Unified CM へのアクセスを監視する方法

[Namiko Anzai]

はじめに

このドキュメントでは、Cisco Unified Communications Manager (Unified CM) への GUI および CLI 接続でのアクセスを監視する方法を紹介します。

監視方法

1. Unified CM への GUI 接続でのアクセス

＜ログ＞

Real-Time Monitoring Tool (RTMT) にて、Cisco Audit Log を取得します。

取得方法は2通りあります。

(1) RTMT > Trace & Log Central > Colect Files からダウンロードします。

(2) RTMT > Trace & Log Central > Audit Logs > Browse Audit Logs からブラウザ上で閲覧します。

（Download Audit Logs を選択し、ダウンロードすることもできます。）

＜出力結果＞

①ログイン成功時

UserID : ccmadministrator のユーザが、ClientAddress : 192.168.xxx.xxx の端末から Unified CM Admin GUI へのログインに成功しています。

16:39:12.631 |LogMessage UserID : ccmadministrator ClientAddress : 192.168.xxx.xxx Severity : 6 EventType : UserLogging ResourceAccessed: Cisco CallManager Administration EventStatus : Success CompulsoryEvent : No AuditCategory : AdministrativeEvent ComponentID : Cisco CallManager Administration CorrelationID : AuditDetails : Successfully Logged into Cisco Unified CM Admin Webpages App ID: Cisco Tomcat Cluster ID: Node ID: <ホスト名>

②ログイン失敗時

UserID : ccmadministrator のユーザが、ClientAddress : 192.168.xxx.xxx の端末から Unified CM Admin GUI へのログインに失敗しています。

16:39:01.812 |LogMessage UserID : ccmadministrator ClientAddress : 192.168.xxx.xxx Severity : 4 EventType : UserLogging ResourceAccessed: Cisco CallManager Administration EventStatus : Failure CompulsoryEvent : No AuditCategory : AdministrativeEvent ComponentID : Cisco CallManager Administration CorrelationID : AuditDetails : Failed to Log into Cisco Unified CM Admin Webpages App ID: Cisco Tomcat Cluster ID: Node ID: <ホスト名>

③ログアウト時

UserID : ccmadministrator のユーザが、ClientAddress : 192.168.xxx.xxx の端末から Unified CM Admin GUI からのログアウトに成功しています。

16:38:54.023 |LogMessage UserID : ccmadministrator ClientAddress : 192.168.xxx.xxx Severity : 6 EventType : UserLogging ResourceAccessed: CUCMAdmin EventStatus : Success CompulsoryEvent : No AuditCategory : CriticalEvent ComponentID : Cisco CUCM Administration CorrelationID : AuditDetails : Successfully Logged out Cisco Unified Administration Web Pages App ID: Cisco Tomcat Cluster ID: Node ID: <ホスト名>

2. Unified CM への CLI 接続でのアクセス

＜ログ＞

RTMT にて、Audit Logs に加えて Security Logs を取得します。

CLI 接続でのアクセス失敗時には、 Audit Logs には記載されず、 Security Logs に記載されます。

＜出力結果＞

①ログイン成功時

Username : admin のユーザが、ClientAddress : 192.168.xxx.xxx の端末から Unified CM CLI でのログインに成功しています。

(Audit Logs)

12:20:29.737 |LogMessage UserID : admin ClientAddress : 192.168.xxx.xxx Severity : 6 EventType : CLICommand ResourceAccessed: CUCMCLI EventStatus : Success CompulsoryEvent : No AuditCategory : AdministrativeEvent ComponentID : CLI CorrelationID : AuditDetails : Successfully Logged into CLI session App ID: Command Line Cluster ID: Node ID: <FQDN>

(Security Logs)

Jan 20 12:20:29 <ホスト名> authpriv 6 sudo: pam_unix(sudo:session): session opened for user root by admin(uid=0)

②ログイン失敗時

Username : admin のユーザが、間違ったパスワードにより、ClientAddress : 192.168.xxx.xxx の端末から Unified CM CLI でのログインに失敗しています。

(Audit Logs)

記載なし

(Security Logs)

Jan 20 12:19:28 <ホスト名> authpriv 5 sshd: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=192.168.xxx.xxx user=admin

③ログアウト時

Unified CM CLI を切断しています。

(Audit Logs)

12:20:43.508 |LogMessage UserID : admin ClientAddress : 192.168.xxx.xxx Severity : 6 EventType : CLICommand ResourceAccessed: CUCMCLI EventStatus : Success CompulsoryEvent : No AuditCategory : AdministrativeEvent ComponentID : CLI CorrelationID : AuditDetails : Successfully Logged out of CLI session App ID: Command Line Cluster ID: Node ID: <FQDN>

(Security Logs)

Jan 20 12:20:43 <ホスト名> authpriv 6 sshd: pam_unix(sshd:session): session closed for user admin