エフサステクノロジーズ株式会社

本ページの製品は2024年4月1日より、エフサステクノロジーズ株式会社に統合となり、順次、切り替えを実施してまいります。一部、富士通表記が混在することがありますので、ご了承ください。

ONTAP 9 ( CA08871-402 )

to English version

代替NTFSデータ ストリームを監査する場合の考慮事項

NTFS代替データ ストリームがあるファイルを監査する際には、注意が必要ないくつかの考慮事項があります。

監査対象オブジェクトの場所は、2つのタグ、 ObjectName タグ(パス)と HandleID タグ(ハンドル)を使用してイベント レコードに記録されます。どのストリーム要求がログに記録されているかを正しく特定するためには、NTFS代替データ ストリームについてONTAPがこれらのフィールドに記録する内容を理解する必要があります。

  • EVTX ID:4656イベント(監査イベントopenおよびcreate)

    • 代替データ ストリームのパスは ObjectName タグに記録されます。

    • 代替データ ストリームのハンドルは HandleID タグに記録されます。

  • EVTX ID:4663イベント(read、write、getattrなど、その他すべての監査イベント)

    • ベース ファイルの(代替データ ストリームではない)パスは ObjectName タグに記録されます。

    • 代替データ ストリームのハンドルは HandleID タグに記録されます。

次の例は、 HandleID タグを使用して代替データ ストリームのEVTX ID:4663イベントを特定する方法を示しています。read監査イベントに記録された ObjectName タグ(パス)がベース ファイルへのパスであっても、 HandleID タグを使用することで、このイベントを代替データ ストリームの監査レコードとして特定できます。

ストリーム ファイル名は base_file_name:stream_name という形式になります。この例では、 dir1 ディレクトリーに代替データ ストリームがあるベース ファイルが含まれており、パスは次のとおりです。

/dir1/file1.txt
/dir1/file1.txt:stream1

次のイベント例の出力は省略されており、イベントの一部の出力タグは表示されていません。

EVTX ID 4656(open監査イベント)の場合、代替データ ストリームの監査レコード出力では、代替データ ストリーム名が ObjectName タグに記録されています。

- <Event>
- <System>
  <Provider Name="Fujitsu-Security-Auditing" />
  <EventID>4656</EventID>
  <EventName>Open Object</EventName>
  [...]
  </System>
- <EventData>
  [...]
  **<Data Name="ObjectType"\>Stream</Data\>
  <Data Name="HandleID"\>00000000000401;00;000001e4;00176767</Data\>
  <Data Name="ObjectName"\>\(data1\);/dir1/file1.txt:stream1</Data\>          **
  [...]
  </EventData>
  </Event>
- <Event>

EVTX ID 4663(read監査イベント)の場合、同じ代替データ ストリームの監査レコード出力でベース ファイル名が ObjectName タグに記録されています。ただし、 HandleID タグのハンドルは代替データ ストリームのハンドルで、このハンドルを使用してこのイベントを代替データ ストリームに関連付けることができます。

- <Event>
- <System>
  <Provider Name="Fujitsu-Security-Auditing" />
  <EventID>4663</EventID>
  <EventName>Read Object</EventName>
  [...]
  </System>
- <EventData>
  [...]
  **<Data Name="ObjectType"\>Stream</Data\>
  <Data Name="HandleID"\>00000000000401;00;000001e4;00176767</Data\>
  <Data Name="ObjectName"\>\(data1\);/dir1/file1.txt</Data\> **
  [...]
  </EventData>
  </Event>
- <Event>
Top of Page