PAMSC: キーロギング監査ログファイルを収集デーモンまたはsyslogに転送可能か？

Products

• CA Privileged Access Manager - Server Control (PAMSC)

Issue/Introduction

Privileged Access Manager Server Control ( 以下、 PAMSC) で キーロガーやユーザセッションのトレースを行い、キーロギング監査ファイル (kbl.audit) に記録することでエンドポイント上のユーザの活動を追いかけることができる。
どのようにしたら、キーロギング監査ファイルを監査ログとは別に収集デーモンに送信することができるか？

Environment

Privileged Access Manager Server Control: Linux/UNIX 版すべてのバージョン

Resolution

２番目の kbl.audit の読み込み用に selogrd を構成することで これらのイベントを特定の収集デーモンに送信することができます。

下記のコマンドでは ２番目の selogrd を PAMSC の開始時に自動起動する設定を行います。
-audit オプションでは読み込むログを、-config オプションでは送信構成を指定しています。
 kblselogrd.cfg は selogrd.cfg と同じ書式になります。

最初に設定ファイル kblselogrd.cfg を作成します。

vi /opt/CA/PAMSC/log/kblselogrd.cfg

単純な例として ログをシスログ syslog に転送します。

-- ここから
Rule#1
syslog LOG_INFO
.
-- ここまで

保存したら、PAMSCのサービスを secons -S で停止します。

次に以下のコマンド例で設定を追加します。

# seini -s daemons.kbl_selogrd "yes, /opt/CA/PAMSC/bin/selogrd -audit /opt/CA/PAMSC/log/kbl.audit -config /opt/CA/PAMSC/log/kblselogrd.cfg -data /opt/CA/PAMSC/log/kbl_logroute.dat"
The token daemons.kbl_selogrd, now set to 'yes, /opt/CA/PAMSC/bin/selogrd -audit /opt/CA/PAMSC/log/kbl.audit -config /opt/CA/PAMSC/log/kblselogrd.cfg -data /opt/CA/PAMSC/log/kbl_logroute.dat'.

PAMSCを再起動します。

# seload
CA Privileged Access Manager Server Control seload v14.10.x.xxxx - Loader Utility
Copyright (c) 2018 CA. All rights reserved.
DD MMM YYYY hh:mm:ss> WAKE_UP : Server going up
DD MMM YYYY hh:mm:ss> INFO    : Filter mask: 'WATCHDOG*' is registered
DD MMM YYYY hh:mm:ss> INFO    : Filter mask: 'INFO    : Setting PV*' is registered
DD MMM YYYY hh:mm:ss> INFO    : Filter mask: 'INFO    : DB*' is registered
DD MMM YYYY hh:mm:ss> INFO    : Filter mask: '*seosd.trace*' is registered
DD MMM YYYY hh:mm:ss> INFO    : Filter mask: '*FILE*secons*(*/log/*)*' is registered
Starting seosd. PID = ppppp.
Checking database ...
Starting seagent. PID = ppppp
seagent: Loading database image...
Starting seoswd. PID = ppppp
seagent: Initialization phase completed
KBL Audit Manager started. PID=ppppp
Executing [daemons] command: /opt/CA/PAMSC/bin/selogrd
Starting selogrd. PID = ppppp
#

収集デーモン selogrcd が起動しているホストでキーロギング監査ログを収集する場合、デフォルトの収集ファイル名からkbl.collect.audit などの別のものに変更することを推奨させていただきます。

Additional Information

なお、本KBは以下の英文 KB を翻訳し補足しました。

Article ID: 42551: PAMSC - Can I send kbl.audit events to a collector system or syslog