Oracle® Fusion Middleware Oracle Adaptive Access Managerの管理 11gリリース2 (11.1.2.3.0) E67427-01 |
|
![]() 前 |
![]() 次 |
グループは、構成作業を簡略化するために収集された相似アイテムです。
この章では、Oracle Adaptive Access Managerで使用されるグループの概念とグループのタイプについて説明し、グループの作成、グループ・メンバーシップの編集、およびグループの詳細に関する情報を提供します。また、グループのインポートおよびエクスポートの詳細についても説明します。
この章には次の項が含まれます:
セキュリティ管理者は、アクションおよびアラートのルールと、ユーザー、ロケーション、IPなどのルール条件を構成する必要があります。
たとえば、Restricted IPSというルールを作成するには、ログインに使用されているユーザーIPが構成済の制限付きIPのリストに含まれているかどうかを確認する条件を追加する必要があります。制限付きIPはIPタイプのRestrictedIPSGroupとしてグループ化され、ルール条件でこのグループが使用されます。
次のタイプのグループを使用できます。
表13-1 グループ・タイプ
タイプ | 説明 |
---|---|
ASN |
このグループはASNを保持します。自律システム番号(ASN)は、自律システムのグローバル一意識別子です。自律システム(AS)は、1つ以上のネットワーク・オペレータにより実行される、明確に定義された単一のルーティング・ポリシーを持つIPネットワークのグループです。 |
アクション |
このグループは標準のアクションを保持します。 アクションは、ルールがトリガーされるときにアクティブ化されるイベントです。例: ブロック・アクセス、チャレンジ質問、PINまたはパスワード要求など。 これは列挙グループ・タイプです。 |
アラート |
このグループには、4つの重大度レベルを持つ4種類のアラートが含まれます。 アラートは、ルールがトリガーされるときに生成されるメッセージです。例: 「このユーザーに対する新しい国からのログイン試行」。 アラートの種類は、不正、カスタマ・ケア、情報および調査です。 アラート・レベルは低、中、高および情報です。 アラートは特別な列挙グループ・タイプです。 |
認証ステータス |
このグループには、ログイン時にユーザーのステータスが含まれます。 これは列挙グループ・タイプです。 |
市区町村 |
このグループには市区町村が含まれます。例: Presque Isle、Alakanuk、Chattahoocheeなど。 |
接続スピード |
このグループには、インターネット接続スピードまたは帯域幅(高、中、低)が含まれます。 これは列挙グループ・タイプです。 |
接続タイプ |
このグループには接続タイプが含まれます。一般的なインターネット接続タイプは、光、T1/T3、衛星、ケーブル、ISDN、ワイヤレスなどです。 これは列挙グループ・タイプです。 |
国 |
このグループには国が含まれます。例: ブラック・リスト国。 |
デバイス |
このグループにはデバイスIDが含まれます。デバイスIDは、PDA、携帯電話、キオスクなどのデバイスを識別する一意なIDです。例: ブラック・リスト・デバイス。 |
汎用 |
このグループには、文字列、整数またはロング数値情報に関連するメンバーが含まれます。 |
汎用ロング |
このグループには、ロング数値が含まれます。例: 盗まれた社会保障番号、クレジット・カード番号またはMACアドレス。 |
汎用文字列 |
このグループには、汎用文字列が含まれます。たとえば、Smithの変形名(Smithson、Smithberg、Smithsteinなど)を持つユーザーにログインを許可する場合、比較のための接頭文字列「Smith」を定義できます。また、Pennsylvania、Transylvania、Spotsylvaniaなどからのログオンをブロックする場合は、接尾文字列を定義できます。 |
IPキャリア |
このグループには、インターネット・プロトコル(IP)トラフィックのキャリアが含まれます。 |
IP範囲 |
このグループには、IP範囲が含まれます。 |
IP |
このグループには、ユーザーのIPアドレスが含まれます。 アドレスはロケーションにマップされますが、一部のアドレスは不明またはプライベート(10.0.0.1など)です。 |
ISP |
このグループには、インターネット・サービス・プロバイダが含まれます。ISPの例として、Comcast、Verizon、AOLなどがあります。 |
ユーザー名 |
このグループには、ユーザーのログイン名が含まれます。これはユーザーにより設定されます。たとえば、Bobがログインでユーザーはxyz123です。 ユーザー名はアプリケーション間で一意でないことがあります。組織IDとユーザー名を組み合せると一意になります。 |
ルーティング・タイプ |
このグループには、ルーティング・タイプが含まれます。ルーティング・タイプの例として、POP、衛星、アノニマイザ、国際などがあります。 これは列挙グループ・タイプです。 |
第2レベル・ドメイン |
このグループには、第2レベル・ドメイン名が含まれます。 第2レベル・ドメインは、トップ・レベル・ドメイン(TLD)の直下のドメインです。第2レベル・ドメインは一般に、ドメイン名を登録した組織を指します。 第2レベル・ドメイン名を使用して、*.example.orgなどのサイト全体または*.sales.*や*.admin.*などのイントラネット・レベル全体を許可またはブロックします。 |
都道府県 |
このグループには都道府県が含まれます。例: ブラック・リスト都道府県。 |
トップ・レベル・ドメイン |
このグループには、トップ・レベル・ドメイン名(インターネット・ドメイン名の最後の部分。ドメイン名の最後のドットに続く文字)が含まれます。 トップ・レベル・ドメイン名を使用して、.uk、.ru、.caなどの国全体、または .mil、.info、.gov、.eduなどのコミュニティ全体を許可またはブロックします。 |
トランザクション・ステータス |
このグループには、トランザクションが実行されているときにユーザーのステータスが含まれます。 これは列挙グループ・タイプです。 |
ユーザーID |
このグループには、ユーザーIDが含まれます。カスタマはスキームを使用して、ユーザーを一意に識別します。 アプリケーションでユーザーIDが一意でないことがあります。組織IDとユーザーIDを組み合せると一意になります。 特別なタイプのグループとして組織IDがあります。組織IDは、プライマリ・ユーザー・グループです。まだメンバーでないユーザーがアプリケーションからログインする場合に、グループに自動移入されるように、フラグが設定されます。このグループのメンバーを使用して、ポリシーを調べることができます。 |
次の表に、グループ特性のサマリーを示します。
グループ列に、システム内で使用可能なグループのタイプを示します。
グループ・メンバー・タイプ列に、レコードがプリミティブ型(LONG、文字列および整数)であるか構造型であるかを示します。構造型の例としてはアクションがあり、これには名前、IDおよびメッセージが含まれます。
キャッシュ列に、そのグループに推奨されるキャッシュ・オプションを示します。
作成列に、グループのユーザー・インタフェースを使用してグループを作成できるかどうかを示します。
編集列に、グループのユーザー・インタフェースを使用してグループを編集できるかどうかを示します。
表13-2 グループ特性のサマリー
# |
グループ | グループ・メンバー・タイプ | キャッシュ | 作成 | 編集 |
---|---|---|---|---|---|
1 |
アクション |
構造型 |
はい |
いいえ |
いいえ |
2 |
アラート |
構造型 |
はい |
はい |
はい |
3 |
ASN |
文字列 |
はい |
はい |
はい |
4 |
認証ステータス |
LONG型 |
はい |
いいえ |
いいえ |
5 |
市区町村 |
文字列 |
はい |
いいえ |
いいえ |
6 |
接続スピード |
LONG型 |
はい |
いいえ |
いいえ |
7 |
接続タイプ |
LONG型 |
はい |
いいえ |
いいえ |
8 |
国 |
文字列 |
はい |
いいえ |
いいえ |
9 |
デバイス |
LONG型 |
はい |
はい |
はい |
10 |
エンティティ |
文字列 |
はい |
はい |
はい |
11 |
汎用整数、汎用文字列、汎用ロング |
整数型、文字列型、LONG型 |
はい |
はい |
はい |
12 |
IPキャリア |
文字列 |
はい |
はい |
はい |
13 |
IP範囲 |
構造型 |
はい |
はい |
はい |
14 |
IP |
IP |
はい |
はい |
はい |
15 |
インターネット・サービス・プロバイダ |
文字列 |
いいえ |
はい |
はい |
16 |
ルーティング・タイプ |
文字列 |
はい |
いいえ |
いいえ |
17 |
第2レベル・ドメイン |
文字列 |
はい |
はい |
はい |
18 |
都道府県 |
文字列 |
はい |
いいえ |
いいえ |
19 |
トップ・レベル・ドメイン |
文字列 |
はい |
はい |
はい |
20 |
トランザクション・ステータス |
構造型 |
はい |
いいえ |
いいえ |
21 |
ユーザーID |
文字列 |
はい |
はい |
はい |
22 |
ユーザー名 |
文字列 |
はい |
はい |
はい |
グループは、表13-3に示すとおりOAAMの多くの領域で使用されます。
表13-3 グループの用途
領域 | 用途 |
---|---|
ポリシー |
ポリシーはユーザーIDグループまたはユーザー・グループのすべてのユーザーおよびメンバーまたは評価されるすべてのユーザーにリンクされます。 ポリシー・ツリーは、ユーザーIDグループのポリシーへのリンクを示します。 |
ポリシー内のルール |
OAAM管理は特定のユーザー、デバイスまたはロケーション・グループにルールを適用して、不正シナリオが発生したかどうかを評価し、結果を判断します。 ルールにより、アクション・グループまたはアラート・グループ、あるいはその両方をトリガーできます。 |
条件 |
一部の条件は、グループをパラメータ・タイプとして使用します。たとえば、IPグループのIPなどです。条件では、IPグループ名/IPをパラメータとして使用します。 |
トリガー組合せ |
トリガー組合せで、グループのアラートが指定されます。 |
事前条件 |
ユーザー・グループをポリシーで除外できます。 |
構成可能なアクション |
構成可能なアクションを動的に使用して、ユーザーIDグループのメンバーをユーザーIDグループに追加できます。 |
ケース |
不正調査とリスク分析のリンク・セッション、検索セッション、検索トランザクション、トランザクション詳細、トランザクション比較を使用して、最初のクラスおよびユーザー定義エンティティをグループに追加できます。グループに追加すると、調査中に発見されたインサイトを保存して、予測モデルの再作成、追加調査、ブラックリストおよびルール評価のために後で使用できます。 |
グループ検索ページから、グループの検索、表示、作成、インポート、エクスポートおよび削除を実行できます。
グループ検索ページを開くには:
OAAM管理コンソールにログインします。
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
あるいは、次の方法で「グループ検索」ページを開くことができます。
「グループ」ノードを選択し、ナビゲーション・ツールバーで「アクション」を選択して「グループのリスト」を選択します。
「グループ」ノードを選択し、「グループのリスト」アイコンをクリックします。
「グループ」ノードを右クリックし、「グループのリスト」を選択します。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
図13-1に示すように、グループ検索ページには、検索基準を選択または入力できる「検索」セクションおよび「検索結果」表が表示され、検索基準に一致したグループのサマリーが示されます。
グループ検索ページでは、検索フィルタに特定の基準を指定することで、関心のある特定のグループを検索できます。
グループを検索するには:
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
あるいは、次の方法で「グループ検索」ページを開くことができます。
「グループ」ノードを選択し、ナビゲーション・ツールバーで「アクション」を選択して「グループのリスト」を選択します。
「グループ」ノードを選択し、「グループのリスト」アイコンをクリックします。
「グループ」ノードを右クリックし、「グループのリスト」を選択します。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
グループを見つけるための基準を指定して、「検索」をクリックします。
「検索」のかわりに「リセット」をクリックすると、検索基準がリセットされます。
検索パラメータ値は必須ではありません。このフィールドを空白のままにした場合は、すべてのグループが検索結果に表示されます。
表13-4に、検索フィルタを示します。
表13-4 グループ検索フィルタの基準
フィルタおよびフィールド | 説明 |
---|---|
グループ名 |
グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。 |
キャッシュ・ポリシー |
グループでは、「フル・キャッシュ」および「なし」という2つのキャッシュ・ポリシー・オプションが提供されます。 「フル・キャッシュ」オプションでは、サーバーの存続期間を通して、グループのコンテンツがサーバーのメモリーにキャッシュされます。静的参照グループと読取り専用グループは、「フル・キャッシュ」オプションの候補として適しています。管理者は、このオプションの使用時にサーバーのメモリーが使用されることに注意する必要があります。リストに変更があるとグループが再キャッシュされるため、要素のリストが長い場合は、悪影響を及ぼすことがあります。 「なし」キャッシュ・ポリシー・オプションではキャッシュが使用されず、毎回データベースが参照されます。デバイス・グループ・タイプは動的であることが多く、サーバーの実行中に頻繁に操作されるため、「なし」に設定されます。グループがサーバーの存続期間を通して静的である場合は、「なし」のかわりに「フル・キャッシュ」オプションを使用できます。 |
グループ・タイプ |
グループが属するカテゴリ。タイプは、表13-1のとおりです。 |
グループ検索ページを初めて表示した場合、「検索結果」表は空になっています。「検索」ボタンをクリックして、Oracle Adaptive Access Manager環境内にあるグループのリストを表示する必要があります。
表示されるグループは、「グループ名」、「グループ・タイプ」および「キャッシュ・ポリシー」フィールドに指定された基準と一致するグループです。
グループごとに名前が表示されます。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。
「検索結果」表の列ごとに、ソート・オプションが提供されます。
「検索結果」表で、関心のあるグループのグループ名をクリックすると、詳細が表示されます。
「グループ詳細」タブには、グループ、グループのメンバー、グループが使用されるすべてのロケーションに関する一般的な情報が表示されます。
グループの詳細を表示するには:
ナビゲーション・ツリーで「グループ」ノードをダブルクリックして、グループ検索ページを開きます。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
あるいは、次の方法で「グループ検索」ページを開くことができます。
「グループ」ノードを選択し、ナビゲーション・ツールバーで「アクション」を選択して「グループのリスト」を選択します。
「グループ」ノードを選択し、「グループのリスト」アイコンをクリックします。
「グループ」ノードを右クリックし、「グループのリスト」を選択します。
「グループ名」フィールドにグループの名前を入力し、「検索」をクリックします。
「検索結果」表でグループ名をクリックし、そのグループの「グループ詳細」ページを表示します。
「サマリー」タブをクリックし、グループの名前、タイプ、キャッシュ・ポリシー、説明など、グループの一般情報を表示します。
注意: グループ詳細ページでは、グループ・タイプを変更できません。 |
メンバー・タブをクリックしてグループのすべてのメンバーを表示します。メンバー・タブは、グループに含まれるデータのタイプでラベル付けされています。たとえば、ユーザーIDグループの場合、「ユーザーID」というラベルの付いたメンバー・タブが表示されます。メンバー・タブには、通常、メンバーの名前/ID、説明およびその他の重要な属性が表示されます。正確な情報は、グループ・タイプに応じて異なります。
「使用状況」タブをクリックして、グループが使用されているすべてのロケーション(条件、オーバーライド、構成可能なアクションなど)を階層形式で表示します。グループが使用されていない場合は、このタブにアクセスできません。
「使用状況」ツリーのすべてのノードの詳細を表示できます。たとえば、事前条件xyzの上位のルールAをクリックすると、ルールAの短い詳細が右側のパネルに表示され、必要に応じてその他の詳細も表示できます。
グループが使用されているエンティティの詳細を表示するには、そのリンクをクリックします。
リンクをクリックすると、その特定のアイテムの詳細ページが新しいタブに表示されます。
グループを作成する手順は次のとおりです。
グループの定義手順は次のとおりです。
注意: グループ・タイプ全体で同じグループ名を使用することはできません。たとえば、Blockという名前のアクション・グループが存在する場合、blockという名前のユーザー名グループは作成できません。 |
「グループ名」および「グループ・タイプ」は必須フィールドです。
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
グループ検索ページで、コンソールの右上の領域の「新規グループ」をクリックします。
あるいは、次の方法でグループを作成できます。
グループの検索ページで検索結果ツールバーの「アクション」を選択し、「新規グループ」を選択します。
グループ検索ページで検索結果ツールバーの「新規アイテムの作成: グループ」アイコンを選択します。
ナビゲーション・ツリーで「グループ」ノードを選択し、ナビゲーション・ツールバーの「アクション」を選択して「新規グループ」を選択します。
ナビゲーション・ツリーで「グループ」ノードを選択し、ナビゲーション・ツールバーの「新規アイテムの作成: グループ」アイコンをクリックします。
ナビゲーション・ツリーで「グループ」ノードを右クリックし、「新規グループ」を選択します。
「グループの作成」画面が表示されます。
「グループの作成」画面で、グループ名および説明を入力します。
グループ名は一意である必要があります。
「グループ・タイプ」リストから、グループ・タイプを選択します。
グループ・タイプは表13-1にリストされています。
キャッシュ・ポリシーを「フル・キャッシュ」または「なし」に設定します。
注意: ISPグループはキャッシュできません。 |
「OK」をクリックしてグループを作成するか、または「取消」をクリックして変更を取り消します。
「OK」をクリックした場合は、新規グループが作成されます。
確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
新規グループのグループ詳細ページが表示されます。
これで、新しいグループにメンバーを追加できます。
新規または既存のグループにメンバーを追加できます。複数のグループ・タイプがあるため、グループにメンバーを追加する手順はグループ・タイプに応じて異なります。
メンバー・タブでは、グループにメンバーを追加したり、削除するグループのメンバーを選択できます。
注意: 「ブラックリストに記載された国」のような特定のグループ・タイプにグループ・メンバーを追加すると、ルールが事前に構成されているために、これらのメンバーは自動的に処理されます。たとえば、「ブラックリストに記載された国からのログインかどうかを確認する」というルールが事前に構成され、デフォルトで「ブラックリストに記載された国」に付加されています。そのため、このグループにメンバーを追加すると、自動的にルール処理が開始されます。 |
メンバーを検索した場合、すでにグループに含まれているメンバーは検索結果に表示されません。
注意: 列挙要素を有効にするには、サーバーを再起動する必要があります。列挙グループ・タイプには、アクション、接続スピード、接続タイプなどがあります。 |
次のグループでは、要素の値を入力して新規要素/メンバーを追加します。
表13-5 新規メンバーの作成(検索オプションなし)
グループ | グループ・タイプ | メンバー・タイプ | 作成 |
---|---|---|---|
汎用整数、汎用文字列、汎用ロング |
データベース |
整数型、文字列型、LONG型 |
はい |
ASN |
データベース |
文字列 |
はい |
IPキャリア |
データベース |
文字列 |
はい |
トップ・レベル・ドメイン |
データベース |
文字列 |
はい |
第2レベル・ドメイン |
データベース |
文字列 |
はい |
グループに要素を追加するには:
「グループ詳細」ページでメンバー・タブをクリックします。
メンバー・ページで「メンバーの追加」をクリックします。
「メンバーの追加」ダイアログが表示されます。
「メンバーの追加」ダイアログで、グループに追加する新規メンバーの値を入力します。
「追加」をクリックしてグループにメンバーを追加するか、または「取消」をクリックして変更を取り消します。
「追加」をクリックした場合、メンバーが作成され、追加されます。「新規要素は正常に作成されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックします。
グループ詳細ページが表示されます。
次に示すグループでは、既存のリストをフィルタリングしてから、追加する要素を選択することによって、メンバーを追加します。これらのグループでは、要素は作成できません。
表13-7 既存リストのフィルタリングによるメンバーの追加(作成オプションなし)
グループ | グループ・タイプ | メンバー・タイプ | 作成 |
---|---|---|---|
市区町村 |
データベース |
文字列 |
いいえ |
国 |
データベース |
文字列 |
いいえ |
都道府県 |
データベース |
文字列 |
いいえ |
注意: 市区町村、都道府県または国のロケーション・グループを作成するには、地理的位置データを移入する必要があります。地理的位置データは、国、都道府県および市区町村に関する情報を提供します。 |
市区町村グループに市区町村を追加するには:
13.5.1項「グループの定義」に記載されているようにグループを定義します。
グループ詳細ページの「市区町村」タブで、「追加」をクリックします。
「市区町村の追加」ダイアログが表示されます。
使用可能な「国」ドロップダウン・リストから国を選択します。
その国の都道府県は、「都道府県」ドロップダウン・リストから選択できるようになります。
使用可能な「都道府県」ドロップダウン・リストから都道府県を選択します。
選択した都道府県に基づいて、市区町村が「使用可能な市区町村」表に一覧表示されます。
「使用可能な市区町村」表から、グループに追加する1つ以上の市区町村を選択します。
「追加」をクリックして、市区町村を市区町村グループに追加します。
市区町村が正しくグループに追加されます。
都道府県グループに都道府県を追加するには:
13.5.1項「グループの定義」に記載されているようにグループを定義します。
グループ詳細ページの「都道府県」タブで、「追加」をクリックします。
「メンバーの追加」ダイアログが表示されます。
国を選択します。
使用可能な国を選択すると、使用可能な都道府県が「都道府県」表に一覧表示されます。
「使用可能な都道府県」表から、グループに追加する1つ以上の都道府県を選択します。
「追加」をクリックして、都道府県を都道府県グループに追加します。
都道府県が正しくグループに追加されます。
国グループに国を追加するには:
13.5.1項「グループの定義」に記載されているようにグループを定義します。
グループ詳細ページの「国」タブで、「追加」をクリックします。
「メンバーの追加」ダイアログが表示されます。
「使用可能な国」表から、グループに追加する1つ以上の国を選択します。
「追加」をクリックして、国を国グループに追加します。
国が正しくグループに追加されます。
次に示すグループでは、既存要素を検索して追加するか、または新規要素を作成して追加できます。
表13-8 既存要素の検索または新規要素の作成
グループ | グループ・タイプ | メンバー・タイプ | 作成 |
---|---|---|---|
ISP |
データベース |
文字列 |
はい |
デバイスID |
データベース |
LONG型 |
はい |
IP |
データベース |
IP |
はい |
IP範囲 |
データベース |
構造型 |
はい |
ユーザー名 |
データベース |
文字列 |
はい |
ユーザーIDグループ |
データベース |
文字列 |
はい |
メンバーを検索した場合、すでにグループに含まれているメンバーは検索結果に表示されません。
アラート・グループ用の手順は前述の他のグループとは異なるため、別の項で説明します。
注意: 「ユーザー名」グループで、ユーザー追加の画面では追加するユーザー名の検索しか許可されていません。新しいユーザー名を作成することはできません。 |
既存要素をグループのメンバーとして追加するには、次の手順を実行します。
13.5.1項「グループの定義」に記載されているようにグループを定義します。
グループ詳細ページで、「メンバーの追加」をクリックします。
メンバーの追加ページが表示されます。
メンバーの追加ページで、既存の要素から検索して選択を選択します。
要素または要素リストを検索するためのフィルタ基準を指定して、「検索」をクリックします。
グループに含める各要素を選択します。
「追加」をクリックして要素をグループのメンバーとして追加するか、または「取消」をクリックして変更を取り消します。
要素が正常に追加されると、確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
例1: グループ・インタフェースを使用した、関心のあるグループへのデバイスの追加
グループに既存のデバイスを追加するには:
OAAM管理コンソールにログインします。
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
デバイス・グループを検索します。
「検索結果」表で、デバイス・グループの名前をクリックします。「デバイス詳細」ページが表示されます。
「メンバー」タブをクリックします。
ツールバーの「このグループにメンバーを追加」アイコンをクリックします。「デバイスの追加」ダイアログが表示されます。
「既存のデバイスから検索して選択」オプションを選択して、デバイスIDを検索します。
デバイスIDを選択し、「追加」をクリックします。
「OK」をクリックして、確認ダイアログを閉じます。
例2: グループ・インタフェースを使用した、関心のあるグループへのIPの追加
グループに既存のIPを追加するには:
OAAM管理コンソールにログインします。
ナビゲーション・ツリーで、「グループ」をダブルクリックします。
デバイス・グループを検索します。
「検索結果」表で、デバイス・グループの名前をクリックします。「デバイス詳細」ページが表示されます。
「IP」タブをクリックします。
ツールバーの「このグループにメンバーを追加」アイコンをクリックします。「デバイスの追加」ダイアログが表示されます。
「既存のIPから検索して選択」オプションを選択して、IPアドレスを検索します。
IPアドレスを選択し、「追加」をクリックします。
「OK」をクリックして、確認ダイアログを閉じます。
アラート・グループにアラートを追加する手順を次の項に示します。
既存のアラートから選択してアラート・グループに追加するには:
グループ詳細ページの「アラート」タブで、「メンバーの追加」をクリックします。
メンバーの追加ページで、既存の要素から検索して選択を選択します。
関心のある特定のアラートまたはアラートのリストの基準を指定して、「検索」をクリックします。
「検索結果」表で、アラート・グループに含めるアラートを選択します。
「追加」をクリックしてグループにアラートを追加するか、または「取消」をクリックして変更を取り消します。
「追加」をクリックすると、アラートが追加されます。
確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
追加したアラートを含むグループ詳細ページが表示されます。
既存のアラートが別のグループに追加されている場合は、そのアラートのコピーが一意のアラートIDで追加されます。アラートの1つに含まれるメッセージを変更しても、その変更は他のアラートには伝播されません。
既存のアラートを編集しても、アラート編集は遡及的に有効になりません。たとえば、ユーザーが既存のアラートを開いて、メッセージを編集すると、そのアラートの新たにトリガーされたインスタンスには新規/編集済のアラート・メッセージが表示されますが、編集で古い/未編集のメッセージが表示される前にアラート・インスタンスが生成されます。
アラートを作成してアラート・グループに追加するには:
グループ詳細ページの「アラート」タブで、「メンバーの追加」をクリックします。
メンバーの追加ページで、新規要素の作成を選択します。
アラート・タイプを選択します。
選択できるアラート・タイプは、「不正」、カスタマ・ケア、「情報」、「調査」です。
アラート・レベルを選択します。
選択できるアラート・レベルは、「低」、「中」、「高」および「情報」です。
「アラート・メッセージ」ボックスにアラート・メッセージを入力します。
たとえば、不正の高アラートではマネージャへの通知を要求できますが(カスタマイズしたメッセージに管理者の電話番号を含める)、情報アラートにメッセージを含めることはできません。
「追加」をクリックして新規アラートを作成し、アラート・グループに追加するか、または「取消」をクリックして変更を取り消します。
「追加」をクリックすると、アラートが追加されます。
確認ダイアログが表示されたら、「OK」をクリックしてダイアログを閉じます。
次に示すグループでは、既存要素を検索してグループに追加することのみできます。要素を作成するオプションはありません。
表13-13 既存要素の検索および追加のみ(作成オプションなし)
グループ | グループ・タイプ | メンバー・タイプ | 作成 |
---|---|---|---|
アクション |
列挙 |
構造型 |
いいえ |
認証ステータス |
列挙 |
LONG型 |
いいえ |
接続タイプ |
列挙 |
LONG型 |
いいえ |
接続スピード |
列挙 |
LONG型 |
いいえ |
ルーティング・タイプ |
列挙 |
文字列 |
いいえ |
トランザクション・ステータス |
列挙 |
構造型 |
いいえ |
要素を作成または編集するには、プロパティ・エディタを使用する必要があります。
注意: 既存の「アクション」要素およびそのプロパティは編集できません。 |
メンバーを検索した場合、すでにグループに含まれているメンバーは検索結果に表示されません。
アクション・グループ用の手順は前述の他のグループとは異なるため、別の項で説明します。
既存要素をグループのメンバーとして追加するには、次の手順を実行します。
グループ詳細ページで、「メンバーの追加」をクリックします。
メンバーの追加ページが表示されます。
メンバーの追加ページで、既存の要素から検索して選択を選択します。
要素または要素リストを検索するためのフィルタ基準を指定して、「検索」をクリックします。
グループに含める各要素を選択します。
「追加」をクリックして要素をグループのメンバーとして追加するか、または「取消」をクリックして変更を取り消します。
要素が正常に追加されると、確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
アクション・グループにアクションを追加するには、次の手順を実行します。
既存のアクションからアクションを検索して選択するには:
グループ詳細ページの「アクション」タブで、「メンバーの追加」をクリックします。
メンバーの追加ページで、既存の要素から検索して選択を選択します。
検索フィルタを使用し、「検索」をクリックして、特定のアクションまたはアクションのリストを検索します。
アクションのリストには、「許可」、「ブロック」、「チャレンジ」、その他のアクションが含まれます。
図13-6に「アクションの追加」ダイアログを示します。
グループに含める各アクションの行を選択し、「追加」をクリックします。
確認ダイアログが表示されたら、「OK」をクリックします。
アクションが「アクション・グループ」に追加され、グループ詳細ページに新規アクションが表示されます。
詳細ページの「グループに追加」ボタンを使用して、エンティティ・グループにエンティティを追加したり、エンティティ・グループを作成してそこにエンティティを追加したり、またはエンティティ・グループからエンティティを削除できます。
「グループに追加」機能の説明は次のとおりです。
表13-14 グループに追加
機能 | 説明 |
---|---|
エンティティ・グループへのエンティティの追加 |
エンティティがまだ関連付けられていないエンティティ・グループのリストからエンティティ・グループを選択し、これにエンティティを追加できます。ユーザー・グループには、ユーザーIDグループ・タイプまたはユーザー名グループ・タイプのいずれでも指定できます。 アラートを除いて、1つのエンティティを同じエンティティ・グループに複数回追加することはできません。 アラートをアラート・グループに追加した場合には常に、既存のアラートの新規インスタンスが作成されてそのグループに追加されるため、アラートはアラート・グループに複数回追加できます。 |
新規エンティティ・グループの作成、および新規作成したグループへのエンティティの追加 |
新規エンティティ・グループを作成し、これにエンティティを追加できます。ユーザー・グループには、ユーザーIDグループ・タイプまたはユーザー名グループ・タイプのいずれでも指定できます。 |
エンティティ・グループからのエンティティの削除 |
すでに関連付けられているエンティティ・グループを複数選択し、選択したグループからエンティティを削除できます。注意: 組織IDからユーザーを削除することは推奨されません。 |
この項では、次のようにグループの管理について説明します。
グループのメンバーを編集するには、次の手順を実行します。
メンバーを編集できるグループのリストについては、表13-15「グループのメンバーの編集」を参照してください。
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
検索フィルタに基準を指定して、編集するメンバーが含まれるグループを検索します。
「検索」をクリックします。
グループのリストで、メンバーが含まれるグループの名前をクリックします。
「メンバー」タブで、メンバーを選択して「編集」をクリックします。
「要素の編集」画面で、適切に変更します。
変更を保存する場合は「適用」をクリックし、破棄する場合は「元に戻す」をクリックします。
グループのメンバーを削除するには:
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
検索フィルタに基準を指定して、削除するメンバーが含まれるグループを検索します。
「検索」をクリックします。
「結果」表で、メンバーを削除するグループを選択します。
グループ詳細ページが表示されます。
「メンバー」タブで、削除するグループ・メンバーを選択し、「削除」をクリックします。
グループからメンバーを削除するかどうかを尋ねる確認ダイアログが表示されます。
「はい」をクリックします。
選択したメンバーが正常に削除されたというメッセージを含むダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
ユーザー・グループからユーザーを削除するには:
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
ユーザーを削除するグループを検索する基準を指定します。
「検索」をクリックします。
「結果」表で、ユーザー・グループの名前をクリックします。
「グループ詳細」ページで、「ユーザーID」タブをクリックします。
削除するユーザーのユーザーIDを含む行を選択し、「削除」をクリックします。
「グループからメンバーを削除しますか。」というメッセージを含むダイアログが表示されます。
「はい」をクリックして確認します。
「選択したメンバーは正常に削除されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
グループのエクスポートおよびインポート・コマンドを使用して、グループをZIPファイルでエクスポートおよびインポートします。
グループをエクスポートするには:
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
検索フィルタに基準を指定して、グループを検索します。
エクスポートするグループに対応する行をすべて選択します。
「アクション」メニューから「選択項目のエクスポート」を選択します。
エクスポート・ダイアログが表示されたら、ファイルの保存を選択し、「OK」を選択します。
ファイルがエクスポートされ、ZIPファイルとして保存されます。
グループをインポートするには:
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
「グループ検索」ページで、「グループのインポート」をクリックします。「グループのインポート」画面が表示されます。
「グループのインポート」ダイアログ・ボックスにファイルのパスおよび名前を入力するか、「参照」(...)ボタンを使用して、グループが含まれるZIPファイルを探し、そのファイルを選択します。
「オープン」をクリックしてから、「OK」をクリックします。
「インポートされたリスト」ダイアログが表示され、インポートされたグループのリストが一般詳細とともに表示されます。
「OK」をクリックします。
ファイルに、既存のグループと同じ名前のグループが含まれている場合、そのグループは更新/上書きされます。ファイルに、存在しない名前のグループが含まれている場合、そのグループはシステムに追加されます。
削除スクリプトをインポートした場合、グループはシステムから削除されます。
無効な形式でグループをインポートしようとすると、エラーが表示されます。
グループを削除するには、次のようにします。
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
グループ検索ページで、検索フィルタに特定の基準を指定し、「検索」をクリックして、関心のある特定のグループまたはグループのリストを検索します。
削除する各グループに対応する行を選択し、「削除」をクリックします。
削除対象として選択したグループが使用されていないかまたはポリシーにリンクされていない場合は、確認を求めるダイアログが表示されます。「はい」と答えると、これらのグループが削除されます。
削除対象として複数のグループを選択した場合に、一部のグループが使用されているかまたは他のシステムにリンクされていると、どのグループが削除可能で、どのグループが使用中またはリンクされているために削除できないかを通知するメッセージが表示されます。使用中またはリンクされているグループごとに、使用状況ツリーへのリンクを使用できます。ダイアログでは、使用中でないグループを削除するオプションも提供されます。
グループを本当に削除するかどうかを尋ねる確認ダイアログが表示されます。
「はい」をクリックしてグループを削除します。
選択したグループが正常に削除されたというメッセージを含むダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
XMLファイルでグループを直接更新できます。たとえば、サード・パーティのサービスから取得した高リスクIPの月次リストに基づいて、ブラックリストに記載されたIPグループに対し、バルク更新を実行できます。
グループを直接更新するには:
更新するグループをエクスポートします。
詳細は、13.6.4.1項「グループのエクスポート」を参照してください。
XMLを開いて、必要な編集を行います。
グループをインポートして、前のバージョンを上書きするかまたは前のバージョンに追加します。
詳細は、13.6.4.2項「グループのインポート」を参照してください。
この項では、グループのサンプル・ユース・ケースを示します。
Chuckは管理者で、10.1.4.5のデプロイメントを11g R1以降に移行しているところです。彼は、アップグレードした環境に既存のグループをインポートする必要があります。10.1.4.5から11g R1以降に適切に移行するために、すべてのグループ・タイプをテストする必要があります。
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
グループ検索ページで、「グループのインポート」をクリックします。
エクスポートしたグループのZIPファイルをインポートします。
グループが含まれるZIPファイルを参照します。
「OK」をクリックします。
「グループのインポート」確認画面が開き、インポートされたグループの情報(グループ名、グループ・タイプ、キャッシュ・タイプおよびノート)が表示されます。「OK」をクリックします。
速度ルールを作成しましたが、ルールがトリガーされたことおよびその理由を調査担当者が簡単に確認できるように、アラート・グループを割り当てる必要があります。使用方法: High velocity userという名前の新規アラート・グループを作成します。「User appears to have traveled faster than 500 MPH since last login」といった、調査担当者に役立つ速度ルールのメッセージを作成します。
アラート・グループを作成して、メンバーを追加するには:
セキュリティ管理者としてOAAM管理コンソールにログインします。
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
グループ検索ページで、再利用する既存のアラート・グループを検索します。
「グループ・タイプ」として「アラート」が、「グループ名」の一部として「velocity」が指定されているグループを検索します。
「検索結果」表からグループを選択します。
グループ詳細ページで、「アラート」タブをクリックします。
アラート・グループ内のアラートが表示されます。
いずれかのアラートが要求を満たしているかどうかを確認します。
手順b、cおよびdを繰り返します。
このユース・ケースに適用できるメッセージがアラート・グループに含まれていないため、新規アラートを作成します。
「アラート」グループを作成します。
「新規グループ」をクリックして、アラート・グループを作成します。「新規グループ」画面が表示されます。
「グループ名」フィールドに、High velocity userと入力します。
「グループ・タイプ」リストから、「アラート」を選択します。
「キャッシュ・ポリシー」リストから、「フル・キャッシュ」のキャッシュ・ポリシーを選択します。
「説明」フィールドに説明を入力します。
「OK」をクリックします。確認のメッセージが表示されます。
「OK」をクリックして、確認ダイアログを閉じます。
新しいHigh velocity userグループが正常に作成され、グループ詳細ページが表示されます。
速度が妥当ではないユーザーに関するメッセージを含むアラートを追加します。
グループにアラートを追加するために、「アラート」タブをクリックします。
「アラート」タブで、「メンバーの追加」をクリックします。
メンバーの追加ページで、新規要素の作成を選択します。
「アラート・タイプ」として、「CSR」を選択します。
「アラート・レベル」として、「中」を選択します。
「アラート・メッセージ」として、「User appears to have traveled faster than 500 MPH since last login」と入力します。
「追加」をクリックし、グループにアラートを追加します。
「新規要素は正常に作成されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
High velocity userグループが、グループ検索ページの「検索結果」表に表示されます。
このアラート追加シナリオの代替として、「User appears to have traveled faster than 500 MPH since last login」というメッセージを検索して、グループにアラートを追加するという方法もあります。
リスクの高いアクティビティを持つユーザー向けに、制限付きユーザー・グループが作成されています。会社およびユーザーは、この実装で保護されています。セキュリティ・チームでは、四半期ごとにこのグループ内のユーザーを確認したり、カスタマの問題がいつ調査されるかを確認します。手順: パートA: ユーザーPhillipの直近6か月のアクティビティのみを表示するようにフィルタリングしたセッション検索を実行します。Phillipを制限付きユーザー・グループに追加します。パートB: ミスを犯してしまったため、制限付きユーザー・グループからPhillipを削除する必要があります(セキュリティ・チームの慣例で推奨されているため)。
調査担当者としてOAAM管理コンソールにログインします。
ナビゲーション・ツリーで「セッション」をダブルクリックします。セッション検索ページが表示されます。
セッション検索ページで、次の基準を使用して検索を実行します。
「ログイン時間」フィールドに、過去6か月の開始日および終了日を入力します。
「ユーザー名」フィールドに、Phillipのユーザー名を入力します。
「アラート・レベル」で、「高」を選択します。
重大度の高いセキュリティ・アラートは他にはありません。
検索結果の「ユーザーID」列から、PhillipのユーザーIDをコピーします。
ナビゲーション・ツリーで、「グループ」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にグループ検索ページが開きます。
グループ検索ページで、「制限付きユーザー」グループを検索します。
「結果」表で、「制限付きユーザー」というグループ名をクリックします。
「グループ詳細」ページで、「ユーザーID」タブをクリックします。
「追加」をクリックします。
メンバーの追加画面で、新規要素の作成を選択します。
「ユーザーID」にPhillipのユーザーIDを入力し、「追加」をクリックします。
「新規要素は正常に作成されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
間違えたことがわかったため、制限付きユーザー・グループからPhillipを削除する必要があります(セキュリティ・チームの慣例でこのようにすることが推奨されているため)。
ナビゲーション・ツリーで、「グループ」をダブルクリックします。
グループ検索ページで、「制限付きユーザー」グループを検索します。
「結果」表で、「制限付きユーザー」というグループ名をクリックします。
「グループ詳細」ページで、「ユーザーID」タブをクリックします。
PhillipのユーザーIDを含む行を選択し、「削除」をクリックします。
「グループからメンバーを削除しますか。」というメッセージを含むダイアログが表示されます。
「はい」をクリックして確認します。
「選択したメンバーは正常に削除されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
指定した国グループにIPが含まれているユーザーをブロックするには:
ナビゲーション・ツリーで、「ポリシー」ノードをダブルクリックします。
ナビゲーション・ツリーの右側にポリシー検索ページが開きます。
必要な検索基準を入力し、「検索」をクリックします。
「結果」表で、編集するポリシーの名前をクリックします。
ポリシー詳細ページが表示されます。
ポリシー詳細ページで、「ルール」タブをクリックします。
「ルール」タブで、「追加」をクリックします。
「新規ルール」ページで、ルール名としてLocation: From IPを入力します。
「条件」タブをクリックします。
「条件」ページで、「追加」をクリックします。
「条件の追加」ページが表示され、ここで「ロケーション: 国グループ内」条件を検索および選択して、この条件をルールに追加できます。
「OK」をクリックします。
条件のパラメータが下部のパネルに表示されます。
パラメータ領域の「国グループ内の国」で、「ブラックリストに記載された国」グループを選択します。
「保存」をクリックします。
「結果」タブで、アクション・グループとして「ブロック」を選択します。
「適用」をクリックします。
この項では、ポリシーおよびルールでのグループの動作例を示します。
この例では、会社Aで、通常はカスタマがログインしない一連の国からの高リスク・アラートが著しく増加していることが観察されています。会社Aでは、これらの国のユーザーをブロックしたいと考えています。
高リスクの国のユーザーをブロックするポリシーの作成手順の概要を、次の各項に示します。このポリシーでは3つのグループを作成します。
「国」グループ・タイプには、不正な行為をした国の名前が含まれています。
続いて、次の属性を使用して国グループを作成してから、グループを編集してメンバーを追加します。
アラートは、不正行為分析者へのインジケータになります。このアラート・グループは、ブロックされている国のユーザーがログインして、ルールがトリガーされ、高アラートになる場合に使用されます。グループには、トリガーされるアラートが含まれます。
次の属性を使用して、不正の高アラート・グループを作成します。
表13-18 不正の高アラート・グループ
属性 | 値 |
---|---|
グループ名 |
Loc_Blacklist |
グループ・タイプ |
アラート |
キャッシュ・ポリシー |
フル・キャッシュ |
説明 |
OAAM Location Blacklist Group |
続いて、次のように設定してグループを編集します。
「アラート・レベル」をALERT_HIGHに設定
「アラート・タイプ」を「不正」に設定
「アラート・メッセージ」をLOC_BLACK LIST COUNTRYに設定
ルールの結果はアクションで、このアクションは、ブロックされている国からユーザーがログインした場合に当然のこととして実行されるもので、この場合は、このユーザーをブロックし、「You Have Been Blocked」といった適切なメッセージが表示されるページにユーザーをリダイレクトするよう、クライアント・アプリケーションに指示します。
次の属性を使用して、ブロック・アクション・グループを作成します。
使用可能なアクションから「ブロック」を選択して、グループを編集します。
ルールがトリガーされたときに、このリストに含まれる国からログインしているすべてのユーザーがブロックされるように、ブラックリストに記載された国グループをルールに付加します。
OAAM管理コンソールでBlackListCountryポリシーを検索します。
「ロケーション: 国グループ内」条件を含むLocCountry_Ruleを追加します。
次のようにポリシーを定義します。
グループ内: True
国グループ内の国: Country_blacklist
スコア: 1000
重み: 100
アクション・グループ: Block
アラート・グループ: Loc_Blacklist
グループ・リンク: グループ・タイプを「ユーザーID」に設定します。
「グループ」から、グループを選択します。
ポリシーで、疑わしいアクティビティが識別されている国のユーザーをブロックする場合は、ブロックされる国グループ、不正の高アラート・グループ、ブロック・アクション・グループを作成できます。
ブロックされる国グループ: 不正として識別されている国の名前を「国」グループ・タイプに移入します。
不正の高アラート・グループ: このグループには、不正なシナリオが発生したことを分析者に示すためにトリガーされるアラートが含まれます。このグループは、ブロックされている国のユーザーがログインして、ルールがトリガーされ、高アラートになる場合に使用されます。
ブロック・アクション・グループ: ルールの結果はアクションで、このアクションは、ユーザーがブロックされている国からログインした場合に(当然のこととして)実行されるものです。この場合は、このユーザーをブロックし、「You Have Been Blocked」といった適切なメッセージが表示されるページにユーザーをリダイレクトするよう、クライアント・アプリケーションに指示します。
ポリシーで、安全圏としてホワイトリストに記載されているIPアドレスのユーザーのみを許可する場合は、IPグループおよび調査の中アラート・グループを作成できます。
IPグループ: 機関によって安全圏としてホワイトリストに記載されているIPアドレスを「IP」グループ・タイプに移入します。安全圏としてホワイトリストに記載されているIPアドレスのユーザーのみを許可します。
調査の中アラート・グループ: アラートは、不正行為分析者へのインジケータになります。ホワイト・リスト・グループに含まれていないIPアドレスからログインしたユーザーによって、中アラートが生成されます。アラート・タイプは「調査」です。
ポリシーで、不正なアクティビティが報告されているデバイスからのユーザーをチェックする場合は、デバイス・グループおよび情報アラート・グループを作成できます。
デバイス・グループ: 疑わしいと識別されているデバイスを「デバイス」グループ・タイプに移入します。デバイスは、基本的にはブラウザ、特性、Flash、Cookieなどの多数の属性に基づいて生成されるIDです。
情報アラート・グループ: アラートは、不正行為分析者へのインジケータになります。不正な動作が識別されているデバイス(デバイス・グループに登録されている)からユーザーがログインすると、ルールがトリガーされ、情報タイプのアラートが生成されます。
この項では、グループ使用のベスト・プラクティスを示します。
レポートに対して、またはメンバーを集めるだけで評価には使用しないグループに対してのみグループを使用する場合は、キャッシュ・ポリシーを「フル・キャッシュ」に設定しないでください。グループに変更があるとそのグループが再キャッシュされるため、たとえば、長い要素のリストがある場合には、グループをキャッシュしないようにする必要があります。
アクション・グループおよびアラート・グループの場合は、キャッシュを「フル・キャッシュ」に設定するようにします。