-：このレッスンでは､
モニタリングと監査に焦点を当てます｡
まずはモニタリングから始めよう｡
モニタリングについて言えば､ セキュリティ・アナリストの主な仕事のひとつは､
まさにネットワークのモニタリングだ｡
私たちは刑事のようなものだ｡
手動または自動化された手段によって行われる｡
現在､ syslogは､ さまざまなアプライアンスやソフトウェア・アプリケーションが､
そのログやイベント記録を集中サーバーに送信できるようにするためのプロトコルである｡
現在､ syslogは標準的なクライアント・サーバー・モデルに従っている｡
そしてこれは､ ネットワーク上の分散システムからのイベントのロギングのためのデファクトスタンダードである｡
日常的に作業するシステムの多くで､ syslogが使用されているのを目にすることでしょう｡
現在､ syslogはほとんどのオペレーティングシステムとほとんどのネットワーク機器で動作する｡
だから､ Ciscoルーターを使おうが､ Windowsマシンを使おうが､
Linuxサーバーを使おうが､ どれもsyslogを使うことができる｡
さて､ これらのメッセージを送り返すとき､
syslogメッセージはどのように見えるだろうか？
さて､ syslogメッセージにはいくつかのことが含まれている｡
優先コードであるPRIコードが含まれている｡
ヘッダーがあり､ メッセージ部分がある｡
それぞれについて話そう｡
まず､ このPRIコード､ 優先順位があり､
これは施設とデータの重大度レベルに基づいて計算される｡
次にヘッダーがあり､
ヘッダーにはイベントのタイムスタンプとホスト名が入る｡
だから､ どこから来たのか､ 何時頃だったのかがわかる｡
メッセージ部分には､
イベントのソースプロセスと関連するコンテンツが含まれる｡
そして､ それがこのメッセージ部分のアイデアだ｡
これがこのメッセージの核心である｡
さて､ syslogを扱ったとき､
オリジナル版にはいくつかの欠点があった｡
オリジナルのプロトコルはUDPに依存していた｡
UDPはファイヤー・アンド・フォゲット・プロトコルなので､ 混雑したネットワークでは配信に問題が生じる可能性がある｡
送信し､ 応答と確認を待たない｡
だから､ そこにたどり着いたと思い込んでいる｡
ネットワークが混雑していると､
データが取りこぼされ､ ログサーバーに情報が届かず､ ログに記録されないことがある｡
初期のころは､ ネットワーク上の誰もが信頼に足る人物だと思われていたため､
それでもよかったかもしれない｡
私たちのデータがそこに届くようにしたい｡
だから､ この解決策を考えなければならない｡
もうひとつは､ 基本的なセキュリティ・コントロールがあまりないことだ｡
syslogには､ 暗号化や認証のようなものはデフォルトでは含まれていなかった｡
そして､ これもまた欠点だった｡
そのため､ 最近のsyslogの実装では､ これらの点を修正している｡
現在､ このようなセキュリティ問題のために､
新しいsyslog実装は､ 多くの異なる機能と機能を追加しています｡
ここではそのうちのいくつかについて話すことにしよう｡
最初の新しい実装は､ 一貫した配信のためにTCPを使用している｡
こうすることで､ ネットワークが混雑してメッセージが届かなくなっても､
TCPを使っているため､ 何度でも再送信される｡
2つ目の改善点､ 新しい実装では､ TLS（トランスポート・レイヤー・セキュリティ）を使用して､
サーバーに送信されるメッセージを暗号化することができる｡
そうすれば､ 転送中のデータをネットワーク上の誰かが読むことはできない｡
それを読むことができるのは､ それを送信したエンドポイントと､
それを受信するサーバーだけである｡
3つ目は､ 新しい実装では認証と完全性を提供するためにMD5とSHA1も使われていることだ｡
こうすることで､ メッセージがネットワークを通過する際に､
メッセージ認証と完全性を確保することができ､
他の誰にも弄られていないことを確認できる｡
また､ 他にもたくさんの機能がある｡
というのも､ TCPに移行して安定した配信ができるようになったからだ｡
暗号化のためにTLSに移行し､
認証と完全性のためにMD5とSHA1を使い始めました｡
現在､ この新しいバージョンのサーバーは通常､
syslog-NG（syslog next generation）､ またはrsyslogと呼ばれている｡
さて､ syslogについて最後に述べておきたいのは､
syslogはしばしば3つの意味で使われるということである｡
データを送るプロトコルを指すこともある｡
syslogサーバーのようにサーバーを参照することもできるし､
syslogデータのようにログエントリーそのものを参照することもできる｡
人々はしばしば､ syslogと言うだけで､
この3つすべてを意味したり､ 文脈によってこの3つのどれかを意味したりする｡
だから､ 業界の人たちが話しているのを聞いて､
彼らが話している3つのうちのどれがSNMPなのかを理解するように注意してほしい｡
SNMPとは､ Simple Network Management Protocolの略｡
これはTCPプロトコルで､ ネットワークに接続された機器やコンピューターの監視を支援する｡
SNMPはネットワーク管理・監視システムに組み込まれており､
管理・監視の概念で多用されている｡
SNMPは3つの要素に分かれている｡
管理対象機器､ エージェント､ そしてネットワーク管理システムそのものだ｡
私たちはマネージド・デバイスについて話している｡
これは､ ネットワーク管理システムによってエージェントを使用して監視されるコンピュータやその他のネットワーク接続機器である｡
エージェントは､ 管理対象デバイスにロードされるソフトウェアである｡
これにより､ 監視を行うネットワーク管理システムに情報をリダイレクトすることができる｡
また､ ネットワーク管理システム（NMS）とは､
ネットワークに接続されたすべての機器やコンピューターの監視を制御する､
1台または複数のサーバー上で実行されるソフトウェアのことである｡
SNMPは､ SNMPプロトコルを使って､ これら3つすべてを互いに会話させるための接着剤だ｡
では､ ネットワーク内部ではどうなっているのだろうか？
さて､ ここに簡単な図が表示されている｡
左側がネットワーク・マネジメント・ステーション（NMS）で､
ネットワーク・マネジメント・システムの一部です｡
これがマネージャーとして機能し､
ネットワーク上のすべての管理対象デバイス､
ルーター､ スイッチ､ サーバーにメッセージを送受信するんだ｡
情報が欲しくなったら､
getリクエストを送り､
それらのデバイスはsetリクエストを使って情報を送り返す｡
トラップ・リクエストと呼ばれるものもあり､
これは管理デバイスから未承諾の情報を受信するもので､
定期的に必要に応じて情報を送信する｡
SNMPを使ってネットワーク管理を行う場合､ データの送信先には2つの選択肢がある｡
インバンド通信と呼ばれる､ 使用しているネットワーク経由で送信することもできるし､
アウトオブバンドで送信することもできる｡
インバンドを行うということは､
企業情報や通常のデータを運んでいるのと同じネットワーク上で管理データを送るということだ｡
これは安価で簡単だが､ 安全性に欠ける｡
より安全にするためには､
帯域外のネットワークを作るべきだ｡
これはセカンダリー・ネットワークで､ そこではすべてのマネジメントが行われるが､
プライマリー・インバンド・ネットワークはまだあり､
そこではユーザーが取得するすべてのデータが行われる｡
管理は常に帯域外のネットワークで行うべきである｡
なぜなら､ セキュリティを高め､ 管理機能をユーザーが触れたり見たりできる場所から排除できるからだ｡