日次レビューと再レビュー

このページで解決すること

証拠を残したら、定期的に見る人が要ります。このページでは事後の四つの作業を扱います。毎日一度承認するセキュリティイベントのレビュー、アラートの確認と処置、周期的なアクセスレビュー、そして新しい送信元アドレスを自動で見張るアラートです。最後に一般ユーザー向けの本人のページを添えます。同じ記録の別の見え方だからです。

日次のセキュリティイベントのレビュー

ポリシーキー「日次レビュー承認」は出荷時は無効です。いま効いているポリシーグループが有効を求めていれば、引き出しにその要求が出ます。承認は「操作ログ」ページの「日次レビュー」タブで行い、対象は業務タイムゾーンで終わった 1 日（00:00 から翌日 00:00 まで）です。業務タイムゾーンはポリシーキー「日次レビューの業務タイムゾーン」で設定し、変更は次の日付から適用されます。日が終わって 30 分たつと承認できるようになり、日付の変わり目に書かれた記録がそろってから承認します。対象日ごとの承認は 1 件までです。

タブの上部には、直近 30 日、直近 90 日または任意の期間の承認率と、期限内、遅延、未承認の日数が出ます。その下に、承認待ちの日（古い日から）と承認記録（新しい順、遅延分だけの表示も可）が並びます。

承認は引き出しで行います。引き出しには、その日の未確認のアラートと、ログインの失敗と高リスクの操作の最初の 20 件が並び、その日の操作ログへのリンクが付きます。各記録には、保持期間による削除で何が消えたかといった理由が出ます。その日のアラートをすべて確認すると承認でき、アラートは引き出しの中で 1 件ずつでもまとめてでも確認できます。備考は任意です。

承認し忘れた日は後から承認でき、期限はありません。対象日の翌日が終わるまでの承認は期限内、それ以降は遅延となり、記録に遅延日数が付いて遅延理由の入力が必要になります。承認時刻はサーバーが記録し、対象日とは別に保存します。期限を過ぎた未承認の日があるあいだは、業務タイムゾーンで毎日 09:00 以降に通知チャネルでリマインダーを 1 回送り、未承認の日を並べます。すべて承認すると止まります。

件数の基準はこうです。ログインの失敗は認証系のイベントの失敗と拒否の両方を含み、定期的なトークンの期限切れは除きます（それらは記録には一件ずつ残ります）。高リスクの操作はホワイトリストです。あらゆるリソースの削除、セキュリティポリシーと syslog 設定と監査の書き出しの作成、更新、削除、監査の書き出しのダウンロード、アカウントの作成と更新です。これらの設定の読み取りとプレビューは数えません。保持期間による削除、サインイン時に再計算されても増減のなかったロールやグループのマッピング、一つの操作が書く 2 件目の記録も数えません。これらの記録は操作ログに残ります。

ダッシュボードの「日次セキュリティレビュー」カードには、前日の件数と未承認の日数が出て、すべて承認済みなら承認者と 30 日の承認率が出ます。カードのボタンや日付からその日の承認の引き出しを開けます。承認できる人には、サイドバーの操作ログの項目とタブに承認待ちの日数が出て、期限切れがあると赤で示します。監査ロール以外のダッシュボードにはこのカードは出ません。

アラートの確認と処置

「アラート」のページのアラート記録のタブでは、未確認のものだけを見られます。「確認」を押して処置の分類（誤検知または無害、対応が要る）を選び、説明を添えられます。処置はやり直せるので、判断の誤りを直せます。確認した人、時刻、分類、備考はそのアラートに残ります。

アラートは最大 50 件を一括審査でき、共通の理由と項目ごとの結果が残ります。一部だけ完了したら再検索します。本人が発生させたアラートは一括対象外です。ブレークグラス緊急接続の事後審査は「問題なし」を一括確定でき、違反は個別に判断します。

周期的なアクセスレビュー

「アクセスレビュー」のページは管理者と監査ロールが見られ、署名は管理者だけです。前回のレビューからどれくらい経ったか、勧められる周期は何日か、すでに過ぎているかが出ます。周期の値はサーバー側が渡します。

「アクセスレビューを開始」を押すと、この操作がその時点のアクセスの一覧を変えられない証拠としてスナップショットに取ること、署名（レビューした人、時刻、結論）を一件残すことを画面が示します。結論の欄には、今回の確認の結果を書きます。たとえば一件ずつ確認して問題なし、あるいは調整した項目の列挙です。

履歴の一覧には、レビューごとのレビューした人、時刻、権限の件数、結論が並びます。「スナップショットを見る」を押すと、当時の権限の一覧が見られます。権限の識別子、主体、対象、範囲です。スナップショットが壊れているときは、システムははっきりしたエラーを返します。正常に見える空の内容を渡すことはありません。

新しい送信元アドレスのアラート

アカウントがあるアドレスから初めてプロトコルの接続を張ったとき、システムは重大度が中のアラートを一件作ります。基準はアカウントとアドレスの組み合わせで、以後に同じアドレスからつないでも重ねてアラートは出しません。基準の切り替わりとアラートは同じトランザクションで書き、通知はトランザクションが確定してから送ります。

この種のアラートはルールに紐づかないので、あるルールを無効にしたせいで消えることはありません。アラートの行のアドレスはリンクになっていて、そのアドレスを軸にした監査調査ビューへ一度で入れます。時間の窓はアラートの当日、区分はすべてです。

ウェブのログインが新しいアドレスから来た場合の扱いは別です。監査記録を一件残してアドレスを基準に取り込みますが、アラートは作らず、通知も送りません。この基準は、どの保持ポリシーの削除の対象にも入りません。

マイ接続

一般ユーザーには「マイ接続」という本人のページがあり、自分が何につないだかが見えます。資産の名前、プロトコル、接続の時刻、時間の長さ、状態です。進行中の接続は自分で終わらせられます。終了には確認が入り、記録には終了の理由が利用者自身による終了であることが示されます。

このページはホワイトリスト方式の絞った見え方で、コマンド、録画、資格情報、送信元アドレス、ターゲットホストのアドレスは入りません。コマンドの閲覧や録画の再生への入口もありません。終了の権限は持ち主本人だけを認め、他人の接続はそもそも見つかりません。

監査で見えること

日次レビューの承認は記録に残り、対象日、承認時刻、タイムゾーン、そのときの件数のスナップショット、備考を保存します。遅延した承認には遅延日数と遅延理由も残ります。
証拠パッケージには daily_reviews.csv が入り、期間内で日次レビューが有効だった日を、未承認の日やまだ期限前の日も含めて 1 日 1 行で並べます。
アラートの確認の処置は記録に残り、処置の分類が入ります。
アクセスレビューの署名は記録に残り、スナップショット自体は変えられません。
新しい送信元アドレスのアラートはそのセッション、ユーザー、資産に紐づき、アドレスは所属するセッションが持ちます。
利用者が自分で接続を終わらせた記録も残り、操作者は本人として記録します。