2. ALog SMASHの概要

本章ではALog SMASHの機能や仕組みを説明します。

2.1. ALog SMASHとは

ALog SMASHは、ユーザーの行動記録をサーバから収集する「サーバアクセスログ」製品です。

イベントログのままでは解読が難しい「いつ、誰が、どのファイルに、何をした」が、ALog SMASHによって一目でわかります。

2.1.1. ALog SMASHの仕組み

ALog SMASHは、監視対象となるサーバにインストールされ、サービスとして稼働します。このサービスがイベントログを収集し、ユーザーの操作履歴がわかるアクセスログに変換します。

変換されたアクセスログは、ログ検索用のデータベースに保存されると同時に、任意のフォルダーにCSVファイルとして出力されます。直近のアクセスログを検索するためのデータベース、長期保管のためのCSVファイルという使い分けが適しています。

ALog SMASHは、監視対象となるサーバにインストールするソフトウェアですので、ログの収集や検索のための専用のログサーバは不要です。また、サーバOSのイベントログを利用するため、クライアントPCにエージェント(常駐プログラム)を導入する必要はありません。

../_images/DB-CSV_DataStorageMethods.png

2.2. アクセスログについて

2.2.1. アクセスログのフォーマット

ALog SMASHのアクセスログのフォーマットは以下のとおりです。

フィールド名	概要
時刻	操作が記録された日時フォーマットは“yyyy/mm/dd hh:mm:ss.fff”
ユーザー	操作を実行したユーザーアカウント名
サーバ	操作が記録されたサーバ名 ALog SMASHをインストールしたサーバの名前が表記されるアクセスログには記録されているが、検索画面では非表示になっている
対象	操作の対象(例:ファイル/フォルダーパス)が表記
操作	実行された操作詳しくは「アクセスログの種別」を参照
詳細	上記のいずれにも含まれない詳細情報例：操作を実行したアプリケーション名やクライアントPCのIPアドレスなど詳しくは「アクセスログの詳細フィールド」を参照

2.2.2. アクセスログの種別

アクセスログにおいて出力される操作内容は以下のとおりです。

ログの種別	出力内容（操作）	概要
ファイルアクセスログ	READ READ-Failure WRITE WRITE-Failure DELETE DELETE-Failure RENAME RENAME-Failure MOVE COPY	ファイルの読み込み 1 ファイルの読み込みの失敗 1 ファイルまたはフォルダーへの書き込みファイルまたはフォルダーへの書き込みの失敗ファイルまたはフォルダーの削除ファイルまたはフォルダーの削除の失敗ファイルまたはフォルダーの名前変更/移動ファイルまたはフォルダーの名前変更/移動の失敗ファイルまたはフォルダーの移動 2 ファイルのコピー 3

※: 失敗のログ（XXX-Failure）は環境によっては出力されないことがあります。

1(1,2): フォルダーに対する操作は記録されません。
2: MOVEは、同ドライブにおいて移動元/移動先双方のログがイベントログに書き込まれ、それぞれの関連性が読み取れる場合に出力されます。
3: COPYは、コピー元/コピー先双方のログがイベントログに書き込まれ、それぞれの関連性が読み取れる場合に出力されます。

2.2.3. ファイルアクセスログの出力パターン

ユーザーがファイルまたはフォルダーを操作したときに出力されるアクセスログは、以下のパターンで出力されます。

ユーザーの操作	操作ファイル
ファイルを開く	READ
フォルダーを開く	出力なし 4
ファイル/フォルダーを新規作成ファイルを更新	WRITE
ファイル/フォルダーを削除	DELETE 5

4: フォルダーだと判定できないイベントログの場合、READが出力されます。
5: 削除したフォルダーのサブフォルダーに対しても「DELETE」が出力されます。

ユーザーの操作	元ファイル	新ファイル
ファイルをコピー	COPY/READ	WRITE
フォルダーをコピー	COPY/出力なし	WRITE 6
ファイル/フォルダーの名前変更	RENAME	WRITE/READ/出力なし
ファイルを移動（同ドライブへの移動）	MOVE	WRITE
フォルダーを移動（同ドライブへの移動）	MOVE/RENAME 7	WRITE/出力なし 7
ファイル/フォルダーを移動（別ドライブへの移動）	DELETE	WRITE

※: コピーや移動の操作は、元ファイルと新ファイルの双方が監査対象である場合に上記のように出力されます。監査対象外のマシンやドライブへのコピーや移動は、出力されているイベントログからわかる情報の範囲で変換されます。
※: コピーや移動の操作には、「新規でコピー/移動する」ケースと、「上書きでコピー/移動する」ケースがあります。この違いにより出力されるログが異なります。

6: フォルダーを上書きコピーする場合は、新ファイル「出力なし」となります。
7(1,2): フォルダーを上書き移動する場合は、元ファイル「DELETE」/新ファイル「出力なし」となります。

注意

ALog SMASHのファイルアクセスログ変換ロジックは、以下のアプリケーションによるファイル操作が正しく反映されるよう作成されています。

その他のアプリケーションによる操作は期待する結果が得られないことがあります。

エクスプローラー / メモ帳 / ペイント / Microsoft Word, Excel, Power Point / Adobe Acrobat Reader

2.2.4. アクセスログの出力例

アクセスログの出力例を記載します。

時刻	ユーザー	サーバ	対象	操作	詳細
2017/05/18 20:04:00.508	Domain\Kawasaki	Server002	D:\共有\file.xls	READ	ClientIP:192.168.0.1 Count:3
2017/05/18 20:04:54.590	Domain\Kawasaki	Server002	D:\共有\file.xls	WRITE	ClientIP:192.168.0.1 Count:1

注意

サーバ欄はアクセスログでは記録されていますが、検索画面では非表示になっています。

2.2.5. アクセスログの詳細フィールド

アクセスログの「詳細」フィールドには以下の情報が入ります。

項目	説明
AppName	操作を実行したアプリケーション名
ClientIP	操作を実行したクライアントPCもしくは接続先PCのIPアドレス
ClientName	操作を実行したクライアントPCもしくは接続先PCのコンピューター名
Count	ログ変換処理によってマージされたイベントログ（生ログ）のレコード数イベントログの特性として、ユーザーによる1回の操作に対し、同じ内容を示すログレコードが複数行出力されることがあり、ALog SMASHでは、「ユーザー」、「対象」および「詳細（Countを除く）」が同じログレコードに対し、5秒以内に同じ「操作」のレコードが連続して発生した場合、これらを1レコードにマージしている
To	ファイル・フォルダーの名前変更/移動/コピー操作を行った場合の、RENAME/COPY/MOVE後ファイル・フォルダーのパス

注意

ユーザーの操作やサーバ環境によっては、一部の詳細項目しか出力されない場合があります。

2.3. ALog SMASHの動作環境

本章ではALog SMASHの利用にあたって必要なシステム環境について説明します。

2.3.1. 動作環境

動作環境は以下のとおりです。

項目	要件
対応OS	Windows Server 2012 / 2012 R2 / 2016 / 2019 / 2022 Windows Storage Server 2012 / 2012 R2 / 2016 Windows Server IoT 2019 　※32bit版OSには対応していない　※各OS のサービスパック（SP）に対応　※各エディション（Standard / Enterprise / Datacenter）に対応　※仮想環境（VMWare, Hyper-V, Citrix XenServer）に対応
CPU	推奨Quad Core 以上（最低Dual Core）
メモリ	推奨16GB 以上（最低4GB）
HDD	100GB以上の空き容量　※アクセスログの保管期間の長さによって別途必要
必要ソフトウェア	.NET Framework 4.8以上対応ブラウザWebブラウザ: - Firefox バージョン68以上 - Google Chrome バージョン76以上 - Microsoft Edge

◆動作条件

ファイルアクセスログの出力対象となるドライブがNTFSフォーマットであること（FATフォーマットには対応していません）

注意

クライアント機器にWindows10をご利用の場合、以前のクライアントOSに比べてイベントログ量が純増します。ログ出力先のドライブの容量や、イベントログを保存する場合の保存先の容量は以前のクライアントOSに比べて多めに見積もってください。

2.3.2. 通信環境（使用ポート一覧）

ALog SMASHで使用するポートとその方向は以下の通りです。

Source

Destination

ポート番号

用途

SMASHインストールサーバ

⇒出力指定先

TCP445

SMB (バックアップ先やレポート出力先をネットワーク上の共有フォルダーにする場合のみ使用)

ブラウザ動作機器

⇒SMASHインストールサーバ

TCP80

HTTP (Webコンソールへのアクセス)

※インストール時に任意値を指定可能

SMASHインストールサーバ

⇒SMASHインストールサーバ

TCP10041

内部DBで使用。ポート解放は不要。

SMASHインストールサーバ

⇒ドメインコントローラー

TCP389

TC636(SSL)

WebコンソールのログインアカウントでLDAP認証を利用した場合に使用