管理の手引き


第 17 章 DB2 アクティビティーの監査

認証、権限、および、特権はデータへの既知のまたは予期されたアクセスを制御するために使用できますが、 これらの方法はデータへの未知のまたは予期されないアクセスを防ぐには十分ではない可能性があります。 後者のタイプのデータ・アクセスの検出を支援するために、 DB2 には監査機能があります。 不必要なデータ・アクセスの正常モニターと以降の分析は、 データ・アクセスの制御において、 およびデータへの悪意のあるまたは不注意な無許可アクセスを最終的に防止し、 改良につなげることができます。 システム管理処置を含む、アプリケーションおよび個々のユーザー・アクセスのモニターは、 データベース・システムのアクティビティーの履歴レコードを与えます。

DB2 監査機能は、一連の事前定義データベースのイベントに対して監査証跡を生成し、 かつその監査証跡を維持できるようにします。 この機能により生成されたレコードは、監査ログ・ファイルに保持されます。 これらのレコードの分析により、 システム誤用を識別することになる使用パターンを明らかにすることができます。 一度識別されると、そのようなシステム誤用の削減または除去の処置がとられます。

監査機能はインスタンス・レベルで作用し、 すべてのインスタンス・レベルのアクティビティーおよびデータベース・レベルのアクティビティーを記録します。

区分データベース環境において作動しているとき、 多数の監査可能なイベントはユーザーがつながれる (調整プログラム・ノード) 区分で、 またはカタログ・ノード (それらが同じパーティションではない場合) で発生します。 この含意は、監査レコードが複数の区分で生成できることです。 各監査レコードの一部は、 調整プログラム・ノードおよび起点ノード識別子に関する情報を含んでいます。

監査ログ (db2audit.log) および監査構成ファイル (db2audit.cfg) は、 インスタンスの security サブディレクトリーに位置しています。 インスタンスを作成するときには、 読み取り / 書き込み許可がオペレーティング・システムによりファイルの可能な場所にセットされます。 デフォルトでは、この許可はインスタンス所有者専用の読み取り / 書き込みとなります。 これらの許可を変更しないことが推奨されています。

監査機能の管理者ツール (db2audit) のユーザーは、 SYSADM の権限 / 特権を持っていなければなりません。

監査機能は、明示的に停止および開始される必要があります。 開始するとき、監査機能は既存の監査構成情報を使用します。 監査機能が DB2 サーバーから独立しているので、インスタンスが停止されるとしても、 それは活動的な状態を維持します。 実際、インスタンスが停止されるとき、 監査レコードは監査ログにおいて生成される可能性があります。

監査機能の許可ユーザーは、監査機能の中で次の動作を制御できます。

生成される監査レコードには様々な区分があります。 監査するために使用可能なイベントの区分の記述 (下記参照) において、 各区分の名前に続くのは区分タイプを識別するのに使用される 1 つの単語のキーワードであることに注目してください。 監査のために使用可能なイベントの区分は次のようになります。

データベースの操作により幾らかのレコードが生成される場合があります。 監査ログに生成かつ移動されるレコードの実際の数は、 監査機能構成により指定された場合、記録されるイベントの区分の数によって決められます。 成功、失敗、またはその両方が監査されているかどうかにもよります。 この理由のため、監査するイベントの選択が重要となります。


[ ページのトップ | 前ページ | 次ページ | 目次 | 索引 ]