Thirdware Inc. | ログ監視ツール swatch

ログ監視ツール swatch

swatchは例の腕時計ではありません。クラッカーが不正侵入する際、ログを改竄して侵入を事実を隠そうとすることがあります。事後のチェックでは不正侵入を知ることができないかもしれません。しかし、不正侵入には、必ず何らかの全長があるはずです。phfや他の知られたアタックがある、パスワードを推測する過程でログインが失敗に終わるなど。それをリアルタイム的に検出できれば、迅速な対応が可能になります。

swatchは、任意のログファイルを監視し、特定のパターンの文字列を調べます。たとえばログに、FAIL、INVALIDなどの文字列が現れたら、多くは単にパスワードの入力ミスなのでしょうが、アタックの前兆だという可能性もあります。swatchはユーザーが指定したパターンを検出したら、メール等で管理者に報告してくれます。ポケベルを鳴らすことも可能です。

セキュリティポリシーを確立し、それに従ってファイアウォールやその他のセキュリティ対策を実施したとしても、日常の運用と監視は極めて重要です。不正アクセスの兆候を小さなものであっても検出できたら、管理者としての手間は軽減されるでしょう。swatchはそのための有力なツールです。しかし、 Perlをベースとしているため、「重い」という欠点があります。まぁ、メモリはどんどん安くなっていますから、重さよりも効用を重視すべきかもしれませんね。

【Linux Japan Vol.6 掲載記事を加筆修正】

前へ戻る次へ