Cisco IronPort AsyncOS 7.8 for Security Management ユーザ ガイド

ロギングとレポーティング

ロギング データは、メッセージ フローのデバッグ、基本的な日常の動作に関する情報の確認（FTP 接続の詳細、HTTP ログ ファイルなど）、アーカイブのコンプライアンスの目的に使用します。

このロギング データには、電子メール セキュリティ アプライアンスから直接アクセスすることも、任意の外部 FTP サーバに送信してアーカイブまたは読み取ることもできます。アプライアンスに FTP 接続してログにアクセスすることも、バックアップの目的でプレーン テキストのログを外部サーバにプッシュすることもできます。

レポーティング データを表示するには、アプライアンスのグラフィカル ユーザ インターフェイスの [Report] ページを使用します。元データにはアクセスできません。また、セキュリティ管理アプライアンス以外には送信できません。

（注） セキュリティ管理アプライアンスは、Cisco IronPort スパム隔離（ISQ）データの例外を含む、すべてのレポーティングおよびトラッキング情報を取り出します。ISQ データは、ESA から渡されます。

ログ タイプ

ログ サブスクリプションはログ タイプを名前、ログ レベル、およびファイル サイズや宛先情報などのその他の特性に関連付けます。コンフィギュレーション履歴ログ以外のすべてのログ タイプで、複数のサブスクリプションを使用できます。ログ タイプによってログに記録されるデータが決まります。ログ サブスクリプションを作成するときにログ タイプを選択します。詳細については、「ログ サブスクリプション」を参照してください。

AsyncOS では、次のログ タイプが生成されます。

ログ タイプの比較

表 14-2 に、各ログ タイプの特徴をまとめます。

ログの取得

ログ ファイルは、 表 14-3 に示すファイル転送プロトコルを使用して取得できます。プロトコルは、グラフィカル ユーザ インターフェイスでサブスクリプションを作成または編集するときに設定するか、CLI の logconfig コマンドを使用して設定します。

ファイル名およびディレクトリ構造

AsyncOS はログ サブスクリプションで指定したログ名に基づいて、各ログ サブスクリプションのディレクトリを作成します。ディレクトリ内のログのファイル名は、ログ サブスクリプションで指定されたファイル名、ログ ファイルが開始されたタイムスタンプ、および単一文字のステータス コードで構成されています。次に、ディレクトリおよびファイル名の規則の例を示します。

/<Log_Name>/<Log_Filename>.@<timestamp>.<statuscode>

ステータス コードは、 .c （「current（現在）」の意味）、または .s （「saved（保存済み）」の意味）です。保存済みのステータスのログ ファイルのみを転送する必要があります。

ログのロールオーバーおよび転送スケジュール

ログ サブスクリプションを作成するときに、ログのロールオーバー、古いファイルの転送、および新しいファイルの作成のトリガーを指定します。

次のトリガーのいずれかを選択します。

• ファイル サイズ

• 時間

– 指定した間隔で（秒、分、時間、または日数）

値を入力するときは、画面の例に従います。

2 時間半など、複合間隔を入力するには、例 2h30m に従います。

または

– 毎日、指定した時刻に

または

– 選択した週の曜日の指定した時刻に

時刻を指定する場合は、24 時間形式を使用します。たとえば 11pm は 23:00 です。

1 日に複数のロールオーバー時間をスケジュール設定するには、時間をカンマで区切ります。たとえば、深夜と正午にログをロールオーバーするには、 00:00, 12:00 と入力します。

アスタリスク（*）をワイルドカードとして使用できます。
たとえば、正確に毎時および 30 分ごとにログをロールオーバーするには、 *:00, *:30 と入力します。

指定した制限に達すると（またはサイズおよび時間の両方に基づいた制限を設定している場合は最初の制限に達すると）、ログ ファイルがロールオーバーされます。FTP ポーリング転送メカニズムに基づいたログ サブスクリプションでは、ファイルが作成されると、それらのファイルが取得されるか、システムでログ ファイル用にさらにスペースが必要になるまで、Cisco IronPort アプライアンスの FTP ディレクトリにそれらのファイルが保存されます。

（注） 次の制限に達したときにロールオーバーが実行中の場合、新しいロールオーバーはスキップされます。エラーが記録され、アラートが送信されます。

デフォルトでイネーブルになるログ

セキュリティ管理アプライアンスは、次のログ サブスクリプションがイネーブルに事前設定されています。

事前定義されているすべてのログ サブスクリプションでは、ログ レベルが Information に設定されています。ログ レベルの詳細については、「ログ レベルの設定」を参照してください。

適用されているライセンス キーによっては、追加のログ サブスクリプションを設定できます。ログ サブスクリプションの作成および編集については、「ログ サブスクリプション」を参照してください。

ログ ファイル内のタイムスタンプ

次のログ ファイルには、ログ自体の開始日と終了日、AsyncOS のバージョン、および GMT オフセット（ログの開始時からの秒数）が含まれています。

– メール ログ

– セーフリスト/ブロックリスト ログ

– システム ログ

コンフィギュレーション履歴ログの使用

コンフィギュレーション履歴ログは、ユーザの名前、ユーザが変更を行った設定の場所の説明、および変更を保存するときにユーザが入力したコメントがリストされた追加のセクションを持つコンフィギュレーション ファイルで構成されます。ユーザが変更をコミットするたびに、変更後のコンフィギュレーション ファイルを含む新しいログが作成されます。

コンフィギュレーション履歴ログの例

次のコンフィギュレーション履歴ログの例は、システムにログインできるローカル ユーザを定義するテーブルに、ユーザ（admin）がゲスト ユーザを追加したことを示しています。

CLI 監査ログの使用

表 14-5 に、CLI 監査ログに記録される統計情報を示します。

CLI 監査ログの例

次の CLI 監査ログの例は、 who および textconfig CLI コマンドが入力された PID 16434 の情報を示しています。

FTP サーバ ログの使用

表 14-6 に、FTP サーバ ログに記録される統計情報を示します。

FTP サーバ ログの例

次の FTP サーバ ログの例には、接続（ID:1）が記録されています。着信接続の IP アドレスのほか、アクティビティ（ファイルのアップロードとダウンロード）およびログアウトが示されています。

HTTP ログの使用

表 14-7 に、HTTP ログに記録される統計情報を示します。

HTTP ログの例

次の HTTP ログの例は、管理者ユーザによるグラフィカル ユーザ インターフェイスの使用（システム セットアップ ウィザードの実行など）を示しています。

Cisco IronPort スパム隔離ログの使用

表 14-8 に、Cisco IronPort スパム隔離ログに記録される統計情報を示します。

Cisco IronPort スパム隔離ログの例

次のログの例は、隔離から admin@example.com に 2 個のメッセージ（MID 8298624 と MID 8298625）が解放されたことを示しています。

Cisco IronPort スパム隔離 GUI ログの使用

表 14-9 に、Cisco IronPort スパム隔離 GUI ログに記録される統計情報を示します。

Cisco IronPort スパム隔離 GUI ログの例

次のログの例は、成功した認証、ログイン、およびログアウトを示しています。

Cisco IronPort テキスト メール ログの使用

これらのログには、電子メールの受信、電子メールの配信、およびバウンスの詳細が記録されます。ステータス情報も、1 分ごとにメール ログに書き込まれます。これらのログは、特定のメッセージの配信を理解し、システム パフォーマンスを分析するうえで有益な情報源となります。

これらのログに、特別な設定は必要ありません。ただし、添付ファイル名を表示するには、適切なシステムの設定が必要です。添付ファイル名は、常に記録されるわけではありません。詳細については、「トラッキング サービスの概要」を参照してください。

表 14-11 に、テキスト メール ログに表示される情報を示します。

例

ログ ファイルを解釈するためのガイドとして、次のサンプルを使用してください。

（注） ログ ファイルの各行には、番号が割り当てられません。ここでは、単にサンプル用として番号が割り当てられています。

前述のログ ファイルを読み取るためのガイドとして、 表 14-13 を使用してください。

テキスト メール ログ エントリの例

次の例で、さまざまなケースに基づくログ エントリを示します。

メッセージ受信

1 人の受信者に対するメッセージが Cisco IronPort アプライアンスにインジェクトされます。メッセージは正常に配信されます。

正常なメッセージ配信の例

失敗したメッセージ配信（ハード バウンス）

2 人の受信者が指定されたメッセージが Cisco IronPort アプライアンスにインジェクトされます。配信時に、宛先ホストが 5 XX エラーを返しました。これは、メッセージをどちらの受信者にも配信できなかったことを示します。Cisco IronPort アプライアンスは送信者に通知し、キューから受信者を削除します。

最終的に正常に配信されるソフト バウンスの例

メッセージが Cisco IronPort アプライアンスにインジェクトされます。最初の配信試行で、メッセージはソフト バウンスして、その後の配信キューに入れられます。2 回めの試行でメッセージは正常に配信されます。

メッセージ スキャン結果（scanconfig）

次のプロンプトで、メッセージの構成要素を分解できない場合（添付ファイルを削除する場合）の動作を scanconfig コマンドを使用して決定した場合、

メール ログに以下が表示されます。

scanconfig で、メッセージを分解できない場合に配信するように設定した場合。

scanconfig で、メッセージを分解できない場合にドロップするように設定した場合。

添付ファイルのあるメッセージ

この例では、添付ファイル名の識別をイネーブルにするように、条件「Message Body Contains」を含むコンテンツ フィルタが設定されています。

3 つの添付ファイルの 2 番めが Unicode であることに注意してください。Unicode を表示できない端末では、このような添付ファイルは quoted-printable 形式で表示されます。

生成またはリライトされたメッセージ

リライト/リダイレクト アクションなどの一部の機能（ alt-rcpt-to フィルタ、アンチスパム RCPT リライト、 bcc() アクション、アンチウイルス リダイレクションなど）によって、新しいメッセージが作成されます。ログに目を通して結果を確認し、必要に応じて MID や、場合によっては DCID を追加します。次のようなエントリが可能です。

または

（注） 「Rewritten」エントリは、新しい MID の使用を示すログの行の後に表示されます。

Cisco IronPort スパム隔離へのメッセージの送信

メッセージを隔離領域に送信すると、メール ログでは、RPC 接続を識別する RPC 接続 ID（RCID）を使用して、隔離領域との間の移動が追跡されます。次のメール ログでは、メッセージにスパムのタグが付けられ、Cisco IronPort スパム隔離に送信されています。

NTP ログの使用

表 14-14 に、NTP ログに記録される統計情報を示します。

NTP ログの例

次の NTP ログの例は、アプライアンスから NTP ホストへの 2 度のポーリングを示しています。

レポーティング ログの使用

表 14-15 に、レポーティング ログに記録される統計情報を示します。

レポーティング ログの例

次のレポーティング ログの例は、情報ログ レベルに設定されたアプライアンスを示しています。

レポーティング クエリー ログの使用

表 14-16 に、レポーティング クエリー ログに記録される統計情報を示します。

レポーティング クエリー ログの例

次のレポーティング クエリー ログの例は、アプライアンスによって、2007 年 8 月 29 日から 10 月 10 日までの期間で毎日の発信メール トラフィック クエリーが実行されていることを示しています。

セーフリスト/ブロックリスト ログの使用

表 14-17 に、セーフリスト/ブロックリスト ログに記録される統計情報を示します。

セーフリスト/ブロックリスト ログの例

次のセーフリスト/ブロックリスト ログの例は、アプライアンスによって 2 時間ごとにデータベースのスナップショットが作成されていることを示しています。送信者がデータベースに追加された時刻も表示されます。

SMA ログの使用

表 14-18 に、SMA ログに記録される統計情報を示します。

次の SMA ログの例は、電子メール セキュリティ アプライアンスからトラッキング ファイルをダウンロードする中央集中型トラッキング サービスと、電子メール セキュリティ アプライアンスからレポーティング ファイルをダウンロードする中央集中型レポーティング サービスを示しています。

ステータス ログの使用

ステータス ログには、 status 、 status detail 、および dnsstatus を含む CLI ステータス コマンドで検出されたシステム統計情報が記録されます。記録期間は、 logconfig の setup サブコマンドを使用して設定します。ステータス ログでレポートされるカウンタまたはレートは、前回カウンタがリセットされた時点からの値です。

ステータス ログの読み取り

表 14-19 に、ステータス ログ ラベル、およびそれと一致するシステム統計情報を示します。

ステータス ログの例

システム ログの使用

表 14-20 に、システム ログに記録される統計情報を示します。

システム ログの例

次のシステム ログの例は、commit を実行したユーザの名前と入力されたコメントを含む、いくつかの commit エントリを示しています。

トラッキング ログについて

トラッキング ログには、AsyncOS の電子メール動作に関する情報が記録されます。ログ メッセージは、メール ログに記録されたメッセージのサブセットです。

トラッキング ログは、メッセージ トラッキング データベースを作成するため、メッセージ トラッキング コンポーネントで使用されます。ログ ファイルはデータベースの作成プロセスで消費されるので、トラッキング ログは一過性のものになります。トラッキング ログの情報は、人による読み取りや解析を目的とした設計になっていません。

トラッキング ログは、リソースの効率性を保つためにバイナリ形式で記録され、転送されます。情報は、論理的にレイアウトされ、Cisco IronPort が提供するユーティリティを使用して変換した後は人による読み取りが可能になります。変換ツールは、次の URL にあります。
http://tinyurl.com/3c5l8r 。

ログ サブスクリプションの設定

ログ サブスクリプションによって、Cisco IronPort アプライアンスに、またはリモートに保存される個々のログ ファイルが作成されます。ログ サブスクリプションは、プッシュ（別のコンピュータに配信）またはプル（アプライアンスから取得）されます。一般に、ログ サブスクリプションには次の属性があります。

[Management Appliance] > [System Administration] > [Log Subscriptions] ページ（または CLI の logconfig コマンド）を使用して、ログ サブスクリプションを設定します。ログ タイプを入力するプロンプトが表示されます（「ログ タイプ」を参照）。ほとんどのログ タイプで、ログ サブスクリプションの ログ レベル の入力も要求されます。

（注） コンフィギュレーション履歴ログのみ：コンフィギュレーション履歴ログからコンフィギュレーションをロードする可能性がある場合は、コンフィギュレーションにマスクされたパスワードが含まれているとロードできないことに注意してください。[Management Appliance] > [System Administration] > [Log Subscriptions] ページで、パスワードをログに含めるかどうかを尋ねるプロンプトが表示されたら、[Yes] を選択します。CLI の logconfig コマンドを使用する場合は、プロンプトで y を入力します。

ログ レベルの設定

ログ レベルによって、ログに送信される情報量が決定します。ログには、5 つの詳細レベルのいずれかを設定できます。詳細なログ レベルを設定すると、省略されたログ レベルを設定した場合と比べて、大きなログ ファイルが作成され、システム パフォーマンスに大きな影響を与えます。詳細なログ レベル設定には、省略されたログ レベル設定に含まれるすべてのメッセージと、追加のメッセージが含まれます。詳細レベルを上げるほど、システムのパフォーマンスは低下します。

（注） ログ タイプごとに異なるログ レベルを指定できます。

GUI でのログ サブスクリプションの作成

ログ サブスクリプションを作成するには、次の手順を実行します。

ステップ 1 [Management Appliance] > [System Administration] > [Log Subscriptions] ページで、[Add Log Subscription] をクリックします。[New Log Subscription] ページが表示されます。

図 14-1 ログ サブスクリプションの新規作成

ステップ 2 ログ タイプを選択し、ログ名（ログ ディレクトリ用）とログ ファイル自体の名前を入力します。

ステップ 3 該当する場合は、最大ファイル サイズを指定します。

ステップ 4 該当する場合は、ログをロールオーバーする日、時刻、または時間間隔を指定します。詳細については、「ログのロールオーバーおよび転送スケジュール」を参照してください。

ステップ 5 該当する場合は、ログ レベルを指定します。

ステップ 6 （コンフィギュレーション履歴ログのみ）パスワードをログに含めるかどうかを選択します。

（注） マスクされたパスワードが含まれているコンフィギュレーションはロードできません。コンフィギュレーション履歴ログからコンフィギュレーションをロードする可能性がある場合は、[Yes] を選択してパスワードをログに含めます。

ステップ 7 ログの取得方法を設定します。

ステップ 8 変更を送信し、保存します。

ログ サブスクリプションの編集

ログ サブスクリプションを編集するには、次の手順を実行します。

ステップ 1 [Log Subscriptions] ページの [Log Name] カラムにあるログ名をクリックします。[Edit Log Subscription] ページが表示されます。

ステップ 2 ログ サブスクリプションを更新します。

ステップ 3 変更を送信し、保存します。

ロギングに対する グローバル設定

システムは、テキスト メール ログおよびステータス ログ内にシステム メトリックを定期的に記録します。[Log Subscriptions] ページの [Global Settings] セクションにある [Edit Settings] ボタン（または、CLI の logconfig -> setup コマンド）を使用して、次の情報を設定します。

• システムが測定を記録するまで待機する時間（秒単位）

• メッセージ ID ヘッダーを記録するかどうか

• リモート応答ステータス コードを記録するかどうか

• 元のメッセージのサブジェクト ヘッダーを記録するかどうか

• メッセージごとにログに記録するヘッダー

すべての Cisco IronPort ログには、次の 3 項目を任意で記録できます。

• [Message-ID]：このオプションを設定すると、可能な場合はすべてのメッセージのメッセージ ID ヘッダーがログに記録されます。このメッセージ ID は、受信したメッセージから取得される場合と、AsyncOS で生成される場合があります。次に例を示します。

• [Remote Response]：このオプションを設定すると、可能な場合はすべてのメッセージのリモート応答ステータス コードがログに記録されます。次に例を示します。

リモート応答文字列は、SMTP 会話配信時の DATA コマンドへの応答後に受信される、人が読み取ることのできるテキストです。この例では、接続ホストが data コマンドを実行した後のリモート応答が、「queued as 9C8B425DA7」となります。

文字列の先頭にある空白や句読点、および 250 応答の OK 文字は除去されます。文字列の末尾については、空白だけが除去されます。たとえば、Cisco IronPort アプライアンスはデフォルトで、DATA コマンドに対して 250 Ok: Message MID accepted という文字列で応答します。したがって、リモート ホストが別の Cisco IronPort アプライアンスである場合は、「Message MID accepted」というエントリがログに記録されます。

• [Original Subject Header]：このオプションをイネーブルにすると、各メッセージの元のサブジェクト ヘッダーがログに記録されます。

メッセージ ヘッダーのロギング

場合によっては、メッセージがシステムを通過するときに、メッセージのヘッダーの存在と内容を記録する必要があります。[Log Subscriptions Global Settings] ページ（または、CLI の logconfig -> logheaders サブコマンド）で、記録するヘッダーを指定します。Cisco IronPort アプライアンスは、指定されたメッセージ ヘッダーをテキスト メール ログおよびトラッキング ログに記録します。ヘッダーが存在する場合、システムはヘッダーの名前と値を記録します。ヘッダーが存在しない場合は、ログに何も記録されません。

（注） システムは、ロギングに指定したヘッダーに関係なく、メッセージの記録処理中に随時、メッセージに存在するすべてのヘッダーを評価します。

（注） SMTP プロトコルについての RFC は、
http://www.faqs.org/rfcs/rfc2821.html にあります。この RFC には、ユーザ定義のヘッダーが規定されています。

（注） logheaders コマンドを使用してヘッダーをログに記録するように設定している場合、ヘッダー情報は配信情報の後に表示されます。

たとえば、ログに記録するヘッダーとして「date, x-subject」を指定すると、メール ログに次の行が表示されます。

GUI を使用したロギングのグローバル設定

ロギングのグローバル設定を行うには、次の手順を実行します。

ステップ 1 [Log Subscriptions] ページの [Global Settings] セクションにある [Edit Settings] ボタンをクリックします。[Log Subscriptions Global Settings] ページが表示されます。

図 14-2 ログ サブスクリプションのグローバル設定

ステップ 2 システム メトリクスの頻度、メール ログにメッセージ ID ヘッダーを加えるかどうか、リモート応答を加えるかどうか、および各メッセージの元のサブジェクト ヘッダーを加えるかどうかを指定します。

これらの設定の詳細については、「ロギングに対するグローバル設定」を参照してください。

ステップ 3 ログに加えるその他のヘッダーを入力します。各エントリはカンマで区切ります。

ステップ 4 変更を送信し、保存します。

ログ サブスクリプションのロールオーバー

AsyncOS がログ ファイルをロールオーバーすると、次のことが行われます。

• ロールオーバーのタイムスタンプで新規のログ ファイルが作成され、文字「 c 」の拡張子によって現在のファイルとして指示されます。

• 現在のログ ファイルが、保存済みを示す文字「 s 」の拡張子付きに名前変更されます。

• 新たに保存されたログ ファイルがリモート ホストに転送されます（プッシュ ベースの場合）。

• 同じサブスクリプションから以前に失敗したログ ファイルが転送されます（プッシュ ベースの場合）。

• 保持するファイルの合計数を超えた場合は、ログ サブスクリプション内の最も古いファイルが削除されます（ポーリング ベースの場合）。

ログ サブスクリプション内のログのロールオーバー

「ログのロールオーバーおよび転送スケジュール」を参照してください。

GUI を使用したログの即時ロールオーバー

1 つまたは複数の既存のログをオンデマンドでロールオーバーするには、次の手順を実行します。

ステップ 1 [Log Subscriptions] ページで、ロールオーバーするログの右側のチェックボックスをオンにします。

ステップ 2 [All] チェックボックスをオンにして、すべてのログをロールオーバー対象として選択することもできます。

ステップ 3 [Rollover Now] ボタンをクリックします。

CLI を介したログの即時ロールオーバー

rollovernow コマンドを使用して、一度にすべてのログ ファイルをロールオーバーするか、リストから特定のログ ファイルを選択します。

グラフィカル ユーザ インターフェイスでの最近のログ エントリの表示

GUI を介してログ ファイルを表示するには、[Log Subscriptions] ページのテーブルの [Log Files] カラムにあるログ サブスクリプションをクリックします。ログ サブスクリプションへのリンクをクリックすると、パスワードを入力するプロンプトが表示されます。次に、そのサブスクリプションのログ ファイルのリストが表示されます。いずれかのログ ファイルをクリックして、ブラウザに表示したり、ディスクに保存したりすることができます。グラフィカル ユーザ インターフェイスを介してログを表示するには、管理インターフェイスで FTP サービスをイネーブルにしておく必要があります。

図 14-3 グラフィカル ユーザ インターフェイスでのログ ファイルの表示

最新のログ エントリの表示（tail コマンド）

AsyncOS では、アプライアンスに設定されたログの最新エントリを表示する tail コマンドをサポートしています。 tail コマンドを実行し、現在設定されているログのうち、表示するログの番号を選択します。Ctrl を押した状態で C を押して、 tail コマンドを終了します。

（注） コンフィギュレーション履歴ログは、tail コマンドを使用して表示することができません。FTP または SCP を使用する必要があります。

例

次に、 tail コマンドを使用してシステム ログを表示する例を示します tail コマンドは、次の例のように、表示するログの名前をパラメータとして指定することもできます。
tail system_logs

.

ホスト キーの設定

logconfig -> hostkeyconfig サブコマンドを使用して、Cisco IronPort アプライアンスから他のサーバにログをプッシュするときに、SSH で使用するホスト キーを管理します。SSH サーバには、秘密キーと公開キーの 2 つのホスト キーが必要です。秘密ホスト キーは SSH サーバにあり、リモート マシンから読み取ることはできません。公開ホスト キーは、SSH サーバと対話する必要のある任意のクライアント マシンに配信されます。

（注） ユーザ キーを管理する方法については、『Cisco IronPort AsyncOS for Email Security Daily Management Guide』の「Managing Secure Shell (SSH) Keys」を参照してください。

hostkeyconfig サブコマンドによって、次の機能が実行されます。

次の例では、コマンドによってホスト キーがスキャンされ、ホストに追加されます。