
decode(data_type, 'DATE'    , 7,
'CHAR'    , data_length,
'VARCHAR2', decode(
sign(data_length)-250, -1, .7*data_length+3, .7*data_length+1),
'NUMBER'  ,
floor(nvl(data_precision,38)/2)+2 ) as sizes
from   user_ind_columns i,
user_tab_columns t
where  t.TABLE_NAME = i.table_name AND
t.COLUMN_NAME = i.COLUMN_NAME
order by i.table_name, i.column_name
) inds
group by inds.table_name, inds.index_name;

データベースのチューニング・プラクティス

OAAMには、パフォーマンス・テストに基づいて作成された標準の索引があります。

- ほとんどのデプロイメントではこれらの標準の索引で間に合いますが、パフォーマンス・テスト後にデータベース管理者が必要であると判断した場合は、別の索引を追加することもあります。ただし、トランザクションのユース・ケースが関連する場合を除き、このようなことはまれです。

- 挿入と更新が効率的に行われるように、データベース管理者が、データベース・サーバー・パラメータを調整してI/Oをチューニングすることもあります。

- データベース管理者は、データベース・サーバーが安定するまで本番環境を監視する必要があります。

Oracleのパーティション化オプション

パーティション化は、Oracle Database 11g Enterprise Editionの標準の機能を拡張するオプションの1つです。

- 1日のログインまたはトランザクションが100Kを超えるようなデプロイメントに対しては、パーティション化を利用することをお薦めします。Oracle Fusion Middleware Repository Creation Utility (RCU)の実行中は、パーティション化されたスキームが使用されます。

- 500GB以上のデータベースでは、パーティション化を使用する必要があります。

OAAMデータベース索引の競合 - Oracle Real Application Cluster (Oracle RAC)固有

高い索引競合が発生した場合、次の索引をパーティション化します。

- PK_VT_TRX_LOGS

- PK_VT_ENT_TRX_MAP

- VT_TRX_LOGS_IDX3

- VT_WF_MONTHS_IDX1

- PK_VT_TRX_DATA

- VCRYPT_TRACKER_UN_LOGS_T2

- VT_WF_YEARS_IDX0

- VT_WF_MONTHS_IDX0

- VT_TRX_LOGS_IDX6

また、VT_USER_PROFILE表もパーティション化します。

データベースのI/O (入力/出力)

データベースのI/O (入力/出力)パフォーマンスに関する問題は、問合せの実行に時間がかかる場合に発生することがあります。

監査および問合せ

問合せや監査のアクティビティにより本番の問合せや監査のアクティビティにより索引および表領域に対して多数の順次読取りや表スキャンが実行される傾向があります。パフォーマンスへの影響を軽減するには、DataGuard (ロジカル・スタンバイ・データベースを使用したレポートの問合せ、監査および実行を選択できます)を使用してロジカル・スタンバイ・データベースを管理することを検討してください。ロジカル・スタンバイ・データベースには、過去1時間を除くすべての本番データが含まれます。本番データベース・インスタンスは、挿入や更新などの実行、またアクティブな監視やアラートに対しても使用できます。

28.3.4 メモリー

メモリーでの実行

ほとんどの実行がメモリーで処理されるようにアプリケーションまたはコンテンツを構成します。

キャッシュ

キャッシュは、問合せ結果を格納して、後で使用できるようにする機能を持ちます。毎回データベースから情報を取得するのではなく、キャッシュを使用して問合せの結果を返します。情報がすでにキャッシュに存在していることが望ましいとされます。たとえば、ユーザー登録のキャッシュなどです。

キャッシングに関連する高メモリー使用率

最大キャッシュ・サイズを制御するために使用できるプロパティがあります。このようなプロパティを次に示します。

表28-1 キャッシュ・サイズ・プロパティ

プロパティ名

キャッシュされるオブジェクト

デフォルト値

vcrypt.fingerprint.cache.maxsize

フィンガープリント

10000

bharosa.tracker.location.location.cache.maxsize

IPのロケーション

1000

bharosa.tracker.location.city.cache.maxsize

市区町村

1000

bharosa.tracker.location.state.cache.maxsize

都道府県

1000

bharosa.tracker.location.country.cache.maxsize

国

1000

変更後、サーバーの再起動が必要です。

適切なプロパティを設定した場合、キャッシュは設定したサイズまで増加し、一杯になった後は、新しいエントリが挿入されると、使用日時が最も古いエントリが削除されます。

ディスクI/Oの削減

- ロギング・レベル: 不要なロガーが有効化されていないことを確認します。

- 特定用途のアプリケーションに対してJVMの設定が正しく行われていることを確認します。設定を正しく構成しましたか。標準のOAAMでは、これらの設定のほとんどは最適化されています。

- 低速なデータベースの場合、ディスクI/Oが増加する可能性があります。その結果、アプリケーションの実行速度が低下します。

28.3.5 ネットワーク

ネットワーク・コール

リモート・データベースの場合、データベースの問合せに複数のホップが必要になる可能性があります。ホップ数が増えるほど、ソースから宛先にデータが到達するまでにより時間がかかります。また、Webサービス/SOAPを使用していて、作成されるセッション数が多い場合は、入力に影響が及ぶ可能性もあります。

SOAPコール

ネットワークに問題があるかどうか確認します。

タイムアウトの回数を調べます。ネットワークが正しく設定されていることを確認します。

.Net/SOAPのWebサービス統合OAAMデプロイメントが遅い

.Net/SOAPアプリケーションとOAAMサーバーの間のネットワーク通信が最適化されていることを確認します。遅延を発生させる余分なホップはなくす必要があります。

28.3.6 ハードウェア

インフラストラクチャ

- 処理能力は十分ですか。プロセッサおよび使用可能なメモリーを確認します。ディスクの速度は十分ですか。

- サーバーの数。

- ディスク・パフォーマンス。小規模システムでは、多数のログ・ファイルが実行されているため領域が不足します。したがって、データベース用に構成するプロセッサの数を検討してください。

CPUサイクル

要求を満たすためのCPUリソースが不十分な場合、パフォーマンス問題が発生する可能性があります。たとえば、キャッシュが不十分な場合や、システムが要件を満たせない場合などです。CPUの負荷と使用量を確認してください。

29 FAQ/トラブルシューティング

この付録では、Oracle Adaptive Access Managerの使用中に発生する可能性のある一般的な問題と、その解決方法について説明します。

この章では、次の内容を説明します。

- 29.1項「複雑な問題を解決するための手法」

- 29.2項「トラブルシューティング・ツール」

- 29.3項「ポリシー、ルールおよび条件」

- 29.4項「グループ」

- 29.5項「自動学習」

- 29.6項「構成可能なアクション」

- 29.7項「エンティティおよびトランザクション」

- 29.8項「KBA」

- 29.9項「ケース管理」

- 29.10項「ジョブ」

- 29.11項「ダッシュボード」

- 29.12項「コマンドライン・インタフェース」

- 29.13項「インポート/エクスポート」

- 29.14項「ロケーション・ローダー」

- 29.15項「デバイス登録」

- 29.16項「タイム・ゾーン」

- 29.17項「暗号化」

- 29.18項「ローカライズ」

- 29.19項「各種の暗号化アルゴリズムの使用および新しい暗号化拡張機能への追加」

- 29.20項「仮想認証デバイス」

- 29.21項「OAAMスキーマ」

- 29.22項「アップグレード」

29.1 複雑な問題を解決するための手法

この項では、複雑な問題をより簡単に解決するためのプロセスについて説明します。この章の内容は、次のとおりです。

- 簡単な手法

- 分断攻略

- 厳密な分析

- 分析のプロセス・フロー

- 失敗

29.1.1 簡単な手法

問題の解決を目指して、いくつかの簡単なトラブルシューティング手法を順に実施できます。

手順

説明

経験

以前にもこの問題を経験しているか、または問題の解決策がわかっています。

フォーラムへの投稿

これは最初の手順ではありません。基本的な手順を適用した後、第2の意見が必要である場合にのみ有効です。厳密な分析中に行うのが妥当であり、分析前に行うのは適切ではありません。

直感的な飛躍(推測)

問題から単純に原因を推測できます。勘で問題またはその原因がわかります。これは場合によっては非常に効率的であり、すばやい解決につながりますが、適切な確認を怠ると、症状が長引き、真の原因を解決できないことがあります。

基本的な診断の確認

ログでエラーおよびフローを確認します。フロー(HTTPヘッダー、ネットワーク・パケット・トレース、SQLトレース、strace)を確認します。フローを実行し、文書化します。構成詳細を照合してチェックし、予想したとおりのフローであることを確認します。

エラー・メッセージの確認

エラーおよびフローの情報を確認することにより、大きな手がかりを得ることができます。コンポーネントの動作に関するナレッジと合わせることにより、理解を深めることができます。常に、ナレッジ(Oracleおよび検索エンジン)に一致する事例がないか確認してください。エラーが重大かどうかを判断するために必要な診断を実行します。エラーが複数ある場合は、どのエラーが原因であり、どのエラーが単なる結果であるかを調べます。

比較

ログおよびフローを稼働中のシステムと比較します。テスト・ケースを実行します。エラーが特定のサイトのみで発生する場合は、違いを比較します。

分断

問題を分割します。

29.1.2 分断攻略

この項では、問題を切り分けて管理可能な単位にする手順を示します。

プロセス

説明

問題の単純化

問題を可能なかぎり単純にします。

不要なコンポーネントの削除

ほとんどの問題には、複雑なコンポーネントおよび各コンポーネント間の結合が関連しています。また、サード・パーティのコンポーネントが関連していることがほとんどです。このため、可能であれば、まずサード・パーティのコンポーネントを削除し、次にできるだけ多くのコンポーネントおよびカスタム・コンポーネントを削除します(たとえば、コマンドラインはアプリケーションでないか、SQLPLUSはアプリケーションでないか)。

複雑さの軽減

症状は同じでより単純な問題が存在するかどうかを調べるテストを実施します(たとえば、複雑な選択のコンポーネントをまたは検索フィルタ削除し、1つのリクエストまたは数件のリクエストで十分かどうかを確認します)。

たとえるのであれば漏れ穴のある埋設管の修理

複雑な構成を、漏れ穴のある埋設管として考えます。問題が存在すること、どこかに漏れ穴があることはわかっていますが、それがどこにあるのかはわかりません。

コンポーネントの列記

各コンポーネントを枠で囲み、次のコンポーネントと結び付ける線を引きます。これらを結合する際のプロトコルに注意してください。

両端の確認

入れたものと出てくるものは同じである必要があります。出入りするデータに問題が生じる場合、問題があるのはどちらかの端です。フローが予想どおりではない場合、問題はその途中にあります。

横向きのY

構成内のポイントをテストし、逸脱が生じている場所を見つけます。1つの構成部分が予想どおりに動作することが(確実に)わかれば、その部分は無視できます。

繰返し

このループを繰り返して、問題を突き止めます。

ヘルプ

サード・パーティのコンポーネントが問題に関連している場合は、他社からのサポートを受け、協力して問題を解決します。

29.1.3 厳密な分析

次のような場合、プロセスの全部または一部を適用する必要があります。

- 問題が複雑な場合

- 問題が大幅に拡大した場合

- 最初の試行で問題が解決しなかった場合

- 問題を制御できなくなってきた場合

- 問題を制御できなくなる可能性がある場合

29.1.4 分析のプロセス・フロー

分析のプロセス・フローは次のとおりです。

1. 問題を記述します。

2. 問題を詳述します。
次のものに基づいて、考えられる原因を展開します。

1. 知識と経験

2. 差異と変更

3. 考えられる原因を詳述書に対してテストします。

4. 最も可能性の高い原因を特定します。

5. 解決策を検証します。

29.1.4.1 問題の記述

問題を記述することは、問題を解決するために最も重要な手順です。

手順

説明

明確かつ正確な問題記述を確実に行う

問題の記述は最も重要な手順です。このことは無視されることが多いか、または少なくとも問題記述があることが前提になっています。問題記述を行わずに問題を解決しようとしても、意味がありません。そうでなければ、実際に何を解決しようとしているのかがあいまいになります。問題の本質がわからなければ、問題の解決方法もわかりません。

記述された問題を説明できるかどうかを考察する

説明できる場合は問題記述ではありません。問題記述が説明可能な場合は前に戻って、より正確な問題記述を作成してください。他の人の問題解決を支援する場合は、ここからコミュニケーションを開始します。直接的な質問をして問題を絞り込むか、電話で担当者と話して真の問題を明確にします。問題が多数ある場合は、それらを個別の問題として書き留めます。

あいまいな記述で妥協しない

「パフォーマンスが悪い」、「何かがクラッシュする」などのあいまいな問題記述は無意味であり、問題が長引き管理がきかなくなる原因となります。

複数の問題を1つの記述にまとめない

対処する問題は常に1つにします。1つにまとめられた問題を受け入れないでください。1つにまとめられた問題は、別々の問題が複数存在するか、一部の問題が実際には症状であるかのどちらかです。

29.1.4.2 問題の詳述

問題を詳述し、明確な質問をして関連情報を収集します。

手順

説明

問題を詳述する

これらは問題の症状です。

まず質問をする

何が、どこで、いつ、どの程度といった質問をします。

何が

「何が」は明確な質問であり、通常は事実と症状(何が予測から逸脱しているか)のリストになります。

どこで

「どこで」は関連しない場合もありますが、重要であることが多いのに見過ごされることも多いため、価値のある質問です。

いつ

パターンを特定したり、どの変更によって問題が発生したかを判断するうえで時系列が役立つため、「いつ」は重要な質問です。

どの程度

「どの程度」または「どれだけの数量」は、考えられる原因を特定するうえで非常に有用です。たとえば、システム全体であれば、システム全体が影響を受けるどうかを確認するか、テスト・ケースを試行します。「どれくらいの頻度で」は、非常に重要です。1週間に1回と1秒に複数回では大きな違いがあり、どのような種類の問題であるかを把握する大きな手がかりとなります。

症状と事実を列記する

症状と事実、およびそれらの重要度を列記します。

何が変更されたか

何かが変更されたことは確かですが、問題が最初から常にあった場合は除きます。これは特殊なケースです。

前提

提供されたデータを検証し、競合や矛盾がないかを確認します。

必ず、想定がないかを確認します。検証されておらず想定でしかない情報を、注意深く特定してください。実際に、これは特に技術的な経験が豊富なアナリストにありがちな誤りです。しかし、経験の少ないアナリストが自分より知識があると思われる人から詳細情報を得るような場合にも多く起こることです。その想定がどれほど些細なものに見えても、その実証と確認は怠らないでください。

29.1.4.3 最初から機能していなかった要素

コンポーネントが前から機能していなかった場合、次の手順を実行します。

考慮事項

説明

パフォーマンス問題の場合、動作と期待を考慮する

ある要素が最初から正常に機能したことがない場合は、まず、正常な動作とは何か、それが合理的であるかを判断する必要があります。これによって、最初からの期待としてどのようなものが適切かも明確になります。これは特に、パフォーマンスの問題に該当します。

誤解がないことを確認する

要件が合理的かどうかを判断します。

リンゴとみかんを比較しない

具体的な目標について合意します。その問題のみに取り組みます。

関連するすべてのコンポーネントを考慮する

関連するすべてのコンポーネントについて考慮します。

- ソフトウェアのみでない

- ハードウェアの速度は十分か

認識を変えるだけが解決策かどうかを考慮する

問題があると思った理由は何ですか。

- 人的な要因

- 認識

29.1.4.4 IS、IS NOT、COULD BE

何が問題であるか(IS)、何が問題でないか(IS NOT)、何が問題である可能性があるか(COULD BE)を検討します。

手順

説明

IS、IS NOT、COULD BE

事実または症状ごとに、この問いかけ(IS、IS NOT、COULD BE)を行います。

比較を提供する

多くの場合、テスト・ケースが問題を比較するための手段となります。

問題が再現された場合、ここでの問題分析には役立たなかったことになりますが、問題の修正にあたる次のチームに問題を引き継ぐ際に非常に有用です。また、可能性のある修正策や解決策(回避策)をすばやくテストすることもできます。

比較がない場合はテスト・ケースを作成する

問題が再現されない場合、問題のシステムと比較する対象となり、場合によっては潜在的な回避策となることもあります。

29.1.4.5 考えられる原因の展開

問題を解決するには、考えられる原因を展開することが必要です。

展開

説明

知識と経験

知識と経験を使用して、考えられる原因を認識できます。

- 以前に発生したことがある

- 文書化されている

- サポート・ノートまたは検索エンジンによる検索

差異と変更

差異と変更のリストを作成して、原因を絞り込むことができます。

- このサイトのみか、1つのプラットフォームのみか

- アップグレード直後

- 負荷が大きくなったとき

- 木曜日のみ

各症状と比較の調査

それぞれの事実を考慮し、事実どうしが関連していること、および競合していないことを確認します。

29.1.4.6 考えられる各原因の詳述書に対するテスト

考えられる各原因を詳述書に対してテストします。

- 考えられる各原因は、詳述書のすべてのアイテムと合致している必要があります。

- 原因なしという結果になった場合は、戻ってプロセスを調整します。

- 原因は、「である」と「でないが、かもしれない」の両方を説明している必要があります。

- 最も可能性の高い原因を特定します。

- 合致する原因は無視しないでください。

29.1.4.7 原因の確定

アクション・プランを考案できるように、原因を確定します。

次の操作を実行できます。

- 考えられる原因をテストする方法の考案

- 観察

- 想定のテスト

- 試験

- 解決策のテストおよび監視

ここでは、理論を実証または反証するためのアクション・プランを考案することが主要な点です。各アクション・プランの理由を伝達することが重要です。反証テスト(何かが真ではないことを証明するためのテスト)を実施する場合は、特にそうです。すべてのアクション・プランは問題を解決するためのものだと考えていて、正しい方向に進んでいないと思われるものには抵抗を示す人がいます。

29.1.4.8 失敗

ある解決策が失敗した場合、最初に戻ってそのアプローチを再び適用しますが、その際、新しい結果で更新したものを適用します。問題が非常に複雑な場合は、何度かの反復が必要になることがあります。

プロセスにまったく誤りがないわけではありません。

失敗の主な原因は次のとおりです。

- 問題記述が不十分または不適切

- 情報が不正確またはあいまい

- 「である」と「でない」に大きな差異がない

- 判断を阻害する想定がある

- 広範なスキル・セットの関与がない

29.2 トラブルシューティング・ツール

この項では、システムの問題の調査とトラブルシューティングに使用できるツールおよびプロセスに関する情報を示します。

表29-1に、問題のトラブルシューティングに使用できる汎用ツールとOAAM固有のツールを示します。

表29-1 トラブルシューティング・ツール

カテゴリ

説明

汎用ツール

- Oracle Enterprise Manager Fusion Middleware Control

- Database Enterprise Manager

- DMSの監視データ

- 監査データ

- Ping/ネットワーク・チェック・ツール

OAAM固有のツール

- ダッシュボード

- 監視データ

- ログ・ファイル

表29-2に、システムをトラブルシューティングする際に確認するアイテムを示します。

表29-2 トラブルシューティングのヒント

ヒント

理由

オペレーティング・システムの確認

プラットフォームに固有の問題もあります。たとえば、IBM以外のプラットフォームで作成されたJavaキーストアはIBMプラットフォームでは動作しません。

WebLogicサーバー・バージョンの確認

OAAMが11gで動作保証済のWebLogicサーバーにインストールされていることを確認します。

JDKの確認

JDKがIdentity Management 11g Suiteで動作保証されていることを確認します。

Oracle Enterprise Manager Fusion Middleware Controlを使用したロギング構成の変更

トレースおよびデバッグの前に、ログ・レベルが適切に変更されていることを確認します。

Oracle Enterprise Manager Fusion Middleware Controlを使用したメッセージの検索

スクリプトの実行方法に関して知っておくと役立つまたは重要と思われるログ・メッセージ・レコード情報。

実行コンテキストIDを使用したログ・メッセージの検索

ECIDは、個々のイベントを同じリクエスト実行フローの一部として相互に関連付けるために使用できる一意の識別子です。

WebLogicコンソールを使用したデータベース接続プールの監視

WebLogicコンソールを使用して、接続プールの状態を確認します。

表29-3に、問題およびそのトラブルシューティングと解決のために実行できるチェックをまとめます。

表29-3 問題およびヒント

問題

実行できるチェック

一般的なトラブルシューティング・ユース・ケース

- ほとんどの操作が遅い

- サーバーでメモリー不足の例外がスローされる

- サーバーで暗号化関連の例外がスローされる

- サーバー起動時に接続プールに関連するエラーが発生する

- 11.1.1.4から11.1.2にアップグレードした後、管理対象サーバーの起動中にエラーが発生する

- OAAM CLIスクリプトの問題

- SOAPコールの問題

- ネイティブ統合の問題

ほとんどの操作が遅い

- OAAMポリシーのパフォーマンスを確認します。
ダッシュボードを使用して、ルールのパフォーマンスを確認します。

必要な場合、ルールまたはそのパラメータをチューニングします。

- Oracle Enterprise Manager Fusion Middleware Controlを使用してデータベースを確認し、遅い問合せがないか確認します。Oracle Enterprise Manager Fusion Middleware Controlの推奨事項に従って、提示された索引を追加します。

- アプリケーション・サーバーのCPUが高くなっているかどうかを確認します。
可能な場合、スレッド・ダンプを取得します。

- アプリケーション・サーバーとデータベース間の接続およびネットワークのスピードを確認します。

- データソース設定でデータベース・マシンのIPを使用します。

サーバーでメモリー不足の例外がスローされる

- OAAM WebLogicドメインの構成を確認します。

- すべてのOAAM Webアプリケーションが同じ管理対象サーバーにデプロイされているかどうかを確認します。

- 管理対象サーバーのヒープ・サイズを大きくします。

接続プール・エラー

- データベース・リスナーが実行されていることを確認します。

- JDBC URLには名前ではなくIPアドレスを使用します。

- データベース・サービス名が正しいことを確認します。

- 接続プールが大きくなりすぎていないか確認します。
同じデータベースにアクセスする管理対象サーバーの数が多すぎないかどうかを確認します。

アップグレード後の管理対象サーバーの起動中のエラー

- 暗号化キーが適切にコピーされていることを確認します。

- アップグレードのドキュメントに示されているすべての手動手順に従ってください。

- WebLogicコンソールで、すべてのWebアプリケーションが適切に管理対象サーバーのターゲットになっていることを確認します。

OAAM CLIスクリプトの問題

- JAVA_HOME環境変数が、11gのIdentity Management Suiteに対して動作保証済のJDKに設定されていることを確認します。

- oaam_cli.propertiesファイル内にCLI関連のプロパティが設定されていることを確認します。

SOAPコールの問題

- SOAPGenericImpl内のタイムアウトに関連する既知の問題があります。

- OWSMがデフォルトで有効化されているため、SOAPを使用する前にOWSMポリシーを設定する必要があります。

- ポート番号を含むSOAPサーバーURLが有効であることを確認します。

ネイティブ統合の問題

- 適切なバージョンのOAAM拡張共有ライブラリが使用されていることを確認します(WARファイルではWARバージョンを、EARファイルではEARバージョンを使用する必要があります)。

- OAAMデータソースが作成されており、JNDI名が正しい(OAAMサーバーのJNDI名と一致している)ことを確認します。

- OAAM管理およびOAAMサーバーにより使用されているキーと同じキーがネイティブ・アプリケーションで使用されていることを確認します。

- 暗号化キーに関連する問題
すべての管理対象サーバーが同じWebLogicドメイン上にあることを確認し、そうでない場合はキーを各ドメインにコピーします。

11g以外のサーバーを使用している場合は、Javaキーストアを使用します。

- 同じサーバー上での多数のアプリケーションによる共有ライブラリの使用
現在、同じ管理対象サーバー上で複数のアプリケーションによりOAAM拡張共有ライブラリを使用することはできません。

29.3 ポリシー、ルールおよび条件

ポリシー実行後に結果が見つからない

質問/問題: ポリシーをインポートし、ポリシーの実行結果が表示されるのを待っていましたが、結果が見つかりませんでした。何が起こったかどのようにわかりますか。

回答/解決策: 問題をデバッグするため、次の手順を実行します。

1. セッション詳細ページで、そのセッションでそのポリシーが実行されたかどうかを確認します。
そのチェックポイントに対してvcrypt.tracker.rules.trace.policySet.XXXXXXがtrueに設定されていることを確認してください。(XXXXはそのチェックポイントに対応します)

2. ポリシーの構成を確認します。

1. ポリシーはアクティブになっているか。

2. ポリシーはこのユーザーが属するユーザー・グループにリンクされているか。
ポリシーをセッション内で実行するには、そのポリシーを「すべてのユーザー」にリンクするか、ユーザーがメンバーとなっているグループの1つにリンクします。ポリシーが適切にリンクされているかどうかを確認します。

3. キャッシュがリフレッシュされる十分な時間が与えられていたことを確認します。
グループ・リンクが最近変更された場合は、キャッシュがリフレッシュされるのを必ず30秒以上待ってください。

ルールに対してアラートまたはアクション(あるいはその両方)が生成されない

質問/問題: ポリシーが実行されたのに、アラートおよびアクションが生成されません。

回答/解決策: ルールがトリガーされると、そのルール内に設定されているアラートがトリガーされます。ただし、ルール内に構成されているアクションは、トリガーの組合せやポリシー・セットのオーバーライドなど、様々なレベルでオーバーライドされることがあります。ルールによりトリガーされるアクションがオーバーライドされていないか確認します。

アクションおよびアラートの構成を確認します。

1. アラートおよびアクションがルール内に設定されていることを確認します。次に、セッション内でルールが実際にトリガーされたことを確認します。
ルールがトリガーされると、そのルール内に設定されているアラートがトリガーされます。ただし、ルール内に構成されているアクションは、トリガーの組合せやポリシー・セットのオーバーライドなど、様々なレベルでオーバーライドされることがあります。ルールによりトリガーされるアクションがオーバーライドされていないか確認します。

2. ポリシー内に、この特定の条件セットと一致する他のトリガー組合せがあるかどうかを確認します。
トリガー組合せは、すべての条件が組合せに一致するまで、ユーザー・インタフェースに示された順に評価されます。一致した組合せが見つかった後は、残りの組合せは評価されません。特定の条件セットに対して複数の組合せが一致することもありますが、最初に一致した組合せのみがトリガーされます。ポリシー内に、この特定の条件セットと一致する他のトリガー組合せがあるかどうかを確認します。

セッション詳細ページにアラート・トリガー・ソースが表示されない

質問/問題: アラートが含まれるセッションのセッション詳細ページで、「トリガー・ソース」列に何も表示されません。

回答/解決策: 詳細なロギングは実行時間に依存するため、アラートの実行時間が2000ミリ秒未満の場合、デフォルトではセッション詳細ページにトリガー・ソースは表示されません。

このしきい値およびロギングを制御するプロパティは、次のとおりです。

# Int property determining minimum time required for detailed logging
vcrypt.tracker.rulelog.detailed.minMillis=2000

プロパティを変更したら、次のように出力します。

vcrypt.tracker.rulelog.detailed.minMillis=value

注意: プロパティの変更の影響を受けるのは新しいセッションのみです。

ログインのたびにアラートが生成される

ルールの構成が厳密すぎます。どのルールがアラートを発生させているかを特定し、制限を緩めます。

29.4 グループ

アクション要素またはアクション・メンバーがルール内のアクション・グループに表示されない

質問/問題: アクション要素またはアクション・メンバーが追加されましたが、ルール内のアクション・グループに表示されません。

回答/解決策: アクション・メンバーは列挙であるため、アクションが表示されるようにするには、サーバーを再起動する必要があります。

すべてのグループを削除できない

質問/問題: ユーザーが削除するように選択したすべてのグループを削除できません。

回答/解決策: グループがアプリケーション内の他のインスタンスで使用されている場合、ユーザーはグループを削除できません。

グループ内のすべてのメンバーの削除

質問/問題: グループ内のすべてのメンバーを削除するとどうなりますか。

回答/解決策: グループがいずれかのルールまたはパターンにリンクされている場合、ルールまたパターンが予想どおりに機能しません。

ユーザーIDとユーザー名グループの違い

質問/問題: ユーザーIDとユーザー名グループの違いは何ですか。

回答/解決策: ユーザー名はユーザーが設定します。たとえば、「Bob」がログインでユーザーは「xyz123」です。ユーザーIDは、カスタマがユーザーを一意に識別するために使用するスキームです。

グループの用途

質問/問題: グループはどのような目的で使用されますか。

回答/解決策: ルール条件およびルール結果の構成を単純化するために、グループが作成されます。

たとえば、ルール「制限付きIP」を作成するには、ログインしたユーザーのIPが構成済の制限付きIPのリスト内にあるかどうかを判別するための条件を追加する必要があります。制限付きIPはタイプIPのRestrictedIPSGroupというグループにまとめられ、ルール条件でこのグループが使用されます。

ルール・トリガーに基づいたグループ・メンバーの追加/削除

質問/問題: ルール・トリガーに基づいてメンバーを自動的にグループに追加またはグループから削除できますか。それはどのようにして行いますか。

回答/解決策: メンバーをグループに追加する場合、またはグループからメンバーを削除する場合は、「グループへのメンバーの追加」または「グループからのメンバーの削除」という名前の新規のトリガー・アクション列挙と、それに対応するアクション・グループを作成します。グループ内にアクションを追加します。「グループへのメンバーの追加」または「グループからのメンバーの削除」に対してトリガーする、メンバーを追加または削除するための構成可能アクションを構成します。

ユーザーの除外

質問/問題: ユーザーの一部をルールの影響を受けないよう除外するにはどうすればよいですか。

回答/解決策: ユーザーを含むグループを作成します。次に、ルールの「事前条件」タブで、このグループを除外するように指定します。

キャッシュ・ポリシーとは

質問/問題: キャッシュ・ポリシーは何をするのですか。

回答/解決策: キャッシュ・ポリシーは、アプリケーションでキャッシュに保存されているデータを使用するか、それともサーバーからの元のデータを再フェッチするかを決定します。

キャッシュ・ポリシーがパフォーマンスに与える影響

質問/問題: キャッシュ・ポリシーはパフォーマンスにどのような影響を与えますか。

回答/解決策: 情報へのアクセスが必要になるたびにアプリケーションがサーバーと通信する必要がある場合、パフォーマンスは低下します。キャッシュ・データの場合は、情報がすでに格納されているためすばやくアクセスできます。データをキャッシュし、大規模な変更が行われると、キャッシングによりサーバー領域が使用されるために、パフォーマンスが低下します。

グループをキャッシュしない

質問/問題: グループをキャッシュしない方がよいのはどのような状況ですか。

回答/解決策: グループに変更が行われるとグループが再キャッシュされるため、要素リストが長い場合は、グループをキャッシュしないようにする必要があります。

グループ内のグループ

質問/問題: グループ内に別のグループを含めることはできますか。

回答/解決策: できませんが、例外として、市区町村グループを都道府県グループに含め、さらに都道府県グループを国グループに含めることはできます。

グループ・リンクの表示

質問/問題: グループが何かにリンクされているかどうかはどのようにわかりますか。

回答/解決策: ポリシー・ツリーに、ユーザーIDグループがポリシーにリンクされていることが表示されます。

29.5 自動学習

自動学習が機能しているかどうかの確認

質問/問題: 自動学習を有効化し、ポリシーを構成しました。自動学習が動作していることを確認するにはどうすればよいですか。

回答/解決策: 自動学習が有効になっていて機能しているかどうかを確認するには、次の手順を実行します。

1. システムにログインします。

2. ログインを数回実行します。

3. セッションの自動学習データが処理されたかどうかを調べるには、そのセッションのセッション詳細ページに移動し、「ログイン詳細」セクションの「処理ステータス」フィールドを参照します。

図29-1 自動学習処理

自動学習が正しく設定されていない場合、データは処理されません。

29.6 構成可能なアクション

カスタム・アクションが使用可能にならない

質問/問題: カスタム・アクションを作成しましたが、ユーザー・インタフェースでそのアクションが使用可能になりません。

回答/解決策: Javaクラスが正しいディレクトリ内にあること、また正しいパッケージ内にあることを確認します。

構成可能アクションによる複数のケースの生成

質問/問題: 構成可能アクションとしてケースの作成を定義した場合、複数のケースが生成されます。

回答/解決策: 頻繁に発生する可能性のあるアクションが事前条件である場合、アクションが発生するたびにケースが作成されます。たとえば、チャレンジなどのアクションは1つのセッション内で2回以上発生する可能性があります(OTPチャレンジ、KBAチャレンジなど)。

同期アクション

質問/問題: 同期アクションが優先度に基づいて昇順で実行されます。たとえば、CSRケースを作成してケースIDとともに電子メールを送信する場合は、同期アクションを選択します。同期アクションは即時にトリガー(実行)されます。

最初のアクションが失敗した場合、どのようになりますか。その場合も電子メールは送信されますか。

回答/解決策: 構成可能アクションの実行は、他の構成可能アクションの実行に依存しません。ただし、アクション間で共有されるコンテキストでデータをチェックし、コンテキスト・データに基づいてロジックを実行するように、カスタム・コードを作成できます。

非同期アクション

質問/問題: 非同期アクションは実行のためにキューに格納され、特定の順序ではなく優先度に基づいて実行されます。たとえば、電子メールを送信するか、アクションを実行するときに、即時実行せず、実行順序にこだわらない場合は、非同期アクションを選択します。

非同期アクションの実行は保証されますか。サーバーの実行が停止した場合、どのようになりますか。

回答/解決策: サーバーの実行が停止した場合、保留中の構成可能アクションは実行されません。

トリガー基準

質問/問題: トリガー基準を使用すると、セッション内でどのような場合にアクションをトリガーするかを選択できます。

アクションは、スコアまたはアクション、あるいはその両方です。これらが、構成可能アクションの定義中に選択したチェックポイントに対するルール・エンジンからの値と比較されます。

アクションとスコアの両方を指定した場合、どちらか一方のみが一致すると、どのようになりますか。優先度はどのようになりますか。

回答/解決策: アクションとスコアの両方を指定した場合、両方の基準がルール・エンジンからの結果と一致した場合にのみ、構成可能アクションが実行されます。

非同期アクションでのアクション優先度

質問/問題: 非同期アクションでアクション優先度はどのように使用されますか。

回答/解決策: アクションは、アクション優先度に基づいて異なるキューに配置されます。キューの次のアクションを実行するタイミングになると、優先度の高いアクションが最初に実行されます。

29.7 エンティティおよびトランザクション

エンティティが使用可能にならない

質問/問題: ユーザーがエンティティを作成しましたが、「トランザクション」の「エンティティ」リストでそのエンティティが使用可能になりません。

回答/解決策: ユーザーがエンティティをアクティブ化していません。

19.2.4.7項「エンティティのアクティブ化」を参照してください。

データ要素を評価に使用できない

質問/問題: データ要素を条件内の評価に使用できません。

回答/解決策: データ要素が暗号化されている可能性があります。

複数のエンティティ・インスタンスの追加

質問/問題: ユーザーは1つのトランザクションにエンティティの複数のインスタンスを追加できますか。

回答/解決策: はい。

エンティティの変更がエンティティのインスタンスに与える影響

質問/問題: ユーザーがエンティティ定義を変更した場合、エンティティのすべてのインスタンスが影響を受けますか。

回答/解決策: はい、定義はテンプレートです。

19.3.5項「エンティティの編集」を参照してください。

エンティティを削除できない

質問/問題: ユーザーがエンティティを削除できません。ユーザーは、そのインスタンスをトランザクションからすでに削除しています。

回答/解決策: このエンティティは、他のトランザクションやパターンなどでも使用されています。

19.3.9.2項「エンティティの削除」を参照してください。

トランザクションで使用されていないのにエンティティを削除できない

質問/問題: ユーザーは、エンティティを使用するトランザクションを実行していないのに、エンティティを削除できません。

回答/解決策: エンティティを使用している履歴トランザクション・データが存在する可能性があります。

浮動小数点のグループ

質問/問題: トランザクション金額が特定の金額($999.99など)かどうかを調べる必要があります。これをモデル化する方法はありますか。「汎用整数」と「汎用ロング」が使用可能ですが、いずれも浮動小数点を受け入れません。

回答/解決策: 小数点が必要な場合は、単位を変更してモデル化します。たとえば、99.99ではなく9999を使用します。すべてのルールおよびグループでその単位(たとえば、ドルではなくセント)を一貫して使用するように注意してください。

特定のエンティティの除外

質問/問題: 業者やアカウントなど、特定のエンティティを除外するにはどうすればよいですか。たとえば、業者およびアカウントをエンティティとしてモデル化する場合、Oracle Adaptive Access Managerにエンティティ・グループのオプションはありません。

回答/解決策: 主キー(汎用文字列グループなど)を使用して、エンティティをグループ化します。

トランザクションを無効化してもトランザクション・ベースのルールがトリガーされる

質問/問題: トランザクションを無効化してもトランザクション・ベースのルールがトリガーされるのはなぜですか。

回答/解決策: トランザクションが無効な場合でも、そのトランザクションにアクションを実行するように設定されているルールがアクティブな場合は、トランザクション・データが評価の入力として使用されます。ルールがトリガーされると、「セッション詳細」にトランザクション・データが表示され、アラートとアクションがトリガーされます。

トランザクションを無効化しても、そのトランザクションは無効になりません。トランザクションの条件マッピングにトランザクションが表示されなくなるだけです。

レポートを起動したルールに表示されるレコード件数を減らす場合はトランザクションを無効にします。ただし、すべてのトランザクションの処理を無効にする場合は、ルールを非アクティブ化する必要があります。

29.8 KBA

ユーザーが7つの質問を登録し、フロー内で通常の1つの質問のかわりに3つの質問でチャレンジされるようにシステムを構成する必要があります。

質問/問題: カスタマは、チャレンジ・フローで表示される質問の数を変更できますか。

回答/解決策: OAAMは、フロー内で一度に1つの質問が行われるように意図的に作られています。1つの質問を提示し、ユーザーがチャレンジの回答に成功した場合にのみ次の質問を表示することは効果的なセキュリティ・プラクティスです。これにより、フィッシング行為で使用するために質問が収集されるのを保護できます。また、OAAMでは、1つの質問に対してユーザーが複数回の入力を試行することが可能であり、そのような質問では回答の誤入力の回数を追跡する必要があります。一度に複数の質問が表示された場合、これを維持することは困難になり、エンド・ユーザーを混乱させることになりかねません。カスタマが複数の質問でユーザーをチャレンジする必要がある場合は、個々の連続した画面で行う必要があります。また、OAAMでは一度に複数の質問による認証をサポートしていないため、カスタマが選択できるのはこの方法に限られます。

失敗を追跡し、IVR、オフライン(KBAおよびOTP)、CSRおよび他のカスタム・メカニズムの失敗カウンタを更新してください。

質問/問題: IVR、オンライン(KBAおよびOTP)、CSRなどをサポートしたいと考えています。失敗を追跡して失敗カウンタを更新するにはカスタム・コードを作成する必要がありますか。

回答/解決策: カスタマはデプロイメントで任意のタイプのチャレンジ・メカニズムをサポートできます。たとえば、KBA、OTP、IVRなどのカスタム・メカニズムがあります。OAAM管理コンソールは、ユーザー詳細およびケース詳細の両画面で失敗カウンタ、登録情報などをサポートします。カスタマが新しいまたはカスタムのプロセッサを追加した場合、カウンタがユーザーおよびCSR詳細のページに表示されます。たとえば、企業が動的KBAソリューションを作成し、チャレンジ・プロセッサを介してOAAMに統合した場合、CSRケース画面には動的KBAチャレンジの失敗カウンタが表示され、設定されているポリシーに基づいてロックアウトが行われます。

注意: タスク・プロセッサ統合の説明が記載されているカスタム・プロセッサの例は、My Oracle Supportの記事ID 1501759.1「OAAM 11gR2 (11.1.2.0) Sample Application Download for Task Processor Integration」を参照してください。

My Oracle Supportにはhttps://support.oracle.comからアクセスできます。

OTP失敗カウンタでは異なるチャネルの失敗が統合されます。たとえば、複数のチャネルを使用している場合、まとめられたOTPカウンタがしきい値を上回ると、OTPステータスが「ロック済」と表示されます。そのため、ユーザーがショート・メッセージ・サービス(SMS)で2回、電子メールで1回失敗して、しきい値が3の場合、そのユーザーはロックされます。

リセット・アクションにより次の項目のすべてのチャレンジ失敗カウンタがリセットされます。

- KBAのリセット: KBAが再登録されます。KBAおよびOTPの件数カウンタがゼロにリセットされます。

- CSR KBAのリセット: KBAが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

- OTPのリセット: OTPが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

ロック解除アクションによりKBAおよびOTPのユーザー・アカウントのロックが解除されます。

- KBAのロック解除: KBAが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

- OTPのロック解除: KBAが再登録されます。KBAおよびOTPのカウンタがゼロにリセットされます。

なぜ登録していない質問がチャレンジに使用されたのか

質問/問題: ユーザーが自分で登録していない質問がチャレンジに使用されたと言っています。なぜこのようなことが起こるのでしょうか。

回答/解決策: いくつかの理由が考えられます。

- ユーザーが登録後にチャレンジ質問を忘れた可能性があります。多くの場合、このユーザーが長い期間チャレンジを受けていなかったことが原因です。

- チャレンジ質問が共同アカウントを持つ別の人(夫、妻、大切な人)によってリセットされた可能性があります。

ユーザーの質問をリセットして、ユーザーが新しいチャレンジ質問を登録できるようにする必要があります。

ユーザー登録用の質問数を増やす必要があるか

質問/問題: 登録用の質問の数を増やす必要があるかどうかはどのように判断できますか。

回答/解決策: 質問の数を増やす必要があるかどうかは、ビジネスのユース・ケースによって異なります。

質問の数が5つに増え、ユーザーが3つの質問を登録した場合、次のようになります。

- システムで5つの質問すべてが使用されている場合、ユーザーに質問の再登録を求める必要はありません。この場合、変更は必要ありません。既存のユーザーは、質問がリセットされないかぎり、引き続きこれまでの質問を使用します。

- 5つの質問すべてが必要な場合、ユーザーに次の質問を登録させることができます。

- 追加の2つの質問。この場合、ポリシーで変更を行い、新しいルールを追加する必要があります。

- 5つの質問すべて。この場合、バッチ・ジョブを使用する必要があります。

詳細ページの「質問の統計」に質問のチャレンジ率が表示されないのはなぜか

質問/問題: ユーザーが質問に答えた後すぐに質問のチャレンジ率の統計が更新されないのはなぜですか。

回答/解決策: 質問の統計を更新するスレッドは、1時間おきに実行されます。ユーザーが質問に答えた後に、更新された統計が使用可能になるわけではありません。ただし、統計は1時間後に更新されます。

回答ロジックのレベル

質問/問題: 「オフ」、「低」、「中」、「高」の違いは何ですか。

回答/解決策: 回答ロジックは、チャレンジ・レスポンス処理でユーザーが入力した回答が登録時に指定した回答と一致するかどうかを判断するためにシステムで使用される、高度な照合アルゴリズムのセットです。回答ロジックのアルゴリズムおよびレベルは、回答の評価での係数です。

回答の評価に使用される回答ロジックのレベル(アルゴリズムの強さまたは強度)は、次のとおりです。

- オフ: 回答ロジックは使用されず、回答はユーザーが前に登録した回答と完全に一致する必要があります。

- 低: 低い回答ロジックであり、ユーザーが指定した回答は、登録時に指定した回答と完全一致またはほぼ一致する必要があります。

- 中: より高い回答ロジックであり、ユーザーは、指定した回答にある程度の余地を与えられます。たとえば、St.は、Streetとして受け入れられます。

- 高: 最高レベルの回答ロジックです。一致に関する制約は厳しくありません。

7.3.9.2項「回答ロジックのレベル」を参照してください。

ユーザーの登録済の質問と回答の復号化

質問/問題: カスタマはユーザーの登録済の質問と回答を必要に応じて復号化できますか。

回答/解決策: 登録済の質問と回答の復号化は、いくつかの理由によりサポートされていません。これは主に、セキュリティ上の理由です。これがサポートされると、内部者がすべてのユーザーの質問と回答を調べることが可能になります。チャレンジ質問は、高リスク時にアプリケーションを保護するために使用します。これらの質問が悪用されると、不正な行為に使用される可能性があります。また、KBA回答に個人を識別できる情報が含まれていることもあり、この場合は非常に高レベルの保護が必要となります。セキュリティ上の理由に加えて、プライバシ上の理由もあります。

KBA回答で大/小文字が区別されるか

質問/問題: KBA回答では大/小文字が区別されますか。

回答/解決策: ユーザビリティの理由で、KBA回答では大/小文字は区別されません。ユーザーがチャレンジ質問によるチャレンジを受けるのは中レベルの脅威があるときのみであり、ほとんどのユーザーは業務遂行中に正規のパターンに従うため、定期的にチャレンジを受けることはありません。定期的にチャレンジを受けていないユーザーがチャレンジを受けた場合、チャレンジ質問に対する回答は覚えていても、正確なスペルや大/小文字の区別までは覚えていない可能性があります。このため、KBAにはユーザーの回答を解釈するためのファジー・ロジックが含まれています。回答の基本情報が正しい場合、よくあるスペル間違いや略語などは受け入れることができます。ユーザーが住所の通りの名前の大/小文字の区別を間違っただけで正しい回答とみなされないようでは、チャレンジ質問の有用性が低くなるため、これによって解決策の全体的な効果が大幅に増加します。

29.9 ケース管理

ケース管理ログ内のノートが英語で表示される

質問/問題: 「ログ」タブのノートが英語で表示されます。

回答/解決策: 「ログ」タブ内の、ユーザーが追加したのではないノートに対する「ノート」列の値は、デフォルトでは英語で表示されます。

ノートはアクションの列挙のノート・フィールド(プロパティ)から取得されます。そのプロパティの値はデータベースに(ノートとして)保存されます。保存された後は、ユーザーはそのデータを変更できません。

導入によって、列挙プロパティのノートをローカライズされた値にカスタマイズできます。

Access caseは、oaam_resources.propertiesファイル内にあります。

customercare.case.actiontype.enum.accesscase.description=Access case

ケース作成/アクセス・ロジックでは、そのポイントより後のレコードの作成にその文字列を使用します。

29.10 ジョブ

質問/問題: タスクを実行し、ダッシュボードで履歴データを参照した後のユーザー・インタフェースに何か違いはありますか。監視データのロールアップにより、ダッシュボードは影響を受けますか。

回答/解決策: ダッシュボードに影響するようなことはありません。カットオフ時間がデフォルト設定の場合は、影響が生じるようなことはありません。カットオフ時間をデフォルトより小さく設定すると、ダッシュボードが影響を受けることがあります。たとえば、日次ロールアップを実行し、カットオフ時間を3から1に変更した場合、ダッシュボードの下部にある時間別傾向表示の時間別粒度がいくらか失われます。

29.11 ダッシュボード

セッション内の時間範囲に対する「KBAチャレンジ」統計と「チャレンジ」統計が一致しない

質問/問題: KBAチャレンジのサマリー・ダッシュボード統計が、セッション検索ページの同じ時間範囲に対する「チャレンジ」統計と一致していません。

回答/解決策: これらの件数は、2つの異なるメトリックです。「チャレンジ」統計は、チャレンジされたセッション数の件数です。「KBAチャレンジ」統計は、ユーザーがチャレンジ質問に回答した回数の件数です。

たとえば、ユーザーがログインしてチャレンジを受け、質問の回答を1回間違えた後に正しく回答したとします。このログインに関連するセッション検索ページには1つのセッションが表示されますが、ダッシュボードの「KBAチャレンジ」は2つ増えます。

ログイン・サマリー・レポートに示される失敗したチャレンジの件数が正しくない

質問/問題: 高リスクのユーザーがOAAMサーバーにログインし、チャレンジを受けました。このユーザーは、チャレンジ質問に対して間違った回答を入力しました。CSRによって、Oracle Adaptive Access Managerの「ログインのサマリー」レポートがチェックされ、失敗したチャレンジが参照されます。実際よりも多い件数が表示されます。

回答/解決策: 「成功したチャレンジ」と「失敗したチャレンジ」に表示される合計数は、チャレンジ質問の回答が成功または失敗した回数です。

ルールおよびポリシーの平均処理時間がレポートと一致しない

質問/問題: CSRは、ユーザーのセッション詳細からルール処理回数を取得し、SQL問合せを実行してデータベースから統計を収集します。レポートおよびSQL問合せの数値は、ダッシュボードに表示される数とは異なります。

- セッション詳細およびデータベース内の平均処理回数は、パフォーマンス・ダッシュボードに表示された数とは異なります。これらは正確には一致しません。

- ダッシュボードに表示される実行件数は、セキュリティの「ルール・ブレークダウン」レポートとは異なります。ダッシュボードには追加のルールが表示されます。(セッション詳細およびセキュリティの「ルール・ブレークダウン」レポートに表示されるルールの方が少なくなります。)

回答/解決策: この不一致の理由は次のとおりです。

1. ダッシュボードとセキュリティの「ルール・ブレークダウン」レポートに表示される実行件数が異なるのは、ダッシュボードにはルールがトリガーされたかどうかに関係なくルールが処理された回数が表示されるのに対し、セキュリティの「RulesBreakdown」レポートにはルールがtrueを返した回数が表示されるためです。ダッシュボードの値とそのSQL問合せにより戻された値は異なる測定値であるため、通常は値が一致しません。

2. セッション詳細およびデータベース内の平均処理回数は、パフォーマンス・ダッシュボードに表示された数とは異なります。これらは正確には一致しません。このレポートおよび問合せでは、監視データの処理時間の計算方法が異なります。レポートおよび問合せには、監視データの数には含まれない設定コードおよび他の処理回数が含まれています。監視データには、ルールの処理時間と、作業メモリーへのファクト・アサーションにかかった時間が含まれています。

29.12 コマンドライン・インタフェース

コマンドライン・エラー

質問/問題: コマンドライン・エラーのトラブルシューティングはどのように実行しますか。

回答/解決策: コマンドライン・エラーのトラブルシューティングの手順は、次のとおりです。

1. Javaバージョンを確認します。推奨されたバージョンと同じバージョンであることを確認します。たとえば、JDK 1.6などです。

2. クラス・パスにjar (jps*.jars)があることを確認します。

3. 資格証明ストア内に資格証明を定義します。資格証明はsessions.xmlと似ていますが、定義はファイルではなくOAAMドメインのエンタープライズ管理内にあります。

4. SIDが正しいことを確認します。

エクスポートのスケジュール

質問/問題: ポリシー、グループおよびルールのエクスポートをスケジュールするためのCRONジョブを作成できますか。

回答/解決策: はい。

スケジュールしたジョブを作成する手順は、次のとおりです。

1. CLIを使用して、必要なデータをエクスポートするためのスクリプトを作成します。データの正確性をテストします。
ポリシーおよびグループのエクスポートの詳細は、第26章「Oracle Adaptive Access Managerコマンドライン・インタフェース・スクリプト」を参照してください。

2. スクリプトを定期的に実行するためのcronジョブを作成します。
cronジョブの作成の詳細は、次のサイトを参照してください。

http://en.wikipedia.org/wiki/Cron

3. 次のことに注意してください。

1. 必ず、データベース・パスワードを暗号化します。第26章「Oracle Adaptive Access Managerコマンドライン・インタフェース・スクリプト」を参照してください。

2. ファイルは上書きしないでください。一意の命名規則を使用してください。

3. バックアップ・プロセスを監視します。電子メールおよび通知を設定します。

4. 必ず、ディスク領域およびパフォーマンスを監視します。必要なデータのみをバックアップに含め、多数の要素を含むグループを検索するなどします。

29.13 インポート/エクスポート

大きいポリシーZIPファイルのインポート

質問/問題: 多数のポリシーを含む大きい(ファイル・サイズが1MBを超える)ポリシーZIPファイルをインポートしようとしましたが、インポートに失敗しました。ログ・ファイルにはエラーが表示されていません。このファイルをインポートするにはどうすればよいですか。

回答/解決策: OAAM管理がWindowsプラットフォームにインストールされている場合、WebLogicをインストールしたドライブに\tmpフォルダを作成する必要があります。

たとえば、WebLogicドメインがCドライブにある場合は、c:\tmpフォルダを作成する必要があります。

このフォルダは、大きいファイルをOAAM管理にアップロードするための一時フォルダとして使用されます。

OAAM管理でポリシー、ルール条件およびチャレンジ質問ZIPファイルのインポートに失敗する

質問/問題: OAAM管理で、ポリシー、ルール条件およびチャレンジ質問ZIPファイルのインポートに失敗しました。

回答/解決策: これは、Mozilla FirefoxのMIMEタイプ・マッピングに関連する問題です。環境でZIP拡張子にいずれのアプリケーションもマップされていない場合、Mozillaによって間違ったコンテンツ・タイプがマップされます。回避策の1つは、Firefoxのプリファレンスでファイル・タイプ・マッピングを追加することです。

アップロードするファイルがブラウザに認識されない

質問/問題: Oracle Adaptive Access Managerファイルをインポートしようとすると、それらのファイルがブラウザに認識されません。

回答/解決策: Foxfireがインストールされているオペレーティング・システムにFoxfireのMIMEエントリが存在しない場合、ブラウザは正しいファイル・タイプを認識しません。

アップロードするファイルがブラウザに認識されるように、オペレーティング・システムの/etc/mime.typesファイル内に、すべてのファイル・タイプ(viz、doc、txt、zipなど)に対するMIMEエントリを追加する必要があります。このエントリを追加すると、ブラウザはファイルを正しく認識できるようになります。

MIMEエントリがオペレーティング・システムに存在していれば、問題はありません。

29.14 ロケーション・ローダー

ファイルの転送中に追加される文字

質問/問題: ファイルの転送/ftp中に、改行"\r"などの文字が追加されます。

回答/解決策: この問題を解決するには、ファイルに対してdos2unixを実行します。.shファイルを実行する場合は、dos2unix filenameまたはdos2unix . *.*を使用してください。

「TNS: 適切なサービス・ハンドラが見つかりません。」エラー

質問/問題: データをロードすると、次のエラーが発生します。

TNS:no appropriate service handler found

回答/解決策: データベース内のプロセスの数が最小値に設定されている可能性があります。

次のコマンドを使用して、データベース内に設定されているプロセスの数を確認します。

SQL> show parameter process
SQL> alter system set processes=100 scope=spfile;

29.15 デバイス登録

デバイス登録

質問/問題: ユーザーは、チャレンジ質問登録ページで次のオプションを選択してデバイスを登録できます。

「現在、安全なデバイスとして使用しているデバイスの登録を確認します」

登録フロー中にユーザーがこれをスキップした場合、その後「ユーザー・プリファレンス」ページにオプションが表示されません。これを有効にする方法はありますか。

回答/解決策: デバイス登録は、登録中とチャレンジ中にユーザーにデバイスの登録を求めるように設定されています。

これを有効にするには、ユーザー・プリファレンスの「質問の登録」ページで次のように設定します。

bharosa.uio.default.userpreferences.questions.registerdevice.enabled=true

現在、中央のユーザー・プリファレンスのページでのみデバイスを登録解除できます。

ユーザーは登録中にデバイスを登録できますが、チャレンジを受けているときにデバイスを登録することもできます。

質問/問題: 登録フローでデバイスの登録が表示されません。デバイスIDポリシーはOAAM管理にインポートされています。

回答/解決策: デバイス登録はデフォルトでは有効になっていません。デバイス登録を有効にするには、bharosa.uio.default.registerdevice.enabledをtrueに設定する必要があります。

29.16 タイム・ゾーン

タイム・ゾーン管理

質問/問題: 時間を評価するルールでは、すべてのセッションに対して1つのタイム・ゾーンが使用されますか、それともカスタマのブラウザまたはOSからのタイム・ゾーンが使用されますか。たとえば、ユーザーが営業時間(8:00 am - 6:00 pm)外にログインするとKBAチャレンジを受けるようにルールを設定した場合、これはカスタマのブラウザまたはOSからのタイム・ゾーンに基づいて計算されますか。

Nameuser.timezoneTypeSystemValuePST8PDT
user.timezone = PST8PDT
oaam.adf.timezone = user.timezone

ルール実行(パターンまたはパターン以外)に使用される日時は、"request_time"に基づいています。これは、リクエスト・ベースのルールで使用される日時と同じです。

- オンラインの場合、OAAM管理サーバー時間です。

- オフラインの場合、そのリクエストのオフライン・データで指定されている時刻です。

29.17 暗号化

キーストアの数

質問/問題: キーストアはいくつありますか。どれが何に対して使用されますか。

回答/解決策: 次の3つのキーストアがあります。

- システム・キーストア: プロパティおよびその他のデータベース関連データの暗号化に使用されます。

- データベース: データベース内の列。通常は、パスワード、PIN、トランザクション・データ(クレジット・カード番号など)です。

- SOAP/Webサービス: クライアント側でWebサービス・リクエストを認証します。

暗号化される表および列

質問/問題: これらのキーストアを使用してデータベースが暗号化される場合、暗号化されるのはデータベース表または列ですか、それともその両方ですか。

回答/解決策: VCryptPassword表とトランザクション表です。

データの復号化

質問/問題: データを復号化する必要がありますか。いつこれを行う必要がありますか。

回答/解決策: データは必要なときにアプリケーションによって復号化されます。このデータを復号化するために使用できる外部ツールはありません。

暗号化の省略

質問/問題: 暗号化は省略できますか。

回答/解決策: SOAPはオプションです。データベースとシステムは必須です。

29.18 ローカライゼーション

ローカライゼーションの有効化と無効化

質問/問題: ローカライゼーションを無効にするにはどうすればよいですか。

回答/解決策: ローカライゼーションを無効にするためのフラグはありませんが、デプロイメントでサポートされているロケールを取得するユーザー定義の列挙はあります。この列挙を使用すると、1つのみのロケールを有効化できます。

不要なロケールごとに、locale.enum.XXX.adminSupportedプロパティとlocale.enum.XXX.enabledプロパティをfalseに変更します。

Oracle Adaptive Access Managerのデータベース内のキャラクタ・セット

質問/問題: クライアントが持っているデータベースではUTF8がサポートされておらず、これが共有データベースであるためそのまま保持し、ブラウザのロケール・プリファレンスは無視したいと考えています。

回答/解決策: ブラウザのプリファレンスは制御できないため、ロケール・プリファレンスを無視するようにサーバーを設定するか、常に英語を使用します。

ユーザーごとの言語設定

質問/問題: Oracle Adaptive Access Managerでは、ユーザーごとの言語設定がサポートされていますか。

回答/解決策: 通常、Webアプリケーションはブラウザの言語設定を使用します。

たとえば、ユーザーがスペイン語のブラウザを使用して仮想認証デバイスおよびKBA質問を登録したとします。このユーザーが英語のブラウザを使用してログインした場合、フレーズはスペイン語となり、表示されたKBA質問にはすべてスペイン語で回答することが期待されます。しかし、このユーザーに表示されるKBA質問は、ほとんどのWebアプリケーション・コンテンツで期待されるように英語となります。

Oracle Adaptive Access Manager 10.1.4.5では、プロキシ・タイプのデプロイメントで使用される、エンド・ユーザーが使用するWebアプリケーションに対して、グローバリゼーション・サポートがあります。エンド・ユーザーのブラウザの言語またはロケール設定に基づいて、アプリケーションは、KBA質問、仮想認証デバイスのパーソナライズ(フレーズ)など、画面をどの言語で表示するかを認識できます。KBAのAPIおよび仮想デバイスは、ロケールをパラメータとして受け入れます。

ただし、デプロイメントでネイティブ・アプリケーション統合が使用されている場合は、エンド・ユーザーが使用するカスタムWebアプリケーションを構築する際に機能を組み込む必要があります。このアプリケーションでは、リソース・バンドルが使用される可能性があります。また、サポートされているロケールをパラメータとして渡す間に、KBAおよび仮想認証デバイスAPIがコールされる必要もあります。

29.19 各種の暗号化アルゴリズムの使用および新しい暗号化拡張機能への追加

サポートされている標準の暗号化アルゴリズム

- AES

- DES

- DESede (トリプルDES)
DESedeがデフォルトです。

異なる暗号化に切り替えるには

プロパティbharosa.cipher.encryption.algorithm.system.defaultを次のいずれかに設定します。

- DES

- AES

新しい暗号化アルゴリズムを追加するには、次の手順を実行します。

1. インタフェースcom.bharosa.common.util.Passwordを実装するJavaクラスを記述します。

2. メソッドencrypt()およびdecrypt()を実装します。

3. 次の属性のあるbharosa.cipher.encryption.algorithm.enum列挙の要素をoaam_custom.propertiesファイルに追加します。

- name: アルゴリズムの名前

- description: アルゴリズムの説明

- classname: 手順1で作成したJavaクラスの完全修飾クラス名。

- keyRetrieval.className: com.bharosa.common.util.cipher.CSFKeyRetrievalに設定します。

- prefix.system: 暗号化中に使用される接頭辞(オプション)

- alias: 暗号化アルゴリズムの別名

4. プロパティbharosa.cipher.encryption.algorithm.system.defaultを新しく追加した要素名に設定します。

5. jarおよび関連するプロパティ・ファイルをコンパイルして作成します。

6. それらのファイルをOAAM extensions WARファイルとしてパッケージ化します。

7. OAAM extensions WARをデプロイし、oaam_adminとoaam_serverの両方にターゲット指定します。
OAAM拡張共有ライブラリの使用の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

29.20 仮想認証デバイス

カスタム・バックグラウンド・イメージの作成

仮想認証デバイスに対してカスタム・バックグラウンド・イメージを作成するには、次の手順を実行する必要があります。

1. 使用するパッドごとに、イメージを正しい解像度に処理します。

2. 次に、仮想認証デバイスごとにイメージを正しいディレクトリに追加する必要があります。TextPadイメージはTextPadディレクトリに、のように配置する必要があります。ディレクトリは、bharosa.image.dirlist= {oracle.oaam.home}/oaam_imagesという形式になります。これは、"/scratch/user/Oracle/Middleware/Oracle_IDM1/oaam/oaam_images"に解決されます。このディレクトリ内には、keypad、questionpad、textpadという3つのサブディレクトリがあります。

.Net内のAuthentipadイメージに表示される日時スタンプの無効化

1. 日時スタンプを無効化するには、次の行をコメントアウトします。
CreateAuthentiPad API

AuthPad.TimeStampText = DateTime.Now.ToString();

CreateQuestionPad API

TimeStampText = DateTime.Now.ToString();

2. タイムスタンプを表示します。
例1 (ユーザー定義文字列を表示):

ret.AuthPad.TimeStampText = "monster";

ret.TimeStampText = "muppet";

例2 (現在の時刻を表示):

AuthPad.TimeStampText = DateTime.Now.ToString();

TimeStampText = DateTime.Now.ToString();

KeyPadが表示されない

- プロパティbharosa.authentipad.image.urlを確認します。

- クライアント・アプリケーションが正しいサーバー・アプリケーションを指し示していることを確認します。

KeyPadの背景にイメージが表示されない

- ユーザーがイメージを無効化した可能性があります。

- ユーザーのイメージがバックグラウンド・ディレクトリから削除された可能性があります。

- プロパティ・ファイルを調べて、バックグラウンド・ディレクトリ設定が正しいことを確認します。

29.20.1 Oracle WebLogicのタイムアウト・セッション・オプション

WebLogicコンソールには、アプリケーションに対してsession timeoutを指定するオプションがありますが、OAAM管理ではこの値を変更しても機能しません。session timeout値は、OAAMのデプロイ時に構成する必要があります。

session timeout値を構成するための回避策として、デプロイメント・プラン機能を使用してWebLogicアプリケーション・サーバーでweb.xml session timeoutを構成します。手順は次のとおりです。

1. 既存の非プラン・ベースのデプロイメントからデプロイメント・プランを生成します。
WebLogicデプロイメント・プランの例のURLは、次のとおりです。

http://www.slideshare.net/jambay/weblogic-deployment-plan-example

2. plan.xmlを編集します。

1. カスタムsession timeoutに変数定義を分単位で追加します。

...
<variable-definition>
<variable>
<name>mySessionTimeOut</name>
<value>60</value>
</variable>
</variable-definition>
...

2. 目的のWebアプリケーションoaam_admin.warのweb.xmlを次のようにオーバーライドします。

<module-override>
<module-name>oaam_admin.war</module-name>
...
<module-descriptor external="false">
<root-element>web-app</root-element>
<uri>WEB-INF/web.xml</uri>
<variable-assignment>
<name>mySessionTimeOut</name>
<xpath>/web-app/session-config/session-timeout</xpath>
</variable-assignment>
</module-descriptor>
...

3. 次に、アプリケーションoaam_admin.earを選択し、デプロイメント・リスト内の「更新」ボタンをクリックします。

4. プラン・パスを選択し、アプリケーションを再デプロイします。
共有ライブラリに関する警告は無視します。

5. config-rootがアプリケーションのEARディレクトリであることを確認します。

6. すべてのサーバーを再起動します。

29.21 OAAMスキーマ

OAAMデータベース・スキーマを新規のスキーマに変更するには、WebLogicデータ・ソースを使用してスキーマを更新する必要があります。

1. OAAMサーバーを停止します。

2. 次のURLでWebLogicコンソールにログインします。

URL:7001/console

3. 左側のパネルにナビゲートし、「環境」 > 「サーバー」をクリックして、OAAM_Server_Server1をクリックします。

4. 「サービス」タブをクリックします。

5. OAAM_Server_DSをクリックします。

6. 接続プール・タブをクリックして、新しいスキーマ詳細に変更します。

7. OAAM_ADMIN Webアプリケーションでも同じ手順を実行します。

8. サーバーを再起動します。

29.22 アップグレード

質問/問題: 10gを11gにアップグレードしてから、ユーザーがチャレンジ質問に回答しようとすると、ユーザーが不正なチャレンジ・レスポンスを行ったというメッセージとともにエラーが表示されます。この問題は新規ユーザーには影響を与えません。

回答/解決策: system_db.keystoreキーは、11gの資格証明ストア・フレームワーク(CSF)に移行されないことがあります。

- 10gおよび11gでのプロパティbharosa.cipher.encryption.algorithm.defaultの値を確認し、10gおよび11gの両方で値がDESであることを確認します。

- コマンド・ラインで、このプロパティの値をOAAM管理対象サーバーに渡せるか確認します。

1. プロパティbharosa.cipher.encryption.algorithm.defaultのタイプがDatabaseの場合は、OAAM管理コンソールを使用してこのプロパティを削除します。

2. 次のコマンドを実行します。

setenv JAVA_OPTIONS
"-D"bharosa.cipher.encryption.algorithm.default=value_from_10g"

3. OAAM WebLogic管理対象サーバーoaam_server_server1とOAAM管理サーバーoaam_admin_server1を起動します。

4. サーバー・コンソールで、Starting WLS with lineの次に表示される行を参照して、システム・プロパティとして渡されていることを確認します。

第XIV部

付録

この部は、次の付録で構成されています。

- 付録A「OAAMの使用」

- 付録B「条件リファレンス」

- 付録C「OAAMプロパティ」

- 付録D「アーカイブおよびパージ手順の設定」

- 付録E「デバイスのフィンガープリント処理および識別」

- 付録F「グローバリゼーション・サポート」

- 付録G「OAAMアクセス・ロール」

- 付録H「パターン処理」

- 付録I「SOAP Webサービス・アクセスの構成」

- 付録J「ロギングの構成」

- 付録K「ルールおよびフィンガープリント・ロギング」

- 「用語集」

A OAAMの使用

Oracle Adaptive Access Managerを使用すると、マルチファクタ認証、予防的なリアルタイムの不正防止、トランザクション実行時のリスク評価および不正アナリストが潜在的な不正を調査するためのツールを通じて、企業とそのカスタマを保護できます。

この項は、次の項目で構成されています。

- A.1項「調査 - アラート中心のフロー」

- A.2項「調査 - セッション中心のフロー」

- A.3項「調査 - 自動生成されたエージェント・ケースのフロー」

- A.4項「エスカレーション済エージェント・ケース」

- A.5項「トランザクションの検索: フィルタ1の追加」

- A.6項「トランザクションの検索: フィルタ2の追加」

- A.7項「電信送金する金額(ドル)のパターン」

- A.8項「出荷先住所の国のパターンと請求の不一致」

- A.9項「ブラウザのロケール・パターン」

- A.10項「出荷先住所の国別のクレジット・カード・パターン」

- A.11項「リンクされたエンティティ」

A.1 調査 - アラート中心のフロー

BigMartチームの不正アナリストは、疑わしいトランザクションを確認して不正を識別します。アラートの重大度レベルと特定の金額(ドル)合計が不正を示していることがわかりました。デプロイメントでは主に、ケースの手動作成および調査フローが使用されます。アナリストは、各調査の手始めに、アラートの重大度が高いトランザクションを検索します。不正が特定されたら、アナリストは検索を記録し、各種エンティティをブラック・リストに記載し、処置とともにケースを終了します。

1. アラートの重大度レベルが高い小売りE-Commerceトランザクションを検索します。

1. 調査担当者としてOAAM管理コンソールにログインします。

2. 「トランザクションの検索」タブをクリックします。

3. 「トランザクション・タイプ」として小売りE-Commerce、「アラート・レベル」として「高」を指定し、該当するトランザクションを取得できる可能性がある「トランザクション日」の基準を指定してトランザクションをフィルタし、「検索」をクリックします。

4. 結果表に含まれる「トランザクション日」列は、「トランザクション日」列ヘッダーをクリックすると昇順または降順のどちらにでもソートできます。その隣にある上矢印および下矢印は、データの現在の順序を示します。「トランザクション日」列ヘッダーをクリックして、結果を昇順のタイムスタンプでフィルタします。

5. 関心のあるアラートの横にあるオレンジの四角形を選択すると、潜在的な不正アクティビティに関するアラートの合計数と詳細メッセージがポップアップ画面に表示されます。

6. 検索フィルタに戻り、「トランザクション・タイプ」に小売りE-Commerceを選択します。

7. 「フィールドの追加」ドロップダウン・リストを使用し、提供されているフィールドのリストから、検索するフィルタとしてRetail.ecommerce.total.dollar.amountを選択します。

8. Retail.Ecommerce.total.dollar.amountの演算子として「次より大きい」を選択し、「500」と入力して、「検索」をクリックします。

9. 「トランザクション日」結果ヘッダーをクリックして、結果を昇順のタイムスタンプでフィルタします。

2. 最も古いトランザクションの詳細を表示するには、「トランザクション・タイプ」列の小売りE-Commerceリンクをクリックしてトランザクション詳細ページを開きます。

1. トランザクションおよびエンティティ・データを表示して詳細を確認します。
トランザクションのアイテムの数、住所、カード番号、カスタマID、デバイス、IPアドレスのロケーションなど、発生したトランザクションの重要な詳細情報を確認します。

2. トランザクションをフィルタしてそのトランザクションで使用されたデバイスを表示するには、「サマリー」パネルのデバイスIDを、ページの右側にあるフィルタ済アイテム・パネルにドラッグします。

3. 最初の7日間で一致するトランザクションを検索するには、「フィルタ・アイテム」パネルの「時間範囲」で「週」を選択し、「一致するアイテムの検索」をクリックして、トランザクションの数をクリックします。
「フィルタ済トランザクション」ページが開き、該当するデバイスを使用したトランザクションのリストが表示されます。

4. 返されたトランザクションのリストを表示します。

1. 関心のあるアラートの横にあるオレンジの四角形を選択すると、合計数とアラート・メッセージに関する情報がポップアップ画面に表示されます。

2. すべてのトランザクションを選択して同時に比較するには、「行」列ヘッダーをクリックします。

5. 検索結果のツールバーにある「比較」ボタンをクリックして、トランザクションとカスタマの詳細のパラメータを比較します。

1. 検索結果のツールバーにある「連結解除」ボタンをクリックして「トランザクションの比較」ページの連結を解除し、より大きく表示します。

2. 選択したトランザクションおよびセッションを新しいエージェント・ケースにリンクします。右上隅の「ケースへのリンク」をクリックして、セッションをリンクするケースを開きます。既存のケースを検索して選択するか、新規ケースを作成して、セッションをリンクします。「ケースへのリンク」ダイアログの「新規ケースの作成」ボタンをクリックします。

6. 「トランザクションの比較」ページのフィルタ済アイテム・パネルに表示されているフィルタから「デバイスID」を削除し、疑わしいトランザクションに関係するユーザー名をフィルタ済アイテム・パネルに1つずつドラッグし、評価が必要な他のアクティビティがあるかどうかを確認します。

7. トランザクションを選択したら、不正な注文で使用されたデバイスIDを「OAAM制限付きデバイス」ブラックリスト・グループに追加します。これにより、このデバイスから発生したアクティビティが今後ブラック・リストに記載されるようになります。

1. トランザクションを選択し、ツールバーの「グループに追加」ボタンをクリックします。「グループに追加」ダイアログで、追加するデータ型として「デバイス」を選択し、「次」をクリックします。

2. 「既存のグループから選択」ラジオ・ボタンを選択し、「OAAM制限付きデバイス」グループを検索して、「次」をクリックします。

8. 使用されたクレジット・カードを盗難されたカード・グループに追加して、今後のクレジット・カードの不正を防止します。

1. トランザクションを選択し、「グループに追加」ボタンをクリックします。「グループに追加」ダイアログで、追加するデータ型として「クレジット・カード」を選択し、「次」をクリックします。

2. 「既存のグループから選択」ラジオ・ボタンを選択し、盗難されたカード監視グループを検索して、「次」をクリックします。

9. フローの一部として新しいグループを作成します。

1. トランザクションを選択し、「グループに追加」ボタンをクリックします。「グループに追加」ダイアログで、追加するデータ型として「クレジット・カード」を選択し、「次」をクリックします。

2. 「新規グループの作成」ラジオ・ボタンを選択し、グループ名、キャッシュ・ポリシーおよび説明を入力して、「次」をクリックします。

10. 確認済の不正の処置とともにエージェント・ケースを閉じます。

A.2 調査 - セッション中心のフロー

BigUniversityのセキュリティ・アナリストは、疑わしいアクセスの試みを確認して、試みられた不正を識別します。デプロイメントでは主に、ケースの手動作成および調査フローが使用されます。アナリストは、各調査の手始めに、ブロックされたセッションを検索します。試みられた不正が識別されたら、アナリストは検索を記録し、各種エンティティをブラック・リストに記載し、処置とともにケースを閉じます。

1. ブロック済認証ステータスを持つセッションを検索します。

1. 調査担当者としてOAAM管理コンソールにログインします。

2. 「セッション」タブをクリックします。

3. セッション検索ページで、セッションのフィルタとして「認証ステータス」の「ブロック済」を選択し、「検索」をクリックします。

4. 結果表に含まれる「セッション日」列は、「セッション日」列ヘッダーをクリックすると昇順または降順のどちらにでもソートできます。その隣にある上矢印および下矢印は、データの現在の順序を示します。「セッション日」列ヘッダーをクリックして、結果を昇順のタイムスタンプでフィルタします。

5. 結果表で、アラートの横にあるオレンジの四角形を選択すると、潜在的な不正アクティビティに関するアラートの合計数と詳細メッセージがポップアップ画面に表示されます。
セッション内でトリガーされたすべてのアラートを表示します。アラート・メッセージは、その状況で何が発生したかを理解するのに役立ちます。アラート・メッセージのリンクをクリックすると表示されるアラートの詳細ページでは、アラートの生成、メッセージ、アラート・レベル、メッセージ・タイプおよびアラートとユーザー、デバイス、ロケーション、セッション、ブラウザ、オペレーティング・システム、ロケールなどの他のデータ型との関係に関する情報を確認できます。

6. セッションをフィルタしてそのセッションで使用されたデバイスを表示するには、結果表のデバイスIDを、ページの右側にあるユーティリティ・パネルのフィルタ済アイテム領域にドラッグします。

2. 過去1日間で一致するセッションを検索するには、「フィルタ・アイテム」パネルの「時間範囲」で「日」を選択し、「検索」ボタンをクリックして、「一致するアイテムが見つかりました」の下にあるセッション数リンクをクリックします。
「フィルタ済セッション」ページが開き、該当するデバイスを使用したセッションのリストが表示されます。

結果表には、セッションID、アラート、トランザクション、組織ID、ユーザー名、デバイスID、IPアドレス、ロケーション、認証ステータス、セッション日、認証前アクション、認証前スコア、認証後スコア、認証後アクション、クライアント・タイプ、ユーザーIDおよび内部セッションIDが表示されます。

3. 返されたセッションのリストを表示します。

1. アラートを表示します。「フィルタ済セッション」ページの結果表で、情報に関するアラートの横にあるオレンジの四角形を選択すると、潜在的な不正アクティビティに関するアラートの合計数と詳細メッセージがポップアップ画面に表示されます。

2. セッションをケースにリンクします。セッションを選択し、ツールバーの「ケースへのリンク」をクリックして、セッションを新しいエージェント・ケースまたは既存のケースにリンクします。
次の手順を示したダイアログが表示されます。「ケースを開いてセッションをリンクします。既存のケースを検索して選択するか、新規ケースを作成し、セッションをリンクしてください。」「新規ケースの作成」、「既存のケースを開く」および「取消」の3つのボタンが表示されます。

「新規ケースの作成」をクリックします。詳細の入力手順を示す「ケースへのリンク」ダイアログが表示されます。ケース・タイプはエージェントであり、変更できません。次のフィールドに詳細を入力します。

組織ID

重大度レベル: 選択項目は「低」、「中」、「高」です。

事前に作成した説明: 選択項目は、ログインできない、「質問の回答忘れ」、「不正の可能性」および「OTPオーバーライド」です。

説明

「次」をクリックします。別の「ケースへのリンク」ダイアログが次のメッセージとともに表示されます。「次のセッションがケース1にリンクするために選択されています。このアクションのノートを入力してください。」調査担当者は、リンク処理の一環として、セッションをリンクした理由を説明するノートを入力します。「事前に作成したノート」に入力します。選択項目は、「これらのセッションには不正の疑いがあります。」および「これらのセッションには企業による誤用があります。」です。「セッションのリンク」をクリックします。「選択したセッションが正常にCase_numberにリンクされました。」というメッセージを示すダイアログが表示されます。「OK」をクリックしてダイアログ・ボックスを閉じます。

ケース・ログには、リンク・アクションを実行したユーザーとともにノートが記録されます。調査担当者またはマネージャによってリンクが解除されないかぎり、これらのセッションはケースにリンクされたままになります。

4. 疑わしいセッションに関係するIPアドレスをフィルタ済アイテム・パネルに1つずつドラッグし、評価が必要な他のアクティビティがあるかどうかを確認します。

1. ケースに関係しないと思われるデバイスIDをフィルタから削除します。

2. IPアドレスをフィルタ済アイテム・パネルにドラッグします。

3. 「検索」ボタンをクリックします。

4. セッション数をクリックして「フィルタ済セッション」ページを表示します。

5. アラートを表示します。

6. セッションIDをクリックしてセッション詳細ページを表示します。その後ページを閉じ、「フィルタ済セッション」ページに戻ります。

5. 不正なアクセス・リクエストで使用されたIPを「OAAM制限付きIP」グループに追加します。これにより、これらのIPから発生したアクティビティが今後ブラックリストに記載されるようになります。

1. 「フィルタ済セッション」ページの結果表で、IPアドレスのリンクをクリックします。

2. IPアドレスの詳細ページで、「グループにIPアドレスを追加」をクリックします。

6. 確認済の不正の処置とともにエージェント・ケースを閉じます。
調査担当者は、ノートと処置を提供してケースを閉じます。処置には調査担当者が結論に至った理由とその経緯に関する情報が含まれます。

1. ケース詳細ページに戻り、「ステータスの変更」をクリックします。

2. 「ステータス」に「クローズ済」と入力します。

3. 「処置」に「確認済不正」と入力します。

4. 「事前に作成したノート」を入力します。

5. 追加のノートを入力します。

6. 「送信」をクリックします。

A.3 調査 - 自動生成されたエージェント・ケースのフロー

Jeffは、BigMartチームの不正アナリストです。デプロイメントでは主に、ケースの自動作成および調査フローが使用されます。アナリストは、各調査の手始めに、新しいケースを検索します。ケースが生成されたセッションを詳しく調べます。不正が特定されたら、アナリストは検索を記録し、各種エンティティをブラック・リストに記載し、処置とともにケースを終了します。

自動生成ケースは、特定のルールがトリガーされたときにエージェント・ケースを作成するアクションをセキュリティ管理者が構成している場合に作成されます。つまり、特定のイベントの結果として、新しいエージェント・ケースが動的に作成されます。このエージェント・ケースには、その対象であるセッション・データが含まれます。

1. 現在のステータスが「新規」のエージェント・ケースを検索します。

1. 調査担当者としてOAAM管理コンソールにログインします。

2. 「ケース・タイプ」として「エージェント」、「ケース・ステータス」として「新規」、「有効期限切れ」として「有効期限切れの非表示」を指定してケースをフィルタし、「検索」をクリックします。

3. 昇順タイムスタンプにより結果をフィルタします。
結果表に含まれる「最終アクションの日付」列は、「最終アクションの日付」列ヘッダーをクリックすると昇順または降順のどちらにでもソートできます。その隣にある上矢印および下矢印は、データの現在の順序を示します。「最終アクションの日付」列ヘッダーをクリックして、期限切れに最も近いビューが一番上になるように、ビューを昇順のタイムスタンプでフィルタします。

2. 使用を開始する最上位ケースを開きます。
ステータスが「新規」のケースに初めてアクセスすると、そのステータスは自動的に「保留中」に変化します。これでケースの所有者が存在し、そのステータスが「新規」ではなくなるため、他の調査担当者はそのケースが実際に使用されていることを把握できます。

3. 生成されたアラートを含むセッションを表示します。

1. アラート・メッセージをポップアップ画面に表示します。
「リンク・セッション」タブの「ケース詳細」ページにある表で、関心のあるアラートの横にあるオレンジの四角形を選択すると、アラートの合計数とアラート・メッセージがポップアップ画面に表示されます。必要に応じてアラートのリンクをクリックし、アラートの詳細ページを確認できます。ケース詳細ページに戻り、関心のあるセッションのセッションIDをクリックします。

2. セッション詳細ページの「セッション・トランザクション」パネルから、トランザクションのリストを表示します。トランザクション検索に移動し、トランザクションを検索します。

4. トランザクションを比較します。

1. トランザクションの検索結果からトランザクションを選択し、「比較」をクリックします。

2. 使用されたクレジット・カードをフィルタ済アイテム・パネルに1つずつドラッグし、過去7日間の関連するセッションとトランザクションを見つけます。
フィルタ済トランザクションのリストが「フィルタ済トランザクション」ページに表示されます。

5. 見つかったトランザクションをエージェント・ケースにリンクします。

1. トランザクションを選択し、検索結果ツール・バーで「ケースへのリンク」ボタンをクリックします。
セッションをリンクするためのケースを開く手順を示したダイアログが表示されます。既存のケースを検索して選択するか、新規ケースを作成して、セッションをリンクします。

2. 「既存のケースを開く」ボタンをクリックして、既存のケースを開きます。

3. 「ケースへのリンク」ダイアログで基準を入力し、「検索」をクリックします。

4. 「次」をクリックします。
別の「ケースへのリンク」ダイアログが表示され、ケースにリンクするために選択されたセッションが示されます。この動作に関するノートを入力するための手順が示されます。

5. 状況を最も的確に記述するリスト項目を選択します。追加のコメントがある場合は入力します。

6. 「セッションのリンク」をクリックします。

7. 「ケースへのリンク」確認ダイアログで「OK」をクリックして確認します。

6. ケース・ノートを「ノート」パネルに入力します。

7. 不正なトランザクションで使用されたIPを「OAAM制限付きIP」グループに追加します。

8. 確認済の不正の処置とともにエージェント・ケースを閉じます。

A.4 エスカレーション済エージェント・ケース

今朝John Smithからカスタマ・サービスに、口座の資金を失ったという電話が入りました。Johnによると、先週、彼のアカウントから$129が電信送金されましたが、彼はこの送金を行っていません。CSRはJohn用にケース321をユーザー名jsmithで開き、報告された情報に基づいてノートを入力します。ケースのタイトルにはJohnのユーザー名が表示されるため、このケースを表示するCSRは誰でも、常にこのケースの対象ユーザーが誰なのかがわかります。CSRはケースをエスカレーションし、24時間以内に調査担当者から連絡することをjsmithに伝えます。MikeはBigBankセキュリティ・チームで働いています。彼は、カスタマ・サービス関連のセキュリティに関する問題の調査を担当しています。彼は、「エスカレーション済」ステータスのケースを検索し、日付でフィルタします。MikeはCSRから新しくエスカレーションされたケースを開きます。Mikeはまず、カスタマまたはユーザー固有のデータとCSRからのノートを確認できます。彼は、John Smithが行った、金額が$100から$200の間の電信送金トランザクションを検索します。Mikeは、見つかったトランザクションを比較して、これが不正の可能性があるかどうかを判別します。

1. CSRがカスタマ用に新しいケースを開きます。

1. CSRとしてOAAM管理コンソールにログインします。

2. ケース検索ページで、次の「新規ケース」ボタンをクリックします。
「ケースの作成」画面が表示されます。

3. John Smithのユーザー名を「ユーザーID」フィールドに入力し、「組織ID」(John Smithが属するグループ)を選択します。

4. 重大度レベルについて、「重大度レベル」リストから「高」を選択します。

5. 事前作成フィールドで、「不正の可能性」を選択します。

2. ノート・ボックスに、「先週彼の口座から$129の電信送金が行われたが、本人はその送金を開始していない」と入力します。その後「作成」をクリックします。

3. ケース詳細ページのツールバーで、「その他のアクション」をクリックし、「エスカレーション」を選択します。
「エスカレーション」画面が表示されます。

4. 「タイプ」リストで、ケースのタイプとして「エージェント」を選択し、ケースを調査チームにエスカレーションします。

5. 調査担当者がケースを検索します。

1. エスカレーション済ステータスでフィルタします。

2. 昇順タイムスタンプにより結果をフィルタします。

6. トランザクションを検索します。

1. 電信送金トランザクションを検索します。

2. $100から$200の間を検索します。

7. トランザクションを比較します。

A.5 トランザクションの検索: フィルタ1の追加

Jeffは、Acme Corpのセキュリティ・アナリストです。Acmeには、デプロイメントで定義された、オンライン購入とユーザー・プロファイルを変更するトランザクションがあります。Jeffは、郵便番号が95060である住所を含むトランザクションを検索します。彼は、すべてのトランザクション・タイプを選択し、address.zipcodeのフィルタを追加します。問合せを実行すると、結果に郵便番号列が表示されます。郵便番号列が追加されると、残りの列の幅が調整され、使用可能な画面スペースが最適化されます。

1. 「エージェント」ページで、「トランザクション」タブをクリックします。

2. 「トランザクション名」フィールドで、小売りE-Commerceとその他のアイテムを選択します。

3. 「フィールドの追加」の下矢印ボタンをクリックします。

4. リストから「address.zipcode」を追加のフィルタとして選択します。

5. テキスト・フィールドの問合せを絞り込むために、検索演算子「次と等しい」を使用します。

6. 検索フィールドに「95060」と入力します。
検索基準の95060に一致するトランザクションが「検索結果」表に表示されます。トランザクション名のリンクをクリックすると、トランザクションの詳細を表示できます。

A.6 トランザクションの検索: フィルタ2の追加

Jeffは、Acme Corpのセキュリティ・アナリストです。Acmeには、デプロイメントで定義された、オンライン購入とユーザー・プロファイルを変更するトランザクションがあります。Jeffは、合計金額が$500より多いE-Commerceのトランザクションを検索しています。彼は、E-Commerceのトランザクション・タイプを選択し、合計金額のフィルタを追加します。「フィールドの追加」メニューには、特定のエンティティ、エンティティ・データとリンクされたエンティティ・データがすべて含まれています。問合せを実行すると、結果に合計金額列が表示されます。新しい列が追加されると、残りの列の幅が調整され、使用可能な画面スペースが最適化されます。

1. 「エージェント」ページで、「トランザクション」タブをクリックします。

2. 「トランザクション名」フィールドで、ecommerceを選択します。

3. 「フィールドの追加」の下矢印ボタンをクリックします。

4. リストからトランザクション金額を追加のフィルタの1つとして選択します。

5. 検索演算子「次より大きい」をトランザクション金額に使用します。

6. 500より大きいトランザクション金額を検索するために、検索フィールドに「500」と入力します。
$500より大きいトランザクションが「検索結果」表に表示されます。トランザクション名のリンクをクリックすると、トランザクションの詳細を表示できます。

A.7 電信送金する金額(ドル)のパターン

セキュリティ管理者のMikeは、ユーザーがオンライン・バンキングで実施した電信送金に基づいてそのユーザーの動作をプロファイリングする必要があります。この場合、Mikeは各ユーザーが通常送金する金額(ドル)の範囲を追跡しようと考えています。ユーザーの複数バケット・パターンを作成し、$100のドル範囲を作成します。そこで、Mikeは送金が分類される現在の金額(ドル)範囲バケットが、ユーザーが過去3か月間に5%未満の率でヒットしたバケットである場合にチャレンジするルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。銀行電信送金を表す「インターネット・バンキング」トランザクションなどのトランザクションをアプリケーション用に構成します。

パターンの作成

複数バケット・パターンを「インターネット・バンキング」トランザクションに作成し、「メンバー・タイプ」に「ユーザー」を指定して、増分$100のトランザクション金額を範囲属性として追加します。

1. OAAM管理コンソールを開きます。

2. ナビゲーション・ツリーで「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. 「新規パターン」ボタンをクリックします。

4. $100の金額(ドル)範囲を作成するために、新しい複数バケット・パターンを「インターネット・バンキング」トランザクションに作成します。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として「インターネット・バンキング」、「作成方法」として「複数バケット」、「メンバー・タイプ」として「ユーザー」、「評価優先度」として「高」を選択します。

2. 「属性」タブで、リストからトランザクション金額を選択して新しい属性を追加します。属性の詳細で、「比較演算子」として「範囲」、「開始値」として0、「終了値」を空白、「増分ステップ」として100を選択します。
トランザクション金額が100の範囲で収集されます。

ルールの作成

送金が分類される現在の金額(ドル)範囲バケットが、ユーザーが過去3か月間に5%未満の率でヒットしたバケットである場合にチャレンジするルールを作成します。

1. 「トランザクション更新」チェックポイントで実行する新しいポリシーを作成します。

2. OAAMでトランザクション定義を作成します。

3. 通常と異なる電信送金の金額に対するアラートを含むアラート・グループを作成します。

4. 「トランザクション更新」ポリシーにルールを追加します。

5. 現在のトランザクション・タイプが「インターネット・バンキング」であるかどうかを確認するために、「トランザクション: フィルタ条件を使用した現在のトランザクションの確認」を追加します。

6. このユーザーが過去3か月間で「インターネット・バンキング」トランザクションに5回以上成功しているかどうかを確認するために、「トランザクション: フィルタ条件を使用したトランザクション件数の確認」を追加します。

7. このユーザーが過去3か月間に5%未満の率でこのパターンのメンバーになっているかどうかを確認するために、「パターン(トランザクション): エンティティは特定の率より少ないパターンのメンバーです」を追加します。
入力する値は、「次より小さいパターン・ヒット率」に「5」、「メンバーシップのパターン名」に作成したパターンの名前、「patternHitPercentより少ないメンバーシップ件数」に「True」、「パターン・メンバーシップの期間タイプ」に「月」、「パターン・メンバーシップの期間」に「3」、「パターン・メンバーシップのメンバー・タイプ」に「ユーザー」です。

8. アラートをトリガーし、ユーザーにチャレンジするために、ルール結果を設定します。
ルール結果「アクション・グループ」を「OAAMチャレンジ」に設定します。

ルール結果「アラート・グループ」を通常と異なる電信送金の金額に対するアラートに設定します。

テスト

1. 同じユーザーに対して1から99の金額(ドル)で「インターネット・バンキング」トランザクションを5回実行します。

2. 同じユーザーに対して250の金額(ドル)で「インターネット・バンキング」トランザクションを実行します。このトランザクションの金額はユーザーの通常範囲外であるため、チャレンジ質問が提示されるはずです。質問に正しく回答すると、成功メッセージが表示されます。

A.8 出荷先住所の国のパターンと請求の不一致

Mikeはセキュリティ管理者であり、商品の出荷先国に基づいて、また請求先と出荷先の住所が異なる国の場合に、E-Commerceのトランザクションをプロファイリングする必要があります。国ごとにバケットを作成し、それぞれの国に出荷されるトランザクションをカウントするためのパターンを作成します。また、トランザクションの出荷先国が、過去3か月間の他のすべての注文の出荷先の中で5%未満の国であり、出荷先住所の国と請求先住所の国が異なる場合に通知するルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。システムには、小売りE-CommerceトランザクションなどのE-Commerceのトランザクションを表す定義済トランザクションがあります。トランザクションに、出荷先住所の国および請求先住所の国を示すエンティティまたは属性が含まれている必要があります。

パターンの作成

1. OAAM管理コンソールを開きます。

2. ナビゲーション・ツリーで「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. 「新規パターン」ボタンをクリックします。

4. 国ごとにバケットを作成し、各国に出荷されるトランザクションをカウントするために、新しい複数バケット・パターンをE-Commerceのトランザクションに作成します。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として小売りE-Commerce、「作成方法」として「複数バケット」、「メンバー・タイプ」として「出荷先住所」、「評価優先度」として「高」を選択します。

2. 「属性」タブで、新しい属性を追加し、リストから「国」を選択し、「比較演算子」として「各」を選択します。

ルールの作成

トランザクションの出荷先国が、過去3か月間の他のすべての注文の出荷先の中で5%未満の国であり、出荷先住所の国と請求先住所の国が異なる場合にアラートを生成するルールを作成します。

1. 「トランザクション更新」チェックポイントで実行する新しいポリシーを作成します。

2. OAAM管理コンソールでトランザクション定義を作成します。

3. 請求先住所と出荷先住所の国が異なる場合のアラートを含むアラート・グループを作成します。

4. 「トランザクション更新」ポリシーにルールを追加します。

5. 現在のトランザクション・タイプが小売りE-Commerceであるかどうかを確認するために、「トランザクション: フィルタ条件を使用した現在のトランザクションの確認」を追加します。

6. このユーザーが過去3か月間で小売りE-Commerceトランザクションに5回以上成功しているかどうかを確認するために、「トランザクション: フィルタ条件を使用したトランザクション件数の確認」を追加します。

7. 「セッション: 2つのパラメータ値の比較」条件をルールに追加し、「パラメータ・キー1」として「Transaction.billingAddress.country」、「操作」として「次と等しくない」、「パラメータ・キー2」として「Transaction.shippingAddress.country」、「大/小文字区別なし」として「True」、「データ無しの場合の戻り値」として「False」を指定します。

8. 「パターン(トランザクション): エンティティは特定の率より少ないパターンのメンバーです」条件をルールに追加し、「次より小さいパターン・ヒット率」に「5」、「メンバーシップのパターン名」に手順4で作成したパターン、「patternHitPercentより少ないメンバーシップ件数」に「True」、「パターン・メンバーシップの期間タイプ」に「月」、「パターン・メンバーシップの期間」に「3」、「パターン・メンバーシップのメンバー・タイプ」に「出荷先住所」を指定します。

9. アラートを生成するために、ルール結果を設定します。

事後条件: ユーザーが請求先住所と異なる国に出荷した場合、かつ出荷先国の使用回数が5%未満である場合、アラートが生成されます。

A.9 ブラウザのロケール・パターン

Mikeはセキュリティ管理者であり、ユーザーがアクセスに利用しているブラウザのロケールに基づいてユーザーをプロファイリングする必要があります。ロケール別にユーザーの複数バケット・パターンを作成します。これにより、各ロケールのバケットが作成されます。次に、このユーザーが以前に使用したことのないロケールが使用された場合にチャレンジを受けるルールを作成します。

前提条件: デフォルトのスナップショットがロードされています。

パターンの作成

1. OAAM管理コンソールを開きます。

2. ナビゲーション・ツリーで「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. 「新規パターン」ボタンをクリックします。

4. 各ブラウザ・ロケールを追跡するために、新しい複数バケット・パターンを認証トランザクションに作成します。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として「インターネット・バンキング」、「作成方法」として「複数バケット」、「メンバー・タイプ」として「ユーザー」、「評価優先度」として「高」を選択します。

2. 「属性」タブで、新しい属性を追加し、リストから「ロケール」を選択し、「比較演算子」として「各」を選択します。

ルールの作成

使用されるロケールをこのユーザーがこれまで使用したことがない場合にチャレンジするルールを作成します。

1. 「トランザクション更新」チェックポイントで実行する新しいポリシーを作成します。

2. OAAM管理コンソールを使用してトランザクション定義を作成します。

3. 使用されるロケールをこのユーザーがこれまで使用したことがない場合のアラートを含むアラート・グループを作成します。

4. 「トランザクション更新」ポリシーにルールを追加します。

5. 現在のトランザクション・タイプが「インターネット・バンキング」であるかどうかを確認するために、「トランザクション: フィルタ条件を使用した現在のトランザクションの確認」を追加します。

6. パターン(トランザクション): エンティティは一定期間内で最初のパターンのメンバーです条件をルールに追加し、「条件がTrue」に「True」、「バケット・メンバーシップの期間タイプ」に「年」、「バケット・メンバーシップの期間」に「999」、「パターン・バケット・メンバーシップのメンバー・タイプ」に「ユーザー」、「初回件数」に「1」を指定します。

7. ルール結果「アクション・グループ」を「OAAMチャレンジ」に設定します。

A.10 出荷先住所の国別のクレジット・カード・パターン

Mikeはセキュリティ管理者であり、クレジット・カードと商品の出荷先国に基づいてE-Commerceのトランザクションをプロファイリングする必要があります。クレジット・カードおよび出荷先住所の国ごとにバケットを作成し、トランザクションをカウントするためのパターンを作成します。また、トランザクションで使用されるクレジット・カードが5種類を超える品物に使用されたことがあり、現在の出荷先国が過去3か月間の出荷先の中で5%未満の国である場合に通知するルールを実装します。

前提条件: デフォルトのスナップショットがロードされています。E-Commerceのトランザクションを表すトランザクションがシステムで定義されています。トランザクションに、クレジット・カードおよび出荷先住所を表すエンティティが含まれている必要があります。

パターンの作成

複数バケット・パターンを小売りE-Commerceトランザクションに作成し、「メンバー・タイプ」に「ユーザー」を指定します。Shipping Address.Countryを「各」属性として追加します。

1. OAAM管理コンソールを開きます。

2. ナビゲーション・ツリーで「パターン」をダブルクリックします。パターン検索ページが表示されます。

3. 「新規パターン」ボタンをクリックします。

4. 各クレジット・カードと出荷先住所の国に対応した新しい複数バケット・パターンをE-Commerceのトランザクションに作成し、トランザクションをカウントします。

1. 「新規パターン」ダイアログで、「トランザクション・タイプ」として小売りE-Commerce、「作成方法」として「複数バケット」、「メンバー・タイプ」として「ユーザー」、「評価優先度」として「高」を選択します。

2. 「属性」タブで、新しい属性を追加し、リストから出荷先住所として「Shipping Address.Country」を選択し、「比較演算子」として「各」を選択します。

ルールの作成

トランザクションで使用されるクレジット・カードが5種類を超える品物に使用されたことがあり、現在の出荷先国が過去3か月間の出荷先の中で5%未満の国である場合に通知するルールを作成します。

1. 「トランザクション更新」チェックポイントで実行する新しいポリシーを作成します。

2. OAAM管理コンソールを使用してトランザクション定義を作成します。

3. 通常と異なる出荷先住所の国に対するアラートを含むアラート・グループを作成します。

4. 「トランザクション更新」ポリシーにルールを追加します。

5. 現在のトランザクション・タイプが「インターネット・バンキング」であるかどうかを確認するために、「トランザクション: フィルタ条件を使用した現在のトランザクションの確認」を追加します。

6. このユーザーが過去3か月間で「インターネット・バンキング」トランザクションに5回以上成功しているかどうかを確認するために、「トランザクション: フィルタ条件を使用したトランザクション件数の確認」を追加します。
値は「チェックするトランザクションの選択」に小売りE-Commerce、「カウントするエンティティまたは要素の選択」に「ユーザー」、「カウントに指定された条件」に「次より大きい」、「カウントに指定されたチェック値」に「5」、「継続時間」に3ローリング月、「現在のトランザクションをカウントで無視しますか。」に「True」、「同じユーザーに対してか」に「False」、「現在のトランザクションにフィルタ・チェックを適用しますか。」に「False」です。

7. このユーザーが過去3か月間に5%未満の率でこのパターンのメンバーになっているかどうかを確認するために、「パターン(トランザクション): エンティティは特定の率より少ないパターンのメンバーです」を追加します。
値は「次より小さいパターン・ヒット率」に「5」、「メンバーシップのパターン名」に作成したパターン、「patternHitPercentより少ないメンバーシップ件数」に「True」、「パターン・メンバーシップの期間タイプ」に「月」、「パターン・メンバーシップの期間」に「3」、「パターン・メンバーシップのメンバー・タイプ」に「ユーザー」です。

8. アラートをトリガーし、ユーザーにチャレンジするために、ルール結果を設定します。

テスト

1. 同じユーザーに対して1から99の金額(ドル)で「インターネット・バンキング」トランザクションを5回実行します。

2. 同じユーザーに対して250の金額(ドル)で「インターネット・バンキング」トランザクションを実行します。このトランザクションの金額はユーザーの通常範囲外であるため、チャレンジ質問が提示されるはずです。

A.11 リンクされたエンティティ

AdamはAcme Corporationのセキュリティ管理者です。彼はE-Commerceのトランザクションで使用するカスタマ・エンティティを定義しました。カスタマ・エンティティの定義の一環として、Adamは住所エンティティを2回リンクします。住所は出荷先住所および請求先住所としてリンクします。E-Commerceのトランザクションは、カスタマ・エンティティとリンクされた住所エンティティの両方を含むように定義されています。実行時、トランザクションにこれらのデータがすべて含まれ、そのデータに対してリスク評価を実行できます。

1. 小売りE-Commerceトランザクションのカスタマ・エンティティに必要なフィールドを決定します。
Customerの小売りE-Commerceトランザクションのフィールドは、「名」、「姓」、出荷先住所が同じであるか、「クレジット・カード」、CC有効期限日、CC発行国、「アイテム」、「件数」、「価格」、「住所1」(出荷先住所)、「住所2」(出荷先住所)、「住所3」(出荷先住所)、「市区町村」(出荷先住所)、「都道府県」(出荷先住所)、「国」(出荷先住所)、「郵便番号」(出荷先住所)、「住所1」(請求先住所)、「住所2」(請求先住所)、「住所3」(請求先住所)、「市区町村」(請求先住所)、「都道府県」(請求先住所)、「国」(請求先住所)および「郵便番号」(請求先住所)です。

2. トランザクション定義を決め、その定義とソース・データのマッピングを決定します。ソース・データ要素は、カスタマ・アプリケーションからのフィールドです。カスタマ・アプリケーションで使用されるキーとソース・データのキーが一致することを確認してください。
トランザクション名が小売りE-Commerce、トランザクション・キーがtrx_reのトランザクションの例を次に示します。

表A-1 データ・フィールドとソース・キー

データ名

内部ID

項目

itemId

価格

itemPrice

件数

itemCount

名

customer.firstName

姓

customer.lastName

クレジット・カード

creditCard.number

CC有効期限日

creditCard.expDate

CC発行国

creditCard.issuingCountry

出荷先住所が同じであるか

shippingAddress.addressSame

住所1

shippingAddress.addressLine1

住所2

shippingAddress.addressLine2

住所3

shippingAddress.addressLine3

市区町村

shippingAddress.city

都道府県

shippingAddress.state

国

shippingAddress.country

PINコード

shippingAddress.pinCode

住所1

billingAddress.addressLine1

住所2

billingAddress.addressLine2

住所1

billingAddress.addressLine3

市区町村

billingAddress.city

都道府県

billingAddress.state

国

billingAddress.country

PINコード

billingAddress.pinCode

3. OAAM管理コンソールにログインし、ナビゲーション・ツリーの「エンティティ」をダブルクリックして、アイテムのエンティティCustomerとAddressを作成します。
エンティティは、複数のトランザクションで再利用できるデータ構造です。たとえば、住所エンティティは出荷先住所、請求先住所、自宅住所などとして使用できます。また、ほとんどのエンティティでは、データを最適化するために、複数のデータ・ポイントをこの構造に組み込むこともできます。たとえば、住所には、通り番号、通り名、アパート番号、市区町村、都道府県、郵便番号および国を含めることができます。

4. エンティティ検索ページで「新規エンティティ」ボタンをクリックして、住所エンティティを作成します。

5. 「サマリー」タブで、次の値を指定します。
エンティティ名: Address

キー: key

説明: description

図A-1 エンティティのサマリー

6. 「データ」タブで、「追加」ボタンをクリックしてデータ要素を追加します。数値データ型は暗号化できません(文字列型を使用します)。

注意:

内部IDの値は一意である必要があります。

ラベル: Webページのコンポーネント・データを識別するために使用するテキスト。

説明: データ要素の説明。

データ・キー: データ・キーは、エンティティのデータ要素を識別するために使用されます。「データ」タブで指定したデータ・キーは、内部で使用されます。通常はルール条件内で使用されます。このキーは定義した後に変更しないでください。

必須: True/False。データは利用できない場合もあるため、一部のデータ要素は未入力になることもあります。たとえば、住所の「住所2」は存在しないことが多いため、必須ではありません。

暗号化済: 暗号化済がtrueに設定されている場合、データは暗号化されてからデータベースに格納されます。この機能により機密データを保護できます。これらのフィールドはルールでは使用しないでください。使用された場合、これらのフィールドとの比較対象として通常の値を指定できず、値は暗号化された値にする必要があります。これらのフィールドは、問合せ画面からトランザクションを問い合せるときに、検索基準で使用できません。数値フィールドは暗号化できません。

データ型: データ型は属性に使用できるデータの型を指定する属性で、ブール・データ型、日付データ型、名前値プロファイル、数値データ型および文字列データ型があります。

7. 「IDスキーム」タブで、表を使用してエンティティのデータ要素を追加、構成および編集します。また、「データ識別スキーム」を「キー別」または「ダイジェスト別」から選択します。
識別スキームにより、エンティティの一部である要素を使用してエンティティを一意に識別する方法が決定されます。選択された要素はプレーン・テキスト(キー)または暗号化済(ダイジェスト)として保存する必要があります。

キー別: このスキームは、エンティティの選択された要素を連結して、一意の識別子を作成します。

ダイジェスト別: このスキームは、エンティティの選択された要素の値をハッシュして、一意の識別子を作成します。結果として作成されるキーは、通常は暗号化されます。データ値が大きい場合、またはデータ値を保護する必要がある場合、このスキームを使用します。

8. 「表示」タブで、表を使用してエンティティの表示要素を追加、構成および編集します。
住所エンティティの属性には、番地1、番地2、「市区町村」、「都道府県」、「国」、郵便番号および電話番号があります。番地1、「市区町村」、「国」および郵便番号属性は、住所を一意に識別するために使用できます。番地2および電話番号属性は必須ではありません。

番地1のみでは、住所を一意に識別できません。たとえば、150 Main Streetは複数のロケーションに存在する場合があります。

9. 「パージ」タブで、エンティティ・データがデータベースからパージされるタイミングを決定する値を設定します。
次の期間更新されていないエンティティ・データをすべてパージします: 過去[number]日間

いずれのエンティティ・データもパージしないでください。

10. 「アクティブ化」をクリックします。

11. エンティティ検索ページで「新規エンティティ」ボタンをクリックして、カスタマ・エンティティを作成します。

12. 「サマリー」タブで、次の値を指定します。
エンティティ名: Customer

キー: key

説明: description

図A-2 エンティティのサマリー

13. 「データ」タブで、「追加」ボタンをクリックしてデータ要素を追加します。数値データ型は暗号化できません(文字列型を使用します)。

注意:

内部IDの値は一意である必要があります。

14. 「IDスキーム」タブで、表を使用してエンティティのデータ要素を追加、構成および編集します。また、「データ識別スキーム」を「キー別」または「ダイジェスト別」から選択します。

15. 「表示」タブで、表を使用してエンティティの表示要素を追加、構成および編集します。

16. 「パージ」タブで、エンティティ・データがデータベースからパージされるタイミングを決定する値を設定します。
次の期間更新されていないエンティティ・データをすべてパージします: 過去[number]日間

いずれのエンティティ・データもパージしないでください。

17. 「アクティブ化」をクリックします。

18. リンクされたエンティティ・タブで、エンティティをリンクします。ツールバーの「エンティティのリンク」ボタンをクリックします。

19. 「エンティティのリンク」ダイアログで、カスタマ・エンティティにリンクする住所エンティティを検索します。

20. エンティティを選択し、「次」をクリックします。

21. カスタマ・エンティティへのリンクの名前を指定し、「追加」ボタンをクリックします。データ・プレビューに、次の項目が表示されます。
住所1

住所2

住所3

市区町村

都道府県

国

郵便番号

PINコード

22. リンクされたエンティティ・タブで、エンティティをリンクします。ツールバーの「エンティティのリンク」ボタンをクリックします。

23. 「エンティティのリンク」ダイアログで、カスタマ・エンティティにリンクする住所エンティティを検索します。

24. エンティティを選択し、「次」をクリックします。

25. カスタマ・エンティティへのリンクの名前を指定し、「追加」ボタンをクリックします。

26. 「アクティブ化」をクリックします。

27. Itemエンティティを作成します。

28. トランザクションをダブルクリックします。

29. 次の情報を入力してトランザクション定義の作成を開始します。

- トランザクション・タイプ

- 説明

- 定義キー

30. このトランザクションに既存または新しいエンティティを追加します。

31. トランザクション・データを追加します。このデータはトランザクションの発生ごとに一意であるため、異なるトランザクション間で再利用することはできません。たとえば、トランザクションの合計金額(ドル)を複数のトランザクションで再利用することはできないため、合計金額はエンティティではなくトランザクション・データである必要があります。

32. 「データ・ソース」で、次の項目を指定します。

- ソース・データ名

- 内部ID

- 説明

33. マッピングを使用して、ソース・データをOAAMエンティティとトランザクション・データに接続します。

34. 「パージ」で、トランザクション・データがデータベースからパージされるタイミングを決定する値を設定します。

35. 出荷先住所をカスタマにリンクします。

36. アプリケーションにログインし、いくつかのテスト・トランザクションを作成または生成します。

37. OAAM管理コンソールにログインし、トランザクション・データを確認して、トランザクションが作成されたことを確認します。

38. 必要なルールのモデリングに使用できるトランザクション・ルール条件を決定します。

39. まず新しいポリシーを作成することによって、トランザクション・ルールのポリシーを作成します。

40. アプリケーションを使用して、ルールをトリガーするトランザクションを作成します。

41. OAAM管理コンソールを使用して、構成したルールがトリガーされているかどうかを確認します。

B 条件リファレンス

条件は構成可能な評価文であり、OAAMのルール評価プロセスおよびフローの意思決定における基本構成要素となります。条件では、履歴データおよび実行時データのデータ・ポイントを使用してリスクまたはビジネス・ロジックを評価します。条件は、その条件で使用されるデータの種類に基づいて分類されます。たとえば、ユーザー、デバイス、ロケーションなどです。条件はシステムで事前にパッケージ化されており、ユーザーが作成することはできません。条件は、ルールへの追加時にユーザーが入力する場合があります。

この項は、次の項目で構成されています。

- B.1「使用可能な条件」

- B.2「説明」

- B.3「自動学習条件」

- B.4「デバイス条件」

- B.5「ロケーション条件」

- B.6「セッション条件」

- B.7「システム条件」

- B.8「トランザクション条件」

- B.9「ユーザー条件」

B.1 使用可能な条件

次の表に、使用可能な標準の条件を示します。

表B-1 ルール条件

条件

説明

常にオン - ユーザー

このルールは常に処理されます。

デバイス: ブラウザ・ヘッダー・サブストリング

指定された文字列が、ブラウザ・ヘッダー情報のサブストリングとして存在するかどうかを確認します。

デバイス: デバイスが特定のタイプであるかどうかの確認

現在のデバイスが選択されたデバイス・タイプであるかどうかを確認します。

デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認

現在のデバイスが、ユーザー・エージェント文字列に基づいてサイトにアクセスするためにモバイル・ブラウザを使用しているかどうかを確認します。

デバイス: ユーザーの初回デバイス

このデバイスが、このユーザーに初めて使用されるかどうかを確認します。

デバイス: グループ内デバイス

このデバイスがグループ内にあるかどうかを確認します。

デバイス: 過剰使用

デバイスは過剰使用されているものの、以前に使用されていないかどうかを確認します。

デバイス: 登録済

ユーザーがこのデバイスを登録しているかどうかを確認します。

デバイス: 期間内の指定ステータス以外

指定期間内の指定ステータスを除くすべてのステータスに対する最大ログイン試行数を確認します。

デバイス: ユーザー件数

過去x秒間にこのデバイスを使用した一意のユーザー件数を確認します。

デバイス: ユーザーの使用数

デバイス使用件数を確認します。この条件は、デバイス件数を計算するために現在のリクエストを無視します。

デバイス: ユーザー・ステータス件数

指定期間中にこのデバイスからの特定のステータスを持つユーザー件数を確認します。

デバイス: 最終ログインからの速度

1時間当たりのマイル数が指定値を超え、かつ、IPが、無視するIPグループに属していない場合にトリガーされます。

ロケーション: グループ内ASN

現在のIPアドレスのASNがASNグループ内にあるかどうかを確認します。

ロケーション: グループ内のキャリア

IPが指定されたキャリア・グループ内にあるかどうかを確認します。

ロケーション: グループ内の市区町村

IPが指定された市区町村グループ内にあるかどうかを確認します。

ロケーション: グループ内ドメイン

第2レベル・ドメインがグループ内にあるかどうかを確認します。

ロケーション: 国グループ内

IPが指定された国グループ内にあるかどうかを確認します。

ロケーション: グループ内のIP接続スピード

IP接続スピードがグループ内にあるかどうかを確認します。

ロケーション: IP接続タイプ

IPの接続タイプを確認します。接続タイプはDSL、ケーブル、ISDN、ダイアルアップ、固定無線、モバイル無線、衛星、フレーム・リレー、T1/T3、OCXなどにできます。

ロケーション: グループ内のIP接続タイプ

IP接続タイプがグループ内にあるかどうかを確認します。

ロケーション: IP過剰使用

IPは過剰使用されているものの、以前に使用されていなかったかどうかを確認します。

ロケーション: グループ内IP

IPがIPグループ内にあるかどうかを確認します。

ロケーション: 範囲グループ内のIP

IPがIP範囲グループで指定したIP範囲内にあるかどうかを確認します。アクティビティのIPが、範囲のリストで指定したIP範囲の1つに属しているかどうかが、条件によって確認されます。

ロケーション: IPはAOL

IPがAOLプロキシのIPであるかどうかを確認します。

ロケーション: IP回線スピード・タイプ

IPの接続回線スピード・タイプを確認します。高、中、低または不明に分類されます。

ロケーション: IP最大ログイン数

指定継続時間内に現在のIPアドレスを使用するログインの最大数を確認します。この条件は、最大ログイン件数の評価中に現在のリクエストを無視します。

ロケーション: IP最大ユーザー数

指定継続時間内に現在のIPアドレスを使用するユーザーの最大数を確認します。

ロケーション: IP複数デバイス

指定継続時間内のIPアドレスからの最大デバイス数を確認します。

ロケーション: IPルーティング・タイプ

IPのルーティング・タイプを確認します。固定/静的、アノニマイザ、AOL、POP、スーパーPOP、衛星、キャッシュ・プロキシ、国際プロキシ、地域プロキシ、モバイル・ゲートウェイまたは不明になります。

ロケーション: グループ内IPルーティング・タイプ

IPルーティング・タイプがグループ内にあるかどうかを確認します。

ロケーション: IPタイプ

IPが有効、不明またはプライベートのいずれであるかを確認します。

ロケーション: AOLからのIP

IPがAOLプロキシのIPであるかどうかを確認します。

ロケーション: グループ内ISP

現在のIPアドレスのISPがISPグループ内にあるかどうかを確認します。

ロケーション: グループ内の都道府県

IPが指定された都道府県グループ内にあるかどうかを確認します。

ロケーション: 期間内の指定ステータス以外

指定期間内の指定ステータスを除くすべてのステータスに対する最大ログイン試行数を確認します。

ロケーション: グループ内トップ・レベル・ドメイン

トップ・レベル・ドメインがグループ内にあるかどうかを確認します。

ロケーション: ユーザー・ステータス件数

指定期間中にこのロケーションからの特定のステータスを持つユーザー件数を確認します。

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

現在のアクセス・リクエストに関係する指定されたタイプ(ユーザー、デバイス、ロケーションなど)のエンティティが、構成された時間範囲内で定義されている率よりも少なく、または多く指定されたパターンのメンバーであるかどうかを評価します。

パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです

このエンティティが一定期間内で最初のパターン・バケットのメンバーであるかどうかを確認します。

パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

他のすべてのエンティティを考慮し、率を基準としてこのエンティティがこのパターン・バケットのメンバーであるかどうかを確認します。

パターン(認証): エンティティはN回にわたるパターンのメンバーです

エンティティがN回を超えるパターンのメンバーであるかどうかを確認します。この条件は、個別のバケット・メンバーシップではなくパターン・メンバーシップを評価するため、単一バケット・タイプのパターンでのみ使用することを意図しています。

パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです

このエンティティがこのバケットのメンバーであるかどうかを確認します。以前にこのエンティティがこのバケットに属していた場合は比較できます。

パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです

このエンティティが一定期間内で最初のパターン・バケットのメンバーであるかどうかを確認します。

パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

他のすべてのエンティティを考慮し、率を基準としてこのエンティティがこのパターン・バケットのメンバーであるかどうかを確認します。

パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

現在のアクセス・リクエストに関係する指定されたタイプ(ユーザー、デバイス、ロケーションなど)のエンティティが、構成された時間範囲内で定義されている率よりも少なく、または多く指定されたパターンのメンバーであるかどうかを評価します。

パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです

このエンティティがN回を超えるパターンのメンバーであるかどうかを確認します。この条件は、個別のバケット・メンバーシップではなくパターン・メンバーシップを評価するため、単一バケット・タイプのパターンでのみ使用することを意図しています。

パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです

このエンティティが指定された時間範囲内のN回を超える現在のパターン・バケットのメンバーであるかどうかを確認します。この条件は、単一バケット・タイプおよび複数バケット・タイプの両方のパターンでのみ使用することを意図しています。これにより、個別のバケット・メンバーシップが評価されます。

パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

このエンティティが、すべてのエンティティの通常の頻度よりも高い(低い)頻度のパターン条件のメンバーであるかどうかを確認します。

パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

このエンティティが、このエンティティの通常の頻度よりも高い(低い)頻度のパターン条件のメンバーであるかどうかを確認します。

トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認

フィルタ条件を使用してトランザクションのエンティティ件数または要素件数を確認します。

トランザクション: フィルタ条件を使用した現在のトランザクションの確認

フィルタ条件を使用して現在のトランザクションを確認します。

トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認

特定期間中の連続トランザクションがフィルタ条件を満たすかどうかを確認します。

トランザクション: トランザクションでエンティティが使用された回数の確認。

エンティティの使用回数と指定件数を比較します。

トランザクション: フィルタ条件を使用したトランザクション集計および件数の確認

フィルタ条件を使用してトランザクション集計および件数を確認します。

トランザクション: フィルタ条件を使用したトランザクション件数の確認

フィルタ条件を使用してトランザクション件数を確認します。

トランザクション: 指定件数の一意トランザクション・エンティティ件数の確認

指定件数の一意トランザクション・エンティティ件数を確認します。

トランザクション: 2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)の比較

2つの異なる期間でトランザクション集計(Sum/Avg/Min/Max)を比較します。

トランザクション: 2つの異なる期間でのトランザクション件数の比較

2つの異なる期間でトランザクション件数を比較します。

トランザクション: 2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較

2つの異なる期間でトランザクション・エンティティ件数または要素件数を比較します。

セッション: パラメータ値の確認

指定したパラメータ値が指定値を超えるかどうかを確認します。

セッション: 正規表現のパラメータ値の確認

指定したパラメータ値が正規表現と一致するかどうかを確認します。

セッション: グループ内のパラメータ値の確認

指定したパラメータ値がグループ内にあるかどうかを確認します。

セッション: リスク・スコア分類の確認

以前のチェックポイント実行からのリスク・スコアに基づいてリスク・スコア分類を確認します。

セッション: 文字列パラメータ値の確認

確認して文字列値を比較します。

セッション: 2つの文字列パラメータ値の確認

確認して2つのパラメータ文字列値を比較します。

セッション: カンマ区切り値内にある値の確認

指定した値が、カンマ区切り値リストに存在するかどうかを確認します。

セッション: 2つのパラメータ値の比較

2つのパラメータ値を比較します。

セッション: フィルタ条件を使用した現在のセッションの確認

(最大5個の)フィルタ条件を使用して現在のセッションを確認します。

セッション: 現在の日時との比較

指定されたパラメータ値を現在時間と比較します。

セッション: Cookie不一致

指定されたCookieと予想されたCookieの不一致があるかどうかを確認します。

セッション: IP変更

トランザクションが開始してからIPアドレスが変更されたかどうかを確認します。

セッション: ブラウザ・フィンガープリントにおける不一致

ブラウザ・フィンガープリントに、認証中に指定されたフィンガープリントとの不一致があるかどうかを確認します。フィンガープリントは、ルール・エンジンに渡されたコンテキスト値を使用して構成されます。

セッション: 時間単位

現在の時間単位が指定した時間単位基準と一致するかどうかを確認します。

システム - ブール・プロパティの確認

システム・プロパティを確認します。

システム: 任意のパターンに対して十分なデータが使用可能かどうかが確認されます

パターン・データの定義された最小容量がOAAMデータベースで取得されたかどうかを確認します。通常、最良の結果を得るには、しきい値が1-3か月の間に設定されている必要があります。標準のポリシーでは、このルールを使用して、パターン・ベースのリスク分析の実行を開始するのに十分なパターン・データが取得されているかどうかを判断します。

システム: 十分なパターン・データが使用可能かどうかの確認

十分なパターン・データが使用可能かどうかを確認します。この条件では、特定のパターンに対する過去数日間のパターン・データがシステムで使用可能かどうかを確認します。

システム - 整数プロパティの確認

システム・プロパティを確認します。

システム - ポリシー最大スコアの確認

ポリシー最大スコアを確認します。

システム - ポリシー最小スコアの確認

ポリシー最小スコアを確認します。

システム - リクエスト日の確認

リクエスト日を確認します。

システム - 文字列プロパティの確認

システム・プロパティを確認します。

システム - ポリシーの評価

ルールとしてポリシーを処理して、結果を評価します。

ユーザー: アカウント・ステータス

ユーザーのアカウント・ステータスを確認します。

ユーザー: アクション件数

特定アクションのアクション・カウンタを確認します。この条件は、アクション構成に依存しています。

ユーザー: 期間内のアクション件数

特定のアクション件数が指定件数を超えているかどうかを確認します。チェックポイントが指定されていない場合、アクションはすべてのチェックポイントで確認されます。

ユーザー: 期間内のアクション

過去x秒内の最大アクション数を確認します。

ユーザー: 初回ASN

このASNを初めて使用するユーザーかどうかを確認します。

ユーザー: 認証イメージ割当済

ユーザーに認証イメージが割り当てられているかどうかを確認します。

ユーザー: 認証モード

ユーザー認証モードを確認します。

ユーザー: チャレンジ・チャネル失敗

ユーザーの特定のチャネルからの失敗カウンタ値が指定された値を超えるかどうかを確認します。

ユーザー: チャレンジ失敗が以前の最終チャレンジに一致

日数が経過してから、時間数が経過するまでの最後のチャレンジかどうかを確認します。

ユーザー: チャレンジ失敗 - 最小失敗数

ユーザーの失敗カウンタ値が指定された値を超えるかどうかを確認します。

ユーザー: チャレンジの最大失敗数

ユーザーが指定回数、チャレンジ質問への回答に失敗したかどうかを確認します。

ユーザー: チャレンジ質問失敗

失敗のある質問数を確認します。

ユーザー: 期間内のチャレンジ

ユーザーが過去n日以内にチャレンジ質問への回答に成功したかどうかを確認します。

ユーザー: 異常なユーザー・リクエストの確認

現在のユーザー・リクエストが異常かどうかを確認します。

ユーザー: 特定のタイプのデバイスが使用されているかどうかの確認

特定のタイプのデバイスが、"n"秒以内に成功したセッションで使用されているかどうかを確認します。

ユーザー: 使用されるデバイスの確認

指定時間に試行されたデバイス数を確認します。

ユーザー: 初回ログイン時間の確認

ユーザーが範囲内に初回ログインしたどうかを確認します。初回ログインは、初回の成功ログインです。

ユーザー: 不正なユーザー・リクエストの確認

現在のユーザー・リクエストが不正かどうかを確認します。

ユーザー: 情報の確認

ユーザー情報が設定されているかどうかを確認します。確認する情報データは、キー値ペアとして送信されます。

ユーザー: 最終セッション・アクションの確認

特定アクションが最終セッションにあるかどうかを確認します。チェックポイントが指定されていない場合、アクションはそのセッションのすべてのチェックポイントで確認されます。

ユーザー: ログイン件数の確認

指定期間内のユーザー・ログイン件数を確認します。

ユーザー: ログイン時間の確認

ユーザーのログイン時間が指定された時間内かどうかを確認します。

ユーザー: OTP失敗の確認

指定した値に対してユーザーのOTP障害カウンタ値を確認してください

ユーザー: ユーザー・データのチェック

指定されたキーのユーザー・データを確認します。

ユーザー: チェックポイント・スコア

スコアが制限内かどうかを確認します。

ユーザー: ユーザーの初回市区町村

この市区町村を初めて使用するユーザーかどうかを確認します。

ユーザー: クライアントおよびステータス

ユーザーのアカウント・ステータスを確認します。

ユーザー: ユーザーの国失敗件数

特定の国のユーザーの失敗件数を確認します。

ユーザー: ユーザーの初回国

この国を初めて使用するユーザーかどうかを確認します。

ユーザー: グループの初回国

この国が、指定された国グループからのこのユーザーに初めて使用されるかどうかを確認します。

ユーザー: 最終成功ログインからの距離

指定時間内での最終成功ログインからの距離を確認します。

ユーザー: 制限内での最終成功ログインからの距離

指定時間内の最終成功ログインからの距離が、制限内であるかどうかを確認します。

ユーザー: イメージ・ステータス

ユーザーのイメージ・ステータスを確認します。

ユーザー: グループ内

ユーザーが指定されたグループ内に存在するかどうかを確認します。

ユーザー: 初回IPキャリア

このIPキャリアを初めて使用するユーザーかどうかを確認します。

ユーザー: 現在のIPと一致する最終IP

ユーザーのログインIPアドレスが、前回のログインのIPアドレスと一致するかどうかを確認します。

ユーザー: ユーザー・エージェントの一致

ユーザー・エージェントが、同一デバイスからの前のログインのユーザー・エージェントと一致するかどうかを確認します。

ユーザー: 最終ログイン・ステータス

ユーザーのログイン・ステータスが指定されたリストにあるかどうかを確認します。

ユーザー: 指定時間内の最終ログイン

指定時間内の最終ログインを確認します。

ユーザー: 期間内のロケーション使用

ユーザーがこのロケーションを指定された期間内に使用したかどうかを確認します。

ユーザー: 初回ログイン

ユーザーが初回ログインであるかどうかを確認します。

ユーザー: グループでのログイン

ユーザー・ログインが指定されたグループ内であるかどうかを確認します。

ユーザー: 指定時刻間のログイン時間

指定時刻間のログイン時間を確認します。

ユーザー: 最大市区町村数

指定期間内の市区町村の数です。

ユーザー: 最大国数

指定期間内の国の数を確認します。

ユーザー: 時間内の最大IP数

指定期間内の最大IP数を確認します。

ユーザー: 期間内の最大ロケーション数

指定期間内の最大ロケーション数を確認します。

ユーザー: 最大都道府県数

指定期間内の都道府県数を確認します。

ユーザー: 複数の失敗

ユーザーが複数回失敗したかどうかを確認します。

ユーザー: 特定のタイプの登録済デバイス数の確認

特定のタイプの登録済デバイス数。

ユーザー: フレーズ・ステータス

ユーザーのフレーズ・ステータスを確認します。

ユーザー: プリファレンス構成済

ユーザー・プリファレンスが設定されているかどうかを確認します。

ユーザー: 質問ステータス

ユーザーの質問ステータスを確認します。

ユーザー: 失効セッション

このセッションが作成された後、新しいセッションが確立されたかどうかを確認します。

ユーザー: ユーザーの初回都道府県

この都道府県を初めて使用するユーザーかどうかを確認します。

ユーザー: 期間内のステータス件数

ユーザーが指定時間内に複数回のログインを試行したかどうかを確認します。

ユーザー: ユーザー・エージェント率の一致

ユーザー・エージェント一致率が指定率を上回っているかどうかを確認します。同一デバイスからの前のログインのブラウザ・ユーザー・エージェント文字列(UAS)と比較します。

ユーザー: ユーザーの初回キャリア

ユーザーが以前このキャリアを正常に使用したかどうかを確認します。

ユーザー: ユーザーの初回市区町村

ユーザーが以前この市区町村を正常に使用したかどうかを確認します。

ユーザー: ユーザーの初回国

ユーザーが以前この国を正常に使用したかどうかを確認します。

ユーザー: グループ内のユーザー・グループ

ユーザー・グループが指定されたグループ内に存在するかどうかを確認します。

ユーザー: ユーザーの初回IP

ユーザーが以前このIPを正常に使用したかどうかを確認します。

ユーザー: ユーザーの初回ISP

ユーザーが以前このISPを正常に使用したかどうかを確認します。

ユーザー: ユーザーはN回にわたるパターンのメンバーです

このユーザーがこのパターン条件のメンバーであるかどうかを確認します。

ユーザー: ユーザーの初回都道府県

ユーザーが以前この都道府県を正常に使用したかどうかを確認します。

ユーザー: 最終成功ログインからの速度

最終成功ログインからの速度を確認します。

ユーザー: 制限内における最終成功ログインからの速度

最終成功ログインからの速度が指定制限内である場合にトリガーされます。

次の表に、デバイスのフィンガープリント条件を示します。

表B-2 デバイスID条件

条件

説明

デバイスID: Cookie一致

両方のCookieのトラッカ・ノードが一致するかどうかを確認します。

デバイスID: Cookie状態

特定のデバイスおよびユーザーのCookie状態を確認します。

デバイスID: ヘッダー・データ一致

ヘッダー・データが一致するかどうかを確認します。

デバイスID: ヘッダー・データ一致率

ヘッダー・データ一致率が指定された範囲内かどうかを確認します。

デバイスID: ヘッダー・データが存在します

ヘッダー・データが存在するかどうかを確認します。

デバイスID: ブラウザのHTTPヘッダー・データ一致

ブラウザがHTTPヘッダー・データに基づいて一致しているかどうかを確認します。

デバイスID: HTTPヘッダー・データ・ブラウザ・アップグレード

ブラウザがHTTPヘッダー・データに基づいてアップグレードされているかどうかを確認します。

デバイスID: HTTPヘッダー・データOS一致

OSがHTTPヘッダー・データに基づいて一致するかどうかを確認します。

デバイスID: HTTPヘッダー・データOSアップグレード

OSがHTTPヘッダー・データに基づいてアップグレードされているかどうかを確認します。チェックはバージョンに基づいています。

デバイスID: 無効なCookie

履歴に基づいてユーザーのCookieが無効になっているかどうかを確認します。

デバイスID: 空のCookie

Cookieの値が空か空でないかを確認します。検証チェックは含まれていません。

デバイスID: 同じデバイスからのCookie

HTTP CookieとFlash Cookieが同じデバイスからのものかどうかを確認します。現在のノードが見つからない場合、自動的に古いノードを確認します。

デバイスID: 古いCookie

Cookieが古いCookieから送信されているかどうかを確認します。

デバイスID: 有効なCookie

指定のCookie値に有効なノードがあるかどうかを確認します。

デバイスID: 既知のヘッダー・データ一致率

既知のヘッダー・データ一致率が指定された範囲内かどうかを確認します。

デバイスID: ユーザーの初回ASN

ユーザーが以前このASNを正常に使用したかどうかを確認します。

デバイスID: このフィンガープリントを使用したユーザー

ユーザーが以前このフィンガープリントを使用したかどうかを確認します。

B.2 説明

この付録では、デバイス、自動学習、ロケーション、トランザクション、セッション、システムおよびユーザー条件に重点を置いています。

B.3 自動学習条件

この項では、自動学習条件に関する情報を提供します。

B.3.1 パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです

表B-3に、「パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです」条件に関する一般情報を示します。

表B-3 パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです

条件

パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです

説明

「パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです」条件により、エンティティが一定期間内で最初のパターン・バケットのメンバーであるかどうかが判別されます。

「初回」とは相対的な機能であるとみなすことができます。初回メンバーシップを実際に追跡する場合は、期間タイプとして「年」、ルール/ポリシー構成に5年などのLONG値を使用します。

前提条件

定義された最初のクラス・エンティティのメンバー・タイプを使用して、認証タイプのパターンを作成する必要があります。このパターンによって、ユーザー、デバイス、IP、市区町村、都道府県、国などの最初のクラス・エンティティが処理されます。

前提

自動学習を有効化しておきます。

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。チェックポイントの構成の詳細は、「初回件数」パラメータを参照してください。

「パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです」条件のパラメータ

表B-4には、「パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです」条件のパラメータが示されています。

表B-4 「パターン(認証): エンティティは一定期間内で最初のパターン・バケットのメンバーです」条件のパラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回バケットのパターン名

初回パターン・バケットがチェックされるパターンの名前。

即時利用可能なパターンは、次のとおりです。

- ユーザー: デバイス・プロファイリング・パターン

- ユーザー: ISPプロファイリング・パターン

- ユーザー: 国プロファイリング・パターン

- ユーザー: 接続タイプ・プロファイリング・パターン

- ユーザー: ASNプロファイリング・パターン

- ユーザー: 都道府県プロファイリング・パターン

- ユーザー: ロケール・プロファイリング・パターン

- ユーザー: 曜日プロファイリング・パターン

- ユーザー: ルーティング・タイプ・プロファイリング・パターン

- ユーザー: 時間範囲プロファイリング・パターン

作成した他のパターンを使用することもできます。

注意: ドロップダウン・リストにはアクティブなパターンのみが表示されます。

いいえ

条件がtrue

「条件がTrue」パラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

ユーザーが初回バケットに含まれ、このパラメータの値がTrueである場合、条件はTrueに評価されます。

ユーザーが初回バケットに含まれず、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

TrueまたはFalse

いいえ

バケット・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間 (過去n時間内の初回)

- 日 (過去n日間内の初回)

- 月 (過去n月間内の初回)

- 年 (過去n年間内の初回)

いいえ

バケット・メンバーシップの期間

バケット・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

パターン・バケット・メンバーシップのメンバー・タイプ

パターンによってデータが収集されるメンバーのタイプ。

トランザクションに適用できるメンバーのタイプ。認証の場合、「ユーザー」、「デバイス」、「IP」、「市区町村」、「都道府県」および/または「国」を選択します。

いいえ

初回数

パターン・バケット数の比較対象の数(値)。

デフォルト値は1です。

認証前チェックポイントで実行されるポリシーでこのルールが使用される場合、この値として0を選択します(これは、認証が成功した後に自動学習が行われるためです)。認証前チェックポイントの場合、現在のログインに対して自動学習は行われません。他のすべてのチェックポイント(認証後、および認証後の任意のチェックポイント)の場合、値として1を選択します。

いいえ

使用例

パターンおよびルールは、現在のアクセス・リクエストが、指定された時間枠において、現在ユーザーが存在する都道府県からの初めてのアクセスであるかどうかを検出するよう構成できます。たとえば、Johnがカリフォルニアからログインしたのが、過去6か月間で今回が初めてであるかどうかなどです。

B.3.2 パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

表B-5には、「パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」条件に関する一般情報が示されています。

表B-5 パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

条件

パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

説明

このエンティティが率を基準としてこのパターン条件のメンバーであるかどうかを確認します。

前提条件

定義された最初のクラス・エンティティのメンバー・タイプを使用して、認証トランザクション・タイプのパターンを作成しておく必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。この条件はすべてのチェックポイントで使用できますが、データがこの時点までに処理されていない場合、使用データはセッションによって失効します。この条件は認証タイプのみを対象としています。

「パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」パラメータ

表B-6では、「パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」条件のパラメータについて説明します。

表B-6 「パターン(認証): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

パターン・ヒット率

比較に使用されるパターンのヒット率。

現在のエンティティ動作の発生率が指定された率より少なく、「patternHitPercentより少ないメンバーシップ件数」パラメータがTrueに設定されている場合、この条件がトリガーされます。

たとえば、ユーザーがこのパターンからログインした率が10%より少ないときに条件をトリガーするルールであるとします。パターン・ヒット率の値は10です。

市区町村パターンを作成し、ユーザーが10%未満の率で特定の市区町村からアクセスしたときにトリガーするようルールを構成する場合、アクセス率が10%に達するまではユーザーがこの市区町村からログインするとルールがトリガーされます。

パターン・ヒット率は、条件のトリガーが停止されるしきい値です。

整数値のみ使用します。

いいえ

メンバーシップのパターン名

メンバーシップ件数を確認するために使用されるパターンの名前。

即時利用可能なパターンは、次のとおりです。

- ユーザー: デバイス・プロファイリング・パターン

- ユーザー: ISPプロファイリング・パターン

- ユーザー: 国プロファイリング・パターン

- ユーザー: 接続タイプ・プロファイリング・パターン

- ユーザー: ASNプロファイリング・パターン

- ユーザー: 都道府県プロファイリング・パターン

- ユーザー: ロケール・プロファイリング・パターン

- ユーザー: 曜日プロファイリング・パターン

- ユーザー: ルーティング・タイプ・プロファイリング・パターン

- ユーザー: 時間範囲プロファイリング・パターン

作成した他のパターンを使用することもできます。

注意: ドロップダウン・リストにはアクティブなパターンのみが表示されます。

いいえ

patternHitPercentより少ないメンバーシップ件数

この設定は、評価が指定された率より上または下である場合にトリガーされるかどうかを制御します。

このパラメータは条件の結果を否定するために使用できます。

このパラメータがTrueで、パターン・ヒット率が指定された率より小さいことがTrueである場合、この条件はTrueに評価されます。

このパラメータがFalseで、パターン・ヒット率が指定された率より小さいことがFalseである場合、この条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

TrueまたはFalse

いいえ

パターン・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」または「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップの期間

パターン・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

パターン・メンバーシップのメンバー・タイプ

メンバー・タイプ(認証の場合、「ユーザー」、「デバイス」、「IP」、「市区町村」、「国」)。

該当パターン・タイプに適用できるメンバーのタイプ。認証タイプの選択肢は、「ユーザー」、「デバイス」、「IP」、「市区町村」、「都道府県」および/または「国」です。

いいえ

使用例

このユーザーが存在する現在の都道府県からアクセスしたのが、過去2か月間の3%未満の時間である場合にトリガーします。たとえば、Johnがカリフォルニアからログインしたのが、過去2か月間の5%未満の時間であるかどうかなどです。

B.3.3 パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

表B-7には、「パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)」条件に関する一般情報が示されています。

表B-7 パターン(認証): エンティティは、特定の率より少ないパターンのメンバーです(イメージ内のすべてのエンティティを含む)

条件

パターン(認証): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

説明

他のすべてのエンティティを考慮し、率を基準としてこのエンティティがこのパターン・バケットのメンバーであるかどうかを確認します。

前提条件

条件をルールやポリシーに追加する前に、エンティティおよびパターンを定義しておく必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

10.1.4.5

チェックポイント

この条件はすべてのチェックポイントで使用できますが、データがこの時点までに処理されていない場合、使用データはセッションによって失効します。

「パターン(認証): エンティティは、特定の率より少ないパターンのメンバーです(イメージ内のすべてのエンティティを含む)」パラメータ

表B-8には、「パターン(認証): エンティティは、特定の率より少ないパターンのメンバーです(イメージ内のすべてのエンティティを含む)」条件のパラメータが示されています。

表B-8 「パターン(認証): エンティティは、特定の率より少ないパターンのメンバーです(イメージ内のすべてのエンティティを含む)」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より小さいパターン・バケットのヒット率

比較に使用されるパターンのヒット率。

この条件は、現在のエンティティ動作の発生率が指定された率より少ない場合にトリガーされます。

Jimが市区町村から30回ログインしたときに、Jimを含むすべてのユーザーが300回ログインした場合、Jimのログイン率は10です。

整数。小数は推奨されません。

いいえ

メンバーシップのパターン名

メンバーシップ件数がチェックされるパターンの名前。

即時利用可能なパターンは、次のとおりです。

- ユーザー: デバイス・プロファイリング・パターン

- ユーザー: ISPプロファイリング・パターン

- ユーザー: 国プロファイリング・パターン

- ユーザー: 接続タイプ・プロファイリング・パターン

- ユーザー: ASNプロファイリング・パターン

- ユーザー: 都道府県プロファイリング・パターン

- ユーザー: ロケール・プロファイリング・パターン

- ユーザー: 曜日プロファイリング・パターン

- ユーザー: ルーティング・タイプ・プロファイリング・パターン

- ユーザー: 時間範囲プロファイリング・パターン

作成した他のパターンを使用することもできます。

注意: ドロップダウン・リストにはアクティブなパターンのみが表示されます。

いいえ

patternHitPercentより少ないメンバーシップ件数

この設定は、評価が指定された率より上または下である場合にトリガーされるかどうかを制御します。

このパラメータは条件の結果を否定するために使用できます。

このパラメータがTrueで、パターン・ヒット率が指定された率より小さいことがTrueである場合、この条件はTrueに評価されます。

このパラメータがFalseで、パターン・ヒット率が指定された率より小さいことがFalseである場合、この条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

trueまたはfalse。

いいえ

パターン・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップの期間

パターン・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

パターン・メンバーシップのメンバー・タイプ

メンバー・タイプ(ユーザー、デバイス、ロケーション、市区町村、国)。

該当トランザクションに適用できるメンバーのタイプ。認証タイプの場合、ユーザー、デバイス、IP、市区町村、都道府県または国にできます。

いいえ

使用例

ユーザーのアクセス元である現在の都道府県が、指定された時間範囲内に他のユーザーが使用した時間の率が非常に低かった都道府県である場合に、トリガーします。たとえば、昨年、すべてのユーザーがカリフォルニアからログインしたのが、5%未満の時間であるかどうかなどです。

B.3.4 パターン(認証): エンティティはN回にわたるパターンのメンバーです

表B-9には、「パターン(認証): エンティティはN回にわたるパターンのメンバーです」条件に関する一般情報が示されています。

表B-9 パターン(認証): エンティティはN回にわたるパターンのメンバーです

条件

パターン(認証): エンティティはN回にわたるパターンのメンバーです

説明

このエンティティがこのパターン条件のメンバーであるかどうかを確認します。

この条件は、単一バケット・タイプのパターンでのみ使用することを意図しています。これにより、個別のバケット・メンバーシップが評価されます。

前提条件

エンティティおよびパターンをルールやポリシーに追加しようとする前に、これらを定義しておく必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「パターン(認証): エンティティはN回にわたるパターンのメンバーです」パラメータ

次の表には、「パターン(認証): エンティティはN回にわたるパターンのメンバーです」条件のパラメータの概要が示されています。

表B-10 「パターン(認証): エンティティはN回にわたるパターンのメンバーです」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次を超えるパターン・ヒット件数

この条件は、現在のエンティティ動作が指定された件数より多く発生した場合にトリガーされます。

認証前実行の場合は、ルールをトリガーする必要のある数より1小さい数に設定します。

いいえ

メンバーシップのパターン名

このルール条件で評価されるパターンの名前。

即時利用可能なパターンは、次のとおりです。

- ユーザー: デバイス・プロファイリング・パターン

- ユーザー: ISPプロファイリング・パターン

- ユーザー: 国プロファイリング・パターン

- ユーザー: 接続タイプ・プロファイリング・パターン

- ユーザー: ASNプロファイリング・パターン

- ユーザー: 都道府県プロファイリング・パターン

- ユーザー: ロケール・プロファイリング・パターン

- ユーザー: 曜日プロファイリング・パターン

- ユーザー: ルーティング・タイプ・プロファイリング・パターン

- ユーザー: 時間範囲プロファイリング・パターン

作成した他のパターンを選択することもできます。

注意: ドロップダウン・リストにはアクティブなパターンのみが表示されます。

いいえ

patternHitCountForUserより多いメンバーシップ件数

条件からTrueまたはFalseを返すのに使用されるブール値。

このパラメータは条件の結果を否定するために使用できます。

このパラメータがTrueで、パターン・ヒット件数がユーザーに指定されたヒット件数より多いことがTrueである場合、この条件はTrueに評価されます。

このパラメータがFalseで、パターン・ヒット件数がユーザーに指定されたヒット件数より多いことがFalseである場合、この条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

TrueまたはFalse

いいえ

パターン・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップの期間

パターン・メンバーシップが評価される期間。

正の整数

いいえ

パターン・メンバーシップのメンバー・タイプ

メンバー・タイプ(認証の場合、「ユーザー」、「デバイス」、「IP」、「市区町村」、「国」)。

該当トランザクションに適用できるメンバーのタイプ。認証タイプの場合、タイプは「ユーザー」、「デバイス」、「IP」、「市区町村」、「都道府県」および「国」に設定できます。

いいえ

使用例

中国用の単一バケットのパターンを作成します。現在のユーザーが中国からアクセスしており、かつ、ある時間範囲内に中国からアクセスしたのが、設定された回数より多い場合にトリガーします。たとえば、Johnが中国から過去6か月間に4回を超えるログインを行ったかどうかなどです。

B.3.5 パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです

次の表に、「パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです」条件に関する一般情報を示します。

表B-11 パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです

条件

パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです

説明

エンティティが指定された時間範囲内のN回を超える現在のパターン・バケットのメンバーであるかどうかを確認します。

この条件は、単一バケット・タイプのパターンでのみ使用することを意図しています。

前提条件

次の前提条件が満たされていることを確認してください。

- 10.1.4.5.2以降をインストールしておく必要があります。

- この条件をルールやポリシーに追加する前に、エンティティおよびパターンを定義しておく必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

10.1.4.5.2

チェックポイント

すべてのチェックポイント。

「パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです」パラメータ

次の表には、「パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです」条件のパラメータの概要が示されています。

表B-12 「パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

メンバーシップのパターン名

このルール条件で評価されるパターンの名前。

即時利用可能なパターンは、次のとおりです。

- ユーザー: デバイス・プロファイリング・パターン

- ユーザー: ISPプロファイリング・パターン

- ユーザー: 国プロファイリング・パターン

- ユーザー: 接続タイプ・プロファイリング・パターン

- ユーザー: ASNプロファイリング・パターン

- ユーザー: 都道府県プロファイリング・パターン

- ユーザー: ロケール・プロファイリング・パターン

- ユーザー: 曜日プロファイリング・パターン

- ユーザー: ルーティング・タイプ・プロファイリング・パターン

- ユーザー: 時間範囲プロファイリング・パターン

作成した他のパターンを選択することもできます。

注意: ドロップダウン・リストにはアクティブなパターンのみが表示されます。

いいえ

バケット・メンバーシップの期間

バケット・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

バケット・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップのメンバー・タイプ

メンバー・タイプ(ユーザー、デバイス、ロケーション[市区町村、都道府県、国]、IP)。

これは、該当トランザクションに適用できるメンバーのタイプのいずれかとなります。認証タイプの場合、ユーザー、デバイス、IP、市区町村、都道府県、国のいずれかとなります。

いいえ

バケットのヒット数

比較するアプリケーションのリクエスト数。バケットのヒット件数および「パターン(認証): エンティティは指定された期間内のN回にわたるパターンのメンバーです」で使用される比較演算子を組み合せて、条件結果が評価されます。

デフォルト値は3です。

認証前実行の場合は、ルールをトリガーする必要のある数より1小さい数に設定します。

いいえ

件数の比較演算子

システム内の件数をbucketHitCountForEntityと比較するために使用する比較演算子。たとえば、比較演算子を「次より小さい」、バケットのヒット件数を3と指定した場合、バケットのヒット件数がその認証で3未満であるかぎり、条件はtrueに評価されます。

使用可能な値はbharosa.numeric.eval.operator.enumプロパティに定義されています。

- 次と等しい

- 次より小さい

- 次以下

- 次より大きい

- 次以上

- 次と等しくない

いいえ

条件がtrueの場合の戻り値

条件がTrueに評価される場合に返す値です。条件がTrueに評価されない場合、成功値の反対の値が返されます。

たとえば、条件がTrueに評価される場合に返す値としてFalseを指定すると、条件がTrueに評価される場合にFalseが返されます。

true/false。

いいえ

条件にエラーが発生した場合の戻り値

条件実行に問題が発生した場合に返される値。発生する可能性のあるエラーとしては、パターンがアクティブでない、渡された(構成された)パラメータが不適切である、パラメータの値が想定範囲内でないなどをあげることができます。

true/false。

いいえ

使用例

現在のユーザーが、現在のロケーションからアクセスしたのが、ある時間範囲内で、設定された回数より少ない場合にトリガーします。たとえば、Johnのログイン元となったすべての州のうち、カリフォルニアからログインしたのが、先月は4回未満かどうかなどです。

この条件の一般的なユース・ケースには、ホワイトリストとブラックリストが含まれます。たとえば、ユーザーがこのIPアドレスから何度ログインしたかなどです。属性を「リモートIP」、比較演算子を「次と相似」として単一のバケット・タイプ・パターンを作成し、比較値としてIPアドレスのカンマ区切りリストを指定できます。この条件により、ユーザーがリモートIPアドレス・リストのリモートIPからログインしたときにユーザーのプロファイルが増分されます。このリモートIPリストを使用して、ユーザーが過去3か月以内の過去10回において特定のリモートIPアドレスからログインしたかどうかを確認できます。実質的には、リモートIPアドレスのリストに基づいてユーザーの動作を評価することになります。この例の場合、この条件では複数のバケットは利用されないため、複数バケットのパターンは作成しません。この条件では、エンド・ユーザーが特定のリモートIPから個別にログインした回数は考慮されません。

B.3.6 パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです

次の表に、「パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです」条件に関する一般情報を示します。

表B-13 パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです

条件

パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです

説明

このエンティティがこのパターン条件のメンバーであるかどうかを確認します。

前提条件

これをルール/ポリシーに追加する前に、エンティティおよびパターンを定義しておく必要があります。

パターンは、サーバー内のトランザクションを使用するアクティブなパターンである必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

11.1.2.0

チェックポイント

すべてのチェックポイント。トランザクション作成のノートを参照してください。

「パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです」パラメータ

次の表には、「パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです」条件のパラメータの概要が示されています。

表B-14 「パターン(トランザクション): エンティティはN回にわたるパターンのメンバーです」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次を超えるパターン・ヒット件数

この条件は、現在のエンティティ動作が指定された値より多く発生した場合にトリガーされます。

トランザクション作成を実行する場合は、ルールをトリガーする必要のある数より1小さい数に設定します。

いいえ

メンバーシップのパターン名

このルール条件で評価されるパターンの名前。

選択が可能なのは、サーバー内のトランザクションを使用するアクティブなパターンがある場合のみです。

いいえ

patternHitCountForUserより多いメンバーシップ件数

条件からTrueまたはFalseを返すのに使用されるブール値。

このパラメータは条件の結果を否定するために使用できます。

このパラメータがTrueで、パターン・ヒット件数がユーザーに指定された値より多いことがTrueである場合、この条件はTrueに評価されます。

このパラメータがFalseで、パターン・ヒット件数がユーザーに指定された値より多いことがFalseである場合、この条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

trueまたはfalse。

いいえ

パターン・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップの期間

パターン・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。期間タイプの最大値より大きい値を入力すると、OAAMサーバーでは使用可能な最大値が使用されます。

いいえ

パターン・メンバーシップのメンバー・タイプ

メンバー・タイプ(「ユーザー」、「デバイス」、「IP」、「市区町村」、「国」)

該当トランザクションに適用できるメンバーのタイプ。認証タイプの場合、選択肢は「ユーザー」、「デバイス」、「IP」、「市区町村」、「都道府県」、「国」です。

いいえ

使用例

現在の宛先アカウントに対する$100 - $500の送金が、過去8時間以内に5件を超えた場合にトリガーします。

B.3.7 パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです

次の表に、「パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです」条件に関する一般情報を示します。

表B-15 パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです

条件

パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです

説明

この条件により、エンティティが指定された時間範囲内のN回を超える現在のパターン・バケットのメンバーであるかどうかを確認します。この条件は、単一バケット・タイプのパターンでのみ使用することを意図しています。これにより、個別のバケット・メンバーシップが評価されます。

前提条件

これをルール/ポリシーに追加する前に、エンティティおよびパターンを定義しておく必要があります。

パターンは、サーバー内のトランザクションを使用するアクティブなパターンである必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

11.1.2.0

チェックポイント

すべてのチェックポイント。次の表のバケットのヒット件数に対して使用可能な値を参照してください。

「パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです」パラメータ

次の表には、「パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです」条件のパラメータの概要が示されています。

表B-16 「パターン(トランザクション): エンティティは指定された期間内のN回にわたるパターンのメンバーです」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

メンバーシップのパターン名

バケット・メンバーシップがチェックされるパターンの名前。ルール内の条件を追加または変更する場合、提示されるアクティブなパターンのドロップダウン・リストからパターン名を選択します。

選択が可能なのは、サーバー内のトランザクションを使用するアクティブなパターンがある場合のみです。

いいえ

バケット・メンバーシップの期間

バケット・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

バケット・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・バケット・メンバーシップのメンバー・タイプ

メンバー・タイプ: ユーザー、デバイス、ロケーションおよびIP。

これは、該当トランザクションに適用できるメンバーのタイプのいずれかとなります。認証タイプの場合、ユーザー、デバイス、IP、市区町村、都道府県、国のいずれかとなります。

いいえ

バケットのヒット数

比較するヒット数。バケットのヒット数および比較演算子を組み合せて、条件結果が評価されます。

トランザクション作成を実行する場合は、ルールをトリガーする必要のある数より1小さい数に設定します。

いいえ

件数の比較演算子

システム内の件数をバケットのヒット数と比較するために使用する比較演算子。たとえば、比較演算子を「次より小さい」、バケットのヒット件数を3と指定した場合、システム内では、バケットのヒット件数がその認証で3未満であるかぎり、条件はTrueに評価されます。

使用可能な値はbharosa.numeric.eval.operator.enumプロパティに定義されています。

- 次と等しい

- 次より小さい

- 次以下

- 次より大きい

- 次以上

- 次と等しくない

いいえ

条件がtrueの場合の戻り値

条件がTrueに評価される場合に返す値です。条件がTrueに評価されない場合、成功値の反対の値が返されます。

true/false。

いいえ

条件にエラーが発生した場合の戻り値

条件実行に問題が発生した場合に返される値。発生する可能性のあるエラーとしては、パターンがアクティブでない、渡された(構成された)パラメータが不適切である、パラメータの値が想定範囲内でないなどをあげることができます。

true/false。

いいえ

使用例

現在の発生元アカウントから現在の宛先アカウントに送金するのが、ある時間範囲内で、設定された回数よりも少ない場合にトリガーします。たとえば、アカウント123456からアカウント789012に資金を送金するのが、過去2か月間で2回未満かどうかなどです。

B.3.8 パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです

次の表に、「パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです」条件に関する一般情報を示します。

表B-17 パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです

条件

パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです

説明

エンティティが一定期間内で最初のパターン・バケットのメンバーであるかどうかを確認します。初回とは相対的な機能です。初回の追跡には、ルールまたはポリシーでユーザー年数を期間タイプとして構成し、5年程度のLONG値を使用します。

前提条件

これをルール/ポリシーに追加する前に、エンティティおよびパターンを定義しておく必要があります。

パターンは、サーバー内のトランザクションを使用するアクティブなパターンである必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

11.1.2.0

チェックポイント

すべてのチェックポイント。チェックポイントの構成の詳細は、「初回件数」パラメータを参照してください。

「パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです」パラメータ

次の表には、「パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです」条件のパラメータの概要が示されています。

表B-18 「パターン(トランザクション): エンティティは一定期間内で最初のパターン・バケットのメンバーです」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回バケットのパターン名

初回バケットがチェックされるパターンの名前。

選択が可能なのは、サーバー内のトランザクションを使用するアクティブなパターンがある場合のみです。

いいえ

条件がtrue

このパラメータがTrueで初回バケットがTrueの場合、この条件はTrueに評価されます。

「条件がTrue」パラメータは条件の結果を制御します。

このパラメータを使用して条件の結果を否定できます。

ユーザーが初回バケットに含まれ、このパラメータの値がTrueである場合、条件はTrueに評価されます。

ユーザーが初回バケットに含まれず、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

trueまたはfalse。

いいえ

バケット・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

バケット・メンバーシップの期間

バケット・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

パターン・バケット・メンバーシップのメンバー・タイプ

メンバー・タイプ(ユーザー、デバイス、ロケーション、市区町村、国)。

該当トランザクションに適用できるメンバーのタイプ。認証タイプの場合、ユーザー、デバイス、IP、市区町村、都道府県、国のいずれかとなります。

いいえ

初回数

パターン・バケット数の比較対象の数(値)。

デフォルト値は1です。

認証前チェックポイントで実行されるポリシーでこのルールが使用される場合、この値として0を選択します(これは、認証が成功した後に自動学習が行われるためです)。認証前チェックポイントの場合、現在のログインに対して自動学習は行われません。他のすべてのチェックポイント(認証後、および認証後の任意のチェックポイント)の場合、値として1を選択します。

いいえ

使用例

現在の発生元アカウントから現在の宛先アカウントに送金するのが、ある時間範囲内で初めてである場合にトリガーします。たとえば、アカウント123456からアカウント789012に資金を送金するのが、過去2年間で今回が初めてであるかどうかなどです。

B.3.9 パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

次の表に、「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」条件に関する一般情報を示します。

表B-19 パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

条件

パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです

説明

このエンティティが一定期間内で特定の率より少ないパターン・バケットのメンバーであるかどうかを確認するための条件。この条件は、同じエンティティのパターン使用状況に対するパターン・メンバーシップ率を確認します。OAAMでは、エンティティのメンバーシップ件数を率でカウントし、そのパターンに属するエンティティ数はカウントしません。

前提条件

これをルール/ポリシーに追加する前に、エンティティおよびパターンを定義しておく必要があります。

パターンは、サーバー内のトランザクションを使用するアクティブなパターンである必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

11.1.2.0

チェックポイント

すべてのチェックポイント。

「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」パラメータ

次の表には、「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」条件のパラメータの概要が示されています。

表B-20 「パターン(トランザクション): エンティティは一定期間内で特定の率より少ないパターンのメンバーです」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より小さいパターン・ヒット率

比較に使用されるパターンのヒット率。

整数

このルールによって、パターンに属するエンティティのメンバーシップの率が計算されます。

いいえ

メンバーシップのパターン名

メンバーシップの率を確認するために使用されるパターンの名前。

選択が可能なのは、サーバー内のトランザクションを使用するアクティブなパターンがある場合のみです。

いいえ

patternHitPercentより少ないメンバーシップ件数

この設定は、評価が指定された率より上または下である場合にトリガーされるかどうかを制御します。

このパラメータは条件の結果を否定するために使用できます。

このパラメータがTrueで、パターン・ヒット率が指定された値より小さいことがTrueである場合、この条件はTrueに評価されます。

このパラメータがFalseで、パターン・ヒット率が指定された値より大きいことがFalseである場合、この条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

trueまたはfalse。

いいえ

パターン・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップの期間

パターン・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

パターン・メンバーシップのメンバー・タイプ

メンバー・タイプ(ユーザー、デバイス、ロケーション、市区町村、国)。

該当トランザクションに適用できるメンバーのタイプのいずれかとなります。認証タイプの場合、ユーザー、デバイス、IP、市区町村、都道府県、国のいずれかとなります。

いいえ

使用例

現在の発生元アカウントから現在の宛先アカウントに送金するのが、ある時間範囲内で、指定された時間の率よりも少ない場合にトリガーします。たとえば、アカウント123456からアカウント789012に資金を送金するのが、過去2か月間の10%未満の時間であるかどうかなどです。

B.3.10 パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

次の表に、「パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)」条件に関する一般情報を示します。

表B-21 パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

条件

パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)

説明

他のすべてのエンティティを考慮し、率を基準としてこのエンティティがこのパターン・バケットのメンバーであるかどうかを確認します。

前提条件

エンティティおよびパターンをルールやポリシーに追加する前に、これらを定義しておく必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

11.1.2.0

チェックポイント

トランザクション・チェックポイント。

「パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)」パラメータ

次の表には、「パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)」条件のパラメータの概要が示されています。

表B-22 「パターン(トランザクション): エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む)」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より小さいパターン・バケットのヒット率

この条件は、現在のエンティティ動作が発生したのが、指定された率より少ない場合にトリガーされます。

正の整数

いいえ

メンバーシップのパターン名

バケット率がチェックされるパターンの名前。

選択が可能なのは、サーバー内のトランザクションを使用するアクティブなパターンがある場合のみです。

いいえ

patternHitPercentより少ないメンバーシップ件数

このパラメータは条件の結果を否定するために使用できます。

このパラメータがTrueで率が指定された率より小さい場合、この条件はTrueに評価されます。

このパラメータがFalseで率が指定された率より小さくない場合、この条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

trueまたはfalse。

いいえ

パターン・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップの期間

パターン・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

パターン・メンバーシップのメンバー・タイプ

メンバー・タイプ(ユーザー、デバイス、ロケーション、市区町村、国)。

これは、該当トランザクションに適用できるメンバーのタイプのいずれかとなります。認証タイプの場合、ユーザー、デバイス、IP、市区町村、都道府県、国のいずれかとなります。

いいえ

使用例

ある時間範囲内で、このユーザーが送金する現在の金額(ドル)と同じドル範囲内の送金を行ったユーザーの数が、すべてのユーザーのうち指定された率未満であった場合にトリガーします。たとえば、Johnは$625を送金しようとしています。すべてのユーザーのうち5%未満が、過去2か月間に$500-$700の範囲内で資金の送金を実行しましたか。

B.3.11 パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

次の表に、「パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」条件に関する一般情報を示します。

表B-23 パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

条件

パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

説明

このエンティティが、すべてのエンティティの通常の頻度よりも高い(低い)頻度のこのパターン条件のメンバーであるかどうかを確認します。

前提条件

この条件をルールやポリシーに追加する前に、エンティティおよびパターンを定義しておく必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

11.1.2.0

チェックポイント

トランザクション・チェックポイント。

「パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」パラメータ

次の表には、「パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」条件のパラメータの概要が示されています。

表B-24 「パターン(トランザクション): エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より大きいパターン・バケットのヒット率

比較に使用されるパターンのヒット率。

0 - 100

いいえ

メンバーシップのパターン名

バケット・メンバーシップがチェックされるパターンの名前。

選択が可能なのは、サーバー内のトランザクションを使用するアクティブなパターンがある場合のみです。

いいえ

現在の頻度は平均頻度より高い

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

現在の頻度が平均頻度よりも高く、このパラメータの値がTrueである場合、条件はTrueに評価されます。

現在の頻度が平均頻度よりも低く、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

True/False

いいえ

パターン・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップの期間

バケット・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

パターン・メンバーシップのメンバー・タイプ

メンバー・タイプ(ユーザー、デバイス、ロケーション[市区町村、都道府県、国]、IP)。

トランザクションに適用できるメンバー・タイプ。認証タイプの場合、ユーザー、デバイス、IP、市区町村、都道府県、国のいずれかとなります。

いいえ

使用例

セキュリティ管理者のMikeは、HRアプリケーションに対してユーザーが行った従業員レコードのアクセス・リクエストの頻度と量に基づき、他のアクセス・リクエストと比較しながらユーザーの動作をプロファイリングおよび評価する必要があります。Mikeは、HR担当者が通常アクセスする8時間当たりのレコード数を追跡します。1日における各8時間期間のリクエスト件数を取得するために、複数バケットのパターンを作成します。Mikeは次に、現在のアクセスが、先月中のすべてのユーザー平均を30%超える8時間範囲に含まれる場合にユーザーにアラートを通知するルールを実装します。

1. メンバー・タイプにユーザーを使用してパターンを定義します。開始、終了およびステップの「範囲」属性として、時間0、23および8をそれぞれ追加します。

2. ルールを作成して、この条件を作成したルールに追加します。

3. ポリシー(トランザクション作成ランタイム)を作成して、ルールをポリシーに追加します。このことを行うとき、ルール作成中にパターン条件を追加して、値30と「日」を期間および期間タイプにそれぞれ指定します。パターン・ヒット率に値30を選択します。その他の値はデフォルトのままにしておきます。

4. ルールがtrueに評価される場合、ルールにアラートを構成します。

5. 数日間にわたり、複数のユーザーとしてログインし、各8時間期間内に、平均して10回の従業員のレコード参照トランザクションを実行します。その後、1つの8時間期間内に、ログインして14回の従業員のレコード参照トランザクションを実行します。現在の頻度(14)がすべてのユーザーの平均頻度(10)よりも30%を超えて高いため、ルールがトリガーされ、アラートが生成されます。

B.3.12 パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

次の表に、「パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」条件に関する一般情報を示します。

表B-25 パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

条件

パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです

説明

このエンティティが、このエンティティの通常の頻度よりも高い(低い)頻度のパターン条件のメンバーであるかどうかを確認します。

前提条件

この条件をルールやポリシーに追加する前に、エンティティおよびパターンを定義しておく必要があります。

前提

自動学習を有効化しておきます。

使用可能バージョン

11.1.2.0

チェックポイント

すべてのチェックポイント(トランザクション作成のノートを参照)。

「パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」パラメータ

次の表には、「パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」条件のパラメータの概要が示されています。

表B-26 「パターン(トランザクション): エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より大きいパターン・バケットのヒット率

比較に使用されるパターンのヒット率。

0 - 100

いいえ

メンバーシップのパターン名

パターン・メンバーシップがチェックされるパターンの名前。ルール内の条件を追加または変更する場合、提示されるアクティブなパターンのドロップダウンからパターン名を選択します。

選択が可能なのは、サーバー内のトランザクションを使用するアクティブなパターンがある場合のみです。

いいえ

現在の頻度は平均頻度より高い

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

現在の頻度が平均頻度よりも高く、このパラメータの値がTrueである場合、条件はTrueに評価されます。

現在の頻度が平均頻度よりも低く、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

True/False

いいえ

パターン・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップの期間

パターン・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

いいえ

パターン・メンバーシップのメンバー・タイプ

メンバー・タイプ(ユーザー、デバイス、ロケーション[市区町村、都道府県、国]、IP)。

これは、該当トランザクションに適用できるメンバーのタイプのいずれかとなります。認証タイプの場合、ユーザー、デバイス、IP、市区町村、都道府県、国のいずれかとなります。

いいえ

使用例

セキュリティ管理者のMikeは、HRアプリケーションに対してユーザーが行った従業員レコードのアクセス・リクエストの頻度と量に基づき、ユーザーの動作をプロファイリングおよび評価する必要があります。Mikeは、各HR担当者が通常アクセスする8時間当たりのレコード数を追跡する必要があります。1日における各8時間期間のリクエスト件数を取得するために、複数バケットのパターンを作成します。Mikeは次に、現在のアクセスが、先月中のユーザー平均を40%超える8時間範囲に含まれる場合にユーザーにアラートを通知するルールを実装します。

1. メンバー・タイプに「ユーザー」を使用してパターンを定義します。開始、終了およびステップの「範囲」属性として、時間0、23および8をそれぞれ追加します。

2. ルールを作成して、この条件を作成したルールに追加します。

3. ポリシー(トランザクション作成ランタイム)を作成して、前述のルールをこのポリシーに追加します。このことを行うとき、定義したパターンを「パターン名」リストで使用可能なドロップダウン・リストから選択します。値30と「日」を期間および期間タイプにそれぞれ指定します。パターン・ヒット率に値「40」を選択します。その他の値はデフォルトのままにしておきます。

4. ルールがtrueに評価される場合、ルールにアラートを構成します。

5. 数日間にわたり、同じユーザーとしてログインし、各8時間期間内に、平均して10回の従業員のレコード参照トランザクションを実行します。その後、1つの8時間期間内に、このユーザーとしてログインして15回の従業員のレコード参照トランザクションを実行します。現在の頻度(15)が平均頻度(10)よりも40%を超えて高いため、ルールがトリガーされます。

B.4 デバイス条件

これらの項では、デバイス条件に関する情報を提供します。

B.4.1 デバイス: ブラウザ・ヘッダー・サブストリング

次の表に、「デバイス: ブラウザ・ヘッダー・サブストリング」条件に関する一般情報を示します。

表B-27 デバイス: ブラウザ・ヘッダー・サブストリング

条件

デバイス: ブラウザ・ヘッダー・サブストリング

説明

指定された文字列が、ブラウザ・ヘッダー情報のサブストリングとして存在するかどうかを確認します。文字列の比較は、文字列の大/小文字を区別しないで行われます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

ポリシーを使用してルールを構成しておきます。

使用可能バージョン

10.1.4.5以前。

チェックポイント

すべてのチェックポイント。

「デバイス: ブラウザ・ヘッダー・サブストリング」パラメータ

次の表には、「デバイス: ブラウザ・ヘッダー・サブストリング」条件のパラメータの概要が示されています。

表B-28 「デバイス: ブラウザ・ヘッダー・サブストリング」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックするサブストリング

ブラウザに表示される文字列でチェックされるサブストリング

はい

B.4.2 デバイス: デバイスが特定のタイプであるかどうかの確認

次の表に、「デバイス: デバイスが特定のタイプであるかどうかの確認」条件に関する一般情報を示します。

表B-29 デバイス: デバイスが特定のタイプであるかどうかの確認

条件

デバイス: デバイスが特定のタイプであるかどうかの確認

説明

現在のデバイスが選択されたデバイス・タイプであるかどうかを確認します。これは、モバイル・デバイスまたは汎用デバイスを検出する場合に非常に役立ちます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

11.1.2.0.0

チェックポイント

すべてのチェックポイント。

「デバイス: デバイスが特定のタイプであるかどうかの確認」パラメータ

次の表には、「デバイス: デバイスが特定のタイプであるかどうかの確認」条件のパラメータの概要が示されています。

表B-30 「デバイス: デバイスが特定のタイプであるかどうかの確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

デバイス・タイプ

現在のデバイスのタイプと比較するデバイス・タイプを選択します。

列挙

デフォルトは「モバイル・デバイス」です。

その他の使用可能な値は、デスクトップ・デバイスです。

いいえ

デバイスが選択されたタイプである場合の戻り値

デバイスが選択されたタイプである場合に返す値を指定します。

ブール。

trueまたはfalse。

デフォルトは「True」です。

いいえ

使用例

使用されているデバイスが、指定されたタイプであるかどうかを確認するために使用されます。

これを行うには、この条件をルールで使用する必要があります。

1. この条件の「デバイス・タイプ」を「モバイル・デバイス」として構成し、この条件の「デバイスが選択されたタイプである場合の戻り値」をtrueとして構成します。

2. モバイル・デバイスから認証を実行すると、このルールがトリガーされます。

B.4.3 デバイス: ユーザーの初回デバイス

次の表に、「デバイス: ユーザーの初回デバイス」条件に関する一般情報を示します。

表B-31 デバイス: ユーザーの初回デバイス

条件

デバイス: ユーザーの初回デバイス

説明

このデバイスを初めて使用するユーザーかどうかを確認します。デバイスとは、ほとんどのテスト・シナリオにおいて、物理デバイスとブラウザの組合せであることに注意してください。最近ログインしたページを確認し、ログイン・セッションに関連付けられるデバイスIDを判別して、ルールを検証します。ユーザーの現在の(セッション)デバイスが初めて使用されるデバイスであると判明した場合、同様にカウントされます。

前提条件

ポリシーを使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5以前。

チェックポイント

すべてのチェックポイント。

「デバイス: ユーザーの初回デバイス」パラメータ

次の表には、「デバイス: ユーザーの初回デバイス」条件のパラメータの概要が示されています。

表B-32 「デバイス: ユーザーの初回デバイス」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

ユーザーがこのデバイスを初めて使用している場合に、この条件がTrueまたはFalseを返す必要があるかどうかを確認します。

True (デフォルト)またはFalse

いいえ

使用例

この条件を使用して、ステータスとは関係なくユーザーがこのデバイスを使用して初めてログインしているかどうかを判断します。

この条件を使用して、ユーザーが1つまたは複数の異なるデバイスからログインしているかどうかを判断し、該当する場合、ユーザーにチャレンジできる可能性があります。

B.4.4 デバイス: 過剰使用

次の表に、「デバイス: 過剰使用」条件に関する一般情報を示します。

表B-33 デバイス: 過剰使用

条件

デバイス: 過剰使用

説明

このデバイスが過剰使用されているかどうかを確認します。基本的に、デバイスが数日間アクティブでなく、突然、多数のユーザーが短い期間(数時間)に同じデバイスからログインしているかどうかを確認します。この条件を使用して、コードへのアクセスを取得して複数のユーザーのログインを試行する自動化されたプログラムによる、セキュリティが損なわれたデバイスを追跡できる可能性があります。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「デバイス: 過剰使用」パラメータ

次の表には、「デバイス: 過剰使用」条件のパラメータの概要が示されています。

表B-34 「デバイス: 過剰使用」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

ユーザー数

短い期間に単一デバイスからログインするユーザー数。

正の整数

いいえ

範囲(時間)

このパラメータは、OAAMで過剰使用を検出する必要がある短い期間を定義します。

正の整数

いいえ

および使用されていない日数

このパラメータは、デバイスが使用されていなかった日数を記述します。

正の整数

いいえ

使用例

この条件を使用して、現行アクティビティで使用されているデバイスでセキュリティが損なわれているかどうかを判断できる可能性があります。たとえば、特定のデバイスでセキュリティが損なわれているとみなした場合は、これらのデバイスからログインするユーザーをブロックする必要があります。たとえば、個人が銀行のコンピュータにハッキングし、様々なアクティビティを実行しようとする可能性があります。通常、このコンピュータについて、数日間のアクティビティ・ロギングを設定する必要があります。

B.4.5 グループ内のデバイス

次の表に、「デバイス:グループ内」条件に関する一般情報を示します。

表B-35 デバイス:グループ内

条件

デバイス: グループ内

説明

デバイスが指定されたリスト内にあるかどうかを確認します。

前提条件

メンバーとしてデバイス(ID)を含むリストを定義しておきます。

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「デバイス:グループ内」パラメータ

次の表には、「デバイス:グループ内」条件のパラメータの概要が示されています。

表B-36 「デバイス:グループ内」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

デバイスがグループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

デバイスがグループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

true/[false]

はい。

グループ内デバイス

これは、デバイス・リストのIDのリストです。OAAM管理コンソールには、デバイス・リストの使用可能なリストを含むメニューが表示されます。OAAM管理コンソールの「グループ編集者」使用して、このデバイス・リストを編集します。

はい

使用例

この条件を使用して、現行アクティビティのデバイスが特定のデバイスのリストに属しているかどうかを判断できる可能性があります。

例:

- セキュリティが損なわれているとみなされたデバイスからログインするユーザーをブロックすることが必要になる場合があります。

- ユーザーがキオスク・デバイスからログインしている場合、特定のアクティビティの回避が必要な場合があります。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.4.6 デバイス: 登録済

次の表に、「デバイス: 登録済」条件に関する一般情報を示します。

表B-37 デバイス: 登録済

条件

デバイス: 登録済

説明

この条件は、ユーザーがログインしているデバイスがユーザーに登録されているかどうかを確認します。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「デバイス: 登録済」パラメータ

次の表には、「デバイス: 登録済」条件のパラメータの概要が示されています。

表B-38 「デバイス: 登録済」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

登録済の場合の戻り値

デバイスが登録済の場合に、デフォルトの戻り値をtrueまたはfalseのいずれにするかを決定するブール型パラメータ

[True]/False

はい

使用例

この条件は、ユーザーが以前に登録されたことのないデバイスからログインしているかどうかを識別するために使用できます。これは基本的に、ユーザーのログイン情報が盗難され、盗難をした者がユーザーのログイン情報を使用して、どこか別の安全なロケーションからログインしようとする不正を防ぎます。

B.4.7 デバイス: 期間内の指定ステータス以外

次の表に、「デバイス: 期間内の指定ステータス以外」条件に関する一般情報を示します。

表B-39 デバイス: 期間内の指定ステータス以外

条件

デバイス: 期間内の指定ステータス以外

説明

この条件は、過去数秒間における同じデバイス(試行で使用されているデバイス)からのユーザーによる試行のうち、認証ステータスが条件で指定されているステータスでないものをカウントします。この回数が条件で構成されている回数を超える場合、この条件はtrueに評価されます。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「デバイス: 期間内の指定ステータス以外」パラメータ

次の表には、「デバイス: 期間内の指定ステータス以外」条件のパラメータの概要が示されています。

表B-40 「デバイス: 期間内の指定ステータス以外」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

status

この指定されたステータスと等しくない試行をカウントします。

認証ステータスはauth.status.enumを介して構成されます。

例:

- ブロック済

- ロック済

- データベース・エラー

- 期限切れパスワード

- 無効なユーザー

- 保留中

- アクティブ化保留中

- 期限切れセッション

- 再利用セッション

- 成功

- システム・エラー

- ユーザーが無効です

- 不正な回答

- 不正なパスワード

- 不正なPin

auth.status.enum (auth.status.enum.successがデフォルトです。)

いいえ

範囲(秒)

このパラメータは、このデバイスを使用するログイン試行数をカウントする短い期間を定義します。

正の整数

いいえ

attempts

監視する最大試行回数。Oracle Adaptive Access Managerでの試行回数がこの数を超える場合、条件はtrueに評価されます。

正の整数

いいえ

使用例

この条件を使用して、現行アクティビティで使用されているデバイスでセキュリティが損なわれているかどうかを判断できる可能性があります。次のような場合に、考えられる不正シナリオが検出される可能性があります。

- 個人(または自動化されたプログラム)が同じデバイスを使用してログイン試行を行い、その試行が盗難されたデータに基づいて失敗または成功する場合

- 自動的にパスワードを破るためにプログラムが使用される場合

これらの場合、短い期間内に同じデバイスからのログイン試行が繰り返し失敗します。

B.4.8 デバイス: ユーザーの使用数

次の表に、「デバイス: ユーザーの使用数」条件に関する一般情報を示します。

表B-41 デバイス: ユーザーの使用数

条件

デバイス: ユーザーの使用数

説明

この条件は、過去数秒間における同じデバイス(試行で使用されているデバイス)からのユーザーによる試行のうち、認証ステータスが条件で指定されているステータスでないものをカウントします。この回数が条件で構成されている回数を超える場合、この条件はtrueに評価されます。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「デバイス: ユーザーの使用数」パラメータ

次の表には、「デバイス: ユーザーの使用数」条件のパラメータの概要が示されています。

表B-42 「デバイス: ユーザーの使用数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

認証ステータス

このステータスと等しくないステータスの試行をカウントします。

auth.status.enum (auth.status.enum.successがデフォルトです。)

いいえ

次より大きい

監視する最大試行回数。試行回数がこの数を超える場合、条件はtrueに評価されます。

正の整数

いいえ

次に一致する

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

回数が条件で指定されている回数を超え、認証が条件で指定されているステータスと等しくない場合、条件はTrueに評価されます。

回数が条件で指定されている回数を超えず、認証が条件で指定されているステータスと等しい場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

TrueまたはFalse

いいえ

使用例

この条件を使用して、現行アクティビティで使用されているデバイスでセキュリティが損なわれているかどうかを判断できる可能性があります。

次のような場合に、考えられる不正シナリオが検出される可能性があります。

- 個人(または自動化されたプログラム)が同じデバイスを使用してログイン試行を行い、その試行が盗難されたデータに基づいて失敗または成功する場合

- プログラムで、自動的にユーザーのパスワードを破ろうとしている場合

これらの場合、短い期間内に同じデバイスからのログイン試行が繰り返し失敗します。

B.4.9 デバイス: ユーザー件数

次の表に、「デバイス: ユーザー件数」条件に関する一般情報を示します。

表B-43 デバイス: ユーザー件数

条件

デバイス: ユーザー件数

説明

このデバイスが、過去数秒間に複数の一意のユーザーによって使用されたかどうかを確認します。このことは不正である可能性があります。これは、この条件がtrueの場合、デバイスや、複数のユーザーのログイン情報のセキュリティが損なわれている可能性があるためです。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「デバイス: ユーザー件数」パラメータ

次の表には、「デバイス: ユーザー件数」条件のパラメータの概要が示されています。

表B-44 「デバイス: ユーザー件数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

経過秒数

このパラメータは、このユーザー数がこのデバイスを使用してシステムにログインしようとする短い期間を定義します。

正の整数

いいえ

最大許容ユーザー数

短い期間に同じデバイスからログインするユーザー数。

正の整数

いいえ

使用例

この条件を使用して、現行アクティビティで使用されているデバイスでセキュリティが損なわれているかどうかを判断できる可能性があります。不正行為者が複数ユーザーのログイン情報を盗み、アカウントを破壊しようとする可能性があります。その結果、多数のユーザーがそれぞれ数秒の間隔で同じデバイスからログインすることになります。

B.4.10 デバイス: ユーザー・ステータス件数

次の表に、「デバイス: ユーザー・ステータス件数」条件に関する一般情報を示します。

表B-45 デバイス: ユーザー・ステータス件数

条件

デバイス: ユーザー・ステータス件数

説明

指定期間中にこのデバイスからの特定のステータスを持つユーザー件数を確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「デバイス: ユーザー・ステータス件数」パラメータ

次の表には、「デバイス: ユーザー・ステータス件数」条件のパラメータの概要が示されています。

表B-46 「デバイス: ユーザー・ステータス件数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

範囲

履歴で見直す時間単位数

正の整数。デフォルトは3です。

いいえ

時間単位

「範囲」パラメータに関連付けられる時間単位

構成されている時間単位をtime.unit.enumプロパティから選択します。

ミリ秒、秒、分、時間、日、週、月、年。

いいえ

最大許容ユーザー数

この条件のトリガーが開始されるために許容される最大ユーザー数

正の整数

デフォルトは3です。

いいえ

ステータス

タイプが認証ステータスのグループの名前

LONG。グループのID。

はい

使用例

過去3時間におけるこのデバイスからの失敗したログインについて、ログインを行ったユーザーが多すぎるかどうかを判断します。

1. 認証ステータスのグループを作成し、「wrong_password」ステータスをこのグループに追加します。

2. 「範囲」パラメータを5に構成します。

3. 「時間単位」を「分」に構成します。

4. 「最大許容ユーザー数」を3に構成します。

5. 「ステータス」を上で作成したグループ名に対して構成します。

このデバイスから、4人のユーザーの不正なパスワードを使用してログインを実行します。5番目のログインでルールがトリガーされます。5分を超えて待機し、再度ログインを実行すると、ルールはトリガーされません。

B.4.11 デバイス: 最終ログインからの速度とIPグループの無視

次の表に、「デバイス: 最終ログインからの速度とIPグループの無視」条件に関する一般情報を示します。

表B-47 デバイス: 最終成功ログインからの速度

条件

デバイス: 最終ログインからの速度とIPグループの無視

説明

条件は、ユーザーの速度(1時間当たりのマイル数)が指定された値を超えるかどうかを評価します。ロケーション・データベースを使用し、このログインおよび前回のログインについてユーザーのロケーションを判別します。現在のセッションも考慮されます。速度計算はロケーション・データの精度に依存することに注意してください。

前提条件

ポリシーを使用してこのルールを構成しておきます。ロケーション・データベースがルールにロードされている必要があります。

前提

ロケーション・データベースをロードしておきます。

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「デバイス: 最終ログインからの速度とIPグループの無視」パラメータ

次の表には、「デバイス: 最終ログインからの速度とIPグループの無視」条件のパラメータの概要が示されています。

表B-48 「デバイス: 最終ログインからの速度とIPグループの無視」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次を超える1時間当たりのマイル

ユーザーの速度(1時間当たりのマイル数)を示す正数。この条件によって、ユーザーがこの値より高速で移動していたと判断された場合、条件はtrueに評価されます。

1時間当たりのマイルは、移動した距離(マイル単位)と移動した時間(時間単位)の比率です。

正の整数

デフォルトは60です。

いいえ

時間内の最終ログイン(秒)

ユーザーの速度を計算するための、このログインと最終成功ログインとの時間の差異を指定する正の整数。

正の整数

デフォルトは172800 (48時間)です。

いいえ

IPグループを無視する

このパラメータを使用して、無視するIPのリストを指定できます。ユーザーのIPがこのリストに含まれる場合、この条件は常にfalseと評価されます。ユーザーのIPがこのリストに含まれないか、リストがnullまたはemptyである場合、条件は、最後のログインからのユーザーまたはデバイスの速度を評価し、速度が構成値を超えている場合はtrueと評価されます。

使用例

この条件は、ユーザーのロケーション、および現在のログイン時と最終成功ログイン時とでユーザーのログイン・ロケーションが変更されたことによってもたらされるリスクを判別するために使用できます。

次に例を示します。

- 陸上交通手段によって移動するユーザーの場合、1時間当たりのマイル数の値が60、最終成功ログインの時間が秒数となるよう(デフォルト値を使用します)、このルールを構成できます。

- 航空交通手段によって移動するユーザーの場合、異なる値(1時間当たり500マイルなど)を使用して、ログインの場所と速度が妥当な範囲内になるようにできます。

注意:

速度計算は、ロケーション・データベースに高度に依存することに注意してください。

B.4.12 デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認

次の表に、「デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認」条件に関する一般情報を示します。

表B-49 デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認

条件

デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認

説明

現在のデバイスが、ユーザー・エージェント文字列に基づいてサイトにアクセスするためにモバイル・ブラウザを使用しているかどうかを確認します。モバイル・ブラウザは、携帯電話やPDAなどのモバイル機器での使用専用に設計されたWebブラウザです。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

モバイル・ブラウザの名前を使用してグループが構成されています。

使用可能バージョン

11.1.2

チェックポイント

すべてのチェックポイント。

「デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認」パラメータ

次の表には、「デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認」条件のパラメータの概要が示されています。

表B-50 「デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

モバイル・ブラウザ・グループ

モバイル・ブラウザのリストがあるグループを選択します。

OAAMモバイル・ブラウザ・グループ

いいえ

エラーの場合に返すデフォルト値

エラーの場合に返す値を指定します。

ブール。デフォルト値はFalseです。

TrueまたはFalse

いいえ

使用例

この条件は、「OAAMベース・デバイスIDポリシー」の「モバイル・デバイス」ルールで使用されます。これは、デバイスがモバイル・ブラウザを使用しているかどうかを確認するために使用されます。

これを行うには、この条件をルールで使用する必要があります。

1. 「デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認」条件で、「モバイル・ブラウザ・グループ」パラメータを「OAAMモバイル・ブラウザ・グループ」として構成し、「エラーの場合に返すデフォルト値」パラメータをFalseとして構成します。「モバイル・ブラウザ・グループ」には、モバイル・ブラウザの名前が含まれます。

2. 「チェックする部分文字列」パラメータがOICであるルールに「デバイス: ブラウザ・ヘッダー・サブストリング」条件を追加します。

3. ブラウザ・ヘッダー・サブストリングがOICであるモバイル・ブラウザ・グループのブラウザの1つを使用してモバイル・デバイスから認証を実行すると、「モバイル・デバイス」ルールがトリガーされます。OAAMベース・デバイス・ポリシー・トリガー組合せが構成されているため、「モバイル・デバイス」からtrueが返される場合、「OAAMモバイル・デバイスIDポリシー」が実行されます。

OAAMベース・デバイスIDポリシーの詳細は、10.5.2.1項「OAAMベース・デバイスIDポリシー」を参照してください。

B.5 ロケーション条件

これらの項では、ロケーション条件に関する情報を提供します。

B.5.1 ロケーション: グループ内ASN

次の表に、「ロケーション: グループ内ASN」条件に関する一般情報を示します。

表B-51 ロケーション: グループ内ASN

条件

ロケーション: グループ内ASN

説明

このIPロケーションのASNが、対象となる可能性があるASNのグループ内にあるかどうかを確認します。ASNは自律システム番号のことです。

前提条件

すでに定義されているASNのリストが必要です。ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: グループ内ASN」パラメータ

次の表には、「ロケーション: グループ内ASN」条件のパラメータの概要が示されています。

表B-52 「ロケーション: グループ内ASN」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

ASNがグループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

ASNがグループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

ASNグループ内のASN

これはASNグループのリストです。ルールの「条件」タブに、このパラメータで使用可能なASNグループのメニューが表示されます。OAAM管理コンソールの「グループ編集者」を使用して、このASNグループを編集します。

使用例

この条件を使用して、現行アクティビティ(IP)のASNがASNの特定グループに属しているかどうかを判断できる可能性があります。たとえば、特定のASNが危険であるとみなされる可能性があり、この場合、これらのASNからログインするユーザーをブロックする必要があります。または、ユーザーが特定の国や地域のASNからログインしている場合、特定のアクティビティの回避が必要な場合があります。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.2 ロケーション: 市区町村グループ内

次の表に、「ロケーション: 市区町村グループ内」条件に関する一般情報を示します。

表B-53 ロケーション: グループ内の市区町村

条件

ロケーション: 市区町村グループ内

説明

現行アクティビティが、指定された市区町村グループに属しているかどうかを確認します。

前提条件

メンバーとして市区町村を含むグループを定義しておく必要があります。ポリシーを使用してこのルールを構成しておく必要があります。この条件では、IPロケーション・データが役立ちます。ほとんどの本番環境には、IPロケーション・データベースが移入されています。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: 市区町村グループ内」パラメータ

次の表には、「ロケーション: 市区町村グループ内」条件のパラメータの概要が示されています。

表B-54 「ロケーション: グループ内の市区町村」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

市区町村が市区町村グループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

市区町村が市区町村グループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[True]/False

市区町村グループ内の市区町村

これは市区町村グループのリストです。ルールの「条件」タブに、市区町村の使用可能なグループのドロップダウン・リストが表示されます。OAAM管理コンソールの「グループ編集者」使用して、このグループ・リストを編集します。

(Java LONG値)

使用例

この条件は、現行アクティビティが、対象となる複数の市区町村のいずれかに基づいているかどうかを判断するために使用できます。たとえば、市区町村のリストが存在し、アクティビティの現在のIPがこれらの市区町村のいずれかを起源とする場合、アクションを実行したりアラートを生成するようシステムを構成できます。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.3 ロケーション: キャリア・グループ内

次の表に、「ロケーション: キャリア・グループ内」条件に関する一般情報を示します。

表B-55 ロケーション: キャリア・グループ内

条件

ロケーション: グループ内のキャリア

説明

IPが指定されたキャリア・グループ内にあるかどうかを確認します。

前提条件

すでに定義されているキャリアのリストが必要です。ポリシーを使用してこのルールを構成しておく必要があります。この条件では、ロケーション・データが役立ちます。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: キャリア・グループ内」パラメータ

次の表には、「ロケーション: キャリア・グループ内」条件のパラメータの概要が示されています。

表B-56 「ロケーション: キャリア・グループ内」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

キャリアがキャリア・グループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

キャリアがキャリア・グループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

キャリア・グループ内IP

これはキャリアのグループのリストです。ルールの「条件」タブに、このパラメータで構成するキャリア・グループの使用可能なリストのドロップダウン・リストが表示されます。OAAM管理コンソールの「グループ編集者」使用して、このキャリア・グループを編集します。

使用例

この条件を使用して、現行アクティビティ(IP)のキャリアが特定のキャリアのリストに属しているかどうかを確認できる可能性があります。たとえば、特定のキャリアが危険であるとみなされる可能性があり(最近キャリアの電話番号すべてがハッカーに盗難されました)、この場合、キャリアからログインするユーザーをブロックしたり、ユーザーが特定の国や地域のキャリアからログインしている場合には特定のアクティビティを回避することが必要な場合があります。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.4 ロケーション: 国グループ内

次の表に、「ロケーション: 国グループ内」条件に関する一般情報を示します。

表B-57 ロケーション: 国グループ内

条件

ロケーション: 国グループ内

説明

IPが指定された国グループに属しているかどうかを確認します。

前提条件

メンバーとして国を含むグループを定義しておく必要があります。ポリシーを使用してこのルールを構成しておく必要があります。

この条件にはIPロケーション・データが必要です。(ほとんどの本番環境には、アプリケーション・データベースが移入されています。)

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: 国グループ内」パラメータ

次の表には、「ロケーション: 国グループ内」条件のパラメータの概要が示されています。

表B-58 「ロケーション: 国グループ内」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

IPが国グループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

IPが国グループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

国グループ内の国

これは国のグループのリストです。ルールの「条件」タブに、使用可能なグループのドロップダウン・リストが表示されます。

OAAM管理コンソールの「グループ編集者」使用して、このグループを編集します。

(Java LONG値)

使用例

この条件を使用して、現行アクティビティが、対象となる複数の国のいずれかに基づいているかどうかを判断できる可能性があります。たとえば、国のリストがあり、アクティビティに使用されている現在のIPがこれらの国のいずれかに属している場合にアクションを実行したりアラートを生成するように、ポリシーを構成できます。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.5 ロケーション: グループ内のIP接続タイプ

次の表に、「ロケーション: グループ内のIP接続タイプ」条件に関する一般情報を示します。

表B-59 ロケーション: グループ内のIP接続タイプ

条件

ロケーション: グループ内のIP接続タイプ

説明

このIPロケーションの接続タイプが、対象となる可能性がある接続タイプのグループ内にあるかどうかを判断します。

前提条件

すでに定義されている接続タイプのリストが必要です。ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: グループ内のIP接続タイプ」パラメータ

次の表には、「ロケーション: グループ内のIP接続タイプ」条件のパラメータの概要が示されています。

表B-60 ロケーション: グループ内のIP接続タイプ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

IP接続タイプが接続タイプ・グループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

IP接続タイプが接続タイプ・グループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

グループ内の接続タイプ

これは接続タイプ・グループのリストです。ルールの「条件」タブに、接続タイプの使用可能なリストのドロップダウン・リストが表示されます。管理ユーザー・インタフェースの「グループ編集者」を使用して、このグループ・リストを編集します。

使用例

「ロケーション: グループ内のIP接続タイプ」条件は、現行アクティビティのIPが、不正の判別に特に役立つ可能性がある接続タイプかどうかを判断するために使用できます。たとえば、接続タイプが衛星リンクである場合があります。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.6 ロケーション: 範囲グループ内のIP

次の表に、「ロケーション: 範囲グループ内のIP」条件に関する一般情報を示します。

表B-61 ロケーション: 範囲グループ内のIP

条件

ロケーション: 範囲グループ内のIP

説明

現行アクティビティのIPが、指定されたIP範囲のリストに属しているかどうかを確認します。

前提条件

メンバーとしてIP範囲を含むグループを定義しておく必要があります。ポリシーを使用してこのルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5.1

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: 範囲グループ内のIP」パラメータ

次の表には、「ロケーション: 範囲グループ内のIP」条件のパラメータの概要が示されています。

表B-62 「ロケーション: 範囲グループ内のIP」パラメータ

パラメータ

説明

使用可能な値

IP範囲グループ内のIP

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

IPがIP範囲の1つに属し、このパラメータの値がTrueである場合、条件はTrueに評価されます。

IPがIP範囲の1つに属さず、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

IP範囲グループ

IP範囲を含むグループを指定します。条件によって、IPがこのグループ内の範囲のいずれかに属するかどうかが確認されます。

使用例

「ロケーション: 範囲グループ内のIP」条件を使用して、現行アクティビティのIPが、対象となる可能性があるIPの複数範囲のいずれかに属しているかどうかを判断できる可能性があります。たとえば、IPの範囲が特定のサブネットからのものである可能性があり、該当する場合、アクションの実行が必要なことがあります。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.7 ロケーション: IP回線スピード・タイプ

次の表に、「ロケーション: IP回線スピード・タイプ」条件に関する一般情報を示します。

表B-63 ロケーション: IP回線スピード・タイプ

条件

ロケーション: IP回線スピード・タイプ

説明

現在のIPに、指定された接続スピードのいずれかとして接続回線スピードが含まれているかどうかを確認します。この接続スピードは、高、中、低または不明に分類されます。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。この条件にはIPロケーション・データが必要です。ほとんどの本番環境には、IPロケーション・データベースが移入されています。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: IP回線スピード・タイプ」パラメータ

次の表には、「ロケーション: IP回線スピード・タイプ」条件のパラメータの概要が示されています。

表B-64 「ロケーション: IP回線スピード・タイプ」パラメータ

パラメータ

説明

使用可能な値

次に一致する

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

現在のIPに、指定された接続回線スピードのいずれかとして接続回線スピードが含まれており、このパラメータの値がTrueである場合、条件はTrueに評価されます。

現在のIPに、指定された接続回線スピードのいずれかとして接続回線スピードが含まれず、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

スピード・タイプ

これは、接続スピード・タイプを示す列挙値です。この接続スピードは、高、中、低または不明に分類されます。

このパラメータに使用される列挙はlocation.linespeed.enumです。

(整数)デフォルト値はlocation.linespeed.enum.low

使用例

「ロケーション: IP回線スピード・タイプ」条件を使用して、現行アクティビティが、特定のスピード・タイプを含むIPに基づいているかどうかを判断できる可能性があります。たとえば、通常、ダイアルアップ・ネットワークからログインするユーザーについてスピード・タイプが高である場合、アラートの生成が必要な場合があります。

B.5.8 ロケーション: IP最大ユーザー数

次の表に、「ロケーション: IP最大ユーザー数」条件に関する一般情報を示します。

表B-65 ロケーション: IP最大ユーザー数

条件

ロケーション: IP最大ユーザー数

説明

この条件は、指定継続時間内に現在のIPアドレスを使用する個々のユーザーの最大数が構成された条件の属性値を超えるかどうかを確認します。IPからの一意のユーザー数を確認する際には、現在のリクエストもカウントされることに注意してください。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: IP最大ユーザー数」パラメータ

次の表には、「ロケーション: IP最大ユーザー数」条件のパラメータの概要が示されています。

表B-66 「ロケーション: IP最大ユーザー数」パラメータ

パラメータ

説明

使用可能な値

経過秒数

これは、このIPからのユーザー数をカウントする期間です。

整数

デフォルトは300です。

最大ユーザー数

許容される最大ユーザー数。

整数

デフォルトは5です。

使用例

この条件を使用して、不正行為者によって盗難された様々なログインIDが使用され、特定のIPがログインやトランザクションの実行に使用されているかどうかを判断します。このような場合、比較的短い期間内に同じIPから多数の異なるログインが行われます。

B.5.9 ロケーション: グループ内IPルーティング・タイプ

次の表に、「ロケーション: グループ内IPルーティング・タイプ」条件に関する一般情報を示します。

表B-67 ロケーション: グループ内IPルーティング・タイプ

条件

ロケーション: グループ内IPルーティング・タイプ

説明

IPルーティング・タイプがグループ内にあるかどうかを確認します。

前提条件

メンバーとしてルーティング・タイプを含むグループを定義しておく必要があります。ポリシーを使用してこのルールを構成しておく必要があります。この条件にはIPロケーション・データが必要です。ほとんどの本番環境には、IPロケーション・データベースが移入されています。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: グループ内IPルーティング・タイプ」パラメータ

次の表には、「ロケーション: グループ内IPルーティング・タイプ」条件のパラメータの概要が示されています。

表B-68 「ロケーション: グループ内IPルーティング・タイプ」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

IPルーティング・タイプがグループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

IPルーティング・タイプがグループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

グループ内のルーティング・タイプ

これはIPルーティング・タイプのグループのリストです。IPルーティング・タイプ・グループの使用可能なリストのドロップダウン・リストが表示されます。OAAM管理コンソールの「グループ編集者」使用して、このグループ・リストを編集します。

(Java LONG値)

使用例

「ロケーション: グループ内IPルーティング・タイプ」条件を使用して、現行アクティビティが、特定のルーティング・タイプに属するIPに基づいているかどうかを判断できる可能性があります。たとえば、不正が発生する可能性があるルーティング・タイプのリストが存在し、アクティビティの現在のIPにこれらのルーティング・タイプのいずれかが含まれる場合、アクションを実行したりアラートを生成するよう構成できます。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.10 ロケーション: AOLからのIP

次の表に、「ロケーション: AOLからのIP」条件に関する一般情報を示します。

表B-69 ロケーション: AOLからのIP

条件

ロケーション: AOLからのIP

説明

IPがAOLプロキシからのものであるかどうかを判断します。

前提条件

ポリシーを使用してこのルールを構成し、テストを行っておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: AOLからのIP」パラメータ

次の表には、「ロケーション: AOLからのIP」条件のパラメータの概要が示されています。

表B-70 「ロケーション: AOLからのIP」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

AOL

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

IPがAOLからのものであり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

IPがAOLからのものでなく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

ブール値[True]/False

いいえ

使用例

「ロケーション: AOLからのIP」条件を使用して、IPがAOLプロキシのものであるかどうかを判断できます。カスタマは、AOLからログインしているユーザーに対して、特定のアクションを実行するようシステムを設定することが必要な場合があります。

B.5.11 ロケーション: 都道府県グループ内

次の表に、ロケーション: 都道府県グループ内条件に関する一般情報を示します。

表B-71 ロケーション: 都道府県グループ内

条件

ロケーション: 都道府県グループ内

説明

このセッションの国/都道府県が特定の国/都道府県グループに属するかどうかを確認します。たとえば、カリフォルニアは特定の州グループに属します。

前提条件

メンバーとして都道府県を含むグループを定義しておく必要があります。ポリシーでこのルールを構成しておく必要があります。

IPロケーション・データが必要です。ほとんどの本番環境には、アプリケーション・データベースが移入されています。

チェックポイント

デバイスIDを除くすべてのチェックポイント。

パラメータ

次の表には、ロケーション: 都道府県グループ内条件のパラメータの概要が示されています。

表B-72 ロケーション: 都道府県グループ内パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

国/都道府県が国/都道府県グループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

国/都道府県が国/都道府県グループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

都道府県がグループにあることがTrueである場合、このルールがトリガーされます。

都道府県がグループにあることがFalseである場合、トリガーされません。

都道府県グループ内の都道府県

これは、都道府県のグループのリストです。ルールの「条件」タブに、使用可能なグループのドロップダウン・リストが表示されます。

OAAM管理コンソールの「グループ編集者」使用して、このグループを編集します。

Java LONG値

使用例

ロケーション: 都道府県グループ内条件を使用して、現行アクティビティが、グループ内の複数の都道府県のいずれかに基づいているかどうかを判断できる可能性があります。このユーザーがこの都道府県のユーザーであり、この都道府県が作成した都道府県グループの一部である場合、この条件はトリガーされます。たとえば、購入に対して売上税を課さない都道府県があるとした場合、自分がオンライン商店主でユーザーがこれらの都道府県のユーザーである場合に、税計算ルールをバイパスできます。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.12 ロケーション: IP接続タイプ

次の表に、「ロケーション: IP接続タイプ」条件に関する一般情報を示します。

表B-73 ロケーション: IP接続タイプ

条件

ロケーション: IP接続タイプ

説明

IPアドレスの接続タイプを確認します。接続タイプの詳細は、location.connection.type.enumを参照してください。

例:

- ケーブル

- 民生衛星

- ダイアルアップ

- DSL

- 固定無線

- フレーム・リレー

- ISDN

- モバイル無線

- 光回線

- 衛星

- T1/T3

接続タイプは地理的位置情報プロバイダによるものです。OAAMには、地理的位置情報によって提供される一般的な接続タイプの接続タイプ列挙が事前に移入されています。地理的位置データによって新規接続タイプが提供される場合、それらの列挙を構成する必要があります。

前提条件

すでに定義されている接続タイプのリストが必要です。ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: IP接続タイプ」パラメータ

次の表には、「ロケーション: IP接続タイプ」条件のパラメータの概要が示されています。

表B-74 「ロケーション: IP接続タイプ」パラメータ

パラメータ

説明

使用可能な値

次に一致する

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

接続タイプが指定したタイプであり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

接続タイプが指定したタイプでなく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[True]/False

接続タイプが指定したタイプであるかどうかを確認し、Trueである場合、条件をトリガーします。

接続タイプ

選択対象の接続タイプがリストされます。

使用例

「ロケーション: IP接続タイプ」条件は、現行アクティビティのIPが、不正の判別に特に役立つ可能性がある接続タイプかどうかを判断するために使用できます。たとえば、接続タイプが衛星リンクである場合があります。

B.5.13 ロケーション: IP最大ログイン数

次の表に、「ロケーション: IP最大ログイン数」条件に関する一般情報を示します。

表B-75 ロケーション: IP最大ログイン数

条件

ロケーション: IP最大ログイン数

説明

指定継続時間内に現在のIPアドレスを使用したログインの最大数。この条件は、最大ログイン件数の評価中に現在のリクエストを無視します。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: IP最大ログイン数」パラメータ

次の表には、「ロケーション: IP最大ログイン数」条件のパラメータの概要が示されています。

表B-76 「ロケーション: IP最大ログイン数」パラメータ

パラメータ

説明

使用可能な値

認証ステータスは次のとおりです

認証ステータス。

認証ステータスはauth.status.enumを介して構成されます。

例:

- ブロック済

- ロック済

- データベース・エラー

- 期限切れパスワード

- 無効なユーザー

- 保留中

- アクティブ化保留中

- 期限切れセッション

- 再利用セッション

- 成功

- システム・エラー

- ユーザーが無効です

- 不正な回答

- 不正なパスワード

- 不正なPin

経過秒数

これは、このIPからのログイン数をカウントする期間です。

整数

デフォルトは300です。

ログインの最大数

この条件のトリガーが開始されるための最大ログイン数。

正の整数。デフォルトは3です。

使用例

この条件を使用して、不正行為者によって同じログインIDが使用され、特定のIPがログインの実行に使用されているかどうかを判断します。このような場合、比較的短い期間内に同じIPから多数のログインが行われます。特定のIPアドレスからのログインが許可されるユーザーの最大数は300秒以内に3です。

現在のIPを使用してy秒以内にx回を超えるログインが行われたときにアクションが実行されてアラートが生成されるようなルールを構成します。

B.5.14 ロケーション: IP過剰使用

次の表に、「ロケーション: IP過剰使用」条件に関する一般情報を示します。

表B-77 ロケーション: IP過剰使用

条件

ロケーション: IP過剰使用

説明

このIPが過剰使用されているかどうかを確認します。基本的に、このIPがn日間使用されていなかったときに、多数のユーザーがこのIPを短期間(数時間)に以前より過剰に使用しているかどうかを確認します。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: IP過剰使用」パラメータ

次の表には、「ロケーション: IP過剰使用」条件のパラメータの概要が示されています。

表B-78 「ロケーション: IP過剰使用」パラメータ

パラメータ

説明

使用可能な値

ユーザー数

短期間に単一IPからログインするユーザー数。

正の整数

デフォルトは5ユーザーです。

範囲(時間)

このパラメータは、OAAMで過剰使用を検出する必要がある短い期間を定義します。

正の整数

デフォルトは24時間です。

および使用されていない日数

このパラメータは、IPが使用されていなかった日数を記述します。

正の整数

デフォルトは30日間使用されていないです。

使用例

この条件を使用して、IPアドレスを監視し、IPアドレスがd日間使用されていなかった場合に特定の期間内におけるIPサージを確認できます。たとえば、同じIPアドレスからのログイン回数を追跡し、1つのIPアドレスからx時間以内にn回を超えるログインがあったときにこのIPアドレスがd日間使用されていなかった場合に、高アラートがトリガーされるポリシーおよびルールを構成します。

B.5.15 ロケーション: 期間内の指定ステータス以外

次の表に、「ロケーション: 期間内の指定ステータス以外」条件に関する一般情報を示します。

表B-79 ロケーション: 期間内の指定ステータス以外

条件

ロケーション: 期間内の指定ステータス以外

説明

指定期間内の指定ステータスを除くすべてのステータスに対する最大ログイン試行数を確認します。たとえば、このロケーションからn回の試行があり、y秒内に認証が成功しなかったとします。管理者は、地理的位置(IP)において過去5分間にn回を超える失敗があったかどうかの確認を試みます。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: 期間内の指定ステータス以外」パラメータ

次の表には、「ロケーション: 期間内の指定ステータス以外」条件のパラメータの概要が示されています。

表B-80 「ロケーション: 期間内の指定ステータス以外」パラメータ

パラメータ

説明

使用可能な値

認証ステータスは次ではありません

認証ステータスはauth.status.enumを介して構成されます。

例:

- ブロック済

- ロック済

- データベース・エラー

- 期限切れパスワード

- 無効なユーザー

- 保留中

- アクティブ化保留中

- 期限切れセッション

- 再利用セッション

- 成功

- システム・エラー

- ユーザーが無効です

- 不正な回答

- 不正なパスワード

- 不正なPin

期間範囲(秒)

このパラメータは、このロケーションを使用するログイン試行数をカウントする短い期間を定義します。

正の整数。

デフォルトは300です。

次より大きい

監視する最大試行回数。試行回数がこの数を超える場合、条件はtrueに評価されます。

正の整数

デフォルトは3です。

使用例

この特定のロケーションから複数回のログイン試行があり、認証ステータスが成功でない場合、このルールがトリガーされます。これは、ロケーションではなくユーザーの数に基づいています。

ログインしようとしているユーザーの数が設定されている数より多く、ステータスが設定されている値である場合、「ロケーション: 期間内の指定ステータス以外」条件はすべてのロケーションに対して一般化され、このルールがトリガーされます。たとえば、ユーザーが認証されておらず、このユーザーが特定のWebサイトにログインしようとしており、期間内のユーザーの数が4を超えている場合、このルールがトリガーされます。

別の例: この条件を使用して、ステータスが成功でなかった試行がこの期間内にこのロケーションから10回を超えて行われたかどうかを確認できます。不正行為者がシステムにアクセスしようとしたが10回失敗する場合があります。これは、このロケーションに問題があることを示す警報となります。

この条件を使用して、現行アクティビティで使用されているIPアドレスでセキュリティが損なわれているかどうかを判断できる可能性があります。自動的にパスワードを破るためにプログラムが使用される場合に可能性のある不正シナリオを検出できます。

B.5.16 ロケーション: グループ内IP

次の表に、「ロケーション: グループ内IP」条件に関する一般情報を示します。

表B-81 ロケーション: グループ内IP

条件

ロケーション: グループ内IP

説明

IPアドレスがIPアドレスのグループ内にあるかどうかを確認します。

前提条件

メンバーとしてIPアドレスを含むグループを定義しておく必要があります。ポリシーを使用してこのルールを構成しておく必要があります。この条件にはIPロケーション・データが必要です。ほとんどの本番環境には、IPロケーション・データベースが移入されています。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: グループ内IP」パラメータ

次の表には、「ロケーション: グループ内IP」条件のパラメータの概要が示されています。

表B-82 「ロケーション: グループ内IP」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

IPがIPアドレスのグループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

IPがIPアドレスのグループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

True/[False]

IPグループ

これは、IPアドレス・グループのリストです。OAAM管理コンソールの「グループ編集者」使用して、このグループ・リストを編集します。

使用例

この条件を使用して、現行アクティビティが、特定のIPアドレスに基づいているかどうかを判断できる可能性があります。たとえば、監視可能なアドレスのリストがあり、アクティビティの現在のIPがグループ内にリストされているIPアドレスの1つである場合、アクションを実行したりアラートを生成するよう構成できます。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.17 ロケーション: グループ内ドメイン

次の表に、「ロケーション: グループ内ドメイン」条件に関する一般情報を示します。

表B-83 ロケーション: グループ内ドメイン

条件

ロケーション: グループ内ドメイン

説明

第2レベル・ドメインがドメインのグループ内にあるかどうかを確認します。ドメイン・ネーム・システム(DNS)では、第2レベル・ドメイン(SLD)はトップ・レベル・ドメイン(TLD)の直下のドメインです。第2レベル・ドメインは一般に、ドメイン名を登録した組織を指します。

前提条件

メンバーとして第2レベル・ドメインを含むグループを定義しておく必要があります。ポリシーを使用してこのルールを構成しておく必要があります。この条件にはインターネット・プロトコル・アドレス(IPアドレス)のロケーション・データが必要です。ほとんどの本番環境には、IPロケーション・データベースが移入されています。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: グループ内ドメイン」パラメータ

次の表には、「ロケーション: グループ内ドメイン」条件のパラメータの概要が示されています。

表B-84 「ロケーション: グループ内ドメイン」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

第2レベル・ドメインが第2レベル・ドメインのグループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

第2レベル・ドメインが第2レベル・ドメインのグループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

グループ内第2レベル・ドメイン

これは、第2レベル・ドメイン名が含まれるグループのリストです。ルールの「条件」タブに、第2レベル・ドメイン名が含まれるグループのドロップダウン・リストが表示されます。第2レベル・ドメイン名を使用して、*.example.orgなどのサイト全体または*.sales.*や*.admin.*などのイントラネット・レベル全体を許可またはブロックできます。OAAM管理コンソールの「グループ編集者」を使用して、このグループ・リストを編集します。

(Java LONG値)

使用例

この条件は、現行アクティビティが、対象となる第2レベル・ドメインのいずれかに基づいているかどうかを判断するために使用できます。たとえば、第2レベル・ドメイン・グループのリストがあり、アクティビティに使用されている現在のIPがこれらの第2レベル・ドメインのいずれかに属している場合にアクションを実行したりアラートを生成するように、システムを構成できます。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.18 ロケーション: グループ内のIP接続スピード

次の表に、「ロケーション: グループ内のIP接続スピード」条件に関する一般情報を示します。

表B-85 ロケーション: グループ内のIP接続スピード

条件

ロケーション: グループ内のIP接続スピード

説明

IP接続スピードがグループ内にあるかどうかを確認します。インターネット接続スピードは、高、中、低または不明に分類されます。

- 高: OCX、TXおよびフレーム・リレーを介してインターネットに接続しているユーザー

- 中: 衛星、DSL、ケーブル、固定無線およびISDNを介してインターネットに接続しているユーザー

- 低: ダイアルアップおよびモバイル無線を介してインターネットに接続しているユーザー

- 不明: Quova/Neustarは回線スピード情報を取得できませんでした

前提条件

メンバーとしてIP接続スピードを含むグループを定義しておく必要があります。ポリシーを使用してこのルールを構成しておく必要があります。この条件にはIPロケーション・データが必要です。ほとんどの本番環境には、IPロケーション・データベースが移入されています。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

「ロケーション: グループ内のIP接続スピード」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-86 「ロケーション: グループ内のIP接続スピード」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

IP接続スピードがIP接続スピード・グループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

IP接続スピードがIP接続スピード・グループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

グループ内の接続スピード

これは、接続スピードのリストです。ルールの「条件」タブに、接続スピードの使用可能なグループのドロップダウン・リストが表示されます。OAAM管理コンソールの「グループ編集者」使用して、このグループ・リストを編集します。

(Java LONG値)

使用例

この条件を使用して、現行アクティビティが、特定のスピードを含むIPに基づいているかどうかを判断できる可能性があります。たとえば、通常、ダイアルアップ・ネットワークからログインするユーザーについてスピードが高である場合、アラートの生成が必要な場合があります。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.19 ロケーション: グループ内ISP

次の表に、条件に関する一般情報を示します。

表B-87 ロケーション: グループ内ISP

条件

ロケーション: グループ内ISP

説明

現在のIPアドレスのISPがISPグループ内にあるかどうかを確認します。このグループには、インターネット・サービス・プロバイダが含まれます。ISPの例として、Comcast、Verizon、AOLなどがあります。

前提条件

すでに定義されているISPグループのリストが必要です。ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-88 「ロケーション: グループ内ISP」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

ISPがISPグループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

ISPがISPグループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

ISPグループ内ISP

これは、ISPグループのリストです。ルールの「条件」タブに、ISPグループの使用可能なリストのドロップダウン・リストが表示されます。管理ユーザー・インタフェースの「グループ編集者」を使用して、このグループ・リストを編集します。

使用例

この条件は、現行アクティビティのISPが、不正の判別に特に役立つ可能性があるISPかどうかを判断するために使用できます。たとえば、認証前ポリシー・ルールの場合はブラックリストISP、ISPグループはOAAM制限付きISPです。アクションは「OAAMブロック」、アラートは「OAAM制限付きISP」です。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.20 ロケーション: グループ内トップ・レベル・ドメイン

次の表に、条件に関する一般情報を示します。

表B-89 ロケーション: グループ内トップ・レベル・ドメイン

条件

ロケーション: グループ内トップ・レベル・ドメイン

説明

トップ・レベル・ドメインがグループ内にあるかどうかを確認します。

このグループには、トップ・レベル・ドメイン名(インターネット・ドメイン名の最後の部分。ドメイン名の最後のドットに続く文字)が含まれます。

トップ・レベル・ドメイン名を使用して、.uk、.ru、.caなどの国全体、または .mil、.info、.gov、.eduなどのコミュニティ全体を許可またはブロックできます。

前提条件

メンバーとしてトップ・レベル・ドメインを含むグループを定義しておく必要があります。ポリシーを使用してこのルールを構成しておく必要があります。この条件にはインターネット・プロトコル・アドレス(IPアドレス)のロケーション・データが必要です。ほとんどの本番環境には、IPロケーション・データベースが移入されています。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-90 「ロケーション: グループ内トップ・レベル・ドメイン」パラメータ

パラメータ

説明

使用可能な値

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

トップ・レベル・ドメインがトップ・レベル・ドメイン名のグループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

トップ・レベル・ドメインがトップ・レベル・ドメイン名のグループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[true]/false

グループ内のトップ・レベル・ドメイン

これは、トップ・レベル・ドメイン名が含まれるグループのリストです。ルールの「条件」タブに、トップ・レベル・ドメイン名が含まれるグループのドロップダウン・リストが表示されます。トップ・レベル・ドメイン名を使用して、*.example.orgなどのサイト全体または*.sales.*や*.admin.*などのイントラネット・レベル全体を許可またはブロックできます。OAAM管理コンソールの「グループ編集者」を使用して、このグループ・リストを編集します。

(Java LONG値)

グループ作成の詳細は、第12章「グループの管理」を参照してください。ドメイン・グループの作成時には値を入力する必要があります。

使用例

この条件は、現行アクティビティが、対象となるトップ・レベル・ドメインのいずれかに基づいているかどうかを判断するために使用できます。たとえば、トップ・レベル・ドメイン・グループのリストがあり、アクティビティに使用されている現在のIPがこれらのトップ・レベル・ドメインのいずれかに属している場合にアクションを実行したりアラートを生成するように、システムを構成できます。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.5.21 ロケーション: IP複数デバイス

次の表に、条件に関する一般情報を示します。

表B-91 ロケーション: IP複数デバイス

条件

ロケーション: IP複数デバイス

説明

指定継続時間内のIPアドレスからの最大デバイス数を確認します。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。この条件にはIPロケーション・データが必要です。ほとんどの本番環境には、IPロケーション・データベースが移入されています。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-92 「ロケーション: IP複数デバイス」パラメータ

パラメータ

説明

使用可能な値

認証ステータスは次のとおりです

認証ステータスはauth.status.enumを介して構成されます。

例:

- ブロック済

- ロック済

- データベース・エラー

- 期限切れパスワード

- 無効なユーザー

- 保留中

- アクティブ化保留中

- 期限切れセッション

- 再利用セッション

- 成功

- システム・エラー

- ユーザーが無効です

- 不正な回答

- 不正なパスワード

- 不正なPin

継続時間

これは、このIPからのデバイス数をカウントする期間です。

デフォルトは300です。

時間

時間の値。

次より大きい

監視する最大デバイス数。デバイス数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

B.5.22 ロケーション: IPルーティング・タイプ

次の表に、条件に関する一般情報を示します。

表B-93 ロケーション: IPルーティング・タイプ

条件

ロケーション: IPルーティング・タイプ

説明

IPのルーティング・タイプを確認します。固定/静的、アノニマイザ、AOL、POP、スーパーPOP、衛星、キャッシュ・プロキシ、国際プロキシ、地域プロキシ、モバイル・ゲートウェイまたは不明になります。

前提条件

ポリシーを使用してこのルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-94 「ロケーション: IPルーティング・タイプ」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

ルーティング・タイプが指定したタイプであり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

ルーティング・タイプが指定したタイプでなく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

[True]/False

いいえ

ルーティング・タイプ

選択対象のルーティング・タイプがリストされます。

いいえ

使用例

この条件は、現行アクティビティのIPが、不正の判別に特に役立つ可能性があるルーティング・タイプを使用するかどうかを判断するために使用できます。

場合によっては、IPが不明であるかプライベートであるときにタスクを実行しないことがあります。

B.5.23 ロケーション: IPタイプ

次の表に、条件に関する一般情報を示します。

表B-95 ロケーション: IPタイプ

条件

ロケーション: IPタイプ

説明

IPタイプが有効、不明またはプライベートのいずれかであるかを確認します。

前提条件

この条件にはIPロケーション・データが必要です。ほとんどの本番環境には、IPロケーション・データベースが移入されています。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-96 「ロケーション: IPタイプ」パラメータ

パラメータ

説明

使用可能な値

IPタイプ

これは、単一のIPロケーション・タイプ値です。複数のIPロケーション・タイプを確認する必要がある場合は、複数の条件が必要です。

IPロケーション・タイプは、列挙location.ip.type.enumの単一の有効タイプです。

次に一致する

これは、IPが有効、不明またはプライベートであるときにデフォルトの戻り値を定義するブール・パラメータです。

True/[False]

使用例

IPタイプとして有効、不明またはプライベートを確認する場合、この条件を使用します。

B.5.24 ロケーション: ユーザー・ステータス件数

次の表に、条件に関する一般情報を示します。

表B-97 ロケーション: ユーザー・ステータス件数

条件

ロケーション: ユーザー・ステータス件数

説明

指定期間中にユーザーがこのステータスで許可される回数を確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-98 「ロケーション: ユーザー・ステータス件数」パラメータ

パラメータ

説明

使用可能な値

範囲

履歴で見直す時間単位数

正の整数。デフォルトは3です。

時間単位

「範囲」パラメータに関連付けられる時間単位。

構成されている時間単位をtime.unit.enumプロパティから選択します。

ミリ秒、秒、分、時間、日、週、月、年。

最大許容ユーザー数

この条件のトリガーが開始されるために許容される最大ユーザー数

正の整数

デフォルトは3です。

ステータス

タイプが認証ステータスのグループの名前

LONG。グループのID。

使用例

過去n時間にこのIPから失敗したログインについて、ログインを行ったユーザーが多すぎるかどうかを判断します。

B.6 セッション条件

この項で説明するセッション条件は次のとおりです。

B.6.1 セッション: パラメータ値の確認

次の表に、条件に関する一般情報を示します。

表B-99 セッション: パラメータ値の確認

条件

セッション: パラメータ値の確認

説明

指定されたパラメータ値が指定されたしきい値を上回っているかどうかを確認します。この条件を使用すると、トランザクションにおける特定のパラメータ値が、既知のしきい値を上回るかどうかを判断し、その判断に従ってアクションを実行できます。基本的に、インテグレータ用の数学関数が指定されます。これは、ネイティブ統合で非常に役立ちます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

B.6.1.1 パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-100 「セッション: パラメータ値の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

「次に一致する」がtrueであり、値が指定されたしきい値を上回っている場合、条件はtrueに評価されます。

「次に一致する」がfalseであり、値が指定されたしきい値を下回っている場合、条件はtrueに評価されます。

[true]/false

いいえ

パラメータ・キー

トランザクションにおけるパラメータのキーまたは参照名。たとえば、トランザクションが購入で属性名がcreditcardであり、チェックポイントにおけるこの値がユーザーのクレジット・カードによって移入される場合、キーはcreditcardとなります。キーがnullの場合、戻り値defaultErrorが条件の結果となります。

はい

次を超える値

この値が基本的にしきい値となります。これは、時間がトランザクション内に存在する時間パラメータを超えているかどうかを確認するために使用できます。LONG値の文字列表現を指定できます。注意: 小数値を使用するルールを作成する場合は、条件「セッション: 文字列パラメータ値の確認」を使用します。

LONG値

はい

B.6.1.2 使用例

トランザクションの特定の属性値がしきい値を超えるかどうかを判断する場合に、この条件を使用します。

たとえば、購入というトランザクションを構成し、カスタマの購入が$1000のマークを超える場合に常にルールがトリガーされるようにします。

これを行うには、このルールをこの条件とともに使用する必要があります。

1. トランザクションの「パラメータ・キー」をpurchase.orderTotalに構成します(そのような属性がトランザクションに含まれていると想定しています)。

2. 「次を超える値」を1000に構成します。「Too Big Purchase」と表示するアラートを構成します。

3. 1000を上回る合計数値と1000を下回る合計数値をそれぞれいくつか指定して、トランザクションを処理します。

4. 1000を上回る合計数値の場合にルールがトリガーされることを確認します。

B.6.2 セッション: グループ内のパラメータ値の確認

次の表に、条件に関する一般情報を示します。

表B-101 セッション: グループ内のパラメータ値の確認

条件

セッション: グループ内のパラメータ値の確認

説明

指定したパラメータ値が正規表現と一致し、表現マッチャによって識別されたグループが文字列のリスト内に存在するかどうかを確認します。正規表現の一致では、大/小文字を区別しません(大文字と小文字は同じものとして扱われます)。

前提条件

条件自体についてはありませんが、ルールが機能するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-102 「セッション: グループ内のパラメータ値の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

「次に一致する」がtrueであり、キーの値が正規表現と一致して、正規表現マッチャによって検出された最初のグループ文字列が文字列グループ内にある場合、条件はtrueに評価されます。

[true]/false

はい

パラメータ・キー

トランザクションにおけるパラメータのキーまたは参照名。たとえば、トランザクションがインターネット・バンキングで属性名がbankNameであり、チェックポイントにおけるこの値がユーザーによって移入される場合、キーはTransaction.bankNameとなります。このキーは、トランザクション詳細のトランザクション・ソース・データ・タブにある「内部ID」列にあります。キーがnullの場合、defaultReturnValueが条件の結果となります。

はい

正規表現

「パラメータ・キー」によって指定された参照名を含む値を一致させるために使用する文字パターン。同じバンキングの例で、bankNameがSomeBankと等しいかどうかを判断する場合、ポリシーまたはルールで、このパターンを引用符を使用しないで(SomeBank)として定義する必要があります。正規表現がnullの場合、defaultReturnValueが条件の結果となります。

はい

リスト内

この条件では、正規表現マッチャによって取得された文字グループがこの文字列グループに属しているかどうかを確認します。リスト名がnullであるか、または名前で指定するリストが空の場合、defaultReturnValueが条件の結果となります。

はい

デフォルトの戻り値

データが不十分であることが原因でエラーが発生したり、条件を評価できない場合、この値が返されます(この値に評価されます)。この値が指定されていない場合(null)、falseが想定されます。

[false]/true

はい

使用例

トランザクションの特定の属性値の一部が文字パターンと一致するかどうかを判断したり、値のこの部分が文字列の事前決定されたグループ内に存在するかどうかを確認する場合に、この条件を使用します。

たとえば、インターネット・バンキングというトランザクションを構成し、銀行名がbank1またはbank2の場合にルールがトリガーされるようにします。

これを行うには、次のようにこのルールをこの条件とともに使用する必要があります。

1. トランザクションの「パラメータ・キー」をTransaction.bankNameに構成します(そのような属性がトランザクションに含まれていると想定しています)。

2. 「正規表現」を(bank.)と構成します。「Some specified bank transaction」と表示するアラートを構成します。

3. 対象とする銀行という汎用文字列のグループを作成して、bank1およびbank2を追加します。

4. この条件のリスト内パラメータとしてグループ名を構成します。

5. 「次に一致する」をtrueに、デフォルトの戻り値をfalseに構成します。

6. bank1、bank2、bank3などと銀行名を指定して、いくつかのトランザクションを処理します。bank1およびbank2の場合にのみアラートが生成されることを確認します。

7. BANK1の場合にアラートが生成されることを確認します。これにより、正規表現の一致では大/小文字が区別されないことが示されます。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.6.3 セッション: 正規表現のパラメータ値の確認

次の表に、条件に関する一般情報を示します。

表B-103 セッション: 正規表現のパラメータ値の確認

条件

セッション: 正規表現のパラメータ値の確認

説明

指定したパラメータ値が正規表現と一致するかどうかを判断します。この条件を使用すると、トランザクションにおける特定のパラメータの文字列値が既知のパターンと一致しているかどうかを判断し、この判断に従ってアクションを実行できます。インテグレータ用の数学関数が指定され、ネイティブ統合に役立ちます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

B.6.3.1 パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-104 「セッション: 正規表現のパラメータ値の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

「次に一致する」がtrueであり、正規表現が指定された基準と一致する場合、条件はtrueに評価されます。

「次に一致する」がfalseであり、正規表現が指定された基準と一致しない場合、条件はtrueに評価されます。

[true]/false

いいえ

パラメータ・キー

トランザクションにおけるパラメータのキーまたは参照名。たとえば、トランザクションが購入で属性名がcreditcardであり、チェックポイントにおけるこの値がユーザーのクレジット・カードによって移入される場合、キーはcreditcardとなります。キーがnullの場合、戻り値defaultErrorが条件の結果となります。このキーは、トランザクション詳細のトランザクション・ソース・データ・タブにある「内部ID」列にあります。

はい

正規表現

「パラメータ・キー」によって指定された参照名を含む値を一致させるために使用する文字パターン。同じクレジット・カードの例で説明します。ユーザーがクレジット・カードをすべて正しく入力したかどうかを確認するには、パターン[0-9]を検索します。

はい

エラー戻り値

なんらかのエラーが発生した場合、この値が返されます(この値に評価されます)。この値が指定されていない場合(null)、falseが想定されます。

[false]/true

はい

B.6.3.2 使用例

トランザクションの特定の属性値が文字パターンと一致するかどうかを判断する場合に、この条件を使用します。

たとえば、「purchase」というトランザクションを構成し、会社の政府および軍事関連ビジネスを追跡できるように、カスタマの電子メール・フィールドの末尾が「.gov」または「.mil」の場合に常にルールがトリガーされるようにします。

これを行うには、このルールをこの条件とともに使用する必要があります。

1. トランザクションの「パラメータ・キー」をcustomer.e-mailに構成します(そのような属性がトランザクションに含まれていると想定しています)。

2. 「正規表現」を*[.gov][.mil]と構成します。

3. 「Government/Military business」と表示するアラートを構成します。

4. 末尾が「.gov」または「.mil」の電子メール・アドレスを指定して、いくつかのトランザクションを処理します。

5. アラートが生成されることを確認します。

6. 末尾が「.com」または「.gov」もしくは「.mil」以外の別の電子メール・アドレスを指定して、いくつかのトランザクションを処理します。
アラートは生成されないことに注意してください。

B.6.4 セッション: 2つの文字列パラメータ値の確認

次の表に、条件に関する一般情報を示します。

表B-105 セッション: 2つの文字列パラメータ値の確認

条件

セッション: 2つの文字列パラメータ値の確認

説明

指定されたパラメータ値が、指定された文字列と等しいかどうかを確認します。この条件を使用すると、トランザクションにおける特定のパラメータ値が予期された文字列と一致するかどうかを判断し、この判断に従ってアクションを実行できます。基本的に、この条件ではインテグレータ用の文字列等価関数が指定されます。これは、ネイティブ統合で役立ちます。

比較では大/小文字が区別されます。つまり、GoodとGOODは等しくありません。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-106 「セッション: 2つの文字列パラメータ値の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

パラメータ・キー

トランザクションにおけるパラメータのキーまたは参照名。たとえば、トランザクションが購入で属性名がcreditCardTypeであり、チェックポイントにおけるこの値がユーザーのクレジット・カード・タイプによって移入される場合、キーはcreditCardTypeとなります。

はい

値

基本的に、これが比較対象の値です。

はい

使用例

トランザクションの特定の属性値が指定された文字列と等しいかどうかを判断する場合に、この条件を使用します。

たとえば、購入というトランザクションを構成し、カスタマのクレジット・カードがアメリカン・エキスプレスの場合に常にルールがトリガーされるようにします。

これを行うには、次のようにこのルールをこの条件とともに使用する必要があります。

1. トランザクションの「パラメータ・キー」をpurchase.creditCardTypeに構成します(そのような属性がトランザクションに含まれていると想定しています)。

2. 「値」を「AMEX」に構成します。「Amex Card Used」と表示するアラートを構成します。

3. カード・タイプにAMEXおよび別のカード・タイプを指定して、それぞれいくつかのトランザクションを処理します。

4. AMEXが使用される場合にルールがトリガーされることを確認します。

B.6.5 セッション: 文字列値の確認

次の表に、条件に関する一般情報を示します。

表B-107 セッション: 文字列値の確認

条件

セッション: 文字列値の確認

説明

指定されたパラメータ値が、指定された文字列と等しいかどうかを確認します。この条件を使用すると、トランザクションにおける特定のパラメータ値が予期された文字列と一致するかどうかを判断し、この判断に従ってアクションを実行できます。基本的に、この条件ではインテグレータ用の文字列等価関数が指定されます。これは、ネイティブ統合で役立ちます。

比較では大/小文字が区別されます。つまり、GoodとGOODは等しくありません。

前提条件

条件自体についてはありませんが、動作に関しては、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

B.6.5.1 パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-108 「セッション: 文字列値の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

パラメータ・キー

トランザクションにおけるパラメータのキーまたは参照名。たとえば、トランザクションが購入で属性名がcreditCardTypeであり、チェックポイントにおけるこの値がユーザーのクレジット・カード・タイプによって移入される場合、キーはcreditCardTypeとなります。

はい

StringValue

基本的に、これが比較対象の値です。

はい

B.6.5.2 使用例

トランザクションの特定の属性値が指定された文字列と等しいかどうかを判断する場合に、この条件を使用します。

たとえば、購入というトランザクションを構成し、カスタマのクレジット・カードがアメリカン・エキスプレスの場合に常にルールがトリガーされるようにします。

これを行うには、次のようにこのルールをこの条件とともに使用する必要があります。

1. トランザクションの「パラメータ・キー」をpurchase.creditCardTypeに構成します(そのような属性がトランザクションに含まれていると想定しています)。

2. 「値」を「AMEX」に構成します。「Amex Card Used」と表示するアラートを構成します。

3. カード・タイプにAMEXおよび別のカード・タイプを指定して、それぞれいくつかのトランザクションを処理します。

4. AMEXが使用される場合にルールがトリガーされることを確認します。

B.6.6 セッション: 時間単位条件

次の表に、条件に関する一般情報を示します。

表B-109 曜日

条件

曜日

説明

現在の日付の時間単位が、特定の基準と一致しているかどうかを確認します。この条件によって、特定の時間単位(現在の日付の一部)が時間単位の特定の位置に属しているかどうかが判断されます。

この条件では、パラメータのヘルプでリクエストされた日付関数を評価するために使用可能な場合、リクエスト日を使用します。

リクエスト日を使用できない場合は、現在のサーバーの日時が使用されます。

例

この条件は、曜日が月曜日や火曜日などと等しいか、または等しくないかなどを判断するために使用できます。

また、該当月の日が、該当月の日の特定の基準と一致するかどうかも判断できます。

該当年の月がXである場合、Xでない場合、Xに含まれる場合、またはXに含まれない場合に、同じ基準と一致するようにすることもできます。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-110 「曜日」パラメータ

パラメータ

説明

使用可能な値

時間単位

列挙

探している時間単位。

デフォルト値は「該当週の日」です。

使用可能な値は次のとおりです。

- 該当週の日

- 該当月の日

- 年単位の日

- 該当年の月

- 該当日の時間

- 該当月の週

- 該当年の週

- 年

比較演算子

列挙

時間単位を使用して行う比較。

デフォルト値は「次と等しい」です。

使用可能な値は次のとおりです。

- 次と等しい

- 次と等しくない

- 次より小さい

- 次より大きい

- 次以下

- 次以上

- 次に含まれる

- 次に含まれない

比較値

文字列

デフォルト値は""(空文字列)で、整数またはカンマ区切りの整数を表す文字列を表します。たとえば、1や1,2,3,4などです。

ユーザーは、演算子「次に含まれる」または「次に含まれない」を使用するときにカンマ区切り値を使用できます。

カンマ区切り値を他の演算子に使用すると、エラーと判断されて、5番目のパラメータの値(エラー戻り値を参照)が返されます。

文字列が数値(またはカンマ区切り数値のリスト)を表さない場合、エラーと判断されて、5番目のパラメータの値が返されます。

様々な時間単位についてのこのパラメータの正しい値は、次のとおりです。

- 該当週の日: 1から7 (1は日曜日)

- 該当月の日: 1から31

- 該当年の日: 1から366

- 該当年の月: 0から11 (0は1月)

- 該当日の時間: 0から23

- 該当月の週: 0から6

- 該当年の週: 1から53

- 年: 正の整数

条件がtrue

ブール

trueまたはfalse。

デフォルト値はTrueです。

「条件がTrue」パラメータは条件の結果を制御します。

このパラメータを使用して条件の結果を否定できます。

比較がTrueであり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

比較がFalseであり、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

エラー戻り値

ブール

デフォルト値はfalse

ユーザーが比較値(#3)の値を正しく構成しなかったか、または日付を決定する他のエラーが発生した場合、この値が返されます。

曜日は次のとおりです。

- 1 = 日曜日

- 2 = 月曜日

- 3 = 火曜日

- 4 = 水曜日

- 5 = 木曜日

- 6 = 金曜日

- 7 = 土曜日

平日は2、3、4、5、6です。

「時間単位」は「該当週の日」です。

「比較演算子」は「次に含まれる」です。

比較値は1,2,3,4,5です。

「条件がTrue」はTrueです。

「エラー戻り値」はfalseです。

B.6.7 セッション: 2つのパラメータ値の比較

次の表に、条件に関する一般情報を示します。

表B-111 セッション: 2つのパラメータ値の比較

条件

セッション: 2つのパラメータ値の比較

説明

指定されたパラメータ値を比較演算子に基づいて比較し、文字列タイプ・パラメータにケース(大文字/小文字)を使用する必要がある場合にはフラグに基づいて比較します。この条件は、トランザクションにおける特定のパラメータ値が別のパラメータを上回るか、下回るか、または等しいかを確認するために使用できます。基本的に、インテグレータ用の数学関数が指定されます。比較を行う前に、トランザクション内の実際のアイテムの値が比較用の文字列(文字)に変換されます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-112 「セッション: 2つのパラメータ値の比較」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

パラメータ・キー1

トランザクションにおけるパラメータのキーまたは参照名。たとえば、トランザクションが購入で属性名がshippingaddresszipであり、ランタイムにおけるこの値がユーザーの出荷先住所の郵便番号によって移入される場合、キーはshippingaddresszipとなります。キーがnullの場合、戻り値defRetValueが条件の結果となります。

文字列

いいえ

パラメータ・キー2

トランザクションにおけるパラメータのキーまたは参照名。たとえば、トランザクションが購入で属性名がbillingaddresszipであり、ランタイムにおけるこの値がユーザーの請求先住所の郵便番号によって移入される場合、キーはbillingaddresszipとなります。キーがnullの場合、戻り値defRetValueが条件の結果となります。

文字列

いいえ

操作

これは、上の2つのキーに関連付けられる値に対して使用される比較演算子です。この演算子は、結果 = (値1) [この比較演算子] (値2)として使用されます。

たとえば、値1 = 数量1 (例: 100.00ドル)、値2 = 数量2 (例: 53.23ドル)およびこの演算子がたとえば「次より大きい」とすると、条件は、

100.00 [次より大きい] 53.23 === falseと評価されます。

=、<、>、<=、>=、<>、次を含む、次で始まる、次で終わる

はい

IgnoreCase

パラメータの文字列表現で、ケース(大文字/小文字)を無視する必要があるかどうか。

[true]/false

いいえ

デフォルトの戻り値

パラメータの取得中にエラーが発生した場合や、両方のパラメータのどちらかが見つからなかったり空またはnullである場合における、条件のデフォルト値。

[false]/true

いいえ

使用例

トランザクションの2つの属性値を比較する場合には、常にこの条件を使用します。たとえば、購入というトランザクションを構成し、カスタマの請求先郵便番と出荷先郵便番号が異なる場合に常にルールがトリガーされるようにします。これを行うには、このルールをこの条件とともに使用する必要があります。

1. トランザクションの「パラメータ・キー1」をpurchase.billingZipCodeとして構成します。ここでは、そのような属性がトランザクションに含まれていると想定しています。

2. トランザクションの「パラメータ・キー2」をpurchase.shippingZipCodeとして構成します。ここでは、そのような属性がトランザクションに含まれていると想定しています。

3. 「比較演算子」を「次と等しくない」として構成します。「Billing and Shipping Code no match」と表示するアラートを構成します。

4. 異なる請求先郵便番号と出荷先郵便番号を指定して、トランザクションを処理します。

5. ルールがトリガーされることを確認します。また、トランザクションの請求先郵便番号と出荷先請求番号が同じ場合には、ルールがトリガーされないことも確認します。

B.6.8 セッション: フィルタ条件を使用した現在のセッションの確認

次の表に、条件に関する一般情報を示します。

表B-113 セッション: フィルタ条件を使用した現在のセッションの確認

条件

セッション: フィルタ条件を使用した現在のセッションの確認

説明

現在の値のうちの指定された値を使用したセッション属性を比較します。この条件では、条件の最終結果を取得するために論理的なANDによって併用できるフィルタ条件を最大6つ使用できます。

この条件により、式を作成できます。同様に使用可能なセッション属性を含む式を作成できます。式の作成は次のように示すことができます。

Expr1 = 右側の変数<演算子>左側の変数または値

AND

Expr2 = 右側の変数<演算子>左側の変数または値

このように続きます。

ロジックを作成するには、式を6個まで追加できます。

使用可能な変数は、この条件を評価する際の環境で使用可能なセッションの属性です。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

11.1.2.0.0

チェックポイント

デバイスIDを除くすべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-114 「セッション: フィルタ条件を使用した現在のセッションの確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェック(または式の右側)

比較するセッションの属性。これは、使用可能な属性の事前決定されたリストから選択される必要があります。条件には、少なくとも1つの属性(行)が含まれている必要があります。

Drop_Down

いいえ

演算子

使用可能な演算子のリストから適切な演算子を選択します。

ドロップダウンから次のいずれかを選択します。

<、>、<=、>=、=、次と等しくない、大文字小文字を区別しない、null、nullでない、次に含まれる、次に含まれない、次と相似、次と相似でない

いいえ

値/現在

絶対値を指定する場合には「値」を選択し、セッションの現在のその他属性と比較する場合には「現在」を選択します。

値/現在

いいえ

値の右側

「値/現在」で「値」を選択すると、式の右側として使用する絶対値を入力するためのテキスト・ボックスが表示されます。

前のボックスで「現在」を選択した場合は、比較に使用可能な属性のドロップダウンを使用できます。

文字列値

はい

および

左側: 演算子: 右側の行を繰り返して、式を作成できます。

使用例

この条件は、セッションの値を比較したり、式のチェーンを作成したり、独自のロジックを作成する場合に常に使用できます。

たとえば、セッションのIPアドレスがlocalhostではないかどうか、ユーザーがMozillaタイプのブラウザからログインしているかどうかを確認する場合などです。これを行うには、この条件をルールで使用する必要があります。

1. 最初の式で、「チェック」、「IPアドレス」、「次と等しくない」、「値」を構成して、ボックスに127.0.0.1と入力します。

2. 式の2行目で、「および」、「Session.Browser.UserAgent」、「次と相似」、「値」を構成して、Mozillaと入力します。

3. 127.0.0.1以外のIPアドレスからMozilla Webブラウザを使用してログインを実行すると、ルールがトリガーされます。

4. 同じIPアドレスから他のWebブラウザ(Internet ExplorerやSafariなど)を使用してログインを実行すると、ルールはトリガーされません。

B.6.9 セッション: リスク・スコア分類の確認

次の表に、条件に関する一般情報を示します。

表B-115 セッション: リスク・スコア分類の確認

条件

セッション: リスク・スコア分類の確認

説明

以前のチェックポイント実行からのリスク・スコアに基づいてリスク・スコア分類を確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

11.1.2.0.0

チェックポイント

すべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-116 「セッション: リスク・スコア分類の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

分類タイプ

リスク・スコアのタイプまたは範囲。3つのタイプまたは範囲で分類される即時利用可能なリスク・スコア。(低は0から0、中は1から500、高は501から1000)。

注意: 次の列挙を使用してデフォルト値を変更したり分類を追加できます。

oracle.oaam.common.rules.riskscore.classification.enum

(整数 = 0、1、2)

ドロップダウンから選択

[0=低]、1=中、2=高

いいえ

デフォルトの戻り値

なんらかのエラーが発生した場合の条件のデフォルト値。

[false]/true

いいえ

使用例

この条件は、同じセッションの前のチェックポイントで、リスク・スコアが事前決定された範囲内であったかどうかを確認する場合に常に使用できます。

たとえば、このセッション内の前のチェックポイントで、リスク・スコアが高範囲内であったかどうかを確認する場合などです。この場合、ポリシーを含むチェックポイントがセッション内に2つのみ(認証前と認証後)であることが前提となります。

これを行うには、このルールをこの条件とともに使用する必要があります。

1. 条件のリスク・スコア・タイプを高として構成します。

2. 「デフォルトの戻り値」をfalseとして構成します。

3. このルールを認証後チェックポイントで構成します。

4. 認証前チェックポイントで、高スコアを生成するルールを構成します。(このことは、常にオンという条件をルールに追加して、このチェックポイントでルールを作成しすることによって実行できます。)

5. ルールがトリガーされることを確認します。

B.6.10 セッション: Cookie不一致

次の表に、条件に関する一般情報を示します。

表B-117 セッション: Cookie不一致

条件

セッション: Cookie不一致

説明

指定されたCookieと予想されたCookieの不一致があるかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-118 「セッション: Cookie不一致」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

フィンガープリント・タイプ

Cookieのフィンガープリント・タイプ列挙。有効な値はブラウザまたはflashです。

[ブラウザ]またはFlash

いいえ

CookieKey

Cookie値のコンテキスト・データ・キー。

文字列[browser_securecookie]

または任意の文字列

いいえ

一致した場合にトリガーしますか。

trueに設定すると、Cookieが一致した場合、条件はtrueに評価されます。

[true]/false

はい

使用例

この条件は、予期されたCookieがこのデバイスに基づく実際のCookieと一致するかどうかを確認する場合に常に使用できます。

この条件を使用するには、条件をルールに追加して、たとえば認証後チェックポイントで使用します。

シミュレータまたはブラウザ修飾子拡張機能を使用して、予期されたCookieのかわりに別のCookieを送信する必要があります。

1. この条件をデフォルト値を使用してルールに追加します。

2. ログインを実行し、ログインが同じデバイスからであることを確認します(「セッション・データ」の「デバイスID」フィールドを表示します)。

3. ブラウザ修飾子拡張機能またはシミュレータを使用して、予期されたCookieのかわりに別のCookieを送信します。

このルールがトリガーされます。

B.6.11 セッション: ブラウザ・フィンガープリントにおける不一致

次の表に、条件に関する一般情報を示します。

表B-119 セッション: ブラウザ・フィンガープリントにおける不一致

条件

セッション: ブラウザ・フィンガープリントにおける不一致

説明

ブラウザ・フィンガープリントに、認証中に指定されたフィンガープリントとの不一致があるかどうかを確認します。フィンガープリントは、ルール・エンジンに渡されたコンテキスト値を使用して構成されます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

デバイスIDを除くすべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-120 「セッション: ブラウザ・フィンガープリントにおける不一致」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

ユーザー・エージェント・キー

ブラウザのユーザー・エージェント値のコンテキスト・データ・キー。

文字列[browser_uas]または

任意の文字列

いいえ

ローカル言語キー

ローカル言語値へのキー。

文字列[browser_localLang]

または任意の文字列

はい

ローカル国キー

ローカル国値へのキー。

文字列[browser_localCountry]

または任意の文字列

はい

localVariantKey

ローカル国値へのキー。

文字列[browser_localVariant]

または任意の文字列

はい

一致した場合にトリガーしますか。

(trueに)設定すると、フィンガープリントが一致する場合に条件がトリガーされます。

[true]/false

はい

使用例

この条件は、ブラウザ・フィンガープリントが、このセッションのブラウザからログインしている実際のブラウザ・フィンガープリントと一致するかどうかを確認する場合に常に使用できます。

この条件を使用するには、条件をルールに追加して、認証後チェックポイントで使用します。

シミュレータまたはブラウザ修飾子拡張機能を使用して、目的のユーザー・エージェント文字列を送信する必要があります。

1. この条件をデフォルト値を使用してルールに追加します。

2. ログインを何回か実行し、ログインが同じデバイスからであることを確認します。「セッション・データ」の「デバイスID」フィールドを表示します。

3. ブラウザ修飾子拡張機能またはシミュレータを使用して、予期されたフィンガープリントのかわりに別のフィンガープリントを送信します。

このルールがトリガーされます。

B.6.12 セッション: 現在の日時との比較

次の表に、条件に関する一般情報を示します。

表B-121 セッション: 現在の日時との比較

条件

セッション: 現在の日時との比較

説明

指定されたパラメータ値を現在時間と比較します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-122 「セッション: 現在の日時との比較」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

パラメータ・キー

トランザクションにおけるパラメータのキーまたは参照名。たとえば、トランザクションが購入で属性名がpo_timeであり、ランタイムにおけるこの値が日付/時刻タイプのデータによって移入される場合、キーはpo_timeとなります。キーがnullの場合、条件はfalseに評価されます。

キーによりnullの日付オブジェクトが返される場合、戻り値IfNullが条件の結果となります。

文字列

はい

現在の日付より後

これは、「日付」フィールドを現在の日付より後または現在の日付より前(または以前)のいずれについて条件を確認する必要があるかを構成するブール型パラメータです。

ブール値[true]/false

はい

指定された日付キーにより空の日付が返された場合(IfNull)

このブール型パラメータでは、「パラメータ・キー」により有効な日付オブジェクトがトランザクション・データから返されなかった場合の処理を指定します。

ブール値[true]/false

はい

使用例

この条件は、トランザクションにおける日付属性の値をトランザクション日自体と比較する場合に常に使用できます。

たとえば、購入というトランザクションを構成し、発注日が現在の日付より後である場合に常にルールがトリガーされるようにする場合などです。

これを実現するには、次を行う必要があります。

1. この条件でこのルールを使用します。

2. トランザクションの「パラメータ・キー」をpurchase.po_dateに構成します(そのような属性がトランザクションに含まれていると想定しています)。

3. トランザクションの「現在の日付より後」をtrueに構成します。

4. 指定された日付キーにより空が返された場合をfalseに構成します。

5. 様々なpo_date値を指定して、いくつかのトランザクションを処理します。

6. po_dateが現在の日付より後の場合にルールがトリガーされることを確認します。

B.6.13 セッション: IP変更

次の表に、条件に関する一般情報を示します。

表B-123 セッション: IP変更

条件

セッション: IP変更

説明

トランザクションが開始してからIPアドレスが変更されています。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-124 「セッション: IP変更」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

IPキー

トランザクション・データにおけるIP値へのキーまたは参照

文字列

はい

使用例

この条件は、主にトランザクション関連シナリオで、トランザクションにおけるIP属性の値をセッションの現在のIPアドレスと比較するために使用できます。

たとえば、購入というトランザクションを構成し、トランザクションに着信するIPアドレスが、セッションの接続元のIPアドレスと一致しない場合に常にルールがトリガーされるようにする場合などです。

これを行うには、このルールをこの条件で使用する必要があります。

トランザクションのIPキーをpurchase.ip_addrとして構成します(そのような属性がトランザクションに含まれていると想定しています)。

様々なip_addr値を指定して、いくつかのトランザクションを処理します。

ip_addrがセッションのIPアドレスと異なる場合にルールがトリガーされることを確認します。

B.6.14 セッション: カンマ区切り値内にある値の確認

次の表に、条件に関する一般情報を示します。

表B-125 セッション: カンマ区切り値内にある値の確認

条件

セッション: カンマ区切り値内にある値の確認

説明

指定した値が、カンマ区切り値リストに存在するかどうかを確認します。この場合、カンマ区切り値は、指定されたキーに関連付けられるトランザクション・データの値セットのことです。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-126 「セッション: カンマ区切り値内にある値の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

パラメータ・キー

トランザクション・データにおける値へのキーまたは参照。

このキーに関連付けられた値は、カンマで区切られている場合があります。

文字列

はい

確認する値

確認の対象となる値。

文字列

はい

trueである

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

キーの値がリスト内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

キーの値がリスト内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

ブール

True

使用例

この条件は、主にトランザクション関連シナリオで、指定されたキーに関連付けられるデータ値のいずれかが目的のデータ値であるかどうかを比較するために使用できます。

たとえば、受け取ったクレジット・カードの申込みを評価する一環として、業者が知る必要がある場合に、ユーザーが指定した国に滞在しているかどうかを識別する必要があります。国情報は、国コードを示す文字列のカンマ区切りリストとして提供されます。たとえば、USやUKなどです。

counties_resided_last_3_yearsと表示されるデータ・フィールドを含むcredit_card_applicationとして、トランザクションを構成します。

この条件を実行されるルールに追加します。

トランザクションの「パラメータ・キー」をcountries_resided_last_3_yearsとして構成します。

「確認する値」をUSとして構成します。

「isTrue」をtrueとして構成します。

居住する国の様々な組合せを使用して、いくつかのトランザクションを処理および実行します。

居住国のカンマ区切りリストに「US」が含まれる場合は、このルールがトリガーされます。

B.7 システム条件

この項で説明するシステム条件は次のとおりです。

B.7.1 システム - ブール・プロパティの確認

次の表に、条件に関する一般情報を示します。

表B-127 システム - ブール・プロパティの確認

条件

システム - ブール・プロパティの確認

説明

指定されたプロパティがtrueまたはfalseに等しいかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

B.7.1.1 パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-128 「システム - ブール・プロパティの確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

プロパティ

確認する必要があるプロパティの完全な名前。

はい

propertyValue

プロパティの予期された値。プロパティにこの値が含まれる場合、条件はtrueに評価されます。

[true]/false

はい

defaultValue

プロパティがシステムで見つからない場合に使用されるプロパティの値。

[true]/false

はい

B.7.1.2 使用例

特定のプロパティ値がtrueかfalseかを判断する場合に、この条件を使用します。

たとえば、プロパティtrigger.sample.ruleが存在し、その値がtrueです。

このプロパティに基づいて、ルールをトリガーします。

これを行うには、このルールをこの条件とともに使用する必要があります。

1. この条件の「プロパティ」をtrigger.sample.ruleに構成します。

2. 「propertyValue」をtrueに構成します。

3. 「defaultValue」をfalseに構成します。

4. ユーザーの認証を実行して、ルールがトリガーされるかどうかを確認します。

5. プロパティ・エディタを使用して、プロパティtrigger.sample.ruleの値をfalseに変更します。

6. ユーザーの認証を再実行しても、ルールがトリガーされないことに注意してください。

B.7.2 システム - 十分なパターン・データの確認

次の表に、条件に関する一般情報を示します。

表B-129 システム - 十分なパターン・データの確認

詳細

システム - 十分なパターン・データの確認

条件

システム - 十分なパターン・データの確認

説明

十分なプロファイリング・データが特定のパターンに使用可能かどうかを確認します。この条件では、過去数日間のパターン・データがシステムで使用可能かどうかを確認します。

特定のパターンについてのみ確認します。このため、特定のパターンによって収集されたデータが指定された日数を超えて使用可能な場合、この条件はtrueに評価されます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

使用可能バージョン

11.1.2.0

ランタイム

すべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-130 システム - 十分なパターン・データの確認パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

データを確認するパターン名

データが使用可能かどうかを確認するパターンの名前。

ドロップダウン・リストからのパターン名

いいえ

データの日数

この条件において、現在のログインのリクエスト時間を起点として見直す必要がある日数。通常の値は90 (日)です。

条件では、この日数のデータが確認されます。パターン・プロファイリング・データが少なくともこの日数に対して使用可能な場合、条件はtrueに評価されます。

正の整数

いいえ

パターン・データが使用可能

この値がtrueで十分な自動学習データがある場合、またはこの値がfalseで十分な自動学習データがない場合、条件はtrueに評価されます。他のすべての場合、条件はfalseに評価されます。基本的に、このパラメータは条件の結果を決定するために使用できます。

[true]/false

はい

条件にエラーが発生した場合の戻り値

条件でエラーが発生した場合に返される値。

[false]/true

はい

使用例

この条件を使用して、特定のパターンによって収集された十分な自動学習データがシステムに存在するかどうかを確認します。

十分なデータとは、カスタマのシナリオに応じて、過去数日間にわたり収集されたデータのことです。

たとえば、この条件を使用して、特定の自動学習パターンによって過去90日間にデータが収集されたかどうかを判断でき、これに応じて自動学習ルールが使用されます。

この条件によって、自動学習データが統計的な安定に達するための時間が確保されます。自動学習ルールで非常に小さいデータ・セットを処理する場合、データ・サンプルの小ささによっては、結果に誤差が生じる可能性があります。

たとえば、今日パターンを有効化したばかりのシステムでは、テストを開始する前に、カスタマがOAAMサーバーを使用して3か月間パターン・データを収集することが必要な場合があります。

この場合、この条件は3か月(90日)後にのみtrueに評価されるため、役立ちます。その後、自動学習ルールがトリガーされ、リスクを評価できます。

B.7.3 システム: 任意のパターンに対して十分なデータが使用可能かどうかが確認されます

次の表に、条件に関する一般情報を示します。

表B-131 システム: 任意のパターンに対して十分なデータが使用可能かどうかが確認されます

詳細

システム: 任意のパターンに対して十分なデータが使用可能かどうかが確認されます

条件

十分なプロファイリング・データが任意のパターンに使用可能かどうかを確認します。この条件では、過去数日間のパターン・データがシステムで使用可能かどうかを確認します。

説明

この条件では、定義された最小量のパターン・データがOAAMデータベースに取得されたかどうかを確認します。通常、最良の結果を得るには、しきい値が1-3か月の間に設定されている必要があります。標準のポリシーでは、このルールを使用して、パターン・ベースのリスク分析の実行を開始するのに十分なパターン・データが取得されているかどうかを判断します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

自動学習を有効化しておきます。プロファイリング・データを収集するアクティブなパターンがない場合、この条件は意味がありません。

使用可能バージョン

11.1.1.5.0

ランタイム

すべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-132 「システム: 任意のパターンに対して十分なデータが使用可能かどうかが確認されます」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

データの日数

この条件において、現在のログインのリクエスト時間を起点として見直す必要がある日数。通常の値は90 (日)です。

条件では、この日数のデータが確認されます。パターン・プロファイリング・データが少なくともこの日数に対して使用可能な場合、条件はtrueに評価されます。

正の整数

いいえ

パターン・データが使用可能

この値がtrueで十分な自動学習データがある場合、またはこの値がfalseで十分な自動学習データがない場合、条件はtrueに評価されます。他のすべての場合、条件はfalseに評価されます。このパラメータは条件の結果を決定するために使用できます。

[true]/false

はい

条件にエラーが発生した場合の戻り値

条件でエラーが発生した場合に返される値。

[false]/true

はい

使用可能なシナリオ

この条件を使用して、十分な自動学習データがシステムに存在するかどうかを確認します。

十分なデータとは、カスタマのシナリオに応じて、過去数日間にわたり収集されたデータのことです。

この条件を使用すると、いずれかの自動学習パターンによって過去90日間にデータが収集されたかどうかを判断でき、これに応じて自動学習ルールを使用できます。

これにより、自動学習データが統計的な安定に達するための時間が確保されます。それ以外の場合、自動学習ルールで非常に小さいデータ・セットを処理すると、データ・サンプルの小ささによっては、結果に誤差が生じる可能性があります。

たとえば、今日パターンを有効化したシステムでは、自動学習ルールの使用を始める前に、カスタマがOAAMサーバーを使用して3か月間パターン・データを収集することが必要な場合があります。この場合、この条件が役立ちます。これは3か月(90日)後にのみtrueに評価され、その後、自動学習ルールがトリガーされてリスクを評価できます。

B.7.4 システム - 整数プロパティの確認

次の表に、条件に関する一般情報を示します。

表B-133 システム - 整数プロパティの確認

条件

システム - 整数プロパティの確認

説明

指定されたプロパティが予期された整数値に等しいかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-134 「システム - 整数プロパティの確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

プロパティ

確認する必要があるプロパティの完全な名前。

はい

値

プロパティの予期された値。プロパティにこの値が含まれる場合、条件はtrueに評価されます。

整数

はい

デフォルト値(nullの場合)

プロパティがシステムで見つからない場合に使用されるプロパティの値。

整数

はい

使用可能なシナリオ

特定のプロパティ値が予期された整数値と等しいかどうかを判断する場合に、この条件を使用します。

たとえば、プロパティtrigger.sample.rule.test.integerが存在し、その値が25である場合があります。

このプロパティに基づいて、ルールをトリガーします。

これを行うには、このルールをこの条件とともに使用する必要があります。

1. この条件の「プロパティ」をtrigger.sample.rule.test.integerに構成します。「値」を25に構成します。

2. 「デフォルト値(nullの場合)」を30に構成します。

3. 認証ユーザーを実行して、ルールがトリガーされることを確認します。

4. プロパティ・エディタを使用して、プロパティtrigger.sample.rule.test.integerの値を88に変更します。

5. 認証ユーザーを再実行します。
ルールがトリガーされないことに注意してください。

B.7.5 システム - リクエスト日の確認

次の表に、条件に関する一般情報を示します。

表B-135 システム - リクエスト日の確認

条件

システム - リクエスト日の確認

説明

トランザクションまたは認証のリクエスト日が、特定の日付の後であるかどうかを確認します。日付の年、月および日の部分のみが使用されることに注意してください。このため、日付を比較する場合、基本的に日付の時間部分は無視されます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-136 「システム - リクエスト日の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

日付(MM/dd/yyyy)

ユーザーがリクエスト日を確認する日付文字列。

いいえ

リクエスト日より後

指定した日付がリクエスト日の後か後でないかを確認します。

例:

リクエスト・データが今日であると仮定すると、次のようになります。

ケースA

パラメータをfalseに設定した場合

入力された日付が今日より前である場合、ルールはトリガーされます。

入力された日付が今日より後である場合、ルールはトリガーされません。

ケースB

パラメータをtrueに設定した場合

入力された日付が今日より前である場合、ルールはトリガーされません。

入力された日付が今日より後である場合、ルールはトリガーされます。

[true]/false

はい

使用例

トランザクションまたは認証が特定の日付より後に行われているかどうかを判断する場合に、この条件を使用します。

たとえば、指定された日付より後に特定の他のポリシーにユーザーをダイレクトする場合、このルールを使用できます。

これを行うには、このルールをこの条件とともに使用する必要があります。

1. 2009年の12月23日にルールがトリガーされるようにするには、この条件の「日付」を12/22/2009に構成します。

2. 次より後をtrueに構成します。

3. ユーザーに対して認証を実行します。
日付が12/22/2009より後の場合、ルールがトリガーされます。

4. ポリシー・エディタを使用して、この条件の日付を将来の日付に変更します。

5. ユーザーに対して認証を再実行します。
ルールがトリガーされないことに注意してください。

B.7.6 システム - 文字列プロパティの確認

次の表に、条件に関する一般情報を示します。

表B-137 システム - 文字列プロパティの確認

条件

システム - 文字列プロパティの確認

説明

指定されたプロパティが予期された文字列値に等しいかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-138 「システム - 文字列プロパティの確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

プロパティ

確認する必要があるプロパティの完全な名前。

はい

値

プロパティの予期された値。プロパティにこの値が含まれる場合、条件はtrueに評価されます。

文字列

はい

デフォルト値(nullの場合)

プロパティがシステムで見つからない場合に使用されるプロパティの値。

文字列

はい

使用例

特定のプロパティ値が予期された文字列値と等しいかどうかを判断する場合に、この条件を使用します。

たとえば、プロパティtrigger.sample.rule.test.stringが存在し、その値はtest_stringです。このプロパティに基づいて、ルールをトリガーします。

これを行うには、このルールをこの条件とともに使用する必要があります。

1. 「プロパティ」をtrigger.sample.rule.test.stringに構成します。

2. 「値」をtest_stringに構成し、「デフォルト値(nullの場合)」をsome_other_stringに構成します。

3. ルールをトリガーするには、ユーザーに対して認証を実行します。

4. プロパティ・エディタを使用して、プロパティtrigger.sample.rule.test.instringtegerの値をまったく別の文字列値に変更します。

5. ユーザーに対して認証を再実行します。
ルールはトリガーされません。

B.8 トランザクション条件

これらの項では、次のトランザクション条件に関する情報を提供します。

- トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認

- トランザクション: フィルタ条件を使用した現在のトランザクションの確認

- トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認

- トランザクション: トランザクションでエンティティが使用された回数の確認。

- トランザクション: フィルタ条件を使用したトランザクション集計および件数の確認

- トランザクション: フィルタ条件を使用したトランザクション件数の確認

- トランザクション: 2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)の比較

- トランザクション: 2つの異なる期間でのトランザクション件数の比較

- トランザクション: 2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較

- トランザクション: 指定件数の一意トランザクション・エンティティ件数の確認

注意:

フィルタ演算子「次と相似」および「次と相似でない」は、データ型が文字列のトランザクション・データおよびエンティティ・データについてのみ機能します。

ローリング継続時間タイプとカレンダ継続時間タイプについて

一部のトランザクション条件では継続時間タイプを指定する必要がある場合があります。ローリング継続時間タイプとカレンダ継続時間タイプを選択する場合は、次の表を参照として使用してください。

表B-139 トランザクション条件の継続時間タイプ

継続時間タイプ

説明

ローリング

デフォルトでは継続時間タイプは「ローリング」に設定されており、これは、現在の時間を開始点を遡って計算するための終了点とみなすことを意味します。

継続時間が過去x秒、分、時または日として記述されている場合、常にローリング・タイプの継続時間を使用する必要があります。

したがって、「ローリング」継続時間タイプを使用して1日と指定する場合、ローリング日は現在の時間から24時間(ちょうど1日)前に開始します。たとえば、現在11:33 amに1日と指定すると、ローリング日は前日の11:33 amから開始し、今日の現在の時間に終了します。したがって、「ローリング」継続時間タイプを使用して1時間と指定すると、現在の時間から60分が単純に減算され、継続時間ウィンドウの開始時間が計算されます。

「ローリング」継続時間タイプの例は、次のとおりです。

ローリング週は現在の日付から7日前に開始します。

ローリング月は先月の同日から開始します。

ローリング年は前年の同日から開始します。

「ローリング」継続時間タイプを指定する場合、終了日付/時間は現在の時間です。継続時間タイプは、継続時間の開始時間の計算方法に影響を与えます。

開始点に遡ってカウントを開始する前にある時間間隔をスキップする場合は、「次より前」オプションを使用します。たとえば、7日相当のデータを計算する必要があるが、最近7日間のデータは不要である場合、スキップする時間間隔を指定します。たとえば、今日が2月6日であり、1月17日から23日までのデータを参照する場合、15日前を指定します。

カレンダ

継続時間ウィンドウを0.00に開始するよう指定する場合があります。このような場合、継続時間タイプとしてカレンダを使用します。

したがって、継続時間タイプとして「カレンダ」を使用して1日と指定する場合、カレンダ日は該当日の0.00 (12:00 am)に開始して現在の時間に終了します。

たとえば、現在の時間が3.35 pmであるときに、3 pmと3.35 pmの間に発生した動作をカウントする場合、継続時間タイプとして「カレンダ」を使用して1時間を指定できます。

カレンダ継続時間タイプの例は、次のとおりです。

- カレンダ週は現在の曜日とは関係なく日曜日から開始します。

- カレンダ月は現在の月の初日から開始します。

- カレンダ年は現在の年の1月1日から開始します。

「カレンダ」継続時間タイプを指定する場合、終了日付/時間は現在の時間です。継続時間タイプは、継続時間の開始時間の計算方法に影響を与えます。

開始点に遡ってカウントを開始する前にある時間間隔をスキップする場合は、「次より前」オプションを使用します。たとえば、7日相当のデータを計算する必要があるが、最近7日間のデータは不要である場合、スキップする時間間隔を指定します。たとえば、今日が2月6日であり、1月17日から23日までのデータを参照する場合、15日前を指定します。

B.8.1 トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認

次の表に、「トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認」条件に関する一般情報を示します。

表B-140 トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認

条件

トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認

条件

トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認

説明

トランザクションのエンティティ件数、エンティティ要素件数またはデータ要素件数が、指定されたすべての条件とトランザクションが一致する特定の件数であるかどうかを確認します。条件を6個まで指定できます。

前提条件

10.1.4.5.2以降を使用していることを確認します。

トランザクションを定義しておく必要があります(現在のトランザクションのトランザクション・タイプは、ルール条件で指定されたトランザクション・タイプと同じである必要があります)。

前提

使用可能バージョン

10.1.4.5.2

チェックポイント

すべてのチェックポイント。

「トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認」パラメータ

次の表には、「トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認」条件のパラメータの概要が示されています。

表B-141 「トランザクション: フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックするトランザクションの選択

完全修飾されたトランザクション定義キー。これは、トランザクション定義のリストを含むリスト・ボックスを使用して指定します。

いいえ

カウントするエンティティまたは要素の選択

確認のためにカウントする必要があるトランザクションのエンティティまたは要素。

いいえ

カウントに指定された条件

件数確認のための条件。数値に関連する有効な演算子のみを選択します。

いいえ

カウントに指定されたチェック値

確認する件数値。有効な正の整数のみを指定します。

いいえ

継続時間

継続時間ディスクリプタ。

いいえ

現在のトランザクションをカウントで無視しますか。

現在のトランザクションをカウント時に無視する必要があるかどうかを示すフラグ。

同じユーザーの場合ですか。

現在のユーザーに属するトランザクションのみをカウントするかどうかを示すブール・フラグ。

はい

現在のトランザクションにフィルタ・チェックを適用しますか。

カウントを行う前に、現在のトランザクションについてフィルタ条件を検証する必要があるかどうかを示すフラグ。

いいえ

フィルタ・キー1

フィルタ・キー2

フィルタ・キー3

フィルタ・キー4

フィルタ・キー5

フィルタ・キー6

これらのパラメータにより、フィルタ条件の左側を指定します。これは、トランザクション・フィールドの完全修飾されたキーを表します。

このフィールドは、エンティティ・フィールド、データ・フィールド、トランザクション属性またはリクエスト属性にできます。

注意: このために、すべてのデータ・フィールドを含むリスト・ボックスをレンダリングするウィジェットがあります。

はい

フィルタ条件1

フィルタ条件2

フィルタ条件3

フィルタ条件4

フィルタ条件5

フィルタ条件6

これらのパラメータは、フィルタ条件の演算子および右側を表します。これは、フィルタ条件の完全修飾されたキーを表します。

注意: このために、演算子のリスト・ボックスをレンダリングしたり、単純な値またはグループ名の指定(「次に含まれる」または「次に含まれない」の場合)やトランザクションでの別のフィールドの選択を行う方法をレンダリングするウィジェットがあります。

filterKeyが指定されている場合には必ず適切な条件を指定

使用例

トランザクションのエンティティ件数、エンティティ要素件数またはデータ要素件数に基づいてルールをトリガーする場合に、この条件を使用します。

たとえば、購入というトランザクションを構成して、同じユーザーが過去2時間に5つを超える異なるクレジット・カードを使用しようとし、その購入額が$100を超える場合にルールがトリガーされるようにします。

これを行うには:

1. 「クレジット・カード」エンティティ名をカウントする対象として選択し、使用されたクレジット・カードの明確な数がルールでカウントされるようにします。

2. 次に、同じ現行ユーザーの場合フラグをtrueとして選択します。

3. 次に、継続時間を2ローリング時間、フィルタ条件を金額が100より大きいとして選択します。

カウントで考慮する必要があるトランザクションをフィルタリングするために指定する条件は、最大6個です。

B.8.2 トランザクション: フィルタ条件を使用した現在のトランザクションの確認

以下の表に、トランザクション: フィルタを使用した現在のトランザクションの確認条件に関する一般情報を示します。

表B-142 トランザクション: フィルタを使用した現在のトランザクションの確認

条件

トランザクション: フィルタを使用した現在のトランザクションの確認

説明

現在のトランザクションが、指定されたすべての条件と一致するかどうかを確認します。条件を6個まで指定できます。

前提条件

1. トランザクションを定義しておく必要があります。

2. 現在のトランザクションのトランザクション・タイプは、ルール条件で指定されたトランザクション・タイプと同じである必要があります。

前提

現在のセッションに複数のトランザクションが存在する場合、この条件は最後のトランザクションに適用されます。

使用可能バージョン

10.1.4.5.1

チェックポイント

すべてのチェックポイント。

トランザクション: フィルタを使用した現在のトランザクションの確認パラメータ

次の表には、トランザクション: フィルタを使用した現在のトランザクションの確認条件のパラメータの概要が示されています。

表B-143 トランザクション: フィルタを使用した現在のトランザクションの確認パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックするトランザクションの選択

カウントするトランザクションのトランザクション・タイプ。完全修飾されたトランザクション定義キーを表します。これは、トランザクション定義のリストを含むリスト・ボックスを使用して指定します。

いいえ

フィルタ・キー1

フィルタ・キー2

フィルタ・キー3

フィルタ・キー4

フィルタ・キー5

フィルタ・キー6

これらのパラメータにより、フィルタ条件の左側を指定します。左側は、トランザクション・フィールドの完全修飾されたキーを表します。

このフィールドは、エンティティ・フィールド、データ・フィールド、トランザクション属性またはリクエスト属性にできます。

はい

フィルタ条件1

フィルタ条件2

フィルタ条件3

フィルタ条件4

フィルタ条件5

フィルタ条件6

これらのパラメータは、フィルタ条件の演算子および右側を表します。演算子および右側は、フィルタ条件の完全修飾されたキーを表します。

右側は値であり、単純な値、現在のトランザクションの値またはグループにできます。

- 値: フィールドに入力される単純な値。

- 現在: 現在のトランザクションからの値。値は、現在のエンティティに基づく値のリストから選択されます。

- グループ: 条件を「次に含まれる」または「次に含まれない」として選択した場合、グループは自動的に選択されます。「グループ」を選択した後、グループのタイプを選択する必要があります。その後、タイプに基づいて、選択対象となるその他の値などを含むリスト・ボックスが表示されます。

filterKeyが指定されている場合には必ず適切な条件を指定

使用例

この条件は、現在のトランザクションに対する確認に基づいてルールをトリガーする場合に常に使用できます。

たとえば、購入というトランザクションを構成し、購入トランザクションの金額フィールドが$1000を超え、国が高リスク国のリスト(構成しておいたもの)に含まれている場合に常にルールがトリガーされるようにします。

金額(ドル)は整数値である必要があります。

これを行うには、金額フィールドが1000を超えるかどうかを確認する1番目のフィルタ条件と、現在のセッションの国が高リスク国のリストに含まれているかどうかを確認する2番目のフィルタ条件という、2つのフィルタ条件とともに、このルールを使用する必要があります。

この条件は、現在のトランザクションについてフィルタ条件を6個まで指定する場合に使用できます。

B.8.3 トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認

次の表に、「トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認」条件に関する一般情報を示します。

表B-144 トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認

条件

トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認

説明

特定期間中の連続トランザクションが指定されたフィルタ条件を満たすかどうかを確認します。

前提条件

- トランザクションを定義しておく必要があります。

- 現在のトランザクションのトランザクション・タイプが、ルール条件で指定されたトランザクション・タイプと同じである必要があります。

- 10.1.4.5.2以降を使用していることを確認します。

前提

使用可能バージョン

10.1.4.5.2

チェックポイント

すべてのチェックポイント。

「トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認」パラメータ

次の表には、「トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認」条件のパラメータの概要が示されています。

表B-145 「トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックするトランザクションの選択

完全修飾されたトランザクション定義キー。これは、トランザクション定義のリストを含むリスト・ボックスを使用して指定します。

いいえ

継続時間

継続時間ディスクリプタ。

いいえ

トランザクション・ステータス・グループの選択

考慮する必要があるトランザクション・ステータスのグループ。グループが指定されていない場合、トランザクション・ステータスは問合せで無視されます。

はい

現在のトランザクションをカウントで無視しますか。

現在のトランザクションを無視する必要があるかどうかを示すフラグ。

同じユーザーの場合ですか。

現在のユーザーに属するトランザクションのみをカウントするかどうかを示すフラグ。

このフラグがfalseの場合、トランザクションはユーザーに関係なく考慮されます。

いいえ

チェック中のトランザクションのギャップを許可するか

条件の確認中にギャップを許容するかどうかを示すフラグ。

この値がTRUEである場合は、条件の確認中にギャップが許容されます。

いいえ

1番目の条件セットをチェックするトランザクション数

1番目のチェックを満たす必要があるトランザクション数。正の整数を指定します。

いいえ

フィルタ・キー101

フィルタ・キー102

フィルタ・キー103

フィルタ・キー104

フィルタ・キー105

フィルタ・キー106

1番目のチェックのフィルタ・キー。

これらのパラメータにより、フィルタ条件の左側を指定します。これは、トランザクション・フィールドの完全修飾されたキーを表します。

このフィールドは、エンティティ・フィールド、データ・フィールド、トランザクション属性またはリクエスト属性にできます。

注意: このために、すべてのデータ・フィールドを含むリスト・ボックスをレンダリングするウィジェットがあります。

はい

フィルタ条件101

フィルタ条件102

フィルタ条件103

フィルタ条件104

フィルタ条件105

フィルタ条件106

1番目のチェックのフィルタ条件。

これらのパラメータは、フィルタ条件の演算子および右側を表します。これは、フィルタ条件の完全修飾されたキーを表します。

注意: このために、演算子のリスト・ボックスをレンダリングしたり、単純な値またはグループ名の指定(「次に含まれる」または「次に含まれない」の場合)やトランザクションでの別のフィールドの選択を行う方法をレンダリングするウィジェットがあります。

filterKeyが指定されている場合には必ず適切な条件を指定

2番目の条件セットをチェックするトランザクション数

2番目のチェックを満たす必要があるトランザクション数。正の整数を指定します。

いいえ

フィルタ・キー201

フィルタ・キー202

フィルタ・キー203

フィルタ・キー204

フィルタ・キー205

フィルタ・キー206

2番目のチェックのフィルタ・キー。

これらのパラメータにより、フィルタ条件の左側を指定します。これは、トランザクション・フィールドの完全修飾されたキーを表します。

このフィールドは、エンティティ・フィールド、データ・フィールド、トランザクション属性またはリクエスト属性にできます。

注意: このために、すべてのデータ・フィールドを含むリスト・ボックスをレンダリングするウィジェットがあります。

フィルタ条件201

フィルタ条件202

フィルタ条件203

フィルタ条件204

フィルタ条件205

フィルタ条件206

2番目のチェックのフィルタ条件。

これらのパラメータは、フィルタ条件の演算子および右側を表します。これは、フィルタ条件の完全修飾されたキーを表します。

注意: このために、演算子のリスト・ボックスをレンダリングしたり、単純な値またはグループ名の指定(「次に含まれる」または「次に含まれない」の場合)やトランザクションでの別のフィールドの選択を行う方法をレンダリングするウィジェットがあります。

filterKeyが指定されている場合には必ず適切な条件を指定

使用例

特定期間中の連続トランザクションで満たされるチェックに基づいてルールをトリガーする場合に、この条件を使用します。

たとえば、購入というトランザクションを構成し、現在または最新のトランザクション金額が$1000を超え、金額が$10未満のトランザクションがそれ以前に少なくとも3つ存在した場合にルールがトリガーされるようにします。

このため、ルールでは最新の4つのトランザクションを調べ、最初に複数の小さいトランザクションがあり、その後、1つの大きいトランザクションがあるという不正なパターンの有無を確認します。

このルール条件を使用してルールを構成し、適切なトランザクション・タイプを選択します。

1. 1番目のチェックでは、金額の大きい、1つのみのトランザクションを確認するため、トランザクション数を1として選択し、確認する条件を金額、「次より大きい」、「1000」として選択します。

2. 2番目のチェックでは、金額の小さい3つのトランザクションを確認するため、トランザクション数を3として選択し、条件を金額、「次より小さい」、「10」として選択します。

3. 1番目のチェックと2番目のチェックの間に他のトランザクションを許可する場合は、「チェック中のトランザクションのギャップを許可するか」にTRUEを選択し、許可しない場合にはTRUEを選択します。

B.8.4 トランザクション: トランザクションでエンティティが使用された回数の確認。

次の表に、「トランザクション: トランザクションでエンティティが使用された回数の確認。」条件に関する一般情報を示します。

表B-146 トランザクション: トランザクションでエンティティが使用された回数の確認。

条件

トランザクション: トランザクションでエンティティが使用された回数の確認。

説明

エンティティの使用回数と指定件数を比較します。

前提条件

- トランザクションを定義しておく必要があります。

- 現在のトランザクションのトランザクション・タイプが、ルール条件で指定されたトランザクション・タイプと同じである必要があります。

前提

使用可能バージョン

11.1.2.0

チェックポイント

すべてのチェックポイント。

「トランザクション: トランザクションでエンティティが使用された回数の確認。」パラメータ

次の表には、「トランザクション: トランザクションでエンティティが使用された回数の確認。」条件のパラメータの概要が示されています。

表B-147 「トランザクション: トランザクションでエンティティが使用された回数の確認。」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックするトランザクションの選択

完全修飾されたトランザクション定義キー。これは、トランザクション定義のリストを含むリスト・ボックスを使用して指定します。

いいえ

カウントするトランザクション・エンティティの選択

カウントするエンティティおよび要素を選択します。個別値のみがカウントされます。

いいえ

指定条件

指定条件

いいえ

指定件数

確認する件数値。有効な正の整数のみを指定します。

いいえ

継続時間

トランザクションをカウントする必要がある継続時間を指定します。継続時間ディスクリプタ・ウィジェットにより、継続時間を指定するためのユーザー・インタフェースがレンダリングされます。

いいえ

トランザクション・ステータス

カウントで考慮する必要があるトランザクション・ステータスを指定します。すべてのトランザクションがステータスに関係なく考慮されるようにするには、ステータスを指定しません。

はい

現在のトランザクションをカウントで無視しますか。

現在のトランザクションを無視する必要があるかどうかを示すフラグ。

はい

使用例

この条件は、指定された期間に同じエンティティが使用された回数に基づいてルールをトリガーする場合に常に使用できます。

たとえば、購入というトランザクションを構成し、クレジット・カードが1日に11回以上使用された場合にトリガーされるようにします。

これを行うには、カウントする要素として「クレジット・カード」を選択し、1カレンダ日として最初の継続時間を選択します。

次に、比較条件を「次より大きい」、指定件数を10として選択します。

B.8.5 トランザクション: フィルタ条件を使用したトランザクション集計および件数の確認

次の表に、条件に関する一般情報を示します。

表B-148 トランザクション: トランザクションでエンティティが使用された回数の確認。

条件

トランザクション: フィルタを使用したトランザクション集計および件数の確認

説明

数値フィールドの集計およびトランザクション件数を確認します。フィルタ条件(最大6個の条件)を使用してカウントするトランザクションの基準を指定でき、考慮する他のパラメータ(継続時間など)や考慮するトランザクション・ステータスなどを指定することもできます。

前提条件

トランザクションを定義しておく必要があります。

現在のトランザクションのトランザクション・タイプが、ルール条件で指定されたトランザクション・タイプと同じである必要があります。

前提

集計は、数値フィールドにのみ適用できます。このため、トランザクション定義には少なくとも1つの数値フィールドが含まれている必要があります。

使用可能バージョン

10.1.4.5.1

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-149 トランザクション: フィルタを使用したトランザクション集計および件数の確認パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックするトランザクションの選択

完全修飾されたトランザクション定義キー。これは、トランザクション定義のリストを含むリスト・ボックスを使用して指定します。

いいえ

集計関数の選択

確認するための集計関数。使用可能な関数はSum、Min、Max、Avgです。

カウントするエンティティまたは要素の選択

集計チェックを実行する必要がある数値要素。これは、数値フィールドの完全修飾されたキーを表します。これは、すべての数値データ・フィールドのリストを含むリスト・ボックスを使用して指定します。

いいえ

集計に指定された条件

集計条件に適用される演算子。次より大きい、次以上、次より小さい、次より小さいか等しい、のいずれかを指定します。

いいえ

集計に指定されたチェック値

確認する集計数値。

いいえ

カウントに指定された条件

カウント条件に適用される演算子。次より大きい、次以上、次より小さい、次より小さいか等しい、のいずれかを指定します。

はい

カウントに指定されたチェック値

確認するトランザクション件数の数値。

はい

継続時間

トランザクションをカウントする必要がある継続時間を指定します。継続時間ディスクリプタを使用して、継続時間を指定できます。

いいえ

トランザクション・ステータス

カウントで考慮する必要があるトランザクション・ステータスを指定します。すべてのトランザクションがステータスに関係なく考慮されるようにするには、ステータスを指定しません。

はい

現在のトランザクションをカウントで無視しますか。

カウント時に現在のトランザクション(ある場合)を無視するかどうかを指定します。複数のトランザクションが存在し、このパラメータがtrueとして指定されている場合、最後のトランザクションのみが無視されます。

はい

同じユーザーの場合ですか。

現在のユーザーに属するトランザクションのみをカウントするかどうかを示すブール・フラグ。

はい

現在のトランザクションにフィルタ・チェックを適用しますか。

カウントを実行する前に、現在のトランザクションについてフィルタ条件を確認するかどうかを指定します。フィルタ条件が現在のトランザクションで失敗した場合、カウントは実行されずにルール条件はfalseに評価されます。

フィルタ・キー1

フィルタ・キー2

フィルタ・キー3

フィルタ・キー4

フィルタ・キー5

フィルタ・キー6

これらのパラメータにより、フィルタ条件の左側を指定します。左側は、トランザクション・フィールドの完全修飾されたキーを表します。

このフィールドは、エンティティ・フィールド、データ・フィールド、トランザクション属性またはリクエスト属性にできます。

フィルタ条件1

フィルタ条件2

フィルタ条件3

フィルタ条件4

フィルタ条件5

フィルタ条件6

これらのパラメータは、フィルタ条件の演算子および右側を表します。演算子および右側は、フィルタ条件の完全修飾されたキーを表します。

右側は値であり、単純な値、現在のトランザクションの値またはグループにできます。

- 値: フィールドに入力される単純な値。

- 現在: 現在のトランザクションからの値。値は、現在のエンティティに基づく値のリストから選択されます。

- グループ: 条件を「次に含まれる」または「次に含まれない」として選択した場合、グループは自動的に選択されます。「グループ」を選択した後、グループのタイプを選択する必要があります。その後、タイプに基づいて、選択対象となるその他の値などを含むリスト・ボックスが表示されます。

filterKeyが指定されている場合には必ず適切な条件を指定

使用例

トランザクション数値の集計およびトランザクション件数に基づいてルールをトリガーする場合に、この条件を使用します。

この条件は、単一の条件において集計および件数の両方の確認を指定できるため、条件数を減らすように設計されています。

たとえば、購入というトランザクションを構成し、ユーザーが高リスクの国から多数の購入(平均金額が500を超え、1時間につき3回以上など)を実行している場合にチャレンジするようにします。

これを行うには、このルールを次を指定して使用する必要があります。

1. 集計条件を「平均」として指定します。

2. 確認する集計値を500として指定します。

3. 件数条件を「次以上」として指定します。

4. 確認する件数を2として指定します。

5. 継続時間について継続時間タイプを「ローリング」、継続時間を1時間として指定します。

6. 現在のトランザクションがカウントで考慮されるようにするため、「現在のトランザクションをカウントで無視しますか。」にfalseを指定します。

7. 「現在のトランザクションにフィルタ・チェックを適用しますか。」にtrueを指定します。

8. 現在のセッションの国が高リスク国のリスト内にあるかどうかを確認するために、フィルタ条件を1つ使用します。

この条件は、カウントで考慮するトランザクションについて、適用するフィルタ条件を6個まで指定する場合に使用できます。

B.8.6 トランザクション: フィルタ条件を使用したトランザクション件数の確認

次の表に、条件に関する一般情報を示します。

表B-150 「システム - 文字列プロパティの確認」パラメータ

条件

トランザクション: フィルタを使用したトランザクション件数の確認

説明

指定された値を含むトランザクション件数を確認します。フィルタ条件(最大6個の条件)を使用してカウントするトランザクションの基準を指定でき、考慮する他のパラメータ(継続時間など)や考慮するトランザクション・ステータスなどを指定することもできます。

前提条件

- トランザクションを定義しておく必要があります。

- 現在のトランザクションのトランザクション・タイプが、ルール条件で指定されたトランザクション・タイプと同じである必要があります。

前提

現在のセッションに複数のトランザクションが存在する場合、この条件は最後のトランザクションに適用されます。

使用可能バージョン

10.1.4.5.1

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-151 トランザクション: フィルタを使用したトランザクション件数の確認パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

カウントするトランザクションの選択

カウントするトランザクションのトランザクション・タイプ。完全修飾されたトランザクション定義キーを表します。これは、トランザクション定義のリストを含むリスト・ボックスを使用して指定します。

いいえ

カウントに指定された条件

カウント条件に適用される演算子。次より大きい、次以上、次より小さい、次より小さいか等しい、のいずれかを指定します。

いいえ

カウントに指定されたチェック値

確認するトランザクション件数の数値。

いいえ

継続時間

トランザクションをカウントする必要がある継続時間を指定します。継続時間ディスクリプタを使用して、継続時間を指定できます。

いいえ

トランザクション・ステータス

カウントで考慮する必要があるトランザクション・ステータスを指定します。

すべてのトランザクションがステータスに関係なく考慮されるようにするには、ステータスを指定しません。

はい

現在のトランザクションをカウントで無視しますか。

カウント時に現在のトランザクション(ある場合)を無視するかどうかを指定します。

複数のトランザクションが存在し、このパラメータがtrueとして指定されている場合、最後のトランザクションのみが無視されます。

はい

同じユーザーの場合ですか。

現在のユーザーに属するトランザクションのみをカウントするかどうかを示すブール・フラグ。

はい

現在のトランザクションにフィルタ・チェックを適用しますか。

カウントを実行する前に、現在のトランザクションについてフィルタ条件を確認するかどうかを指定します。

フィルタ条件が現在のトランザクションで失敗した場合、カウントは実行されずにルール条件はfalseに評価されます。

フィルタ・キー1

フィルタ・キー2

フィルタ・キー3

フィルタ・キー4

フィルタ・キー5

フィルタ・キー6

これらのパラメータにより、フィルタ条件の左側を指定します。左側は、トランザクション・フィールドの完全修飾されたキーを表します。

このフィールドは、エンティティ・フィールド、データ・フィールド、トランザクション属性またはリクエスト属性にできます。

はい

フィルタ条件1

フィルタ条件2

フィルタ条件3

フィルタ条件4

フィルタ条件5

フィルタ条件6

これらのパラメータは、フィルタ条件の演算子および右側を表します。演算子および右側は、フィルタ条件の完全修飾されたキーを表します。

右側は値であり、単純な値、現在のトランザクションの値またはグループにできます。

- 値: フィールドに入力される単純な値。

- 現在: 現在のトランザクションからの値。値は、現在のエンティティに基づく値のリストから選択されます。

- グループ: 条件を「次に含まれる」または「次に含まれない」として選択した場合、グループは自動的に選択されます。「グループ」を選択した後、グループのタイプを選択する必要があります。その後、タイプに基づいて、選択対象となるその他の値などを含むリスト・ボックスが表示されます。

filterKeyが指定されている場合には必ず適切な条件を指定

使用例

トランザクション件数条件に基づいてルールをトリガーする場合に、この条件を使用します。

たとえば、購入というトランザクションを構成して、高リスクの国から多数の購入(1000を超える金額の購入を1時間につき3回以上など)を実行しているユーザーにチャレンジする場合に、この条件を使用できます。

これを行うには、このルールを次を指定して使用する必要があります。

1. 「カウントに指定された条件」を「次以上」として指定します。

2. 確認する件数を2として指定します。

3. 「継続時間」について継続時間タイプを「ローリング」、継続時間を1時間として指定します。

4. 現在のトランザクションがカウントで考慮されるようにするため、「現在のトランザクションをカウントで無視しますか。」にfalseを指定します。

5. 「現在のトランザクションにフィルタ・チェックを適用しますか。」にtrueを指定します。

6. 次の2つのフィルタ条件を構成します。

- 金額フィールドが1000を超えるかどうかを確認するためのフィルタ条件

- 現在のセッションの国が高リスク国のリスト内にあるかどうかを確認するためのフィルタ条件

この条件は、カウントで考慮するトランザクションについて、適用するフィルタ条件を6個まで指定する場合に使用できます。

B.8.7 トランザクション: 2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)の比較

次の表に、条件に関する一般情報を示します。

表B-152 2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)

条件

トランザクション: 2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)の比較

説明

2つの異なる期間でのトランザクション集計を比較します。

前提条件

- トランザクションを定義しておく必要があります。

- 集計する必要があるトランザクションのエンティティ・フィールドおよびデータ・フィールドのタイプは、数値である必要があります。

- 現在のトランザクションのトランザクション・タイプが、ルール条件で指定されたトランザクション・タイプと同じである必要があります。

- 10.1.4.5.2以降を使用していることを確認します。

前提

使用可能バージョン

10.1.4.5.2

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-153 「トランザクション: 2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)の比較」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックするトランザクションの選択

完全修飾されたトランザクション定義キー。これは、トランザクション定義のリストを含むリスト・ボックスを使用して指定します。

いいえ

集計関数の選択

使用する必要がある集計関数。

いいえ

カウントするエンティティまたは要素の選択

集計する必要があるトランザクションのエンティティ要素およびデータ要素。

いいえ

1番目の集計の期間の指定

1番目の集計の期間を選択します。

いいえ

2番目の集計の期間の指定

2番目の集計の期間を選択します。

いいえ

1番目の集計と2番目の集計を比較する比較条件の選択

比較条件。

いいえ

2番目の集計の乗数

2番目の集計の乗数。ゼロ以外の値およびnull値のみが考慮されます。

はい

現在のトランザクションを集計で無視しますか。

現在のトランザクションを無視する必要があるかどうかを示すフラグ。

いいえ

同じユーザーの場合ですか。

現在のユーザーに属するトランザクションのみをカウントするかどうかを示すブール・フラグ。

はい

カウントの条件の指定

件数確認のための条件。数値に関連する有効な演算子のみを選択します。

いいえ

カウントに指定された値

確認する件数値。有効な正の整数のみを指定します。

いいえ

現在のトランザクションにフィルタ・チェックを適用しますか。

カウントを行う前に、現在のトランザクションについてフィルタ条件を検証する必要があるかどうかを示すフラグ。

いいえ

フィルタ・キー1

フィルタ・キー2

フィルタ・キー3

フィルタ・キー4

フィルタ・キー5

フィルタ・キー6

これらのパラメータにより、フィルタ条件の左側を指定します。これは、トランザクション・フィールドの完全修飾されたキーを表します。

このフィールドは、エンティティ・フィールド、データ・フィールド、トランザクション属性またはリクエスト属性にできます。

注意: このために、すべてのデータ・フィールドを含むリスト・ボックスをレンダリングするウィジェットがあります。

はい

フィルタ条件1

フィルタ条件2

フィルタ条件3

フィルタ条件4

フィルタ条件5

フィルタ条件6

これらのパラメータは、フィルタ条件の演算子および右側を表します。これは、フィルタ条件の完全修飾されたキーを表します。

注意: このために、演算子のリスト・ボックスをレンダリングしたり、単純な値またはグループ名の指定(「次に含まれる」または「次に含まれない」の場合)やトランザクションでの別のフィールドの選択を行う方法をレンダリングするウィジェットがあります。

filterKeyが指定されている場合には必ず適切な条件を指定

使用例

2つの異なる期間でのトランザクションのエンティティ要素およびデータ要素の集計の比較に基づいてルールをトリガーする場合に、この条件を使用します。

たとえば、購入というトランザクションを構成し、現在の曜日のトランザクション合計金額が、そのユーザーの前日の全トランザクション合計金額を20%超える場合にルールがトリガーされるようにします。

これを行うには:

1. 集計する要素として金額を選択し、集計関数としてSumを選択します。

2. 次に、1番目の期間を1カレンダ日、2番目の期間を1日前の1カレンダ日として選択します。

3. 次に、比較条件を「次より大きい」、乗数値を1.2 (100%+20%)として選択します。

B.8.8 トランザクション: 2つの異なる期間でのトランザクション件数の比較

次の表に、条件に関する一般情報を示します。

表B-154 トランザクション: 2つの異なる期間でのトランザクション件数の比較

条件

トランザクション: 2つの異なる期間でのトランザクション件数の比較

説明

2つの異なる期間でトランザクション件数を比較します。

前提条件

- トランザクションを定義しておく必要があります。

- 現在のトランザクションのトランザクション・タイプが、ルール条件で指定されたトランザクション・タイプと同じである必要があります。

- 10.1.4.5.2以降を使用していることを確認します。

前提

使用可能バージョン

10.1.4.5.2

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-155 「トランザクション: 2つの異なる期間でのトランザクション件数の比較」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックするトランザクションの選択

完全修飾されたトランザクション定義キー。これは、トランザクション定義のリストを含むリスト・ボックスを使用して指定します。

いいえ

1番目のカウントの期間の指定

1番目の件数の期間を選択します。

いいえ

2番目のカウントの期間の指定

2番目の件数の期間を選択します。

いいえ

1番目のカウントと2番目のカウントを比較する比較条件の選択

比較条件。

いいえ

2番目のカウントの乗数

2番目の集計の乗数。ゼロ以外の値およびnull値のみが考慮されます。

はい

現在のトランザクションをカウントで無視しますか。

現在のトランザクションを無視する必要があるかどうかを示すフラグ。

いいえ

同じユーザーの場合ですか。

現在のユーザーに属するトランザクションのみをカウントするかどうかを示すブール・フラグ。

はい

カウントの条件の指定

件数確認のための条件。数値に関連する有効な演算子のみを選択します。

いいえ

カウントの値の指定

確認する件数値。有効な正の整数のみを指定します。

いいえ

現在のトランザクションにフィルタ・チェックを適用しますか。

カウントを行う前に、現在のトランザクションについてフィルタ条件を検証する必要があるかどうかを示すフラグ。

いいえ

フィルタ・キー1

フィルタ・キー2

フィルタ・キー3

フィルタ・キー4

フィルタ・キー5

フィルタ・キー6

これらのパラメータにより、フィルタ条件の左側を指定します。これは、トランザクション・フィールドの完全修飾されたキーを表します。

このフィールドは、エンティティ・フィールド、データ・フィールド、トランザクション属性またはリクエスト属性にできます。

注意: このために、すべてのデータ・フィールドを含むリスト・ボックスをレンダリングするウィジェットがあります。

はい

フィルタ条件1

フィルタ条件2

フィルタ条件3

フィルタ条件4

フィルタ条件5

フィルタ条件6

これらのパラメータは、フィルタ条件の演算子および右側を表します。これは、フィルタ条件の完全修飾されたキーを表します。

注意: このために、演算子のリスト・ボックスをレンダリングしたり、単純な値またはグループ名の指定(「次に含まれる」または「次に含まれない」の場合)やトランザクションでの別のフィールドの選択を行う方法をレンダリングするウィジェットがあります。

filterKeyが指定されている場合には必ず適切な条件を指定

使用例

2つの異なる期間でのトランザクション件数の比較に基づいてルールをトリガーする場合に、この条件を使用します。

たとえば、購入というトランザクションを構成し、現在の曜日のトランザクション数が、そのユーザーの前日の全トランザクション数を20%超える場合にルールがトリガーされるようにします。

これを行うには:

1. 1番目の期間を1カレンダ日、2番目の期間を1日前の1カレンダ日として選択します。

2. 次に、比較条件を「次より大きい」、乗数値を1.2 (100%+20%)として選択します。

B.8.9 トランザクション: 2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較

次の表に、条件に関する一般情報を示します。

表B-156 トランザクション: 2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較

条件

トランザクション: 2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較

説明

2つの異なる期間でトランザクション・エンティティ件数または要素件数を比較します。

前提条件

- トランザクションを定義しておく必要があります。

- 現在のトランザクションのトランザクション・タイプが、ルール条件で指定されたトランザクション・タイプと同じである必要があります。

- 10.1.4.5.2以降を使用していることを確認します。

前提

使用可能バージョン

10.1.4.5.2

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-157 「トランザクション: 2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

durationDescriptorFor1stDuration

1番目の件数の期間を選択します。

いいえ

durationDescriptorFor2ndDuration

2番目の件数の期間を選択します。

いいえ

comparisonConditionEnum

比較条件。

いいえ

multiplierFor2ndDurationValue

2番目の集計の乗数。ゼロ以外の値およびnull値のみが考慮されます。

はい

forTheSameCurrentUserId

現在のユーザーに属するトランザクションのみをカウントするかどうかを示すブール・フラグ。

はい

ignoreCurrentTransactionInCount

現在のトランザクションを無視する必要があるかどうかを示すフラグ。

いいえ

specifiedConditionEnumForCount

件数確認のための条件。数値に関連する有効な演算子のみを選択します。

いいえ

specifiedValueForCount

確認する件数値。有効な正の整数のみを指定します。

いいえ

applyFilterOnCurrentTransaction

カウントを行う前に、現在のトランザクションについてフィルタ条件を検証する必要があるかどうかを示すフラグ。

いいえ

フィルタ・キー1

フィルタ・キー2

フィルタ・キー3

フィルタ・キー4

フィルタ・キー5

フィルタ・キー6

これらのパラメータにより、フィルタ条件の左側を指定します。これは、トランザクション・フィールドの完全修飾されたキーを表します。

このフィールドは、エンティティ・フィールド、データ・フィールド、トランザクション属性またはリクエスト属性にできます。

注意: このために、すべてのデータ・フィールドを含むリスト・ボックスをレンダリングするウィジェットがあります。

はい

フィルタ条件1

フィルタ条件2

フィルタ条件3

フィルタ条件4

フィルタ条件5

フィルタ条件6

これらのパラメータは、フィルタ条件の演算子および右側を表します。これは、フィルタ条件の完全修飾されたキーを表します。

注意: このために、演算子のリスト・ボックスをレンダリングしたり、単純な値またはグループ名の指定(「次に含まれる」または「次に含まれない」の場合)やトランザクションでの別のフィールドの選択を行う方法をレンダリングするウィジェットがあります。

filterKeyが指定されている場合には必ず適切な条件を指定

使用例

2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較に基づいてルールをトリガーする場合に、この条件を使用します。

たとえば、購入というトランザクションを構成し、現在の曜日に使用された個別のクレジット・カード数が、そのユーザーの前日に使用された個別のクレジット・カード数を20%超える場合にルールがトリガーされるようにします。

これを行うには:

1. カウントする要素として「クレジット・カード」を選択し、1番目の期間を1カレンダ日、2番目の期間を1日前の1カレンダ日として選択します。

2. 次に、比較条件を「次より大きい」、乗数値を1.2 (100%+20%)として選択します。

B.8.10 トランザクション: 指定件数の一意トランザクション・エンティティ件数の確認

次の表に、条件に関する一般情報を示します。

表B-158 トランザクション: 指定件数の一意トランザクション・エンティティ件数の確認

条件

トランザクション: 指定件数の一意トランザクション・エンティティ件数の確認

説明

指定件数の一意トランザクション・エンティティ件数を確認します。

前提条件

- トランザクションを定義しておく必要があります。

- 現在のトランザクションのトランザクション・タイプが、ルール条件で指定されたトランザクション・タイプと同じである必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-159 「トランザクション: 指定件数の一意トランザクション・エンティティ件数の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

トランザクションの選択

完全修飾されたトランザクション定義キー。これは、トランザクション定義のリストを含むリスト・ボックスを使用して指定します。

画面に表示されるリストからいずれかを選択します。

いいえ

カウントするトランザクション・エンティティの選択

カウントするエンティティおよび要素を選択します。個別値のみがカウントされます。

いいえ

指定条件

指定条件

ドロップダウン・リストから選択します。

いいえ

継続時間

トランザクションをカウントする必要がある継続時間を指定します。継続時間ディスクリプタ・フィールドに、ユーザー・インタフェースで選択できる継続時間のタイプが表示されます。

リストから選択します。

いいえ

トランザクション・ステータス

このパラメータは、カウントで考慮するトランザクション・ステータスを指定します。すべてのトランザクションがステータスに関係なく考慮されるようにするには、ステータスを指定しません。

リストからの列挙

tracker.transaction.status.enumの列挙の要素。

はい

同じユーザーの場合ですか。

このパラメータは、現在のユーザーに対して条件を評価するかどうかを指定します。

ブール。trueまたはfalse。

いいえ

現在のトランザクションをカウントで無視しますか。

現在のトランザクションを無視する必要があるかどうかを示すフラグ。

はい

使用例

この条件は、指定された期間に同じエンティティが使用された回数に基づいてルールをトリガーする場合に常に使用できます。

たとえば、購入というトランザクションを構成し、クレジット・カードが同じユーザーによって1日に11回以上使用された場合にトリガーされるようにします。これを行うには、次の手順を実行します。

1. カウントする要素として「クレジット・カード」を選択し、最初の継続時間を1カレンダ日として選択します。注意: クレジット・カード・エンティティが構成されている必要があります。

2. 「同じユーザーの場合ですか。」をtrueとして選択します。

3. 次に、比較条件を「次より大きい」、指定件数を10として選択します。

4. 「トランザクション・ステータス」を「成功」に設定します。

5. 現在のトランザクションがカウントされないよう、「現在のトランザクションをカウントで無視しますか。」をtrueに選択します。

B.9 ユーザー条件

この項ではユーザー条件について説明します。

B.9.1 ユーザー: 失効セッション

次の表に、「ユーザー: 失効セッション」条件に関する一般情報を示します。

表B-160 ユーザー: 失効セッション

条件

ユーザー: 失効セッション

説明

このセッションが作成された後、新しいセッションが確立されているかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

使用例

この条件は、この認証が進行中の間に、ユーザーが別のチャネルからのログインに成功したかどうかを判断する場合に常に使用できます(同時並行性確認)。OAAMセッションIDが確認されます。たとえば、ユーザーがログインしてセッションIDを取得したときに不正行為者が同じIDを使用してログインして新規セッションIDを取得(ユーザーが古いセッションを使用しており、不正行為者が新規セッションを作成)した場合に、アクションが発生するようルールを構成できます。

B.9.2 ユーザー: 使用されるデバイス

次の表に、「ユーザー: 使用されるデバイス」条件に関する一般情報を示します。

表B-161 ユーザー: ユーザー・データのチェック

条件

ユーザー: 使用されるデバイス

説明

指定時間に試行されたデバイス数。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-162 「ユーザー: ユーザー・データのチェック」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

デバイス数

ユーザーに対して検出されたデバイスと比較するデバイス数を指定します。

[整数]

デフォルトは0です。

正の整数を指定します。(>=0)

いいえ

期間範囲(秒)

ユーザー・セッション履歴の見直し期間(秒数)。

[整数]

デフォルトは3600です。

正の整数は、この条件によって、このリクエストより前の一定の時間が検索されることを示します。0値は、この条件によりセッションの使用可能な履歴すべてが検索されることを意味します。このパラメータに負の値が指定されると、条件は常にfalseに評価されます。

いいえ

使用例

この条件は、このリクエスト直前の特定期間において、ユーザーが使用しているデバイスが多すぎるかどうかを確認する場合に常に使用できます。

たとえば、過去24時間にユーザーが使用するデバイス数をN個のみに制限します。

これを行うには、この条件をルールで使用する必要があります。

1. 「デバイス数」をN-1として構成します。

2. 「期間範囲(秒)」を86400として構成します。

3. 登録済ユーザーを使用して認証を実行すると、ユーザーが過去24時間以内にN個のデバイスを使用した場合にルールがトリガーされるのを確認できます。

B.9.3 ユーザー: 特定のタイプのデバイスが使用されているかどうかの確認

次の表に、条件に関する一般情報を示します。

表B-163 ユーザー: 特定のタイプのデバイスが使用されているかどうかの確認

条件

ユーザー: 特定のタイプのデバイスが使用されているかどうかの確認

説明

指定時間に使用される特定のタイプのデバイス数。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

11.1.2.0.0

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-164 「ユーザー: 特定のタイプのデバイスが使用されているかどうかの確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

デバイス数

特定のタイプの実際に検出されたデバイス数と、この条件で構成された数との比較演算子。

[列挙]

デフォルトは「次より大きい」です。

使用可能な値は「次以上」、「次より小さい」、「次以下」、「次と等しい」、「次と等しくない」です。

いいえ

比較するデバイス数

ユーザーに対して検出されたデバイスと比較するデバイス数を指定します。

[整数]

デフォルトは0です。

正の整数を指定します。(0以上)

いいえ

デバイス・タイプ

検索するデバイス・タイプを選択します。

[列挙]

デフォルトは「モバイル・デバイス」です。

その他の使用可能な値は、デスクトップ・デバイスです。

いいえ

期間範囲(秒)

ユーザー・セッション履歴を見直す期間(秒数)。

[整数]

デフォルトは3600です。

正の整数は、この条件によって、このリクエストより前の一定の時間が検索されることを示します。0値は、この条件によりセッションの使用可能な履歴すべてが検索されることを意味します。このパラメータに負の値が指定されると、条件は常にfalseに評価されます。

いいえ

使用例

この条件は、このリクエスト直前の特定期間において、ユーザーが使用している特定のタイプのデバイスが多すぎるかどうかを確認する場合に常に使用できます。たとえば、過去24時間にユーザーが使用するモバイル・デバイス数をN個のみに制限するとします。

これを行うには、この条件をルールで使用する必要があります。

1. 「比較するデバイス数」を「次より大きい」として構成します。「デバイス数」をN-1として構成します。

2. 「デバイス・タイプ」を「モバイル・デバイス」、「範囲」を86400として構成します。

3. 登録済ユーザーを使用して認証を実行すると、ユーザーが過去24時間以内にN個のデバイスを使用した場合にルールがトリガーされるのを確認できます。

B.9.4 ユーザー: 特定のタイプの登録済デバイス数の確認

次の表に、条件に関する一般情報を示します。

表B-165 ユーザー: 特定のタイプの登録済デバイス数の確認

条件

ユーザー: 特定のタイプの登録済デバイス数の確認

説明

特定のタイプの登録済デバイス数。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

11.1.2.0.0

チェックポイント

すべてのランタイム。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-166 「ユーザー: 特定のタイプの登録済デバイス数の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

デバイス数の比較

特定のタイプの実際に検出された登録済デバイス数と、この条件で構成された数との比較演算子。

[列挙]

デフォルトは「次より大きい」です。

「次以上」、「次より小さい」、「次以下」、

「次と等しい」、「次と等しくない」です。

いいえ

比較する(登録済)デバイス数

比較するデバイス数。

[整数]

デフォルトは4です。

正数を指定します。この数がゼロ未満の場合、条件は常にfalseに評価されます。

いいえ

デバイス・タイプ

検索するデバイス・タイプを選択します。

[列挙]

デフォルトは「モバイル・デバイス」です。

その他の使用可能な値は、デスクトップ・デバイスです。

いいえ

使用例

この条件は、ユーザーの登録済デバイスが多すぎるかどうかを確認する場合に常に使用できます。

たとえば、ユーザーが使用する登録済モバイル・デバイス数をN個のみに制限します。

これを行うには、この条件をルールで使用する必要があります。

1. この条件の「デバイス数の比較」演算子を「次より大きい」として構成します。「比較する(登録済)デバイス数」を4として構成します。

2. 「デバイス・タイプ」を「モバイル・デバイス」として構成します。

3. 新規デバイスからログインする登録済ユーザーについて認証をいくつか実行し、そのたびに、(Cookieをクリアして)それらのデバイスをユーザーに対して登録します。

ユーザーの登録済デバイスが5つになったときに新規または既存デバイスのいずれかからログインする場合、ルールがトリガーされます。

B.9.5 ユーザー: 最終成功からの速度

次の表に、条件に関する一般情報を示します。

表B-167 ユーザー: 最終成功からの速度

条件

ユーザー: 最終成功からの速度

説明

条件を評価して、次のことを確認します。

- ユーザーのログインが以前に成功したかどうか

- 速度(1時間当たりのマイル数)が指定された値を超えるかどうか

- ユーザーが同じデバイスIDに属するかどうか

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

B.9.6 ユーザー: 最終成功ログインからの速度

次の表に、条件に関する一般情報を示します。

表B-168 ユーザー: 最終成功からの速度

条件

ユーザー: 最終成功からの速度

説明

条件を評価して、次のことを確認します。

- ユーザーのログインが以前に成功したかどうか

- 速度(1時間当たりのマイル数)が指定された値を超えるかどうか

- ユーザーが同じIPグループに属するかどうか

前提条件

動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。すでに定義されているIPグループのリストが必要です。この条件によってより正確な結果が返されるようにするには、地理的位置データベースが必要です。これがない場合、すべてのIPがプライベートとして表示され、条件はFalseなどのデフォルト値になります。この条件は地理的位置情報がなくても機能しますが、有用ではなくなります。地理的位置データがあれば、結果はより正確になります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-169 ユーザー: 最終成功からの速度パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次を超える1時間当たりのマイル

移動した距離(マイル単位)と移動した時間(時間単位)の比率で監視する最大数。

正の整数(デフォルトは60)

いいえ

最終ログイン・デバイスが同じ場合は無視

ログインが同じデバイスからの場合は条件を無視します。

デフォルトはtrueです。

Trueに設定されている場合、同じユーザーが同じデバイスIDからログインに複数回成功すると、条件評価時にnullが返されます。同じユーザーによるログインに異なるデバイスIDが関連付けられている場合、nullが返されず、アラート/アクションが発生します。

falseに設定されている場合、パラメータは無視され、条件は1時間当たりのマイル数にのみ基づいて評価されます。

いいえ

IPグループを無視する

この条件で無視するIPグループ。

これは、IPグループが含まれるグループのリストです。ルールの「条件」タブに、IPアドレス・グループのドロップダウン・リストが表示されます。OAAM管理コンソールの「グループ編集者」を使用して、グループを作成するか、このグループ・リストを編集します。

グループ・エディタを介して作成されたIPグループ。OAAM制限付きIPやOAAMリスクのあるIPなどがあります。

はい

条件によって、ユーザー・ログインが以前に成功したかどうか、速度(1時間当たりのマイル数)が指定された値を超えるかどうか、およびユーザーが同じデバイスIDを持つどうかが評価されます。同じデバイスから同じユーザーが複数回ログインを行うと、パラメータ「最終ログイン・デバイスが同じ場合は無視」が使用されます。この条件からnullを返すには、同じデバイスIDを持つ同じユーザーからのログインが複数回成功する必要があります。ロケーション・データベースを使用し、このログインおよび前回のログインについてユーザーのロケーションを判別します。

「最終ログイン・デバイスが同じ場合は無視」がTrueに設定されている場合、同じユーザーが同じデバイスIDからログインに複数回成功すると、条件評価時にnullが返されます。同じユーザーによるログインに異なるデバイスIDが関連付けられている場合、nullが返されず、アラート/アクションが発生します。falseに設定されている場合、パラメータは無視され、条件は1時間当たりのマイル数にのみ基づいて評価されます。

「IPグループを無視する」パラメータを使用して、無視するIPのリストを指定できます。ユーザーのIPがIPのリスト(IPグループ)にある場合、この条件は常にfalseに評価されアクションやアラートはトリガーされません。ユーザーのIPがこのリストに含まれないか、リストがnullまたは空である場合、条件は、最後のログインからのユーザーの速度を評価します。最後のログインからのユーザーの速度がルールの構成値を超えている場合は、条件はtrueと評価され、条件がトリガーされます。

使用デバイスが異なる場合における、ユーザーがこれからログインするロケーションと前回ログインしたロケーションとの物理的距離、および時間を指定して2地点間を移動するのに必要な速度に基づいて評価する要件がある場合、この条件を使用します。

1. ポリシーを作成し、条件「ユーザー: 最終成功ログインからの速度」を使用してUser Velocityルールを追加します。

2. 「次を超える1時間当たりのマイル」に数値を入力します。たとえば、500などです。

3. 「最終ログイン・デバイスが同じ場合は無視」でTrueを選択します。

4. User Velocityルールの結果としてKBAチャレンジを追加します。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.9.7 ユーザー: 制限内における最終成功ログインからの速度

次の表に、条件に関する一般情報を示します。

表B-170 ユーザー: 制限内における最終成功ログインからの速度

条件

ユーザー: 制限内における最終成功ログインからの速度

説明

この条件は、最終成功ログインからの速度が指定制限内である場合にトリガーされます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-171 「ユーザー: 制限内における最終成功ログインからの速度」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

速度は次以上

移動した距離の下限。

デフォルトは100です。

いいえ

および以下

移動した距離の上限。

デフォルトは300です。

いいえ

次のトリガー

「次のトリガー」がTrueに設定されている場合は、条件が満たされるとルールがトリガーされます。

「次のトリガー」がFalseに設定されている場合は、条件が満たされない場合のみ、ルール条件がトリガーされます。

デフォルトはTrueです。

いいえ

最終ログイン・デバイスが同じ場合は無視

最終ログイン・デバイスが同じである場合、アクションを実行しません。

デフォルトはTrueです。

いいえ

ユーザーが自分のアプリケーションにログインした後、ジェット機で別の都市に移動し、同じアプリケーションに再度ログインすることは可能です。

1. 最初に、ルールによって、過去N秒における最終成功ログインが取得されます。複数存在する場合は、最後のログイン(最も数値の高いタイムスタンプ)が選択されます。

2. ルールによってcityLastLoginとcurrentCurrentLoginが確認され、それらの間隔が計算されて距離となります。

3. 次に、thisDistance/ログイン時間の差異を計算します。これがvelocityCalculatedとなります。

4. ルール(UI)のvelocityCalculatedがvelocityConfiguredより大きい場合、ルールがトリガーされます。

B.9.8 ユーザー: 最終成功ログインからの距離

次の表に、条件に関する一般情報を示します。

表B-172 ユーザー: 最終成功ログインからの距離

条件

ユーザー: 最終成功ログインからの距離

説明

指定時間内での最終成功ログインからの距離。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-173 「ユーザー: 最終成功ログインからの距離」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次を超えるマイル

監視する最大マイル数。マイル数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは300です。

いいえ

期間範囲(秒)

ユーザー・セッション履歴を見直す期間(秒数)。

経過秒数

[整数]

デフォルトは3600です。

正の整数は、この条件によって、このリクエストより前の一定の時間が検索されることを示します。0値は、この条件によりセッションの使用可能な履歴すべてが検索されることを意味します。このパラメータに負の値が指定されると、条件は常にfalseに評価されます。

いいえ

B.9.9 ユーザー: 制限内での最終成功ログインからの距離

次の表に、条件に関する一般情報を示します。

表B-174 ユーザー: 制限内での最終成功ログインからの距離

条件

ユーザー: 制限内での最終成功ログインからの距離

説明

指定時間内の最終成功ログインからの距離が、制限内であるかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-175 「ユーザー: 制限内での最終成功ログインからの距離」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

過去(秒)

経過秒数

デフォルトは3600です。

いいえ

距離が次以上

距離値の下限。

デフォルトは100です。

いいえ

および以下

距離値の上限。

デフォルトは300です。

いいえ

次のトリガー

「次のトリガー」がtrueに設定されている場合は、条件が満たされるとルールがトリガーされます。

「次のトリガー」がFalseに設定されている場合は、条件が満たされない場合のみ、ルール条件がトリガーされます。

デフォルトはTrueです。

いいえ

B.9.10 ユーザー: 認証イメージ割当済

次の表に、条件に関する一般情報を示します。

表B-176 ユーザー: 認証イメージ割当済

条件

ユーザー: 認証イメージ割当済

説明

ユーザーに認証イメージが割り当てられているかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-177 ユーザー: 認証イメージ割当済

パラメータ

説明

使用可能な値

nullに設定可能かどうか

割当済

ユーザーに認証イメージが割り当てられている場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

True/false

いいえ

ユーザーがイメージを登録するようにするには、この条件を使用して、ユーザーがすでにイメージを登録したかどうかを確認します。イメージが登録されていない場合、ユーザーにイメージの登録を強制するなどのアクションを実行できます。イメージが登録されている場合、サポートされているページに認証イメージを表示するなどのアクションを実行できます。

標準として、デフォルトのOAAMルールが設定されているため、ユーザーがイメージを登録した場合、認証イメージとともに仮想オーセンティケータがOAAMサーバー・ページに表示されます。

B.9.11 ユーザー: 認証モード

次の表に、条件に関する一般情報を示します。

表B-178 ユーザー: 認証モード

条件

ユーザー: 認証モード

説明

ユーザー認証モードを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-179 「ユーザー: 認証モード」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

認証モードは次のとおりです

ユーザーの認証モード。たとえば、この条件では、ユーザーの認証モードが「フル・キーパッド」であるかどうかを確認します。

認証値はauth.client.type.enumプロパティの値です。たとえば、次の値を使用できます。

- フル・キーパッド

- TextPad

いいえ

この条件では、ユーザーの認証モード(「フル・キーパッド」や「TextPad」など)を確認します。Textpadからキーパッドにアップグレードするオプションがある場合、これは、状態を確認するために使用される条件です。

B.9.12 ユーザー: 期間内のステータス件数

次の表に、条件に関する一般情報を示します。

表B-180 ユーザー: 期間内のステータス件数

条件

ユーザー: 期間内のステータス件数

説明

ユーザーが指定時間内に複数回のログインを試行したかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-181 「ユーザー: 期間内のステータス件数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

認証ステータスは次のとおりです

認証ステータス。

認証ステータスはauth.status.enumを介して構成されます。

例:

- ブロック済

- ロック済

- データベース・エラー

- 期限切れパスワード

- 無効なユーザー

- 保留中

- アクティブ化保留中

- 期限切れセッション

- 再利用セッション

- 成功

- システム・エラー

- ユーザーが無効です

- 不正な回答

- 不正なパスワード

- 不正なPin

いいえ

範囲(分)

このパラメータは、ユーザーが実行したログイン試行数をカウントする期間を定義します。

デフォルトは30です。

いいえ

次より大きい

監視する最大ログイン回数。特定の認証ステータスでの範囲(分)内のログイン回数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

いいえ

B.9.13 ユーザー: 期間内のチャレンジ

次の表に、条件に関する一般情報を示します。

表B-182 ユーザー: 期間内のチャレンジ

条件

ユーザー: 期間内のチャレンジ

説明

ユーザーが過去n分以内にチャレンジ質問への回答に成功したかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-183 ユーザー: 期間内のチャレンジ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

これは、ユーザーが過去n分以内にチャレンジ質問への回答に成功していた場合のデフォルトの戻り値を定義するブール・パラメータです。

デフォルトはTrueです。

いいえ

範囲(分)

このパラメータは、正しく回答されたチャレンジ質問数をカウントする期間を定義します。

デフォルトは30です。

いいえ

B.9.14 ユーザー: チャレンジ・チャネル失敗

次の表に、条件に関する一般情報を示します。

表B-184 ユーザー: チャレンジ・チャネル失敗

条件

ユーザー: チャレンジ・チャネル失敗

説明

ユーザーの特定のチャネルからの失敗カウンタ値が指定された値を超えるかどうか。

アクションが発生するまでにユーザーに許可されるKBAチャレンジ失敗の合計数は、このルール条件で構成されます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-185 ユーザー: チャレンジ・チャネル失敗

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チャレンジ・チャネル

ユーザーにチャレンジするためのチャレンジ・ルール・アクション。カスタマ・ケアによってチャレンジ質問が依頼されるかどうか、またはこれがオンライン方法によるチャレンジであるかどうか。

値はtracker.challenge.channel.enumの値です。

使用可能な値は「オンライン」(オンライン・チャレンジ・チャネル)および「ケース」(カスタマ・ケア・チャレンジ・チャネル)です。

いいえ

現在の質問件数のみですか。

現在のKBAチャレンジ質問のみ、またはすべてのKBAチャレンジ質問の失敗件数をカウントします。

デフォルトはFalseです。

たとえば、ユーザーが現在の質問に対して3または4回試行するかどうか、またはユーザーが現在の質問と前の質問と合計で3または4回試行できるかどうかを設定できます。

いいえ

次以上の失敗数

失敗数。

デフォルトは3です。

いいえ

この条件を使用して、チャレンジ・チャネルについてユーザーが質問を依頼された回数を確認します。また、失敗カウンタ値が指定された値を超える場合は、次の質問に進むなど、ルールがトリガーされてアクションが実行されます。

たとえば、次の使用例を考えてみます。

オンライン・カウンタの場合: ユーザーがチャレンジ質問にオンラインで回答しているときに、各質問に1回ずつ正しい回答を指定する機会が最大3回与えられている場合、質問への回答に失敗するたびにオンライン・カウンタが増分されます。アクションとしては、ユーザーが3回失敗した後にセッションからロックアウトされるなどがあります。

電話カウンタの場合: CSRがユーザーにチャレンジ質問を電話で依頼し、各質問に回答する機会がそのユーザーに最大3回与えられている場合、合計で9回の試行が許可されます。ユーザーは現在の質問に3回回答した後、次の質問に進みます。質問への回答に失敗するたびに電話カウンタが増分されます。アクションとしては、ユーザーが3回失敗(9回の試行)した後にセッションからロックアウトされるなどがあります。

B.9.15 ユーザー: チャレンジ質問失敗

次の表に、条件に関する一般情報を示します。

表B-186 ユーザー: チャレンジ質問失敗

条件

ユーザー: チャレンジ質問失敗

説明

失敗のある質問数を確認します。この条件では、現在の質問のみの失敗をカウントしたり使用したチャレンジ・チャネルを指定するオプションを使用せずに、失敗の合計数を確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-187 ユーザー: チャレンジ質問失敗

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次以上の失敗数

監視する最大失敗回数。失敗回数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

いいえ

KBA質問を使用しているときに、ユーザーが失敗した回数を確認し、ユーザーが複数のチャレンジ質問への回答に失敗したらルールをトリガーする場合、この条件を使用します。

KBA質問に対するユーザーの回答が正しくない場合、正しく回答するか、失敗の最大回数に達してルールがトリガーされるまで、さらに試行できます。ルールがトリガーされた結果としてのアクションには、アカウントからのロックアウトなどがあります。OAAMサーバー・ベースのポリシーでは、ユーザーは正しい回答の指定を合計3回試行できます。試行の失敗が3回を超えると、ルールがトリガーされます。

B.9.16 ユーザー: チャレンジ失敗 - 最小失敗数

次の表に、「ユーザー: チャレンジ失敗 - 最小失敗数」条件に関する一般情報を示します。

表B-188 ユーザー: チャレンジ失敗 - 最小失敗数

条件

ユーザー: チャレンジ失敗 - 最小失敗数

説明

ユーザーの失敗カウンタ値が指定された値を超えるかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、「ユーザー: チャレンジ失敗 - 最小失敗数」条件のパラメータの概要が示されています。

表B-189 「ユーザー: チャレンジ失敗 - 最小失敗数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より多い失敗数

監視する最大失敗回数。失敗回数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは0です。

いいえ

B.9.17 ユーザー: チャレンジの最大失敗数

次の表に、条件に関する一般情報を示します。

表B-190 ユーザー: チャレンジの最大失敗数

条件

ユーザー: チャレンジの最大失敗数

説明

ユーザーが指定回数、チャレンジ質問への回答に失敗したかどうかを確認します。現在の質問のみに対する失敗をカウントするように選択できます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-191 ユーザー: チャレンジの最大失敗数

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次以上の失敗数

監視する最大失敗回数。失敗回数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

いいえ

現在の質問件数のみですか。

質問ごとに質問カウンタを増分するかどうか。

デフォルトはFalseです。

はい

次以上の場合の戻り値

許可されている失敗試行回数以上になったら返される値。

デフォルトはTrueです。

はい

ユーザーが質問に対する正しい回答の失敗を許可される質問ごとの回数または連続回数に基づいてルールをトリガーする場合、この条件を使用します。

B.9.18 ユーザー: チャレンジ失敗が以前の最終チャレンジに一致

次の表に、「ユーザー: チャレンジ失敗が以前の最終チャレンジに一致」条件に関する一般情報を示します。

表B-192 ユーザー: チャレンジ失敗が以前の最終チャレンジに一致

条件

ユーザー: チャレンジ失敗が以前の最終チャレンジに一致

説明

日数が経過してから時間数が経過するまでの最後のチャレンジかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、「ユーザー: チャレンジ失敗が以前の最終チャレンジに一致」条件のパラメータの概要が示されています。

表B-193 「ユーザー: チャレンジ失敗が以前の最終チャレンジに一致」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

クライアント・タイプ

使用されるクライアント

使用可能な値は次のとおりです。

- 英字キーパッド

- アプレット・トラッカ

- チャレンジ・レスポンス

- デフォルト

- 電子メール

- アイ・スキャン

- Flashトラッカ

- フル・キーパッド

- フィンガープリントの受渡し

- イメージ・トラッカ

- ログイン・ページ

- ネイティブ・モバイル・クライアント

- 標準

- OCS質問

- OTP

- 部分パスワード

- PinPad

- 質問および回答

- SMS

- スライダ

- TextPad

- トークン

- トランザクション署名

- 不明

- ホイール

いいえ

最終チャレンジからの最小日数

最終チャレンジから経過した最小期間

デフォルトは1です。

いいえ

最大見直し日数

検討する必要がある最大経過期間

デフォルトは30です。

いいえ

B.9.19 ユーザー: OTP失敗の確認

次の表に、条件に関する一般情報を示します。

表B-194 ユーザー: OTP失敗の確認

条件

ユーザー: OTP失敗の確認

説明

ユーザーのOTP失敗カウンタ値が指定した値を超えているかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

11.1.1.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-195 「ユーザー: OTP失敗の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次以上の失敗数

失敗数がこの数値より大きい場合、条件がトリガーされます。

デフォルトは0です。

いいえ

次以上の場合の戻り値

失敗試行回数以上になり条件がトリガーされたら返される値。

たとえば、数値が5で、OTP失敗数が5を超えた場合、条件がトリガーされます。

0の場合、試行回数以上になるとTrueまたはFalseが返されます。

デフォルトはTrueです。

いいえ

OTPチャレンジ・タイプ

チャレンジ・タイプは、チャレンジのタイプの構成(ChallengeEmail、ChallengeSMS、ChallengeQuestion)です。

デフォルトはChallengeSMSです。

使用可能なチャレンジ・タイプ値は次のとおりです。

- ChallengeEmail: 電子メールによるOTPチャレンジ

- ChallengeSMS: ショート・メッセージ・サービス(SMS)によるOTPチャレンジ

- ChallengeIM: インスタント・メッセージによるOTPチャレンジ

値はchallenge.type.enumプロパティの値です。

この列挙を介して、チャレンジ・タイプを追加できます。

いいえ

この条件は、特定シナリオのユーザーに対してOTPチャレンジが実行されるルールで使用されます。ユーザーのOTPに対する回答が正しくない場合、正しく回答するか、または失敗回数が特定数に達してアカウントからロックアウトされるまで、さらに試行できます。ユーザーがOTPチャレンジに失敗すると、カウンタは更新され、ユーザーが失敗したことを示します。OAAMサーバー・ベースのポリシーでは、ユーザーは正しい回答の指定を3回試行できます。OTP試行の失敗が3回を超えると、ルールがトリガーされます。OAAMチャレンジ・ポリシーにはデフォルトで失敗カウンタが設定されていますが、これはカスタマイズできます。

B.9.20 ユーザー: 複数の失敗

次の表に、条件に関する一般情報を示します。

表B-196 ユーザー: 複数の失敗

条件

ユーザー: 複数の失敗

説明

ユーザーが複数回失敗したかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-197 「ユーザー: 複数の失敗」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

認証ステータスは次ではありません

ユーザー・アカウント・ステータス

使用可能な値は次のとおりです。

- ブロック済

- データベース・エラー

- 無効なユーザー

- ロック済

- 期限切れパスワード

- 保留中

- アクティブ化保留中

- 有効期限切れのセッション

- 再使用されたセッション

- 成功

- システム・エラー

- 無効なユーザー

- 不正な回答

- 不正なPIN

- 不正なパスワード

いいえ

次より大きい

監視する最大失敗回数。失敗回数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

いいえ

指定されているものとは異なるユーザー・アカウント・ステータスでユーザーが複数回失敗したかどうかを確認します。

B.9.21 ユーザー: グループ内

次の表に、「ユーザー: グループ内」条件に関する一般情報を示します。

表B-198 ユーザー: グループ内

条件

ユーザー: グループ内

説明

ユーザーが指定したグループ内にあるかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、「ユーザー: グループ内」条件のパラメータの概要が示されています。

表B-199 「ユーザー: グループ内」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

ユーザーがユーザー・グループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

ユーザーがユーザー・グループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

デフォルトはTrueです。

いいえ

ユーザー・グループ

これは、ユーザーが含まれるグループのリストです。ルールの「条件」タブに、ユーザー・グループのドロップダウン・リストが表示されます。OAAM管理コンソールの「グループ編集者」を使用して、グループを作成するか、このグループ・リストを編集します。

デフォルトまたは「OAAM制限付きユーザー」

いいえ

この条件は、現行アクティビティのユーザーに対してアクションを実行する必要があるかどうかを判断するために使用できます。たとえば、あるユーザーのグループを高リスクとみなすことができる場合は、高リスクのユーザー・グループ内のユーザーに常にチャレンジするようにポリシーを構成できます。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.9.22 ユーザー: グループでのログイン

次の表に、条件に関する一般情報を示します。

表B-200 ユーザー: グループでのログイン

条件

ユーザー: グループでのログイン

説明

ユーザー・ログインが指定されたグループ内であるかどうか。

前提条件

動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

OAAM管理コンソールの「グループ編集者」を使用して、グループを作成するか、このグループ・リストを編集します。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-201 「ユーザー: グループでのログイン」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

グループ内

このパラメータは条件の結果を制御します。このパラメータを使用して条件の結果を否定できます。

ユーザー・ログインがグループ内にあり、このパラメータの値がTrueである場合、条件はTrueに評価されます。

ユーザー・ログインがグループ内になく、このパラメータの値がFalseである場合、条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

デフォルトはFalseです。

いいえ

ユーザー・グループ

これは、ユーザーが含まれるグループのリストです。ルールの「条件」タブに、ユーザー・グループのドロップダウン・リストが表示されます。OAAM管理コンソールの「グループ編集者」を使用して、グループを作成するか、このグループ・リストを編集します。

ユーザー・グループのリストのユーザー・グループ。

いいえ

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.9.23 ユーザー: グループ内のユーザー・グループ

次の表に、条件に関する一般情報を示します。

表B-202 ユーザー: グループ内のユーザー・グループ

条件

ユーザー: グループ内のユーザー・グループ

説明

ユーザー・グループが指定されたグループ内に存在するかどうか。

前提条件

動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

OAAM管理コンソールの「グループ編集者」を使用して、グループを作成するか、このグループ・リストを編集します。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-203 「ユーザー: グループ内のユーザー・グループ」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

グループ内

これは、ユーザー・グループがグループ内にある場合のデフォルトの戻り値を定義するブール型パラメータです。

デフォルトはTrueです。

いいえ

グループ・リスト

これは、ユーザーが含まれるグループのリストです。ルールの「条件」タブに、ユーザー・グループのドロップダウン・リストが表示されます。OAAM管理コンソールの「グループ編集者」を使用して、グループを作成するか、このグループ・リストを編集します。

ユーザー・グループのリストのユーザー・グループ。

いいえ

この条件では、ユーザーが特定のユーザー・グループに属するかどうかを確認します。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.9.24 ユーザー: アクション件数

次の表に、「ユーザー: アクション件数」条件に関する一般情報を示します。

表B-204 ユーザー: アクション件数

条件

ユーザー: アクション件数

説明

特定アクションのアクション・カウンタを確認します。この条件は、アクション構成に依存しています。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

パラメータ

次の表には、「ユーザー: アクション件数」条件のパラメータの概要が示されています。

表B-205 「ユーザー: アクション件数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

アクション

アクションが含まれます。

デフォルトは「パスワード」です。

値はrule.action.enumプロパティに指定されています。

いいえ

次以上の件数

監視する最大アクション件数。このアクションのアクション件数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

いいえ

この条件では、アクションの最大件数に達したかどうかを確認します。

B.9.25 ユーザー: 期間内のアクション件数

特定のアクション件数が指定件数を超えているかどうかを確認します。チェックポイントが指定されていない場合、アクションはすべてのチェックポイントで確認されます。

次の表に、「ユーザー: 期間内のアクション件数」条件に関する一般情報を示します。

表B-206 ユーザー: 期間内のアクション件数

条件

ユーザー: 期間内のアクション件数

説明

特定のアクション件数が指定件数を超えているかどうかを確認します。チェックポイントが指定されていない場合、アクションはすべてのチェックポイントで確認されます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

アクションは、特定のチェックポイントまたはすべてのチェックポイントに対して確認されます。

パラメータ

次の表には、「ユーザー: 期間内のアクション件数」条件のパラメータの概要が示されています。

表B-207 「ユーザー: 期間内のアクション件数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックポイント(オプション)

特定のチェックポイントを指定します。指定しない場合は、アクションはすべてのチェックポイントに対して確認されます。

使用可能な値はprofile.type.enumプロパティを介して構成されます。

はい

アクション

確認するアクション。

この条件は、セッション全体にわたって発生したカウント対象のアクションすべてに対して累積されます。

使用可能な値はrule.action.enumプロパティを介して構成されます。アクションの例は「チャレンジ」です。

いいえ

秒

アクション件数を確認する経過秒数。

デフォルトは300です。

いいえ

カウント・アクションはセッションごとに1回のみ

アクションをセッションごとに1回のみカウントするかどうかを指定します。

1つのアクションは1つのセッション内で複数回発生してもかまいません。たとえば、特定のセッション内で1人のユーザーに複数回チャレンジできます。

「カウント・アクションはセッションごとに1回のみ」をfalseとして指定したときに、エンド・ユーザーが1つのセッションで3回チャレンジされた場合、OAAMでは過去300秒内に発生したすべてのチャレンジ・アクションがカウントされます。エンド・ユーザーが5つのセッションで10回チャレンジされた場合、チャレンジ・アクションは10としてカウントされます。「カウント・アクションはセッションごとに1回のみ」をTrueとして指定したときに、エンド・ユーザーが1つのセッションで3回チャレンジされた場合、過去300秒内に発生したチャレンジ・アクションは1としてカウントされます。エンド・ユーザーが5つのセッションでセッションごとに3回チャレンジされた場合、チャレンジ・アクションは5としてカウントされます。

デフォルトはTrueです。

いいえ

次より大きい

指定したn秒内のセッション全体にわたる最大アクション件数。

デフォルトは3です。

いいえ

過去n秒内のセッション全体にわたるアクション件数が指定した数を超えるかどうかを確認する場合、この条件を使用します。この条件には、アクションをセッションごとに1回としてカウントするかセッション内の個別回数としてカウントするかを指定するパラメータがあります。たとえば、トランザクション・シナリオを実行しているときに、最後のn秒内にOTPチャレンジを複数回送信する場合、セッションの数とは関係なく実際のチャレンジ数をカウントできます。ユーザーに2、3回のみチャレンジしてそれ以上はチャレンジしない場合や、ユーザーが1つのセッションで複数回チャレンジされていてもこのユーザーにチャレンジし続ける場合もあります。たとえば、最後の5分以内に、セッションの数とは関係なく、エンド・ユーザーに対して3回目のチャレンジを実行しない場合があります。一方、セッションまたは転送ごとにユーザーに対して1回のみチャレンジする場合もあります。

B.9.26 ユーザー: 最終セッション・アクションの確認

次の表に、条件に関する一般情報を示します。

表B-208 ユーザー: 最終セッション・アクションの確認

条件

ユーザー: 最終セッション・アクションの確認

説明

特定アクションが最終セッションにあるかどうかを確認します。チェックポイントが指定されていない場合、アクションはそのセッションのすべてのチェックポイントで確認されます。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 最終セッション・アクションの確認」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-209 ユーザー: 最終セッション・アクションの確認

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックポイント(オプション)

選択対象のチェックポイント。

使用可能な値はprofile.type.enumプロパティを介して構成されます。

いいえ

アクション

アクションが含まれます。

デフォルトは「パスワード」です。

いいえ

秒

経過秒数

デフォルトは300です。

いいえ

B.9.27 ユーザー: アカウント・ステータス

次の表に、「ユーザー: アカウント・ステータス」条件に関する一般情報を示します。

表B-210 ユーザー: アカウント・ステータス

条件

ユーザー: アカウント・ステータス

説明

ユーザーのアカウント・ステータスを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: アカウント・ステータス」パラメータ

次の表には、「ユーザー: アカウント・ステータス」条件のパラメータの概要が示されています。

表B-211 「ユーザー: アカウント・ステータス」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

ユーザー・アカウント・ステータス

ユーザーのアカウント・ステータス

アカウント・ステータスはvcrypt.user.account.status.enumプロパティを介して構成されます。

値は次のとおりです。

- アクティブ
ユーザーはアクティブで、システム内で使用可能になっています。ユーザーは登録を完了し、すべての操作を実行できます。

- 削除済
ユーザーはシステム内で使用不可になっています。

- 無効
ユーザーはシステム内で使用可能ですが、アクティブになっていません。ユーザーは不正行為などの理由で無効にされ、操作を実行できなくなっている可能性があります。

- 無効
ユーザー名が無効です。

- アクティブ化保留中
ユーザーは登録を開始しましたが、まだ完了していません。ユーザー名とパスワードが入力され、情報がデータベースに格納されましたが、登録が完了するまでそのユーザーはアクティブ化されません。ユーザーはシステム内で使用可能になっていますが、まだアクティブではなく、何の操作も実行できません。

いいえ

次に一致する

アカウント・ステータスが指定したものである場合に、デフォルトの戻り値をtrueまたはfalseのいずれにするかを決定するブール型パラメータ

TrueまたはFalse

いいえ

ユーザーのアカウント・ステータスを確認する場合、この条件を使用します。たとえば、ユーザー・ステータスが「使用不可」または「無効」である場合、ユーザーがステップを進んでリソースにアクセスできないようにユーザーをブロックするアクションが構成されている可能性があります。

B.9.28 ユーザー: クライアントおよびステータス

次の表に、「ユーザー: クライアントおよびステータス」条件に関する一般情報を示します。

表B-212 ユーザー: クライアントおよびステータス

条件

ユーザー: クライアントおよびステータス

説明

ユーザーのアカウント・ステータス

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: クライアントおよびステータス」パラメータ

次の表には、「ユーザー: クライアントおよびステータス」条件のパラメータの概要が示されています。

表B-213 「ユーザー: クライアントおよびステータス」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

使用済クライアント

クライアント・タイプ

使用可能な値は次のとおりです。

- 英字キーパッド

- アプレット・トラッカ

- チャレンジ・レスポンス

- デフォルト

- 電子メール

- アイ・スキャン

- Flashトラッカ

- フル・キーパッド

- フィンガープリントの受渡し

- イメージ・トラッカ

- ログイン・ページ

- ネイティブ・モバイル・クライアント

- 標準

- OCS質問

- OTP

- 部分パスワード

- PinPad

- 質問および回答

- SMS

- スライダ

- TextPad

- トークン

- トランザクション署名

- 不明

- ホイール

いいえ

期間範囲(分)

ユーザーがクライアント・タイプからのログインに成功した回数をカウントする期間

デフォルトは1440です。

いいえ

次より大きい

ユーザーがクライアント・タイプからのログインに成功した回数

デフォルトは3です。

いいえ

この条件を使用して、指定した分数内にユーザーがクライアント・タイプからのログインに成功したかどうかを確認します。この条件では、「成功」のステータスを確認します。

B.9.29 ユーザー: 質問ステータス

次の表に、条件に関する一般情報を示します。

表B-214 ユーザー: 質問ステータス

条件

ユーザー: 質問ステータス

説明

ユーザーの質問ステータス

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 質問ステータス」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-215 「ユーザー: 質問ステータス」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

ユーザー質問ステータス

ユーザーの質問登録ステータス。

ステータス値はvcrypt.user.question.status.enumの値です。

「設定」または「未設定」

いいえ

次に一致する

質問ステータスが指定したものである場合に、この条件がYesまたはNoを返す必要があるかどうかを確認します。

デフォルトはYesです。

いいえ

この条件を使用して、ユーザーにチャレンジ質問が設定されているかどうかを確認します。ユーザーにチャレンジ質問が設定されていない場合(未登録ユーザー)、ユーザーに質問の登録を強制するなどのアクションを実行できます。質問が設定されている場合、危険な状況に対してチャレンジ質問を使用するなどのアクションを実行できます。

B.9.30 ユーザー: イメージ・ステータス

次の表に、条件に関する一般情報を示します。

表B-216 ユーザー: イメージ・ステータス

条件

ユーザー: イメージ・ステータス

説明

ユーザーのイメージ・ステータス

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: イメージ・ステータス」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-217 ユーザー: イメージ・ステータス

パラメータ

説明

使用可能な値

nullに設定可能かどうか

ユーザー・イメージ・ステータス

ユーザー・アカウント・ステータス

「設定」または「未設定」

いいえ

次に一致する

アカウント・ステータスが設定されているかどうかを確認します。

デフォルトはTrueです。

いいえ

B.9.31 ユーザー: フレーズ・ステータス

次の表に、条件に関する一般情報を示します。

表B-218 ユーザー: フレーズ・ステータス

条件

ユーザー: フレーズ・ステータス

説明

ユーザーのフレーズ・ステータス。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: フレーズ・ステータス」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-219 「ユーザー: フレーズ・ステータス」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

ユーザー・フレーズ・ステータス

ユーザー・アカウント・ステータス

「設定」または「未設定」

いいえ

次に一致する

ユーザーがフレーズが登録している場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザーがセキュリティ・フレーズを登録しているかどうかを確認します。

B.9.32 ユーザー: プリファレンス構成済

次の表に、条件に関する一般情報を示します。

表B-220 「ユーザー: プリファレンス構成済」パラメータ

条件

ユーザー: プリファレンス構成済

説明

ユーザー・プリファレンスが設定されているかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: プリファレンス構成済」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-221 ユーザー: プリファレンス構成済

パラメータ

説明

使用可能な値

nullに設定可能かどうか

構成済

ユーザー・プリファレンスが設定済の場合に、デフォルトの戻り値をtrueまたはfalseのいずれにするかを決定するブール型パラメータ

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザーがユーザー・プリファレンスを登録しているかどうかを確認します。

B.9.33 ユーザー: 情報の確認

次の表に、「ユーザー: 情報の確認」条件に関する一般情報を示します。

表B-222 ユーザー: 情報の確認

条件

ユーザー: 情報の確認

説明

ユーザー情報が設定されているかどうかを確認します。確認する情報データは、キー値ペアとして送信されます。

前提条件

この条件を使用するには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 情報の確認」パラメータ

次の表には、「ユーザー: 情報の確認」条件のパラメータの概要が示されています。

表B-223 「ユーザー: 情報の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

確認するカンマ区切り値へのキー

確認するカンマ区切り値があるコンテキスト・マップへのキー

デフォルトはキーです。

この値は入力する必要があります。この条件では、nullでないパラメータ・キーを確認します。

いいえ

情報が設定されている場合の戻り値

情報が設定されている場合の戻り値trueまたはfalse

デフォルトはTrueです。

いいえ

この条件を使用して、キーに指定されている値が設定されているかどうか、またはキーによってユーザーに指定されている値が空('')またはnullであるかどうかを確認します。値が空である場合、これはnullとして設定されます。スペース(" ")で構成された値は設定されます。等号(=)で構成された値は設定されません。trueまたはfalseを指定することにより、キーの値が設定されているかどうか、またはキーの値が空またはnullであるかどうかを確認できます。この条件は主に、OTPの入力フィールドを確認するために使用されます。キーのカンマ区切りリストでは、すべてのキーに値が設定されている場合、値が設定されているときにtrueを返すよう指定するとtrueが返され、値が設定されているときにfalseを返すよう指定するとfalseが返されます。カンマ区切りリストで、任意のキーに値が設定されていない場合、この情報が設定されている場合の戻り値の負の値が戻されます。

使用例

この条件は、ユーザーがキーの関連データを持っているかどうかを確認する場合に常に使用できます。たとえば、ユーザーがOTP構成で定義された電子メールを持っているかどうかを判断するには、この電子メール・フィールドがユーザーについて定義されている(空以外)かどうかに基づいてルールがトリガーされるようにする必要があります。電子メール・フィールドが設定されている場合、条件はtrueに評価されます。

1. この条件の「ユーザー・データ・キー」をuser_otpContactInfo_emailに構成します(携帯電話の場合、user_otpContactInfo_mobileのキーを使用します)。

2. 11gに付属している標準の新しいベース・ポリシーを使用します。ユーザーは、最初または2回目のログイン時にOTPに登録されます。

3. 登録済ユーザーを使用して認証を実行します。
ユーザーがOTP電子メール(またはキーとしてモバイルを使用している場合にはモバイル)に登録されている場合に、ルールがトリガーされることを確認できます。

4. ポリシー・エディタに移動して、キーの値を変更します。

5. ユーザーの認証を再実行しても、ルールがトリガーされないことに注意してください。
ルールがトリガーされないことに注意してください。(この通常のキーには、このようなキー・データは存在しないことを想定しています)

B.9.34 ユーザー: ユーザー・データのチェック

次の表に、条件に関する一般情報を示します。

表B-224 ユーザー: 情報の確認

条件

ユーザー: ユーザー・データのチェック

説明

指定されたキーに、ユーザーの関連データが含まれていないかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザー・データのチェック」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-225 「ユーザー: ユーザー・データのチェック」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

ユーザー・データ・キー

該当ユーザーの関連データが含まれている可能性があるキーの完全な名前。

これは、このユーザーのみを対象としたプロパティまたは構成プロパティです。

[文字列]

デフォルトはemailです。

はい

使用例

この条件は、ユーザーがキーの関連データを持っているかどうかを確認する場合に常に使用できます。たとえば、ユーザーがOTP構成で定義された電子メールを持っているかどうかを判断するには、この電子メール・フィールドがユーザーについて定義されている(空以外)かどうかに基づいてルールがトリガーされるようにする必要があります。これを行うには、このルールをこの条件とともに使用する必要があります。

1. この条件の「ユーザー・データ・キー」をuser_otpContactInfo_emailに構成します(携帯電話の場合、キーuser_otpContactInfo_mobileを使用します)。

2. 11gに付属している標準の新しいベース・ポリシーを使用します。これにより、ユーザーは、最初または2回目のログイン時にOTPに強制的に登録されます。

3. 登録済ユーザーを使用して認証を実行します。
ユーザーがOTP電子メール(またはキーとしてモバイルを使用している場合はモバイル)に登録されている場合に、ルールがトリガーされることを確認できます。

4. ポリシー・エディタに移動して、キーzoom.some.item.that.is.not.supposed.to.existの値を変更します。

5. 認証ユーザーを実行しても、ルールがトリガーされないことに注意してください。
ルールがトリガーされないことに注意してください。(この通常のキーには、このようなキー・データは存在しないことを想定しています)

B.9.35 ユーザー: ユーザー・データのチェック

「ユーザー: ユーザー・データのチェック」条件に関する一般情報

次の表に、「ユーザー: ユーザー・データのチェック」条件に関する一般情報を示します。

表B-226 ユーザー: ユーザー・データのチェック

条件

ユーザー: ユーザー・データのチェック

説明

指定されたキーに、ユーザーの関連データが含まれていないかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザー・データのチェック」パラメータ

次の表には、「ユーザー: ユーザー・データのチェック」条件のパラメータの概要が示されています。

表B-227 ユーザー: ユーザー・データのチェック

パラメータ

説明

使用可能な値

nullに設定可能かどうか

ユーザー・データ・キー

該当ユーザーの関連データが含まれている可能性があるキーの完全な名前。

これは、このユーザーのみを対象としたプロパティまたは構成プロパティです。

[文字列]

確認するキーについて把握している必要があります。注意: 確認できるのは1つのキーのみです。

いいえ

「ユーザー: ユーザー・データのチェック」条件を使用して、キーが設定されているかどうかを検証します。値が存在する場合、この条件は常にtrueを返します。

注意:

この条件のかわりに「ユーザー: 情報の確認」条件を使用してください。「ユーザー: 情報の確認」条件を使用すると、キーが設定されているかどうかの確認時にtrueまたはfalseが返されるよう指定できます。

B.9.36 ユーザー: ユーザー・エージェント率の一致

「ユーザー: ユーザー・エージェント率の一致」条件に関する一般情報

次の表に、「ユーザー: ユーザー・エージェント率の一致」条件に関する一般情報を示します。

表B-228 ユーザー: ユーザー・エージェント率の一致

条件

ユーザー: ユーザー・エージェント率の一致

説明

ユーザー・エージェント一致率が指定率を上回っているかどうかを確認します。同一デバイスからの前のログインのブラウザ・ユーザー・エージェント文字列(UAS)と比較します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザー・エージェント率の一致」パラメータ

次の表には、「ユーザー: ユーザー・エージェント率の一致」条件のパラメータの概要が示されています。

表B-229 ユーザー: ユーザー・エージェント率の一致

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

エージェント率の一致が指定率を上回っている場合に、デフォルトの戻り値をtrueまたはfalseのいずれにするかを決定するブール型パラメータ。

デフォルトはFalseです。

いいえ

次を超える一致率

エージェント一致率が指定率を上回っています。

デフォルトは60です。

いいえ

同じデバイスからですか。

デバイスが同じデバイスである場合に、デフォルトの戻り値をtrueまたはfalseのいずれにするかを決定するブール型パラメータ。

デフォルトはTrueです。

いいえ

この条件では、ユーザー・エージェント文字列で予期するキーを把握していることを前提としています。この条件では、これらの値のいくつが一致するか(ユーザー・エージェント文字列が前のユーザー・エージェント文字列とどの程度類似しているか)を確認します。この条件は、デバイスIDルールに使用されます。

B.9.37 ユーザー: ユーザー・エージェントの一致

次の表に、条件に関する一般情報を示します。

表B-230 ユーザー: ユーザー・エージェントの一致

条件

ユーザー: ユーザー・エージェントの一致

説明

ユーザー・エージェントが、同一デバイスからの前のログインのユーザー・エージェントと一致するかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザー・エージェントの一致」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-231 ユーザー: ユーザー・エージェントの一致

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

これは、ユーザー・エージェントが同一デバイスからの前のログインのユーザー・エージェントと一致する場合のデフォルトの戻り値を定義するブール型パラメータです。

デフォルトはFalseです。

いいえ

同じデバイスからですか。

デバイスは同一デバイスです。

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザー・エージェント文字列が同一デバイスからの前のログインのユーザー・エージェント文字列と一致するかどうかを確認します。

B.9.38 ユーザー: 不正なユーザー・リクエストの確認

次の表に、条件に関する一般情報を示します。

表B-232 ユーザー: 不正なユーザー・リクエストの確認

条件

ユーザー: 不正なユーザー・リクエストの確認

説明

現在のユーザー・リクエストが不正かどうかを確認します。

前提条件

前提条件は次のとおりです。

- 動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

- ODMデータベース・ユーザーが作成されている必要があります。

- 新しく分類されたデータを最新の状態に保つにはフィードバックが必要です。

- 最近のデータ・トレンドを最新の状態に保つ場合もフィードバックが必要です。

- 最近のデータを使用したモデルの再作成は、モデルを最新の状態に保つためのフィードバック・メカニズムです。

- 検討するデータの日付範囲は、oracle.oaam.predictive_analysis.request.periodプロパティを使用して構成できます。

前提

なし

使用可能バージョン

11g

チェックポイント

認証後チェックポイント

「ユーザー: 不正なユーザー・リクエストの確認」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-233 「ユーザー: 不正なユーザー・リクエストの確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

評価に使用する分類モデルの選択

現在のリクエストの評価に使用する分類モデルを選択します。

「OAAM異常なリクエスト・モデル」または「OAAM不正なリクエスト・モデル」

分類タイプは列挙のものです。

いいえ

必要な分類タイプの選択

これは、ODMモデルのターゲット列の値と同じである必要があります。

「不正」または「不正ではない」

いいえ

指定された分類タイプの予測に必要な確度の最小値の入力

不正なリクエストの確度のしきい値。

デフォルトは0.80です。

確度値は0 (最も低い確度)と1 (最も高い確度)の間にする必要があります。0.85のような小数値を指定することもできます。

データと要件に基づいて、確度の範囲を調整できます。

いいえ

指定された分類タイプの予測に必要な確度の最大値の入力

不正なリクエストの確度の最小値。

デフォルトは1.00です。

確度値は0 (最も低い確度)と1 (最も高い確度)の間にする必要があります。0.85のような小数値を指定することもできます。

データと要件に基づいて、確度の範囲を調整できます。

いいえ

エラーの場合に返すデフォルト値

エラーの場合に返す値。

デフォルトはFalseです。

いいえ

この条件は、ODMデータに基づいています。ODMの基礎となるトリガーによって値が返され、この値がOAAM値と比較され、これによってアクションをトリガーできます。予測分析ルールにより、ODMの結果が確度の指定範囲内にあるかどうかを確認します。

この条件を使用して、リクエストが既知の不正なリクエストと類似しているかどうかを確認します。

B.9.39 ユーザー: 異常なユーザー・リクエストの確認

次の表に、条件に関する一般情報を示します。

表B-234 ユーザー: 異常なユーザー・リクエストの確認

条件

ユーザー: 異常なユーザー・リクエストの確認

説明

現在のユーザー・リクエストが異常かどうかを確認します。

前提条件

前提条件は次のとおりです。

- 動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

- ODMデータベース・ユーザーが作成されている必要があります。

- 新しく分類されたデータを最新の状態に保つにはフィードバックが必要です。

- 最近のデータ・トレンドを最新の状態に保つ場合もフィードバックが必要です。

- 最近のデータを使用したモデルの再作成は、モデルを最新の状態に保つためのフィードバック・メカニズムです。

- 検討するデータの日付範囲は、oracle.oaam.predictive_analysis.request.periodプロパティを使用して構成できます。

前提

なし

使用可能バージョン

11g

チェックポイント

認証後チェックポイント

「ユーザー: 異常なユーザー・リクエストの確認」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-235 ユーザー: 異常なユーザー・リクエストの確認

パラメータ

説明

使用可能な値

nullに設定可能かどうか

評価に使用する異常モデルの選択

現在のリクエストの評価に使用する異常モデルを選択します。

「OAAM異常なリクエスト・モデル」または「OAAM不正なリクエスト・モデル」

いいえ

ユーザー・リクエストを異常として分類するために必要な確度の最小値の入力

確度値は0と1の間にする必要があります。0.85のような小数値を指定できます。

デフォルトは0.80です。

データと要件に基づいて、確度の範囲を調整できます。

いいえ

ユーザー・リクエストを異常として分類するために必要な確度の最大値の入力

確度値は0と1の間にする必要があります。0.85のような小数値を指定できます。

デフォルトは1.00です。

データと要件に基づいて、確度の範囲を調整できます。

いいえ

エラーの場合に返すデフォルト値

エラーの場合に返す値を指定します。

デフォルトはFalseです。

はい

リクエストはODMに送信され、構成されている率(0と1の間の値)に基づいてリクエストの問題がどの程度であるかが確認されます。これは、ODM内に存在するモデルに依存します。予測分析ルールにより、ODMの結果が確度の指定範囲内にあるかどうかを確認します。

この条件を使用して、既存のリクエスト・セットと比較してリクエストが異常かどうかを確認します。

B.9.40 ユーザー: ユーザーはN回にわたるパターンのメンバーです

次の表に、条件に関する一般情報を示します。

表B-236 ユーザー: ユーザーはN回にわたるパターンのメンバーです

条件

ユーザー: ユーザーはN回にわたるパターンのメンバーです

説明

このユーザーがこのパターン条件のメンバーであるかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーはN回にわたるパターンのメンバーです」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-237 ユーザー: ユーザーはN回にわたるパターンのメンバーです

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次を超えるパターン・ヒット件数

この条件は、現在のエンティティ動作が指定された件数より多く発生した場合にトリガーされます。

デフォルトは0です。

いいえ

メンバーシップのパターン名

メンバーシップ件数がチェックされるパターン。

即時利用可能なパターンのリストは次のとおりですが、独自のパターンを使用することもできます。

ユーザー: デバイス・プロファイリング・パターン

ユーザー: ISPプロファイリング・パターン

ユーザー: 国プロファイリング・パターン

ユーザー: 接続タイプ・プロファイリング・パターン

ユーザー: ASNプロファイリング・パターン

ユーザー: 都道府県プロファイリング・パターン

ユーザー: ロケール・プロファイリング・パターン

ユーザー: 曜日プロファイリング・パターン

ユーザー: ルーティング・タイプ・プロファイリング・パターン

ユーザー: 時間範囲プロファイリング・パターン

いいえ

patternHitCountForUserより多いメンバーシップ件数

条件からtrueまたはfalseを返すのに使用されるブール値。

このパラメータは条件の結果を否定するために使用できます。

このパラメータがTrueで、パターン・ヒット件数がユーザーに指定された数量より多いことがTrueである場合、この条件はTrueに評価されます。

このパラメータがFalseで、パターン・ヒット件数がユーザーに指定された数量より多いことがFalseである場合、この条件はTrueに評価されます。

他のすべての場合、条件はFalseに評価されます。

デフォルトはTrueです。

いいえ

パターン・メンバーシップの期間タイプ

期間タイプ(「時間」、「日」、「月」および「年」)。

期間タイプはwork.type.enumプロパティに定義されています。期間タイプは、「時間」、「日」、「月」および「年」です。

ドロップダウン・リストから選択する期間タイプは、次のとおりです。

- 時間

- 日

- 月

- 年

いいえ

パターン・メンバーシップの期間

パターン・メンバーシップが評価される期間。

時間数には1から23を使用します。日数には1から30を使用します。月数には1から12、年数には1から8を使用します。上で指定した値より大きい値を入力すると、OAAMサーバーでは最大値が使用されます。

B.9.41 ユーザー: ユーザーの初回国

次の表に、条件に関する一般情報を示します。

表B-238 ユーザー: ユーザーの初回国

条件

ユーザー: ユーザーの初回国

説明

ユーザーが以前この国から正常にログインしたかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの初回国」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-239 「ユーザー: ユーザーの初回国」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回

この国が以前に正常に使用されていた場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザーが以前この国から正常にログインしたかどうかを確認します。ステータスは「成功」である必要があります。

B.9.42 ユーザー: ユーザーの初回国

次の表に、条件に関する一般情報を示します。

表B-240 ユーザー: ユーザーの初回国

条件

ユーザー: ユーザーの初回国

説明

この国を初めて使用するユーザーかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの初回国」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-241 ユーザー: ユーザーの初回国

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回ですか。

ユーザーがこの国を初めて使用している場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

この条件を使用して、ステータスとは関係なくユーザーがこの国から初めてログインしているかどうかを判断します。この条件は「ユーザー: ユーザーの初回国」条件とは異なります。これは、この条件はステータスとは関係ありませんが、「ユーザー: ユーザーの初回国」条件にはステータス「成功」が必要であるためです。

この条件を使用して、ユーザーが1つまたは複数の異なる国からログインしているかどうかを判断し、該当する場合、ユーザーにチャレンジできる可能性があります。

B.9.43 ユーザー: グループの初回国

次の表に、条件に関する一般情報を示します。

表B-242 ユーザー: グループの初回国

条件

ユーザー: グループの初回国

説明

この国が指定された国グループからのこのユーザーに初めて使用されるかどうか。

前提条件

動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

OAAM管理コンソールの「グループ編集者」を使用して、グループを作成するか、このグループ・リストを編集します。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: グループの初回国」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-243 「ユーザー: グループの初回国」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

開始グループ

グループ内

デフォルトはTrueです。

いいえ

国グループ内の国

これは、国が含まれるグループのリストです。ルールの「条件」タブに、国グループのドロップダウン・リストが表示されます。OAAM管理コンソールの「グループ編集者」を使用して、グループを作成するか、このグループ・リストを編集します。

「OAAM監視中の国」または「OAAM制限付き国」

いいえ

この条件を使用して、ユーザーが国のグループ内の国からログインしているかどうかを判断し、該当する場合、ユーザーにチャレンジできる可能性があります。

グループ作成の詳細は、第12章「グループの管理」を参照してください。

B.9.44 ユーザー: ユーザーの初回都道府県

次の表に、条件に関する一般情報を示します。

表B-244 ユーザー: ユーザーの初回都道府県

条件

ユーザー: ユーザーの初回都道府県

説明

ユーザーが以前この都道府県を正常に使用したかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの初回都道府県」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-245 「ユーザー: ユーザーの初回都道府県」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回

この都道府県が以前に使用されていた場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザーが以前この都道府県から正常にログインしたかどうかを確認します。ステータスは「成功」である必要があります。

B.9.45 ユーザー: ユーザーの初回都道府県

次の表に、条件に関する一般情報を示します。

表B-246 ユーザー: ユーザーの初回都道府県

条件

ユーザー: ユーザーの初回都道府県

説明

この都道府県を初めて使用するユーザーかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの初回都道府県」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-247 「ユーザー: ユーザーの初回都道府県」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

これは、ユーザーがこの都道府県を初めて使用する場合のデフォルトの戻り値を定義するブール型パラメータです。

デフォルトはTrueです。

いいえ

この条件を使用して、ステータスとは関係なくユーザーがこの都道府県を使用して初めてログインしているかどうかを判断します。

この条件を使用して、ユーザーが1つまたは複数の異なる都道府県からログインしているかどうかを判断し、該当する場合、ユーザーにチャレンジできる可能性があります。

B.9.46 ユーザー: ユーザーの初回市区町村

次の表に、条件に関する一般情報を示します。

表B-248 ユーザー: ユーザーの初回市区町村

条件

ユーザー: ユーザーの初回市区町村

説明

ユーザーが以前この市区町村を正常に使用したかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの初回市区町村」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-249 「ユーザー: ユーザーの初回市区町村」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回

この市区町村が以前に正常に使用されていた場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザーが以前この市区町村から正常にログインしたかどうかを確認します。ステータスは「成功」である必要があります。

B.9.47 ユーザー: ユーザーの初回市区町村

次の表に、条件に関する一般情報を示します。

表B-250 ユーザー: ユーザーの初回市区町村

条件

ユーザー: ユーザーの初回市区町村

説明

この市区町村を初めて使用するユーザーかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの初回市区町村」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-251 「ユーザー: ユーザーの初回市区町村」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

ユーザーが以前この市区町村からログインしていた場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

この条件では、ユーザーが以前この市区町村からログインしたかどうかを確認します。

B.9.48 ユーザー: 初回ログイン

次の表に、条件に関する一般情報を示します。

表B-252 ユーザー: 初回ログイン

条件

ユーザー: 初回ログイン

説明

ユーザーが初回ログインであるかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

B.9.49 ユーザー: 初回IPキャリア

次の表に、条件に関する一般情報を示します。

表B-253 ユーザー: 初回IPキャリア

条件

ユーザー: 初回IPキャリア

説明

このIPキャリアを初めて使用するユーザーかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 初回IPキャリア」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-254 「ユーザー: 初回IPキャリア」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

IPキャリアが指定したものである場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザーが以前このIPキャリアを使用して正常にログインしたかどうかを確認します。ステータスは「成功」である必要があります。

B.9.50 ユーザー: ユーザーの初回IP

次の表に、条件に関する一般情報を示します。

表B-255 ユーザー: ユーザーの初回IP

条件

ユーザー: ユーザーの初回IP

説明

ユーザーが以前このIPを正常に使用したかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの初回IP」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-256 「ユーザー: ユーザーの初回IP」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回

IPが以前に使用されたかどうかを確認します。

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザーが以前このIPアドレスから正常にログインしたかどうかを確認します。ステータスは「成功」である必要があります。

B.9.51 ユーザー: ユーザーの初回ISP

次の表に、条件に関する一般情報を示します。

表B-257 ユーザー: ユーザーの初回ISP

条件

ユーザー: ユーザーの初回ISP

説明

ユーザーが以前このISPを正常に使用したかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの初回ISP」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-258 ユーザー: ユーザーの初回ISP

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回

このISPが以前に正常に使用されていた場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザーが以前このインターネット・サービス・プロバイダを使用して正常にログインしたかどうかを確認します。ステータスは「成功」である必要があります。

ユーザーがこのインターネット・サービス・プロバイダを使用してログインしたことがない場合、ルールがトリガーされます。

B.9.52 ユーザー: 初回ログイン時間の確認

次の表に、「ユーザー: 初回ログイン時間の確認」条件に関する一般情報を示します。

表B-259 ユーザー: 初回ログイン時間の確認

条件

ユーザー: 初回ログイン時間の確認

説明

ユーザーが範囲内に初回ログインしたどうかを確認します。初回ログインは、初回の成功ログインです。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 初回ログイン時間の確認」パラメータ

次の表には、「ユーザー: 初回ログイン時間の確認」条件のパラメータの概要が示されています。

表B-260 「ユーザー: 初回ログイン時間の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次の範囲内の初回ログイン

初回ログインで監視する値。

デフォルトは3です。

いいえ

時間単位

「次の範囲内の初回ログイン」パラメータに関連付けられる時間単位。

構成されている時間単位をtime.unit.enumプロパティから選択します。

「ミリ秒」、「秒」、「分」、「時間」、「日」、「週」、「月」、「年」

いいえ

次より前

初回ログインが指定期間の前であるかどうかを確認します。

FalseまたはTrue

いいえ

B.9.53 ユーザー: 初回ASN

次の表に、「ユーザー: 初回ASN」条件に関する一般情報を示します。

表B-261 ユーザー: 初回ASN

条件

ユーザー: 初回ASN

説明

このASNを初めて使用するユーザーかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 初回ASN」パラメータ

次の表には、「ユーザー: 初回ASN」条件のパラメータの概要が示されています。

表B-262 ユーザー: 初回ASN

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

これは、ユーザーがこのASNを初めて使用する場合のデフォルトの戻り値を定義するブール型パラメータです。

デフォルトはTrueです。

いいえ

この条件を使用して、ユーザーが以前このASNを使用して正常にログインしたかどうかを確認します。ステータスは「成功」である必要があります。

B.9.54 ユーザー: ユーザーの初回キャリア

次の表に、「ユーザー: ユーザーの初回キャリア」条件に関する一般情報を示します。

表B-263 ユーザー: ユーザーの初回キャリア

条件

ユーザー: ユーザーの初回キャリア

説明

ユーザーが以前このキャリアを正常に使用したかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの初回キャリア」パラメータ

次の表には、「ユーザー: ユーザーの初回キャリア」条件のパラメータの概要が示されています。

表B-264 ユーザー: ユーザーの初回キャリア

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回

このキャリアが以前に正常に使用されていた場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

True

いいえ

この条件を使用して、ユーザーが以前このキャリアを使用して正常にログインしたかどうかを確認します。ステータスは「成功」である必要があります。

B.9.55 ユーザー: 最大国数

次の表に、「ユーザー: 最大国数」条件に関する一般情報を示します。

表B-265 ユーザー: ユーザーの初回キャリア

条件

ユーザー: 最大国数

説明

指定期間内の国の数。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 最大国数」パラメータ

次の表には、「ユーザー: 最大国数」条件のパラメータの概要が示されています。

表B-266 「ユーザー: 最大国数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より大きい

監視する最大国数。特定のステータスでの期間内の国数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

いいえ

期間範囲(秒)

ユーザー・セッション履歴を見直す期間(秒数)。

[整数]

デフォルトは3600です。

正の整数は、この条件によって、このリクエストより前の一定の時間が検索されることを示します。0値は、この条件によりセッションの使用可能な履歴すべてが検索されることを意味します。このパラメータに負の値が指定されると、条件は常にfalseに評価されます。

いいえ

認証ステータス

認証ステータス

認証ステータスはauth.status.enumを介して構成されます。

例:

- ブロック済

- ロック済

- データベース・エラー

- 期限切れパスワード

- 無効なユーザー

- 保留中

- アクティブ化保留中

- 期限切れセッション

- 再利用セッション

- 成功

- システム・エラー

- ユーザーが無効です

- 不正な回答

- 不正なパスワード

- 不正なPin

いいえ

B.9.56 ユーザー: 最大都道府県数

次の表に、「ユーザー: 最大都道府県数」条件に関する一般情報を示します。

表B-267 ユーザー: 最大都道府県数

条件

ユーザー: 最大都道府県数

説明

指定期間内の都道府県の数。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 最大都道府県数」パラメータ

次の表には、「ユーザー: 最大都道府県数」条件のパラメータの概要が示されています。

表B-268 「ユーザー: 最大都道府県数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より大きい

監視する最大都道府県数。都道府県数が期間内のこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

いいえ

期間範囲(秒)

ユーザー・セッション履歴を見直す期間(秒数)。

[整数]

デフォルトは3600です。

正の整数は、この条件によって、このリクエストより前の一定の時間が検索されることを示します。0値は、この条件によりセッションの使用可能な履歴すべてが検索されることを意味します。このパラメータに負の値が指定されると、条件は常にfalseに評価されます。

いいえ

認証ステータス

認証ステータス

認証ステータスはauth.status.enumを介して構成されます。

例:

- ブロック済

- ロック済

- データベース・エラー

- 期限切れパスワード

- 無効なユーザー

- 保留中

- アクティブ化保留中

- 期限切れセッション

- 再利用セッション

- 成功

- システム・エラー

- ユーザーが無効です

- 不正な回答

- 不正なパスワード

- 不正なPin

いいえ

B.9.57 ユーザー: 最大市区町村数

次の表に、「ユーザー: 最大市区町村数」条件に関する一般情報を示します。

表B-269 ユーザー: 最大市区町村数

条件

ユーザー: 最大市区町村数

説明

指定期間内の市区町村の数です。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 最大市区町村数」パラメータ

次の表には、「ユーザー: 最大市区町村数」条件のパラメータの概要が示されています。

表B-270 「ユーザー: 最大市区町村数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より大きい

監視する最大市区町村数。特定の認証ステータスでの期間内の市区町村数がこの数を超える場合、条件がトリガーされます。

デフォルトは3です。

いいえ

期間範囲(秒)

ユーザー・セッション履歴を見直す期間(秒数)。

デフォルトは3600です。

いいえ

認証ステータス

確認する認証ステータス。

認証ステータスはauth.status.enumプロパティを介して構成されます。

いいえ

この条件を使用して、ユーザーが特定の認証ステータスで期間内にログインした市区町村数を確認します。

B.9.58 ユーザー: 期間内の最大ロケーション数

次の表に、「ユーザー: 期間内の最大ロケーション数」条件に関する一般情報を示します。

表B-271 ユーザー: 期間内の最大ロケーション数

条件

ユーザー: 期間内の最大ロケーション数

説明

指定期間内の最大ロケーション数。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 期間内の最大ロケーション数」パラメータ

次の表には、「ユーザー: 期間内の最大ロケーション数」条件のパラメータの概要が示されています。

表B-272 ユーザー: 期間内の最大ロケーション数

パラメータ

説明

使用可能な値

nullに設定可能かどうか

ロケーション属性

ロケーション特性。

たとえば、次のようなロケーション属性が使用されます。

- ASN

- Carrier

- 接続タイプ

- ISP

- 第2レベル・ドメイン

- トップ・レベル・ドメイン

いいえ

次より大きい

監視する最大ロケーション数。特定の期間内のロケーション属性内のロケーション数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

いいえ

期間範囲(秒)

ユーザー・セッション履歴を見直す期間(秒数)。

[整数]

デフォルトは3600です。

正の整数は、この条件によって、このリクエストより前の一定の時間が検索されることを示します。0値は、この条件によりセッションの使用可能な履歴すべてが検索されることを意味します。このパラメータに負の値が指定されると、条件は常にfalseに評価されます。

いいえ

B.9.59 ユーザー: 時間内の最大IP数

次の表に、「ユーザー: 時間内の最大IP数」条件に関する一般情報を示します。

表B-273 ユーザー: 時間内の最大IP数

条件

ユーザー: 時間内の最大IP数

説明

指定期間内の最大IP数。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 時間内の最大IP数」パラメータ

次の表には、「ユーザー: 時間内の最大IP数」条件のパラメータの概要が示されています。

表B-274 「ユーザー: 時間内の最大IP数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次より大きい

監視する最大IPアドレス数。IPアドレス数が期間内のこの数を超える場合、条件はtrueに評価されます。

デフォルトは3です。

いいえ

範囲

期間内。

デフォルトは3600です。

いいえ

時間

「範囲」パラメータに関連付けられる時間単位。

構成されている時間単位を列挙time.unit.enumから選択します。

選択肢: 「ミリ秒」、「秒」、「分」、「時間」、「日」、「週」、「月」、「年」

いいえ

B.9.60 ユーザー: ユーザーの国失敗件数

次の表に、「ユーザー: ユーザーの国失敗件数」条件に関する一般情報を示します。

表B-275 ユーザー: ユーザーの国失敗件数

条件

ユーザー: ユーザーの国失敗件数

説明

特定の国のユーザーの失敗件数を確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ユーザーの国失敗件数」パラメータ

次の表には、「ユーザー: ユーザーの国失敗件数」条件のパラメータの概要が示されています。

表B-276 「ユーザー: ユーザーの国失敗件数」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

初回国ですか。

この国が以前に使用されなかった場合に、この条件がtrueまたはfalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

次を超える失敗件数

範囲(秒)内に監視する最大失敗回数。範囲(秒)内の失敗回数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは2です。

いいえ

秒

経過秒数。

デフォルトは3600です。

いいえ

エラーの場合の戻り値

エラーが発生した場合に返す値。

デフォルトはFalseです。

はい

この条件を使用して、ユーザーが同一国からログインに失敗(間違ったパスワードを入力)した回数を確認します。

B.9.61 ユーザー: ログイン件数の確認

次の表に、「ユーザー: ログイン件数の確認」条件に関する一般情報を示します。

表B-277 ユーザー: ログイン件数の確認

条件

ユーザー: ログイン件数の確認

説明

指定期間内のユーザー・ログイン件数を確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ログイン件数の確認」パラメータ

次の表には、「ユーザー: ログイン件数の確認」条件のパラメータの概要が示されています。

表B-278 「ユーザー: ログイン件数の確認」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

現在のユーザーのみをチェックしますか。

現在のユーザーを確認する条件。

デフォルトはTrueです。

いいえ

認証ステータス

アカウント・ステータス。

使用可能な値は次のとおりです。

- ブロック済

- データベース・エラー

- 無効なユーザー

- ロック済

- 期限切れパスワード

- 保留中

- アクティブ化保留中

- 有効期限切れのセッション

- 再使用されたセッション

- 成功

- システム・エラー

- 無効なユーザー

- 不正な回答

- 不正なPIN

- 不正なパスワード

いいえ

秒

経過秒数

デフォルトは3600です。

いいえ

次を超えるログイン

監視する最大ログイン回数。ログイン回数がこの数を超える場合、条件はtrueに評価されます。

デフォルトは5です。

いいえ

エラーの場合の戻り値

エラーが発生した場合に返す値。

デフォルトはFalseです。

はい

現在のリクエストを検討するかを考慮

現在のリクエストを検討するかどうか。

デフォルトはFalseです。

はい

指定期間内のユーザー・ログイン件数を確認する場合、この条件を使用します。

B.9.62 ユーザー: 最終ログイン・ステータス

次の表に、「ユーザー: 最終ログイン・ステータス」条件に関する一般情報を示します。

表B-279 ユーザー: 最終ログイン・ステータス

条件

ユーザー: 最終ログイン・ステータス

説明

ユーザーのログイン・ステータスが指定されたリストにあるかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 最終ログイン・ステータス」パラメータ

次の表には、「ユーザー: 最終ログイン・ステータス」条件のパラメータの概要が示されています。

表B-280 「ユーザー: 最終ログイン・ステータス」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

時間内の最終ログイン

ログイン時からの期間。

デフォルトは4です。

いいえ

時間

「時間内の最終ログイン」パラメータに関連付けられる時間単位。

時間単位は列挙time.unit.enumの単位です。

選択肢: 「ミリ秒」、「秒」、「分」、「時間」、「日」、「週」、「月」、「年」

いいえ

次にステータスを持つログインの無視

このグループ内の認証ステータスを持つログインを無視します。

認証ステータス・グループ

次に最終ログイン・ステータスがある場合にトリガー

確認する認証ステータスのリスト。

認証ステータス

B.9.63 ユーザー: 指定時間内の最終ログイン

次の表に、「ユーザー: 指定時間内の最終ログイン」条件に関する一般情報を示します。

表B-281 ユーザー: 指定時間内の最終ログイン

条件

ユーザー: 指定時間内の最終ログイン

説明

指定時間内の最終ログインを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 指定時間内の最終ログイン」パラメータ

次の表には、「ユーザー: 指定時間内の最終ログイン」条件のパラメータの概要が示されています。

表B-282 「ユーザー: 指定時間内の最終ログイン」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

期間範囲(秒)

このパラメータは、最後のログイン試行が行われた期間を定義します。

デフォルトは30です。

いいえ

異なるIPからですか。

異なるIPからのログインである場合に、デフォルトの戻り値をtrueまたはfalseのいずれにするかを決定するブール型パラメータ。

デフォルトはFalseです。

いいえ

B.9.64 ユーザー: ログイン時間の確認

次の表に、「ユーザー: ログイン時間の確認」条件に関する一般情報を示します。

表B-283 ユーザー: ログイン時間の確認

条件

ユーザー: ログイン時間の確認

説明

ユーザーのログイン時間が指定された時間内かどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: ログイン時間の確認」パラメータ

次の表には、「ユーザー: ログイン時間の確認」条件のパラメータの概要が示されています。

表B-284 「ユーザー: ログイン時間の確認」条件のパラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

トリガー

「トリガー」パラメータがTrueに設定されている場合は、条件が満たされると、ルール条件がトリガーされます。

「トリガー」パラメータがFalseに設定されている場合は、条件が満たされない場合のみ、ルール条件がトリガーされます。

デフォルトはTrueです。

いいえ

次以上の時間(0-23)

時間の下限で、0から23までの値。

デフォルトは9です。

いいえ

次未満の時間(0-23)

該当日の時間の上限で、0から23までの値。

デフォルトは18です。

いいえ

B.9.65 ユーザー: 指定時刻間のログイン時間

次の表に、「ユーザー: 指定時刻間のログイン時間」条件に関する一般情報を示します。

表B-285 ユーザー: 指定時刻間のログイン時間

条件

ユーザー: 指定時刻間のログイン時間

説明

指定時刻間のログイン時間。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 指定時刻間のログイン時間」パラメータ

次の表には、「ユーザー: 指定時刻間のログイン時間」条件のパラメータの概要が示されています。

表B-286 ユーザー: 指定時刻間のログイン時間

パラメータ

説明

使用可能な値

nullに設定可能かどうか

開始時間

時間範囲の開始時間

デフォルトは2:00です。

いいえ

終了時間

時間範囲の終了時間

デフォルトは4:00です。

いいえ

ロケーション・ベースのタイム・ゾーンを試行しますか。

タイム・ゾーン

デフォルトはFalseです。

いいえ

この条件では、ユーザーが指定時間範囲内にログインしたかどうかを確認します。

B.9.66 ユーザー: 現在のIPと一致する最終IP

次の表に、「ユーザー: 現在のIPと一致する最終IP」条件に関する一般情報を示します。

表B-287 ユーザー: 現在のIPと一致する最終IP

条件

ユーザー: 現在のIPと一致する最終IP

説明

ユーザーのログインIPアドレスが、前回のログインのIPアドレスと一致するかどうかを確認します。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 現在のIPと一致する最終IP」パラメータ

次の表には、条件におけるパラメータの概要が示されています。

表B-288 「ユーザー: 現在のIPと一致する最終IP」パラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

IPアドレスが一致する場合に、デフォルトの戻り値をtrueまたはfalseのいずれにするかを決定するブール型パラメータ。

デフォルトはFalseです。

いいえ

クラスCは一致するか(IP全体が一致する場合はfalse)。

クラスCのIPアドレス。クラスCの各ネットワーク・アドレスには、24ビットのネットワーク接頭辞(1-1-0に設定された3つの最上位ビットおよび21ビットのネットワーク番号)とその後ろの8ビットのホスト番号が含まれます。

デフォルトはTrueです。

いいえ

期間範囲(秒)

ユーザー・セッション履歴を見直す期間(秒数)。

[整数]

デフォルトは3600です。

正の整数は、この条件によって、このリクエストより前の一定の時間が検索されることを示します。0値は、この条件によりセッションの使用可能な履歴すべてが検索されることを意味します。このパラメータに負の値が指定されると、条件は常にfalseに評価されます。

いいえ

デフォルトの戻り値

ログインが指定期間内に見つからない場合やエラーが発生した場合のデフォルトの戻り値。

[False]/True

いいえ

B.9.67 ユーザー: 期間内のロケーション使用

次の表に、「ユーザー: 期間内のロケーション使用」条件に関する一般情報を示します。

表B-289 ユーザー: 期間内のロケーション使用

条件

ユーザー: 期間内のロケーション使用

説明

ユーザーがこのロケーションを指定された期間内に使用したかどうか。

前提条件

条件自体についてはありませんが、動作が発生するようにするには、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: 期間内のロケーション使用」パラメータ

次の表には、「ユーザー: 期間内のロケーション使用」条件のパラメータの概要が示されています。

表B-290 「ユーザー: 期間内のロケーション使用」条件のパラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

次に一致する

ユーザーがこのロケーションを指定期間内に使用した場合に、この条件がTrueまたはFalseを返す必要があるかどうかを確認します。

デフォルトはTrueです。

いいえ

使用済ロケーション(属性)

ロケーション属性。

使用条件属性は、次のとおりです。

- ASN

- Carrier

- 接続タイプ

- ISP

- 大都市

- 第2レベル・ドメイン

- トップ・レベル・ドメイン

- 市区町村

- 国

- IP routing type

- 都道府県

いいえ

範囲

このパラメータは、ロケーションが使用される短い期間を定義します。

デフォルトは3600です。

いいえ

時間

「範囲」パラメータに関連付けられる時間単位。

時間単位は列挙time.unit.enumの単位です。

選択肢: 「ミリ秒」、「秒」、「分」、「時間」、「日」、「週」、「月」、「年」

いいえ

チェックに必要な最小レコード数

レコード数が満たされているかどうかを確認します。

デフォルトは1です。

いいえ

B.9.68 ユーザー: チェックポイント・スコア

表B-291には、「ユーザー: チェックポイント・スコア」条件に関する一般情報が示されています。

表B-291 ユーザー: チェックポイント・スコア

条件

ユーザー: チェックポイント・スコア

説明

スコアが制限内かどうかを確認します。

前提条件

条件自体についてはありませんが、この条件を使用してルールを構成しておく必要があります。

前提

なし

使用可能バージョン

10.1.4.5

チェックポイント

すべてのチェックポイント。

「ユーザー: チェックポイント・スコア」条件のパラメータ

表B-292には、「ユーザー: チェックポイント・スコア」条件のパラメータが示されています。

表B-292 「ユーザー: チェックポイント・スコア」条件のパラメータ

パラメータ

説明

使用可能な値

nullに設定可能かどうか

チェックポイント(オプション)

チェックポイントのリスト内のチェックポイント。

使用可能な値はprofile.type.enumプロパティを介して構成されます。

はい

次以上のスコア

最小スコア。

デフォルトは500です。

いいえ

および次以下

最大スコア。

デフォルトは1000です。

いいえ

トリガー

「トリガー」パラメータがTrueに設定されている場合は、条件が満たされると、ルール条件がトリガーされます。

「トリガー」パラメータがFalseに設定されている場合は、条件が満たされない場合のみ、ルール条件がトリガーされます。

デフォルトはTrueです。

いいえ

複数実行の場合は、次を選択します

複数実行の場合にスコアを選択します。

次のいずれかを選択します。

- 任意のスコア

- 最後

- 最大スコア

- 最小スコア

いいえ

C OAAMプロパティ

この付録では、必須のOAAMプロパティおよび列挙について説明します。

この章の内容は、次のとおりです。

- C.1項「OAAMプロパティ」

- C.2項「列挙」

C.1 OAAMプロパティ

OAAMプロパティの概要を、後続の項に示します。

C.1.1 エージェント・ケース・プロパティ

表C-1 エージェント・ケース・プロパティ

プロパティ

説明

oaam.customercare.agent.case.allow.userinfo

「エスカレーション済」ステータスではないエージェント・ケースのユーザー情報を有効/無効にします。

oaam.admin.investigator.default.landing.page

oaam.admin.investigator.landing.page2

oaam.admin.investigator.landing.page3

oaam.admin.investigator.default.landing.page=customercare

oaam.admin.investigator.landing.page2=sessions

oaam.admin.investigator.landing.page3=transactionlogs

次のプロパティを使用して、ランディング・ページをケース、セッションまたはトランザクションの検索に変更します。

C.1.2 自動学習プロパティ

表C-2 自動学習プロパティ

プロパティ

説明

vcrypt.tracker.autolearning.enabled

自動学習機能を有効/無効にします。自動学習を機能させるには、このプロパティを常にtrueに設定する必要があります。

vcrypt.tracker.autolearning.use.auth.status.for.analysis

認証パターンを有効/無効にします。認証パターンは、認証(ログイン)関連情報に関連するデータのみを分析するパターンです。TrueまたはFalseに設定できます。

vcrypt.tracker.autolearning.use.tran.status.for.analysis

トランザクション関連パターンを有効にします。トランザクション関連パターンが機能するようにするには、trueに設定します。トランザクション関連パターンは、自動学習のためにトランザクション関連データを分析します。たとえば、電信送金操作を実行しているユーザーをプロファイルするパターンです。

oracle.oaam.transactions.analyzepatterns

トランザクションに対してパターン・データの集合を有効にします。トランザクションについてパターン・データを収集するには、trueに設定します。

vcrypt.bharosa.autolearning.numPriorities

優先度の数としてスレッド・プールの数を作成します。これらのスレッド・プールは、自動学習データの後処理に使用されます。この数値は1より大きい必要があります。

vcrypt.bharosa.autolearning.threadMultiplier

後処理用のスレッドの数を作成します。これらのスレッドは、自動学習データの後処理に使用されるスレッド・プールの一部です。この数値は必ず5以上にしてください。

vcrypt.tracker.autolearnin.enabled

製品レベルのステータスを制御します。値をfalseに設定すると、自動学習の後処理の一部が無効になります。ルールの実行は続行されますが、失効データを使用している場合があります。

vcrypt.tracker.autolearning.use.auth.status.for.analysis

クライアント・コードを変更しない場合に、自動学習の後処理を有効/無効にします。このプロパティをtrueに設定すると、認証タイプがupdateAuthStatusのリクエストについて、その認証リクエストのステータスが「成功」である場合に自動学習処理が実行されます。ただし、ステータスが「成功」でない場合は、自動学習は実行されません。このプロパティをfalseに設定して自動学習ルールを実行すると、失効したデータに対してルールが実行されます。このプロパティがfalseに設定された状態で自動学習ルールが実行され、com.bharosa.vcrypt.tracker.rules.impl.VCryptTrackerAutoLearningImplクラスに対してログ・レベルがdebugに設定されている場合、このプロパティは無効であり、ルールは引き続き実行されるというメッセージがログに書き込まれます。

クライアント・コードによって自動学習APIが明示的にコールされない場合にこのプロパティを使用します。

oracle.oaam.transactions.analyzepatterns

トランザクションに対してパターン・データの集合を有効/無効にします。トランザクションについてパターン・データを収集するには、trueに設定します。

vcrypt.tracker.autolearning.use.tran.status.for.analysis

自動学習(後処理)を実行するが、クライアント・コードは変更しないようにする場合は、このプロパティを有効にします。このプロパティをtrueに設定すると、updateTransactionStatusのリクエストについて、そのトランザクション・リクエストのステータスが「成功」である場合に自動学習処理が実行されます。ただし、ステータスが「成功」でない場合は、自動学習は実行されません。このプロパティをfalseに設定して自動学習ルールを実行すると、失効したデータに対してルールが実行されます。このプロパティがfalseに設定された状態で自動学習ルールを実行し、com.bharosa.vcrypt.tracker.rules.impl.VCryptTrackerAutoLearningImplクラスに対してログ・レベルがdebugに設定されている場合、このプロパティは無効であり、ルールは引き続き実行されるというメッセージがログに書き込まれます。

vcrypt.tracker.autolearning.use.synchronous.execution.for.pattern.analysis

パターン分析が同期モードで行われるかどうかを制御します。trueに設定された場合、パターン分析は同期的に実行されます。すべてのパターン・データの更新は同じupdateStatusコールの一部として実行されるため、updateAuthStatusまたはupdateTransactionStatusコールでは完了までにより長い時間がかかる場合があります。

vcrypt.tracker.autolearning.update.entity.profile.for.auth.patterns

エンティティのプロファイルの更新をパターン分析の一部として有効/無効にします。

bharosa.menu.queries.entities

履歴データを表示するためのメニュー項目をOAAM管理コンソールに表示する必要があるかどうかを決定します。

bharosa.arm.pagetitle.queries.entities.patternworkflow

パターン履歴データのメニューのデフォルト位置です。この履歴データ・ページを使用して、パターン・データ収集が適切に機能しているかどうかを確認します。

C.1.3 構成可能なアクション・プロパティ

表C-3 構成アクション・プロパティ

プロパティ

説明

dynamicactions.enabled

trueに設定すると、構成可能なアクションが有効になります。

com.bharosa.vcrypt.tracker.dynamicactions.impl.CaseCreationAction

ケースの作成アクション

com.bharosa.vcrypt.tracker.dynamicactions.impl.AddToListConfigurableAction

リストに追加アクション

C.1.4 カスタマ・ケア・プロパティ

表C-4 カスタマ・ケア・プロパティ

プロパティ

説明

customercare.case.expirybehavior.enum.csrcase.behavior = expiry

customercare.case.expirybehavior.enum.csrcase.label = Expired

customercare.case.expirybehavior.enum.csrcase.durationInHrs = 24

customercare.case.expirybehavior.enum.csrcase.resetonaccess = false

CSRケースの有効期限動作を設定します。

customercare.case.expirybehavior.enum.csrcase.behavior = none

CSRケースの有効期限動作を無効にします。

oaam.permission.creatagentcase=oaam.perm.create.case.type.csr

エージェント・ケースを作成するための調査担当者のアクセスを許可します。

oaam.permission.creatagentcase=oaam.perm.create.case.type.csr

エージェント・ケースへのCSRのアクセスを許可します。

customercare.case.actiontype.enum.accesscase.description

「ログ」タブの「ノート」列のユーザーが追加したものではないノートの値は、デフォルトで英語で表示されます。

ノートはアクションの列挙のノート・フィールド(プロパティ)から取得されます。そのプロパティの値はデータベースに(ノートとして)保存されます。保存された後は、ユーザーはそのデータを変更できません。

導入によって、列挙プロパティのノートをローカライズされた値にカスタマイズできます。

Access caseは、oaam_resources.propertiesファイル内にあります。

customercare.case.actiontype.enum.accesscase.description=Access case

ケース作成/アクセス・ロジックでは、そのポイントより後のレコードの作成にその文字列を使用します。

customercare.case.expirybehavior.enum.agentcase.behavior

customercare.case.expirybehavior.enum.agentcase.label

customercare.case.expirybehavior.enum.agentcase.durationInHrs

customercare.case.expirybehavior.enum.agentcase.resetonaccess

エージェント・ケースの有効期限/期限超過動作を設定します。

customercare.case.expirybehavior.enum.agentcase.behavior = overdue

customercare.case.expirybehavior.enum.agentcase.label = Overdue

customercare.case.expirybehavior.enum.agentcase.durationInHrs = 24

customercare.case.expirybehavior.enum.agentcase.resetonaccess = true

customercare.case.expirybehavior.enum.agentcase.behavior

customercare.case.expirybehavior.enum.agentcase.behavior = none

エージェント・ケースの期限超過/有効期限動作を無効にします。

customercare.case.autostatuschange.enum.flowone.enabled

trueに設定すると、ケース・ステータスの自動変更が有効になります。

customercare.case.autostatuschange.enum.flowone.enabled

falseに設定すると、ケース・ステータスの自動変更が無効になります。

customercare.case.autostatuschange.enum.flowone

customercare.case.autostatuschange.enum.flowone.name

onecustomercare.case.autostatuschange.enum.flowone.description

onecustomercare.case.autostatuschange.enum.flowone.enabled

customercare.case.autostatuschange.enum.flowone.from

customercare.case.autostatuschange.enum.flowone.to

customercare.case.autostatuschange.enum.flowone=1

customercare.case.autostatuschange.enum.flowone.name=Flow

onecustomercare.case.autostatuschange.enum.flowone.description=Status flow

onecustomercare.case.autostatuschange.enum.flowone.enabled=true

customercare.case.autostatuschange.enum.flowone.from=new

customercare.case.autostatuschange.enum.flowone.to=pending

構成可能なアクションにより、「新規」のステータスでケースを作成します。ケースが開かれると、ステータスは「保留中」に変更されます。アクセスされた場合にこれらのケースが「新規」から「保留中」に自動的に変更されるように、プロパティがデフォルトでそれらの値に構成されます。

customercare.case.autostatuschange.enum.flowtwo

customercare.case.autostatuschange.enum.flowtwo.name

customercare.case.autostatuschange.enum.flowtwo.description

customercare.case.autostatuschange.enum.flowtwo.enabled

customercare.case.autostatuschange.enum.flowtwo.from

customercare.case.autostatuschange.enum.flowtwo.to

customercare.case.autostatuschange.enum.flowtwo.casetype

customercare.case.autostatuschange.enum.flowtwo=2

customercare.case.autostatuschange.enum.flowtwo.name=Flow Two

customercare.case.autostatuschange.enum.flowtwo.description=Status flow two

customercare.case.autostatuschange.enum.flowtwo.enabled=true

customercare.case.autostatuschange.enum.flowtwo.from=escalated

customercare.case.autostatuschange.enum.flowtwo.to=pending

customercare.case.autostatuschange.enum.flowtwo.casetype=agent

エスカレーション済ケースには「エスカレーション済」のケース・ステータスが付きます。ケースが開かれると、ステータスは「保留中」に変更されます。アクセスされた場合にケースが「エスカレーション済」から「保留中」に自動的に変更されるように、プロパティがデフォルトで構成されます。

oaam.comparetrx.max.rows.allowed

oaam.comparetrx.max.rows.allowed=10

トランザクションの比較用に選択されるトランザクション行の数を制限します。

oaam.generic.idmshellrhs.tab.width

oaam.generic.idmshellrhs.tab.width=400

IDMシェルの右側の幅

oaam.customercare.linksessions.max.rows.allowed

oaam.customercare.linksessions.max.rows.allowed=25

エージェント・ケースにリンクするセッション行の数を制限します。

oaam.admin.investigator.default.landing.page

oaam.admin.investigator.landing.page2

oaam.admin.investigator.landing.page3

oaam.admin.investigator.landing.showhometab

oaam.admin.investigator.default.landing.page=customercare

oaam.admin.investigator.landing.page2=sessions

oaam.admin.investigator.landing.page3=transactionlogs

oaam.admin.investigator.landing.showhometab=false

調査担当者のデフォルトのランディング・ページ

oaam.admin.csr.default.landing.page

oaam.admin.csr.default.landing.page=customercare

CSRのデフォルトのランディング・ページであり、taskflowId (oaam.menu.enum)を指します。

oaam.utility.max.filter.items.allowed

oaam.utility.max.filter.items.allowed=15

タグ付きパネル下にあるフィルタ・アイテムの最大数

oaam.utility.filter.isconjuctionall

oaam.utility.filter.isconjuctionall=true

ユーティリティ・フィルタ・アイテムの論理積タイプ(allまたはany)

oaam.utility.filter.timerange.default

oaam.utility.filter.timerange.default=oneday

ユーティリティ・フィルタのデフォルト時間範囲: oaam.session.filter.timerange.enum

oaam.customercare.agent.case.allow.userinfo

oaam.customercare.agent.case.allow.userinfo=false

(「エスカレーション済」ステータスではない)エージェント・ケースのユーザー情報を有効/無効にします。

customercare.case.agent.landingtf.access

customercare.case.csr.landingtf.access

customercare.case.agent.landingtf.access=oaam.perm.do.case.agent.landingtf

customercare.case.csr.landingtf.access=oaam.perm.do.case.csr.landingtf

CSRおよび調査担当者のランディング・ページの高レベル権限

bharosa.multitenant.boolean

マルチテナント・デプロイメントに対してOAAM管理コンソールのアクセス制御を有効にするには、bharosa.multitenant.booleanプロパティをtrueに設定する必要があります。デフォルトでは、値はfalseに設定されています。

C.1.5 データベース・アクティビティ

表C-5 データベース・アクティビティ

プロパティ

説明

bharosa.db.query.performance.warning.threshold.ms

プロパティがゼロに設定されている場合、すべてのSQLが出力されます。

oracle.oaam.allentitycache.lifetime.min

5

このプロパティは変更しないでください。

oracle.oaam.allentitycache.monitor.sec

30

このプロパティは変更しないでください。

oracle.oaam.autolearning.allentities.counts.cache.enabled

true

このプロパティは変更しないでください。

C.1.6 デバイス登録プロパティ

表C-6は、サーバー上のすべてのアプリケーションでデバイス登録を有効にするプロパティを示します。この登録をアプリケーション別に有効化するには、前の各プロパティ名で「default」を適切なappIdに置換します。

表C-6 デバイス登録プロパティ

プロパティ

説明

bharosa.uio.default.registerdevice.enabled

デバイス登録を有効化します。プロパティをtrueに設定すると、チャレンジ・ページの下部にテキストおよびチェック・ボックスが追加されます。チャレンジされたユーザーは、チェック・ボックスおよびテキストを使用して現在のデバイスを登録できます(まだ登録されていない場合)。そのユーザーについてそのデバイスがすでに登録されている場合は、ユーザーがユーザー・プリファレンスでデバイスを登録解除しないかぎり、オプションは表示されません。

bharosa.uio.default.userpreferences.unregister.this.enabled

ユーザーがユーザー・プリファレンスで現在のデバイスを登録解除できるようにします。

bharosa.uio.default.userpreferences.unregister.all.enabled

ユーザーがユーザー・プリファレンスですべてのデバイスを登録解除できるようにします。

bharosa.tracker.send.devideId

プロパティがtrueに設定されると、ネイティブ統合におけるデバイス登録が有効になり、データを取得できます。

C.1.7 デジタル・フィンガープリント・プロパティ

表C-7 デジタル・フィンガープリント・プロパティ

プロパティ

説明

bharosa.uio.default.device.identification.scheme

カスタム・デジタル・フィンガープリントを使用するには、取得するデジタル・フィンガープリントのタイプにこのプロパティを設定します。

次に例を示します。

bharosa.uio.default.device.identification.scheme=applet

注意: FlashがOAAMにおけるデフォルトのデジタル・フィンガープリントとして設定されます。

C.1.8 暗号化されたデータ・マスキング・プロパティ

表C-8 暗号化されたデータ・マスキング・プロパティ

プロパティ

説明

oaam.transaction.encrypted.data.mask.suffix.length

マスク解除される文字数を表示します。デフォルト長は3です。

oaam.transaction.encrypted.data.mask.char

暗号化されたトランザクション・データを表すマスク文字を示します。たとえば、プロパティを********に設定します。

oaam.transaction.encrypted.data.mask

trueに設定すると、暗号化されたトランザクション・データのマスキングがグローバルに有効になります。

oaam.transaction.encrypted.data.unmask.perm

ロール・レベルでマスキングを有効/無効にするための権限です。

C.1.9 暗号化

表C-9 暗号化プロパティ

プロパティ

説明

bharosa.cipher.encryption.algorithm.system.default

異なる暗号化タイプに切り替えます。

keystorepasswd

キーストアを開くためのパスワード

keystorealiaspasswd

キーストアで別名(キー)を読み込むためのパスワード

keyFile

keyFile=soap_key.file

キーが含まれるファイル。AESに含まれるキーはバイナリである可能性があることに注意してください。また、3DESのようなアルゴリズムではキーに最低24文字が必要であることに注意してください

keystorefilename

keystorefilename=system_soap.keystore

キーストア・ファイル名

keystorealias

keystorealias=vcrypt.soap.call.passwd

キーストアの別名です。

vcrypt.soap.auth.keystorePassword=<Base64でエンコードされたキーストア・パスワード>

vcrypt.soap.auth.aliasPassword=<Based64でエンコードされた別名に対するパスワード>

vcrypt.soap.auth.username=<SOAPサービスにアクセスするよう構成されたユーザー>

vcrypt.soap.auth.keystoreFile=system_soap.keystore

oaam_custom.propertiesに追加するエンコードされたパスワードおよび認証ユーザー名を含むプロパティです。

C.1.10 エンティティ・プロパティおよびトランザクション・プロパティ

表C-10 エンティティ・プロパティおよびトランザクション・プロパティ

プロパティ

説明

bharosa.trackeradmin.show.transaction.detail

trueに設定すると、「セッション詳細」ページでトランザクションを表示できます。

falseに設定すると、トランザクションの表示が無効になります。

oaam.admin.detail.ip.enabled

oaam.admin.detail.user.enabled

oaam.admin.detail.device.enabled

oaam.admin.detail.fingerprint.enabled

oaam.admin.detail.alert.enabled

oaam.admin.detail.challengecount.enabled

詳細ページを使用できるようにします。

oaam.transaction.mapping.startindex.min

このプロパティを0に設定すると、文字列の先頭の文字からサブストリング操作が開始されます。

C.1.11 ファジー・ロジック

表C-11 ファジー・ロジック・プロパティ

プロパティ

説明

bharosa.authenticator.EnableMatchScore

ナレッジベース認証(KBA)でファジー・ロジック機能を選択的に有効/無効にします。

C.1.12 グループ・プロパティ

表C-12 グループ・プロパティ

プロパティ

説明

admin.group.userid.maxlength

ログインIDに入力する最大長を大きくすることができます。デフォルトは255です。

admin.group.name.maxlength 255

ユーザーIDに入力する最大長を大きくすることができます。デフォルトは255です。

admin.group.genstring.maxlength

「汎用文字列」フィールドに入力する最大長を大きくすることができます。

C.1.13 調査プロパティ

表C-13 調査プロパティ

プロパティ

説明

bharosa.trackeradmin.show.transaction.detail

trueに設定すると、「セッション詳細」ページでトランザクションを表示できます。

プロパティをfalseに設定すると、トランザクションの表示が無効になります。

oaam.customercare.agent.case.allow.userinfo

(「エスカレーション済」ステータスではない)エージェント・ケースのユーザー情報の表示を有効/無効にします。

oaam.admin.investigator.default.landing.page=customercare

oaam.admin.investigator.landing.page2=sessions

oaam.admin.investigator.landing.page3=transactionlogs

プロパティを使用してランディング・ページをケース、セッションまたはトランザクションの検索に変更します。

incrementCacheCounter

rule.action.enumでtrueに設定して、ユーザーにより実行される様々なアクションを各アクションの集計件数とともに、ユーザー詳細のプロファイル・データで使用できるようにします。

C.1.14 KBAプロパティ

表C-14 KBAプロパティ

プロパティ

説明

bharosa.kba.active

trueに設定すると、KBAが有効になります。

bharosa.config.type.kba_config.enum.regQuestionsCount.validation.minValue

bharosa.config.type.kba_config.enum.regQuestionsCount.validation.maxValue

ユーザーが登録する質問の最大および最小限度を指定します。

bharosa.config.type.kba_config.enum.regQuestionsCount.validation.minValue=3

bharosa.config.type.kba_config.enum.regQuestionsCount.validation.maxValue=7

セキュリティを提供しながらユーザーが記憶する負担が過剰にならないようにするには、3から7の間に設定します。KBAの基本的な業界標準は、3つの登録済質問です。

challenge.question.registration.groups.minimum.questions.per.category.count

challenge.question.registration.groups.categories.count

challenge.question.registration.groups.questions.count

challenge.question.registration.groups.count

challenge.question.registration.groups.maxlimit

OAAMサーバーにおける質問のリストを制御します。

challenge.question.registration.groups.minimum.questions.per.category.count =1

challenge.question.registration.groups.categories.count=5

challenge.question.registration.groups.questions.count=5

challenge.question.registration.groups.count=3

challenge.question.registration.groups.maxlimit=5

C.1.15 モバイル・プロパティ

表C-15 モバイル・プロパティ

プロパティ

説明

oaam.admin.detail.mobile.enabled

モバイル・フィールドを無効にします。

falseに設定すると、ユーザー・インタフェースでこれらのフィールドが非表示になります。デプロイメントでモバイル・アクセスがサポートされている場合は、このプロパティを有効にします。そうでない場合は、falseに設定します。

C.1.16 オフライン・スケジューラ・プロパティ

表C-16 オフライン・スケジューラ・プロパティ

プロパティ

説明

vcrypt.reports.scheduler.activate

ジョブが実行される/されないように、スケジューラを有効/無効にします。

デフォルトでは、プロパティはfalseに設定されています。ジョブを作成することはできますが、プロパティがtrueに変更されるまでジョブは実行されません。

C.1.17 OTPプロパティ

表C-17 OTPプロパティ

プロパティ

説明

bharosa.uio.default.ums.integration.webservice

http://UMS_Server_URL:UMS_Port/ucs/messaging/webservice

UMSサーバーのWebサービスURL

bharosa.uio.default.ums.integration.parlayx.endpoint

http://UMS_Server_URL:UMS_Port/sdpmessaging/parlayx/SendMessageService

UMSサーバーのParlayXエンドポイントURL

bharosa.uio.default.ums.integration.useParlayX

False

Webサービスまたはparlayx APIの使用を構成します。値はデフォルトでfalseです(Webサービス推奨)。

bharosa.uio.default.ums.integration.userName

UMSサーバーのユーザー名

bharosa.uio.default.ums.integration.password

UMSサーバーのパスワード

bharosa.uio.default.ums.integtaion.policies

UMS認証ポリシー

bharosa.uio.default.ums.integration.fromAddress

demo@example.com

OTPメッセージ用のOAAM送信元アドレス

bharosa.uio.default.ums.integration.message.status.poll.attempts

3

待機ページが表示されるたびにステータス・ポーリングを試みる回数

bharosa.uio.default.ums.integration.message.status.poll.delay

1000

待機ページが表示されているときのステータス・ポーリング間の遅延

bharosa.uio.default.ums.integration.sleepInterval

10000

bharosa.uio.default.ums.integration.deliveryPage.delay

3000

bharosa.uio.default.challenge.type.enum.ChallengeSMS

2

SMSチャレンジの列挙値

bharosa.uio.default.challenge.type.enum.ChallengeSMS.name

SMSチャレンジ

SMSチャレンジ・タイプの名前

bharosa.uio.default.challenge.type.enum.ChallengeSMS.description

SMSチャレンジ

SMSチャレンジ・タイプの説明

bharosa.uio.default.challenge.type.enum.ChallengeSMS.processor

com.bharosa.uio.processor.challenge.ChallengeSMSProcessor

SMSチャレンジ・タイプのプロセッサ・クラス

このタイプのチャレンジを処理するためのJavaクラスを指定します。チャレンジ・メカニズムはJavaクラスを通じてカスタマイズ可能です。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

bharosa.uio.default.challenge.type.enum.ChallengeSMS.requiredInfo

mobile

SMSチャレンジ・タイプでユーザーにチャレンジするための必須フィールド

登録入力列挙からの入力のカンマ区切りリスト

bharosa.uio.default.challenge.type.enum.ChallengeSMS.available

SMSチャレンジ・タイプを使用可能にします。

チャレンジ・タイプが使用可能(サービスが準備され構成されている)かどうかを指定します。OTPチャレンジ・タイプを有効/無効にするには、可用性フラグを設定する必要があります。

bharosa.uio.default.challenge.type.enum.ChallengeSMS.otp

true

SMSチャレンジ・タイプのOTPプロパティ

bharosa.uio.default.challenge.type.enum.ChallengeEmail

1

電子メール・チャレンジの列挙値

bharosa.uio.default.challenge.type.enum.ChallengeEmail.name

電子メール・チャレンジ

電子メール・チャレンジ・タイプの名前

bharosa.uio.default.challenge.type.enum.ChallengeEmail.description

電子メール・チャレンジ

電子メール・チャレンジ・タイプの説明

bharosa.uio.default.challenge.type.enum.ChallengeEmail.processor

com.bharosa.uio.processor.challenge.ChallengeEmailProcessor

電子メール・チャレンジ・タイプのプロセッサ・クラス

このタイプのチャレンジを処理するためのJavaクラスを指定します。チャレンジ・メカニズムはJavaクラスを通じてカスタマイズ可能です。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

bharosa.uio.default.challenge.type.enum.ChallengeEmail.requiredInfo

電子メール

電子メール・チャレンジ・タイプでユーザーにチャレンジするための必須フィールド

登録入力列挙からの入力のカンマ区切りリスト

bharosa.uio.default.challenge.type.enum.ChallengeEmail.available

false

電子メール・チャレンジ・タイプを使用可能にします。

チャレンジ・タイプが使用可能(サービスが準備され構成されている)かどうかを指定します。OTPチャレンジ・タイプを有効/無効にするには、可用性フラグを設定する必要があります。

bharosa.uio.default.challenge.type.enum.ChallengeEmail.otp

true

電子メール・チャレンジ・タイプのOTPプロパティ

bharosa.uio.default.userinfo.inputs.enum.terms

4

ご使用条件の列挙値

bharosa.uio.default.userinfo.inputs.enum.terms.name

ご使用条件

「ご使用条件」チェック・ボックスの名前

bharosa.uio.default.userinfo.inputs.enum.terms.description

ご使用条件

「ご使用条件」チェック・ボックスの説明

bharosa.uio.default.userinfo.inputs.enum.terms.inputname

terms

「ご使用条件」チェック・ボックスのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.terms.inputtype

checkbox

「ご使用条件」チェック・ボックスのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.terms.values

true

登録およびユーザー・プリファレンスにおける「ご使用条件」チェック・ボックスの必須値

bharosa.uio.default.userinfo.inputs.enum.terms.maxlength

40

「ご使用条件」チェック・ボックスのHTML入力の最大長

bharosa.uio.default.userinfo.inputs.enum.terms.required

true

登録およびユーザー・プリファレンスにおける「ご使用条件」チェック・ボックスの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.terms.order

5

「ご使用条件」チェック・ボックスのページにおける順序

bharosa.uio.default.userinfo.inputs.enum.terms.enabled

true

「ご使用条件」列挙項目の有効フラグ

bharosa.uio.default.userinfo.inputs.enum.terms.regex

.+

「ご使用条件」チェック・ボックスの検証用の正規表現

bharosa.uio.default.userinfo.inputs.enum.terms.errorCode

otp.invalid.terms

「ご使用条件」の検証が失敗した場合にエラー・メッセージを取得するためのエラー・コード

bharosa.uio.default.userinfo.inputs.enum.terms.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ記憶域からご使用条件を保存/取得するために使用するJavaクラス

bharosa.uio.default.userinfo.inputs.enum.mobile

0

携帯電話の列挙値

bharosa.uio.default.userinfo.inputs.enum.mobile.name

携帯電話

「携帯電話」フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.mobile.description

携帯電話

「携帯電話」フィールドの説明

bharosa.uio.default.userinfo.inputs.enum.mobile.inputname

cell number

「携帯電話」フィールドのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.mobile.inputtype

text

「携帯電話」フィールドのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.mobile.maxlength

15

「携帯電話」フィールドのHTML入力の最大長

bharosa.uio.default.userinfo.inputs.enum.mobile.required

true

登録およびユーザー・プリファレンスにおける「携帯電話」フィールドの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.mobile.order

1

「携帯電話」フィールドのページにおける順序

bharosa.uio.default.userinfo.inputs.enum.mobile.enabled

true

「携帯電話」列挙項目の有効フラグ

bharosa.uio.default.userinfo.inputs.enum.mobile.regex

\\D?(\\d{3})\\D?\\D?(\\d{3})\\D?(\\d{4})

「携帯電話」フィールドの検証用の正規表現

bharosa.uio.default.userinfo.inputs.enum.mobile.errorCode

otp.invalid.mobile

「携帯電話」エントリの検証が失敗した場合にエラー・メッセージを取得するためのエラー・コード

bharosa.uio.default.userinfo.inputs.enum.mobile.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ記憶域から携帯電話を保存/取得するために使用するJavaクラス

bharosa.uio.default.userinfo.inputs.enum.mobile2

2

携帯電話の列挙値

bharosa.uio.default.userinfo.inputs.enum.mobile2.name

携帯電話2

「携帯電話」フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.mobile2.description

携帯電話2

「携帯電話」フィールドの説明

bharosa.uio.default.userinfo.inputs.enum.mobile2.inputname

cell number 2

「携帯電話」フィールドのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.mobile2.inputtype

text

「携帯電話」フィールドのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.mobile2.maxlength

15

「携帯電話」フィールドのHTML入力の最大長

bharosa.uio.default.userinfo.inputs.enum.mobile2.required

true

登録およびユーザー・プリファレンスにおける「携帯電話」フィールドの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.mobile2.order

2

「携帯電話」フィールドのページにおける順序

bharosa.uio.default.userinfo.inputs.enum.mobile2.enabled

true

「携帯電話」列挙項目の有効フラグ

bharosa.uio.default.userinfo.inputs.enum.mobile2.regex

\\D?(\\d{3})\\D?\\D?(\\d{3})\\D?(\\d{4})

「携帯電話」フィールドの検証用の正規表現

bharosa.uio.default.userinfo.inputs.enum.mobile2.errorCode

otp.invalid.mobile

「携帯電話」エントリの検証が失敗した場合にエラー・メッセージを取得するためのエラー・コード

bharosa.uio.default.userinfo.inputs.enum.mobile2.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ記憶域から携帯電話を保存/取得するために使用するJavaクラス

bharosa.uio.default.userinfo.inputs.enum.mobile2

2

携帯電話の列挙値

bharosa.uio.default.userinfo.inputs.enum.mobile2.name

携帯電話2

「携帯電話」フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.mobile2.description

携帯電話2

「携帯電話」フィールドの説明

bharosa.uio.default.userinfo.inputs.enum.mobile2.inputname

cell number 2

「携帯電話」フィールドのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.mobile2.inputtype

text

「携帯電話」フィールドのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.mobile2.maxlength

15

「携帯電話」フィールドのHTML入力の最大長

bharosa.uio.default.userinfo.inputs.enum.mobile2.required

true

登録およびユーザー・プリファレンスにおける「携帯電話」フィールドの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.mobile2.order

2

「携帯電話」フィールドのページにおける順序

bharosa.uio.default.userinfo.inputs.enum.mobile2.enabled

true

「携帯電話」列挙項目の有効フラグ

bharosa.uio.default.userinfo.inputs.enum.mobile2.regex

\\D?(\\d{3})\\D?\\D?(\\d{3})\\D?(\\d{4})

「携帯電話」フィールドの検証用の正規表現

bharosa.uio.default.userinfo.inputs.enum.mobile2.errorCode

otp.invalid.mobile

「携帯電話」エントリの検証が失敗した場合にエラー・メッセージを取得するためのエラー・コード

bharosa.uio.default.userinfo.inputs.enum.mobile2.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ記憶域から携帯電話を保存/取得するために使用するJavaクラス

bharosa.uio.default.userinfo.inputs.enum.email

1

「電子メール・アドレス」の列挙値

bharosa.uio.default.userinfo.inputs.enum.email.name

電子メール・アドレス

「電子メール・アドレス」フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.email.description

電子メール・アドレス

「電子メール・アドレス」フィールドの説明

bharosa.uio.default.userinfo.inputs.enum.email.inputname

email

「電子メール・アドレス」フィールドのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.email.inputtype

text

「電子メール・アドレス」フィールドのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.email.maxlength

40

「電子メール・アドレス」フィールドのHTML入力の最大長

bharosa.uio.default.userinfo.inputs.enum.email.required

true

登録およびユーザー・プリファレンスにおける「電子メール・アドレス」フィールドの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.email.order

2

「電子メール・アドレス」フィールドのページにおける順序

bharosa.uio.default.userinfo.inputs.enum.email.enabled

false

「電子メール・アドレス」列挙項目の有効フラグ

bharosa.uio.default.userinfo.inputs.enum.email.regex

.+@[a-zA-Z_]+?\\.[a-zA-Z]{2,3}

「電子メール・アドレス」フィールドの検証用の正規表現

bharosa.uio.default.userinfo.inputs.enum.email.errorCode

otp.invalid.email

「電子メール・アドレス」エントリの検証が失敗した場合にエラー・メッセージを取得するためのエラー・コード

bharosa.uio.default.userinfo.inputs.enum.email.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ記憶域から電子メール・アドレスを保存/取得するために使用するJavaクラス

bharosa.uio.default.userinfo.inputs.enum.email2

2

「電子メール・アドレス」の列挙値

bharosa.uio.default.userinfo.inputs.enum.email2.name

電子メール・アドレス2

「電子メール・アドレス」フィールドの名前

bharosa.uio.default.userinfo.inputs.enum.email2.description

電子メール・アドレス2

「電子メール・アドレス」フィールドの説明

bharosa.uio.default.userinfo.inputs.enum.email2.inputname

email2

「電子メール・アドレス」フィールドのHTML入力名

bharosa.uio.default.userinfo.inputs.enum.email2.inputtype

text

「電子メール・アドレス」フィールドのHTML入力タイプ

bharosa.uio.default.userinfo.inputs.enum.email2.maxlength

40

「電子メール・アドレス」フィールドのHTML入力の最大長

bharosa.uio.default.userinfo.inputs.enum.email2.required

true

登録およびユーザー・プリファレンスにおける「電子メール・アドレス」フィールドの必須フラグ

bharosa.uio.default.userinfo.inputs.enum.email2.order

2

「電子メール・アドレス」フィールドのページにおける順序

bharosa.uio.default.userinfo.inputs.enum.email2.enabled

false

「電子メール・アドレス」列挙項目の有効フラグ

bharosa.uio.default.userinfo.inputs.enum.email2.regex

.+@[a-zA-Z_]+?\\.[a-zA-Z]{2,3}

「電子メール・アドレス」フィールドの検証用の正規表現

bharosa.uio.default.userinfo.inputs.enum.email2.errorCode

otp.invalid.email

「電子メール・アドレス」エントリの検証が失敗した場合にエラー・メッセージを取得するためのエラー・コード

bharosa.uio.default.userinfo.inputs.enum.email2.managerClass

com.bharosa.uio.manager.user.DefaultContactInfoManager

データ記憶域から電子メール・アドレスを保存/取得するために使用するJavaクラス

bharosa.uio.default.userinfo.inputs.enum.mobile.name

携帯電話

「携帯電話」フィールドの名前

bharosa.uio.default.register.userinfo.enabled

OTPチャネルが有効化されていて登録が必要な場合に、プロファイル登録ページを有効/無効にします。

bharosa.uio.default.userpreferences.userinfo.enabled

OTPチャネルが有効化されていてプリファレンス設定が許可されている場合に、プリファレンスの設定機能を有効/無効にします。

「ユーザー・プリファレンス」ページを使用して、ユーザーは、イメージ/フレーズ、チャレンジ質問の変更、デバイスの登録解除およびOTPプロファイルの更新を実行できます。

bharosa.uio.default.challenge.type.enum.ChallengeSMS.available

ショート・メッセージ・サービス(SMS)チャレンジ・タイプを有効にします。

これにより、ポリシーで、SMS経由のOTPを使用してチャレンジを行うことができるようになります。

bharosa.uio.default.messages.enum.terms.name

ご使用条件

bharosa.uio.default.messages.enum.terms.description

ご使用条件のプレースホルダ・テキスト

bharosa.uio.default.messages.enum.privacy.name

プライバシ・ポリシー

bharosa.uio.default.messages.enum.privacy.description

プライバシ・ポリシーのプレースホルダ・テキスト

C.1.18 ポリシー・プロパティ、ルール・プロパティおよび条件プロパティ

表C-18 ポリシー・プロパティ、ルール・プロパティおよび条件プロパティ

プロパティ

説明

vcrypt.tracker.rules.trace.policySet.XXXXXX

ルールをログに記録するチェックポイントを指定します。そのチェックポイントに対してvcrypt.tracker.rules.trace.policySet.XXXXXXがTrueに設定されていることを確認してください。(XXXXはそのチェックポイントに対応します)

vcrypt.tracker.rules.allowControlledActions

アクション・オーバーライド機能を有効/無効にします。この機能は、デフォルトでは無効です。

C.1.19 プロパティ・エディタ・プロパティ

表C-19 プロパティ・エディタ・プロパティ

プロパティ

説明

bharosa.config.ui.list.filter.enum

falseに設定すると、プロパティ・エディタに列挙がリストされます。

C.1.20 プロキシ・プロパティ

表C-20 プロキシ・プロパティ

プロパティ

説明

vcrypt.tracker.ip.detectProxiedIP

このプロパティをtrueに設定すると、X-Forwarded-For IPの使用が有効になります。OAAMでは、デフォルトではヘッダーIPを使用しません。

bharosa.uio.proxy.mode.flag

アプリケーションがOAAMプロキシ・ソリューションにより保護されず、UIOに対する要求をOAAMサーバーからOAAM管理システムにプロキシできないことを示します。プロキシ・モードにするには、trueに設定します。OAAMサーバーはデフォルトで、フラグがfalseに設定され、非プロキシ・モードになるように構成されます。

C.1.21 SOAP構成プロパティ

表C-21 SOAP Webサービス・アクセス・プロパティ

プロパティ

説明

vcrypt.soap.auth

オーセンティケータのHTTP認証を無効または有効にするには、次のプロパティをtrue (有効)またはfalse (無効)に設定します。

vcrypt.tracker.soap.url

SOAPサーバー側URL。この設定は、アプリケーションが通信するWebサービスのロケーションです。

vcrypt.common.util.vcryptsoap.impl.classname

アプリケーションに対して、OAAMサービスと交換するSOAPメッセージを作成するときに使用するライブラリを指定します。

使用可能なオプションはcom.bharosa.vcrypt.common.impl.VCryptSOAPGenericImplです。

vcrypt.soap.call.timeout

SOAPコール・タイムアウト(ミリ秒単位)

keystorepasswd

キーストアを開くためのパスワード

keystorealiaspasswd

キーストアで別名(キー)を読み込むためのパスワード

keyFile=

キーが含まれるファイル。AESに含まれるキーはバイナリである可能性があることに注意してください。また、3DESのようなアルゴリズムではキーに最低24文字が必要であることに注意してくださいたとえば、keyFile=soap_key.fileなどです。

keystorefilename

keystorefilename=system_soap.keystore

キーストア・ファイル名

keystorealias

keystorealias=vcrypt.soap.call.passwd

キーストア別名

vcrypt.soap.auth.keystorePassword=<Base64でエンコードされたキーストア・パスワード>

vcrypt.soap.auth.aliasPassword=<Based64でエンコードされた別名に対するパスワード>

vcrypt.soap.auth.username=<SOAPサービスにアクセスするよう構成されたユーザー>

vcrypt.soap.auth.keystoreFile=system_soap.keystore

oaam_custom.propertiesに追加するエンコードされたパスワードおよび認証ユーザー名を含むプロパティです。

C.1.22 ステータス: アカウント・ステータス・プロパティ

アカウント・ステータスは、グローバル化された値です。基本定義はoaam_core.properties内にありますが、名前および説明はoaam_resources.propertiesのものが使用されています。文字列をオーバーライドするには、OAAM拡張WARファイル内のclient_resource_locale.propertiesファイルに値を追加する必要があります。

表C-22 アカウント・ステータス

プロパティ

説明

vcrypt.user.account.status.enum.pending_activation.name

アクティブ化保留中

ユーザーは登録を開始しましたが、まだ完了していません。ユーザー名とパスワードが入力され、情報がデータベースに格納されましたが、登録が完了するまでそのユーザーはアクティブ化されません。ユーザーはシステム内で使用可能になっていますが、まだアクティブではなく、何の操作も実行できません。

vcrypt.user.account.status.enum.active.name

アクティブ

ユーザーはアクティブで、システム内で使用可能になっています。ユーザーは登録を完了し、すべての操作を実行できます。

vcrypt.user.account.status.enum.disabled.name

無効

ユーザーはシステム内で使用可能ですが、アクティブになっていません。ユーザーは不正行為などの理由で無効にされ、操作を実行できなくなっている可能性があります。

vcrypt.user.account.status.enum.deleted.name

削除済

ユーザーはシステム内で使用不可になっています。

vcrypt.user.account.status.enum.invalid.name

無効

ユーザー名が無効です。

C.1.23 ステータス: 認証ステータス

認証ステータスは、グローバル化された値です。基本定義はoaam_core.properties内にありますが、名前および説明はoaam_resources.propertiesのものが使用されています。文字列をオーバーライドするには、OAAM拡張WARファイル内のclient_resource_locale.propertiesファイルに値を追加する必要があります。

表C-23 認証ステータス

プロパティ

説明

auth.status.enum.success.name

成功

ユーザーは正常に認証されています。

auth.status.enum.invalid_user.name

無効なユーザー

ユーザー名が無効であっため、システム内では使用できません。

auth.status.enum.wrong_password.name

不正なパスワード

ユーザーによって不正なパスワードが入力されました。ユーザー名は正しく入力されましたが、パスワードが正しくありませんでした。

auth.status.enum.wrong_pin.name

不正なPIN

ユーザーがPINをパスワードとして使用しているときに、PINが正しく入力されませんでした。

auth.status.enum.session_expired.name

期限切れセッション

ユーザーはアプリケーションにログインした後、一定時間無効のままにしました。ユーザーがアプリケーションを再利用しようとすると、セッションが有効期限切れであることを示すメッセージが表示されます。ユーザーは再度ログインする必要があります。

auth.status.enum.session_reused.name

再利用セッション

セッションが有効期限切れになった後にユーザーが正常にログインすると、ステータスは期限切れセッションから再利用セッションに変更されます。

auth.status.enum.user_disabled.name

無効化されたユーザー

ユーザーはシステム内で使用可能でしたが、様々な理由によってシステム内で無効になっていました。ユーザー名は有効ですが、ユーザーは無効です。

auth.status.enum.pending_activation.name

アクティブ化保留中

ユーザーは登録をまだ完了していません。

auth.status.enum.wrong_answer.name

不正な回答

ユーザーがチャレンジ質問に対して不正な回答を入力しました。

auth.status.enum.db_error.name

データベース・エラー

ユーザーによるデータベース操作の実行時に、エラーが発生しました。

auth.status.enum.system_error.name

システム・エラー

ユーザーによるアプリケーションの使用時に、エラーが発生しました。

auth.status.enum.block.name

ブロック済

ユーザーが「ブロック済」になるのは、ポリシーの特定の条件がtrueになり、そのポリシーがこのような条件にブロック・アクションで応答するように設定されている場合です。該当する条件が変更されると、ユーザーは「ブロック済」ではなくなる場合があります。「ブロック済」ステータスは必ずしも永続的なものではないため、解決に管理者のアクションを必要としない場合があります。たとえば、ユーザーがブロックされた原因が、ブロックされる国からログインしたことである場合、出国後は「ブロック済」ではなくなる可能性があります。

auth.status.enum.challenge_block.name

ロック済

「ロック済」は、ユーザーがチャレンジに失敗した場合にOracle Adaptive Access Managerによって設定されるステータスです。ユーザーが正しい回答を入力しようとするときに許容再試行回数を超えると、アカウントは「ロック済」になります。その後、再度そのアカウントを使用してシステムに入るには、カスタマ・サービス担当がステータスを「ロック解除」にリセットする必要があります。

auth.status.enum.pending.name

保留中

ユーザーはアプリケーションにログインし、登録を完了しましたが、フロー全体を実行しませんでした。

auth.status.enum.expired_password.name

期限切れパスワード

ユーザーのパスワードの有効期限が切れました。

C.1.24 ステップアップ認証プロパティ

表C-24 ステップアップ認証プロパティ

プロパティ

説明

oaam.uio.oam.integration.stepup.enabled

Access ManagerとOAAM TAPとの統合におけるステップアップ・ユース・ケースを無効にするには、このプロパティをfalseに設定する必要があります。

C.1.25 タイム・ゾーン・プロパティ

表C-25 タイム・ゾーン - アメリカ、カナダおよび大西洋

プロパティ

説明

oaam.adf.timezone

ユーザー・インタフェースのすべてのタイムスタンプで使用されるタイム・ゾーンを設定するには、プロパティ・エディタを使用してoaam.adf.timezoneを目的のタイム・ゾーンに設定します。

例:

oaam.adf.timezone = Atlantic/Reykjavik

oaam.adf.timezone = Pacific/Midway

oaam.adf.timezone = America/Anchorage

タイム・ゾーンは次のとおりです。

Pacific/Midway (GMT-11:00)ミッドウェー - サモア時間(ST)

Pacific/Pago_Pago (GMT-11:00)パゴパゴ - サモア時間(ST)

Pacific/Honolulu (GMT-10:00)ホノルル - ハワイ時間(HT)

Pacific/Fiji (GMT+12:00)フィジー - フィジー時間(FJT)

oaam.adf.timezone

America/Anchorage (GMT-09:00)アラスカ時間(AKT)

America/Tijuana (GMT-08:00)ティファナ - 太平洋標準時(PT)

America/Vancouver (GMT-08:00)バンクーバー - 太平洋標準時(カナダ)(PT)

America/Los_Angeles (GMT-08:00)ロサンゼルス - 太平洋標準時(PT)

America/Chihuahua (GMT-07:00)チワワ - メキシコ時間2 (MT)

America/Denver (GMT-07:00)デンバー - 山地標準時(MT)

America/Edmonton (GMT-07:00)山地標準時

カナダ(MT)

America/Panama (GMT-05:00)パナマ - 東部標準時(ET)

America/Montreal (GMT-05:00)モントリオール - 東部標準時(カナダ)(ET)

America/New_York (GMT-05:00)ニューヨーク - 東部標準時(ET)

America/Puerto_Rico (GMT-04:00)プエルトリコ - 大西洋標準時(AT)

America/Halifax (GMT-04:00)カナダ大西洋標準時(AT)

America/Santiago (GMT-04:00)サンティアゴ - チリ時間(CLT)

America/Caracas (GMT-04:00)カラカス - ベネズエラ時間(VET)

America/Godthab (GMT-03:00)ゴットホープ - 西グリーンランド時間(WGT)

America/Argentina/Buenos_Aires (GMT-03:00)ブエノス・アイレス - アルゼンチン時間(ART)

America/Sao_Paulo (GMT-03:00)サンパウロ - ブラジリア時間(BRT)

America/St_Johns (GMT-03:30)セント・ジョーンズ - ニューファンドランド時間(NT)

America/Noronha (GMT-02:00)ノローニャ - フェルナンド・ド・ノローニャ島時間(FNT)

Atlantic/Azores (GMT-01:00)アゾレス - アゾレス時間(AZOT)

Atlantic/Cape_Verde (GMT-01:00)カーボベルデ - カーボベルデ時間(CVT)

表C-26 タイム・ゾーン - ヨーロッパ、アフリカおよび大西洋

プロパティ

説明

oaam.adf.timezone

Europe/Dublin (GMT+00:00)ダブリン - グリニッジ標準時(GMT)

(GMT+00:00)ロンドン - グリニッジ標準時(GMT)

Etc/UTC (GMT+00:00)協定世界時(UTC)

Africa/Casablanca (GMT+00:00)カサブランカ - 西部ヨーロッパ時間(WET)

Europe/Lisbon (GMT+00:00)リスボン - 西部ヨーロッパ時間(WET)

Africa/Nouakchott (GMT+00:00)ヌアクショット - グリニッジ標準時(GMT)

Atlantic/Reykjavik (GMT+00:00)レイキャビク - グリニッジ標準時(GMT)

Europe/Prague (GMT+01:00)プラハ - 中央ヨーロッパ時間(CET)

Europe/Budapest (GMT+01:00)ブダペスト - 中央ヨーロッパ時間(CET)

Europe/Madrid (GMT+01:00)マドリード - 中央ヨーロッパ時間(CET)

Europe/Vienna (GMT+01:00)ウィーン - 中央ヨーロッパ時間(CET)

Africa/Algiers (GMT+01:00)アルジェ - 中央ヨーロッパ時間(CET)

Africa/Lagos (GMT+01:00)ラゴス - 西部アフリカ時間(WAT)

Europe/Belgrade (GMT+01:00)ベオグラード - 中央ヨーロッパ時間(CET)

Europe/Oslo (GMT+01:00)オスロ - 中央ヨーロッパ時間(CET)

Europe/Rome (GMT+01:00)ローマ - 中央ヨーロッパ時間(CET)

Africa/Tunis (GMT+01:00)チュニス - 中央ヨーロッパ時間(CET)

Europe/Stockholm (GMT+01:00)ストックホルム - 中央ヨーロッパ時間(CET)

Europe/Copenhagen (GMT+01:00)コペンハーゲン - 中央ヨーロッパ時間(CET)

Europe/Tirane (GMT+01:00)チラネ - 中央ヨーロッパ時間(CET)

Europe/Zurich (GMT+01:00)チューリッヒ - 中央ヨーロッパ時間(CET)

Europe/Paris (GMT+01:00)パリ - 中央ヨーロッパ時間(CET)

Europe/Berlin (GMT+01:00)ベルリン - 中央ヨーロッパ時間(CET)

Europe/Warsaw (GMT+01:00)ワルシャワ - 中央ヨーロッパ時間(CET)

Europe/Amsterdam (GMT+01:00)アムステルダム - 中央ヨーロッパ時間(CET)

Europe/Brussels (GMT+01:00)ブリュッセル - 中央ヨーロッパ時間(CET)

Europe/Luxembourg (GMT+01:00)ルクセンブルク - 中央ヨーロッパ時間(CET)

Europe/Bucharest (GMT+02:00)ブカレスト - 東部ヨーロッパ時間(EET)

表C-27 タイム・ゾーン - アジア、ヨーロッパおよびアフリカ

プロパティ

説明

oaam.adf.timezone

Asia/Nicosia (GMT+02:00)ニコシア - 東部ヨーロッパ時間(EET)

Europe/Kiev (GMT+02:00)キエフ - 東部ヨーロッパ時間(EET)

Europe/Sofia (GMT+02:00)ソフィア - 東部ヨーロッパ時間(EET)

Europe/Riga (GMT+02:00)リガ - 東部ヨーロッパ時間(EET)

Africa/Johannesburg (GMT+02:00)ヨハネスブルグ - 南アフリカ時間(SAT)

Europe/Athens (GMT+02:00)アテネ - 東部ヨーロッパ時間(EET)

Africa/Tripoli (GMT+02:00)トリポリ - 東部ヨーロッパ時間(EET)

Africa/Cairo (GMT+02:00)カイロ - エジプト時間(ET)

Asia/Beirut (GMT+02:00)ベイルート - 東部ヨーロッパ時間(EET)

Europe/Tallinn (GMT+02:00)タリン - 東部ヨーロッパ時間(EET)

Europe/Vilnius (GMT+02:00)ビリニュス - 東部ヨーロッパ時間(EET)

Europe/Helsinki (GMT+02:00)ヘルシンキ - 東部ヨーロッパ時間(EET)

Asia/Amman (GMT+02:00)アンマン - 東部ヨーロッパ時間(EET)

Asia/Damascus (GMT+02:00)ダマスカス - 東部ヨーロッパ時間(EET)

Africa/Harare (GMT+02:00)ハラレ - 中央アフリカ時間(CAT)

Asia/Jerusalem (GMT+02:00)エルサレム - イスラエル時間(IT)

Europe/Istanbul (GMT+02:00)イスタンブール - 東部ヨーロッパ時間(EET)

Africa/Khartoum (GMT+03:00)ハルトゥーム - 東部アフリカ時間(EAT)

Asia/Aden (GMT+03:00)アデン - アラビア時間(AT)

Africa/Mogadishu (GMT+03:00)モガディシオ - 東部アフリカ時間(EAT)

Asia/Baghdad (GMT+03:00)バグダッド - アラビア時間(AT)

Asia/Bahrain (GMT+03:00)バーレーン - アラビア時間(AT)

Africa/Djibouti (GMT+03:00)ジブチ - 東部アフリカ時間(EAT)

Africa/Nairobi (GMT+03:00)ナイロビ - 東部アフリカ時間(EAT)

Europe/Moscow (GMT+03:00)モスクワ - モスクワ時間(MSK)

表C-28 タイム・ゾーン - ヨーロッパおよびアジア

プロパティ

説明

oaam.adf.timezone

Europe/Moscow (GMT+03:00)モスクワ - モスクワ時間(MSK)

Asia/Qatar (GMT+03:00)カタール - アラビア時間(AT)

Asia/Kuwait (GMT+03:00)クウェート - アラビア時間(AT)

Asia/Riyadh (GMT+03:00)リヤド - アラビア時間(AT)

Asia/Tehran (GMT+03:30)テヘラン - イラン時間(IRT)

Asia/Dubai (GMT+04:00)ドバイ - 湾岸時間(GT)

Asia/Baku (GMT+04:00)バクー - アゼルバイジャン時間(AZT)

Asia/Muscat (GMT+04:00)マスカット - 湾岸時間(GT)

Asia/Kabul (GMT+04:30)カブール - アフガニスタン時間(AFT)

Asia/Yekaterinburg (GMT+05:00)エカテリンブルク - エカテリンブルク時間(YEKT)

Asia/Karachi (GMT+05:00)カラチ - パキスタン時間(PKT)

Asia/Tashkent (GMT+05:00)タシケント - ウズベキスタン時間(UZT)

Asia/Kolkata (GMT+05:30)コルカタ - インド時間(IT)

Asia/Colombo (GMT+05:30)コロンボ - スリランカ時間(LKT)

Asia/Katmandu (GMT+05:45)カトマンズ - ネパール時間(NPT)

Asia/Dhaka (GMT+06:00)ダッカ - バングラデシュ時間(BDT)

Asia/Almaty (GMT+06:00)アルマトイ - アルマアタ時間(ALMT)

Asia/Novosibirsk (GMT+06:00)ノボシビルスク - ノボシビルスク時間(NOVT)

Asia/Rangoon (GMT+06:30)ラングーン - ミャンマー時間(MMT)

Asia/Krasnoyarsk (GMT+07:00)クラスノヤルスク - クラスノヤルスク時間(KRAT)

Asia/Ho_Chi_Minh (GMT+07:00)ホーチミン - インドシナ時間(ICT)

Asia/Jakarta (GMT+07:00)ジャカルタ - 西インドネシア時間(WIT)

Asia/Bangkok (GMT+07:00)バンコク - インドシナ時間(ICT)

Asia/Kuala_Lumpur (GMT+08:00)クアラルンプール - マレーシア時間(MYT)

表C-29 タイム・ゾーン - アジア、オーストラリア、太平洋など

プロパティ

説明

oaam.adf.timezone

Asia/Kuala_Lumpur (GMT+08:00)クアラルンプール - マレーシア時間(MYT)

Asia/Shanghai (GMT+08:00)上海 - 中国時間(CT)

Asia/Taipei (GMT+08:00)台北 - 中国時間(CT)

Asia/Irkutsk (GMT+08:00)イルクーツク - イルクーツク時間(IRKT)

Asia/Singapore (GMT+08:00)シンガポール - シンガポール時間(SGT)

Asia/Hong_Kong (GMT+08:00)香港 - 香港時間(HKT)

Asia/Manila (GMT+08:00)マニラ - フィリピン時間(PHT)

Australia/Perth (GMT+08:00)パース - 西部時間(オーストラリア)(WT)

Asia/Yakutsk (GMT+09:00)ヤクーツク - ヤクーツク時間(YAKT)

Asia/Tokyo (GMT+09:00)東京 - 日本時間(JT)

Asia/Seoul (GMT+09:00)ソウル - 韓国時間(KT)

Australia/Adelaide (GMT+09:30)アデレード - 中部標準時(南オーストラリア)(CT)

Australia/Darwin (GMT+09:30)ダーウィン - 中部標準時(ノーザン・テリトリ)(CT)

Asia/Vladivostok (GMT+10:00)ウラジオストク - ウラジオストク時間(VLAT)

Pacific/Guam (GMT+10:00)グアム - チャモロ時間(ChT)

Australia/Hobart (GMT+10:00)ホバート - 東部標準時(タスマニア)(ET)

Australia/Sydney (GMT+10:00)シドニー - 東部標準時(ニューサウスウェールズ)(ET)

Australia/Brisbane (GMT+10:00)ブリスベン - 東部標準時(クイーンズランド)(ET)

Asia/Magadan (GMT+11:00)マガダン - マガダン時間(MAGT)

Pacific/Auckland (GMT+12:00)オークランド - ニュージーランド時間(NZT)

Pacific/Fiji (GMT+12:00)フィジー - フィジー時間(FJT)

Asia/Kamchatka (GMT+12:00)カムチャッカ - ペトロパブロフスクカムチャツキー時間(PETT)

Etc/GMT-12 (GMT+12:00)日付変更線標準時(UTC+12:00)

Pacific/Tongatapu (GMT+13:00)トンガタプ - トンガ時間(TOT)

C.1.26 ユーザー・インタフェース・プロパティ

表C-30 ユーザー・インタフェース・プロパティ

プロパティ

説明

bharosa.uio.default.username.case.sensitive

falseに設定すると、ユーザー名が小文字になります。

デフォルトで、このプロパティはtrueに設定されています。

trueに設定された場合、ユーザー名は常に小文字になります。falseに設定すると、ユーザー名は入力されたとおりに取得されます。

例:

myusername

MyUserName

myUserName

プロパティがtrue (デフォルト)の場合、これらはすべて同じユーザーであり、OAAM管理にmyusernameと表示されます。

プロパティがfalseの場合、これらはすべて異なるユーザーであり、OAAM管理コンソールには入力されたとおりに表示されます。

oaam.export.max.rows.allowed

結果のレポートをMicrosoft Excelにエクスポートするための行選択の最大数を制限します。レポートは、ポリシー、質問、検証、スナップショット、プロパティ、エンティティ、トランザクション、条件、グループ、パターンなどの検索ページの結果です。

fa.default.daterange.in.hours

検索画面のデフォルトの時間範囲

oaam.session.filter.timerange.enum.oneday.typevalue

セッション画面のデフォルトの時間範囲

C.1.27 仮想認証デバイス・プロパティ

表C-31 仮想認証デバイス・プロパティ

プロパティ

説明

bharosa.user.noun.list

bharosa.user.adj.list

次の2つのパラメータを設定して、仮想認証デバイスのフレーズをカスタマイズします。

オーセンティケータ・フレーズはこれらの2つのプロパティにより作成されます。

いずれも単語のカンマ区切りリストです。

例:

actors,age,air,aircraft
abundant,accessible,accommodating

vcrypt.user.image.dirlist.property.name=bharosa.image.dirlist

bharosa.image.dirlist=imagePath

表示されるイメージのプロパティを設定します。bharosa.image.dirlistセットは、認証イメージを作成するときにアプリケーションによって使用されるイメージ・ファイルのロケーションです。ディレクトリには1000個のイメージが含まれます。

bharosa.image.dirlist=/bharosa_images/allpads/textpad/

vcrypt.user.image.dirlist.property.name=bharosa.image.dirlist

bharosa.authentipad.questionpad.datafield.input.type

client_resource_locale.propertiesのプロパティにより、表示されるテキスト入力またはパスワード(非表示)入力に対してQuestionPadが設定されるかどうかが決定されます。

有効な値はtextおよびpasswordです。

bharosa.authentipad.image.url

bharosa.authentipad.image.url=kbimage.jspaction=kbimage&

チャレンジのイメージを表示する場合に使用するURLファイルおよび問合せパラメータを指定します。

bharosa.uio.default.DeviceTextPad.default.image

デフォルトのバックグラウンド・プロパティ

textpad_bg/TP_NCC_bg.jpg

bharosa.authentipad.textpad.datafield.maxLength

25

TextPadが受け入れるパスワードのバイト数を制御します。

vcrypt.caption.assignDefault

falseに設定すると、ユーザーの登録イメージにキャプションを割り当てないようにサーバーに指示されます。

desertref.authentipad.isADACompliant

このADA準拠プロパティをtrueに設定すると、ネイティブ統合でアクセシビリティ対応バージョンの仮想認証デバイスが有効になります。

アクセシビリティ対応バージョンのパッドには、スクリーン・リーダーおよびその他のアシスティブ・テクノロジを使用したナビゲーションで必要なタブ、使用方法およびALTテキストが含まれます。

bharosa.uio.default.authentipad.is_ada_compliant

このADA準拠プロパティをtrueに設定すると、UIOでアクセシビリティ対応バージョンの仮想認証デバイスが有効になります。

アクセシビリティ対応バージョンのパッドには、スクリーン・リーダーおよびその他のアシスティブ・テクノロジを使用したナビゲーションで必要なタブ、使用方法およびALTテキストが含まれます。

bharosa.uio.default.signon.links.enum.wherepassword.enabled

シングル・ログイン・ページを有効化/無効化します。

C.1.28 パフォーマンス

表C-32 パフォーマンス・プロパティ

プロパティ

説明

bharosa.trackernodehistory.enable

デバイスの履歴が不要である場合、プロパティbharosa.trackernodehistory.enableをfalseに設定することによって、デバイスの履歴ロギングを無効にできます。

vcrypt.tracker.rulelog.detailed.minMillis

ルールのしきい値およびロギングを制御します。詳細なロギングは実行時間に依存するため、アラートの実行時間が2000ミリ秒未満である場合、デフォルトでは「セッションの詳細」ページにトリガー・ソースは表示されません。このプロパティを2000に設定します。

tracker.wf.createHourlyEntries

tracker.wf.createDailyEntries

自動学習機能を使用すると、様々なアクターが実行するトランザクションおよび認証を、作成したパターンに基づいて追跡できます。このプロセスで、個人または集団の正常または平均的な動作が確立されます。デフォルトの自動学習は、すぐに使用可能なパターンによって使用されない時間単位または日単位の頻度のデータを収集します。時間単位または日単位のデータを使用するカスタム・パターンがない場合、プロパティをfalseに設定することによって、そのデータ収集を無効にできます。注意: 自動学習を無効にすると、パターン・ベースのリスク分析が実行されなくなります。リスク分析はデータ収集の重要な部分であるため、このことを検討してから自動学習を無効にしてください。

vcrypt.tracker.soap.url

DNSの解決に関する問題を削減するには、SOAPサービスがホストされるOracle Adaptive Access ManagerサーバーのIPアドレスを、vcrypt.tracker.soap.urlプロパティに含まれるOracle Adaptive Access Managerホストの値に指定します。

oaam.oam.oamclient.timeout = 3600

oaam.oam.oamclient.periodForWatcher = 3600

oaam.oam.oamclient.initDelayForWatcher = 3600

oaam.oam.oamclient.minConInPool =10

oaam.uio.oam.num_of_connections = 5

Oracle Access Managerのクライアント・オブジェクト・プールの作成には、これらのプロパティとデフォルト値が使用されます。ログイン数が多い場合は、これらのパラメータに高い値を設定できます。

C.2 列挙

この項には次のトピックが含まれます:

- 新規ケース・ステータスの追加

- 新規アラート・レベルの追加

- ケース・ステータスへの事前に作成したノートの追加

- 新規ケース重大度の追加

- ケース・ステータスの自動変更の構成

- CSRケースの有効期限動作の構成

- エージェント・ケースの有効期限動作の構成

C.2.1 新規ケース・ステータスの追加

この例では、myStatusというステータスが作成されます。customercare.case.status.enum. myStatus =100と示されている最初の行以外のすべての行は、この列挙要素のプロパティです。

表C-33 新規ステータスの列挙

プロパティ

説明と値

customercare.case.status.enum. myStatus

100

既存のケース・ステータス列挙で使用されていない数値を指定します。

customercare.case.status.enum. myStatus.name

myStatus

ステータス名

customercare.case.status.enum. myStatus.description

myStatus

ステータスの説明

customercare.case.status.enum. myStatus.availableactions

1,2,3,4,5,8,9,10,11,102,103

case.action.enumの列挙型数値。この状態のケースに対して実行可能なアクションをシステムに指示します。

customercare.case.status.enum. myStatus.access

oaam.perm.view.case.status.new

このケース・ステータスに対するアクセス権(誰がこの状態のケースにアクセスできるか)の列挙

customercare.case.status.enum. myStatus.order

12

各種ドロップダウン・メニューにケース・ステータスが表示される際に使用される表示順序を指定します。

customercare.case.status.enum. myStatus.display

true

ステータスがインタフェースに表示されるかどうかを指定します。このステータスがユーザー・インタフェースに表示されないようにするには、falseに設定します。

customercare.case.status.enum. myStatus.messagelist

customercare.case.statuschange.message.enum

ステータスが変更された場合に画面に表示されるメッセージのリスト

customercare.case.status.enum. myStatus.notelist

customercare.case.statuschange.new.notes.enum

このステータスで表示される事前に作成したノートのリスト。新規ステータスを定義する場合、新規ノートの列挙を定義します。手順については、「ケース・ステータスへの事前に作成したノートの追加」の項を参照してください。

C.2.2 新規アラート・レベルの追加

新規アラート・レベルを追加するには、アラート・レベルに列挙要素を追加します。「ultralow」アラート・レベルを追加する例を次に示します。

表C-34 新規アラート・レベルの列挙

プロパティ

説明と値

alert.level.enum.ultralow

20000

アラートで使用されていない数値を指定します。

alert.level.enum.ultralow.name

ALERT_ULTRA_LOW

アラート・レベルの名前

alert.level.enum.ultralow.label

Ultra Low

ユーザー・インタフェースで使用されるラベル

alert.level.enum.ultralow.description

Ultra Low alert

アラート・レベルの説明

alert.level.enum.ultralow.color

Magenta

セッションで表示する色

alert.level.enum.ultralow.viewColor

Cyan

アラート画面で表示する色

alert.level.enum.ultralow.order

23

ドロップダウン・メニューで表示する順序

C.2.3 ケース・ステータスへの事前に作成したノートの追加

ケース・ステータスに新規ステータスを追加する場合は、次に示す最初の行で定義されている新規ノートの列挙を定義し、その後、その列挙にノート・オプションを追加する必要があります。これらのオプションは事前に作成したノートとして表示されます。定義した新規ステータス列挙要素で、列挙名をノート列挙として構成する必要があることに注意してください。

表C-35 事前に作成したノートの列挙の追加

プロパティ

説明と値

customercare.case.statuschange.myStatus.notes.enum

My Status Canned Notes

customercare.case.statuschange.myStatus.notes.enum.review

1

customercare.case.statuschange.myStatus.notes.enum.review.name

My Review

customercare.case.statuschange.myStatus.notes.enum.review.description

My review needed

customercare.case.statuschange.myStatus.notes.enum.review.order

1

customercare.case.statuschange.myStatus.notes.enum.other

2

customercare.case.statuschange.myStatus.notes.enum.other.name

その他

customercare.case.statuschange.myStatus.notes.enum.other.description

その他

customercare.case.statuschange.myStatus.notes.enum.other.order

2

C.2.4 新規ケース重大度の追加

ケース重大度の列挙を追加する場合は、それに対応するプロパティを定義する必要があります。superhigh重大度の列挙のサンプルを次に示します。

customercare.case.severity.enum.superhigh=4 // Number that is not used by existing severity enum element.
customercare.case.severity.enum. superhigh.name=Super High //Name
customercare.case.severity.enum. superhigh.description=Super High Severity level // some description
customercare.case.severity.enum. superhigh.image=flag_lg_h.gif // Image file for the icon that displays the severity
customercare.case.severity.enum. superhigh.access=oaam.perm.view.case.severity.high // Access permission to view the cases of high severity // define new if you do not want to resuse the enum
customercare.case.severity.enum. superhigh.order=3 // Order in the drop down menu displays
customercare.case.severity.enum. superhigh.display=true // Whether to display on user interface or not
customercare.case.severity.enum. superhigh.messagelist=customercare.case.severitychange.message.enum // Message to be given when severity change is done
customercare.case.severity.enum. superhigh.notelist=customercare.case.severitychange.high.notes.enum // Canned notes when severity change to this severity happens. You may want to define new here.

C.2.5 ケース・ステータスの自動変更の構成

デフォルトでは、ケース・ステータスの自動変更は有効になっています。プロパティは次のとおりです。

customercare.case.autostatuschange.enum.flowone.enabled=true

ケース・ステータスの自動変更を無効にするには、次のパラメータを設定します。

customercare.case.autostatuschange.enum.flowone.enabled=false

構成可能なアクションによって、「新規」のステータスでケースが作成されます。ケースが開かれると、ステータスは「保留中」に変更されます。

アクセスされると、これらのケースは「新規」から「保留中」に自動的に変更されます。デフォルトの設定は、次のとおりです。

customercare.case.autostatuschange.enum.flowone=1
customercare.case.autostatuschange.enum.flowone.name=Flow
onecustomercare.case.autostatuschange.enum.flowone.description=Status flow onecustomercare.case.autostatuschange.enum.flowone.enabled=true
customercare.case.autostatuschange.enum.flowone.from=new
customercare.case.autostatuschange.enum.flowone.to=pending

エスカレーション済ケースには「エスカレーション済」のケース・ステータスが付きます。ケースが開かれると、ステータスは「保留中」に変更されます。

アクセスされると、これらのケースは「エスカレーション済」から「保留中」に自動的に変更されます。デフォルトの設定は次のとおりです。

customercare.case.autostatuschange.enum.flowtwo=2
customercare.case.autostatuschange.enum.flowtwo.name=Flow Two
customercare.case.autostatuschange.enum.flowtwo.description=Status flow two
customercare.case.autostatuschange.enum.flowtwo.enabled=true
customercare.case.autostatuschange.enum.flowtwo.from=escalated
customercare.case.autostatuschange.enum.flowtwo.to=pending
customercare.case.autostatuschange.enum.flowtwo.casetype=agent

C.2.6 CSRケースの有効期限動作の構成

デフォルト設定では、24時間後にCSRケースの有効期限が切れます。有効期限が切れた後のCSRケースには、CSRはアクセスできません。CSRマネージャは有効期限時間を延長して、CSRがアクセスできるようにする必要があります。

有効期限動作の設定および無効化のためのプロパティを次に示します。

C.2.6.1 CSRケースの有効期限動作の無効化

CSRケースの有効期限動作を無効にするには、次のプロパティを変更します。

customercare.case.expirybehavior.enum.csrcase.behavior = none

C.2.6.2 CSRケースの有効期限動作の設定

注意:

他のパラメータを変更する必要はありません。

CSRケースの有効期限動作(デフォルト設定)を設定するには、次のプロパティを変更します。

customercare.case.expirybehavior.enum.csrcase.behavior = expiry
customercare.case.expirybehavior.enum.csrcase.label = Expired
customercare.case.expirybehavior.enum.csrcase.durationInHrs = 24
customercare.case.expirybehavior.enum.csrcase.resetonaccess = false

C.2.7 エージェント・ケースの有効期限動作の構成

エージェント・ケースのデフォルトの有効期限日は、作成日から24時間です。

デフォルト動作を変更するための情報を次に示します。

C.2.7.1 エージェント・ケースの有効期限動作の無効化

エージェント・ケースの有効期限動作を無効にするには、次に示すとおりに次のプロパティを変更します。

customercare.case.expirybehavior.enum.agentcase.behavior = none

C.2.7.2 エージェント・ケースの有効期限動作の設定

エージェント・ケースの有効期限動作を設定するには、次に示すとおりに次のプロパティを変更します。

注意:

他のパラメータを変更する必要はありません。

customercare.case.expirybehavior.enum.agentcase.behavior = expiry
customercare.case.expirybehavior.enum.agentcase.label = Expired
customercare.case.expirybehavior.enum.agentcase.durationInHrs = 24
customercare.case.expirybehavior.enum.agentcase.resetonaccess = false

C.2.8 エージェント・ケースのアクセス権の構成

デフォルトでは、調査担当者および調査マネージャのみがエージェント・ケースを作成するためのアクセス権を持っています。調査担当者のアクセス権のプロパティはoaam.permission.creatagentcase=oaam.perm.create.case.type.agentです。

CSRにエージェント・ケースへのアクセス権を付与するには、oaam.permission.creatagentcase=oaam.perm.create.case.type.csrのとおりにプロパティを構成します。

プロパティの設定後、CSRにはエージェント・ケースを作成するための完全なアクセス権権が付与されます。

D アーカイブおよびパージ手順の設定

この章では、SQLスクリプトを使用してOAAMデータベースのデータをアーカイブおよびパージする方法について説明します。

この項は、次の項目で構成されています。

- D.1項「概要」

- D.2項「データベースでのスクリプトの設定」

- D.3項「アーカイブ・スクリプトおよびパージ・スクリプトの実行」

- D.4項「パーティション・メンテナンス・スクリプトの実行」

- D.5項「OLTP (オンライン・トランザクション処理)表の最小データ保存ポリシー」

- D.6項「パージ・スクリプトを実行する際のベスト・プラクティス/ガイドライン」

- D.7項「アーカイブおよびパージの対象となるデータの詳細」

- D.8項「関連ストアド・プロシージャのリスト」

D.1 概要

アーカイブおよびパージ・プロセスを利用すると、ルールの評価や不正の調査で不要になったデータを解放できます。

- アーカイブは、メイン・トランザクション表のデータをアーカイブ表に移動するプロセスです。

- パージは、データ増大の問題が原因で、システムで不要になった古いデータを表から削除するプロセスです。
多くの表ではデータ増大の問題が発生しないため、すべての表がパージされるわけではありません。

図D-1 データ増大の問題がないためにパージされない表

「データのパージ」と「データのバックアップ」は異なります。データのバックアップは、データの損失が発生した場合にデータをリカバリすることを目的としています。これに対し、パージは実行時の表に古いデータが存在しないようにすることを目的としています。いずれの場合も、データを保護するには、データベース管理者と協力してデータベースのバックアップを定期的に実行する必要があります。

アーカイブIDM_ORACLE_HOME/oaam/oaam_db_scripts/oaam_db_purging_scripts.zipに用意されているスクリプトを使用して、次のデータをアーカイブまたはパージできます。

- ログインおよびデバイス・データ

- ルール・ログ・データ

- 自動学習データ

- トランザクションおよびエンティティ・データ

- プロファイル・データ

アーカイブおよびパージ基準は、レコードの作成/更新タイムスタンプに基づきます。これは、保存期間(日数)で指定します。

次に、アーカイブおよびパージ・プロセスの概要を示します。

1. 保存期間(通常は180日、つまり6か月)を決定します。

図D-2 保存期間

2. トランザクション機能を使用していて、トランザクション・タイプ別またはエンティティ別に異なる保存期間を指定する場合は、20.6項「トランザクション定義別のトランザクション・データのターゲット・パージ設定」および19.4項「エンティティ・データのターゲット・パージ設定」を参照してください。

3. パージとアーカイブのどちらを行うかを指定します。

図D-3 パージまたはアーカイブの判定

4. パージ関連のストアド・プロシージャをOAAMデータベースにデプロイします。これはワンタイム・ジョブです。

5. どのタイプのデータをアーカイブやパージの対象とするかを指定します。

6. 関連スクリプトを定期的に実行するようにスケジュールしたり、必要なときに手動で実行します。

7. データベース表V_SYS_LOGSでLOG_TYPEが99であるエンティティを確認します。

注意:

ルールの検索対象のデータがパージされている場合、ルールの動作が異なることがあります。たとえば、6か月のデータを検索するルールがあり、9日以前のデータをパージする場合などです。

次のいくつかの項では、これらをさらに詳しく説明します。

D.2 データベースでのスクリプトの設定

OAAMデータのアーカイブやパージを行うには、ワンタイム・スクリプトを設定する必要があります。

D.2.1 非EBRスキーマ

非EBR (エディションベースの再定義)スキーマのOAAMデータベースをインストールしている場合に、スクリプトを設定するには、次の手順を実行します。

1. スクリプト・ディレクトリoaam_purge_scriptを作成します。

2. スクリプト・アーカイブIDM_ORACLE_HOME/oaam/oaam_db_scripts/oaam_db_purging_scripts.zipをスクリプト・ディレクトリに解凍します。

3. sysまたはsysdbaアカウントを使用してデータベースにログインします。

4. ストアド・プロシージャを作成して実行できるよう、OAAMスキーマに次の権限を付与します。

GRANT create any procedure TO schema_name;
GRANT create any table TO schema_name;
GRANT create any index TO schema name;
GRANT create procedure TO schema_name;
GRANT execute any procedure TO schema_name;

5. OAAMユーザー名およびパスワードを使用してOAAMスキーマに接続します。例:

sqlplus oaam_db_user_name/oaam_db_password

6. create_purge_proc.sqlスクリプトを実行します。

SQL> @oracle_db/create_purge_proc.sql

7. ストアド・プロシージャを検証して、エラーがなく有効であること確認します。

D.2.2 EBRスキーマ

エディションベースの再定義(EBR)を利用すると、使用中のOAAMデータベース・コンポーネントをそのままアップグレードして、ダウンタイムを最小限に抑えたり、なくすことができます。

EBRに対応したアーカイブおよびパージ・プロセスを設定するには、次の手順を実行します。

1. sysまたはsysdbaアカウントを使用してデータベースにログインします。

2. OAAMスキーマに次の権限を付与します。

GRANT create any procedure TO SCHEMA_NAME
GRANT create any table TO SCHEMA_NAME
GRANT create any index TO SCHEMA_NAME
GRANT create procedure TO SCHEMA_NAME
GRANT create view TO SCHEMA_NAME
GRANT execute any procedure TO SCHEMA_NAME
ALTER user SCHEMA_NAME enable editions
GRANT use on EDITION ORA$BASE to SCHEMA_NAME
Exit

3. OAAMデータベース・ユーザー名およびパスワードを使用してOAAMスキーマにログインします。
例:

sqlplus oaam_db_user_name/oaam_db_password

4. schema_nameユーザーとしてログインし、create_purge_proc.sqlスクリプトを実行します。

@ oracle_db/oracle_ebr/create_purge_proc.sql EDITION_VERSION

例:

@ /oracle_db/oracle_ebr/create_purge_proc.sql ORA$BASE

5. ストアド・プロシージャを検証して、エラーがなく有効であること確認します。

D.3 アーカイブ・スクリプトおよびパージ・スクリプトの実行

アーカイブ・スクリプトやパージ・スクリプトを実行するには、次の手順を実行します。

1. スクリプトの実行時にテキスト・エディタを使用して、p_days1パラメータとp_archivedパラメータを設定します。どのスクリプトにも、これらの2つのパラメータを設定できます。表D-1に、これらのパラメータの説明を示します。

表D-1 アーカイブとパージのルーチン・パラメータ

変数名

デフォルト値

説明

p_days1

180

保存期間(日数)です。この日数を経過したデータがアーカイブまたはパージされます。

p_archived

Y

YまたはNです(それぞれ、はいといいえを表します)。「Y」を指定した場合は、データは保存期間に基づいて(アーカイブ表に)アーカイブされ、それ以外の場合はパージされます。

2. どのデータをアーカイブまたはパージするかに応じて、実行するスクリプトを選択します。表D-2に、データのタイプとそれぞれに対応するスクリプトの名前を示します。

表D-2 データのタイプ別のアーカイブおよびパージ・スクリプト

データのタイプ

対応するスクリプト

ログイン、デバイス・データ

exec_sp_purge_tracker_data.sql

ルール、ポリシー・ログ・データ

exec_sp_purge_rule_log.sql

トランザクション、エンティティ・データ

exec_sp_purge_txn_log.sql

自動学習データ

exec_sp_purge_workflow_data.sql

プロファイル・データ

exec_sp_purge_profile_data.sql

ケース関連データ

exec_sp_purge_case_data.sql

監視データ

exec_v_monitor_purge_proc.sql

3. OAAMデータベース・ユーザー名およびパスワードを使用してOAAMデータベースにログインし、選択したスクリプトを実行します。

4. 対応するログ・ファイルをチェックして、エラーや警告が発生していないか確認します。

5. アーカイブを行う場合は、アーカイブ表のバックアップを作成し、必要に応じてデータをリストアできるようにします。

表D-3には、OAAMデータベース内のデータのアーカイブおよびパージ基準の概要が示されています。

表D-3 アーカイブおよびパージの基準

データのタイプ

パージ基準

デバイスのフィンガープリント・データ

パージ・プロセスでは、次の基準に基づいてデバイス・フィンガープリント・データがアーカイブおよびパージされます。

- 最初に、指定した期間を経過したデバイス・フィンガープリント・ログ

- デバイス・フィンガープリント・ログからのデータの後に使用されていないユーザー・デバイス・マップ

- デバイス・フィンガープリント・ログからのデータの後に使用されていないデバイス履歴

- デバイス・フィンガープリント・ログからのデータの後に使用されていないデバイス・データ

注意: VT_SESSION_ACTION_MAP表は、パーティション削除管理スクリプトを使用してパージされません。この表には、デバイス・フィンガープリント・セッションの情報が格納されているため、この表をパージするには、exec_sp_purge_tracker_data.sqlスクリプトによりコールされる手動パージ・ストアド・プロシージャ(SP_SESS_ACT_MAP_PROC)を使用します。

トランザクションのセッション内ベースのデータ

パージ・プロセスでは、次の基準に基づいてセッション内トランザクション・データがアーカイブおよびパージされます。

- 最初に、指定した期間を経過したセッション内トランザクション・ベースのデータ

- トランザクション・ログのパージ後のトランザクション・データで特定の期間使用されていないトランザクション・データ

- トランザクション・ログのパージ後の特定の期間のエンティティ、エンティティ・プロファイル、ユーザー・エンティティ・マップおよびエンティティ・トランザクション・マップ

自動学習プロファイル・データ

特定の期間に基づいて、次の表をアーカイブおよびパージします。

- HOURSベースの表には、3日分のデータが保存されます。

- DAYSベースの表には、32日分のデータが保存されます。

- MONTHSベースの表には、1年分のデータが保存されます。

- YEARSベースの表には、5年分のデータが保存されます。

フィンガープリント・タイプがAUTHおよびTRANSACTIONのフィンガープリント・データをアーカイブおよびパージします。この方法でパージするフィンガープリント・データは、フィンガープリント表およびfp_map表内にあります。前述のHOURS表、DAYS表、MONTHS表およびYEARS表にも、フィンガープリントへの参照が含まれます。フィンガープリント・データをパージする前に、HOURS表、DAYS表、MONTHS表およびYEARS表のアーカイブおよびパージが実行されていることを確認してください。

vcrypt.fingerprint.type.enum.autolearning.auth=11
vcrypt.fingerprint.type.enum.autolearning.transaction=12

11は、自動学習タイプAUTHに対応する列挙値です。統合中に別の値が使用された場合は、スクリプト内のこれらの値を変更してください。

12は、自動学習タイプTRANSACTIONに対応する列挙値です。統合中に別の値が使用された場合は、スクリプト内のこれらの値を変更してください。

ルール・ログ・データ

30日経過したルール・ログ・トランザクション・データは、アーカイブおよびパージされます。

エンティティおよびトランザクション・データのターゲット・パージ

エンティティおよびトランザクション・データは、次の基準に基づいてアーカイブおよびパージされます。

- 保存日数。
更新時刻に基づいて、保存日数を経過したデータがパージされます。エンティティまたはトランザクションの定義で構成されていない場合、データはパージもアーカイブもされません。

デフォルト値: 180

- データのパージ
エンティティ・データをパージする場合は、「いずれのエンティティ・データもパージしないでください。」オプションを選択解除します。エンティティ・データをパージしない場合は、「いずれのエンティティ・データもパージしないでください。」オプションを選択します。

トランザクション・データをパージする場合は、「いずれのトランザクション・データもパージしないでください。」オプションを選択解除します。トランザクション・データをパージしない場合は、「いずれのトランザクション・データもパージしないでください。」を選択します。

アーカイブはパージ・プロセスの一部であるため、データのアーカイブのみを行うよう選択することはできません。

注意: データがパージされている場合であっても、エンティティ定義およびトランザクション定義は保持されます。

パージ・メカニズムは階層的です。データは、トランザクションからエンティティへ、さらに関連エンティティへとパージされます。

グループ内のメンバー・エンティティがパージされると、グループ・メンバーがパージされます。

質問/問題: パージ・プロセスを実行すると、安全なデバイスの登録が削除されますか。

回答/解決策: 安全なデバイスに対する特別な処理はありません。アクティブなデバイスはパージされません。

6か月間のデバイス・パージ・ポリシー

- デバイスが安全であり、過去6か月間使用されていない場合、パージの候補となります。

- デバイスが安全でなく、過去6か月間使用されていない場合、パージの候補となります。

- デバイスが安全であり、過去6か月間に使用された場合、パージの候補になりません。作成されてから6か月を経過しているデバイスでもパージされません。

- デバイスが安全でなく、過去6か月間に使用された場合、パージの候補になりません。作成されてから6か月を経過しているデバイスでもパージされません。

安全なデバイスの登録

OAAMパージ/アーカイブ・プロセスでは、安全なデバイスの登録は解除されないため、デバイスの使用期間が6か月に満たない場合を除き、安全なデバイスを手動で再登録する必要があります。

デバイスが(tracker_purge_job.sqlの一部として)パージされた場合、パージ・スクリプトによりデバイスが登録解除されます。tracker_purge_job.sqlの一環として、使用されていないデバイス(VCRYPT_TRACKER_USERNODE_LOGSのレコードによって参照されていないデバイス)がすべてパージされ、VT_USER_DEVICE_MAPの関連レコードもパージされます。

D.4 パーティション・メンテナンス・スクリプトの実行

パーティション化されたOAAMデータベース・バージョンを使用している場合は、パーティションを削除するための関連スクリプトが用意されています。

D.4.1 週次パーティションの削除

週次パーティションを削除するには、次の手順を実行します。

1. このスクリプトをデータベースの作成日から2週間ごとに実行します。

2. デフォルトの保存期間を変更するには、スクリプトDrop_Weekly_Partition_tables.sqlを開き、保存期間を日数で設定します。デフォルトでは、15日(2週間)に設定されます。

3. OAAMデータベース・ユーザー名およびパスワードを使用してOAAMデータベースにログインします。

4. スクリプトDrop_Weekly_Partition_tables.sqlを実行します。

D.4.2 月次パーティションの削除

月次パーティションを削除するには、次の手順を実行します。

1. このスクリプトを毎月末に実行し、6か月が経過したパーティションを削除します。

2. デフォルトの保存期間を変更するには、スクリプトDrop_Monthly_Partition_tables.sqlを開き、保存期間を日数で設定します。デフォルトでは、180日(6か月)に設定されます。

3. OAAMデータベース・ユーザー名およびパスワードを使用してOAAMデータベースにログインします。

4. スクリプトDrop_Monthly_Partition_tables.sqlを実行します。

D.5 OLTP (オンライン・トランザクション処理)表の最小データ保存ポリシー

Oracle Adaptive Access Managerのシステム要件に基づいて、各種OLTP (オンライン・トランザクション処理)表の最小データ保存ポリシーを次に示します。ただし、ユーザーは各自のビジネス要件に基づいてデータ保存期間を決定する必要があります。

表D-4 最小データ保存ポリシー

データ

保存ポリシー

デバイスのフィンガープリント・データ

6か月(180日)以上

セッション内トランザクション表

6か月(180日)以上

トランザクション・データおよびエンティティ・データ

過去180日間に更新されていないデータはデフォルトでパージされます。

自動学習表およびワークフロー表

時間、日、月および年に対応する保存を次に示します。

- HOURSベースのワークフローには、3日分のデータが保存されます。

- DAYSベースのワークフローには、32日分のデータが保存されます。

- MONTHSベースのワークフローには、1年分のデータが保存されます。

- YEARSベースのワークフローには、5年分のデータが保存されます。

ルール・ログ・データ

アーカイブおよびパージ・スクリプトにより、30日を経過したすべてのルール・ログ・データがアーカイブおよびパージされます(この値は、カスタマ・ケア要件に基づいて設定する必要があります)。レポート・データベースを使用する場合、ルール・ロギング・データの保存は30日未満にする必要があります。

D.6 パージ・スクリプトを実行する際のベスト・プラクティス/ガイドライン

次に、パージ・スクリプトを実行する際のベスト・プラクティスを示します。

- ビジネス要件や使用されるルールおよびポリシーに基づいて、保存期間を決定してください。

- パージ/アーカイブは定期的に実行してください。

- これらのスクリプトの実行中にレプリケーションを有効化しないでください。

- 負荷のオフピーク時に実行することをお薦めします。アーカイブやパージはリソース(CPUなど)を大量に消費することがあります。

- アーカイブを行う場合は、単なるパージとは異なり、アーカイブ表にデータが移動されるため、データベース・サーバーに十分なディスク領域があることを確認してください。アーカイブ領域には、現在の表の記憶域以上の大きさが必要です。

- パージは、データベースからの削除またはコピーが必要な行が何百万行にも及ぶ場合、相当の時間を要するため、パージ戦略を立案します。

- マルチ・データ・センターでは、表内のデータがレプリケートされるため、データの流れが少ないときにパージを実行することをお薦めします。マルチディメンショナル・クラスタリング(MDC)を設定していて、パージが必要な場合は、データベース管理者に相談してください。

- カスタム・パージ・スクリプトには、提供されている標準のパージ・スクリプトで使用される表のみを含めることをお薦めします。提供されたパージ・スクリプトを変更する場合、ユーザーIDのパラメータ化が必要になることがあります。このような変更は、本番での使用前に詳細にテストして、予想どおりに機能するか確認する必要があります。

D.7 アーカイブおよびパージの対象となるデータの詳細

次の各項では、パージ対象となる各データとそれぞれに対応するアーカイブ表の詳細を示します。

D.7.1 ログインおよびデバイス・データ

表D-5 ログインおよびデバイス

ログインおよびデバイスの表

対応するアーカイブ表

VCRYPT_TRACKER_NODE

VCRYPT_TRACKER_NODE_PURGE

VCRYPT_TRACKER_NODE_HISTORY

VCRYPT_TRACKER_NODE_HISTORY_PURGE

VCRYPT_TRACKER_USERNODE_LOGS

VCRYPT_TRACKER_USERNODE_LOGS_PURGE

VT_DYN_ACT_EXEC_LOG

VT_DYN_ACT_EXEC_LOG_PURGE

VT_SESSION_ACTION_MAP

VT_SESSION_ACTION_MAP_PURGE

VT_USER_DEVICE_MAP

VT_USER_DEVICE_MAP_PURGE

VCRYPT_ALERT

VCRYPT_ALERT_PURGE

VCRYPT_USERS_HIST

VCRYPT_USERS_HIST_PURGE

V_USER_QA_HIST

V_USER_QA_HIST_PURGE

D.7.2 ルールおよびポリシー・ログ・データ

表D-6 ルールおよびポリシー・ログ・データの表

ルール、ポリシー・ログの表

対応するアーカイブ表

VR_POLICYSET_LOGS

VR_POLICYSET_LOGS_PURGE

VR_RULE_LOGS

VR_RULE_LOGS_PURGE

VR_MODEL_LOGS

VR_MODEL_LOGS_PURGE

VR_POLICY_LOGS

VR_POLICY_LOGS_PURGE

D.7.3 トランザクションおよびエンティティ・データ

表D-7 トランザクションおよびエンティティ・データの表

トランザクション表

対応するアーカイブ表

VT_ENTITY_ONE

VT_ENTITY_ONE_PURGE

VT_ENTITY_ONE_PROFILE

VT_ENTITY_ONE_PROFILE_PURGE

VT_USER_ENTITY1_MAP

VT_USER_ENTITY1_MAP_PURGE

VT_ENT_TRX_MAP

VT_ENT_TRX_MAP_PURGE

VT_TRX_DATA

VT_TRX_DATA_PURGE

VT_TRX_LOGS

VT_TRX_LOGS_PURGE

D.7.4 自動学習データ

表D-8 自動学習データの表

自動学習トランザクション表

対応するアーカイブ表

VT_WF_DAYS

VT_WF_DAYS_PURGE

VT_WF_HOURS

VT_WF_HOURS_PURGE

VT_WF_MONTHS

VT_WF_MONTHS_PURGE

VT_WF_YEARS

VT_WF_YEARS_PURGE

V_FPRINTS

V_FPRINTS_PURGE

V_FP_MAP

V_FP_MAP_PURGE

D.7.5 プロファイル・データ

表D-9 プロファイル・データの表

トランザクション表

対応するアーカイブ表

VT_USER_PROFILE

VT_USER_PROFILE_PURGE

VT_DEVICE_PROFILE

VT_DEVICE_PROFILE_PURGE

VT_BASE_IP_PROFILE

VT_BASE_IP_PROFILE_PURGE

VT_IP_PROFILE

VT_IP_PROFILE_PURGE

VT_STATE_PROFILE

VT_STATE_PROFILE_PURGE

VT_CITY_PROFILE

VT_CITY_PROFILE_PURGE

VT_COUNTRY_PROFILE

VT_COUNTRY_PROFILE_PURGE

D.7.6 ケース関連データ

表D-10 ケース関連データの表

トランザクション表

対応するアーカイブ表

V_CASE

V_CASE_PURGE

V_CASE_HIST

V_CASE_HIST _PURGE

V_ACTION_LOG_SESS_MAP

V_ACTION_LOG_SESS_MAP_PURGE

V_ACTION_LOG_SESS

V_ACTION_LOG_SESS

V_CASE_MAP

V_CASE_MAP_PURGE

V_CASE_MAP_HIST

V_CASE_MAP_HIST_PURGE

D.7.7 監視データ

表D-11 監視データの表

トランザクション表

対応するアーカイブ表

V_MONITOR_DATA

V_MONITOR_DATA_PURGE

D.8 関連ストアド・プロシージャのリスト

create_purge_proc.sqlスクリプトを使用すると、表と次のストアド・プロシージャが作成され、トランザクション表のデータをアーカイブおよびパージできるようになります。

- SP_RULE_ PROC

- SP_MODEL_ PROC

- SP_POLICYSET_ PROC

- SP_POLICY_ PROC

- SP_NODE_HISTORY_ PROC

- SP_NODE_PROC

- SP_USER_NODE_PROC

- SP_USER_DVC_PROC

- SP_SESS_ACT_MAP_PROC

- SP_WF_YEARS_PROC

- SP_WF_MONTHS_PROC

- SP_WF_DAYS_PROC

- SP_WF_HOURS_PROC

- SP_V_FPRINTS_PROC

- SP_V_FP_MAP_PROC

- SP_VT_DY_ACT_EX_LOG_PRO

- SP_VT_TRX_LOGS_PROC

- SP_VT_TRX_DATA_PROC

- SP_VT_ENT_TRX_MAP_PROC

- SP_VT_ENT_ONE_PRF_PROC

- SP_VT_ENT_ONE_PROC

- SP_VT_ENT_ONE_MAP_PROC

- SP_VT_USER_PRF_PROC

- SP_VT_DEVICE_PRF_PROC

- SP_VT_IP_PRF_PROC

- SP_VT_BASE_IP_PRF_PROC

- SP_VT_CITY_PRF_PROC

- SP_VT_COUNTRY_PRF_PROC

- SP_VT_STATE_PRF_PROC

- SP_ARCHIVE_PURGE_VCRYPT_ALERT

- SP_ARCHPURGE_VCRYPTUSERSHIST

- SP_ARCH_PURGE_V_USER_QA_HIST

create_case_purge_proc.sqlスクリプトを使用すると、表と次のストアド・プロシージャが作成され、トランザクション表のデータをアーカイブおよびパージできるようになります。

- SP_V_CASE_PROC

- SP_V_CASE_HIST_PROC

- SP_V_CASE_MAP_PROC

- SP_V_CASE_MAP_HIST_PROC

- SP_V_ACTION_LOG_SESS_MAP_PROC

- SP_V_ACTION_LOG_SESS_PROC

create_v_monitor_purge_proc.sqlスクリプトを使用すると、SP_V_MON_DATA_PURGE_PROCが作成され、トランザクション表のデータをアーカイブおよびパージできるようになります。

E デバイスのフィンガープリント処理および識別

デバイスのフィンガープリント処理および識別は、アクセス・リクエストまたはトランザクションのリスクを評価するためにOAAMで使用される様々な属性の1つです。Oracle Adaptive Access Managerでは、デスクトップ・コンピュータ、ラップトップ・コンピュータ、モバイル・デバイスまたは他のWeb対応デバイスのいずれであっても、特定の状況に応じて、ブラウザ・ユーザー・エージェント文字列データ、独自のセキュアCookie、Flash共有オブジェクト、モバイル・アプリケーション・データ、カスタム・クライアント・データ、拡張された自動学習デバイス識別ロジックなどの標準属性を任意に組み合せて使用することによって、デバイスを識別できます。

この章では、OAAMをデプロイする場合にカスタマが理解する必要がある、重要なフィンガープリント処理と識別の概念、テクノロジおよびユース・ケースについて説明します。この章の内容は、次のとおりです。

- E.1項「OAAMデバイスのフィンガープリント処理」

- E.2項「デバイス識別」

- E.3項「ユース・ケース」

- E.4項「デバイスのフィンガープリント処理のトラブルシューティング」

- E.5項「デバイス識別とフィンガープリント処理でよくある質問」

注意:

肯定的なデバイス識別は認証方式とは見なされません。また、見なすべきではありません。さらに、許可またはブロックを決定付ける唯一の判断要素でもありません。OAAMは、完全なレイヤー・セキュリティ・ソリューションを提供します。デバイスのフィンガープリント処理および識別はレイヤーの1つのみを表します。

E.1 OAAMデバイスのフィンガープリント処理

Oracle Adaptive Access Managerのデバイスのフィンガープリント処理とは、ユーザーがログインやトランザクションの実行に使用するデバイスを認識するために使用される機能です。ブラウザ・タイプ、ブラウザ・ヘッダー、オペレーティング・システム・タイプ、ロケールなどのデバイスに関する情報が収集されます。フィンガープリント・データは、デバイスについてログイン・プロセス中に収集される、次のログイン時にデバイスの識別に必要なデータです。フィンガープリント詳細は、デバイスがセキュアかどうかの確認と、認証またはトランザクションのリスク・レベルの特定に役立ちます。

デバイスは、使用可能なデータを処理して識別するための独自のロジックおよび特化された一連のポリシーを使用して識別されます。インテリジェントな識別は単一の属性タイプに依存しないため、厳密な仕様に従うことなく、WebおよびWeb以外の両方のチャネルにおいてユーザー・デバイス上で機能できます。デバイス識別は単なる属性の静的リストではなく、各アクセス・リクエストまたはトランザクションで使用可能な属性の特定の組合せを動的に取得、評価およびプロファイリングします。このことは、数多くのコンシューマが使用するデプロイメントにおいて特に重要です。

E.1.1 フィンガープリント処理のタイプ

OAAMでは、標準でブラウザ、Flashおよびモバイルのフィンガープリントがサポートされています。フィンガープリント処理は、デスクトップやラップトップのPC、フル機能ブラウザを実行するモバイル・デバイスおよびスマートフォンで同じように機能します。

E.1.1.1 Webブラウザ・ベースのフィンガープリント処理

設計上、OAAMでは、純粋なWeb環境におけるWebブラウザ・ベースのフィンガープリント処理が提供されます。言い換えれば、クライアント・ソフトウェアは不要ということであり、大勢の多様なユーザーを対象としたソリューションのデプロイメントが管理可能になります。また、OAAMは悪用に対して脆弱な可能性があるクライアント側にはロジックを置きません。

エンド・ユーザーが保護されたアプリケーションにWebブラウザを介してアクセスする場合、OAAMにより、ブラウザ・ベースのフィンガープリント処理が実行されます。ブラウザ・ベースのフィンガープリント処理および識別では、ブラウザ・ユーザー・エージェント文字列データ以外に、セキュアなCookieやFlash共有オブジェクト・データも使用されます(使用可能な場合)。

E.1.1.2 Flashフィンガープリント処理

OAAM管理コンソールの詳細ページでフィンガープリント・データを表示するとき、デジタル・フィンガープリントとはFlashフィンガープリントまたはカスタム・フィンガープリントのことを言います。デジタル・フィンガープリント・データを使用できるのは、デバイス上にAdobe Flashが存在する場合のみです。ログイン・プロセス中、デジタル・データはユーザーのAdobe Flashインストール先から収集されます。Flashシステム機能のデータが、Flashフィンガープリントとして使用されます。

E.1.1.3 モバイル・デバイスのフィンガープリント処理

モバイル・デバイスとは、Google社のAndroidモバイル・オペレーティング・システムや、Apple社のiOSモバイル・オペレーティング・システムなどモバイル・オペレーティング・システムを実行するデバイスです。モバイル・デバイスのフィンガープリント処理は、カスタム・フィンガープリント処理の一種です。OAAMではモバイル・デバイスに対する処理が独自であり、Oracle Access Management Social and Mobileがインストールされていれば、ユーザーとデバイスの間で強力なバインディングが可能になります。モバイル・アプリケーション開発者は、Access Management SDKおよびREST (表現状態転送)サービス・レイヤーを介して、OAAMデバイスのフィンガープリント処理をアプリケーションに統合できます。モバイル固有データ(アプリケーションID、GPS/三角測量ロケーション、IMEI (国際移動体装置識別番号)/MACアドレス(媒体アクセス制御アドレス)など)は、他のデバイス・データとともに収集してOAAMに伝達できます。OAAMではデバイス・データを格納でき、それを使用して総合的なフィンガープリントを作成できます。以前に格納されたフィンガープリントやデバイス属性と比較でき、ポリシーはデバイス・データを使用してリスクを判定し、適切に対応することができます。Oracle Adaptive Access Managerでカスタム開発を使用すると、ブラウザを介してアクセスしていない場合でも、モバイル・デバイスのフィンガープリント処理、識別および追跡を行うことができます。

E.1.1.4 カスタム・クライアントのフィンガープリント処理

標準ブラウザ・アクセスのユース・ケースにおいてFlash共有オブジェクト・データを受け入れるデジタル・フィンガープリントは、かわりにカスタム・クライアントからのデータを受け入れることができます。JavaアプレットやQuickTime、その他の属性を取得する場合には、カスタム開発を利用してデバイスのフィンガープリント処理を拡張できます。たとえば、署名付きJavaアプレットを開発してデバイスのMACアドレスを収集したり、Java/.Net/SOAP APIを使用して、フィンガープリント処理および識別ロジックで使用するためにデジタル・フィンガープリントにデータを設定できます。カスタム・デバイスのフィンガープリント処理の設定の詳細は、E.1.6項「カスタム・フィンガープリント処理の設定」を参照してください。

E.1.2 デバイスのフィンガープリントの構成

ユーザー・デバイスのフィンガープリント処理全体は複数の要素に基づいており、この項ではそれについて説明します。

OAAMのフィンガープリント処理テクノロジは、1つの要素にのみ依存しているわけではありません。Oracle Adaptive Access Managerは数多くの属性を使用して、通常ログインに使用されるデバイスの認識とフィンガープリント処理を行い、対応範囲を拡大します。たとえば、一部の要素が使用できない場合でも、他のオブジェクト(セキュアCookie、Flash Cookie、HTTPヘッダー、Real Media、QuickTimeなど)を利用して厳密なセキュリティを実現しています。

通常、ログイン・ページには、数行の静的なタミル語のコードが埋め込まれています。HTMLのサンプル・コードには、追加のデバイス特性を収集するためのFlash共有オブジェクトやイメージ・タグが含まれます。Flashコードにより内部的にアプリケーション・サーバーがコールされ、デバイス特性がアップロードされます。

注意:

OAAMの最新のサンプル・アプリケーションは、次のOracle Technology Networkからダウンロードできます。

http://www.oracle.com/technetwork/index.html

通常、デバイスが保護されたアプリケーションにログインすると、あらゆる認証試行の前にフィンガープリント処理が即時に実行されます。このように、デバイスのフィンガープリント情報はすべてのチェックポイントでリスク評価に使用できます。一般的なチェックポイントには、認証前、認証後、セッション内およびトランザクション内があります。なお、デバイスのフィンガープリント処理はセッション中のどの時点でも再実行でき、中間者攻撃の一部の形式を検出するのに役立ちます。

E.1.2.1 セキュアなCookieおよびブラウザの特性

セキュアなCookieはデバイスの識別に使用される属性の1つです。Oracle Adaptive Access Managerでは、識別ごとに一意のセキュアなCookieを生成し、ユーザーが次にこのデバイスからログインするとき、同じCookieを検索します。このCookieは、特定デバイスにおけるそのセッションについてのみ有効です。エンド・ユーザーがログアウトして再度ログインすると、そのCookieを使用してその時点のデバイスが識別されます。

注意:

Cookieを許可しないポリシーがある場合、セキュアなCookieは永続的になりません。

セキュアなCookieはHTTPリクエストから抽出されます。セキュアなCookieとともに、Oracle Adaptive Access Managerによりブラウザの特性も抽出されます。

デバイスに対する一意のフィンガープリントを作成するために使用される追加特性については、次のブラウザ・フィンガープリント列挙と表を参照してください。

OS/ブラウザ

特性

オペレーティング・システム

- オペレーティング・システム

- バージョン

- パッチ・レベル

ブラウザ

- ブラウザ

- バージョン

- パッチ・レベル

ロケール

- 国

- 言語

- バリアント

ブラウザのフィンガープリントで収集される情報を示すブラウザ・タイプの列挙を次に示します。

#Enum for fingerprint type
vcrypt.fingerprint.type.enum=Enum for fingerprint type
vcrypt.fingerprint.type.enum.browser=1
vcrypt.fingerprint.type.enum.browser.name=Browser
vcrypt.fingerprint.type.enum.browser.description=Browser
vcrypt.fingerprint.type.enum.browser.userAgent=userAgent
vcrypt.fingerprint.type.enum.browser.locallang=localLang
vcrypt.fingerprint.type.enum.browser.localcountry=localCountry
vcrypt.fingerprint.type.enum.browser.localvariant=localVariant
vcrypt.fingerprint.type.enum.browser.header_list=locallang,localcountry,localvariant,userAgent
vcrypt.fingerprint.type.enum.browser.search_list=locallang,userAgent
vcrypt.fingerprint.type.enum.browser.result_list=locallang,userAgent
vcrypt.fingerprint.type.enum.browser.header_value_nv=t,true,f,false,en,English,es,Spanish,de,German,it,Italian,ja,Japanese,fr,French,ko,Korean,zh,Chinese,ar,Arabic,cs,Czech,da,Danish,nl,Dutch,fi,Finnish,el,Greek,iw,Hebrew,hu,Hungarian,no,Norwegian,pl,Polish,pt,Portuguese,ro,Romanian,ru,Russian,sk,Slovak,sv,Swedish,th,Thai,tr,Turkish,BR,Brazil

E.1.2.2 Flash共有オブジェクトおよびデバイス特性

Flash Cookieは、Flash共有オブジェクトの1つです。共有オブジェクトは、セキュアなCookieのように機能します。Oracle Adaptive Access ManagerではFlash共有オブジェクトを使用して1回かぎり使用されるトークンが格納され、このトークンはデバイスのフィンガープリント処理が実行されるたびに置換されます。

Flash共有オブジェクトは、HTTPリクエストを使用してサーバーに送信されます。Flash共有オブジェクトによって、システム情報や構成設定などの追加のデバイス特性が取得および伝達され、これにより、デバイスIDに対して、粒度がさらに追加されます。

E.1.2.2.1 フィンガープリント処理で収集されるデータ

ログイン・プロセス中、デバイスのフィンガープリントを作成するためにユーザー・デバイスに関するデータが収集されます。このデータは、セキュアとデジタルの2つのカテゴリに分類できます。

これらの各カテゴリ内にはフィンガープリントとCookieが存在します。

Oracle Adaptive Access Managerでは、2つのタイプのCookieを使用してデバイス識別を実行します。1つはセキュアなCookie (ブラウザCookieまたは永続Cookieとも呼ばれます)であり、もう1つはデジタルCookie (Flash Cookieとも呼ばれます)です。この章では、セキュアCookieおよびFlash Cookieという用語を使用します。

セキュアなデータはユーザーのブラウザから収集されます。このデータには、ユーザー・エージェント文字列およびHTTP Cookie値が含まれます。このCookie値はログイン時にユーザーのブラウザから取得されます。ユーザー・エージェント文字列は、使用されているブラウザの種類およびそのバージョン番号と、オペレーティング・システムおよびバージョンなどのシステム詳細に関する情報です。ブラウザの特性の詳細は、E.1.2.1項「セキュアなCookieおよびブラウザの特性」を参照してください。

デジタル・フィンガープリントは、JavaアプレットやQuickTimeなどの、他のカスタム・フィンガープリントをベースにできます。このデータにはFlashシステム機能データの配列およびFlashローカル共有オブジェクト(LSO)が含まれます。Flash機能データは、Flashシステム機能を表すデジタル・フィンガープリントとして使用されます。LSOには1回かぎり使用される一意の値が含まれ、この値はユーザーがログインするたびに設定されます。この値は、ログイン時に実行されるFlashムービーを使用して取得されます。

イメージがブロックされる場合には、ログイン・リクエスト自体からCookieが抽出されることがあります。Oracle Adaptive Access Managerでは、デバイス上のセキュリティ設定またはブラウザによるいくつかの技術的な問題を解決するために、Cookieを収集するこれらの様々なモードを使用します。

ハードウェア/ソフトウェア

特性

システム

- オペレーティング・システム

- Flashバージョン

- プレーヤ・タイプ

- デバッグ・バージョン

- 画面DPI

- 画面解像度

- カラー画面

- 画面のアスペクト率

- 組込みビデオ

- ビデオ・エンコーダ

- ストリーミング・ビデオ

- ビデオのサポート

- 画面ブロードキャスト・アプリケーション

- 再生画面ブロードキャスト・アプリケーション

- 音声カード

- マイクロフォン

- 音声エンコーダ

- ストリーミング音声

- MP3

- ネイティブSSLサポート

- プリンタ・サポート

- Input Method Editor (IME)

- 製造業者

設定

- 音声/ビデオの有効化

- アクセシビリティの有効化

- 音声の有効化

- ローカル・ファイル読取りの無効化

- 言語

Flashのフィンガープリントで収集される情報を示すFlashタイプの列挙を次に示します。

#Enum for fingerprint type
vcrypt.fingerprint.type.enum=Enum for fingerprint type
vcrypt.fingerprint.type.enum.flash=2
vcrypt.fingerprint.type.enum.flash.name=Flash
vcrypt.fingerprint.type.enum.flash.description=Flash
vcrypt.fingerprint.type.enum.flash.processor=com.bharosa.uio.processor.device.FlashDeviceIdentificationProcessor
vcrypt.fingerprint.type.enum.flash.header_list=avd,acc,a,ae,ev,ime,mp3,pr,sb,sp,sa,sv,tls,ve,deb,l,lfd,m,os,ar,pt,col,dp,r,v
vcrypt.fingerprint.type.enum.flash.search_list=deb,l,os,v
vcrypt.fingerprint.type.enum.flash.result_list=deb,l,os,v
vcrypt.fingerprint.type.enum.flash.header_name_nv=avd,Audio/Video disabled by user,acc,Has accessibility,a,Has audio,ae,Had audio encoder,ev,Embedded video, ime, Has input method editor (IME) installed,mp3, Has MP3, pr, Supports printer, sb, Supports screen broadcast applications, sp, Supports playback on screen broadcast applications, sa, Supports streaming audio, sv, Supports streaming video, tls, Supports native SSL, ve, Contains video encoder, deb, Debug version, l, Language, lfd, Is local file read disabled, m, Manufacturer, os, Operating System, ar, Aspect ratio of screen, pt, Player type, col, Is screen color, dp, Dots-per-inch (DPI), r, Screen resolution, v, Flash version
#vcrypt.fingerprint.type.enum.flash.header_value_nv=t,true,f,false
vcrypt.fingerprint.type.enum.flash.header_value_nv=t,true,f,false,en,English,es,Spanish,de,German,it,Italian,ja,Japanese,fr,French,ko,Korean,zh,Chinese,ar,Arabic,cs,Czech,da,Danish,nl,Dutch,fi,Finnish,el,Greek,iw,Hebrew,hu,Hungarian,no,Norwegian,pl,Polish,pt,Portuguese,ro,Romanian,ru,Russian,sk,Slovak,sv,Swedish,th,Thai,tr,Turkish,BR,Brazil

E.1.2.3 ネイティブ・モバイル・アプリケーション

OAAMデバイスのフィンガープリント処理は、Access Management SDKおよびRESTサービス・レイヤーによってモバイル・アプリケーションに統合されます。開発者はSDKをアプリケーションに組み込み、アプリケーションID、オペレーティング・システム、OSバージョン、IPアドレス、1回かぎり使用されるフィンガープリント値、GPS/三角測量ロケーション、IMEI/MACを収集します。OAAMではこれらのデータ要素を使用して、デバイスのフィンガープリント処理や識別およびリスク評価を実行します。

次の表に、モバイルCookieを示します。

表E-1 モバイルCookie

属性

説明

IMEI Id

IMEI (国際移動体装置識別番号) IDとは、モバイル・デバイスの一意のIDのことです。IMEIは携帯電話1台ごとに指定され、Equipment Identity Registerのデータベースに保存されます。IMEIを構成する数字は、Type Approval Code (TAC)、国コード、最終組立てコード、製造元、シリアル番号などの情報です。

MACアドレス

デバイスのネットワークMACアドレス(媒体アクセス制御アドレス)。MACアドレスは、ネットワーク・アダプタや、ネットワーク機能を持つ任意のデバイスに割り当てられるハードウェア・アドレスです。MACアドレスはデバイス1台ごとに固有の識別情報です。デバイスを製造または販売する企業を表す数字であり、デバイスごとに固有の数字です。

OSタイプ

デバイスのオペレーティング・システム。

モバイルのフィンガープリントで収集される情報を示すモバイル・タイプの列挙を次に示します。

#Enum for fingerprint type
vcrypt.fingerprint.type.enum=Enum for fingerprint type
vcrypt.fingerprint.type.enum.native_mobile=900
vcrypt.fingerprint.type.enum.native_mobile.name=Native Mobile
vcrypt.fingerprint.type.enum.native_mobile.description=Native Mobile implementation using OIC
vcrypt.fingerprint.type.enum.native_mobile.processor=com.bharosa.uio.processor.device.NativeMobileDeviceIdentificationProcessor
vcrypt.fingerprint.type.enum.native_mobile.header_list=os.type,os.version,hw.imei,hw.mac_addr
vcrypt.fingerprint.type.enum.native_mobile.header_name_nv=os.type,Operating System Type,os.version,Operating System Version,hw.imei,Hardware IMEI Number,hw.mac_addr,Hardware Mac Address
vcrypt.fingerprint.type.enum.native_mobile.header_value_nv=t,true,f,false

E.1.2.4 IPインテリジェンスおよび履歴コンテキスト

ユーザー、デバイス、ロケーションおよびOracle Adaptive Access Managerで取得されたその他のコンテキストの組合せを使用して、デバイスが以前に識別されたものである可能性を評価します。この評価は、デバイス属性の合計数が制限されている場合に特に役立ちます。たとえば、ユーザーがFlash共有オブジェクトのセキュアなCookieを使用しないでブラウザを介してアクセスする場合などです。

E.1.3 標準フィンガープリント処理の設定

標準のフィンガープリント・タイプは、即時利用可能な形で用意されており、設定も必要ありません。標準フィンガープリントのプロパティを次に示します。これらのプロパティをカスタム・フィンガープリント・タイプを作成する場合の例として使用できます。

#Reference to the "vcrypt.fingerprint.type.enum" elementId for Digital Device Fingerprinting
bharosa.uio.default.device.identification.scheme=flash

#Enum for fingerprint type

vcrypt.fingerprint.type.enum=Enum for fingerprint type

vcrypt.fingerprint.type.enum.browser=1
vcrypt.fingerprint.type.enum.browser.name=Browser
vcrypt.fingerprint.type.enum.browser.description=Browser
vcrypt.fingerprint.type.enum.browser.userAgent=userAgent
vcrypt.fingerprint.type.enum.browser.locallang=localLang
vcrypt.fingerprint.type.enum.browser.localcountry=localCountry
vcrypt.fingerprint.type.enum.browser.localvariant=localVariant
vcrypt.fingerprint.type.enum.browser.header_list=locallang,localcountry,localvariant,userAgent
vcrypt.fingerprint.type.enum.browser.search_list=locallang,userAgent
vcrypt.fingerprint.type.enum.browser.result_list=locallang,userAgent
vcrypt.fingerprint.type.enum.browser.header_value_nv=t,true,f,false,en,English,es,Spanish,de,German,it,Italian,ja,Japanese,fr,French,ko,Korean,zh,Chinese,ar,Arabic,cs,Czech,da,Danish,nl,Dutch,fi,Finnish,el,Greek,iw,Hebrew,hu,Hungarian,no,Norwegian,pl,Polish,pt,Portuguese,ro,Romanian,ru,Russian,sk,Slovak,sv,Swedish,th,Thai,tr,Turkish,BR,Brazil

vcrypt.fingerprint.type.enum.flash=2
vcrypt.fingerprint.type.enum.flash.name=Flash
vcrypt.fingerprint.type.enum.flash.description=Flash
vcrypt.fingerprint.type.enum.flash.processor=com.bharosa.uio.processor.device.FlashDeviceIdentificationProcessor
vcrypt.fingerprint.type.enum.flash.header_list=avd,acc,a,ae,ev,ime,mp3,pr,sb,sp,sa,sv,tls,ve,deb,l,lfd,m,os,ar,pt,col,dp,r,v
vcrypt.fingerprint.type.enum.flash.search_list=deb,l,os,v
vcrypt.fingerprint.type.enum.flash.result_list=deb,l,os,v
vcrypt.fingerprint.type.enum.flash.header_name_nv=avd,Audio/Video disabled by user,acc,Has accessibility,a,Has audio,ae,Had audio encoder,ev,Embedded video, ime, Has input method editor (IME) installed,mp3, Has MP3, pr, Supports printer, sb, Supports screen broadcast applications, sp, Supports playback on screen broadcast applications, sa, Supports streaming audio, sv, Supports streaming video, tls, Supports native SSL, ve, Contains video encoder, deb, Debug version, l, Language, lfd, Is local file read disabled, m, Manufacturer, os, Operating System, ar, Aspect ratio of screen, pt, Player type, col, Is screen color, dp, Dots-per-inch (DPI), r, Screen resolution, v, Flash version
#vcrypt.fingerprint.type.enum.flash.header_value_nv=t,true,f,false
vcrypt.fingerprint.type.enum.flash.header_value_nv=t,true,f,false,en,English,es,Spanish,de,German,it,Italian,ja,Japanese,fr,French,ko,Korean,zh,Chinese,ar,Arabic,cs,Czech,da,Danish,nl,Dutch,fi,Finnish,el,Greek,iw,Hebrew,hu,Hungarian,no,Norwegian,pl,Polish,pt,Portuguese,ro,Romanian,ru,Russian,sk,Slovak,sv,Swedish,th,Thai,tr,Turkish,BR,Brazil

vcrypt.fingerprint.type.enum.flash.avd=Audio/Video disabled by user
vcrypt.fingerprint.type.enum.flash.acc=Has accessibility
vcrypt.fingerprint.type.enum.flash.a=Has audio
vcrypt.fingerprint.type.enum.flash.ae=Had audio encoder
vcrypt.fingerprint.type.enum.flash.ev=Embedded video
vcrypt.fingerprint.type.enum.flash.ime= Has input method editor (IME) installed
vcrypt.fingerprint.type.enum.flash.mp3= Has MP3
vcrypt.fingerprint.type.enum.flash.pr= Supports printer
vcrypt.fingerprint.type.enum.flash.sb= Supports screen broadcast applications
vcrypt.fingerprint.type.enum.flash.sp= Supports playback on screen broadcast applications
vcrypt.fingerprint.type.enum.flash.sa= Supports streaming audio
vcrypt.fingerprint.type.enum.flash.sv= Supports streaming video
vcrypt.fingerprint.type.enum.flash.tls= Supports native SSL
vcrypt.fingerprint.type.enum.flash.ve= Contains video encoder
vcrypt.fingerprint.type.enum.flash.deb= Debug version
vcrypt.fingerprint.type.enum.flash.l= Language
vcrypt.fingerprint.type.enum.flash.lfd= Is local file read disabled
vcrypt.fingerprint.type.enum.flash.m= Manufacturer
vcrypt.fingerprint.type.enum.flash.os= Operating System
vcrypt.fingerprint.type.enum.flash.ar= Aspect ratio of screen
vcrypt.fingerprint.type.enum.flash.pt= Player type
vcrypt.fingerprint.type.enum.flash.col= Is screen color
vcrypt.fingerprint.type.enum.flash.dp= Dots-per-inch (DPI)
vcrypt.fingerprint.type.enum.flash.r= Screen resolution
vcrypt.fingerprint.type.enum.flash.v= Flash version

vcrypt.fingerprint.type.enum.monitordata=3
vcrypt.fingerprint.type.enum.monitordata.name=MonitorData
vcrypt.fingerprint.type.enum.monitordata.description=Monitor Data

vcrypt.fingerprint.type.enum.applet=999
vcrypt.fingerprint.type.enum.applet.name=Applet
vcrypt.fingerprint.type.enum.applet.description=Applet
vcrypt.fingerprint.type.enum.applet.processor=com.bharosa.uio.processor.device.AppletDeviceIdentificationProcessor
vcrypt.fingerprint.type.enum.applet.header_list=java.version,java.vendor,os.name,os.arch,os.version
vcrypt.fingerprint.type.enum.applet.header_name_nv=java.version,Java Version,java.vendor,Java Vendor Name,os.name,Operating System Name,os.arch,Operating System Architecture,os.version,Operating System Version
vcrypt.fingerprint.type.enum.applet.header_value_nv=t,true,f,false

vcrypt.fingerprint.type.enum.native_mobile=900
vcrypt.fingerprint.type.enum.native_mobile.name=Native Mobile
vcrypt.fingerprint.type.enum.native_mobile.description=Native Mobile implementation using OIC
vcrypt.fingerprint.type.enum.native_mobile.processor=com.bharosa.uio.processor.device.NativeMobileDeviceIdentificationProcessor
vcrypt.fingerprint.type.enum.native_mobile.header_list=os.type,os.version,hw.imei,hw.mac_addr
vcrypt.fingerprint.type.enum.native_mobile.header_name_nv=os.type,Operating System Type,os.version,Operating System Version,hw.imei,Hardware IMEI Number,hw.mac_addr,Hardware Mac Address
vcrypt.fingerprint.type.enum.native_mobile.header_value_nv=t,true,f,false

E.1.4 ネイティブ統合とデバイスのフィンガープリント処理

API統合を示すOAAMの最新のサンプル・アプリケーションは、次のOracle Technology Networkからダウンロードできます。

http://www.oracle.com/technetwork/index.html

デバイスのフィンガープリント処理に使用されるAPI

表E-2に、デバイスのフィンガープリント処理に使用されるAPIを示します。

表E-2 デバイスのフィンガープリント処理API

モジュール

API

説明

サーバー

VCryptTracker::updateLog()

フィンガープリントを作成するAPIは、次のとおりです。

- VCryptServletUtil.getBrowserFingerPrint(userAgent, language, country, variant);

- VCryptServletUtil.getFlashFingerPrint(client, fpStr);

メソッドupdateLog()の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

Oracle Adaptive Access Managerのサンプル

handleJump.jsp

handleJump.jsp:

1. クライアントのタイムゾーンを設定します。

2. セキュアCookieを設定します。

3. ブラウザのフィンガープリントを設定します。

4. ステータスを保留中に設定します。

5. 認証前ルールをコールします。処理続行をユーザーに許可する場合はALLOWが、ユーザーの処理続行を停止する場合はBLOCKまたはERRORが返されます。

6. セッション・データbharosaSessionを格納します。

7. パスワード・ページpassword.jpsを表示します。

Oracle Adaptive Access Managerのサンプル

handleFlash.jsp

handleFlash.jspでは、ブラウザがフラッシュに対応できる場合に、フラッシュCookieが設定されます。

デバイスのフィンガープリント処理におけるCookie

次のサンプル・コードは、ブラウザCookieとフラッシュCookieを使用したデバイスのフィンガープリント処理方法を示しています。詳細は、handleFlash.jspのコードを参照してください。

//Get Browse/Secure cookie
String secureCookie = getCookie(request, "bharosa");
Locale locale = request.getLocale();
String browserFp = VCryptServletUtil.getBrowserFingerPrint(request.getHeader("user-agent"),
locale.getLanguage(),
locale.getCountry(), locale.getVariant());

String client = request.getParameter("client");
String fpStr = request.getParameter("fp");
String flashFp = bharosaHelper.constructFlashFingerPrint( client, fpStr );

//Get the flash cookie
String flashCookie = request.getParameter("v");
CookieSet cookieSet = bharosaHelper.fingerPrintFlash(bharosaSession, bharosaSession.getRemoteIPAddr(), request.getRemoteHost(),
BharosaEnumAuthStatus.PENDING, secureCookie, browserFp, flashCookie, flashFp);

E.1.5 ネイティブ統合でのFlashフィンガープリント処理の設定

Oracle Adaptive Access Managerネイティブ統合におけるFlashフィンガープリント処理の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

E.1.6 カスタム・フィンガープリント処理の設定

OAAMを使用すると、様々な詳細タブやページで標準のフィンガープリント・データとともに、カスタム・デバイス識別アプレットによって生成されたカスタム・フィンガープリント・データを表示および検索できます。カスタム・フィンガープリント情報はネイティブ・モバイルおよびアプレットで使用できます。

この項では、ユーザーが保護されているアプリケーションにアクセスするときに使用するデバイスの情報をOracle Adaptive Access Managerで取得できるように、フィンガープリント・タイプを作成する方法について説明します。フィンガープリント・タイプは、oaam_custom.propertiesに含まれています。即時利用可能ではないフィンガープリント・タイプが必要な場合は、デプロイメント時にこれらのタイプが組み込まれるようにoaam_custom.propertiesファイルを変更する必要があります。

1. oracle.oaam.extensions.warファイルのWEB-INF/classes/bharosa_propertiesディレクトリで、oaam_custom.propertiesファイルを開きます。

2. 取得するフィンガープリントの列挙を追加します。フィンガープリント列挙の形式は、E.1.3項「標準フィンガープリント処理の設定」を参照してください。

3. プロパティbharosa.uio.default.device.identification.schemeを、取得する必要のあるフィンガープリントのタイプに設定します。
たとえば、デジタル・デバイスのフィンガープリント処理用のvcrypt.fingerprint.type.enum elementIdは、次のようになります。

bharosa.uio.default.device.identification.scheme=flash

E.1.7 ネイティブ統合でのモバイル・デバイス・フィンガープリントの変更

即時利用可能なOAAMには、次の属性で構成されるデフォルトのモバイル・デバイス・フィンガープリントが用意されています。

- オペレーティング・システムのタイプ

- ハードウェアIMEI番号

- ハードウェアMACアドレス

これらの属性は、vcrypt.fingerprint.type.enum.native_mobileという列挙要素を介して指定されます。OAAM管理コンソールの「プロパティ」エディタ・オプションを使用して、この列挙要素の属性を表示できます。

取得するモバイル・フィンガープリント属性を追加するには:

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。

3. 「名前」フィールドに「vcrypt.fingerprint.type.enum.native_mobile」と入力して、「検索」をクリックします。
「検索結果」セクションに、プロパティの属性が表示されます。

4. モバイル・デバイスを識別する属性がさらに必要な場合は、「名前」フィールドに「vcrypt.fingerprint.type.enum.native_mobile.header_list」と入力して、「検索」をクリックします。

5. 「検索結果」セクションでクリックしてプロパティを選択し、属性のリストを追加して「保存」をクリックします。

6. 属性とその値のマッピングを指定するには、「名前」フィールドに「vcrypt.fingerprint.type.enum.native_mobile.header_name_nv」と入力して、「検索」をクリックします。

7. 「検索結果」セクションでクリックしてプロパティを選択し、マッピング属性を追加して「保存」をクリックします。

8. 実際値と表示値のマッピングを指定するには、「名前」フィールドに「vcrypt.fingerprint.type.enum.native_mobile.header_value_nv」と入力して、「検索」をクリックします。

9. 「検索結果」セクションでクリックしてプロパティを選択し、表示する実際値を追加して「保存」をクリックします。

注意: 非常に動的な属性(IPアドレスなど)を、モバイル・デバイス・フィンガープリントの属性として追加しないでください。デバイスを一意に識別できる属性のみを追加してください。

次の例は、モバイル・フィンガープリント列挙を示しています。

vcrypt.fingerprint.type.enum.native_mobile=900
vcrypt.fingerprint.type.enum.native_mobile.name=Native Mobile
vcrypt.fingerprint.type.enum.native_mobile.description=
Native Mobile implementation using Mobile and Social
vcrypt.fingerprint.type.enum.native_mobile.processor=
com.bharosa.uio.processor.device.NativeMobileDeviceIdentificationProcessor
vcrypt.fingerprint.type.enum.native_mobile.header_list=
os.type,os.version,hw.imei,hw.mac_addr
vcrypt.fingerprint.type.enum.native_mobile.header_name_nv=
os.type,Operating System Type,os.version,Operating System Version,
hw.imei,Hardware IMEI Number,hw.mac_addr,Hardware Mac Address
vcrypt.fingerprint.type.enum.native_mobile.header_value_nv=t,true,f,false

E.1.8 フィンガープリント・データの表示

OAAMでは、フィンガープリント・データを様々な詳細タブおよびページで表示できます。

E.1.8.1 セッション詳細

セキュアCookieとデジタルCookieに関する情報を表示するには、次の手順に従います。

1. ナビゲーション・ツリーで、目的の「セッション」ノードをダブルクリックします。

2. 詳細を表示するセッションを検索します。

3. 「検索結果」表で、目的のセッションの「セッションID」をクリックします。そのセッションのセッション詳細ページが表示されます。
一般的な詳細、およびセッション中に実行されたすべてのアクションがセッション詳細ページに取得されます。

4. セッションの詳細を表示します。
セキュアCookie、予期されるセキュアCookie、デジタルCookie、および予期されるデジタルCookieに関する情報。

E.1.8.2 ユーザー詳細: フィンガープリント・データ

この「ユーザー詳細: フィンガープリント・データ」タブには、特定のユーザーがログインしたときに収集されたすべてのフィンガープリント(ブラウザ、Flash、カスタム)情報が表示されます。ネイティブ・モバイルおよびアプレットに関するカスタム・フィンガープリント情報を収集できます。

1. ナビゲーション・ツリーで、目的の「セッション」ノードをダブルクリックします。

2. 詳細を表示するセッションを検索します。

3. 「検索結果」表で、目的のセッションの「セッションID」をクリックします。そのセッションのセッション詳細ページが表示されます。
一般的な詳細、およびセッション中に実行されたすべてのアクションがセッション詳細ページに取得されます。

4. 「ユーザー名」または「ユーザーID」のリンクをクリックします。

5. 「ユーザー詳細」ページで、「フィンガープリント・データ」タブをクリックします。

図E-1に、ブラウザ、Flash、カスタム・フィンガープリント・タイプなど、検索するフィンガープリント・タイプの例を示します。

図E-1 フィンガープリント・タイプによる検索

図E-2に、アプレット・フィンガープリント検索を示します。

図E-2 アプレット・フィンガープリント検索

図E-3に、モバイル・フィンガープリント検索を示します。

図E-3 モバイル・フィンガープリント検索

図E-4に、フィンガープリント検索の結果を示します。

図E-4 ブラウザおよびFlashフィンガープリントの結果の表示

E.1.8.3 ロケーション詳細: 「フィンガープリント」タブ

このタブには、ログイン時にロケーションに作成されたフィンガープリントがリストされます。

1. ナビゲーション・ツリーで、目的の「セッション」ノードをダブルクリックします。

2. 詳細を表示するセッションを検索します。

3. 「検索結果」表で、目的のセッションの「セッションID」をクリックします。そのセッションのセッション詳細ページが表示されます。
一般的な詳細、およびセッション中に実行されたすべてのアクションがセッション詳細ページに取得されます。

4. 「市区町村名」、「都道府県名」または「国」のリンクをクリックします。

5. ロケーション詳細ページで、「フィンガープリント・データ」タブをクリックします。

図E-5 ロケーション詳細: フィンガープリント・データ

E.1.8.4 デバイス詳細

「デバイス詳細」ページを開くには、次の手順に従います。

1. ナビゲーション・ツリーで、目的の「セッション」ノードをダブルクリックします。

2. 詳細を表示するセッションを検索します。

3. 「検索結果」表で、目的のセッションの「セッションID」をクリックします。そのセッションのセッション詳細ページが表示されます。
一般的な詳細、およびセッション中に実行されたすべてのアクションがセッション詳細ページに取得されます。

4. 「デバイス」サブタブをクリックします。

5. 「デバイスID」リンクをクリックします。

E.1.8.4.1 デバイス詳細: 「サマリー」タブ

「サマリー」タブの「フィンガープリント」パネルに、フィンガープリント情報が表示されます。カスタム・フィンガープリントを使用する場合、カスタム・フィンガープリントの詳細が表示されます。

表E-3 デバイス詳細のフィンガープリント情報

デバイス詳細の「フィンガープリント」タブ

説明

ブラウザ・フィンガープリント

次の情報が表示されます。

- ID

- ブラウザ

- ローカル国

- ローカル言語

- ローカル・バリアント

- オペレーティング・システム

- ユーザー・エージェント

デジタル・フィンガープリント

Flashフィンガープリント、またはユーザーが定義した別のカスタム・フィンガープリントの情報が表示されます。フィールドには、次のような情報が表示されます。

- ID

- デジタル・フィンガープリント・タイプ

- 画面のアスペクト率

- 音声/ビデオがユーザーによって無効化された

- ビデオ・エンコーダが含まれる

- デバッグ・バージョン

- 1インチ当たりのドット数

- 埋込みビデオ

- Flashバージョン

- 音声エンコーダを備えている

- MP3対応

- アクセシビリティ対応

- 音声対応

- Input Method Editorインストール済

- ローカル・ファイル読取りが無効

- 画面の色

- 言語

- 製造業者

- オペレーティング・システム

- プレーヤ・タイプ

- 画面解像度

- ネイティブSSLのサポート

デバイスにカスタム・フィンガープリントとしてFlashが含まれている場合、デジタル・フィンガープリントには、OSタイプ、ブラウザ・タイプ、プレーヤ・タイプ、音声対応、MP3対応、ストリーミング音声のサポートなどのFlashフィンガープリント詳細が表示されます。Flashがデバイスに関連付けられていない場合、Flashフィンガープリント詳細およびパラメータは表示されません。

収集するデジタル・フィンガープリントのタイプをFlashから(たとえば)QuickTimeに変更することを決定した場合、「フィンガープリント詳細」パネルには、現在の(最新の)フィンガープリント(QuickTime)のみが表示されます。「フィンガープリント・データ」タブをクリックすると、そのデバイスのすべてのフィンガープリント詳細を確認できます(ブラウザ、FlashおよびQuickTimeが表示されます)。

E.1.8.4.2 デバイス詳細: 「フィンガープリント・データ」タブ

このタブには、ログイン時にデバイスに作成されたフィンガープリントがリストされます。

図E-6 デバイス詳細: フィンガープリント・データ

E.1.8.5 「フィンガープリント詳細」ページ

「デバイス詳細」ページを開くには、次の手順に従います。

1. ナビゲーション・ツリーで、目的の「セッション」ノードをダブルクリックします。

2. 詳細を表示するセッションを検索します。

3. 「検索結果」表で、目的のセッションの「セッションID」をクリックします。そのセッションのセッション詳細ページが表示されます。
一般的な詳細、およびセッション中に実行されたすべてのアクションがセッション詳細ページに取得されます。

4. 「フィンガープリント詳細」パネルから「ブラウザ」または「デジタル・フィンガープリントID」を選択すると、「フィンガープリント詳細」ページにドリルダウンできます。

E.1.8.5.1 フィンガープリント詳細: 「サマリー」タブ

フィンガープリント詳細の「サマリー」ページには、一般的なフィンガープリント情報、およびデバイスのフィンガープリント生成時に収集されたデータが表示されます。

フィンガープリント詳細の「サマリー」タブには、フィンガープリント処理タイプ(Flash、ブラウザ、カスタム)およびパラメータが表示されます。

図E-7に、「サマリー」タブ内の収集されたデジタル・フィンガープリント・データを示します。

図E-7 デジタル・フィンガープリント・データの表示

図E-8に、「サマリー」タブ内の収集されたブラウザ・フィンガープリント・データを示します。

図E-8 ブラウザ・フィンガープリント・データの表示

E.1.8.5.2 フィンガープリント詳細: 「ユーザー」タブ

このタブには、指定された時間枠内にフィンガープリントを使用したユーザーがすべてリストアップされます。フィンガープリント詳細ページの「ユーザー」タブを使用すると、ログイン・プロセス時にフィンガープリントを使用したユーザー、および各ユーザーのフィンガープリント使用回数を特定できます。

図E-9 フィンガープリント詳細: ユーザー

このタブには、次のフィルタ・パラメータが含まれています。

表E-4 フィンガープリント詳細: 「ユーザー」タブ

フィルタ

説明

ユーザー名

ユーザーがログインするために入力するログイン名。(フィンガープリント用ではない)

組織ID

ユーザーが属する組織を識別します。(フィンガープリント用ではない)

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にこのデバイスを使用してログインしたすべてのユーザーを取得します。(フィンガープリント用ではない)

E.1.8.5.3 フィンガープリント詳細: 「デバイス」タブ

このタブには、フィンガープリントが使用されたすべてのデバイスがリストされます。

図E-10 フィンガープリント詳細: デバイス

フィンガープリント詳細ページの「デバイス」タブを使用すると、ログイン・プロセス時にフィンガープリントを使用したデバイス、および各デバイスのフィンガープリント使用回数を特定できます。

このタブには、次のフィルタ・パラメータが含まれています。

表E-5 フィンガープリント詳細: 「デバイス」タブ

フィールド

説明

デバイスID

各デバイスを一意に識別するもので、アプリケーションにより自動生成されます。

認証ステータス

セッションのステータス(ログインまたはトランザクション試行のたびに新規セッションが作成されます)。詳細は、「認証ステータス」を参照してください。

最終使用日

指定継続時間内にユーザーがログインに使用したすべてのデバイスを取得します。

E.1.8.5.4 フィンガープリント詳細: 「ロケーション」タブ

このタブには、フィンガープリントが使用されたすべてのロケーションがリストされます。

図E-11 フィンガープリント詳細: ロケーション

フィンガープリント詳細ページの「ロケーション」タブを使用すると、ログイン・プロセス時にフィンガープリントを使用したロケーション、および各ロケーションのフィンガープリント使用回数を特定できます。

E.1.8.5.5 フィンガープリント詳細: 「セッション」タブ

このタブには、特定の期間においてフィンガープリントが生成されたログイン・セッションがリストされます。

図E-12 フィンガープリント詳細: セッション

E.1.8.5.6 フィンガープリント詳細: 「アラート」タブ

このタブには、検索条件で指定された時間枠内でこのデバイスにトリガーされたアラートがリストアップされます。

図E-13 フィンガープリント詳細: アラート

E.1.8.5.7 フィンガープリント詳細でのタスク

この項では、フィンガープリント詳細ページを使用して情報を取得する方法について説明します。

デジタル・フィンガープリントの詳細の表示

デジタル・フィンガープリントの詳細を表示するには、セッション詳細ページまたはリスト・ページで「デジタル・フィンガープリントID」リンクをクリックします。

追加の詳細が含まれた、フィンガープリント詳細ページが開きます。

ブラウザ・フィンガープリントの詳細を表示する

ブラウザ・フィンガープリントの詳細を表示するには、セッション詳細ページまたはリスト・ページで「ブラウザ・フィンガープリントID」リンクをクリックします。

追加の詳細が含まれた、フィンガープリント詳細ページが開きます。

フィンガープリントが使用された様々なユーザーの検索および表示

フィンガープリントが使用された様々なユーザーを検索して表示するには:

1. セッション詳細ページまたはリスト・ページの「フィンガープリントID」リンクをクリックします。
フィンガープリント詳細ページが開き、追加の詳細が表示されます。

2. 「ユーザー」タブをクリックします。
このタブには、指定された時間枠内にフィンガープリントを使用したユーザーがすべてリストアップされます。

3. フィルタ・パラメータを使用して、フィンガープリントが使用された様々なユーザーを検索します。

フィンガープリントが使用された様々なデバイスの検索および表示

フィンガープリントが使用された様々なデバイスを検索して表示するには:

1. セッション詳細ページまたはリスト・ページの「フィンガープリントID」リンクをクリックします。
フィンガープリント詳細ページが開き、追加の詳細が表示されます。

2. 「デバイス」タブをクリックします。
このタブには、フィンガープリントが使用されたすべてのデバイスがリストされます。

3. フィルタ・パラメータを使用して、フィンガープリントが使用された様々なデバイスを検索します。
このレポートにより、ログイン・プロセス時にフィンガープリントを使用したデバイス、および各デバイスのフィンガープリント使用回数を確認できます。

フィンガープリントが使用された様々なロケーションの検索および表示

フィンガープリントが使用された様々なロケーションを検索して表示するには:

1. セッション詳細ページまたはリスト・ページの「フィンガープリントID」リンクをクリックします。
フィンガープリント詳細ページが開き、追加の詳細が表示されます。

2. 「ロケーション」タブをクリックします。
このタブには、フィンガープリントが使用されたすべてのロケーションがリストされます。

3. フィルタ・パラメータを使用して、フィンガープリントが使用された様々なロケーションを検索します。
このレポートにより、ログイン・プロセス時にフィンガープリントを使用したロケーション、および各ロケーションのフィンガープリント使用回数を確認できます。

すべてのログイン・セッションの検索および表示、またはフィンガープリントの特定期間のログイン・セッションの検索

すべてのログイン・セッションを検索して表示するか、またはフィンガープリントの特定期間のログイン・セッションを検索するには:

1. セッション詳細ページまたはリスト・ページの「フィンガープリントID」リンクをクリックします。
フィンガープリント詳細ページが開き、追加の詳細が表示されます。

2. 「セッション」タブをクリックします。
このタブには、特定の期間においてフィンガープリントが生成されたログイン・セッションがリストされます。

3. すべてのログイン・セッションを検索して表示するか、またはフィンガープリントのセッション日でログイン・セッションを検索します。
セッション日で検索すると、指定継続時間内にデバイスがログインしていた間のすべてのセッションが収集されます。

E.1.8.6 アラート詳細: フィンガープリント・データ

このタブには、指定された時間枠内でアラートのトリガー時に使用されたフィンガープリント情報が表示されます。

図E-14 アラート詳細: フィンガープリント・データ

E.2 デバイス識別

Oracle Adaptive Access Managerでは、数多くの属性を使用して、通常ログインに使用されるデバイスの認識とフィンガープリント処理を行うことによって、機関の対応範囲を拡大します。この項では、デバイス識別の概念について説明します。

E.2.1 デバイスIDの割当て

ユーザーが最初にログインしたとき、OAAMはデバイスの属性を一意の組合せで取得します。最初のログインなので、この時点ではユーザー側にCookieは設定されていません。したがってOAAMサーバーは、デバイスのフィンガープリント・データを処理し、このデバイスが以前に認識されたかどうかを判定する必要があります。ユーザーの妻がこのデバイスを使用したなどで、組合せがOAAMデータベースで見つかった場合、OAAMはこれを同じデバイスと認識し、同じデバイスIDをユーザーに割り当てます。

Oracle Adaptive Access Managerは、作成されたデバイスIDごとに一意のセキュアCookieを生成します。OAAMによってクライアントのブラウザに格納されるセキュアなCookieは、次に示すように、単なる追跡Cookieにすぎません。

- ユーザーに関する情報は一切格納されません。

- デバイスを識別する前に、ユーザーがそのブラウザからログインしているかどうかを追跡するためにのみ使用されます。

- 単一ユーザーのみに有効です。

デバイスIDは、Cookieに基づきません。デバイスごとに、OAAMは次回に予期されるCookie値を格納します。ユーザーがデバイスから次にログインするとき、OAAMは同じCookieを検索します。ブラウザでこのCookieが見つかると、OAAMはこのCookieを予期される値と比較します。2つの値が一致した場合、OAAMはFlashデータを調べません。それ以上調べられないのは、以前に使用したデバイスからリクエストが行われたと認識されるためであり、デバイスIDは再利用されます。

一致しなかった場合は、Cookieが失効しているまたは変更されている可能性があるため、無視されます。このCookieは廃棄され、新しいCookieが生成されます。この場合、構成されているルールがトリガーされ、スコアが高い方の結果と新しいデバイスIDが生成されます。ブラウザにCookieが存在しない場合は、それが新しいリクエストであることを示します。OAAMのCookieがブラウザに設定されない場合、OAAMはFlash共有オブジェクトを調べます。Flashが無効な場合、OAAMはブラウザのユーザー・エージェント文字列データと、セッション中に使用可能なその他のコンテキスト・データを調べます。同じデバイスIDを割り当てられる可能性があるので、OAAMは以前に別のところから組合せが取得されたことがあるかどうかを調べて判定します。

ユーザーがブラウザ側でCookieを無効にしている場合、Cookieの設定も禁止している場合には、デフォルトのデバイスIDが指定されます。この場合、デバイスIDはユーザー・エージェント文字列など他の属性に基づきます。

ユーザーがCookieを削除した場合は、新しいデバイスIDが生成されます。

異なるWebブラウザ/異なるデバイスID

Webブラウザ・ベースのフィンガープリント処理を使用する場合は、設計上各Webブラウザに一意のデバイスIDが指定されます。ただし、同じラップトップにインストールされているInternet ExplorerとMozilla Firefoxを使用するときは例外です。同じラップトップにインストールされている他のWebブラウザの場合、デバイスは別々のデバイスIDとしてOAAM管理コンソールに表示されます。OAAMは、デプロイメントで使用されたすべてのデバイスIDを、ユーザーとの関係でも独立してもプロファイルするためです。

Internet ExplorerとMozilla Firefoxを使用/Flashが使用可能な場合には同じID

Flashが使用可能な場合、同じマシン上でMozilla FirefoxとInternet Explorerを使用している場合であっても、デバイスIDは同じになります。これが該当するのは、Mozilla FirefoxとInternet Explorerのみです。他のWebブラウザでは動作が異なる場合があります。たとえばChromeを使用している場合、デバイスIDは異なります。

使用できるのは、データのサブセットのみです。

識別のロジックおよびポリシーは、データのサブセットのみを使用できるシナリオに対応するように設計されています。ブラウザ・ユーザー・エージェント文字列のみが使用可能な場合、OAAMロジックでは、ユーザーが以前に使用したデバイスの構成やユーザーが過去にアクセスしたアクセス元のロケーションなどのコンテキスト・データが調査されます。ユーザーがCookieとFlash共有オブジェクトを削除した、またはそれらを最初から有効にしていなかった場合には自動的に対処されます。

OAAMは、短期間の間(3回のログイン)新しいIDを割り当てます。その後、ユーザーの動作が変わらない場合は(同一のユーザーが同一のIPを使用している場合など)、以前のIDに戻します。デバイスのフィンガープリント処理では、オペレーティング・システムやブラウザのアップグレードなど、デバイス・データの一般的な変更も考慮されます。

このシナリオは、すべてのセッション後にユーザーがセキュアなCookieとFlash共有オブジェクトの両方を削除したものの、他のデータがセッション全体で一貫性を維持している場合の動作を示しています。OAAMデバイス識別のロジックおよびポリシーにより、フィンガープリント処理が3回正常に実行された後、デバイスを一貫性のあるデバイスIDとして認識できることが判断されます。

セッション

ユーザー

IP

ユーザー・エージェント

セキュアなCookie

Flash Cookie

Flash Cookieデータ

アクション

1

jsmith

1.1.1.1

Mozilla/5.0 (Windows、U、Windows NT 6.1、en-US、rv:1.9.2.28) Gecko/20120306 Firefox/3.6.28

予期されません、

Cookieなし、Cookie有効化、設定済

DCは予期されません、

FSOなし、インストール済および設定済

タイプ=Flash、画面アスペクト=1.0、A/V無効化=F、ビデオ・エンコーダ=T …

新規デバイス

1234

2

jsmith

1.1.1.1

Mozilla/5.0 (Windows、U、Windows NT 6.1、en-US、rv:1.9.2.28) Gecko/20120306 Firefox/3.6.28

Cookieが予期されます、

Cookieなし、Cookie有効化、設定済

DCが予期されます、

FSOなし、インストール済、設定済

タイプ=Flash、画面アスペクト=1.0、A/V無効化=F、ビデオ・エンコーダ=T …

新規デバイス

1235

3

jsmith

1.1.1.1

Mozilla/5.0 (Windows、U、Windows NT 6.1、en-US、rv:1.9.2.28) Gecko/20120306 Firefox/3.6.28

Cookieが予期されます、

Cookieなし、Cookie有効化、設定済

DCが予期されます、

FSOなし、インストール済、設定済

タイプ=Flash、画面アスペクト=1.0、A/V無効化=F、ビデオ・エンコーダ=T …

新規デバイス

1236

4

jsmith

1.1.1.1

Mozilla/5.0 (Windows、U、Windows NT 6.1、en-US、rv:1.9.2.28) Gecko/20120306 Firefox/3.6.28

Cookieが予期されます、

Cookieなし、Cookie有効化、設定済

DCが予期されます、

FSOなし、インストール済、設定済

タイプ=Flash、画面アスペクト=1.0、A/V無効化=F、ビデオ・エンコーダ=T …

新規デバイス

1237

5

jsmith

1.1.1.1

Mozilla/5.0 (Windows、U、Windows NT 6.1、en-US、rv:1.9.2.28) Gecko/20120306 Firefox/3.6.28

Cookieが予期されます、

Cookieなし、Cookie有効化、設定済

DCが予期されます、

FSOなし、インストール済、設定済

タイプ=Flash、画面アスペクト=1.0、A/V無効化=F、ビデオ・エンコーダ=T …

ブラウザ・データによるデバイス

1234

6

jsmith

1.1.1.1

Mozilla/5.0 (Windows、U、Windows NT 6.1、en-US、rv:1.9.2.28) Gecko/20120306 Firefox/3.6.28

Cookieが予期されます、

Cookieなし、Cookie有効化、設定済

DCが予期されます、

FSOなし、インストール済、設定済

タイプ=Flash、画面アスペクト=1.0、A/V無効化=F、ビデオ・エンコーダ=T …

ブラウザ・データによるデバイス

1234

Cookieが一致/異なるフィンガープリント

ユーザーが解像度を変更した場合など、Cookieが一致しても指紋が異なることがあり、OAAMは同じデバイスIDを指定しますがスコアが異なります。デバイスは同じように見えますが疑わしいとみなされるため、変更内容に基づいてリスク・スコアが引き上げられます。デバイスIDが同じになるのは同じCookieを使用している(Cookieが一致)からですが、Flashは以前と異なっています。

E.2.2 デバイス識別ポリシー

デバイスIDは、ルールとトリガー組合せによって決定されます。

Oracle Adaptive Access Managerでは、ビジネス・ロジックなどの様々な目的のためにポリシー・エンジンを使用して、ユーザー操作、リスク分析およびデバイス識別を実行します。デバイス識別ポリシーは、すべてのカスタマ・デプロイメントで機能するように設計されています。

注意:

デバイス識別ポリシーの変更はサポートされておらず、お薦めしません。

次のポリシーのリストはデバイス識別に使用されるため、どのような方法でも削除したり変更しないようにする必要があります。

- OAAMベース・デバイスIDポリシー

- OAAMモバイル・デバイスIDポリシー(主にOracle Access Management Mobile and Social統合のために使用される)

- OAAMデバイスIDポリシー

- OAAMシステム詳細分析Flashありポリシー

- OAAMシステム詳細分析Flashなしポリシー

注意:

「OAAMシステム詳細分析Flashありポリシー」と「OAAMシステム詳細分析Flashなしポリシー」については、この章では扱いません。

ポリシーのアクションはすべて、トリガー組合せから取得されます。デバイスIDは、トリガー組合せに大きく依存します。

ポリシーとトリガー組合せの詳細は、第10章「OAAMポリシーの概念およびリファレンス」を参照してください。

E.2.2.1 OAAMベース・デバイスIDポリシー

クライアント・デバイスを識別するときにどのデバイスIDポリシーを実行するかは、「OAAMベース・デバイスIDポリシー」によって決まります。

ベースIDポリシーには、ユーザーがモバイル・ユーザーかどうか、ログインがMobile and Social統合から行われているかどうかをチェックするルールが1つ含まれています。ルールには、次の2つの条件があります。

- 「デバイス: デバイスがモバイル・ブラウザを使用しているかどうかの確認」条件は、現在のデバイスがWebサイトへのアクセスにモバイル・ブラウザを使用しているかどうかを確認します。これは、ユーザー・エージェントに基づきます。

- 「デバイス: ブラウザ・ヘッダー・サブストリング」条件は、指定した文字列がブラウザのヘッダー情報にサブストリングとして存在するかどうかを確認します。

ベース・デバイスIDポリシーのトリガー組合せによって、実行するすべてのアクションが決定されます。

デバイスがモバイルで、Mobile and Socialタイプの統合からログインされている場合、OAAMはモバイル・デバイスIDポリシーを実行します。デバイスがモバイルではなく、UIOデプロイメントまたは従来型のデプロイメントからログインされている場合、OAAMはデバイスIDポリシーを実行します。

OAAMベース・デバイスIDポリシーの詳細は、10.5.2.1項「OAAMベース・デバイスIDポリシー」を参照してください。

E.2.2.2 OAAMモバイル・デバイスIDポリシー

OAAMモバイル・デバイスIDポリシーにより、Oracle Access Management Mobile and Social (Mobile and Social)統合に固有のモバイル・デバイスが識別されます。

OAAMモバイル・デバイスIDポリシーには、次の3つのルールがあります。

- 「デバイスID: 有効なCookie」条件で「モバイルCookie有効」
「デバイスID: 有効なCookie」条件は、指定したCookieに有効なノードが存在するかどうかを判別します。

- 「デバイスID: ヘッダー・データ一致」条件で「モバイルの既知のヘッダー一致」
「デバイスID: ヘッダー・データ一致」条件は、ヘッダーが一致するかどうかを判別します。

- 「デバイスID: ヘッダー・データが存在します」条件で「モバイル・デバイス・データあり」
「デバイスID: ヘッダー・データが存在します」条件は、ヘッダー・データが存在するかどうかを判別します。

すべてのアクションは、モバイル・デバイスIDポリシーのトリガー組合せによって実行されます。モバイル・デバイスがすでに割り当てられているかどうか、OAAMを新しいデバイスに割り当てる必要があるかどうかが確認されます。

- モバイルCookieが有効でデバイスが一致する場合、OAAMはモバイルCookie自体でデバイスを検索します。

- モバイルCookieは有効だがヘッダーが一致しない場合、OAAMはモバイルCookieによってデバイスを識別しますが、疑わしい可能性があります。疑問となるのは、ヘッダーが一致しない理由、アップグレードがあったかどうか、モバイルCookieが別の場所からコピーされたかどうか、などです。疑問があるため、スコアが高くなります。

- モバイルCookieが完全に無効な場合には、ユーザーが新規であることを表し、新しいデバイスIDが発行されてスコアは200になります。

- モバイルCookieが存在しない場合には、すべてが無効化されているためにユーザーが常にモバイルCookieからではない可能性を意味し、OAAMはデバイスが常にモバイルCookieなしかどうか確認を試み、標準デバイスIDを割り当てます。

OAAMモバイル・デバイスIDポリシーの詳細は、10.5.2.2項「OAAMモバイル・デバイスIDポリシー」を参照してください。

E.2.2.3 OAAMデバイスIDポリシー

OAAMデバイスIDポリシーにより、デバイスを既存IDによって識別するか新しいIDを発行するかが決定されます。これには10個のルールがあります。

「デバイスID」ポリシーで確認されるのは、ブラウザCookieが有効か、Flash Cookieが有効か、Flashが完全に無効か、Flashが存在するか、ブラウザ・フィンガープリントが一致するか、Flashフィンガープリントが一致するか、Cookieが一致するか、などのルールです。ルールは特定の条件を検索します。デバイス識別をカスタマイズしている場合には、これらのルールを使用できるか、カスタム開発を通じて完全に新しいルールを使用できます。

OAAMデバイスIDポリシーには、10個のルールがあります。

- 「ブラウザCookie有効」ルールには、「デバイスID: ブラウザCookie有効」条件が含まれています。
「デバイスID: ブラウザCookie有効」条件は、指定したデバイス値に有効なCookieノードがあるかどうかを判別します。

- 「Flash Cookie有効」ルールには、「デバイスID: Flash Cookie有効」条件が含まれています。
「デバイスID: Flash Cookie有効」条件は、指定したCookie値に有効なノードが存在するかどうかを判別します。

- 「Flash Cookie無効」ルールには、「デバイスID: Flash Cookie無効」条件が含まれています。
「デバイスID: Flash Cookie無効」条件は、履歴に基づいてユーザーのCookieが無効かどうかを判別します。

- 「ブラウザCookie無効」ルールには、「デバイスID: ブラウザCookie無効」条件が含まれています。
「デバイスID: ブラウザCookie無効」条件は、履歴に基づいてユーザーのブラウザが無効かどうかを判別します。

- 「ブラウザCookieあり」ルールには、「デバイスID: ブラウザCookieあり」条件が含まれています。
「デバイスID: ブラウザCookieあり」条件は、Cookie値が空か空でないかを判別します。検証チェックは含まれていません。

- 「Flash Cookieあり」ルールには、「デバイスID: Flash Cookieあり」条件が含まれています。
「デバイスID: Flash Cookieあり」条件は、Cookie値が空か空でないかを判別します。検証チェックは含まれていません。

- 「ブラウザFP一致」ルールには、「デバイスID: ヘッダー・データ一致」条件が含まれています。
「デバイスID: ヘッダー・データ一致」条件は、ヘッダー・データが一致するかどうかを判定します。

- 「Flash FP一致」ルールには、「デバイスID: ヘッダー・データ一致」条件が含まれています。
「デバイスID: ヘッダー・データ一致」条件は、ヘッダー・データが一致するかどうかを判別します。

- 「Cookie一致」ルールには、「デバイスID: Cookie一致」条件が含まれています。
「デバイスID: Cookie一致」条件は、両方のCookieのトラッカ・ノードが一致することを確認します。

- 「Flashデータあり」ルール条件には、「デバイスID: ヘッダー・データが存在します」条件が含まれています。
「デバイスID: ヘッダー・データが存在します」条件は、ヘッダー・データが存在するかどうかを判別します。

デバイスIDポリシーの動作を示すために、2つのトリガー組合せについて説明します。トリガー組合せの各行は、ポリシーに存在する1つのルールです。各列は、トリガーされる、またはトリガーされないルールの組合せを表します。

図E-15 デバイスIDポリシーのトリガー組合せ1-3

最初の列は、ブラウザ・フィンガープリントが一致、Flashフィンガープリントが一致、Cookieが一致のそれぞれの状況を表します。この場合、生成されるアクションはセキュアCookieによって識別されるOAAMデバイスです。OAAMはそのCookieを使用し、そのCookieを使用する既存デバイスが存在する場合には、OAAMがその特定のデバイスをセッションに割り当てます。

ユーザーが同じデバイスまたは同じブラウザから別のユーザーとしてログインする場合も、Cookieは同様です。ユーザーが別のユーザーとしてログインする場合でも、アクセスするデバイスは同じです。

スコアは使用せずにアクションまたはアラートを生成する方が論理的な場合もあります。列1ではCookieが一致しているため、OAAMはセキュアCookieによって識別されたデバイスを再利用します。

2番目の列は、第2の条件セットです。最初の条件セットが満たされなかった場合、OAAMは2番目の列に進みます。最初の条件セットが満たされた場合、それ以上の列は実行されません。そうでない場合、OAAMは2番目の列に進みます。

一部の列には、たとえば2番目の列でFlash Cookieが一致しなかったがブラウザCookieが一致したなど、条件が満たされても状況に疑問がある場合に生成されるスコアがあります。OAAMはブラウザ・フィンガープリントによってデバイスを識別しますが、デバイスにFlashが存在しない理由は判別できないため、OAAMがスコアを生成します。この場合、Flashが存在しないために疑わしい状況になります。下流でスコアを生成する他のポリシーで、そのスコアが考慮されます(スコアは認証後またはチャレンジ後に使用されます)。これが、デバイス・リスクの程度と呼ばれる、ルールの事前条件です。スコアはこのチェックポイントの結果であり、デバイス識別ではスコアは使用されません。

E.2.3 ネイティブ統合とデバイスID

ルール・エンジンは、ルール結果を配信するのみでなく、デバイスID(このログイン・セッションで使用されたデバイスを示すOracle Adaptive Access Manager内部の識別子)を返すことができます。

注意:

API統合を示すOAAMの最新のサンプル・アプリケーションは、次のOracle Technology Networkからダウンロードできます。

http://www.oracle.com/technetwork/index.html

デバイスIDを取得する.NETのサンプル・コード

次のコードは、デバイスIDの取得方法を示したサンプルです。

VCryptRulesResult rulesResult = proxy.processRules ...);

If (!rulesResult.Response.IsSuccess) {
BharosaTrace.Error("Error running rules " + rulesResult.Response.ErrorMessage);
}
Long deviceId = rulesResult.DeviceId;

重要:

ここに示すコードは、次のことを前提としています。

- Oracle Adaptive Access Manager 10.1.4.5またはそれ以降を使用している。

- Oracle Adaptive Access Managerでプロパティbharosa.tracker.send.deviceIdをtrueに設定している。

bharosa.tracker.send.deviceId=true

デバイスIDを取得するJavaのサンプル・コード

次のコード・サンプルで、デバイスIDの取得方法を説明します。

VCryptRulesResult rulesResult = new
VCryptRulesEngineImpl().processRules(<params..>);

If (!rulesResult.getVCryptResponse().isSuccess()) {

Logger.error("Error running rules " +
rulesResult.getVCryptResponse().getErrorMessage());

}

Long deviceId = rulesResult.getDeviceId();

デバイスIDを取得する際には、次の点に注意してください。

- Oracle Adaptive Access Managerのバージョンが10.1.4.5またはそれ以上である。

- プロパティbharosa.tracker.send.devideIdがtrueに設定されていて、デバイスIDが取得可能である。

bharosa.tracker.send.deviceId=true

E.2.4 デバイス識別の拡張

多くの標準的なデプロイメントでは、即時利用可能なデバイス識別によってクライアントの要件が満たされますが、そのプロセスを拡張して、追加情報をフィンガープリントに含める機能が必要になることがあります。即時利用可能なデバイス識別では、ブラウザとOAAM Flashムービーからのデータを使用します。次に、デバイス識別の拡張が必要と思われる標準的なシナリオを示します。

- クライアント・サイドではFlashをサポートしていないため、OAAM Flashムービーを使用してクライアントの詳細を取得できません。たとえば、iPhone、iPadなどがあります。

- ブラウザの内部で実行可能な非フラッシュ拡張を使用して、より厳密なデバイス識別データをクライアントから抽出する必要があります。

OAAMの11.1.1.5リリース以降、デバイス識別の拡張に使用でき、ネイティブ統合および非ネイティブ統合の両方で実装可能なフレームワークが用意されています。このフレームワークは、クライアント・サイドの拡張とOAAMサーバーのデバイス識別拡張に分割されています。

E.2.4.1 前提条件

Oracle Adaptive Access Managerでデバイス識別拡張タスクを実行する際の前提条件を、次のリストに示します。

- カスタム・デバイス識別拡張はJavaを使用して開発する必要があるため、Javaプログラミングの知識を有している必要があります。

- クライアント・デバイスに関して収集する情報と、その情報収集に使用するテクノロジを決定しておく必要があります。考慮の対象となる代表的なテクノロジは、アプレット、JavaScriptなどです。

- OAAM拡張共有ライブラリの開発とデプロイのプロセスについて理解しておく必要があります。

E.2.4.2 カスタム・デバイス識別拡張の開発

カスタム・デバイス識別拡張は、Oracle Adaptive Access Manager提供の即時利用可能なデバイス識別を拡張するソフトウェアです。

E.2.4.2.1 クライアント・サイド拡張の実装

クライアント・ブラウザで実行可能なクライアント・サイド拡張の実装では、適切なテクノロジを使用して拡張をコード化します。

クライアント・サイド拡張は、次の要件を満たす場合は任意のテクノロジで実装できます。

- Webページを変更しなくても、クライアント・サイドのブラウザで実行できます。これは非表示であり、ユーザー・コントロール・フローを変更することはありません。
クライアント・サイド拡張の実装に選択したテクノロジは、ユーザーのブラウザのコンテキストで実行する必要があります。標準的な選択肢として、Flash、JavaScript、Javaアプレットなどのテクノロジがあります。

- OAAMサーバーとの通信が可能であり、HTTPプロトコルを使用してデータをポストできます。
標準統合でHTTP POSTメソッドを使用している場合は、フィンガープリント・データとセキュアCookieをOAAMサーバーに送信する必要があります。

- 特に重要: データのポスト中に既存のOAAMのHTTPセッションが使用できます。これは、デバイス識別が適切に機能するためには特に重要です。
フィンガープリント処理データをユーザーのログインと関連付けるために、サーバーに送信されるデータはユーザーのセッションのコンテキストで送信する必要があります。これを実行するには、有効なJSESSIONIDが存在している必要があります。

- 拡張によって収集されるデータ/値のリストによって、クライアント・デバイスが一意に識別されます。
一般に、ユーザーのデバイスで課せられるデータ制約を考慮すると、OAAMにより収集されるフィンガープリントはできるかぎり一意である必要があります。デバイス識別の拡張中は、ユーザーのデバイスを一意に識別する追加データを収集する最大の機会です。

- 拡張によってCookie等価を取得し、クライアント・コンピュータに格納できます。
セキュアなCookieという概念は、デバイス・フィンガープリント処理プロセスの中核をなすものです。デバイス識別では、OAAMサーバーにより拡張に指定された値を格納および取得する機能をサポートしている必要があります。

- 拡張では、HTTPポストを使用して、OAAMサーバー上のflashFingerprint.do URLに次のパラメータを送信できます。
注意: この要件は、標準のOAAM実装を使用している場合にのみ該当します。

表E-6 flashFingerprint.do URLに対するパラメータ

パラメータの名前

説明

client

クライアント拡張の名前。拡張タイプを示す定数値。

fp

クライアント・サイドを識別するすべての名前と値のペアが含まれている連結文字列。名前と値のペアは&を使用して連結され、名前と値は=で区切られます。

例: os_nameとos_versionが拡張によって収集される場合、fp文字列の値はos_name=windows&os_version=7になります。

<as determined by the implementation>

クライアント拡張により格納/保持されるCookie等価値を送信します。

E.2.4.2.2 カスタム・デバイス識別拡張に関連するプロパティのOAAM拡張共有ライブラリへの追加

静的な値は、新規の拡張を認識できるようにOAAMサーバー内で定義する必要のあるプロパティに関連しています。

カスタム・フィンガープリント・タイプを作成するには、次の手順を実行します。

1. OAAM拡張共有ライブラリWARのoaam_custom.propertiesファイルを開きます。

2. 次のプロパティを、列挙要素としてvcrypt.fingerprint.type.enumに追加します。
注意: <extension-name>を、拡張を表す文字列に置換します。flashとbrowserはOAAM製品ですでに使用されているため、これらの文字列は使用しないでください。

表E-7 vcrypt.fingerprint.type.enumの要素

プロパティ名

値の説明

vcrypt.fingerprint.type.enum.<extension-name>

100を超える整数値

vcrypt.fingerprint.type.enum. <extension-name>.name

拡張を表す名前

vcrypt.fingerprint.type.enum. <extension-name>.description

拡張の説明

vcrypt.fingerprint.type.enum. <extension-name>.processor

サーバー・サイドにデバイス識別ロジックを実装するプロセッサ・クラスの完全修飾されたJavaクラス名。このクラスの実装方法の詳細は、次の項を参照してください。

vcrypt.fingerprint.type.enum. <extension-name>.header_list

クライアント・サイドの拡張により収集されるデータのカンマ区切りリスト。

vcrypt.fingerprint.type.enum. <extension-name>.header_name_nv

データおよびデータの読取り可能な名前のカンマ区切りリスト。

vcrypt.fingerprint.type.enum. <extension-name>. header_value_nv

値と値の読取り可能な文字列とのマッピングのカンマ区切りリスト。

bharosa.uio.default.device.identification.scheme

<extension-name>

注意: OAAMでカスタム・デバイス認証を使用するために非常に重要です。

3. フィンガープリント・スキームをフィンガープリント・タイプの列挙要素ID/キーに設定します。
例:

bharosa.uio.default.device.identification.scheme=flash

例

次のFlashフィンガープリント・タイプを例として示します。

vcrypt.fingerprint.type.enum.flash=2
vcrypt.fingerprint.type.enum.flash.name=Flash
vcrypt.fingerprint.type.enum.flash.description=Flash
vcrypt.fingerprint.type.enum.flash.processor=
com.bharosa.uio.processor.device.FlashDeviceIdentificationProcessor
vcrypt.fingerprint.type.enum.flash.header_list=
avd,acc,a,ae,ev,ime,mp3,pr,sb,sp,sa,sv,tls,ve,deb,l,lfd,m,os,ar,pt,col,dp,r,v
vcrypt.fingerprint.type.enum.flash.search_list=deb,l,os,v
vcrypt.fingerprint.type.enum.flash.result_list=deb,l,os,v
vcrypt.fingerprint.type.enum.flash.header_name_nv=
avd,Audio/Video disabled by user,acc,Has accessibility,
a,Has audio,ae,Had audio encoder,ev,Embedded video,
ime, Has input method editor (IME) installed,
mp3, Has MP3, pr, Supports printer,
sb, Supports screen broadcast applications,
sp, Supports playback on screen broadcast applications,
sa, Supports streaming audio,
sv, Supports streaming video, tls, Supports native SSL,
ve, Contains video encoder, deb, Debug version, l, Language, lfd,
Is local file read disabled, m, Manufacturer, os, Operating System,
ar, Aspect ratio of screen, pt, Player type, col, Is screen color,
dp, Dots-per-inch (DPI), r, Screen resolution, v, Flash version
#vcrypt.fingerprint.type.enum.flash.header_value_nv=t,true,f,false

vcrypt.fingerprint.type.enum.flash.header_value_nv=
t,true,f,false,en,English,es,Spanish,de,German,it,Italian,ja,Japanese,
fr,French,ko,Korean,zh,Chinese,ar,Arabic,cs,Czech,
da,Danish,nl,Dutch,fi,Finnish,el,Greek,iw,Hebrew,hu,Hungarian,
no,Norwegian,pl,Polish,pt,Portuguese,ro,Romanian,ru,Russian,
sk,Slovak,sv,Swedish,th,Thai,tr,Turkish,BR,Brazil

E.2.4.2.3 DeviceIdentification拡張クラスの拡張/実装

DeviceIdentification拡張クラス、com.bharosa.uio.processor.device.DeviceIdentificationProcessorBaseを拡張し、この項で説明するメソッドを実装します。サーバー・サイドの拡張により、必要なメソッドがすべて拡張されます。

E.2.4.2.4 getPlugInHTML

public String getPlugInHTML();

実装により、ログイン・ページに埋め込める有効な拡張HTMLが返されます。このHTMLでは、サポートしているテクノロジがクライアントで使用できなかったり、無効になっている場合に、例外を処理できる必要があります。

次に、拡張HTMLの例を示します。

<applet alt="Browser has Java disabled" name="OAAMDeviceIdentifier" width="0"
height="0"
code="com.bharosa.uio.processor.device.SampleAppletDeviceIdentifierClient"
codebase="applet"
archive="oaam_device_sample_applet.jar">
</applet>

注意: このメソッドは、ユーザーがログイン・ページに移動したときにoaamLoginPage.jspによりコールされます。

E.2.4.2.5 getFingerPrint

public String getFingerPrint();

このメソッドにより、拡張によって送信されたデータを使用してクライアント・デバイスを識別する、一意のフィンガープリントを作成するロジックが実装されます。

このメソッドは、クライアント・サイドの拡張からデバイス識別データがOAAMサーバーに送信されるときにコールされます。

このメソッドは、UIOContext.getCurrentInstance().getRequestをコールしてHttpServletRequestオブジェクトへのハンドルを取得し、クライアント拡張により送信されたデータを読み取ります。

前の項で説明したように、クライアント拡張は、データ・ポイントのリストをfpリクエスト・パラメータの値として1つの文字列で送信します。

このクラスは、この文字列をトークン化してデータ・ポイントとその値のリストを判別します。

E.2.4.2.6 getDigitalCookie

public String getDigitalCookie();

実装により、クライアント拡張から送信されたFlash Cookieが返されます。クライアントとサーバーでは、Flash Cookieを示すHttpパラメータが指定されます。

このメソッドは、UIOContext.getCurrentInstance().getRequestをコールしてHttpServletRequestオブジェクトへのハンドルを取得し、クライアント拡張により送信されたデータを読み取ります。

E.2.4.2.7 getClientDataMap

public Map getClientDataMap(HttpServletRequest request);

実装により、リクエストからデータが読み込まれ、ロギングまたは監査の目的で使用できるマップに格納されます。

E.2.4.3 相互作用の概要

次に、デバイス識別拡張の動作と、OAAMサーバーとの相互作用の概要を示します。

1. ユーザーは、OAAMサーバー上のOAAMユーザー・ログイン・ページに移動します。

2. OAAMサーバーは、デバイス識別構成を使用して、デバイス識別拡張クラスを適切にインスタンス化します。さらに、拡張クラスに、ユーザー・ログイン・ページに埋め込む必要のあるHTMLを要求します。OAAMサーバーは、ユーザー・ログイン・ページをデバイス識別拡張HTMLとともに返します。

3. ログイン・ページがレンダリングされると、クライアント・ベースの拡張がアクティブになり、デバイスに関する情報が収集されます。

4. クライアント拡張は、収集されたデータをOAAMサーバー上のデバイス識別URLに送信します。

5. OAAMサーバーはデバイス識別拡張をコールして、クライアント拡張から収集したデータに基づき、フィンガープリントを取得します。

6. さらに、フィンガープリントが既存のデバイスに対応しているかどうかを確認します。対応していない場合は、デバイスを新規に作成して、そのデバイスにフィンガープリントを関連付けます。

7. OAAMサーバーはデバイス識別拡張をコールして、Flash Cookieを取得します。Flash Cookieが存在しない場合は、新規に作成されます。

8. Flash Cookieがクライアント拡張に返されて、クライアント・システムに格納されます。

9. ユーザーIDを入力すると、Flash CookieまたはブラウザCookie、またはその両方を使用して、ユーザー・リクエストがデバイスに関連付けられます。

10. 認証後に(成否にかかわらず)、ユーザー・リクエストが認証結果で更新されます。

11. 今後のログインで同じデバイスを使用する場合は、フィンガープリント処理をしなくても、Flash Cookieを使用してデバイスを検索できます。

E.2.4.4 コンパイル、アセンブルおよびデプロイ

カスタム・デバイス認証拡張クラスをコンパイルし、OAAM拡張共有ライブラリをアセンブルします。

E.2.4.5 拡張の実装に関する重要な注意

拡張を実装する際、次の点に留意してください。

- カスタム・デバイス識別クラスによってクライアント・サイド拡張のアクティブ化に必要な有効なHTMLが出力されることを確認します。

- クライアント・サイド拡張が、既存のHTTPセッションを使用してOAAMサーバーにデータをポストすることを確認します。

E.3 ユース・ケース

新規デバイス

ユース・ケース

説明

セキュアなCookieとFlash Cookieの両方が有効化されています。

セキュアなCookieとFlash Cookieの両方が欠落しています。Flashリクエストが正常に受信されました。

セキュアなCookieとFlash Cookieの両方が無効化されています。

ユーザーはこのロケーションからデバイスを以前に使用していません。

セキュアなCookieは有効化されており、Flash Cookieは無効化されています。

セキュアなCookieとFlash Cookieの両方が欠落しています。また、Flashリクエストは正常に受信されませんでした。

セキュアなCookieは無効化されており、Flash Cookieは有効化されています。

セキュアなCookieとFlash Cookieの両方が欠落しています。ただし、Flashリクエストは正常に受信されました。

認識されたデバイス

ユース・ケース

説明

セキュアなCookieとFlash Cookieの両方が有効化されています。

セキュアなCookieとFlash Cookieの両方が受信されました。

セキュアなCookieとFlash Cookieの両方が無効化されています。

セキュアなCookieとFlash Cookieの両方が欠落しています。また、Flashリクエストは正常に受信されませんでした。

セキュアなCookieは有効化されており、Flash Cookieは無効化されています。

セキュアなCookieのみが正常に受信されました。

セキュアなCookieは無効化されており、Flash Cookieは有効化されています。

Flash Cookieのみが正常に受信されました。

有効な例外

ユース・ケース

説明

ブラウザがアップグレードされました。

ブラウザの特性が一致していません。

デバイスがアップグレードされました。

Flashデータが一致していません。

ブラウザおよびデバイスがアップグレードされました。

ブラウザとFlashデータの両方が一致していません。

別のブラウザが使用されました。セキュアなCookieが欠落しています。

セキュアなCookieが欠落しています。ブラウザの特性が一致していません。Flash Cookieが一致していません。Flashデータが一致しています(ブラウザは除外)。

ユーザーが異なるブラウザです。Cookieとブラウザの特性の両方が一致していません。

セキュアなCookieが一致していません。ブラウザの特性が一致していません。Flash Cookieが一致していません。Flashデータが一致しています(ブラウザは除外)。

セキュアなCookieは非同期であり、Flash Cookieは同期されています。

セキュアなCookieが一致していませんが、同じデバイスに属していました。

Flash Cookieは非同期であり、セキュアなCookieは同期されています。

Flash Cookieが一致していませんが、同じデバイスに属していました。

セキュアなCookieとFlash Cookieの両方が非同期です。

両方のCookieが一致していませんが、同じデバイスに属していました。

デバイス・リスクの程度

これらのユース・ケースはOracle Adaptive Access Managerのデバイス・リスクの程度を定義するのに役立ちます。デバイス・リスクの程度により、識別されるデバイスの確実性を指定します。これは、すべてのデバイス・タイプ・ルールにおける標準的な事前条件です。たとえば、デバイス・リスクの程度が0であることは完全一致を示し、デバイス・リスクの程度が500である場合は、前のセッションとの妥当な差異がある予期しないデバイスであること示し、スコアが1000である場合は、識別を行うのに最小限の一致データのみを持つデバイスであることを示します。

E.4 デバイスのフィンガープリント処理のトラブルシューティング

次に示すような情報を収集すると、デバイスのフィンガープリント処理の問題をトラブルシューティングする際に役立ちます。

1. 説明されているユース・ケースは、設計されたとおりのOAAM機能ですか。

2. デバイスのフィンガープリント・ポリシーがロードされていますか。

3. これがJAVA/.Net/SOAP統合の場合、デバイスのフィンガープリントのAPIコールはサンプル・アプリケーションおよびドキュメント内の順序と同一または類似していますか。

4. これがJAVA/.Net/SOAP統合の場合、デバイスのフィンガープリントに対する既知のバグ修正を含むすべてのパッチが適用されていますか。

5. 正しい手順とデータを確認します。
データを収集するには次のSQLコマンドを実行します。

select * from VCRYPT_TRACKER_USERNODE_LOGS where USER_LOGIN_ID=loginId and
CREATE_TIME > beginTime and CREATE_TIME < endTime;

6. ブラウザとクライアント・アプリケーション、および関連するエンド・ポイント・マシンの設定に注意してください。Cookieは有効になっていますか。Flashはインストールされていますか。

7. オペレーティング・システムやブラウザのアップグレードなど、説明されていないユース・ケース手順があったかどうかを判断します。

8. HTTPヘッダー・トレースを収集します。CookieおよびFlashオブジェクトは必要なときに欠落していますか。

E.5 デバイス識別とフィンガープリント処理でよくある質問

この項では、デバイス識別とフィンガープリント処理についてよくある質問に対する回答を示します。

- 質問: 同じマシンからMozilla FirefoxにアクセスするときとInternet Explorerにアクセスするときとで、デバイスIDは変わりますか。
回答: デバイスIDは変わりません。

- 質問: デバイスIDは多くの要素に基づいて作成されます。他のデバイスIDを取得するとき、変更する要素は何ですか。
回答: ブラウザで、OAAMによって設定されるCookieを使用するか、すべてのCookieをクリアしてください。

- 質問: 最初にトップ・レベルを調べ、デバイスIDを詳細に調べるかどうか、ポリシーはどのように判定するのですか。
回答: デバイスIDポリシーには、Cookieに基づいてデバイスが一致するかどうかを調べるデシジョン・ツリーがあります。Cookieが一致する場合、詳細な分析は実行されません。Cookieが一致しない場合、Flashまたはブラウザ・データが提供する各要素をポリシーがチェックし、一定比率の一致があるかどうか、どの一致が必要かなどを確認します。

- 質問: 同じデバイスIDを使用するか、新しいデバイスIDを使用するかは、何によって決定されますか。
回答: Cookieまたは分析によってデバイスがポジティブに一致する場合、OAAMは同じデバイスIDを使用します。一方、OAAMのデバイスがどれもそのプロファイルに一致しない場合、OAAMは新しいデバイスIDを作成します。これは、デバイスIDポリシーで決定されます。

- 質問: デバイスIDルールをすべて無効にした場合は、どうなりますか。
回答: デバイスIDは0ですか。すべてのデバイスに対して同じデバイスIDが使用されます。

デフォルト値は何ですか。これは、デバイス表の現在の連番によって異なり、通常は空のデータベースで1から始まります。

- 質問: 新しいクライアントに基づいて、フィンガープリントはどのように作成されますか。
回答: フィンガープリントは、name=valueペアで構成されます。新しいクライアントの場合、フィンガープリントの列挙で予期される属性名を指定する必要があります。この場合、OAAMはクライアント・データでそれらの名前を検索し、名前で指定した属性のすべての値で一意の組合せが最初に見つかった時点でフィンガープリントが生成されます。

- 質問: ブラウザ以外のクライアントがあり、まったく新しいクライアントを作成する場合にはどうなりますか。そのような値はどのルールと条件で評価できますか。
回答: 前述の回答を参照してください。フィンガープリントの作成は、データの元がブラウザかそうでないかに依存しません。ブラウザ・ベースではないフィンガープリントの代表例が、Oracle Mobile and Socialです。

- 質問: ルールが構成どおりに動作しません。構成に基づくと、フィンガープリントは何で定義され、新しいデバイス・タイプを追加するにはどのくらいのポリシー作業が必要ですか。
回答: 新しいデバイス・タイプを定義する場合、デバイス・タイプの列挙に追加したうえで、その新しいデバイスIDを作成する必要があります。

たとえば、新しいデバイス・タイプが「ATMマシン」で、それに対して新しいフィンガープリント・タイプを定義する必要がある場合には、そのデータ(name=value)をデジタル・データとして指定し、新しい一意のデバイスの識別方法を定めるデバイスIDポリシーを記述します。この新しいデバイス・タイプの列挙には、既知のヘッダー情報を追加する必要があります。例については、既存のデバイス・タイプを参照してください。

- 質問: 新しいカスタム・アプリケーションがあるとき、新しいフィンガープリント・タイプはどのように設定しますか。別のパラメータを設定する必要がありますか。
回答: 新しいフィンガープリントを設定するには、fingerprint.type.enumの列挙を使用して新しいフィンガープリント・タイプを定義し、それに値を追加します。そのアプリケーションの各パラメータが、新しいフィンガープリント・タイプの新しい属性になります。

parameter_name = some_valueがあるヘッダーの一部としてデータを受け取った場合、OAAMは一意の組合せを確認した時点でフィンガープリントを作成します。

- 質問: セッションを作成するOAAM APIは、フィンガープリント・データをパラメータにとります。そのパラメータを渡せるAPIは何ですか。
回答: そのAPIは、createOAAMSession(….)です。このAPIの詳細は、Oracle Fusion Middleware Oracle Adaptive Access Manager Java APIリファレンスを参照してください。

- 質問: セッション要素を導入すると、セキュアCookie盗難はどのように防止されますか。OAAMはバックエンドのAdaptiveストアでユーザーごとの各デバイスのセッションIDを管理する必要はありますか。
回答: Cookieは盗み出せますが、1回かぎり使用されるのCookieです。したがって、2つの可能性があります。

1. 本物のユーザーがすでにCookieを1回は使用しており、システムが古いCookieを更新した(変更または使い切った)ため、無効になった、または、

2. 不正行為者が本物のユーザーより前にCookieを使用している。ハッカーがユーザーを欺いて1回かぎりのCookieを使用する可能性はありますが、不正行為者ではデバイスのフィンガープリントが異なるため、ユーザーのKBA質問に回答する必要があります。

不正行為者が先にCookieを使用して成功する(その可能性はほぼありませんが)可能性を考慮すると、本物のユーザーがCookie無効の警告を受け取り、不正扱いされる可能性はあります。本物のユーザーはパスワードを変更するなどの対策が可能です。

- 質問: 組合せと予期される動作も含めたデバイス・フィンガープリント表は用意されていますか。
回答: デバイス表はVcrypt_Tracker_Nodeです。

この表には、「デジタル・フィンガープリントID」(Flash)と「フィンガープリントID」(ブラウザ)の各列があります。VCrypt_Fingerprint表を参照すると、デバイス表で指定されるフィンガープリントIDの値もわかります。たとえば、デバイス表でフィンガープリントの値が23であるとします。V_Fprints表で、fprint_id = 23に一致する行を探すと、そのフィンガープリントに対して取得されたデータの値とハッシュ値がわかります。

- 質問: デバイスIDポリシーはどのように機能しますか。
回答: デバイスIDポリシーも、機能は他のポリシーと同じです。一定のルールに基づいて、デバイスIDポリシーが規定する一連のアクションがあります。着信セッションに新しいデバイスと既存のデバイスのどちらを割り当てるかが、これらのアクションによって決まります。

- 質問: デフォルトのOAAMデバイスIDポリシーには、デバイスでCookieが無効かどうかを確認するルールがあります。Cookie無効のルールに基づいて、OAAMは最新の5つのデバイスを調べます。6回目のログインからユーザーが常に空のCookieを渡す場合でも、このルールに基づいて古いデバイスIDが再利用されます。調べられるデバイスの数は変更可能ですか。
回答: この値は、vcrypt.tracker.rule.cookiePatternCheck.previousAttemptsToCheckプロパティを使用して構成できます。値の範囲は2以上98以下です。

- 質問: NULLのセキュアCookie/Flash Cookieに対して、デバイス・フィンガープリント処理はどのように実行されますか(標準デバイス識別ポリシーの場合)。
回答: Flash Cookieが存在しなければ、ブラウザCookieとヘッダーに基づいて実行されます。

E.5.1 カスタム属性のユース・ケース

次に、カスタム・フィンガープリントのデプロイ方法およびその動作を示すユース・ケースを示します。

E.5.1.1 カスタム属性が使用可能な場合

MikeはAcme CorpのWebアプリケーション開発者です。Mikeは、エンド・ユーザーのマシンのMACアドレスを取得し、ブラウザ/サーバー間相互作用の一環として取得したアドレスをOAAMサーバーに送信するブラウザ拡張機能を開発しました。OAAMデバイスのフィンガープリント処理が、媒体アクセス制御アドレス(MACアドレス)をデジタル・フィンガープリントとして使用するよう設定され、エンド・ユーザーが拡張機能をインストールしている場合、OAAM管理コンソールの詳細ページには、「デジタル・フィンガープリント」としてラベルされたMACアドレスが表示されます。

E.5.1.2 カスタム属性が使用不可でFlashがインストールされていない場合

Acme Corpのデプロイメントにおいて、エンド・ユーザーが拡張機能をインストールしておらず、Flashをインストールしていない場合、OAAMデバイスのフィンガープリント処理では、セキュアなCookieおよびブラウザ・データのみがデバイスのフィンガープリント処理に使用されます。OAAM管理コンソールの詳細ページには、「デジタル・フィンガープリント」として何も表示されません。

E.5.1.3 カスタム属性の検索

JeffはAcme Corpのセキュリティ・アナリストです。Jeffは「トランザクションの検索」ページを開き、検索フィルタを構成して、特定の媒体アクセス制御アドレス(MACアドレス)を使用してニューヨークから過去24時間に行われた、任意の従業員プロファイルによるデバイスからのアクセス・トランザクションを検索します。この問合せにより25個のトランザクションが返されます。

E.5.1.4 Flash Cookieをクリア

Oracle Adaptive Access Managerは、デバイスのフィンガープリントを開発するために1つの要素にのみ依存しているわけではありません。Flash Cookieがクリアされても、Oracle Adaptive Access Managerは、デバイスの識別に他の情報を使用します。OAAMでは標準FSOのみがサポートされていますが、カスタム・クライアントを使用することもできます。OAAMでは、デジタル・フィンガープリントが変更されていても、デバイスを一意に識別できます。OAAMには、すべてのフィンガープリント(ブラウザ、Flashまたはアプレット)が欠落している場合に備えて、使用されているデバイスを識別するなんらかのクライアント・フィンガープリント・デバイスが必要です。

E.5.1.5 Secure Cookiesを削除しましたか。

Oracle Adaptive Access Managerのフィンガープリント処理テクノロジは、1つの要素にのみ依存しているわけではありません。Oracle Adaptive Access Managerでは、数多くの属性を使用して、通常ログインに使用されるデバイスの認識とフィンガープリント処理を行うことによって、機関のカスタマ基盤の対応範囲を拡大します。セキュアなCookieが欠落したり無効化されている場合、Oracle Adaptive Access Managerでは、デバイスの識別にFlashムービーやHTTPヘッダーなどの、他の要素を使用します。

F グローバリゼーション・サポート

この付録では、Oracle Adaptive Access Managerをロケールにあわせてカスタマイズする方法について説明します。

この項は、次の項目で構成されています。

- F.1項「サポートされている言語」

- F.2項「ダッシュボード」

- F.3項「ナレッジベース認証」

F.1 サポートされている言語

Oracle Adaptive Access Manager 11gは、OAAM管理については9の管理言語、OAAMサーバーについては26の言語に翻訳されています。これらの翻訳は、英語版の製品に付属しています。

言語とそのロケール識別子(カッコ内)を次に示します。ロケール識別子は、言語識別子(必須)と地域識別子(必要な場合)で構成されています。

OAAM管理は、フランス語(fr)、ドイツ語(de)、イタリア語(it)、スペイン語(es)、ブラジル・ポルトガル語(pt_br)、日本語(ja)、韓国語(ko)、簡体字中国語(zh_cn)および繁体字中国語(zh_tw)に翻訳されています。

OAAM管理以外のロケール言語のいずれかがブラウザで設定されている場合(アラビア語など)、OAAM管理ではデフォルトのロケールである英語が使用されます。標準以外のランタイムのロケール言語のいずれかがブラウザで設定されている場合、OAAMサーバーではデフォルトのロケールである英語が使用されます。

OAAMサーバーは、フランス語(fr)、ドイツ語(de)、イタリア語(it)、スペイン語(es)、ブラジル・ポルトガル語(pt_br)、日本語(ja)、韓国語(ko)、簡体字中国語(zh_cn)、繁体字中国語(zh_tw)、アラビア語(ar)、チェコ語(cs)、デンマーク語(da)、オランダ語(nl)、フィンランド語(fi)、ギリシア語(el)、ヘブライ語(iw)、ハンガリー語(hu)、ノルウェー語(no)、ポーランド語(pl)、ポルトガル語(pt)、ルーマニア語(ro)、ロシア語(ru)、スロバキア語(sk)、スウェーデン語(sv)、タイ語(th)およびトルコ語(tr)の26の言語に翻訳されています。

F.2 ダッシュボード

Oracle Adaptive Access Managerダッシュボードは、実際の監視データの概要を提供するアプリケーションです。監視データは、データの代理サンプルです。これは、集計およびトレンド経由でアクティビティのリアルタイム・ビューを表示します。

目的の言語でダッシュボードを表示するには、ブラウザの言語プリファレンスを該当する言語に設定します。

ダッシュボードに表示されるすべてのデータは、サーバーのタイム・ゾーンに基づきます。つまり、OAAMによって生成されるデータは、ユーザーのタイム・ゾーンではなくサーバーのタイム・ゾーンで管理されますが、情報はブラウザの設定で表示されます。タイム・ゾーンの設定の詳細は、2.8項「OAAM管理コンソールでのすべてのタイムスタンプに使用されるタイム・ゾーンの設定」を参照してください。

ダッシュボードの詳細は、第23章「OAAMの管理機能およびパフォーマンスの監視」を参照してください。

F.3 ナレッジベース認証

Oracle Adaptive Access Managerは、標準の第2認証をナレッジベース認証(KBA)形式で提供します。KBAは、チャレンジ質問の作成と登録および回答のロジック・アルゴリズムのインフラストラクチャとなります。この項には、KBAの特定のユーザー操作性をカスタマイズする情報が含まれています。

F.3.1 回答ロジックの音声アルゴリズム

登録済の回答と音声が類似した回答、地域によるスペルの違いおよび一般的なスペル・ミスは、音声アルゴリズムによって処理されます。

カスタマイズの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』の英語の省略形および等価のカスタマイズに関する説明を参照してください。

音声アルゴリズムは、英語でのみサポートされています。

F.3.2 キーボード・ファット・フィンガリング

Oracleのファット・フィンガリング・アルゴリズムでは、標準キーボードのキーの近接による誤入力や、転置された文字を考慮します。標準キーボードのキーの近接による誤入力がある回答は、ファット・フィンガリング・アルゴリズムによって処理されます。

ファット・フィンガリング・アルゴリズムは、英語でのみサポートされています。

F.3.3 登録に関する質問の追加

デプロイメント管理者は、デプロイ時に、OAAM管理で構成されたサポート対象の各ロケールに関して、十分な質問がデータベースにあるようにする必要があります。そうでない場合は、登録中にOAAMサーバーによって英語の質問のみが表示されます。

ロケール固有の質問の数は、「ユーザーが登録する質問数」に「1メニュー当たりの質問数」を乗算し、「1メニュー当たりのカテゴリ」を乗算した数以上である必要があります。

質問登録の追加の詳細は、7.3.6項「新規質問の作成」を参照してください。

G OAAMアクセス・ロール

この項では、OAAMのアクセス・ロール、機能セットおよびアクセス・レベルの概要を示します。アクセス・ロールとは、OAAM内の機能へのアクセスを制御するためのものです。

この項は、次の項目で構成されています。

- G.1項「OAAMのユーザーおよびロールについて」

- G.2項「CSR (OAAMCSRGroup)」

- G.3項「CSRマネージャ(OAAMCSRManagerGroup)」

- G.4項「不正調査担当者(OAAMInvestigatorGroup)」

- G.5項「不正調査マネージャ(OAAMInvestigationManagerGroup)」

- G.6項「セキュリティ管理者(OAAMRuleAdministratorGroup)」

- G.7項「システム管理者(OAAMEnvAdminGroup)」

- G.8項「OAAMSOAPServicesGroup」

- G.9項「監査者」

G.1 OAAMのユーザーおよびロールの理解

Oracle Adaptive Access Managerユーザーは、自分に割り当てられているロールに基づいて機能にアクセスできます。このような管理者ロールは、それぞれの職務別に割り当てられる特定の権限を持ちます。

Oracle Adaptive Access Managerには、次のデフォルト・ロールがあらかじめ用意されています。

- OAAMCSRGroup - サポート担当者

- OAAMCSRManagerGroup - サポート担当者

- OAAMInvestigatorGroup - 調査担当者

- OAAMInvestigationManagerGroup - 調査担当者

- OAAMRuleAdministratorGroup - セキュリティ管理者

- OAAMEnvAdminGroup - システム管理者

Oracle WebLogic管理コンソールを使用すると、Oracle Adaptive Access Managerドメイン内で新規ユーザーを作成し、関連するOracle Adaptive Access Managerロールを割り当てることができます。1人のユーザーに複数のロールを割り当てるのは避けることをお薦めします。複数のロールが割り当てられたユーザーは、異なるグループのすべての権限を持つことになります。

新規ロールおよび権限の作成の詳細は、『Oracle Fusion Middleware Oracle Entitlements Server管理者ガイド』の「ポリシーおよびロールの管理」を参照してください。

G.2 CSR (OAAMCSRGroup)

CSRなどのサポート担当者は、OAAM管理コンソールに制限付きでアクセスできます。サポート担当者(CSRおよびCSRマネージャ)は、Oracle Adaptive Access Managerのケース管理ツールを使用して、日々のカスタマ・ケースを処理します。該当者は、ユーザー・アクティビティに関する詳細な知識を持ちます。

表G-1 サポート担当者

項目

サポート担当者(CSR)がアクセス可能な機能

ノート

サポート担当者ロールを持つユーザーは、OAAM管理コンソールに制限付きでアクセスできます。

ナビゲーション・ツリー

「ケース」ノードのみ

ホームページ

CSRケースの検索

ケース

CSRは、CSRタイプ・ケースに関して検索、オープン、作成の操作が可能です。CSRは、外部へのハイパーリンクを含むページにはアクセスできません。アクションへのアクセスも制限されています。ケース検索ページのバルク編集機能へのアクセス権はありません。

ケースの検索

- CSRケースを検索できます(エージェント・ケースとエスカレーション済ケースは検索できません)

- 開かれたケースと閉じられたケースの検索はできますが、閉じられたケースを再び開くことはできません。ノートの追加のみが可能です。

- 有効期限切れケースの検索と詳細の表示はできますが、アクションは実行できません

新規ケース

- CSRケースのみを開くことができます

ケース詳細の表示

- 有効期限切れケースの詳細を表示できます

- エスカレーション済ケースやエージェント・ケースは表示できません

- 閉じられたケースの詳細を表示し、ノートを追加できます

- 「セッション」タブでトランザクションを表示できます

ケースの編集

- ケース・ステータスと重大度を変更できます

- エスカレーション済ケースに公開ノートを追加することはできません

- ケースのバルク編集はできません

- ケースをエスカレーションできます

- ユーザーに対する一時許可はできません

- ユーザーのOTPバイパスはできません

- 有効期限の延長はできません

- すべてのカスタマ・リセットとKBAリセット

- KBA電話チャレンジ

- カスタマ・リセットを実行できます(イメージとフレーズ)

- チャレンジ質問
質問のリセット

質問セットのリセット

カスタマのロック解除

質問の依頼

- 有効期限切れステータスのケース - 検索アクセス権(オープン・アクセス権なし)

- OTPアクション
電子メールのリセット

電話のリセット

すべてリセット

OTPのロック解除

G.3 CSRマネージャ(OAAMCSRManagerGroup)

CSRマネージャは、CSRのアクセス権を持つことに加え、その他いくつかの制限付き機能にもアクセスできます。サポート担当者(CSRおよびCSRマネージャ)は、Oracle Adaptive Access Managerのケース管理ツールを使用して、セキュリティと日々のカスタマ・ケースを処理します。該当者は、ユーザー・アクティビティとセキュリティの問題に関する詳細な知識を持ちます。

表G-2 サポート・マネージャ

項目

サポート・マネージャがアクセス可能な機能

ノート

サポート・マネージャは、サポート担当者のアクセス権を持つことに加え、その他いくつかの制限付き機能にもアクセスできます。

ナビゲーション・ツリー

ケースへのアクセスのみ。

ケース

エージェント・タイプ・ケースは作成できません。エージェント・ケースでは、アクション、ログおよびリンクされたタブ/関連タブは非表示になります。

ケースの検索

- CSRケース、エージェント・ケースおよびエスカレーション済ケースの検索が可能

- 開かれたケースと閉じられたケースの検索が可能

- 有効期限切れのケースの検索が可能

新規ケース

- CSRケースのみ

ケース詳細の表示

- エスカレーション済ケースの詳細(ログとセッションを含む)を表示できます(アクションは実行できません)

- 閉じられたケースの詳細を表示できます(ノートの追加とステータスの変更のみが可能です)

- 「セッション」タブでトランザクションを表示できます

- 有効期限切れのケースの詳細を表示できます(ノートの追加と有効期限の延長のみが可能です)

ケースの編集

- エスカレーション済ケースに対するアクションは実行できません

- 次のことが可能です
閉じられたケースを再び開く

CSRケースへのノートの追加

ステータスと重大度の変更

CSRケースのバルク編集

ケースのエスカレーション

ユーザーへの一時許可の付与

ユーザーのOTPバイパス

有効期限の延長

すべてのカスタマ・リセットとKBAリセットの実行

KBA電話チャレンジの実行

ステータスの変更

重大度の変更

- 一時許可
シングル・ログイン

2時間

終了日の設定

- カスタマ・リセット
イメージ

フレーズ

イメージとフレーズ

カスタマ(すべて)

- チャレンジ質問
カスタマのロック解除

質問のリセット

質問セットのリセット

次の質問

質問の依頼

- クローズ済ステータスのケース - 検索およびオープンのアクセス権

- 有効期限切れステータスのケース - 検索およびオープンのアクセス権

- CSRケースのエスカレーション - 完全なアクセス権

- エスカレーション済ステータスにおける「セッションのリンク」タブ

- OTPアクション

- セッション詳細の検索と表示が可能です(詳細ページまたはポリシー・エクスプローラへのアクセス権はありません)

G.4 不正調査担当者(OAAMInvestigatorGroup)

不正調査担当者は、OAAM管理コンソールに広範にアクセスできます。不正調査担当者は、Oracle Adaptive Access Managerのケース管理ツールを使用して、日々のセキュリティ・ケースを処理します。

表G-3 不正調査担当者

項目

不正調査担当者がアクセス可能な機能

ノート

不正調査担当者は、OAAM管理コンソールに広範にアクセスできます。

さらに、詳細ページでグループ・メンバーシップの追加および削除が可能です

ナビゲーション・ツリー

なし

- ケースのバルク編集へのアクセス権はありません。

- CSRケース、エージェント・ケースおよびエスカレーション済ケースに対する完全なアクセス権

ケース

完全なアクセス権。

検索ページ

エージェント・ケースの検索

スケジューラ

アクセス権なし

環境

アクセス権なし

G.5 不正調査マネージャ(OAAMInvestigationManagerGroup)

不正調査マネージャは、OAAM管理コンソールに広範にアクセスできます。不正調査マネージャは、Oracle Adaptive Access Managerのケース管理ツールを使用して、日々のセキュリティ・ケースを処理します。

表G-4 不正調査マネージャ

項目

不正調査マネージャがアクセス可能な機能

ノート

不正調査マネージャは、OAAM管理コンソールに広範にアクセスできます。

その他のページでグループ・メンバーシップの追加および削除が可能

ナビゲーション・ツリー

なし

- ケースのバルク編集に関する完全なアクセス権

- CSRケース、エージェント・ケースおよびエスカレーション済ケースに対する完全なアクセス権

ケース

完全なアクセス権。

スケジューラ

アクセス権なし

環境

アクセス権なし

ホームページ

エージェント・ケースの検索

G.6 セキュリティ管理者(OAAMRuleAdministratorGroup)

セキュリティ管理者は、OAAM管理コンソールに広範にアクセスできます。

セキュリティ管理者(ルール管理者)は、様々なソースからインテリジェンスを集めてニーズを識別したり、それに対応するための要件を策定します。インテリジェンスのソースとしては、調査担当者、業界レポート、不正対策ネットワーク、コンプライアンス指令、会社ポリシーなどがあります。

セキュリティ管理者は、アナリストからの要件に基づいてポリシーを計画、構成およびデプロイします。

表G-5 セキュリティ管理者

項目

セキュリティ管理者がアクセス可能な機能

ノート

セキュリティ管理者は、OAAM管理コンソールに広範にアクセスできます。

「環境」ノードおよびセキュリティ・ダッシュボード以外(これらはデフォルトで非表示)

ナビゲーション・ツリー

完全なアクセス権

閉じることは不可

ホームページ

ポリシーの検索

ケース

表示のみのアクセス

スケジューラ

オフライン・セキュリティ管理者を対象としたアクセス

環境

アクセス権なし

G.7 システム管理者(OAAMEnvAdminGroup)

システム管理者は、システム管理の職務のためにOAAM管理コンソールに制限付きでアクセスできます。該当者は、環境レベルのプロパティやトランザクションを構成します。

表G-6 システム管理者

項目

システム管理者がアクセス可能な機能

ノート

システム管理者は、システム管理の職務のためにOAAM管理コンソールに制限付きでアクセスできます。

- ケースへのアクセス権なし

- 環境に対する完全なアクセス権

- その他すべてに対する読取り専用アクセス

ナビゲーション・ツリー

部分アクセス

スケジューラ

オンライン・システム管理者およびオフライン・システム管理者を対象としたアクセス

環境

完全なアクセス権

ホームページ

プロパティの検索

G.8 OAAMSOAPServicesGroup

OAAM 11gリリース2 (11.1.2.0.0)以上では、Webサービスを保護するデフォルトのメカニズムにはOracle Web Service Managerのポリシーを使用します。OAAMSOAPServicesGroupは使用しなくなったため、作成しないでください。OAAM Webサービスのグループとユーザーの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のOAAM SOAP統合に関する項を参照してください。

G.9 監査者

注意:

11g OAAMには監査者ロールはありません。

監査者は、OAAM管理コンソールへのアクセス権はありません。監査作業はBIPで行います。

表G-7 監査者

項目

グループがアクセス可能な機能

ノート

監査者は、OAAM管理コンソールへのアクセス権はありません。監査作業はBIPおよび共通監査フレームワークで行います。

H パターン処理

自動学習は、いくつかのOracle Adaptive Access Manager機能を応用し、ユーザー、デバイス、ロケーションおよびトランザクション・エンティティの動作を動的にプロファイリングできるようにしたものです。パターンは、自動的に動作が記録されるように管理者が定義します。これらのパターンは、Oracle Adaptive Access Managerでパターン・パラメータに基づいてバケットを動的に作成および移入する目的で使用されます。Oracle Adaptive Access Managerでは、プロファイル全体を使用してリスクを評価できるよう、ユーザー/デバイス/ロケーション/エンティティのバケット・メンバーシップが時間に沿って自動的に記録および保持されます。さらに、動的アクションにより、ルール結果に基づいてグループが移入され、動作が詳細にプロファイリングされます。このような自動管理グループのメンバーシップもリスクの評価に使用されます。

この付録では自動学習パターン・データ処理に関する情報を提供し、次の項があります。

- H.1項「パターン・データ処理」

- H.2項「パターン・データ処理をトリガーするためのAPI」

H.1 パターン・データ処理

システム負荷が軽く、パターンが構成されている場合は、データ処理をトリガーするためのAPIがクライアントで呼び出されるとすぐに、データが処理されます。システム負荷とは、Oracle Adaptive Access Managerサーバーで処理される認証、トランザクション、ルール処理などのレポート、およびリクエストの数です。

データを処理するためのロジックは次のとおりです。

(成功した)トランザクション・レコードごとに、次のプロセスが実行されます。

1. データベースからトランザクションのすべての属性を収集します。

2. トランザクション・タイプを確認し、それと同じトランザクション・タイプのパターンが存在するかどうかを調べます。

3. 同じトランザクション・タイプのパターンが存在しない場合は、この時点でプロセスが停止され、コール元には何も返されません。

4. 同じトランザクション・タイプのパターンが存在する場合は、パターンごとに次のプロセスが実行されます。

1. 該当パターンのパラメータを取得し、対象のトランザクションのパラメータ値が要件(範囲など)を満たしているかどうかを確認します。満たしていない場合は、次のパターンに進みます。

2. パラメータが要件を満たしている場合は、フィンガープリント表に移動します。

3. このような組合せのフィンガープリントが存在する場合は、パターンに追加されたエンティティについて、ワークフロー表のカウンタ(時間、日、月、年)を更新します。

4. フィンガープリントが存在しない場合は、フィンガープリントを作成し、ワークフロー表にそのフィンガープリントのエントリを作成し、そこにカウンタを配置します。

5. その後、パラメータの値を記録するように設定されている場合は、ワンタイム値とライフタイム値のどちらが対象になっているかパターンの構成を確認します。次に、正しいプロファイル表を更新します。その際、プロファイル表にこのエンティティのエントリが存在しない場合は、エントリを作成してください。エンティティ・プロファイル表のData1フィールドからData10フィールドは、パターン・メンバーシップと値を記録するために使用されます。

6. 残りのパターンについて、手順aからeを繰り返します。

5. トランザクションごとに手順1から4を繰り返します。

H.2 パターン・データ処理をトリガーするためのAPI

パターン・データ処理をトリガーするためのAPIは次のとおりです。

- updateTransaction

- updateAuthStatus

- processPatternAnalysis

updateAuthStatusおよびupdateTransaction APIは、他の認証ステータスおよびトランザクション・ステータス更新APIと類似しています。唯一の違いは、updateTransaction、updateAuthStatusおよびprocessPatternAnalysisでは、認証やトランザクションのステータスの更新以外に、パターン・データ処理が実行される点です。

H.2.1 updateTransaction

このAPIでは、以前に作成されたトランザクションを更新します。

該当する場合は、パターン・データ処理もトリガーします。analyzePatternsの値がゼロ以外の場合、このトランザクションに対してパターン処理がまだ実行されていなければ、その処理がトリガーされます。

public VCryptResponse updateTransaction(
Transaction UpdateRequestData transactionUpdateRequest Data);

表H-1 updateTransactionのパラメータと戻り値

パラメータ

説明

TransactionUpdateRequestData

トランザクションを更新するためのオブジェクトです。更新対象のトランザクションに対するハンドルは、createTransactionメソッドから返されるトランザクションIDまたはcreateTrasnactionメソッドに渡される外部トランザクションIDのいずれかです。検証が失敗すると、例外BharosaExceptionがスローされます。

このオブジェクトの構造は次のとおりです。

- requestId: ユーザー・セッションを識別します。必須です。

- requestTime: リクエストの時間です。nullにできます。nullにした場合、サーバーでは現在時間が使用されます。

- transactionId ID: 前のコールによってcreateTransactionに返されるIDです。

- status: トランザクション・ステータスです。

- analyzePatterns: パターン処理を実行するかどうかを示すブール値です。値としてtrueを渡すと、resultStatus値がsuccessの場合に、トランザクションに対してパターン処理が実行されます。

- externalTransactionId: トランザクションが作成されたときにcreateTransactionに渡された外部トランザクションIDです。

VCryptResponse

レスポンス・オブジェクトです。getTransactionResponse()メソッドを使用してトランザクションIDを取得する前に、isSuccess()をチェックしてください。

H.2.2 updateAuthStatus

このAPIでは、ユーザー・ノード・ログの認証ステータスを更新し、該当する場合はパターン・データ処理をトリガーします。analyzePatternsの値がtrueで、トランザクションのresultStatusの値がsuccessである場合、このトランザクションに対してパターン処理がまだ実行されていなければ、その処理がトリガーされます。

- public VCryptResponse updateAuthStatus(java.lang.String requestId, int resultStatus, int clientType, java.lang.String clientVersion, boolean analyzePatterns)

- public VCryptResponse updateAuthStatus(java.lang.String requestId, java.util.Date requestTime, int resultStatus, int clientType, java.lang.String clientVersion, boolean analyzePatterns)

表H-2 updateAuthStatusのパラメータ

パラメータ

説明

requestId

リクエストIDです。

requestTime

更新時間です。

resultStatus

認証結果です。これは、認証結果の列挙値です。

clientType

これは、認証に使用されるクライアント・タイプを識別するために定義された列挙値です。

clientVersion

使用されるクライアントのバージョンを指定するためのオプション・パラメータです。

analyzePatterns

パターン処理を実行するかどうかを示すブール値です。値としてtrueを渡すと、resultStatus値がsuccessの場合に、トランザクションに対してパターン処理が実行されます。

H.2.3 processPatternAnalysis

このAPIでは、パターン一致用のデータ処理をトリガーします。このコールによってトリガーされるのは、パターン一致用のデータ処理のみです。認証(またはログイン)はファースト・クラスのトランザクションではないため、最後のパラメータtransactionTypeはユーザー対話の認証タイプで使用できます。

public VCryptResponse processPatternAnalysis(java.lang.String requestId, long transactionId, int status, java.lang.String transactionType)

表H-3 processPatternAnalysis

パラメータ

説明

requestId

リクエストIDです。

transactionId

更新対象のトランザクションIDです。

status

新規ステータスです。

transactionType

トランザクションのタイプを示す文字列です。認証タイプの場合authにする必要があります。その他のタイプの場合、bill_payなど(基本的にトランザクションのタイプ名)にすることができます。

I SOAP Webサービス・アクセスの構成

この付録では、SOAP Webサービス・アクセスの構成に関する手順を示します。この章の内容は、次のとおりです。

- I.1項「Webサービス・アクセス」

- I.2項「要件」

- I.3項「OAAMのサーバー側設定」

- I.4項「クライアント側設定」

- I.5項「サーバーでのSOAPサービス認証の無効化」

I.1 Webサービス・アクセス

Webサービスを使用すると、リモート・コンピュータ上で使用可能となっているOracle Adaptive Access Manager機能にアクセスできます。OAAM Webサービスでは、アクションの実行をOAAMに要求できます。

OAAM Webサービスの利点は、すでに作成されているアプリケーション・ロジックを再作成する必要がないことです。

アプリケーション内のリモートWebサービスを参照することを、Webサービスを消費すると言います。.NETまたはJavaアプリケーションの一部として実装されたWebサービスを消費できます。

I.2 要件

OAAM Webサービスにアクセスするための要件は、次のとおりです。

- SOAP Webアクセスを構成するには、SOAPを使用したネイティブ統合のためにOAAM拡張共有ライブラリが必要です。

- 構成可能なプロパティをoaam_custom.propertiesで指定する必要があり、このファイルがクライアント・アプリケーションのJavaクラスパスにある必要があります。

I.3 OAAMのサーバー側設定

Webサービスへのアクセスは、コンピュータ上のライブラリを参照するのではなく、インターネットでリモート機能を参照することを除けば、ファンクション・コールに似ています。

SOAPによって、Webサービスのリクエストおよびレスポンスを送受信するための標準XML構造が提供されます。SOAPメッセージはHTTPを使用して送信されます。

Webサービス/SOAPクライアントは、OAAM Webサービスとの正常な通信のために、ユーザー名とパスワードを送信する必要があります。

セキュリティのために、パスワードはキーストアに格納される必要があります。

Webサービスを他者がリモート・アクセスで利用できるようにすることを、Webサービスを公開すると言います。

標準のOAAMでは、WebサービスがURL/oaam_server/servicesに公開されています。

このURLへのアクセスは、OAAM Webサービス・グループのロールを持つユーザーに許可されています。OAAM Webサービス・グループのロールを持つユーザー(SOAPユーザー)をOAAMドメインに追加する必要があります。

OAAM 11gリリース2 (11.1.2.0.0)以上では、Webサービスを保護するデフォルトのメカニズムにはOracle Web Service Managerのポリシーを使用します。OAAMSOAPServicesGroupは使用しなくなったため、作成しないでください。OAAM Webサービスのグループとユーザーの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のOAAM SOAP統合に関する項を参照してください。

注意:

この手順は、OAAMサーバーでSOAP認証が無効の場合は不要です。

I.4 クライアント側設定

クライアント側設定について次に説明します。

I.4.1 SOAPユーザーのパスワードでのクライアント・キーストアの設定

ネイティブ・クライアントWebサービスのセキュリティを設定するには:

1. $ORACLE_HOME/oaam/cliディレクトリで、ファイル(soap_key.fileなど)を作成し、それにHTTP認証ユーザー・パスワードを入力します。(OAAM Webサービス・グループのロール/グループに追加されたユーザーのパスワード)。

2. sample.config_3des_input.propertiesをsoap_3des_input.propertiesにコピーします。

cp sample.config_3des_input.properties soap_3des_input.properties

3. soap_3des_input.propertiesをキーストア・パスワード、別名パスワードおよびパスワード・ファイルで更新します。

#This is the password for opening the keystore.
keystorepasswd=

#This is the password reading alias (key) in the keystore
keystorealiaspasswd=

#File containing from key. Please note, keys in AES could be binary. Also note algorithms like 3DES require minimum 24 characters in the key
#keyFile=soap_key.file
keyFile=

keystorefilename=system_soap.keystore
keystorealias=vcrypt.soap.call.passwd

4. ORACLE_MW_HOMEおよびJAVA_HOMEとソースsetCliEnv.shを設定します。

5. キーストアを生成します。

- UNIX/Linuxの場合は、次を実行します。

$JAVA_EXE -Djava.security.policy=conf/jmx.policy -classpath $CLSPTH com.bharosa.vcrypt.common.util.KeyStoreUtil updateOrCreateKeyStore readFromFile=soap_3des_input.properties

- Windowsの場合は、次を実行します。

genkeystore.cmd soap_3des_input.properties

KeyStoreコマンドが成功した場合は、次のような出力が表示されます。

updateOrCreateKeyStore done!
Keystore file:system_soap.keystore,algorithm=DESede
KeyStore Password=ZG92ZTEyMzQ=
Alias Password=ZG92ZTEyMw==

6. 画面に出力されたキーストア・パスワードと別名パスワードを書き留めます。これらをoaam_custom.propertiesに追加する必要があります。

7. system_soap.keystoreファイルをソース・コード制御システムに保存します。このファイルの処理ではセキュリティについて十分に注意してください。ファイルには重要なパスワード情報が含まれています。認可された担当者のみがこのファイルに読取りアクセスできるようにします。これを失うと、暗号化されたデータをOracle Adaptive Access Managerでリカバリできません。

8. system_soap.keystoreをネイティブ・クライアントのデプロイメント・フォルダのクラスパスにコピーします。

9. soap_key.fileファイルとsoap_3des_input.propertiesファイルを両方とも削除します。

10. 次のプロパティをエンコードされたパスワード(手順6)および認証ユーザー名とともにoaam_custom.propertiesに追加します。

vcrypt.soap.auth.keystorePassword=<base64 encoded keystore password>
vcrypt.soap.auth.aliasPassword=<based64 encoded password to the alias>
vcrypt.soap.auth.username=<user configured for accessing the soap services>
vcrypt.soap.auth.keystoreFile=system_soap.keystore

注意: この手順は、OAAMサーバーでSOAP認証が無効の場合は不要です。

クライアント側からの認証の無効化の詳細は、「SOAP認証の無効化」の項を参照してください。

I.4.2 SOAP認証の無効化

Adaptive Strong AuthenticatorのHTTP認証を無効化または有効化するには、次のプロパティをtrue (有効)またはfalse (無効)に設定します。

vcrypt.soap.auth=

I.4.3 SOAPクラスの指定

vcrypt.common.util.vcryptsoap.impl.classnameプロパティを設定します。

この設定によって、OAAMサービスと交換するSOAPメッセージを作成するときにアプリケーションがどのライブラリを使用するかが指定されます。

使用可能なオプションは、次のとおりです。

com.bharosa.vcrypt.common.impl.VCryptSOAPGenericImpl

I.4.4 SOAPサーバー側URLの指定

vcrypt.tracker.soap.urlプロパティを設定します。

例:

vcrypt.tracker.soap.url=http://localhost:14300/oaam_server/services/

この設定は、アプリケーションが通信するWebサービスのロケーションです。

I.4.5 SOAPコール・タイムアウトの指定

vcrypt.soap.call.timeoutプロパティをミリ秒単位で設定します。

例:

vcrypt.soap.call.timeout=10000

I.5 サーバーでのSOAPサービス認証の無効化

Oracle Enterprise Manager Fusion Middleware ControlからOracle Web Services Manager (OWSM)ポリシーを使用して、認証を有効化または無効化できます。

サーバーでSOAP Webサービス認証を無効化すると(デフォルトでは有効)、クライアントは認証されなくてもWebサービスを使用できます。

1. URL http://<host-name>:7001/emとWebLogic管理ユーザー名およびパスワードを使用して、アイデンティティ管理ドメインのOracle Enterprise Manager Fusion Middleware Controlにログインします。

2. 左側のメニューで「WebLogicドメイン」およびその下にあるOAAMドメインを展開して、oaam_server_server1を見つけます。

3. oaam_server_server1を右クリックして、「Webサービス」メニュー・オプションを選択します。

4. 「Oracle Infrastructure Web Services」タブをクリックします。

5. ページの右上にある「ポリシーのアタッチ」リンクをクリックします。

6. 次のページでOAAM Webサービスに関連する行をすべて選択し、「次」ボタンをクリックします。

7. 行oracle/no_authentication_service_policyおよびoracle/no_authorization_service_policyを選択し、「次」ボタンをクリックします。

8. 次のページで「アタッチ」ボタンをクリックします。

9. 必要に応じてOAAMサーバーを再起動します。

J ロギングの構成

ロギングは、コンポーネントがファイルにメッセージを書き込むためのメカニズムです。

Oracle Adaptive Access Manager 11gコンポーネントでは、ロギング・インフラストラクチャの一部としてjava.util.loggingパッケージを使用します。このパッケージは、すべてのJava環境で使用できます。

注意:

本番マシンでは、ロギングの容量が増えるとパフォーマンスに悪い影響を与えるため、ロギングの有効時間を管理する必要があります。

この項は、次の項目で構成されています。

- J.1項「ロギング構成ファイル」

- J.2項「Oracle Adaptive Access Managerロガー」

- J.3項「ロギング・レベル」

- J.4項「ハンドラ」

- J.5項「oracle.oaamログのリダイレクト」

- J.6項「ロギング・レベルの設定」

J.1 ロギング構成ファイル

ロギングは、起動時に読み取られるデフォルトのロギング構成ファイルlogging.propertiesを使用して初期化されます。

このファイルはホーム・ディレクトリに配置されています。ここでは、メッセージを印刷するようにOracle Adaptive Access Manager Frameworkロガーが設定されています。このファイルを編集すると、次のことができます。

- ログ・メッセージの詳細レベルを指定できます。

- ログ・メッセージをコンソールに送信するか、ファイルに送信するか、またはその両方に送信するかを指定できます。

- ロガーを定義する個々の領域のレベルでロギングを指定できます。

J.2 Oracle Adaptive Access Managerロガー

OAAMロガーは、エラーを報告したりOAAMの追加情報を提供するロギング・メッセージを生成します。表J-1に、Oracle Adaptive Access Managerロガーの説明を示します。

表J-1 Oracle Adaptive Access Managerロガー

ロガー

コンポーネント

oracle.oaam.model

ADFモデル・パッケージ、oracle.oaam.modelで始まるパッケージのすべてのクラス。

oracle.oaam.view

ADFビュー・パッケージ、oracle.oaam.viewで始まるパッケージのすべてのクラス。

oracle.oaam.alerts

アラート、特にルール・エンジンはこのロガーを使用して、これらのログ・レコードをカスタム・ハンドラで使用できるようにします。

oracle.oaam

ルート・ロガーはすべてのoaamロギングを制御します。

J.3 ロギング・レベル

ログ・レベルはログ・メッセージの重要性および緊急性を定義します。クラス・レベルは、どのメッセージをログに書き込むかを定義するために使用されます。ログ・メッセージにはログ・レベルが関連付けられています。次に、ロギング・レベルを降順で示します。

表J-2 ロギング・レベル

レベル

説明

SEVERE

最も高い値で、非常に重要なメッセージ(致命的なプログラム・エラーなど)を対象とします。SEVEREは、システムに不適切な機能がないかどうかを診断するために使用します。

WARNING

警告メッセージを対象とします。

INFO

情報を含むランタイム・メッセージ。INFO以上のロギングでは、完全な詳細情報が提供されます。INFOよりも低いレベルのロギング・メッセージでは、パフォーマンス上の理由を確認するためにそのロギングを有効にします(isDebugEnabled()/isLevelEnabled())。

CONFIG

構成の設定に関する情報を含むメッセージ。

FINE

問題のデバッグ/診断時に、より詳細な情報を得るために使用します。

FINER

より詳細な情報。

FINEST

最も低い値で、最も詳細な情報。

ALL

すべてのレコードのロギングを有効にします。

OFF

ロギングをオフにするために使用します。

ロギング・レベルを制御するプロパティ

次のプロパティはロギングのレベルを制御します。

Logger Name=Level

デバッグ・ログの有効化

たとえば、デバッグ・ログを有効にするには:

oracle.oaam.level=FINER

ADFモデルのデバッグ・ログの有効化

ADFモデル・パッケージのデバッグ・ログを有効にし、すべての情報ロギングをリセットするには、次のエントリを追加します。

oracle.oaam.level=INFO
oracle.oaam.model.level=FINER

FINERロギング(デバッグを含む)を使用するようにすべてのログを構成

FINERロギング(デバッグを含む)を使用するようにoracle.oaamを構成するには:

oracle.oaam.level=FINER

J.4 ハンドラ

ロガーはそれぞれハンドラにアクセスします。ハンドラはロガーからログ・メッセージを受け取り、そのログ・メッセージをファイルに出力するか、またはその両方を行います。

付録Jに、Oracle Adaptive Access Managerで使用されるハンドラを示します。

表J-3 ハンドラ・クラス

ハンドラ・クラス

機能

FileHandler

書式化されたログ・レコードを単一のファイルまたはローテーションされるログ・ファイルのセットに書き込みます。

ConsoleHandler

書式化されたレコードをSystem.errに書き込みます。

J.4.1 ファイル・ハンドラの構成

ログをファイルに送信するには、logging.propertiesファイルで、handlersプロパティにFileHandlerを追加します。これにより、ファイル・ロギングがグローバルに有効になります。

handlers= java.util.logging.FileHandler

次のプロパティを設定して、ハンドラを構成します。

java.util.logging.FileHandler.pattern=<home directory>/logs/oaam.log
java.util.logging.FileHandler.limit=50000
java.util.logging.FileHandler.count=1
java.util.logging.FileHandler.formatter=java.util.logging.SimpleFormatter

java.util.logging.FileHandler.patternは、出力ファイルのロケーションおよびパターンを指定します。デフォルト設定はホーム・ディレクトリです。

java.util.logging.FileHandler.limitは、1つのファイルに対するロガーの最大書込み量(バイト単位)を指定します。

java.util.logging.FileHandler.countは、順番に繰り返し使用する出力ファイルの数を指定します。

java.util.logging.FileHandler.formatterは、ファイル・ハンドラ・クラスがログ・メッセージを書式化するために使用するjava.util.loggingフォーマッタ・クラスを指定します。SimpleFormatterは、ログ・レコードの簡単なサマリーを人間が読める書式で書き込みます。

J.4.2 コンソール・ロギングとファイル・ロギングの両方の構成

次に示すように、コンソール・ハンドラおよびファイル・ハンドラをカンマで区切って指定することで、ログ・メッセージをコンソールとファイルの両方に出力するようにロギングを設定できます。

handlers= java.util.logging.FileHandler, java.util.logging.ConsoleHandler

J.5 oracle.oaamログのリダイレクト

oracle.oaamログをファイル・ハンドラ(oaam.log)にリダイレクトするには、次のプロパティを設定します。

oracle.oaam.handlers=java.util.logging.FileHandler

コンソールとファイルの両方にログを出力する場合は、次のプロパティにコメントを付けます。

oracle.oaam.useParentHandlers=false

$JDK_HOME/jre/lib/logging.propertiesのかわりにこの構成ファイルを使用するようにjavaに指示するには、次のようにします。

java -Djava.util.logging.config.file=/scratch/user/config/logging.properties

J.6 ロギング・レベルの設定

デフォルトでは、ロギングがNOTIFICATION:1に設定されている場合にのみ、ログ・メッセージがaccess.logファイルに書き込まれます。パフォーマンスを確保するために、デフォルトのログ・レベルERROR:1 (SEVERE)をそのまま使用するか、WARNING:1 (WARNING)を使用して、access.logファイルに書き込まれる情報の量を制限することを検討してください。

K ルールおよびフィンガープリント・ロギング

ロギングを有効化すると、問題のトラブルシューティングやルールのテストに役立ちます。この付録では、OAAMでルール・ロギングを構成する方法について説明します。

この項は、次の項目で構成されています。

- K.1項「概要」

- K.2項「ルール・ロギング」

- K.3項「詳細ルール・ロギング」

K.1 概要

Oracle Adaptive Access Managerでは、ロギングを有効化すると問題のトラブルシューティングやルールのテストに役立ちます。ルール・ログ詳細は、各チェックポイント(認証前や認証後など)で様々なポリシーとルールの実行中に取得され、このログ情報を管理者は各セッションで表示できます。フィンガープリント処理ベースのルール・ロギングは、データベースにおけるロギングのオーバーヘッドが軽減されるため、パフォーマンス上の理由で詳細ロギングのかわりに使用できます。次の項で説明するように、各ロギング・メカニズムはプロパティで構成できます。

注意: 11gでは、ルール・ログ・フィンガープリントはデフォルトで有効化されています。

K.2 ルール・ロギング

この項の内容は次のとおりです。

- ルール・ロギングの有効化

- プロセス・フロー

- プロパティ設定の組合せと結果

ルール・ロギングを構成するには、OAAM管理コンソールの「プロパティ」エディタ・オプションを使用して、次の各プロパティを設定します。

vcrypt.tracker.rules.trace.policySet=[true|false]
vcrypt.tracker.rules.trace.policySet.<checkpoint string value>=[true|false]

vcrypt.tracker.rules.trace.policySetのデフォルト値はtrueに設定されています。

K.2.1 ルール・ロギングの有効化

手順は次のとおりです。

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。

3. 「名前」フィールドに「vcrypt.tracker.rules.trace.policySet」と入力し、「検索」をクリックします。
「検索結果」セクションに、このプロパティが表示されます。

4. 「検索結果」セクションで、このプロパティをクリックして選択します。

5. vcrypt.tracker.rules.trace.policySetの詳細セクションで、「値」フィールドにtrueと入力します。

6. 「保存」をクリックします。
確認ダイアログが表示されます。

7. 「OK」をクリックしてダイアログ・ボックスを閉じます。

8. プロパティが存在しない場合は、プロパティ検索ページで「新規プロパティ」ボタンまたは「新規プロパティの作成」アイコンをクリックします。
「新規プロパティ」ダイアログが表示されます。

9. 「新規プロパティ」ダイアログで、プロパティの名前および値を入力します。

10. 「作成」をクリックします。

K.2.2 ルールをロギングするタイミングの指定

ルールをロギングするチェックポイントを指定するには、次の手順を実行します。

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。

3. プロパティ検索ページで、「新規プロパティ」ボタンまたは「新規プロパティの作成」アイコンをクリックします。
「新規プロパティ」ダイアログが表示されます。

4. 「新規プロパティ」ダイアログで、「名前」フィールドにvcrypt.tracker.rules.trace.policySet.checkpoint_string_valueと入力します。

5. 「値」フィールドに「true」と入力し、「作成」をクリックします。

K.2.3 プロセス・フロー

profile.type.enum.postauth.name=「認証後」の場合、ランタイム文字列値は「postauth」です。

次の各項では、「認証後」チェックポイントを使用してルール・ロギングを例示します。

フローは次のとおりです。

1. ルール・エンジンにより、vcrypt.tracker.rules.trace.policySet.postauthの構成がチェックされます。

2. vcrypt.tracker.rules.trace.policySet.postauthの構成が存在しない場合は、vcrypt.tracker.rules.trace.policySetの構成値がチェックされます。

特定のチェックポイントでロギング構成が明示的に設定されている場合、ルール・エンジンではその値が使用されます。それ以外の場合は、vcrypt.tracker.rules.trace.policySetの値が使用されます。

K.2.4 プロパティ設定の組合せと結果

次の表に、特定のチェックポイントで値の組合せによってロギングを制御する方法を例示します。

この例では、「認証後」チェックポイントを使用しています。

vcrypt.tracker.rules.trace.policySet.postauthの値

vcrypt.tracker.rules.trace.policySetの値

ルール・ロギングはpostauthチェックポイントに対して有効化されるか

true

false

はい

true

true

はい

true

未設定

はい

false

false

いいえ

false

true

いいえ

false

未設定

いいえ

未設定

false

いいえ

未設定

true

はい

未設定

未設定

はい

K.2.5 ロギングするルールの構成

ロギングするルールを構成するには、OAAM管理コンソールの「プロパティ」エディタ・オプションを使用して、次の各プロパティを設定します。

vcrypt.tracker.rules.trace.notTriggered=[true|false]
vcrypt.tracker.rules.trace.notTriggered.logMillis=[millis]

K.2.5.1 仕組み

vcrypt.tracker.rules.trace.notTriggeredの値を通じて、ログにルールを追加できます。「true」に設定すると、トリガーされないルールも、トリガーされるルールと一緒にロギングされます。

vcrypt.tracker.rules.trace.notTriggered.logMillisの値を通じて、ロギング対象とするルールを絞り込むことができます。

トリガーされないルールがルール・エンジンによってロギングされるのは、トリガーされないルールの実行がvcrypt.tracker.rules.trace.notTriggered.logMillisの値を上回った場合のみです。

K.2.5.2 例

次の表に、ロギング対象とするルールを制御するプロパティ値を示します。

vcrypt.tracker.rules.trace.notTriggered

vcrypt.tracker.rules.trace.notTriggered.logMillis

結果

true

n

トリガーされないルールは、nを上回った場合にロギングされます。nを負の値に設定すると、すべてのルールがロギングされます。

false

n

トリガーされないルールはロギングされません。

K.3 詳細ルール・ロギング

詳細ルール・ロギングでは、各ルール・レベルで要する時間が記録されます。詳細ルール・ログは、実行時間がしきい値を超えた場合にのみ作成されます。実行時間の長いルール(ランタイム)に関する詳細がロギングされるため、詳細ロギングのオーバーヘッドはかなり大きくなります。

所要時間の値は、パフォーマンス統計およびルールやポリシーの実行に要した時間の長さを表します。

注意:

本番マシンでは、ロギングの容量が増えるとパフォーマンスに悪い影響を与えるため、ロギングの有効時間を管理する必要があります。

「セッション詳細」ページに表示される情報は、ルールの実行時に書き込まれるルール・ログに基づきます。

詳細ルール・ログは、次の2つのプロパティによって制御します。

#Int property determining minimum time required for detailed logging
vcrypt.tracker.rulelog.detailed.minMillis=2000
#Boolean property which enables the fingerprint logging. Defaults to true
vcrypt.tracker.rulelog.fingerprint.enabled=true

常にすべてのセッションの詳細ログが必要な場合は、前述の時間プロパティとその機能を調整します。

K.3.1 詳細ロギングの時間しきい値の構成

詳細ルール・ロギングを使用する場合は、時間しきい値xを構成して、ルールの所要時間がしきい値を上回った場合にのみロギングが実行されるようにできます。

ルール・ロギングを開始するまでの猶予となる時間しきい値を変更するには、次の手順を実行します。

1. ナビゲーション・ツリーで、「環境」の下にある「プロパティ」をダブルクリックします。

2. 「名前」フィールドに「vcrypt.tracker.rulelog.detailed.minMillis」と入力し、「検索」をクリックします。

3. 「結果」表で、「vcrypt.tracker.rulelog.detailed.minMillis」を選択します。

4. 「詳細vcrypt.tracker.rulelog.detailed.minMillis」セクションで、「値」フィールドの値を編集します。

5. 「保存」をクリックします。
確認ダイアログが表示されます。

6. 「OK」をクリックしてダイアログ・ボックスを閉じます。

ポリシーの所要時間が指定の時間x (ミリ秒)を上回ると、Oracle Adaptive Access Managerにより詳細ルール・ロギングが開始されます。

K.3.2 フィンガープリント・ルール・ロギングの有効化

フィンガープリント・ルール・ロギングでの記録は、ポリシー・レベルで要する時間中にのみ行われます。フィンガープリント・ベースのログは、ルール・ログを短くしたものです。アラート・ソースやルールごとの時間などは含まれません。フィンガープリント・ベースのロギングは、データの増大を極力避け、ロギング・オーバーヘッドも最小限に抑える目的で行います。

フィンガープリント・ルール・ロギングを有効化または無効化するには、次のプロパティを変更します。

vcrypt.tracker.rulelog.fingerprint.enabled=true

K.3.3 フィンガープリント・ロギングと詳細ロギングの両方を実行するためのプロパティの指定

次のプロパティを設定できます。

- フィンガープリント・ロギングまたは詳細ロギングの一方の実行

- フィンガープリント・ロギングおよび詳細ロギングの両方の実行

- フィンガープリント・ロギングのしきい値

フィンガープリント・ロギングと詳細ロギングのどちらを実行するかを指定する

フィンガープリント・ロギングと詳細ロギングのどちらを実行するかを決定するには、次のプロパティを設定します。

vcrypt.tracker.rulelog.exectime.maxlimit

この値を超えた場合、詳細ロギングが実行されます。

その他の制限を考慮するように指定する

両方の使用を決定するにあたり、指定したすべてのプロパティを考慮するには、次のように設定します。

vcrypt.tracker.rulelog.exectime.maxlimit=-1

両方を使用しないように指定する

両方のロギング・メカニズム(詳細およびフィンガープリント)を使用してロギングを実行するように指定するには、次のプロパティを使用します。

vcrypt.tracker.rulelog.logBoth

これをtrueに設定します。この値は、vcrypt.tracker.rulelog.exectime.maxlimitをオーバーライドします。

フィンガープリント・ロギングの時間しきい値を構成する

フィンガープリント・ルール・ロギングを開始するまでの猶予となる時間しきい値を変更するには、次のプロパティをミリ秒単位で設定します。

vcrypt.tracker.rulelog.exectime.maxlimit=

用語集

省略形

このアルゴリズムでは、一般的な省略形、一般的な愛称、一般的な頭文字および日付書式が処理されます。

アクセス認証

HTTPトランザクションのコンテキストにおける基本的なアクセス認証の方法は、Webブラウザや他のクライアント・プログラムでリクエストを行うときに、資格証明をユーザー名とパスワードの形式で提供できるように設計されています。

アクション

セキュリティ・プロファイルの登録強制、KBAチャレンジ、アクセスのブロック、PINやパスワードの要求など、ユーザーに影響を与える可能性があるルール結果。

アクション・グループ

アクション・グループは、ルールによってトリガーされる一連のレスポンスです。

アクション・グループはルール内の結果として使用され、ルールがトリガーされると、グループ内のすべてのアクションがアクティブ化されます。

Adaptive Risk Manager

Oracle Adaptive Access Managerの機能のカテゴリです。ビジネス分析とリスク分析、不正調査およびカスタマ・サービス・ツールはAdaptive Risk Managerカテゴリに属します。

Adaptive Strong Authenticator

Oracle Adaptive Access Managerの機能のカテゴリです。エンド・ユーザーが使用するインタフェース、フローおよび認証方式はすべて、Adaptive Strong Authenticatorのカテゴリに属します。

エージェント・ケース

OAAMエージェント・ケースは、不正なセッションおよびトランザクションの調査を管理および実行するために使用されます。エージェント・タイプ・ケースに固有な機能の一部を次に示します。エージェント・ケースは、次の操作を実行するために使用されます。

- 調査担当者は、ケースを利用して、調査の過程で収集された情報を取得します。

- ケースは、調査のライフ・サイクルを管理するために使用されます。

- デバイス、ロケーションおよびその他のエンティティをホワイト・リストまたはブラック・リストに記載します。

- 調査結果に基づき、将来のリスク評価に反映します。

- 調査結果をスプレッドシートにエクスポートします。

不正ケースを作成する決定は、そのソースから行われます。ソースの例は次のとおりです。

- 調査担当者は、指定日から連続的にセッションを監視または分析します。緊急の対応が必要な高い不正アラートを見つけると、調査担当者はエージェント・ケースを提起します。不正調査担当者は、ケースを取得し、さらに詳細な調査を開始します。不正調査担当者は、アラート、ユーザーからの複数のブロック・セッション、デバイスからの複数のブロックされたセッション、高リスク・スコアおよびその他の状況について、エージェント・ケースを作成できます。

- 構成可能なアクションにより、チェックポイント実行後に結果アクションまたはリスク・スコア(またはその両方)に基づいてトリガーされる補足アクションとしてエージェント・ケースが自動的に作成されます。

- CSRケースは、なんらかの理由で調査が必要な場合にエスカレーションされます。

エージェント・ケースのフィードバック

エージェント・ケースでは、クローズ済の調査結果をリスク・エンジンにフィードバックして、将来の評価の正確性を自動的に向上します。

たとえば、調査担当者がエージェント・ケースを作成し、複数の不正なセッションをそのケースにリンクします。その後、調査担当者は確認済の不正の処置とともにケースを閉じます。予測モデルは、確認済の不正の処置を持つケースにリンクされているセッションのデータを反映するために、n時間ごとに再作成されます。調査担当者は、モデルの再作成頻度を決定できます。システム内の各セッションは、不正なセッションとの類似度を確認するために比較されます。類似度が高いほど、リスクが高くなります。評価の例は、確認済の不正ケースにリンクされているすべてのセッションに基づいて、確率が50%より高いログイン・セッションが不正であるかどうかがあります。

アラート

特定のタイプのOracle Adaptive Access Managerユーザーを対象とするメッセージを含むルール結果です。

アラート中心の調査ワークフロー

不正調査担当者は、各調査の手始めに重大度の高いアラートを含むセッションまたはトランザクションを検索し、疑わしいトランザクションを確認して不正を特定します。調査担当者は、インシデントに関係するデータを表示し、OAAMによって取得された複雑なデータ関係を使用して、関連する状況を検索します。また、データをリンクするケースを作成し、調査対象を絞り込みます。不正を特定したら、調査担当者は調査結果を記録し、エンティティをブラックリストに記載して、処置とともにケースを閉じます。

アラート・グループ

アラートは、担当者(CSR、調査担当者など)へのインジケータです。アラート・グループには、ルールによってトリガーできる等級付けされたメッセージが含まれます。

アラート・グループはルール内の結果として使用され、ルールがトリガーされると、グループ内のすべてのアラートがアクティブ化されます。

回答ロジック

回答ロジックは、チャレンジ質問レスポンスの処理に使用されるナレッジベース認証(KBA)と登録、回答およびファジー・ロジックの一意の組合せです。有効な回答の様々な変形を受け入れることによって、チャレンジ回答フローのユーザビリティが向上します。

属性

属性は、追跡中のアクティビティに関連付けられた特定の情報です。例としてログイン時刻をあげることができます。パターンによって、メンバーに関するデータが収集されます。メンバー・タイプがユーザーである場合、パターンによってユーザーに関するデータが収集されます。

認証

ユーザー、デバイスおよびアプリケーションのアイデンティティを確認するプロセスです。認証によって、誰が特定のサービスへのアクセスを試行しているかが識別されます。

認証ステータス

認証ステータスはセッションのステータスです(ログイン試行またはトランザクション試行のたびに、新規セッションが作成されます)。

次に例を示します。

- ユーザーが初めてログインして登録処理を実行し、その登録処理を完了しないでログアウトした場合、このユーザー・セッションの認証ステータスは「アクティブ化保留中」に設定されます。

- ユーザーが異なるデバイスまたはロケーションからログインした場合、そのユーザーはチャレンジを受けます。ユーザーはチャレンジ質問への回答を3回試みてすべて失敗し、このセッションの認証ステータスは「不正なパスワード」に設定されます。

- ユーザーがログインし、最後のトランザクション・ページまたは成功ページまで到達した場合、その特定のセッションの認証ステータスは「成功」に設定されます。

- ユーザーが不正でブロックされた場合、そのセッションのステータスは「ブロック」に設定されます。

認可

認可によって、どのコンポーネントから提供されるどのリソースに誰がアクセスできるかが識別されます。

自動生成ケース

自動生成ケースは、特定のルールがトリガーされたときにエージェント・ケースを作成するアクションをセキュリティ管理者が構成している場合に作成されます。つまり、特定のイベントの結果として、新しいエージェント・ケースが動的に作成されます。このエージェント・ケースには、その対象であるセッション・データが含まれます。調査担当者は、調査の手始めに、ステータスが「新規」であるすべてのケースを検索します。

自動生成調査ワークフロー

調査担当者は、各調査の手始めに、特定のイベントの結果として動的に作成された新規エージェント・ケースを検索します。彼は「新規」ステータスを持つすべてのケースを検索します。不正調査担当者は、最初のケースを選択します。セッションはすでにケースにリンクされているため、彼はそのケースが生成されたセッションを詳細に調査します。リンクされたセッションで、ケースおよびその他のデータを確認します。調査担当者は、インシデントに関係するデータを表示し、OAAMによって取得された複雑なデータ関係を使用して、関連する状況を検索します。不正を特定したら、調査担当者は調査結果を記録し、エンティティをブラックリストに記載して、処置とともにケースを閉じます。

自動学習

自動学習は、動作をリアルタイムで動的にプロファイリングする、Oracle Adaptive Access Managerの一連の機能です。ユーザー、デバイスおよびロケーションの動作が記録され、現在の動作のリスクを評価するために使用されます。

ブラック・リスト

ブロックされるユーザー、デバイス、IPアドレス、ネットワーク、国などを示す特定のリストです。特定のメンバーからの攻撃をレポートに表示し、その攻撃を管理者の判断でブラックリストに手動で追加できます。

ブロック済

ユーザーが「ブロック済」になるのは、ポリシーの特定の条件がtrueになり、そのポリシーがこのような条件にブロック・アクションで応答するように設定されている場合です。該当する条件が変更されると、ユーザーは「ブロック済」ではなくなる場合があります。「ブロック済」ステータスは必ずしも永続的なものではないため、解決に管理者のアクションを必要としない場合があります。たとえば、ユーザーがブロックされた原因が、ブロックされる国からログインしたことである場合、出国後は「ブロック済」ではなくなる可能性があります。

ボット

インターネットを経由して、セキュリティが損なわれたPC上で自動化または編成されたタスクを実行するソフトウェア・アプリケーションです。編成されたボットは、ボット・ネットまたはゾンビ・ネットワークとして知られています。

ブラウザのフィンガープリント処理

ユーザーがシステムにアクセスすると、OAAMによってコンピュータに関する情報が収集されます。サイトでそのようなデータがすべて組み合され、ユーザーのブラウザのフィンガープリントが作成されます。このフィンガープリントによって、ユーザーを一意に識別できる場合があります。ブラウザのフィンガープリントを構成する情報には、ブラウザ・タイプ、インストールされた拡張機能、システム・フォント、オペレーティング・システムの構成およびバージョン情報、コンピュータでCookieを受け入れるかなどがあります。

ブラウザとFlashのフィンガープリントは別々に追跡されます。フィンガープリントはセッション・リストと詳細ページから使用でき、各詳細ページを開くとフィンガープリントの詳細を確認できます。したがって、両方のフィンガープリントを使用可能にできますが、ユーザーがFlashをインストールしていない場合、デジタル・フィンガープリント(Flash)はNULLに設定されます。

バケット

パターンは管理者が構成し、Oracle Adaptive Access Managerでは、その構成を使用して、必要に応じてバケットを作成します。管理者はどのような方法でも、直接バケットを使用または参照できません。

パターンは、1つまたは複数のバケットを作成できるように構成されます。バケットは、動作の頻度を取得するために使用するコンテナです。ルールによって、これらのバケットのカウンタが特定のメンバーについて評価され、状況が異常であるかどうかが確認されます。

キャッシュ・データ

指定した時間枠における履歴データの情報です。

キャッシュ・ポリシー

グループでは、「フル・キャッシュ」および「なし」という2つのキャッシュ・ポリシー・オプションが提供されます。

「フル・キャッシュ」オプションでは、サーバーの存続期間を通して、グループのコンテンツがサーバーのメモリーにキャッシュされます。静的参照グループと読取り専用グループは、「フル・キャッシュ」オプションの候補として適しています。管理者は、このオプションの使用時にサーバーのメモリーが使用されることに注意する必要があります。リストに変更があるとグループが再キャッシュされるため、要素のリストが長い場合は、悪影響を及ぼすことがあります。

「なし」キャッシュ・ポリシー・オプションではキャッシュが使用されず、毎回データベースが参照されます。デバイス・グループ・タイプは動的であることが多く、サーバーの実行中に頻繁に操作されるため、「なし」に設定されます。グループがサーバーの存続期間を通して静的である場合は、「なし」のかわりに「フル・キャッシュ」オプションを使用できます。

ケース

ケースによって、カスタマ・サービスの問題を追跡および解決するツールが提供されます。

ケースは、カスタマおよびカスタマの様々なアカウント・アクティビティをサポートするためにCSRが実行するすべてのアクションの記録です。各ケースには、一意のケース識別番号であるケース番号が割り当てられます。

ケース作成済

ケースが作成された日時です。

ケースの説明

ケースの詳細。ケースには説明が必要です。

ケース番号

各ケースに割り当てられた一意の識別番号です。

ケース・ステータス

ケース・ステータスは、ケースの現在の状態です。ケースに使用されるステータスの値は、「新規」、「保留中」、「エスカレーション済」または「クローズ済」です。ケースを作成すると、そのステータスはデフォルトで「新規」に設定されます。

ケース・タイプ

ケースのタイプです。

- エージェント - エージェント・ケースを参照してください。

- CSR - CSRケースは、通常の一連のオンライン業務や、カスタマをサポートするときの通話など、カスタマを支援するときに使用されます。カスタマ・サービス担当は、一連のCSRツールを使用して、Oracle Adaptive Access Managerに関連付けられた問合せに対応できます。CSRケースはユーザーに関連付けられます。

- エスカレーション済 - CSRマネージャによって、特定のケースが追加の調査を必要とすることが認識され、そのケースがエスカレーションされると、CSRケースはエスカレーション済のケースになります。ユーザーに関連付けられます。

チャレンジ質問

チャレンジ質問は、セカンダリ認証に使用される有限の質問リストです。

登録中、ユーザーにはいくつかの質問メニューが提示されます。たとえば、3つの質問メニューが提示される場合があります。登録中、ユーザーはメニューごとに質問を1つ選択し、その回答を入力する必要があります。質問メニューごとに1つのみ質問を登録できます。これらの質問は、ユーザーの登録済質問になります。

OAAM管理内のルールによってチャレンジ質問がトリガーされると、OAAMサーバーでは、チャレンジ質問を表示し、ユーザーにとってセキュアな方法で回答を受け入れます。質問はQuestionPad、TextPadおよびその他のパッドで提示でき、この場合、チャレンジ質問はオーセンティケータのイメージまたは簡単なHTMLに埋め込まれます。

チャレンジ・タイプ

チャレンジのタイプの構成(ChallengeEmail、ChallengeSMS、ChallengeQuestion)です。

チェックポイント

チェックポイントは、Oracle Adaptive Access Managerがセッション内でルール・エンジンを使用してセキュリティ・データを収集および評価する特定のポイントです。

チェックポイントの例を次に示します。

- 認証前 - ルールはユーザーが認証プロセスを完了する前に実行されます。

- 認証後 - ルールはユーザーが正常に認証された後に実行されます。

構成可能なアクション

セキュリティ管理者が構成し、ルールの実行結果に基づいて実行するアクションです。構成可能なアクションはチェックポイントで使用できます。1つのチェックポイントに1つ以上の構成可能なアクションを指定できます。構成可能なアクションは、トリガー基準(アクションと結果スコアのいずれかまたは両方)に関連付けられます。構成可能なアクションは、同期モードまたは非同期モードのいずれかで実行されるように指定できます。カスタムの構成可能なアクションを実装し、アプリケーションに追加できます。これらはJava言語でコード化され、事前定義インタフェースを実装している必要があります。

構成可能なアクションがチェックポイントに関連付けられると、チェックポイントのルール実行の完了後に構成可能なアクションがトリガーされるようになります。チェックポイントの実行後に、ルール・エンジンによって、最終アクション、スコアおよびその他の結果アクションを指定する結果が返されます。最終アクションおよびスコアに基づき、関連する構成可能なアクションが、同期モードまたは非同期モードで実行されます。

完了した登録

登録を完了したユーザーのステータスです。ユーザーが登録されるには、パーソナライズ(イメージおよびフレーズ)、チャレンジ質問/回答および電子メール/携帯電話の登録をすべて完了することが必要になる場合があります。

複合エンティティ

関係名に基づいて、1つのエンティティを複数のエンティティにリンクできます。複雑なエンティティには、他のエンティティが関係名によってリンクされています。

条件

条件は、履歴および実行時データの評価に使用される構成可能な評価文です。

Cookie

Cookie (別名ブラウザCookie、コンピュータCookie、追跡Cookie、Web Cookie、インターネットCookieおよびHTTP Cookie)は、Webブラウザによってユーザーのコンピュータ上に格納される少量のテキスト文字列です。Cookieは、ユーザー・プリファレンス、ショッピング・カートの中身、サーバー・ベースのセッションの識別子、Webサイトによって使用されるその他のデータなどの情報を含む、1つ以上の名前/値ペアから構成されます。WebサーバーからWebクライアント(通常はブラウザ)にHTTPヘッダーとして送信された後、クライアントがそのサーバーにアクセスするたびに、変更せずにサーバーに返されます。Cookieは、認証、セッションの追跡(状態のメンテナンス)およびサイトのプリファレンスや電子ショッピング・カートなどの特定のユーザー情報のメンテナンスに使用できます。

作成方法(バケット)

パターンは、1つまたは複数のバケットを作成できるように構成されます。バケットは、動作の頻度を取得するために使用するコンテナです。ルールによって、これらのバケットのカウンタが特定のメンバーについて評価され、状況が異常であるかどうかが確認されます。

- 単一バケット・パターンでは、パターンで指定された完全に一致するデータ・ポイントおよび値範囲を持つ1つのバケットが作成および移入されます。
たとえば、国がアメリカ合衆国(属性)のユーザー(メンバー・タイプ)の認証パターンの作成を選択した場合、正確に1つのバケットが作成されユーザーが移入されます。ユーザーがアメリカ合衆国からログインした場合、そのユーザーはバケットのメンバーになり、バケット・カウントが増分されます。そのユーザーがアメリカ合衆国からログインしていない場合、バケット・カウントは増分されません。

- 複数バケット・パターンでは、通常単一バケット・パターンよりも多くのバケットが作成されます。パラメータの構成に基づき、必要に応じてバケットが作成されます。
Oracle Adaptive Access Managerでのバケットの作成に使用するデータ型およびサンプルを構成すると、パターンの処理中にOracle Adaptive Access Managerによって動作の取得に必要なバケットが作成されます。

CSR

カスタマ・サービス担当は、カスタマからの問合せに基づいてカスタマの低リスクの問題を解決します。CSRは、OAAM管理コンソールに対する限定されたアクセス権を持っています。

- ログインまたはトランザクションがブロックされた理由の表示

- エスカレーションを支援するための、重大度フラグとアラート・ステータスの表示

- カスタマが使用する一時許可の発行などのアクションの完了

CSRマネージャ

CSRマネージャは、CSRタイプ・ケースの全体的な管理を担当します。CSRマネージャには、CSRのすべてのアクセス権と責任、およびより機密性の高い操作へのアクセス権があります。

ダッシュボード

集計とトレンドを通じてアクティビティをリアルタイムで表示します。

データ要素

エンティティは一連の属性です。データ要素は、エンティティを構成する属性の説明に使用されます。たとえば、クレジット・カード・エンティティには、住所1、住所2、市区町村、郵便番号、都道府県などの属性があります。説明、長さ、タイプなどといったデータ要素は各属性を記述するために使用されます。

データ・マイニング

データ・マイニングとは、大量に保管されているデータを自動的に検索して、単純な分析では得られないパターンや傾向を見つける手続きです。データ・マイニングでは高度な数学的アルゴリズムを使用して、データを分割し、将来のイベントの発生確率を判断します。データ・マイニングは、データからの知識発見(KDD)としても知られています。データ・マイニングを行うと、単純な問合せや報告技術では解決できない問題を解決できます。

データ型

エンティティ・データは、文字列、数値、日付およびブールの4つの型のいずれかとして構成できます。文字列データ型は、ほとんどのユース・ケースで使用されます。数値データ型は、ルールによってデータに対する算術計算が実行される場合に使用する必要があります。日付データ型はデータ固有のデータで使用されます。ブール・データ型はTrue/Falseデータに使用されます。

最終ケース・アクションの日付

ケースにおいて最終アクションが発生した日付です。

最終グローバル・ケース・アクションの日付

オンライン・ユーザーに対して実行された最後のアクション。

最終オンライン・アクションの日付

最終オンライン・アクションが実行された日付です。

配信チャネル

ユーザーにOTPを送信するのに使用されるデリバリ・メカニズム。電子メール、ショート・メッセージ・サービス(SMS)、インスタント・メッセージング(IM)などがデリバリ・チャネルになります。

デバイス

ユーザーが使用するコンピュータ、PDA、携帯電話、キオスクなどを指します。

デバイスのフィンガープリント処理

デバイスのフィンガープリント処理では、ブラウザ・タイプ、ブラウザ・ヘッダー、オペレーティング・システム・タイプ、ロケールなどのデバイスに関する情報が収集されます。フィンガープリント・データは、デバイスについてログイン・プロセス中に収集される、ログインに使用したデバイスの識別に必要なデータを表します。フィンガープリント処理のプロセスでは、再生攻撃およびCookieベースの登録バイパス・プロセスからの保護を目的とした、ユーザーに対して一意であるフィンガープリントが生成されます。フィンガープリント詳細は、デバイスの識別、それがセキュアであるかどうかの確認および認証またはトランザクションのリスク・レベルの特定に役立ちます。

通常カスタマがログインに使用するデバイスには、デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたはその他のWeb対応デバイスがあります。

デバイス識別情報

登録処理中、ユーザーは任意で自身のデバイスをシステムに登録できます。登録済デバイスからユーザーがログインを試行すると、アプリケーションはそのデバイスが安全かつセキュアであることを認識しているため、ユーザーにトランザクションの続行を許可します。このプロセスはデバイス識別とも呼ばれます。

ダイジェスト識別スキーム

ダイジェスト識別スキームでは、選択したエンティティの要素の値をハッシュして一意の識別子を作成します。結果として作成されるキーは、通常は暗号化されます。

表示スキーム

表示スキームは、提示する要素と、エンティティの値をユーザー・インタフェースに表示するときの順序から構成されます。たとえば、住所を表示する場合に、住所1を最初のアイテム、住所2を2番目のアイテム、市区町村を3番目のアイテム、都道府県を4番目のアイテムおよび郵便番号を5番目のアイテムとして表示します。

処置

調査が完了すると、ケースは処置とともに閉じます。処置には、ケースがどのように解決されたか、および調査結果が将来のリスク評価にどのように反映されるかの両方が要約されています。

デバイス登録

デバイス登録は、ユーザーが安全なデバイスとして使用しているデバイス(コンピュータ、携帯電話、PDAなど)にフラグを付けることができる機能です。カスタマはその後、登録済デバイスからアクセスしていないユーザーへのチャレンジに使用するルールを構成できます。

一度機能を有効化すると、そのユーザーのデバイスに関する情報が収集されます。収集した情報を活用するには、ポリシーを作成および構成する必要があります。たとえば、登録済デバイスからログインしていないユーザーへのチャレンジに使用するルールを含むポリシーを作成できます。

暗号化

特別な知識がある人を除いて判読できない形式に加工された情報です。

エンティティ・エディタ

エンティティを編集するためのツールです。エンティティは、様々なトランザクションで再利用できるユーザー定義構造です。適切かつ関連するフィールドのみをエンティティにグループ化する必要があります。

エンティティ

エンティティは複数のトランザクションで再利用できるデータ構造です。たとえば、住所エンティティは出荷先住所、請求先住所、自宅住所などとして使用できます。また、ほとんどのエンティティでは、データを最適化するために、複数のデータ・ポイントをこの構造に組み込むこともできます。たとえば、住所の一連のプロパティには、通り番号、通り名、アパート番号、市区町村、都道府県、郵便番号および国エンティティ・プロパティを含めることができます。

エンティティは、トランザクションのインスタンスとして定義および関連付けることができます。たとえば、セキュリティ管理者はE-Commerceのトランザクションで使用するカスタマ・エンティティを定義できます。カスタマ・エンティティ定義の一部として、住所エンティティを出荷先住所および請求先住所としてリンクできます。出荷先住所と請求先住所が、住所エンティティの2つのインスタンスになります。エンティティ定義は、エンティティ・インスタンスがパターン化される際に元となるモデルです。エンティティ・インスタンスの作成は、その対応するエンティティ定義がデータベース内にすでに存在する場合にのみ実行できます。

エンティティ・インスタンス

エンティティが別のエンティティにリンクされた場合またはトランザクション定義で使用された場合に、自宅住所や勤務先住所などのインスタンスが作成されます。

エンティティ・キー

エンティティ・キーは、システム・インテグレータにより提供される一意の識別子であり、APIを使用してエンティティを作成および更新するときに使用されます。

エンティティの発生

注文番号356893で出荷先住所が使用されるなど、ランタイム操作でエンティティ・インスタンスが使用されると、個別の発生が作成されます。

環境

構成システムのプロパティおよびスナップショット用のツールです。

有効期限日

CSRケースの有効期限が切れる日付です。デフォルトでは、ケースの有効期限が切れるまでの時間は24時間です。24時間後、ステータスが現在のステータスから「有効期限切れ」に変化します。ケースは有効期限が切れるとき、保留中やエスカレーション済のステータスになっている場合があります。ケースの有効期限が切れた後、ユーザーはそのケースを開くことができなくなりますが、CSRマネージャは開くことができます。ケースの有効期限が切れるまでの時間は構成可能です。

実行タイプ

構成可能なアクションには、次の2つの実行タイプがあります。

- 同期アクションは、優先度の昇順で実行されます。たとえば、ユーザーがケースを作成し、そのケースIDを含む電子メールを送信する必要がある場合、ユーザーは同期アクションを選択します。同期アクションは即時にトリガー(実行)されます。
アクションが順次実行されており、順序内のアクションの1つがトリガーされない場合でも、その他のアクションはトリガーされます。

- 非同期アクションは実行用のキュー内に配置されますが、特定の順序には従いません。たとえば、電子メールを送信するか、アクションを実行するときに、即時実行せず、実行順序にこだわらない場合は、非同期アクションを選択します。

列挙

ユーザー定義列挙は、アイテムのリストを表すプロパティの集合です。リスト内の各要素には、複数の異なる属性が含まれている場合があります。ユーザー定義列挙の定義はキーワード.enumで終わるプロパティで始まり、ユーザー定義列挙の使用を記述する値が続きます。各要素定義は、列挙と同じプロパティ名に要素名が追加されたもので始まり、IDである一意の整数の値が続きます。要素の属性も同じパターンに従い、要素のプロパティ名で始まり、その後に属性名がその属性の適切な値とともに示されます。

OAAMサーバー実装のログイン・ページに表示される資格証明を定義する列挙の例を次に示します。

bharosa.uio.default.credentials.enum = Enum for Login Credentials
bharosa.uio.default.credentials.enum.companyid=0
bharosa.uio.default.credentials.enum.companyid.name=CompanyID
bharosa.uio.default.credentials.enum.companyid.description=Company ID
bharosa.uio.default.credentials.enum.companyid.inputname=comapanyid
bharosa.uio.default.credentials.enum.companyid.maxlength=24
bharosa.uio.default.credentials.enum.companyid.order=0
bharosa.uio.default.credentials.enum.username=1
bharosa.uio.default.credentials.enum.username.name=User name
bharosa.uio.default.credentials.enum.username.description=User name
bharosa.uio.default.credentials.enum.username.inputname=userid
bharosa.uio.default.credentials.enum.username.maxlength=18
bharosa.uio.default.credentials.enum.username.order=1

エスカレーション済ケース

これらの特別なエスカレーション済ケースには、CSRケースを作成するために使用されたユーザー情報が含まれています。フローは、ケースに関連付けられている疑わしいアクティビティがある場合に、調査担当者が調査するために、CSRからCSRケースが送信される、というものです。エスカレーションされたケースは、エージェント・ケースとして扱われます。これはCSRには表示されなくなります。カスタマ・サービスからエスカレーションされたケースには「エスカレーション済」ステータスが付けられており、最初にアクセスされたときに、ステータスが自動的に「保留中」に変わります。調査担当者は、「エスカレーション済」ステータスを持つケースを検索し、「重大度」列の結果でフィルタして、重大度が最高のケースが先頭に表示されるようにします。エスカレーション済ケースを開き、CSRおよびCSRマネージャが入力したノートをログで確認することがベスト・プラクティスです。たとえば、ノートには、CSRが不正なアクティビティと疑われるものを見つけたために、CSRケースをエージェント・ケースにエスカレーションしたことが示されています。

「エスカレーション済」ステータスによる検索の例に、CSRマネージャがCSRケースをエスカレーションする場合があります。Mattは、カスタマ固有のセキュリティに関する問題を専門とする不正調査担当者です。彼は、「エスカレーション済」ケース・ステータスを持つすべてのケースを検索します。

エスカレーション済ケースの調査ワークフロー

調査担当者は、調査の手始めに、「エスカレーション済」ステータスを持つケースをすべて検索します。彼は、「重大度」列の結果をフィルタして、最も重大度の高いケースが先頭に表示されるようにします。エスカレーション済ケースを開き、CSRおよびCSRマネージャが入力したノートのログを表示します。ケース内のユーザーに基づいてセッションを検索します。調査担当者は、インシデントに関係するデータを表示し、OAAMによって取得された複雑なデータ関係を使用して、関連する状況を検索します。不正を特定したら、調査担当者は調査結果を記録し、エンティティをブラックリストに記載して、処置とともにケースを閉じます。

評価優先度

収集したデータの評価に使用する優先度です。

- 高
ほとんどのリソースがデータの評価に割り当てられます。

- 低
データの評価に割り当てられるリソースの量は、「高」優先度の半分です。

ファット・フィンガリング

このアルゴリズムでは、標準キーボードのキーの近接による回答の誤入力を処理します。

フィルタ・パネル

「フィルタ」パネルでは、セッションおよびトランザクションに対する目的の検索を同時に実行するための簡単な方法を提供します。調査担当者は、ケースの「リンク・セッション」タブ、セッション検索、トランザクション検索およびトランザクションの比較などの様々なページから、個別のデータ・ポイントをドラッグ・アンド・ドロップします。

Flashのフィンガープリント処理

Flashのフィンガープリント処理は、ブラウザのフィンガープリント処理に似ていますが、サーバーでFlash動画を使用してCookieを設定またはユーザーのマシンから取得することによって、特定の情報の組合せがブラウザとFlashから取得されるようにします。Flashがクライアント・マシンにインストールされている場合、Flashフィンガープリントが唯一の情報になります。

フィンガープリントは別々に追跡されます。フィンガープリントはセッション・リストと詳細ページから使用でき、各詳細ページを開くとフィンガープリントの詳細を確認できます。したがって、両方のフィンガープリントを使用可能にできますが、ユーザーがFlashをインストールしていない場合、デジタル・フィンガープリント(Flash)はNULLに設定されます。

不正調査

不正調査の目的は、不正が行われているかどうか、およびその他に関連するインシデントがないかどうかを判別するために、人間の知恵または電子的でない介入(またはその両方)が必要となるリスクの高いシナリオがセキュリティ・ポリシーによって検出された場合に、そのような状況を評価することです。不正調査担当者は、疑わしいセッションとイベント間のトランザクション・データを調査して、関連するインシデントを見つけます。

不正調査担当者

不正調査担当者は主に、カスタマ・サービスまたはOracle Adaptive Access Managerのアラートから直接エスカレーションされた疑わしい状況を調査します。エージェントはすべてのカスタマ・ケア機能にアクセスできるだけでなく、セキュリティ管理とBI Publisherレポートの読取り専用権限もあります。

不正調査マネージャ

不正調査マネージャには、調査担当者のすべてのアクセス権と職務、およびすべてのケースを管理する責任があります。調査マネージャは定期的に有効期限の切れたケースを検索し、保留中のケースを残さないようにする必要があります。

不正シナリオ

不正シナリオは、企業のオンライン・アプリケーションを標的にした悪意のある行為など、発生する可能性がある、または実際に発生している不正な状況です。

たとえば、月曜日にオフィスに到着し、OAAM管理にログインしたとします。そこで、数人のユーザーが「不正なパスワード」および「無効なユーザー」ステータスで何回もログインしていることに気付きます。このうち何人かは国外、何人かは同じ地域からログインしたようです。不正チームから、一部のアカウントのセキュリティが損なわれていることを知らせる電話が入ります。このようなトランザクションを識別してブロックできる一連のルールを用意する必要があります。

ゲート化されたセキュリティ

ユーザーが機密データまたはトランザクションにアクセスするために通過する必要がある、複数のセキュリティ・チェックポイントです。

グレイ・リスト

ブラック・リストにもホワイト・リストにも入っていないユーザーです。グレイ・リストのメンバーは、様々なレベルのチャレンジを受けます。

グループ

同様のアイテムの集合です。次のようなグループがあります。

- ルール条件内で使用されるグループ

- ポリシーをユーザー・グループにリンクするグループ

- アクションおよびアラート・グループ

HTTP

ハイパーテキスト転送プロトコル

IDラベル

OAAM管理コンソールにランタイム・エンティティ・データが表示される場合、示されるラベルはエンティティ定義の「IDスキーム」タブで定義されたものになります。

IDスキーム

IDスキームは、エンティティを一意に識別できるデータ要素から構成されます。つまり、エンティティを識別する一意の組合せを定義します。たとえば、クレジット・カード・エンティティは多数の属性を持ちますが、クレジット・カードを一意に識別するには、16桁のクレジット・カード番号を使用します。その場合、IDスキームは単にクレジット・カード番号です。

別の例としては、住所エンティティは住所1、住所2、市区町村、都道府県および郵便番号を属性として持ちます。都道府県および市区町村属性を除く、住所1、住所2および郵便番号属性を使用することによっても、住所を一意に識別できます。

調査ワークフロー

OAAMでは3つのワークフローが提供されるため、調査担当者による不正なトランザクションの調査が容易になります。調査ワークフローには、ランタイム・データを検索および比較し、関連インシデントを特定し、調査結果を取得して、将来のリスク分析に反映するためのインタフェースが含まれています。各カスタマ・デプロイメントでは通常、ビジネス・ニーズに合わせて次の3つの共通ワークフローの組合せが使用されます。

- アラート中心

- 自動生成

- エスカレーション済

IPアドレス

インターネット・プロトコル(IP)・アドレス

ジェイルブレーク

ジェイルブレークとは、製造業者によってそのデバイスに適用されている制限を解除または迂回するプロセスです。ジェイルブレークは、合法ですが、保護されているリソースに対するセキュリティ・リスクを高める可能性がある権限エスカレーションの一形態です。

ジョブ

ジョブは、OAAMで実行できるタスクの集合です。データのロード、リスク評価の実行、監視データのロールアップなど、様々なジョブを実行できます。

KBA電話チャレンジ

ユーザーは、登録済のチャレンジ質問を使用して電話で認証できます。このオプションは、未登録ユーザーまたはKBAを使用していないデプロイメントでは使用できません。

KeyPad

パスワードやクレジット・カード番号などの入力に使用する仮想キーボードです。KeyPadによって、トロイの木馬やキーロギングからの保護が提供されます。

キーストローク・ロガー

ユーザーのキーストロークを取得するソフトウェアです。キーロギング・ソフトウェアを使用すると、ユーザーのコンピュータ上で入力された機密データを収集できます。

キー識別スキーム

キー識別スキームでは、選択したエンティティの要素を単純に連結して一意の識別子を作成します。

ナレッジベース認証(KBA)

OAAMナレッジベース認証(KBA)は、登録済チャレンジ質問に基づくユーザー・チャレンジ・インフラストラクチャです。登録ロジック、チャレンジ・ロジックおよび回答ロジックを処理します。

最終ケース・アクション

CSRケース内で実行された最終アクションです。

最終グローバル・ケース・アクション

すべてのCSRケース内でこのユーザーに対して発生した最終アクションです。エスカレーション済ケースは考慮されません。

最終オンライン・アクション

ユーザーが実行した最終アクションです。たとえば、チャレンジ質問への回答である場合は「チャレンジ質問」、ユーザーがブロックされた場合は「ブロック」と表示されます。

リンクされたエンティティ

リンクされたエンティティは、エンティティ間の関係を構成するために使用されます。リンクされたエンティティは、エンティティCRUD APIまたはトランザクションCRUD APIのいずれかを使用して作成および更新されます。

エンティティは別のエンティティにリンクできます。関係はエンティティ間のアソシエーションです。患者エンティティは、住所タイプの別のエンティティにリンクできます。患者と住所エンティティ間には1対1の直接マッピングがあるため、これらの間の関係は1対1 (1:1)であると言うことができます。住所エンティティは患者に依存せず、それ自身で存在できます。これはカスタマおよびプロバイダといったその他のエンティティにリンクできます。

リンク名

エンティティが別のエンティティにリンクされた場合、リンクされたエンティティには、トランザクション定義を含む、他の管理コンソール画面でそのエンティティを識別するために使用される名前が付けられます。

ロケーション

トランザクション・リクエストが発生した市区町村、都道府県、国、IP、ネットワークIDなど。

ロック済

「ロック済」は、ユーザーがKBAまたはOTPチャレンジに失敗した場合にOracle Adaptive Access Managerによって設定されるステータスです。「ロック済」ステータスが使用されるのは、KBAまたはワンタイム・パスワード(OTP)機能が使用中の場合のみです。

- OTP: 構成済の配信方法を使用してOTPからユーザーにワンタイムPINまたはパスワードが送信され、そのユーザーによるOTPコードの入力試行回数が一定数を超えた場合、アカウントは「ロック済」になります。

- KBA: オンライン・チャレンジの場合、オンライン・カウンタが最大失敗回数に達したときに、カスタマはセッションからロックアウトされます。電話チャレンジの場合、失敗の最大数に達し、それ以上チャレンジ質問が残っていない場合に、カスタマがロックアウトされます。

ロックアウトされた後、再度そのアカウントを使用してシステムに入るには、カスタマ・サービス担当がステータスを「ロック解除」にリセットする必要があります。

マルウェア

マルウェアは、所有者に情報を提供して同意を得ることなく、コンピュータ・システムに潜入して損害を与えるように設計されたソフトウェアです。マルウェアには、キー・ロガーやその他のタイプの悪意のあるコードが含まれる場合があります。

中間者攻撃(プロキシ攻撃)

二者間のリンクのセキュリティが損なわれていることをいずれの当事者にも知られることなく、不正行為者が二者間のメッセージの読取り、挿入および変更を自由に行える攻撃です。

手動で作成されたケース

手動でエージェント・ケースを直接作成できるのは、調査担当者のみです。エージェント・ケースの作成では、ユーザー情報は表示されず、また必要ありません。エージェント・ケースを作成するために入力する必要があるのは、組織ID、名前および説明のみです。手動で作成されたエージェント・ケースは、ケースの作成時には「保留中」ステータスになっています。

メンバー

メンバーはシステム内のアクターを表します。

モバイル・ブラウザ

モバイル・ブラウザは、モバイル機器専用に設計されたWebブラウザです。

モバイル・デバイス

モバイル・デバイスはモバイル・オペレーティング・システム(Apple社のiOSモバイル・オペレーティング・システムなど)を実行するデバイスです。一方、非モバイル・デバイスは非モバイル・オペレーティング・システム(Mac OS X、Windows 7およびLinuxデスクトップなど)を実行するデバイスです。モバイル・デバイスと非モバイル・デバイスのセキュリティ上の課題は異なるため、Mobile and Socialではモバイルの認証と非モバイルの認証は別々に管理されます。新しいモバイル・デバイスははるかに頻繁にオンラインになるため、不正検出手段など、より詳細な精査を必要とします。

マルチファクタ認証

マルチファクタ認証(MFA)は、複数の認証形式を実装してトランザクションの正当性を検証するセキュリティ・システムです。一方、単一ファクタ認証(SFA)ではユーザーIDとパスワードのみが使用されます。

マルチプロセス・モジュール(MPM)

Apache httpdにはいくつかのマルチプロセス・モジュール(MPM)が付属しています。これらのモジュールは、マシン上のネットワーク・ポートへのバインド、リクエストの受入れ、およびリクエストを処理するための子のディスパッチを行います。

相互認証

相互認証または双方向認証とは、二者間で互いを適切に認証することを指します。技術的には、いずれの当事者にも相手のアイデンティティが保証される方法で、クライアントまたはユーザーが自身をサーバーに対して認証し、そのサーバーが自身をユーザーに対して認証することを指します。

ネストされたポリシー

ネストされたポリシーは、システムから最初に出力された結果が不明確である場合に、リスク・スコアをさらに定量化するために使用されるセカンダリ・ポリシーです。リスク・スコアの正確性を高めるために、ネストされたポリシーを割り当てることができます。ネストされたポリシーは、プライマリ・ポリシーから特定の回答の組合せが返された場合のみ実行されます。このため、ネストされたポリシーによって、誤検出と不要な結果が減少します。

OAAM管理

すべての環境およびAdaptive Risk ManagerとAdaptive Strong Authenticatorの機能を対象とした管理用Webアプリケーションです。

OAAMサーバー

ネイティブ統合を除くすべてのデプロイメント・タイプで使用される、Adaptive Risk ManagerとAdaptive Strong Authenticatorの機能、Webサービス、LDAP統合およびユーザーWebアプリケーションです。

ワンタイム・パスワード(OTP)

ワンタイム・パスワード認証(OTP)は、アウト・オブ・バンド認証の一形式であり、セカンダリ資格証明として使用され、事前構成済チェックポイントで構成済のポリシーに基づいて生成されます。

OTP Anywhere

OTP Anywhereは、リスク・ベースのチャレンジ・ソリューションであり、構成済のアウト・オブ・バンド・チャネルを経由してエンド・ユーザーに送信されるサーバー生成のワンタイム・パスワードで構成されます。サポートされているOTPデリバリ・チャネルには、ショート・メッセージ・サービス(SMS)、電子メールおよびインスタント・メッセージ(IM)があります。OTP Anywhereは、KBAチャレンジを補完するために、またはKBAのかわりに使用できます。また、OTP AnywhereとKBAは、いずれも、デプロイメント内で他に必要となる、実質的にすべての認証タイプとともに使用できます。Oracle Adaptive Access Managerでは、チャレンジ・プロセッサ・フレームワークも提供されます。このフレームワークを使用すると、サード・パーティ認証製品またはサービスをOAAMリアルタイム・リスク評価と組み合せた、リスク・ベースのカスタム・チャレンジ・ソリューションを実装できます。

Oracle Adaptive Access Manager

企業とそのカスタマをオンラインで保護するための製品です。

Oracle Adaptive Access Manager

- マルチファクタ認証セキュリティを提供します。

- 複数のデータ型を評価してリアルタイムでリスクを特定します。

- オフライン環境における不正ポリシーの調査と作成に役立ちます。

- アクセス管理アプリケーションと統合されます。

Oracle Adaptive Access Managerは、OAAMサーバーおよびOAAM管理という2つの主要コンポーネントから構成されます。

Oracle Data Mining (ODM)

Oracle Database EEのオプションであるOracle Data Miningでは、強力なデータ・マイニング機能が提供されます。

順序

順序によって、エンティティを識別するデータの構成時にデータが連結される方法が決まります。

組織ID

ユーザーが属する組織の一意のIDです。

アウト・オブ・バンド認証

同時に動作する2つの異なるネットワークを使用してユーザーを認証することです。例: 電子メール、ショート・メッセージ・サービス(SMS)、電話など。

パターン

パターンは管理者によって構成され、アクセス・データのダイジェストを作成することによって、システムにアクセスするユーザー、デバイスおよびロケーションの動作を記録します。ダイジェストまたはプロファイル情報は、その後履歴データ表に格納されます。ルールによってパターンが評価され、動的にリスク・レベルが査定されます。

パターン名

パターンは個々またはグループの特性です。通常これらのパターンは、業界の専門知識に基づいて高リスクと考えられる動作を表します。

パターン・ステータス

ステータスは、パターンの現在の状態です。パターンの作成には4つの状態があります。

- アクティブ
データを収集する必要がある場合、パターンはアクティブな状態であることが必要です。

- 非アクティブ
パターンが完了してもデータを収集しない場合は、「非アクティブ」を選択します。

- 未完了
パターンの作成を開始したが、後で完成させるために保存する必要がある場合は、「未完了」を選択します。この状態ではデータは収集されません。

- 無効
管理者は、パターンを無効としてマークし、そのパターンを使用できないようにすることがあります。この状態ではデータは収集されません。

パーソナライズ・アクティブ

アクティブなイメージ、フレーズおよび質問を持つユーザーのステータスです。パーソナライズは個人バックグラウンド・イメージおよびフレーズから構成されます。サーバーによってタイムスタンプが生成され、再利用を防ぐために、1回のみ使用できるイメージに埋め込まれます。各オーセンティケータ・インタフェースは、1回のみ使用するためにユーザーに提供される単一イメージです。

ファーミング

ファーミングは、Webサイトのトラフィックを別の偽Webサイトにリダイレクトすることを目的とした攻撃です。

フィッシング

ソーシャル・エンジニアリングの技法を使用してユーザーをだまし、偽Webアプリケーションにアクセスさせる犯罪行為です。フィッシングの攻撃者は、信頼できるエンティティを装い、ユーザー名、パスワード、クレジット・カードの詳細などの機密情報を不正に取得しようとします。多くの場合、フィッシング行為は、だまされやすいユーザーを誘い込むための電子メールから始まります。

音声

このアルゴリズムでは、登録済の回答と音声が類似した回答、地域によるスペルの違いおよび一般的なスペル・ミスが処理されます。

PinPad

数値PINを入力するための認証入力デバイスです。

プラグイン

プラグインは拡張機能であり、特定の(通常は非常に特殊な)機能を「オンデマンド」で提供するために、ホスト・アプリケーション(Webブラウザや電子メール・クライアントなど)とやり取りするコンピュータ・プログラムで構成されます。

ポリシー

ポリシーには、各チェックポイントでリスクのレベルを評価するために使用される、セキュリティ・ルールおよび構成が含まれます。

ポリシー・セット

ポリシー・セットは、現在構成されているすべてのポリシーの集合であり、トラフィックを評価して潜在的なリスクを識別するために使用されます。ポリシー・セットには、スコアリング・エンジンとアクション/スコア・オーバーライドが含まれます。

ポリシー・ステータス

ポリシーには、オブジェクトの状態またはビジネス・プロセスに対する可用性を定義する3つのステータスがあります。

- アクティブ

- 無効

- 削除済

「削除済」は使用されません。

ポリシーを削除すると、そのポリシーはデータベースから完全に削除されます。

デフォルトでは、新しく作成されたすべてのポリシーのステータスは「アクティブ」になります。

コピーされたすべてのポリシーのデフォルト・ステータスは「無効」になります。

予測分析

予測分析では、トランザクションが異常であるかどうかを検出したり、IDの確実性を高めるために、統計、データ・マイニングおよびゲーム理論の様々な技法を使用して現在のファクトと履歴のファクトを分析します。

アクティブな質問

登録が完了し、回答するチャレンジ質問が存在するユーザーのステータスです。

質問セット

KBAでは、登録中またはリセット中にユーザーから回答を取得するためのフレームワークである、大量の質問プールを提供します。質問セットはユーザーに割り当てられる一定の質問です。このセットは、リセットされないかぎり、ユーザーに対してランダムに一度割り当てられます。これは、登録ロジックで構成された設定に基づいて生成されます。この質問セットでは、単一ユーザーがすべてのチャレンジ質問にアクセスすることを防止します。これは、不正行為者がフィッシング行為で使用するために質問を収集するのを防ぐためです。カスタマ・サービス担当がユーザーのために質問セットをリセットすると、ユーザーは新規質問セットを受け取ることができます。

QuestionPad

ユーザーが機密タスクを実行する前に回答するチャレンジ質問を提示するデバイスです。このデータ入力方法は、セッション・ハイジャックからの防御に役立ちます。

登録済質問

カスタマの登録済質問は、カスタマが登録またはリセット中に選択および回答した質問です。質問メニューごとに1つのみ質問を登録できます。

登録

登録とは、アカウントを新規に開く場合など、ユーザーに情報を求めるイベントからなる登録プロセスのことです。登録処理中に、ユーザーは質問、イメージ、フレーズおよびOTP (電子メール、電話など) (デプロイメントでOTPがサポートされている場合)を登録するよう要求されます。正常に登録すると、OTPを第2認証として使用し、ユーザーにチャレンジできます。

登録ロジック

KBA登録処理を制御するロジックの構成です。登録ロジックによって、チャレンジ質問および回答の登録が管理されます。KBA登録中、各ユーザーには、質問セット、つまりチャレンジ質問ライブラリのサブセットが示されます。質問セットは、通常、複数のドロップダウン・リストに分割されており、ここから質問を選択します。質問のあるドロップダウン・リストは「メニュー」と呼ばれます。

各メニューで表示される質問の数、1メニュー当たりのカテゴリ数、およびユーザーが登録する必要がある質問の数は、構成可能です。標準の質問はカテゴリに分類されています。質問メニュー内のチャレンジ質問は、質問セットが変更されないかぎり、変更されません。ユーザーは、各メニューから1つの質問を選択し、それらの回答を入力する必要があります。質問メニューごとに1つのみ質問を登録できます。

リスク・スコア

OAAMのリスク・スコアリングは、有効なユーザー、デバイス、ロケーションなど、多数の不正検出入力の積です。これらの入力は、OAAM不正分析エンジン内部で重み付けされて分析されます。ポリシーによって、何十個もの属性とファクタに基づいてリスク・スコアが生成されます。ポリシー内のルールがどのように構成されているかに基づいて、よりリスクの高い状況に対しては昇格したリスク・スコアを生成し、よりリスクの低い状況に対しては低いスコアを生成できます。昇格の程度は、特定のリスクに割り当てられた重みによって調整できます。その後、ルール・エンジンでリスク・スコアが入力として使用されます。ルール・エンジンによって不正リスクが評価され、実行する必要のあるアクションが決定されます。

行と列

要素の定義において、行と列は、データベース内でデータが格納されるロケーションを指します。行と列は自動的に割り当てられます。管理者はこれらを必要に応じて変更します。

ルール条件

条件は、セキュリティ・ポリシーの基本構築ブロックです。

ルール

ルールはユーザー・アクティビティの評価に使用される条件の集合です。

スコア

スコアとは、特定の状況に関連付けたリスク・レベルの評価に使用される数値スコアリングを指します。ポリシーの結果はスコアです。

スコアリング・エンジン

Oracle Adaptive Access Managerでは、スコアリング・エンジンを使用して、アクセス・リクエスト、イベントおよびトランザクションに関連付けられたリスクを計算します。

スコアリング・エンジンは、ポリシーおよびポリシー・セット・レベルで使用されます。ポリシー・スコアリング・エンジンは、ポリシーに含まれる様々なルールによって生成されるスコアの計算に使用されます。ポリシー・セット・スコアリング・エンジンは、ポリシーのスコアに基づく最終的なスコアの計算に使用されます。

数値入力が存在する場合、スコアリングではそのような様々なポイントをすべてまとめて、判断基準として使用可能なスコアを生成できます。

セキュリティ・トークン

セキュリティ・トークン(ハードウェア・トークン、ハード・トークン、認証トークン、USBトークン、暗号トークンとも呼ばれます)は、自身のIDを電子的に証明する(カスタマが銀行口座にアクセスするときなど)ために使用されます。トークンは、カスタマが身分を証明するために、パスワードに加えて、またはパスワードのかわりに使用されます。トークンは、リソースにアクセスするための電子キーのように動作します。

重大度レベル

ケースの重大度をケース担当に伝えるマーカーです。重大度レベルは、ケースの作成者が設定します。使用可能な重大度レベルには、「高」、「中」および「低」があります。カスタマが不正を疑っている場合、割り当てられる重大度レベルは「高」になります。たとえば、カスタマが異なるイメージを必要としている場合、割り当てられる重大度レベルは「低」になります。ケースの重大度レベルは、必要に応じてエスカレーションまたはエスカレーション解除できます。

セッション・ハイジャック

セッション・ハイジャックとは、有効なコンピュータ・セッション(セッション・キーとも呼ばれます)を悪用して、コンピュータ・システム内の情報やサービスに不正アクセスすることを指します。

単純エンティティ

単純なエンティティは、以前にリンクされたエンティティまたは新規にリンクされたエンティティなしで作成されます。

スナップショット

スナップショットは、Oracle Adaptive Accessポリシー、依存コンポーネント、およびバックアップ、障害時リカバリおよび移行の構成を含むZIPファイルです。スナップショットをデータベースに保存して高速リカバリに使用したり、ファイルに保存して環境とバックアップとの間の移行に使用できます。スナップショットのリストアは、差異の内容と、競合の解決に必要なアクションを目に見える形で正確に把握できるプロセスです。スナップショットの詳細は、第14章「システム・スナップショットの管理」を参照してください。

SOAP

SOAP(当初はSimple Object Access Protocolとして定義されました)は、コンピュータ・ネットワーク内のWebサービスの実装において構造化された情報を交換するためのプロトコル仕様です。メッセージ形式としてはExtensible Markup Language (XML)が使用され、メッセージのネゴシエーションと送信には、通常、他のアプリケーション・レイヤー・プロトコル(中でもリモート・プロシージャ・コール(RPC)とHTTP)を使用します。SOAPはWebサービス・プロトコル・スタックの基本レイヤーであり、Webサービスの構築基盤として使用できる基本的なメッセージング・フレームワークを提供します。

ソーシャル・エンジニアリング

ソーシャル・エンジニアリングは、人々を操って行動を起こしたり機密情報を不正行為者に漏えいするために使用される技法の集合です。

なりすまし攻撃

ネットワーク・セキュリティとの関連において、なりすまし攻撃は、ある個人またはプログラムが、データを偽造して違法に利用することによって、別の個人またはプログラムを装うことに成功した状況です。

ソース・データ

Oracle Adaptive Access Managerサーバーに送信される、外部アプリケーション(クライアント側)から発生したトランザクションのすべてのパラメータ(データ・フィールド)です。

スパイウェア

スパイウェアは、ユーザーとコンピュータとのやり取りを捕捉または一部制御するために、ユーザーに情報を提供して同意を得ることなく、パーソナル・コンピュータに不正にインストールされるコンピュータ・ソフトウェアです。

厳密認証

認証要素は、セキュリティ制約に従ってアクセスをリクエストする個人または他のエンティティのIDを認証または検証するために使用される、情報やプロセスです。2つの要素による認証(T-FA)は、2つの異なる要素を組み合せて認証に使用するシステムです。要素を1つではなく2つ使用すると、一般的に、認証の保証のレベルが高まります。

複数の要素を使用することを厳密認証と呼ぶ場合があります。

一時許可

ログインまたはトランザクションを実行できないカスタマに付与される一時的なアカウント・アクセスです。

一時許可有効

一時許可がアクティブになっている状態を指します。

一時許可の有効期限日

一時許可の有効期限が切れる日付です。

TextPad

通常のキーボードを使用してパスワードまたはPINを入力するためのパーソナライズされたデバイス。このデータ入力方法は、フィッシングからの防御に役立ちます。大規模なデプロイメントでは、TextPadがすべてのユーザーのデフォルトとしてデプロイされることが多く、その後、各ユーザーが必要に応じて個別に別のデバイスにアップグレードできます。ユーザーが登録した個人イメージおよびフレーズは、ユーザーが有効なサイトにログインするたびに表示され、ユーザーとサーバーとの間の共有シークレットとして機能します。

トランザクション

ユーザーが正常にログインした後に実行するすべてのプロセスをトランザクションと呼ぶことができます。例として、購入、請求書の支払、送金、株式取引、住所変更をあげることができます。Oracle Adaptive Access Managerトランザクションのコア要素はエンティティおよびトランザクション・データです。エンティティは、トランザクションのインスタンスとして定義および関連付けることができます。エンティティは、一連の属性から構成されるユーザー定義データ構造です。エンティティは、様々なトランザクションで再利用できます。エンティティの例として、住所をあげることができます。エンティティをトランザクションと関連付けると、ユーザーは住所エンティティから配送先住所と請求先住所を作成できます。

トランザクション自動学習

トランザクション自動学習では、次の機能が提供されます。

- カスタマイズ可能なパターン化

- トランザクション・ルール条件

トランザクション・データ

抽象アイテムであるかそれ自体では属性を持たないデータ、どのエンティティにも当てはまらないデータ、およびそれ自体で存在するか一意であるデータは、トランザクション・データとして定義されます。

エンティティに当てはまらないアイテムは、スタンドアロン・データとして分類されます。

代表的な例には、数量やコードがあります。

トランザクション定義

トランザクションの監視とプロファイリングを開始するには、トランザクション定義を使用してアプリケーション・データをマップします。Oracle Adaptive Access Managerによって処理される各トランザクション・タイプには、別々のトランザクション定義が必要です。

トランザクション・キー

このキー値は、クライアントまたは外部トランザクション・データをOracle Adaptive Access Managerサーバー内のトランザクションにマップするために使用されます。

トリガー

評価結果がtrueになるルールです。

トランザクション・タイプ

認証、請求書の支払、電信送金など、この特定のインストール内で構成されたトランザクション定義です。

トリガー組合せ

ルール結果の組合せに基づく追加の結果とポリシー評価のいずれかまたは両方です。様々なルール結果の組合せに基づくスコア、アクション・グループおよびアラート・グループを指定することも、ネストされたポリシーを指定してさらにリスクを評価することもできます。

トロイの木馬

他のタスクの実行を装って悪意のあるソフトウェアをインストールするプログラムです。

ユーザー

トランザクションの実行を認可された企業、個人、クレジット・カードなどを指します。

ユーティリティ・パネル

ユーティリティ・パネルは検索専用であり、OAAMワークフローのすべてのページから簡単にアクセスできます。これは、共通データに基づき、互いに関連するセッションおよびトランザクションを迅速に見つけるために使用されます。

調査担当者は、ユーティリティ・パネルを使用して次のことを行えます。

- 共通のデータを持つセッションおよびトランザクションを迅速に特定します。

- 問合せを繰り返して、結果を拡大および縮小します。

- 検出されたセッションおよびトランザクションの合計数を表示し、調査を拡大するために詳細を確認します。

検証

KBA質問登録およびチャレンジ処理で使用される回答検証です。

仮想認証デバイス

パスワードまたはPINを入力するためのパーソナライズされたデバイス、または認証資格証明を入力するためのデバイスで、保護されたWebアプリケーションとの対話の際にユーザーを保護します。仮想認証デバイスでは、認証資格証明の入力と送信のプロセスを強化し、エンド・ユーザーが有効なアプリケーションに対して認証していることを検証します。仮想オーセンティケータの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』の仮想認証デバイスの使用に関する項を参照してください。

ウィルス

自身をコピーし、権限またはユーザーの情報を持たずに複数のコンピュータを感染させることができるコンピュータ・プログラムです。

ホワイト・リスト

信頼できるメンバーのリストです。これらのユーザー、デバイス、IPアドレス、ネットワーク、国などから発生したアクティビティは信頼できます。

索引
A  B  C  D  E  F  G  H  I  J  K  L  M  N  O  P  Q  R  S  T  U  V  W

数字

11gと10g

主要な概念および用語の変更, はじめに

A

省略形ファイル, 追加, 7.8, 7.8

アクション

オーバーライド, 追加, 13.5

オーバーライド, 作成, 13.5

オーバーライド, 編集, 13.5

オーバーライド, 13.1.2

アクション・インスタンス

アクション優先度, 16.9

作成, 16.9

編集, 16.18, 16.19

実行タイプ, 16.8

検索ページ, 16.7

「有効時間」オプション, 16.9

アクション・オーバーライド, 10.2.17 アクション・テンプレート, 16.1.2

作成, 16.6

削除, 16.15

詳細, 16.5

編集, 16.11

エクスポート, 16.12

インポート, 16.13

検索ページ, 16.3

アクション・グループ, 12.1.1 アプリケーション・フローでのアクション, 10.3.5 アクティブ化

チャレンジ質問, 7.4.9, 7.4.9

エンティティ, 19.2.4.7, 19.2.4.7

パターン, 15.12.3.1

追加

回答の検証, 7.5.2

新規または既存のグループへのメンバー, 12.5.2

セッションからのセッション・パラメータ, 6.6.1

グループへのセッション・パラメータ, 6.6.2

セッション・パラメータ・グループへのセッション・パラメータ, 6.6

「グループに追加」オプション, 6.6 AddItemToListAction, 16.20.2 エージェント・ケース

バルク編集, 5.4.6

ステータスの変更, 手動, 5.4.5.1

類似作成, 5.4.2.2

リンク・セッション, 5.3.11

検索ページ, 5.2.1

セッション検索, 5.3.21

重大度レベル, 変更, 5.4.4

ステータス, 変更, 5.4.5

エージェント・ケースの作成

自動, 5.4.2.4

同様のケースの作成, 5.4.2.2

手動, 5.4.2.1

エージェント・ケース, CSRからエスカレート, 4.12.5 集計スコアリング・エンジン, 10.2.8 アラート詳細, 6.4

「デバイス」タブ, 6.15.3

「ロケーション」タブ, 6.15.4

「セッション」タブ, 6.15.5

「サマリー」タブ, 6.15.1

「ユーザー」タブ, 6.15.2

「アラート詳細」ページ, 5.3.28 アラート詳細でのタスク, 6.15.7 アラート・オーバーライド, 10.2.17 アラート, 10.3.6 アラート詳細

フィンガープリント・データ, 6.15.6, E.1.8.6

「アラート」グループ, 12.1.1, 12.1.1 「アラート・ブレークダウン」レポート, 24.1.8.6 アノニマイザ・データ, 26.3.4.1 アノニマイザ・データ, ロード, 26.3.1.5 回答ロジック

構成, 7.3.9

回答ロジック・アルゴリズム

一般的な省略形, 7.3.9.1.1

一般的なスペル・ミス, 7.3.9.1.2

一般的な愛称, 7.3.9.1.1

一般的な誤入力, 7.3.9.1.3

日付書式, 7.3.9.1.1

キーボード・ファット・フィンガリング, 7.3.9.1.3

音声, 7.3.9.1.2

回答ロジック・アルゴリズム

ファット・フィンガリング・アルゴリズム, F.3.2

音声, F.3.1

回答ロジックのレベル, 7.3.9.2

省略形, 7.3.9.2.1

ファット・フィンガリング, 7.3.9.2.2

複数の単語の回答, 7.3.9.2.4

音声, 7.3.9.2.3

回答登録の検証の設定, 7.5 回答の検証

追加, 7.5.2

アプリケーションID, はじめに, 27.1 アーカイブおよびパージ手順, D ASN, 12.1.1 「ASN」グループ, 12.1.1 非同期アクション, 16.8 監査情報

カスタマ・ケア・イベント, 24.2.3.1

動的アクション管理イベント, 24.2.3.7

エンティティ管理イベント, 24.2.3.8

グループ/リスト管理イベント, 24.2.3.5

インポート・イベント, 24.2.3.13

KBA質問イベント, 24.2.3.2

OAAMサーバー管理イベント, 24.2.3.11

パターン管理イベント, 24.2.3.6

ポリシー管理イベント, 24.2.3.3

ポリシー・セット管理イベント, 24.2.3.4

スナップショット管理イベント, 24.2.3.10

トランザクション管理イベント, 24.2.3.9

ユーザー・イベント, 24.2.3.12

クローズ済ケースの認証, 4.12.3.3 「認証ステータス」グループ, 12.1.1 自動学習, 用語集

パターン・データ処理をトリガーするためのAPI, H.2

データ/プロファイリング・データ, 15.15

有効化, 15.5

ネイティブ統合, 15.6.4

パターン作成, ベスト・プラクティス, 15.12.1

パターン・データ処理(オンラインおよびスケジュール済), H.1

パターン, 15.1.2

自動学習(パターン・ベース)ポリシー

OAAMユーザー・プロファイルの有無, 10.5.4.3

OAAMユーザー対すべてのユーザー, 10.5.4.5

OAAMユーザー対自分自身, 10.5.4.4

自律システム番号, 12.1.1 平均スコアリング・エンジン, 10.2.8 「平均のサマリー」レポート, 24.1.8.7

B

基本的な環境の設定

暗号化およびデータベース資格証明, 2.4

bharosa.trackeradmin.show.transaction.detail, 6.3.2 bharosa.uio.default.userinfo.inputs.enum, 8.8.2.2 BI Publisherレポート

構成, 24.1.2

バケット

作成および移入, 15.1.2

ダイジェスト別, 19.2.4.3, A.11 キー別, 19.2.4.3, A.11

C

キャッシュ・ポリシー, 12.3

ケース

アクション, 4.5.1

アクティビティ・ログ, 4.6

アクティビティ, 表示, 4.6

ベスト・プラクティスと推奨事項, 4.16

複数を一度に閉じる, 4.12.6

「クローズ済」ステータス, 4.12.3

閉じる, 4.12.3.2

類似作成, 4.8.2

作成, 4.8

CSR, 4, 4.1.1.1

定義, 4.1

説明キーワード, 検索, 4.4.5

詳細, 表示, 4.5.2

エスカレーション済, 4.1.1.2

エスカレーション済ケースのログ, 4.6.3

有効期限日, 4.1.8

有効期限動作, C.2.6

有効期限の延長, 4.12.4

履歴, 表示, 4.6.1

ログ, 検索, 4.6.2

新規ステータス, 4.12.3

ノート, 追加, 4.12.1

オープンとクローズ済, 検索, 4.4.4

保留中ステータス, 4.12.3

クローズ済ケースを再度開く, 4.12.3.3

重大度レベル, 4.1.7

重大度レベル, 変更, 4.12.2

ステータス, 4.1.6

ステータス, 変更, 4.12.3

ユーザー詳細, 表示, 4.5.3

ケース・アクション

ノートの追加, 4.5.1

ケースへのノートの追加, 4.12.1

質問の依頼, 4.5.1

重大度の変更, 4.5.1

ステータスの変更, 4.5.1

ケースの重大度レベルの変更, 4.12.2

ケースのステータスの変更, 4.12.3

カスタマ・リセット, 4.5.1

ケースのエスカレーション, 4.5.1

有効期限日の延長, 4.5.1

一時許可, 4.5.1

「ケース詳細」ページ, 4.5 ケース・ステータス, 4.1.6 ケース・ステータス

「クローズ済」へのケース・ステータスの変更, 4.12.3.2

「保留中」へのケース・ステータスの変更, 4.12.3.1

ケース・ステータス

クローズ済, 5.4.1

新規, 5.4.1

保留中, 5.4.1

CaseCreationAction, 5.4.2.4, 16.20.1 「ケース」検索ページ, 4.4 ケース, バルク編集, 4.12.6 ケース, リストの表示, 4.4.2 ケース, 使用中のケースの表示, 4.4.3 チャレンジ質問

アクティブ化, 7.4.9, 7.4.9

回答ロジック, 7.1.10

カテゴリ, 7.1.6, 7.1.6

類似作成, 7.4.3

作成, 7.9.1

新規作成, 7.3.6

削除, 7.4.7

詳細および統計, 7.4.2

無効化, 7.4.8

編集, 7.4.4

エクスポート, 7.4.6

グローバル登録検証(グローバル), 7.1.9

グローバル・ローカル検証, 7.1.9

インポート, 7.4.5

次の質問に進ませる, 4.10.4

ユーザーを次のチャレンジ質問に進ませる, 7.1.12.3

管理, 7.4

質問登録検証(ローカル), 7.1.9

質問セット, 7.1.7

登録, 7.1.3

登録ロジック, 7.1.8

リセット, 4.10

リセット, 4.10.2, 7.1.12.1

検索, 7.4.1

チャレンジ・レスポンス

構成, 7.1.5

プロセス, 7.1.4

「チャレンジ統計」レポート, 24.1.8.3 チェックポイント, はじめに 「市区町村」グループ, 12.1.1, 12.5.4.1 市区町村信頼度係数, 11.5.3 CLI

エクスポート・オプション, 26.2.2.5

ファイルのインポート, 26.2.2.4

インポート・オプション, 26.2.2.6

同じトランザクションでの、複数タイプのエンティティのインポート, 26.2.2.7

インポートまたはエクスポートのための使用状況情報の取得, 26.2.1

オプション, 26.2.2

概要, 26.1

パラメータ, 26.2.2.2

環境の設定, 2.3

トランザクション処理, 26.2.2.9

複数のタブを閉じる, 3.4.4.1.6 com.bharosa.vcrypt.tracker.dynamicactions.intf.DynamicAction javaインタフェース, 16.10 コマンドライン・インタフェース(CLI), 26 条件

ルールへの条件の追加, 11.5.4

削除, 11.10.4

ルールからの削除, 11.9.8

ルールの詳細, 11.10.2

編集, 11.9.5

エクスポート, 11.11.5

インポート, 11.11.4

ルール内の順序, 11.10.3

検索, 11.10.1

config_secret_key.file, 2.4.2 構成可能なアクション・インスタンス, 16.16 構成可能なアクション

ランタイムへの追加, 16.9, 16.17, 16.18

作成, 16.2

デプロイ, 16.1.3

即時利用可能, 16.20

標準, 16.20

構成可能なアクション, 定義, 16.6 構成可能なアクション, 表示, 16.9, 16.17, 16.18 構成

回答ロジック, 7.3.9

登録ロジック, 7.7

接続スピード

グループ, 12.1.1

接続スピード・マッピング, 26.3.3.3 接続タイプ

グループ, 12.1.1

接続タイプ・マッピング, 26.3.3.2 デバイス識別のCookie, E.1.4 コピー

別のチェックポイントへのポリシー, 11.8.8

ポリシーへのルール, 11.5.6, 11.8.9

「国」グループ, 12.1.1 国信頼度係数, 11.5.3 「国」グループ, 12.5.4.3 「国集計」レポート, 24.1.8.4 作成

アクション・テンプレート, 16.6

チャレンジ質問, 7.9.1

エンティティ, 19.2.4

パターン, 15.12.1

トランザクション定義, 20.4.2

類似作成

チャレンジ質問, 7.4.3

新規作成

チャレンジ質問, 7.3.6

資格証明ストア・フレームワーク, 2.4 クレジット・カード・エンティティ, 19.2.1.1 CSRおよびCSRマネージャ・ロールの権限, 4.2 CSRマネージャ, 4.1.3 カスタム・アクション・インスタンス

作成, 16.10

カスタマ

ログイン, 認証ステータスまたはアラート・レベルによるフィルタ, 4.7.4

ログイン, デバイスまたは日付範囲による検索, 4.7.2, 4.7.3

ログイン, 表示, 4.7.1

プロファイル, リセット, 4.9.8

リセット, 4.1.9, 4.9

サービス担当(CSR), 4.1.2

セッション履歴, 表示, 4.7.1

セッション, 検索, 4.7.2

セッション, 表示, 4.7

カスタマ・サービス担当, 4

D

ダッシュボード, 1.2.12

「パフォーマンス」パネル, 23.1.4.1.1

「サマリー」パネル, 23.1.4.2

パフォーマンスの表示, 23.1.4.1.1

ダッシュボード, 23.1.4.3

デバイスごとのブラウザおよびOSデータの表示, 23.1.4.3.5

パフォーマンスごとのデータ型の表示, 23.1.4.3.6

セキュリティごとのルールまたはアラートのリストの表示, 23.1.4.3.4

スコアリング・ブレークダウンのリストの表示, 23.1.4.3.2

データ識別スキーム, 19.2.4.3 データ・ローダー, 21.1.7 予測分析でのデータ・マイニング, 17.1.2 データベース資格証明

設定, 2.3.4, 2.4

資格証明ストア・フレームワークでのデータベース資格証明, 2.3.4 非アクティブ化

エンティティ, 19.3.9.1

パターン, 15.12.3.2

トランザクション

定義, 20.5.8

定義

グループ, 12.5.1

OTP電子メール・チャレンジ, 8.6

削除

アクション・テンプレート, 16.15

チャレンジ質問, 7.4.7

条件, 11.10.4

エンティティ, 19.3.9.2

グループ, 12.6.5

パターン, 15.14

ポリシー, 11.8.7

ルール, 11.9.7

トランザクション定義, 20.5.4

デプロイメント・オプション, 1.4 DESede_config_key_alias, 2.4.5 DESede_db_key_alias, 2.4.5 詳細ページ, 6.1 デバイス

データ・アーカイブおよびパージ基準のフィンガープリント処理, D.3

デバイス条件

ブラウザ・ヘッダー・サブストリング, B.4.1

ブラウザ・ヘッダー・サブストリング, B.4.1

デバイスが特定のタイプであるかどうかの確認, B.4.2

デバイス

最終ログインからの速度とIPグループの無視, B.4.11

ユーザーの初回デバイス, B.4.3 過剰使用, B.4.4 グループ内, B.4.5 登録済, B.4.6 期間内の指定ステータス以外, B.4.7 ユーザーの使用数, B.4.8 ユーザー件数, B.4.9 ユーザー・ステータス件数, B.4.10 デバイス詳細, 6.4

「アラート」タブ, 6.13.5

「フィンガープリント・データ」タブ, 6.13.7, E.1.8.4.2

「グループ」タブ, 6.13.2

「ロケーション」タブ, 6.13.4

「セッション」タブ, 6.13.6

「サマリー」タブ, 6.13.1, E.1.8.4.1

タスク, 6.13.8

「ユーザー」タブ, 6.13.3

「デバイス詳細」ページ, 5.3.28 デバイスのフィンガープリント処理, E デバイス識別, E デバイス識別のクライアント・サイド・プラグイン, E.2.4.2.1 デバイス・リスクの程度, 11.5.3 「デバイスIDスコアリング」レポート, 24.1.8.2 「デバイス」グループ, 12.1.1 デバイス, 登録解除, 4.9.4 無効化

チャレンジ質問, 7.4.8

KBAのロジック, 7.1.13

E

編集

アクション・テンプレート, 16.11

チャレンジ質問, 7.4.4

条件, 11.9.5

エンティティ, 19.3.5

パターン, 15.12.1, 15.12.4

ポリシー, 11.8.5

トランザクション定義, 20.5.3

エンコードされた秘密鍵, 生成, 2.4.4 encodeKeyコマンド, 2.4 暗号化

キー, 2.4, 21.3.6.2

設定, 2.4, 21.3.6.2

エンティティ

アクティブ化, 19.2.4.7, 19.2.4.7

作成, 19.2.4, 19.2.4.1

作成, ベスト・プラクティス, 19.5

非アクティブ化, 19.3.9.1

削除, 19.3.9.2

詳細, 表示, 19.3.3

表示スキーム, データの指定, 19.2.4.4

編集, 19.3.5

エクスポート, 19.3.8.1

IDスキーム, 選択, 19.2.4.3

インポート, 19.3.8.2

検索ページ, 19.3.2

エンティティ要素

データ要素, 19.2.1.1

表示要素, 19.2.1.2

IDスキーム, 19.2.1.3

エージェント・ケースへのケースのエスカレーション, 4.12.5 評価優先度, 15.12.7 除外ユーザー・グループ, 11.5.3 ケースの有効期限日, 4.1.8 有効期限, ケース, 4.12.4 ケースの有効期限動作

無効化, C.2.6.1

設定, C.2.6.2

エクスポート

アクション・テンプレート, 16.12

チャレンジ質問, 7.4.6

条件, 11.11.5

エンティティ, 19.3.8.1

グループ, 12.6.4.1

パターン, 15.13.2

ポリシー, 11.11.1

トランザクション定義, 20.5.5

エクスポート

リンク・セッション, 5.3.34

F

フィンガープリント詳細, 6.4

「アラート」タブ, 6.14.6, E.1.8.5.6

「デバイス」タブ, 6.14.3, E.1.8.5.3

「ロケーション」タブ, 6.14.4, E.1.8.5.4

「セッション」タブ, 6.14.5, E.1.8.5.5

「サマリー」タブ, 6.14.1, E.1.8.5.1

タスク, 6.14.7, E.1.8.5.7

「ユーザー」タブ, 6.14.2, E.1.8.5.2

「フィンガープリント詳細」ページ, 5.3.28, 5.3.28 パスワードを忘れた場合のフロー, 10.4.2

G

genEncodedKey, 2.4

「汎用ロング」グループ, 12.1.1

「汎用文字列」グループ, 12.1.1

汎用グループ, 12.1.1

グローバリゼーション・サポート, F, F.1

グループ・リンク, 10.2.18.2

グループ・タイプ, 12.1.1

グループ, 12

アクション, 12.1.1

グループへのアラートの追加, 12.5.6

メンバーの追加, 12.5.2

アラート, 12.1.1, 12.1.1

ASN, 12.1.1, 12.1.1

認証ステータス, 12.1.1

特性, 12.1.2

市区町村, 12.1.1, 12.5.4.1

接続スピード, 12.1.1

接続タイプ, 12.1.1

国, 12.1.1, 12.5.4.3

グループに追加する新規要素/メンバーの作成(検索/フィルタ・オプションなし), 12.5.3

定義, 12.5.1

削除, 12.6.5

詳細ページ, 12.4

デバイス, 12.1.1

編集, 12.6.1

エクスポート, 12.6.4.1

エクスポートおよびインポート, 12.6.4

既存のリストをフィルタリングしてグループに追加する要素を選択(新規要素の作成なし), 12.5.4

汎用ロング, 12.1.1

汎用文字列, 12.1.1

汎用, 12.1.1

インポート, 12.6.4.2

IP, 12.1.1

IPキャリア, 12.1.1

IP範囲, 12.1.1

ISP, 12.1.1

メンバー, 編集, 12.6.1

ユーザー・グループからのユーザーの削除, 12.6.3

メンバーの削除, 12.6.2

ルーティング・タイプ, 12.1.1

検索ページ, 12.2

検索, 12.3

既存要素の検索および追加, 12.5.7

既存要素の検索と追加、または新規要素の作成と追加, 12.5.5

第2レベル・ドメイン, 12.1.1

都道府県, 12.1.1, 12.5.4.2

トップ・レベル・ドメイン, 12.1.1

トランザクション

ステータス, 12.1.1

直接更新, 12.6.6, 12.6.6 用途, 12.1.3 ユーザーID, 12.1.1 ユーザー名, 12.1.1 詳細の表示, 12.4 グループ, 使用, 10.2.18

H

handleFlash.jsp, E.1.4

handleJump.jsp, E.1.4

I

イメージおよびフレーズ, リセット, 4.9.3

イメージ, リセット, 4.9.1

インポート

アクション・テンプレート, 16.13

チャレンジ質問, 7.4.5

条件, 11.11.4

エンティティ, 19.3.8.2

グループ, 12.6.4.2

IP

ロケーション・データ, 2.7, 21.3.6.5

パターン, 15.13.1 ポリシー, 11.11.2 トランザクション定義, 20.5.6 次のチャレンジ質問に進ませる, 4.10.4 セッション内トランザクション・データのアーカイブおよびパージ基準, D.3 IP

キャリア・グループ, 12.1.1

グループ, 12.1.1

ローダー・プロパティ, 26.3.1.2

ロケーション・データ, インポート, 2.7, 21.3.6.5, 26.3

ロケーション・ローダー・プロパティ, 26.3.1.2

範囲グループ, 12.1.1

IPアドレス詳細, 6.4 IPアドレス詳細ページ, 5.3.28, 5.3.28 ISPグループ, 12.1.1

J

ジョブ作成ウィザード, 22.3

ジョブ・キュー, 22.2.2

ジョブ

ジョブの取消し, 22.5.6

ジョブの削除, 22.5.9

ジョブの無効化, 22.5.8

ジョブの編集, 22.6

監視データのロールアップの編集, 22.6.2

ジョブの有効化, 22.5.7

移行, 22.7

ジョブの一時停止, 22.5.4

ジョブの即時実行, 22.5.3

ジョブの再スケジュール, 22.5.2

一時停止したジョブの再開, 22.5.5

ジョブの実行, 22.5.1

スケジューリングと処理, 22

ジョブ・キューの表示およびソート, 22.5.13

ジョブのインスタンスの表示, 22.5.11

ジョブ詳細の表示, 22.5.10

ジョブ・ログの表示, 22.5.12

ジョブ検索ページ, 22.2.3

K

KBA

ロジックの無効化, 7.1.13

失敗カウンタ, 7.1.11

「ロック済」ステータス, 7.1.14

電話チャレンジ, 4.10.6, 7.1.12.5

リセット

リセット, 7.1.12

セキュリティ・ソリューションのガイドライン, 7.10 ユーザーのロック解除, 7.1.12.4 KBAとOTP, 8.1.6 KeyPad, 1.2.3 KeyStoreコマンド, 2.4.2 ナレッジベース認証(KBA), 1.2.5

L

リンク・セッション, エクスポート, 5.3.34, 5.3.34

ロードおよび実行ジョブの作成, 22.4.3

ロード・ジョブ, 21.1.4

作成, 22.4.1

MaxMind IPデータのロード, 設定, 26.3.1.3 ロケーション

データ, ロード, 26.3.1.5

ロード表, 26.3.4.2

ロケーション条件

グループ内ASN, B.5.1

グループ内の市区町村, B.5.2

キャリア・グループ内, B.5.3

国グループ内, B.5.4

グループ内のIP接続タイプ, B.5.5

範囲グループ内のIP, B.5.6

IP回線スピード・タイプ, B.5.7

IP最大ユーザー数, B.5.8

グループ内のIPルーティング・タイプ, B.5.9

AOLからのIP, B.5.10

ロケーション詳細, 6.4

「アラート」タブ, 6.12.5

「デバイス」タブ, 6.12.4

「フィンガープリント」タブ, 6.12.7, E.1.8.3

「グループ」タブ, 6.12.2

「セッション」タブ, 6.12.6

「サマリー」タブ, 6.12.1

タスク, 6.12.8

「ユーザー」タブ, 6.12.3

ロケーション詳細ページ, 5.3.28, 5.3.28 「ロック済」ステータス, 4.1.4

KBA, 7.1.14

ロギング, K

出力, J

「ログイン・サマリー」レポート, 24.1.8.7

M

最大スコアリング・エンジン, 10.2.8

Microsoft SQL Serverデータベース, 設定, 26.3.1.1

最小スコアリング・エンジン, 10.2.8

モデル

編集, 11.8.5

監視データのロールアップ・ジョブの作成, 22.4.4 監視情報

APIの実行情報, 23.2.3

ログイン情報, 23.2.1

ルール・エンジンの実行情報, 23.2.2

複数バケット・パターン, 15.1.4, 用語集 複数のタブ, 閉じる, 3.4.4.1.6 「複数のデバイス」レポート, 24.1.8.8 「複数の失敗」レポート, 24.1.8.2 「複数のユーザー」レポート, 24.1.8.2, 24.1.8.4 マルチテナント, 27.1

CSRの例, 4.14.5

特定の組織へのCSRアクセスの提供, 27.3.2

マルチテナントのアクセス制御の設定, 27.3

マルチテナント・アクセス制御, 27

N

ナビゲーション・パネル

メニューとツールバー, 3.4.2.2

ナビゲーション・パネル, 3.4.2 ネストされたポリシー, 10.2.15 新機能, 11g, はじめに ノート, ケースへの追加, 4.12.1

O

OAAM管理, はじめに

アクセス・レベル, 3.2

コンソールとコントロール, 3.4

詳細ページ, 3.4.4.2

管理領域, 3.4.4

検索ページ, 3.4.4.1

サインイン, 3.3

OAAM AuthentiPadポリシー, 10.5.3.1 OAAMチャレンジ・ポリシー, 10.5.6.1 OAAMカスタマ・ケア質問依頼, 10.5.7.1 OAAM環境, 設定, 2.2 OAAMのジョブ, 22.2 OAAMオフライン

アーキテクチャ、21.1.2

実行するチェックポイントの変更, 21.9

OAAMオフラインを使用した既存のデプロイメント, 21.5.2

インストール, 21.3

ジョブ, 21.1.3

OracleまたはMicrosoft Server SQL Server以外のデータベースからのロード, 21.8

OAAMオフラインの監視, 21.7

OAAMオフラインを使用した新しいデプロイメント, 21.5.1

ポリシーとルールのテスト, 21.5

OAAM認証後セキュリティ・ポリシー, 10.5.4.1 OAAM認証前ポリシー, 10.5.1.1 OAAM予測分析ポリシー, 10.5.4.2 OAAMプロパティ

alert.level.enum.ultralow, C.2.2

alert.level.enum.ultralow.color, C.2.2

alert.level.enum.ultralow.description, C.2.2

alert.level.enum.ultralow.label, C.2.2

alert.level.enum.ultralow.name, C.2.2

alert.level.enum.ultralow.order, C.2.2

alert.level.enum.ultralow.viewColor, C.2.2

auth.status.enum.block.name, C.1.23

auth.status.enum.challenge_block.name, C.1.23

auth.status.enum.db_error.name, C.1.23

auth.status.enum.invalid_user.name, C.1.23

auth.status.enum.pending_activation.name, C.1.23

auth.status.enum.pending.name, C.1.23

auth.status.enum.session_expired.name, C.1.23

auth.status.enum.session_reused.name, C.1.23

auth.status.enum.success.name, C.1.23

auth.status.enum.system_error.name, C.1.23

auth.status.enum.user_disabled.name, C.1.23

auth.status.enum.wrong_answer.name, C.1.23

auth.status.enum.wrong_password.name, C.1.23

auth.status.enum.wrong_pin.name, C.1.23

bharosa.arm.pagetitle.queries.entities.patternworkflow, C.1.2

bharosa.authenticator.EnableMatchScore, C.1.11

bharosa.authentipad.image.url, C.1.27

bharosa.authentipad.questionpad.datafield.input.type, C.1.27

bharosa.authentipad.textpad.datafield.maxLength, C.1.27

bharosa.cipher.encryption.algorithm.system.default, C.1.9

bharosa.config.type.kba_config.enum.regQuestionsCount.validation.maxValue, C.1.14

bharosa.config.type.kba_config.enum.regQuestionsCount.validation.minValue, C.1.14

bharosa.config.ui.list.filter.enum, C.1.19

bharosa.db.query.performance.warning.threshold.ms, C.1.5

bharosa.image.dirlist, C.1.27

bharosa.kba.active, C.1.14

bharosa.menu.queries.entities, C.1.2

bharosa.multitenant.boolean, C.1.4

bharosa.trackeradmin.show.transaction.detail, C.1.10, C.1.13

bharosa.tracker.send.devideId, C.1.6

bharosa.uio.default.authentipad.is_ada_compliant, C.1.27

bharosa.uio.default.challenge.type.enum.ChallengeEmail, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeEmail.available, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeEmail.description, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeEmail.name, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeEmail.otp, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeEmail.processor, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeEmail.requiredInfo, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeSMS, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeSMS.available, C.1.17, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeSMS.description, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeSMS.name, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeSMS.otp, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeSMS.processor, C.1.17

bharosa.uio.default.challenge.type.enum.ChallengeSMS.requiredInfo, C.1.17

bharosa.uio.default.device.identification.scheme, C.1.7

bharosa.uio.default.DeviceTextPad.default.image, C.1.27

bharosa.uio.default.messages.enum.privacy.description, C.1.17

bharosa.uio.default.messages.enum.privacy.name, C.1.17

bharosa.uio.default.messages.enum.terms.description, C.1.17

bharosa.uio.default.messages.enum.terms.name, C.1.17

bharosa.uio.default.registerdevice.enabled, C.1.6

bharosa.uio.default.register.userinfo.enabled, C.1.17

bharosa.uio.default.signon.links.enum.wherepassword.enabled, C.1.27

bharosa.uio.default.ums.integration.deliveryPage.delay, C.1.17

bharosa.uio.default.ums.integration.fromAddress, C.1.17

bharosa.uio.default.ums.integration.message.status.poll.attempts, C.1.17

bharosa.uio.default.ums.integration.message.status.poll.delay, C.1.17

bharosa.uio.default.ums.integration.parlayx.endpoint, C.1.17

bharosa.uio.default.ums.integration.password, C.1.17

bharosa.uio.default.ums.integration.useParlayX, C.1.17

bharosa.uio.default.ums.integration.userName, C.1.17

bharosa.uio.default.ums.integration.webservice, C.1.17

bharosa.uio.default.ums.integtaion.policies, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.description, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.enabled, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.errorCode, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.inputname, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.inputtype, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.managerClass, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.maxlength, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.name, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.order, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.regex, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email2.required, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.description, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.enabled, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.errorCode, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.inputname, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.inputtype, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.managerClass, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.maxlength, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.name, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.order, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.regex, C.1.17

bharosa.uio.default.userinfo.inputs.enum.email.required, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.description, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.enabled, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.errorCode, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.inputname, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.inputtype, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.managerClass, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.maxlength, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.name, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.order, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.regex, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile2.required, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.description, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.enabled, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.errorCode, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.inputname, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.inputtype, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.managerClass, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.maxlength, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.name, C.1.17, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.regex, C.1.17

bharosa.uio.default.userinfo.inputs.enum.mobile.required, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.description, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.enabled, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.errorCode, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.inputname, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.inputtype, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.managerClass, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.maxlength, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.name, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.order, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.regex, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.required, C.1.17

bharosa.uio.default.userinfo.inputs.enum.terms.values, C.1.17

bharosa.uio.default.username.case.sensitive, C.1.26

bharosa.uio.default.userpreferences.unregister.all.enabled, C.1.6

bharosa.uio.default.userpreferences.unregister.this.enabled, C.1.6

bharosa.uio.default.userpreferences.userinfo.enabled, C.1.17

bharosa.uio.proxy.mode.flag, C.1.20

bharosa.user.adj.list, C.1.27

bharosa.user.noun.list, C.1.27

challenge.question.registration.groups.categories.count, C.1.14

challenge.question.registration.groups.count, C.1.14

challenge.question.registration.groups.maxlimit, C.1.14

challenge.question.registration.groups.minimum.questions.per.category.count, C.1.14

challenge.question.registration.groups.questions.count, C.1.14

com.bharosa.vcrypt.tracker.dynamicactions.impl.AddToListConfigurableAction, C.1.3

com.bharosa.vcrypt.tracker.dynamicactions.impl.CaseCreationAction, C.1.3

customercare.case.actiontype.enum.accesscase.description, C.1.4

customercare.case.agent.landingtf.access, C.1.4

customercare.case.autostatuschange.enum.flowone, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowone.enabled, C.1.4, C.1.4, C.2.5, C.2.5

customercare.case.autostatuschange.enum.flowone.from, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowone.name, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowone.to, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowtwo, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowtwo.casetype, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowtwo.description, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowtwo.enabled, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowtwo.from, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowtwo.name, C.1.4, C.2.5

customercare.case.autostatuschange.enum.flowtwo.to, C.1.4, C.2.5

customercare.case.csr.landingtf.access, C.1.4

customercare.case.expirybehavior.enum.agentcase.behavior, C.1.4, C.1.4, C.2.7.1, C.2.7.2

customercare.case.expirybehavior.enum.agentcase.durationInHrs, C.1.4, C.2.7.2

customercare.case.expirybehavior.enum.agentcase.label, C.1.4, C.2.7.2

customercare.case.expirybehavior.enum.agentcase.resetonaccess, C.1.4, C.2.7.2

customercare.case.expirybehavior.enum.csrcase.behavior, C.1.4, C.1.4, C.2.6.1, C.2.6.2

customercare.case.expirybehavior.enum.csrcase.durationInHrs, C.1.4, C.2.6.2

customercare.case.expirybehavior.enum.csrcase.label, C.1.4, C.2.6.2

customercare.case.expirybehavior.enum.csrcase.resetonaccess, C.2.6.2

customercare.case.severity.enum. superhigh.access, C.2.4

customercare.case.severity.enum. superhigh.description=S, C.2.4

customercare.case.severity.enum. superhigh.display=t, C.2.4

customercare.case.severity.enum. superhigh.image=f, C.2.4

customercare.case.severity.enum. superhigh.messagelist, C.2.4

customercare.case.severity.enum. superhigh.name=S, C.2.4

customercare.case.severity.enum. superhigh.notelist, C.2.4

customercare.case.severity.enum. superhigh.order, C.2.4

customercare.case.severity.enum.superhigh=4, C.2.4

customercare.case.statuschange.myStatus.notes.enum, C.2.3

customercare.case.statuschange.myStatus.notes.enum.other, C.2.3

customercare.case.statuschange.myStatus.notes.enum.other.description, C.2.3

customercare.case.statuschange.myStatus.notes.enum.other.name, C.2.3

customercare.case.statuschange.myStatus.notes.enum.other.orde, C.2.3

customercare.case.statuschange.myStatus.notes.enum.review, C.2.3

customercare.case.statuschange.myStatus.notes.enum.review.description, C.2.3

customercare.case.statuschange.myStatus.notes.enum.review.name, C.2.3

customercare.case.statuschange.myStatus.notes.enum.review.order, C.2.3

customercare.case.status.enum. myStatus, C.2.1

customercare.case.status.enum. myStatus.access, C.2.1

customercare.case.status.enum. myStatus.availableactions, C.2.1

customercare.case.status.enum. myStatus.description, C.2.1

customercare.case.status.enum. myStatus.display, C.2.1

customercare.case.status.enum. myStatus.messagelist, C.2.1

customercare.case.status.enum. myStatus.name, C.2.1

customercare.case.status.enum. myStatus.notelist, C.2.1

customercare.case.status.enum. myStatus.order, C.2.1

desertref.authentipad.isADACompliant, C.1.27

dynamicactions.enabled, C.1.3

fa.default.daterange.in.hours, C.1.26

incrementCacheCounter, C.1.13

keyFile, C.1.9, C.1.21

keystorealias, C.1.9, C.1.21

keystorealiaspasswd, C.1.9, C.1.21

keystorefilename, C.1.9, C.1.21

keystorepasswd, C.1.9, C.1.21

oaam.adf.timezone, C.1.25

oaam.admin.csr.default.landing.page, C.1.4

oaam.admin.detail.alert.enabled, C.1.10

oaam.admin.detail.challengecount.enabled, C.1.10

oaam.admin.detail.device.enabled, C.1.10

oaam.admin.detail.fingerprint.enabled, C.1.10

oaam.admin.detail.ip.enabled, C.1.10

oaam.admin.detail.mobile.enabled, C.1.15

oaam.admin.detail.user.enabled, C.1.10

oaam.admin.investigator.default.landing.page, C.1.1, C.1.4, C.1.13

oaam.admin.investigator.landing.page2, C.1.1, C.1.4, C.1.13

oaam.admin.investigator.landing.page3, C.1.1, C.1.4, C.1.13

oaam.admin.investigator.landing.showhometab, C.1.4

oaam.comparetrx.max.rows.allowed, C.1.4

oaam.customercare.agent.case.allow.userinfo, C.1.1, C.1.4, C.1.13

oaam.customercare.linksessions.max.rows.allowed, C.1.4

oaam.export.max.rows.allowed, C.1.26

oaam.generic.idmshellrhs.tab.width, C.1.4

oaam.permission.creatagentcase, C.2.8, C.2.8

oaam.permission.creatagentcase=oaam.perm.create.case.type.csr, C.1.4, C.1.4

oaam.session.filter.timerange.enum.oneday.typevalue, C.1.26

oaam.transaction.encrypted.data.mask, C.1.8

oaam.transaction.encrypted.data.mask.char, C.1.8

oaam.transaction.encrypted.data.mask.suffix.length, C.1.8

oaam.transaction.encrypted.data.unmask.perm, C.1.8

oaam.transaction.mapping.startindex.min, C.1.10

oaam.uio.oam.integration.stepup.enabled, C.1.24

oaam.utility.filter.isconjuctionall, C.1.4

oaam.utility.filter.timerange.default, C.1.4

oaam.utility.max.filter.items.allowed, C.1.4

onecustomercare.case.autostatuschange.enum.flowone.description, C.1.4, C.2.5

onecustomercare.case.autostatuschange.enum.flowone.enabled, C.1.4

oracle.oaam.transactions.analyzepatterns, C.1.2, C.1.2

vcrypt.bharosa.autolearning.numPriorities, C.1.2

vcrypt.bharosa.autolearning.threadMultiplier, C.1.2

vcrypt.caption.assignDefault, C.1.27

vcrypt.common.util.vcryptsoap.impl.classname, C.1.21

vcrypt.reports.scheduler.activate, C.1.16

vcrypt.soap.auth, C.1.21

vcrypt.soap.auth.aliasPassword, C.1.9, C.1.21

vcrypt.soap.auth.keystoreFile, C.1.9, C.1.21

vcrypt.soap.auth.keystorePassword, C.1.9, C.1.21

vcrypt.soap.auth.username, C.1.9, C.1.21

vcrypt.soap.call.timeout, C.1.21

vcrypt.tracker.autolearnin.enabled, C.1.2

vcrypt.tracker.autolearning.enabled, C.1.2

vcrypt.tracker.autolearning.update.entity.profile.for.auth.patterns, C.1.2

vcrypt.tracker.autolearning.use.auth.status.for.analysis, C.1.2, C.1.2

vcrypt.tracker.autolearning.use.synchronous.execution.for.pattern.analysis, C.1.2

vcrypt.tracker.autolearning.use.tran.status.for.analysis, C.1.2, C.1.2

vcrypt.tracker.ip.detectProxiedIP, C.1.20

vcrypt.tracker.rulelog.detailed.minMillis, C.1.28

vcrypt.tracker.rules.allowControlledActions, C.1.18

vcrypt.tracker.rules.trace.policySet.XXXXXX, C.1.18

vcrypt.tracker.soap.url, C.1.21

vcrypt.user.account.status.enum.active.name, C.1.22

vcrypt.user.account.status.enum.deleted.name, C.1.22

vcrypt.user.account.status.enum.disabled.name, C.1.22

vcrypt.user.account.status.enum.invalid.name, C.1.22

vcrypt.user.account.status.enum.pending_activation.name, C.1.22

vcrypt.user.image.dirlist.property.name=bharosa.image.dirlist, C.1.27

OAAM登録ポリシー, 10.5.5.1 OAAMサーバー, はじめに OAAMスナップショット

英語のチャレンジ質問, 2.6

構成可能なアクション, 2.6

エンティティの定義, 2.6

グループ, 2.6

即時利用可能なパターン, 2.6

標準ポリシー, 2.6

OAAMスナップショット, インポート, 2.6, 11 oaam_base_snapshot.zip, 2.6 oaam_db_key, 2.4.6 OAAM_LOAD_DATA_VIEW, 21.8.2.1 ODM

カスタム入力データ・マッピング, 17.10

ODMモデル, 追加, 17.9 ODMモデル, 再作成, 17.4 ワンタイム・パスワード, 8.1.1 Oracle Adaptive Access ManagerのURL, 3.3, 21.3.5 Oracle Enterprise Manager Fusion Middleware Control, 28.2 組織ID, Preface, 4.8.1, 5.4.2.1, 27.1 OTP

チャレンジ・タイプ, 8.1.5

OTPプレゼンテーションの構成, 8.11.4

OTPチャレンジを使用するためのポリシーおよびルールの構成, 8.9

UMSサーバーURLおよび資格情報の構成, 8.5

電子メール・チャレンジ・タイプ, 8.6

電子メール・チャレンジ, 定義, 8.6

電子メール登録, 8.8.2.2

OTPチャレンジの有効化および定義, 8.6

プロファイル登録の有効化, 8.7

失敗カウンタ, 8.11.3

失敗カウンタ, 8.1.4

パフォーマンス・データ, 表示, 23.4.6

設定概要, 8.3

SMSチャレンジ・タイプ, 8.6

ご使用条件, 8.8.2.1

ロック解除, 4.9.7

OTP Anywhere, 2.9, 8 OTPプロファイル, リセット, 4.9.5

P

パターン

属性, 15.1.3

バケットの移入, 15.1.6

メンバー・タイプ, 15.1.3

複数バケット, 15.1.4

ルール評価, 15.1.5

単一バケット, 15.1.4

ステータス, 15.9

パターン(認証)

エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む), B.3.3

エンティティは一定期間内で特定の率より少ないパターンのメンバーです, B.3.2

エンティティは指定された期間内のN回にわたるパターンのメンバーです, B.3.5

パターン(認証)の条件

このエンティティが一定期間内で最初のパターン・バケットのメンバーであるかどうかを確認するための条件, B.3.1

エンティティ: エンティティはN回にわたるパターンのメンバーです, B.3.4

パターン(トランザクション)の条件

エンティティが一定期間内で最初のパターン・バケットのメンバーであるかどうかを確認します, B.3.8

エンティティは、特定の率より少ないパターン・バケットのメンバーです(イメージ内のすべてのエンティティを含む), B.3.10

エンティティは一定期間内で特定の率より少ないパターンのメンバーです, B.3.9

エンティティは指定された期間内のN回にわたるパターンのメンバーです, B.3.7

エンティティはN回にわたるパターンのメンバーです, B.3.6

エンティティは、すべてのエンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです, B.3.11

エンティティは、エンティティの過去N期間平均よりも頻度がX%高いパターンのメンバーです, B.3.12

パターン属性演算子

次と等しい, 15.4.2

各, 15.4.1

次より大きい, 15.4.4

次以上, 15.4.6

次に含まれる, 15.4.8

次より小さい, 15.4.3

次以下, 15.4.5

次と相似, 15.4.10

次と等しくない, 15.4.7

次に含まれない, 15.4.9

次と相似でない, 15.4.11

範囲, 15.4.12

パターン・バケット, 15.1.4 パターン

アクティブ化, 15.12.3.1

属性の追加, 15.12.2

メンバー・タイプの追加または変更, 15.12.6

属性, 15.1.3

ステータスの変更, 15.12.5

作成, 15.12.1

作成方法, 15.9

データ処理, H

非アクティブ化, 15.12.3.2

非アクティブ化およびアクティブ化, 15.12.3.1

削除, 15.14

詳細ページ, 15.10

編集, 15.12.1, 15.12.4

エクスポート, 15.13.2

インポート, 15.13.1

メンバー・タイプ, 15.1.3

複数バケット, 15.12.1

「検索」ページ, 15.8

単一バケット, 15.12.1

トランザクション・タイプ, 15.9

自動学習におけるパターン, 15.1.2 パフォーマンスおよびアクティビティ, 監視, 28.2 フレーズ, リセット, 4.9.2 PinPad, 1.2.3 ポリシー, 10.2.5

認証フロー, 10.4.1

削除, 11.8.7

編集, 11.8.5

ルール内のポリシーの評価, 11.12

エクスポート, 11.11.1

インポート, 11.11.2

10gから11gへ移行, 11.11.2

検索ページ, 11.8.1

検索, 11.8.2

OAAMの標準ポリシー, 10.5

表示, 11.8.2, 11.8.3

ポリシー, はじめに

管理, 1.2.11

ポリシー詳細ページ, 11.8.4 ポリシー・エクスプローラ, 6.8.1 ポリシー・セット, 13

詳細ページ, 13.2

編集, 13.6

ポリシー・ツリー, 3.4.3 認証後ポリシー, 10.5.4 「認証後スコアリング」レポート, 24.1.8.6 認証前ポリシー, 10.5.1 「認証前スコアリング」レポート, 24.1.8.6 予測分析, 17.1

評価, 17.5

ルール条件, チューニング, 17.6

processPatternAnalysis, H.2.3, H.2.3 プロパティ

作成, 25.5

データベース・タイプ・プロパティの削除, 25.7

データベースおよびファイル・タイプ・プロパティの値の編集, 25.6

データベースおよびファイル・タイプ・プロパティのエクスポート, 25.8

データベース・タイプ・プロパティのインポート, 25.9

Oracle Adaptive Access Manager, C

vcrypt.tracker.autolearning.enabled, 15.6.2

vcrypt.tracker.autolearning.use.auth.status.for.analysis, 15.6.2

vcrypt.tracker.autolearning.use.tran.status.for.analysis, 15.6.2

vcrypt.tracker.rules.allowControlledActions, 13.1.3

プロパティ・エディタ, 使用, 25

Q

QuestionPad, 1.2.3

「質問統計」レポート, 24.1.8.3

Quovaのファイル・レイアウト, 26.3.3

R

「最近のログイン」レポート, 24.1.8.1

登録ロジック

構成, 7.7

登録フレーズ, 7.1.3 「登録」レポート, 24.1.8.3 レポート, BI Publisher, 1.2.13 reset

チャレンジ質問, 4.10, 4.10.2, 7.1.12.1

チャレンジ質問および選択元の質問セット, 7.1.12.2

チャレンジ質問および質問セット, 4.10.3

カスタマ, 4.1.9, 4.9

カスタマ・プロファイル, 4.9.8

イメージ, 4.9.1

イメージおよびフレーズ, 4.9.3

OTPプロファイル, 4.9.5

フレーズ, 4.9.2

仮想認証デバイス, 4.9.6

パスワード・リセット(KBAチャレンジ)フロー, 10.4.3 ロールの権限, CSRおよびCSRマネージャ, 4.2 ルーティング・タイプ

グループ, 12.1.1

マッピング, 26.3.3.1

ルールおよびフィンガープリント・ロギング, K ルール条件, 10.2.4 ルール

新規の追加, 11.5

作成プロセス, 11.5.1

削除, 11.9.7

詳細, 11.9.3

編集, 11.9.4

エンジン, 11.5.5

検索ページ, 11.9.1

検索, 11.9.2

「ルールAPIのパフォーマンス」レポート, 24.1.8.5 「ルール・ブレークダウン」レポート, 24.1.8.6 「ルールのパフォーマンス」レポート, 24.1.8.5 実行ジョブ, 21.1.5 実行ジョブの作成, 22.4.2

S

スコア・オーバーライド, 13.1.2

スコア

オーバーライド

作成, 13.4

伝播, 10.2.11 スコア・オーバーライド

追加, 13.4

削除, 13.4

スコアリング・エンジン, 用語集 スコアリング・オーバーライド, 10.2.16 「スコアリングの組合せ」レポート, 24.1.8.6 検索

チャレンジ質問, 7.4.1

条件, 11.10.1

グループ, 12.3

ポリシー, 11.8.2

検索結果の表, 3.4.4.1.2

メニューとツールバー, 3.4.4.1.3

検索

ルール, 11.9.2

セカンダリ認証, 7.1.1, F.3 「第2レベル・ドメイン」グループ, 12.1.1 データベース値を暗号化するための秘密鍵, 2.4.3 秘密鍵, バックアップ, 2.4.7 セッション条件

フィルタ条件を使用した現在のセッションの確認, B.6.8

パラメータ値の確認, B.6.1

正規表現のパラメータ値の確認, B.6.3

グループ内のパラメータ値の確認, B.6.2

リスク・スコア分類の確認, B.6.9

文字列値の確認, B.6.5

2つの文字列パラメータ値の確認, B.6.4

カンマ区切り値内にある値の確認, B.6.14

2つのパラメータ値を比較します, B.6.7

現在の日時との比較, B.6.12

Cookie不一致, B.6.10

IP変更, B.6.13

ブラウザ・フィンガープリントにおける不一致, B.6.11

時間単位条件, B.6.6

セッション詳細, 6.4 「セッション詳細」ページ, 5.3.28 「セッション詳細」パネル, 6.7 セッション詳細, 6.4 セッション検索, 6.4 セッション検索ページ, 5.3.21 単一バケット・パターン, 15.1.4, 用語集 スナップショット

バックアップ, 14.1.4

バックアップ, 作成, 14.7

ベスト・プラクティス, 14.11

削除, 14.9

「詳細」ページ, 14.6

制限, 14.2

メタデータ, 14.1.3

リストア, 14.1.5

リストア, 14.8

検索ページ, 14.3

格納, 14.1.2

都道府県信頼度係数, 11.5.3 「都道府県集計」レポート, 24.1.8.4 「都道府県」グループ, 12.1.1, 12.5.4.2 CSFへの対称鍵, 追加, 2.4.5 同期アクション, 16.8 システム条件

ブール・プロパティの確認, B.7.1

十分なパターン・データの確認, B.7.2

任意のパターンに対して十分なデータが使用可能かどうかが確認されます, B.7.3

整数プロパティの確認, B.7.4

リクエスト日を確認します, B.7.5

文字列プロパティの確認, B.7.6

T

ロケーション・ロードの表, 26.3.4.2

ETLプロセスで使用される表, 26.3.4

一時許可, 4.1.5

一時許可, 4.11

TextPad, 1.2.3

3方向統合

統合タスクの概要, 20.2

タイムゾーン, 設定, 2.8 「トップ・レベル・ドメイン」グループ, 12.1.1 「トラッカAPIのパフォーマンス」レポート, 24.1.8.5 トランザクション

定義

非アクティブ化およびアクティブ化, 20.5.7

定義

既存のエンティティの追加, 20.4.3

定義

追加する新規エンティティの作成, 20.4.4

作成, 20.4.2

ソース・データの定義, 20.4.6

削除, 20.5.4

編集, 20.5.3

エクスポート, 20.5.5

インポート, 20.5.6

ソース・データのマッピング, 20.4.7

表示, 20.5.2

ステータス・グループ, 12.1.1 トランザクション条件

フィルタ条件を使用したトランザクションのエンティティ件数または要素件数の確認, B.8.1

フィルタ条件を使用した現在のトランザクションの確認, B.8.2

特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認, B.8.3

フィルタを使用したトランザクション集計および件数の確認, B.8.5

フィルタ条件を使用したトランザクション件数の確認, B.8.6

指定件数の一意トランザクション・エンティティ件数を確認します, B.8.10

2つの異なる期間でのトランザクション集計(Sum/Avg/Min/Max)の比較, B.8.7

2つの異なる期間でのトランザクション件数の比較, B.8.8

2つの異なる期間でのトランザクション・エンティティ件数または要素件数の比較, B.8.9

「トランザクション詳細」ページ, 5.3.28 トリガー組合せ, はじめに トリガー組合せ, 10.2.13, 11.6 トリガー組合せの戻り値

指定, 11.6, 11.6

U

Universal Risk Snapshot, 14

ロック解除

カスタマ, 4.10.5

OTP, 4.9.7

ユーザー, 7.1.12.4

デバイスの登録解除, 4.9.4 updateAuthStatus, H.2.2, H.2.2 updateLog, E.1.4 updateTransaction, H.2.1 コンポーネントのアップグレード, 2.6 構成のアップグレード, 2.6 ポリシーのアップグレード, 2.6 使用例

CSR, 4.15

ユーザー

ユーザー・データのチェック, B.9.35

ユーザー条件

特定のタイプのデバイスが使用されているかどうかの確認, B.9.3

特定のタイプの登録済デバイス数の確認, B.9.4

ユーザー・データのチェック, B.9.34

使用されるデバイス, B.9.2

失効セッション, B.9.1

最終正常ログインからの速度, B.9.5

ユーザー詳細, 6.4

「アラート」タブ, 6.11.6

「デバイス」タブ, 6.11.3

フィンガープリント・データ, 6.11.7, E.1.8.2

「グループ」タブ, 6.11.2

「ロケーション」タブ, 6.11.4

「ポリシー」タブ, 6.11.8

「セッション」タブ, 6.11.5

「サマリー」タブ, 6.11.1

タスク, 6.11.9

「ユーザー詳細」ページ, 5.3.28 ユーザー・グループ, 2.5, G.1, G.1 「ユーザーID」グループ, 12.1.1 「ユーザー名」グループ, 12.1.1 ユースケース

詳細ページ, 6.16

V

表示

OTPパフォーマンス・データ, 23.4.6

OAAM以外のデータベースのビュー, 作成, 21.8.2 仮想認証デバイス, リセット, 4.9.6 仮想認証デバイス

KeyPad, 1.2.3

PinPad, 1.2.3

QuestionPad, 1.2.3

TextPad, 1.2.3

W

重み付け最大スコアリング・エンジン, 10.2.8

重み付け最小スコアリング・エンジン, 10.2.8

重み付けスコアリング・エンジン, 10.2.8

オラクル社の法律上の注意点について

コピーライトについて

Copyright © 1994-2013, Oracle and/or its affiliates.All rights reserved.

商標と登録商標について

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

制限付権利

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション（人的傷害を発生させる可能性があるアプリケーションを含む）への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性（redundancy）、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

ドラフトのアルファ版およびベータ版ドキュメントについて

このドキュメントが試作版の場合:

このドキュメントは試作版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。オラクル社およびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。