AD監査の負荷をツールで大幅軽減！【2】リアルタイムのログ収集

Reading Time: 1 minutes

Active Directoryにて発生するイベントの中で、発生次第すぐに通知を受けたいイベントはありませんか？多くのIT担当者の方にとって、そのような要注意イベントは少なからず存在しているかと思います。そして発生次第すぐ、というのは、3分後、5分後のことをいっているのではなく、イベントが発生した「その瞬間」、という意味です。

多くのイベントログ収集ツールは、スケジュールベースで一定間隔ごとにドメインコントローラーからイベントを収集する仕組みを採用していますが、その場合、5分から30分ほどのインターバルのログ取得間隔が必要になります。つまり、たとえ特定のイベントに対する変更に関連付けたアラートを設定していたとしても、アラート通知は、実際のイベントが生成されてから最低でも5分以上かかる場合があり、時にその5分が致命的となる可能性があります。

ADAudit Plusはこの問題を解決するために、Windows Serverが採用している、Microsoft独自のアルゴリズムを使用した技術をベースに、リアルタイムのイベント収集・アラート通知を行うことが可能です。

この技術の仕組みとして、以前から使用されているAPI機能を活用した方法となりますが、各ドメインコントローラーのセキュリティログに「ステート変更」シグナル信号を送り続け、ADAudit Plusで定義している基準に一致したイベントが発生した場合に、プルサブスクリプションモデルを使用して、イベントを収集します。これにより、ADAudit Plusはリアルタイムでイベントの収集を行ったり、特定のイベントが発生した際には即座にアラート通知を行うこと可能となります。

この技術の最大のメリットとして、不要なログを取得しないためドメインコントローラーへの負荷軽減となり、エージェントも必要としないため構成変更を行なう必要もありません。また、ドメインコントローラーが停止した際に、復旧後にはその間に発生しているイベントもADAudit Plusサーバーが取得できるという点もメリットであります。

なおリアルタイム監査の有効化は、Webクライアント画面上の[ドメインコントローラー設定]から行うことが可能です。