IBM技術ブログ Vol.9 － IBM i 監査ジャーナルを Navigator for i で管理しよう －
IBM i のセキュリティ運用では、監査ジャーナルを適切に設定し、継続的に確認・活用することが重要です。
監査ジャーナルは、システム内で発生する操作やイベントを記録する仕組みであり、内部統制、セキュリティ監査、インシデント対応において活用できます。
監査ジャーナルの監査設定やログの確認・分析を、ブラウザベースのシステム管理ツールである Navigator for i を利用して一元的に管理することが可能です。
監査ジャーナルを適切に管理することで、不正アクセスの兆候や権限変更の履歴を確認しやすくなり、日々のセキュリティ運用や監査対応を効率化できます。
本記事では、Navigator for i を使用して監査ジャーナルの設定状況を確認し、監査ログを検索・分析するための基本的な管理方法をご紹介します。
監査ジャーナルの基本構造
監査ジャーナルは、IBM i のOS標準機能として提供される、セキュリティ監査専用のジャーナルです。
システム運用における重要なイベントを時系列で記録することで、後から操作履歴を追跡できるようになります。
監査ジャーナルには「アクション監査」と「オブジェクト監査」の2種類があります。
アクション監査
オブジェクトの作成、削除、変更、ジョブの取り消し、帳票印刷など、ユーザーが実行した操作に関するログを取得します。オブジェクト監査
指定したオブジェクトに対して、ユーザーが読み取りや変更などのアクセスを行った際のログを取得します。
これらは、システム値（QAUDCTL、QAUDLVL など）を通じて監査対象を制御します。
また、特定ユーザーや特定オブジェクトに限定して監査を実施することも可能であり、運用要件に応じて柔軟に監査範囲を設計できます。
監査を実施するために以下の準備を行います。
セキュリティー・ポリシーの決定
監査を実施するにあたりセキュリティー・ポリシーに従って、監査する範囲を決定します。例：
すべてのユーザーのセキュリティーに関するイベントを記録するかどうかの決定
追加での特定ユーザーの監査をするかどうかの決定
特定オブジェクトの監査を実施するかどうかの決定
すべてのユーザーまたは特定ユーザーに対して、オブジェクト監査を実施するかどうかの決定- ジャーナル・レシーバー、ジャーナルの準備
監査を実施するには、監査ジャーナル用のジャーナルとジャーナル・レシーバーを事前に作成する必要があります。
システムがこれらを自動作成することはありません。 - 監査用ジャーナル・レシーバー、ジャーナル保管用のライブラリーを作成
(例）CRTLIB LIB(JRNRCV) TEXT(' 監査ジャーナル・レシーバー用 ') - 監査用ジャーナル・レシーバーの作成
(例）CRTJRNRCV JRNRCV(JRNRCV/AUDRCV0001) TEXT(' 監査用レシーバー ') - 監査用ジャーナルを作成（QSYS/QAUDJRNを作成）
（例）CRTJRN JRN(QSYS/QAUDJRN) JRNRCV(JRNRCV/AUDRCV0001)
Navigator for i による監査ジャーナル管理
■ 監査ジャーナル機能へのアクセス
Navigator for i にログイン後、セキュリティ → 監査ジャーナルで下記の機能にアクセスできます。
- データマートの管理
- 監査ジャーナル項目
- 監査構成
■ 監査構成
監査構成の機能では、システム値(QAUDCTL)の以下のパラメーターを選択することで設定できます。
- 「処置監査を使用可能にする(*AUDLVL)」(アクション監査)
- 「オブジェクト監査を使用可能にする(*OBJAUD)」：(オブジェクト監査)
- 「QTEMP(*NOQTEMP)内のオブジェクトを監査しない」
同じ画面で全ユーザー共通のアクション監査のシステム値(QAUDLVL)の設定ができます。
記録したいアクションの「使用可能」をオンにすることで設定が可能です。
例えば、「許可の障害(*AUTFAIL)」は、システムにサインオンしようとして失敗した試行、および、オブジェクトにアクセスして失敗した試行がログに記録されます。
ユーザーがシステムで許可されていない機能を実行しようとしていないかをモニターできます。
そのほかの監査アクションの詳細については下記参考リンクをご参照ください。
ユーザー個別のアクション監査の設定は、ユーザー監査変更(CHGUSRAUDコマンド)、もしくは、Navigator for i でユーザー → 特定のユーザーを右クリック→プロパティ→機能→監査を選択し、設定画面にアクセスできます。
画面遷移の詳細はこちらを参照ください。
IBM技術ブログ Vol.4 － IBM Navigator for i で管理作業をモダナイゼーションしよう ユーザー管理編 －
https://www.e-bellnet.com/category/knowledges/doc/2511-02.php
オブジェクト監査は、Navigator for i のGUI からは設定できないため、コマンドを使用して設定します。
オブジェクト監査はシステム値QAUDCTLに*OBJAUDを指定することで開始され、個々のオブジェクトに対して監査属性を設定することで開始されます。
監査属性は*CHANGEまたは*ALLに設定されたオブジェクトに対するアクセスが記録されます。
*CHANGEが指定されたオブジェクトは変更操作のみ、*ALLが指定されたオブジェクトは*CHANGEの際に記録されるアクセスを含む全アクセスが記録されます。
*CHANGEでも*ALLでもアクセスには複数のサブタイプが定義されており、多様な情報が記録されます。
オブジェクトの監査値は、CHGOBJAUDおよびCHGAUDコマンドを使って設定しますが、ライブラリーやディレクトリーを指定してその下のオブジェクトをすべて同じ属性に設定することも可能です。
オブジェクトの監査値に*CHANGEや*ALLを指定した場合はすべてのユーザーからのアクセスが記録されますが、*USRPRF と指定することもでき、その場合アクセスしてきたユーザー・プロファイルのオブジェクト監査値が参照され、これに従ってアクセスが記録されるかどうかが決まります。
ユーザー・プロファイルにはオブジェクト監査値として*CHANGEまたは*ALLを指定することができます。ユーザー・プロファイルにはアクション監査値（処置監査値）とオブジェクト監査値の両方を指定することができます。
ご参考リンク：オブジェクト・アクセスの監査計画
https://www.ibm.com/docs/ja/i/7.6.0?topic=auditing-planning-object-access
■ 監査ログの可視化と分析
Navigator for i の大きな特長は、監査データを簡単に検索でき、グラフィカルに表示することができる点です。
Navigator for iでセキュリティー→監査ジャーナル→監査ジャーナル項目を選択します。
ライブ・データで、ビューの選択をグラフ・ビューにします。
監査ジャーナルの項目を選択します。監査ジャーナルは以下の2つのビューで確認できます。
- 日次ビュー
1日単位でイベント発生件数をグラフ表示でき、1日の変動や急増を把握できます - 週次ビュー
期間指定による傾向分析として、長期的な変化を把握できます。
なお、この機能は IBM i 7.6 では現時点で利用できません。今後提供予定の PTF で利用可能になる予定です。
例えば、日次グラフを確認することで、特定のイベントが急増しているかどうかを把握できます。
■ フィルタリングによる絞り込み
実際の運用では、必要な情報に素早くアクセスすることが重要です。Navigator for i では、以下の条件で柔軟にフィルタリングできます。
- 日時範囲（例：直近24時間、任意の期間）
- イベントタイプ（例：CA＝権限変更、CD＝コマンド実行）
- ユーザー・プロファイル
例えば次のような使い方が可能です。
- 特定のユーザーの操作履歴だけを抽出
- 権限変更イベントのみを一覧表示
- 特定時間帯の操作履歴を確認
このように、調査目的に応じて視点を切り替えながら分析できます。
■ ライブ・データとデータマートの使い分け
Navigator for i では、監査データの取得方式として2つのモードを選択できます。ライブ・データはIBM i 7.5 TR4の機能拡張により使用できるようになりました。
- ライブ・データ
現在のジャーナルをリアルタイムに参照でき、即時確認やインシデント対応に適しています。 - データマート
事前に集計されたデータを利用するため、大量データの高速分析や傾向把握に適しています。
例えば、日次監視はライブ・データ、月次レポートはデータマートといった使い分けにより、効率的な運用が可能になります。
■ SQLの活用
データを表示する画面には「SQL」アイコンがあり、クリックすると表示中のデータに対応する SQL を確認できます。
「SQLの実行」ボタンを押すと、IBM i Access Client Solutions(ACS)のSQLスクリプトの実行画面で実行が可能です。
SQLによるデータ取得により、
- 監査ログのレポート出力
- 定期バッチによる分析
- 外部システムとの連携
まとめ
監査ジャーナルは、IBM i のセキュリティ運用や監査対応において重要な役割を担います。
Navigator for i を活用することで、監査設定の確認、ログの検索・可視化、SQL によるデータ活用を効率的に行うことができます。
日々の運用では、アクション監査とオブジェクト監査を目的に応じて使い分け、必要な監査データを継続的に確認できる体制を整えておくことが重要です。
執筆者紹介
 |
児玉 尚子（こだま なおこ） 日本アイ・ビー・エム株式会社 2009年：Power Technical Sales IBM i のお客様担当 2013年：Power Technical Sales 西日本のお客様担当 2024年：Power Technical Sales パートナー様担当 |
