オープンソース踏み台・特権接続監査
すべての特権接続を、検証可能な証跡に
Guard Access. Preserve Evidence.
SSH、RDP、VNC、データベース、K8s をひとつのゲートウェイに集約——全セッション録画、コマンド監査、Ed25519 署名の証跡チェーン。対象ホストへのインストールは不要。
FIG. 00
ひとつの接続の旅
FIG. 01
01
認証ゲート
接続はまず「あなたが誰か」の証明から始まります。
- ローカルアカウント、LDAP / AD ディレクトリ、OIDC シングルサインオンをひとつの入口に集約。
- TOTP 二要素認証。ポリシーで全員登録の強制も可能。
- 出荷時は無効の緊急アクセス（ブレークグラス）：理由必須、短期チケット、強調表示の監査、事後レビュー必須かつ自己レビュー禁止。
- アカウントロック、パスワード複雑度と有効期限、放置アカウントの自動停止——すべて調整可能なポリシーキー。
FIG. 02
02
ポリシーエンジン
身元が証明されたら、接続の可否と、接続後に何ができるかを決めます。
- 資産ごとに三段階：直接接続、理由の記入、承認必須。承認は同一トランザクションで期限付き権限を発行。
- 「この人はなぜ接続できるのか」——権限は双方向の由来トレースつき。
- 危険コマンドはその場で遮断。後からレポートで見つけるのではなく。
- スケジュール実行の資格情報ローテーション：SSH 域のパスワードと鍵、新しい秘密はセッション経由で投入、失敗時は自動バックオフと警告。
- 一部のポリシーキーは PCI DSS サブセットの推奨値と対照——乖離が一目で分かり、ワンクリック適用。各キーは自社基準に合わせて調整可能。
FIG. 03
03
プロトコルプロキシ
ポリシーが許可したら、接続の確立と資格情報の封じ込め。
- SSH ネイティブターミナル、RDP / VNC、MySQL / PostgreSQL / Redis / MSSQL、Kubernetes exec。
- 封じ込めのレッドライン：フロントエンドは平文の資格情報に一切触れず、バックエンドがメモリ内で復号して注入。全プロトコル共通。
- SFTP と VNC / RDP のファイル転送は、同じ監査済みパイプラインを通る。
- SSH ホスト鍵は TOFU で検証し、変更があれば接続拒否——デフォルト無視ではない。
FIG. 04
04
監査層
接続が進む間に、どんな証跡が残るか。
- 全セッション録画。倍速再生とタイムスタンプへのディープリンク。録画失敗は検知・表示・警告され、失敗時の接続拒否も設定可能。
- コマンドは仮想スクリーンで再構成して保存。複数行 SQL は完全な文に積み上げる。
- クリップボードとファイル転送の内容監査——平文を取り出す行為そのものが監査イベント。
- 行単位の HMAC とチェックポイントチェーン：Ed25519 署名、前区間と連鎖、syslog でオフホストに固定。
FIG. 05
05
証跡の出口
証跡が人にどう使われるか。
- ワンクリックで証跡バンドルをエクスポート：ファイルごとの SHA-256 保管チェーンとバンドル署名、オフライン検証可能。
- 監査調査ビュー：人と資産を軸に、時間窓で六種類の記録をひとつのタイムラインに統合。
- 定期的なアクセスレビュー、警告トリアージ、日次サインオフ——サインオフは不変。
- 進行中セッションの読み取り専用モニタリング——観察者としての参加も痕跡を残す。
誠実な境界
できないことは言いません
- コマンドテキストは索引であり、録画こそが事実の源——出力から再構成したテキストは一部のプログラム形態で誤り得るため、争いは録画で裁定します。
- 監査が記録するのはターミナルに現れた内容であり、実際に押されたキーではありません——エコーのない入力は記録に残りません。
- Custodexa は活発に開発中です。本番利用の前に、テスト環境で十分に検証してください。