IBM i (AS/400) の監査ログ

以前、IT全般統制への対応の一環としてご提供した、5250 業務メニューについてご紹介致しましたが、今回も同様にIT全般統制への対応としてご提供した「IBM i (AS/400) の監査ログ収集と活用」についてご紹介致します。

実施の経緯

5250 業務メニューでも触れましたが、お客様は IBM i (AS/400) のユーザープロファイルの単位を業務別のグループ単位から個人単位に変更しました。そもそもの理由は、業務上利用可能なアプリーションを個人単位でメニュー化する事で、アプリケーションの使用を制限する事にありました。この対応は同時に、何らかの不正が行われた場合に「誰が行ったか」を特定し易くなります。これらの情報をどのように収集し、またどのように活用すべきかをお客様よりご相談頂きました。

お客様のご要望をお聞きした結果、必要としているものは「安価で、不正が行われていない事が把握できるもの」でした。そこで「高額で多機能」な製品ではなく「機能は限定されるが安価」に提供可能な製品を当社で開発しご提供する事になりました。使用するログは IBM i (AS/400) の基本機能として提供されている「監査ジャーナル」で収集します。

ログ情報の保持

監査ジャーナル機能を使用して情報収集を行うにあたり、最大の関門は収集した情報をどうやって蓄積するのかということでした。収集の設定にもよりますが、監査ジャーナルが収集する量は膨大であり、保持するだけでも ASP の圧迫につながります。その上、監査ジャーナルはあくまでもジャーナル情報として収集されるため、プログラムでの取り扱いを考慮するとデータベース化する必要があります。高額な IBM i (AS/400) のディスクを使用する事は現実的ではないため、以下の構成としました。

データベースは IBM i (AS/400) に保持せず、IAサーバー上に保持する
監査ジャーナルが収集されるジャーナルレシーバーの保持期間は2日分とする

この構成により、IBM i (AS/400) の ASP の圧迫は最小限に留める事が可能となります。また、使用する IAサーバーも高機能である必要はないため、安価なIAサーバーを購入する事としました。（余談ですが、この IA サーバーはログサーバーとして位置づけられ、後々監査ログ以外の様々なログを保持するサーバーとして活躍しています。 )

IA サーバー上に搭載するデータベースは照会プログラムでの取り扱い(後述)を考慮し、無償で提供されている「IBM DB2 Express-C」を選択しました。また監査ジャーナルは、監査項目ごとにレイアウトが違うため、項目毎にテーブルを用意する必要があります。具体的には74項目に及ぶため、テーブルを74本用意する事となります。IBM i (AS/400) 上の監査ジャーナルから IA サーバー上の IBM DB2 Express-C にデータを移行するにあたりテーブル分のプログラムを作成するのではコストが膨らんでしまいます。そのため、データの移行には java を使用し、テーブル情報を元に SQL を作成し１プログラムで移行が行える様にしました。まとめると以下の様になります。

データベースは IBM DB2 Express-C を使用
データの移行には java を使用

移行に関する構成は以下の図を参照してください。 IBM i の監査ログ（収集）

ログ情報の照会
ログ情報の照会においては以下を考慮する必要がありました。

照会のリアルタイム性
利用する情報の精査

照会のリアルタイム性においては、結論として1日1回の更新としました。つまり前日以前の情報が照会できる事になります。意味付けとしては、以下の様に定義しました。

ログは常時監視するのではなく、問題が発生した際に参照
前日に問題が発生していなかったかを日次で把握

利用する情報の精査については、システム開発時点で情報の意味を理解できているものもあれば、意味が理解できないものもありました。その為精査した結果でアプリケーションを作成するのではなく、都度精査し照会する情報を動的に決定できる様にしました。その為、以下の様な制御情報を持つ事としました。

テーブル名
テーブルのフィールド名
使用するSQL文

ログの照会には、IBM i (AS/400) で稼働中の Domino を使用します。IA サーバー上にある IBM DB2 Express-C からデータを取得する必要があるため、IBM i (AS/400) 上にリレーショナルデータベースを設定し、DRDA 経由で Domino からアクセスする事にしました。(DRDA経由でアクセス可能であるということも DB2 Express-C を選択した大きな理由です)

ログの照会に関する構成は以下の図を参照してください。 IBM i の監査ログ（照会）