請求金額の部門別レポート

AWSなどのクラウドサービスのように、実際のサービスでコンピュータリソースを使用した時間や、ストレージなどの使用量に応じた従量課金のサービスが多く普及しています。
従量課金の場合、部門や業務によって、コンピュータの使用量が違うため、均等割りで社内付け替えが行われると不公平になってしまいます。つまり、先月は他部門が使用したにもかかわらず、その業務に関係が無くても費用負担が増してしまうからです。

そうなると、誰が何のためにクラウドサービスをどれだけ利用したかを把握し、そのリソースの使用量に応じて、請求額を按分し、社内付け替えができる仕組みが求められます。
按分した請求額には、当然その使用目的などにより政策的に調整が入る場合がありますが、何を元に判断したかを厳格にするためにも、社内で割り振る請求額は、使用履歴などのログを元に金額を算出すべきです。

AWSの場合であれば、AWS Billing and Cost Managementのレポートでこうした情報を得ることができます。

　① AWS Billing 連携機能 構成

AWSの請求情報とコスト管理を行うサービスであるAWS BillingのログをLogstorageと連携して活用することで、AWSの請求を分析し確認できます。

□ AWS Billingからのデータ収集イメージ

　② 部門担当別費用按分の例

たとえば、AWSの請求金額を、部門や管理者、システム別に使用量に応じで一覧表にすることができます。 AWSのタグを、Logstorageのログフォーマット定義で使用するタグに紐づけることで、分かり易いレポートの作成が可能です。

□ 部署・管理者・システム名別費用のイメージ

　③ AWSタグの設定

AWSでは、ユーザー定義のキーと値で構成されるラベルの役割を果たすタグをリソースにメタデータとして割り当てることができます。
タグは、リソースの管理、識別、整理、検索、フィルタリングに役立ち、リソースを目的、所有者、環境その他の基準別に分類することができます。

□ Amason EC2作成時のタグの入力イメージ

---

□ Amason EC2、EBSでのタグの反映イメージ

　④ タグを利用したレポート

AWSのBillingレポートに出力するタグを有効にすることでレポートを見やすい形で分類や集計することが可能になります。
AWSのタグは、Logstorageのタグにも紐づきます。

□ AWS Billingのレポートへのタグの適用イメージ

　⑤ レポートサンプル

AWS Billingのデータをログとして、Logstorageに取り込むことにより、AWSサービスの利用状況の把握がグラフ等で分かり易くレポートできます。
すでに利用していないサービスで料金が発生していないかの確認や、通常より比率が多いサービスの把握などができます。

□ AWSサービス別グラフ

---

□ 月別のAWSのコストグラフ

　Configスナップショットレポート

アマゾン ウェブ サービス（AWS）の構成変更の通知、構成履歴、AWSリソースのインベントリー情報を提供するサービスサービスであるAWS Configから、Logstorageが構成情報などをログとして取り込み、その設定のスナップショットをレポート出力することができます。

AWS Configのログを分析することにより、予期しないリソース変更があった場合の確認や、AWS上に展開している各リソースの相関関係などの把握が可能になります。
また、AWS Configの最新スナップショットを取得し、Amazon Elastic Compute Cloud (Amazon EC2)の仮想ネットワークVirtual Private Cloud (VPC) 内のリソース構成図をレポート化することが可能なため、構成情報の変化などが適宜分かり易く記録できます。

　① AWS Configスナップショットレポート

AWS Configのログより得た情報に従い、VPC内のリソース構成情報のスナップショットがレポート出力できるため、AWSのVPC内のリソース配置状況をログから視覚化することができます。
どのマシンがどのVPC内にあって、どのネットワークに繋がっているかなど、構成図によってビジュアルに確認できるためたいへん便利です。

□ AWS Config snapshot report

　② AWS Configでできること

AWS Configは、AWSリソースの設定を評価、監査、審査できるサービスで、AWSリソースの設定を継続的にモニタリングし、記録しているので、それにより変更管理、トラブルシューティング、監査やセキュリティ・インシデントの分析等に活用できます。

◆ 記録されるログの例


□ AWS Configのユースケース

　③ AWS Configのイベント通知でログ取得

AWS Configのログ収集方法の一つとして、AWS Configのイベント通知を利用するやり方があります。
AWS Configに対して、リソース変更発生時にその変更内容をあらかじめ Amazon SNSトピックにストリーミングするように 設定しておきます。
Logstorageは、メッセージキューイングサービスであるAmazon Simple Queue Service (SQS)を介して、AWS Config用CollectorによってSQSメッセージを取得し、AWS Configによって通知された情報をログとして取り込みます。

□ AWS Configのイベント通知を利用する場合のイメージ

　④ Amazon S3のイベント通知でログ取得

もう一つのAWS Configのログ収集方法のとして、オブジェクトストレージサービスであるAmazon Simple Storage Service (Amazon S3)のイベント通知を利用するやり方があります。
AWS Configが、記録データをAmason S3のBucketに、.gz形式のファイルとしてデータ保存すると、Logstorageは、Amazon SQSを介して、SQSメッツセージを取得してファイルが保存されたことと知り、そのデータファイルをAWS Config用Collectorでログとして取り込みます。

□ Amazon S3のイベント通知を利用する場合のイメージ

　⑤ レポートに出力可能なオブジェクト

AWS Configスナップショットレポートの種類としては、PDF、HTML、CSVの形式で出力可能ですが、そのレポートに出力可能なオブジェクトとしては、次のようなオブジェクトがあります。

◆ AWS Configスナップショットレポートに出力可能なオブジェクト

　クラウドの操作ログ分析

一般的なパブリッククラウドで行う操作は、それぞれのクラウドサービス毎にログが収集されています。
それを見やすく一元的に集中管理するためには、Logstorageのような統合ログ管理システムに連携することがとても有効です。

下記に、各クラウドサービスで得られる操作ログの例を紹介します。

　① Azure Activity Log との連携

マイクロソフト社が提供するクラウドプラットフォームのMicrosoft Azure(アジュール)では、Azureアカウントの操作履歴を記録・出力するサービスのAzure Activity Logから、ログを参照できます。
Azureのユーザが、いつ、何をどのように操作したか等を確認する場合に有効ですが、その監査ログあ90日間のみの制限があり、それ以前のログが参照できません。
そのため、Logstorageでは、Azure Activity LogからJSON形式のログをConverterを介して変換して独自のログのデータベースへ取り込み、保管期限を延長して90日以前のログの集計や分先が可能になります。

□ 仮想マシン作成履歴

---

□ ログオン失敗履歴

　② AWS CloudTrail との連携

アマゾン ウェブ サービス（AWS）アカウントの APIコールを記録するサービスであるAWS CloudTrailの情報から、特定期間に操作したユーザを特定したり、どのAWSユーザが、いつ、何をどのように操作したかや、調査したい操作がどのIPアドレスから行われたものなのかなどを調べることができます。

◆ Logstorage AWS 対応 レポート例（一部）

---

□ AWS CloudTrail　レポート例

　③ Google Cloud Platform(GCP) との連携

Google社が提供しているクラウドコンピューティングサービスのGoogle Cloud Platform(GCP)の監査ログからも、いつ、誰が、どこから、何をどのように操作したかなど、特定の期間について調べたりできます。
GCP上に保管される期間が30日と短いため、Logstorageのようなログ管理システムに取り込み、かなり以前の情報であっても確認できるようにすると安心です。

□ GCP ユーザ操作履歴の例

---

□ GCP VMインスタンス操作履歴の例

　クラウドストレージのアクセス管理

パブリッククラウドのサービス提供会社はもちろん、LogstorageにはメジャーなクラウドストレージサービスであるBox（ボックス）についても連携機能があります。
クラウド上にあるオンラインストレージは、セキュリティ対策のためにも、使用者を限定して、不正なアクセスがないか常に監視が必要です。

厳密には区別しきれるものではありませんが、使用者側からの視点の操作ログに対して、クラウド上にあるファイルやデータベースなど、リソース側へのアクセスの視点で見るアクセスログがレポートできる仕組みがあることも必須条件であり、日々運用管理を効率的にするためには統合ログ管理システムの構築が有効となります。

　① Box との連携

Boxは、ファイル共有を中心としたオンラインストレージのクラウドサービスですが、Logstarageとの連携により、Box上のアクティビティログを可視化し分析する基盤を提供し、 監査したいアクティビティを定期的にレポーティングすることにより、ログのモニタリングにかかる運用負荷を軽減することができます。

Logstorageで提供されるレポートテンプレートを用いて、アクセス頻度の高いフォルダやファイルの一覧、オープンリンクやコラボレートの頻度が高いユーザーの一覧を確認できます。

レポート出力を定期的にスケジュールすることにより、不正と思われる行為を早期に発見し、通知し対処することが可能になります。

---

□ Boxのアクセス履歴の一覧の例

---

□ Boxのログイン成功集計グラフの例

---

□ Boxフォルダ・ファイル操作 日別集計レポートの例

　② AWSのアクセスログ管理

アマゾン ウェブ サービス（AWS）の 様々なコンポーネントからの情報でアクセスログが取得できます。

Amazon S3のストレージへのアクセスログはもちろん、RDSのリレーショナルデータベースや、変動するアプリケーショントラフィックの負荷をバランシング制御するElastic Load Balancing（ELB)、そしてCDN（コンテンツデリバリネットワーク）サービスであるAmazon CloudFrontのアクセスログを取得できます。

AWS CloudTrailからは、AWSサービスに対するアクセスログ、Amazon CloudWatch Logsからは、Amazon EC2インスタンス内のアクセスログも取得できます。
◆ AWSのアクセスログの取得元（一部）

□ Amazon RDS(Oracle) 検索イメージ

　③ Azure Storage のアクセスログ

Azure Storageのアクセスログから、例えば管理対象外のIPアドレスからアクセスが発生している疑いを調査するような場合、ファイルアクセスがある時間帯やファイルアクセスを特定して分析することができます。

□ Azure Storageのアクセス分析の例

　④ Google Cloud Platform(GCP) の監査ログ

Google Cloud Platform(GCP)のデータアクセス監査ログは、デフォルトは無効ですが、データを保持するGCP サービスについて、データの読み込みや書き込みがされた際に記録を残すことができます。

□ GCP ストレージ閲覧履歴の例

　グループウェアサービスのログ管理

クラウドの利用の目的に、Offie365などのメジャーなグループウェアが業務効率改善のために使用できるというケースが増えてきました。
グループウェアは、テレワークの時代、多くの人がいろいろな場所から使用するため、セキュリティリスクを軽減するためにも、操作ログやシステムログなど、様々なログを管理することが重要です。

　① Office 365 との連携

マイクロソフト社が提供するクラウドサービスであるOffice 365は、社内のOfficeソフトとしてもなじみがあるExchange、SharePoint、Teams、Excel、Word等が、クラウドによって、使用場所や、使用デバイスをあまり限定せず利用することが可能です。

Office 365アカウントの監査ログは、操作履歴をログとして記録しているので、いつ、誰が、どのようにOffie 365のどのサービスを利用したかを把握し、分析ることができます。
しかしながら、保存期間が90日なので、それ以前のログを参照するためにも、ログ管理システムにて長期保管できる仕組みを構築することが有効です。

◆ Office 365 ログ収集対象

---

□ Office 365 ログイン一覧の例  Office 365へログインしている人を一覧で確認できます。

---

□ MessageTraceの例  いつ、誰が、どこのアドレスにメールを送信したかを件名も一緒に確認することができます。

---

□ MessageTraceDetailの例  ユーザのメール配送状況の詳細を時系列で確認することができます。

---

□ Exchangeメールサイズ集計（時間別）の例  時間別のメールサイズを可視化、表やグラフ（棒グラフ、折れ線グラフ等）で出力できます。

---

□ Azure AD ユーザ管理の例  Azure Active Directoryのユーザ管理履歴を抽出し、何を操作したかを確認できます。

---

□ Exchange メールボックスの例  Exchangeユーザがメールを作成した履歴を抽出し、誰がいつ使ったかを確認できます。

---

□ SharePoint ファイルとフォルダの例  SharePointユーザの誰がどんなファイルにどんな操作をしたか確認できます。

---

□ Teams チームの作成例  Teamsの管理履歴を抽出し、チームの作成状況が確認できます。

---

　② G Suiteとの連携

Google社がサブスクリプション形式で提供しているグループウェアサービスであるG Suiteは、メールや、ドキュメント、カレンダーなどのサービスが、トータルに提供されています。

Gmailによるメールの送受信や、オンラインストレージでのデータの受け渡し、カレンダーによるスケジュール確認など、使用場所や、PC、スマートフォンなどの使用デバイスをあまり限定せず使いやすいので、会社としてその利用を認める企業も多くなってきました。

そうなると、セキュリティ上の心配もありますが、G Suiteの監査ログより、誰がいつ、どんな操作をしたかなどの履歴を調べることが可能になります。
ログの保管期間は180日なので、やはりLogstorageのような統合ログ管理システムに取り込んで、半年以上前の過去の事象でも、他のシステムのログと一緒に調査や分析ができるようにしておくことが有効な手段となります。

◆ G Suite ログ収集対象

---

□ G Suiteユーザのアクセス履歴の例  ドライブ上のフォルダやファイルへ誰が、いつ、どのような操作をしたのか確認できます。

---

□ G Suiteログインの成功、失敗のグラグの例  G Suiteの利用状況や不審なアクセスがないかを把握できます。

---

□ ユーザからアクセスされたリソースの例  外部のユーザからアクセスされたフォルダ、ファイルが確認できます。

---

□ アクセス頻度の高いフォルダ・ファイルの分析例  ドライブアクセス頻度が高いフォルダ・ファイルをグラフで確認できます。

---

□ 時間外アクセスユーザの分析例  G Suiteドライブへ時間外にファイルアクセスしているユーザを、グラフで確認できます。

---

　システムのログ管理

クラウドサービスを利用して、マシンやネットワークなどシステム側のログを分析することは、最適なパフォーマンスを適切な費用で安全に運用するために必要です。

下記に、各クラウドサービスで得られる代表的な例を紹介します。

　① Amazon CloudWatch Logs との連携

Amazon CloudWatch Logsは、Amazon EC2 インスタンス上のログや、ネットワーク上の通信ログを収集するサービスです。
Logstorageと連携することで、Windowsイベントログや Linux syslogの収集が可能になります。 また、 VPC内のネットワークインターフェイス間で行き来するIPトラフィックに関する情報をキャプチャできるようにする機能のVPC Flow Logsの収集も可能です。

◆ Amazon CloudWatch Logs 対応 レポート例（一部）

---

□ VPC Flow LogsのREJECTのレポート例

---

□ VPC Flow Logsの通信料のレポート例

---

□ Amazon EC2イベントログのsyslogのレポート例

　② Amazon CloudWatch Metrics との連携

Amazon CloudWatch Metricsは、AWSの各種リソースを監視するマネージドサービスであるAmazon CloudWatchの1機能で、例えば、EC2のCPU、ディスクIOといった性能情報を参照することができ、AWSの各リソース とアプリケーションのモニタリングが可能です。

◆ Amazon CloudWatch Metricsで記録されるデータの例

---

□ Amazon CloudWatch Metrics 集計イメージ 各EC2の時系列でのCPU使用率を可視化できます

　③ Azure Network Security Group(NSG) からのログ

Azure上の仮想ファイアウォールであるAzure ネットワーク セキュリティ グループは、送受信されるトラフィックを規則に基づいて評価し、送受信トラフィックを許可または拒否する設定をする事ができます。
例えば、MACアドレスやルール別にパケットフロー数を分析して、構築時に通信が通らないといった場合に、どのポリシールールで拒否されているかを確認することが可能になります。

□ Azure Network Security Group　ルール別フロー数の例