ログ

Tanium Core Platformサーバのログは、Tanium Cloudデプロイメントには該当しません。

Tanium Cloudは、問題がユーザに表面化する前に問題が検知されるように設計された自己監視型のサービスです。詳細は、Tanium Client展開ガイド: Tanium Cloudのトラブルシューティングを参照してください。

概要

Tanium Core PlatformサーバおよびTanium Clientは事前に定義されたログをいくつか生成し、それらのログを利用してて、問題や予期しない動作を診断することができます。フィルタに基づいて、定義済みログから特定のコンテンツをコピーするカスタムログを設定することもできます(カスタムログを作成するを参照)。ログに記録する情報の詳細度は、ログレベルによって決まります。ユースケースに応じたログレベルのベストプラクティス値は以下のようになります。

  • 0：ログ無効。
  • 1：通常の(デフォルト)ログレベル。
  • 41: トラブルシューティング時のベストプラクティス値。
  • 91以上: 最も詳細なログレベル。このレベルではリソースの消費量が多くなるため、短時間の間のみ有効にします。

Tanium ServerまたはTanium Module ServerでのTanium Consoleからのログレベルの変更については、「Tanium Consoleユーザガイド: サーバのログレベルを設定する」を参照してください。WindowsではCLI、Tanium Core Platformの設定ではTanOSメニューを使用してWindows: CLI(「Tanium Appliance」を参照)を設定することで、プラットフォームサーバのログレベルを変更することもできます。カスタムログのログレベルを変更するには、カスタムログを作成するを参照してください。

Tanium Clientのログについては、「Tanium Client Managementユーザガイド: のトラブルシューティング。

Tanium Appliance

Tanium Applianceは、次のログ機能をサポートしています。

Windows

Tanium Core Platformのログを表示するには、プラットフォームサーバホストへのアクセスが必要です。次のログファイルの場所の、[Tanium Server]などの変数は、<Tanium Server> サーバのインストールディレクトリを表します。

アクションスケジューラログ」を参照してください。

  • コンテンツ: スケジュール済みアクションに関連するイベントと問題を記録します。たとえば、Tanium Serverがアクションを展開した、または展開しなかった理由に関する情報が記録されます。ログレベルを1 (デフォルト)または41に設定した場合は、エラー(アクション)の展開失敗など)が発生した場合にのみログが生成されます 。スケジュール済みアクションの処理の成功の詳細も記録するには、ログ レベルを91に設定します。
  • 場所とファイル名：<Tanium Server>\Logs\action-scheduler<#>.txt

認証ログ

  • コンテンツ： すべての認証方法を通じてTanium ConsoleまたはAPIへのユーザアクセスを記録します。
  • 場所とファイル名：<Tanium Server>\Logs\auth<#>.txt

データベースアップグレードのログ

  • コンテンツ: Tanium Core Platformのアップグレード時にTanium ServerインストーラによってTaniumデータベーススキーマに実行されたアクションを記録します。
  • 場所とファイル名：<Tanium Server>\Logs\database-upgrade<#>.txt

HTTP接続のログ

HTTP接続ログは、Tanium Core Platform 7.3以降で入手できます。

  • コンテンツ： Tanium Serverへの接続の試行を記録します。たとえば、Tanium ClientまたはZone Serverによる登録の試行を記録するログです。
  • 場所とファイル名：<Tanium Server>\Logs\http-access<#>.txt

インストールログ

  • コンテンツ： Tanium Core Platformサーバのインストーラがインストールおよびアップグレード時に実行するアクションを記録します。インストールで問題が発生した場合、ログを調べて、正常に完了したアクションと問題が発生したアクションを確認します｡ インストーラを実行するたびに、ファイルをロールオーバーする代わりに、ファイルの最後にその実行分のアクションを追加します。
  • 場所とファイル名：
    • Tanium Server：<Tanium Server>\Install.txt
    • Tanium Module Server：<Module Server>\Install.txt
    • Tanium Zone Server：<Zone Server>\Install.txt

LDAPのログ

  • コンテンツ： Tanium ServerとLDAPサーバ間のやり取りにおけるLDAP同期および認証イベントを記録します。
  • 場所とファイル名：<Tanium Server>\Logs\ldap<#>.txt

モジュールプラグイン履歴ログ

モジュールプラグイン履歴ログは、Tanium Core Platform 7.3以降で入手できます。

  • コンテンツ： プラグインの実行を記録します。プラグインは、Tanium Core Platformのコンポーネントまたはソリューションモジュールの拡張機能です。プラグイン操作は通常、ユーザに対して透過的です。しかしながら、予期しない動作のトラブルシューティング時は、Taniumサポートからお客様にプラグインの詳細を確認するよう求められることがあります([email protected])にお問い合わせください)。
  • 場所とファイル名：
    • Tanium Server：<Tanium Server>\Logs\module-history<#>.txt
    • Tanium Module Server：<Module Server>\Logs\module-history<#>.txt

パッケージキャッシュクリーナーログ

  • コンテンツ： パッケージの消失、ファイルの有効期限切れ、あるいはサーバによるファイルの更新が原因で、Tanium Serverがチャンクキャッシュから削除したパッケージファイルの記録です。
  • 場所とファイル名：<Tanium Server>\Logs\package-cleaner<#>.txt

PKIのログ

PKIログはTanium Core Platform 7.4以降で入手できます。

  • コンテンツ： Tanium Core Platformコンポーネントが相互にアイデンティティを証明できる場合、デジタルキーの使用に関連するイベントを記録します。ログは、Tanium Server、Zone Server、Zone Server Hub間の信頼性の承認と否認に関連するイベントも記録します。
  • 場所とファイル名：
    • Tanium Server：<Tanium Server>\Logs\pki<#>.txt
    • Tanium Module Server：<Module Server>\Logs\pki<#>.txt
    • Tanium Zone Server：<Zone Server>\Logs\pki<#>.txt
    • Tanium Zone Server Hub (当該ハブがTanium Server上にない場合)： <Zone_Server_Hub_installation_folder>\Logs\pki<#>.txt

RBACのログ

  • コンテンツ： Tanium RBACに関連するイベントを記録します。たとえば、Tanium Serverがリソースに対するユーザアクセスを拒否する場合、ログはユーザロールにおいてどの必須アクセス権限が不足しているかを示します。
  • 場所とファイル名：<Tanium Server>\Logs\rbac<#>.txt

サーバのログ

  • コンテンツ：これらは個々のTanium Core Platformサーバのメインログであり、他のログタイプがキャプチャしないすべてのイベントを記録します。
  • 場所とファイル名：
    • Tanium Server：<Tanium Server>\Logs\log<#>.txt
    • Tanium Module Server：<Module Server>\Logs\log<#>.txt
    • Tanium Zone Server：<Zone Server>\Logs\log<#>.txt

Tanium Data Serviceのログ

  • コンテンツ: 自動収集に登録されているセンサーの結果の収集に関連する動作を記録します。Tanium ServerがQuestionを発行して、センサー結果を収集するたびに、ログには、発行日時とQuestion ID (Harvesting qid)、およびQuestion内の各センサーに関する情報を示すエントリが1つ生成されます。
  • 場所とファイル名：<Module Server>\services\tanium-data-files\tanium-data.log<#>.txt

TDownloaderのログを参照してください。

  • コンテンツ： TDownloaderサービスがTaniumなどのインターネット上の場所からファイルをダウンロードした時にTDownloaderサービスが実行するアクションの履歴を記録します。プロキシサーバ接続が発生した場合は､そのステータスイベントがログに含まれます。Taniumコンテンツパックやソリューションモジュールのインポート､あるいはパッケージファイルに対する更新のダウンロードに関するトラブルシューティングが必要な場合は、TDownloaderのログが役立つことがあります。
  • 場所とファイル名：
    • Tanium Server：<Tanium Server>\TDL_Logs\log<#>.txt
    • Tanium Module Server：<Module Server>\TDL_Logs\log<#>.txt

ログのロールオーバー

新しいログ用の空き領域を確保するため、Tanium Core Platformサーバは、最大ログサイズ(10 MB)および最大ログ数を超過すると既存のログをロールオーバーして圧縮します。ログファイルの最大数はログの種類と形式によって異なります。デフォルトでは、各種カスタムログは最大10個のプレーンテキストログと10個のZIPログで構成されます。

 表1: ログファイル数
ログファイル名 プレーンテキスト 郵便番号
action-scheduler<#>.txt 10 10
authlog<#>.txt 10 10
database-upgrade<#>.txt 10 10
download-catalog-cleaner<#>.txt 10 10
http-access<#>.txt 2 3
ldap<#>.txt 10 10
log<#>.txt (個々のTanium Core Platformサーバのメインサーバログ) 10 10
log<#>.txt (TDownloaderログ) 10 0
module-history<#>.txt 2 3
package-cleaner<#>.txt 10 10
pki<#>.txt 10 10
rbac<#>.txt 10 10

ロールオーバープロセスは次のようになります。<log_type#>.txtはログファイル名 (例：log0.txt)：

プレーンテキストログ

最初のログファイル<log_type>0.txtのサイズが10 MBに達すると、名前が<log_type>1.txtに変更され、新しい<log_type>0.txtが作成されます。<log_type>0.txtが再び10 MBに達すると、<log_type>1.txtの名前は<log_type>2.txtに変更され、<log_type>0.txtの名前も<log_type>1.txtに変更されて、<log_type>0.txtが再作成されます。<log_type>0.txtが10 MBに達するたびにログを循環させるこのプロセスは、プレーンテキストのログ数が最大数になるまで繰り返されます。たとえば、個々のTanium Core Platformサーバログには(log0.txtからlog9.txtまで)最大10個のプレーンテキストログがあります。

ZIPログ

最大数のプレーンテキストログが記録されると、最も古いログは圧縮されます。たとえば、log9.txtはlog10.zipとして保存されます。<log_type>0.txtが再び10 MBに達すると、最初のZIPログのファイル名は増分されます (例えば、log10.zipはlog11.zip)、最も古いプレーンテキストのログは再び圧縮されて、最初のZIPログに取って代わります。ZIPファイルのロールオーバープロセスはZIPファイルが最大数になるまで継続します。たとえば、個々のTanium Core Platformサーバログには(log10.zipからlog19.zipまで)最大10個のZIPファイルがあります。その後<log_type>0.txtが再び10 MBに達すると、最初のZIPログが再作成されますが(log10.zipなど)。しかし、最も古いZIPログ(log19.zipなど)は名前が変更されず、2番目に古いZIPファイルがその最も古いファイルに取って代わって(例えばlog18.zipが新しいlog19.zipになる)、実質的に廃棄されます。

カスタムログを作成する

トラブルシューティングで、事前に定義されたTaniumログ内の特定の情報のみを参照したい場合は、正規表現に基づいてログをフィルタリングし、一致するコンテンツをカスタムログにコピーするようTanium Core PlatformサーバまたはTanium Clientを設定することができます。カスタムログは、事前に定義されたログに対するログレベルを高く設定していて、ロールオーバーが早すぎた場合など、特定の問題を簡単に見つけることができないほど多くの情報が記録されてしまう場合に特に有用です。カスタムログは必要に応じていくつでも作成することができ、それぞれに異なるフィルタを指定することができます。新しいログが設定されると、プラットフォームサーバまたはクライアントは、事前定義のログに正規表現に一致するイベントが記録されると直ちにカスタムログファイルを作成します。以降、フィルタに一致するイベントが事前定義のログに記録されるたびに、サーバまたはクライアントはそのレコードをカスタムログにコピーします。

ログのフィルタリングは、サーバまたはクライアントで大量のリソースを消費する場合があります。特にログレベルを高く設定した場合、その状況が起こります。このため、トラブルシューティングセッションが終了したら、カスタムログは削除するのがベストプラクティスです。詳細は、表2のログレベルの設定を参照してください。

次の手順では、TanOSコンソール(Appliance)、またはWindowsのTanium Clientまたはプラットフォームサーバで表2に示すCLIコマンド実行可能ファイルとオプションを使用してカスタムログを作成する方法を説明しています。

 表2: カスタムログ用のCLIコマンド実行可能ファイルとオプション
実行可能ファイル/オプション 説明
<executable> Tanium ClientおよびTanium Core Platformサーバは、CLIコマンドの実行に以下の実行可能ファイルを使用します。実行可能ファイルは、サーバまたはクライアントのインストールディレクトリにあります。
  • Tanium Server TaniumReceiver
  • Module Server：TaniumModuleServer
  • Zone ServerまたはZone Server Hub TaniumZoneServer
  • Tanium Client: TaniumClient
<log prefix> ログファイルのプレフィックス。サーバまたはクライアントは、ログの生成時に自動的にプレフィックスに数字を追加し、サフィックス(.txt)を追加します。例えば、カスタムクライアントログのプレフィックスとしてCompletedRegistrationsと入力した場合、そのログに対してクライアントが生成する最初のファイルはCompletedRegistrations0.txtになります。
<filter regex> 事前定義のログのフィルタリングに使用する正規表現。サーバまたはクライアントは、フィルタに一致するログエントリをカスタムログにコピーします。

フィルタはログメッセージにのみ適用され、スレッド名、スレッドID、タイムスタンプには適用されません。

以下は、Tanium Serverログに対して有用なフィルタ表現の例です。

  • .*Begin MiniDumper.*では、アプリケーションのクラッシュに関するメッセージが記録されます。

  • .*Failing to sync sensors.*では、センサーの同期失敗が記録されます。
  • .*msg=NoMaxAgeFound.*では、Tanium Serverが削除済みセンサーを使用するQuestionを発行したインスタンスが記録されます。
  • .*Client Certificate auth.*では、Tanium Client証明書に関連する認証メッセージが記録されます。これは、スマートカード(CAC)の認証問題のトラブルシューティングの際に有用です。スマートカード認証をトラブルシューティングするを参照してください。

以下は、Tanium ServerまたはZone Serverのログに対して有用なフィルタ表現の例です。

  • .*Begin registration.*では、登録が試みられているTanium Clientが記録されます。
  • .*Registration complete.*では、登録に成功したクライアントが記録されます。
<logging level>

カスタムログのログレベル。詳細は、概要を参照してください。

ログレベルが高いほど、サーバまたはクライアントのリソース消費量は多くなります。カスタムログによってログレベルが異なる場合、サーバまたはクライアントは、カスタムログに設定されているうちの最も高いログレベルですべてのログを生成します。つまり、フィルタ一致検索では、どのログメッセージにも最も高く設定されているレベルが適用されることになります。ただし、この場合も、各ログファイルには、引き続きそのログに対して設定されているレベルに対応する詳細レベルのメッセージのみが含まれます。例えば、Tanium Serverの定義済みログのログレベルを1に設定し、カスタムログのログレベルを91に設定したと仮定します。この場合、サーバはすべてのログについてレベル91でログメッセージを生成し、カスタムログにはレベル91のメッセージが含まれますが、事前定義されたログにはレベル1のメッセージのみが含まれます。

Appliance: カスタムログを作成する

  1. tanadminロールのユーザとしてTanOSコンソールにサインインします。
  2. 2を入力し、[Tanium Operations (Taniumの操作)]メニューに移動します。閉じた表示画面
  3. 2を入力し、[Configuration Settings (設定)]メニューに移動します。閉じた表示画面
  4. 1を入力して[Tanium Server Config Settings (Tanium Serverの設定)] メニューに移動します。閉じた表示画面
  5. ログの各種設定(LogVerbosityLevel、LogPrefix、FilterRegex)ごと、Aを入力して設定を追加し、その値を入力します。表2では設定について説明しています。<log subject>では、ログの目的を示すテキスト文字列を指定します。
    • Logs.<log subject>.LogVerbosityLevel

    • Logs.<log subject>.LogPrefix

    • Logs.<log subject>.FilterRegex

    例えば、CAC認証のトラブルシューティング用のログであれば、次ように値を指定します。

    • Logs.CAC.LogVerbosityLevel = 41

    • Logs.CAC.LogPrefix = CACAuthLog

    • Logs.CAC.FilterRegex = .*Client Certificate auth.*

Applianceによってフィルタに一致するメッセージが生成された後にログを確認するには、以下の手順に従います。

  1. tanadminロールのユーザとしてTanOSコンソールにサインインします。
  2. Bを入力して、[Appliance Maintenance (アプライアンスのメンテナンス)] メニューに移動します。閉じた表示画面
  3. 5を入力して、[Shell Keys (シェルのキー)] メニューに移動します。閉じた表示画面
  4. O と入力し、読み取り専用 (RO) シェルを開くプロンプトでyesと入力します。閉じた表示画面

  5. Logsディレクトリに移動します。

    cd /opt/Tanium/TaniumServer/Logs

  6. ディレクトリの内容を一覧表示します。

    ls -la

    以下は、カスタムログCACAuthLogを含む出力の例です。

    total 1264
    drwxr-x---. 2 tanium tanium 4096 Nov 16 21:24 .
    drwxr-x---. 20 tanium tanium 4096 Nov 16 22:15 ..
    -rw-r-----. 1 tanium tanium 685 Nov 16 21:28 CACAuthLog0.txt
    -rw-r-----. 1 tanium tanium 2805 Oct 26 19:39 auth0.txt
    -rw-r-----. 1 tanium tanium 322930 Oct 26 18:41 database-upgrade0.txt
    -rw-r-----. 1 tanium tanium 857760 Nov 16 19:36 http-access0.txt
    -rw-r-----. 1 tanium tanium 31873 Nov 16 20:01 log0.txt
    -rw-r-----. 1 tanium tanium 27082 Nov 16 19:36 module-history0.txt
    -rw-r-----. 1 tanium tanium 17223 Nov 16 19:33 package-cleaner0.txt
    -rw-r-----. 1 tanium tanium 3300 Oct 26 18:46 pki0.txt

  7. more、cat、tailなどのUNIX標準のコマンドを使用して、カスタムログの内容を表示します。

    more CACAuthLog0.txt

  8. ログ内容の確認を終えたら、exitと入力してシェルを閉じます。

Windows：プラットフォームサーバまたはクライアント用のカスタムログを作成する

表2に示すコマンド実行可能ファイルとオプションを使用して次の手順を実行することで、WindowsホストにインストールされているTanium Core PlatformサーバまたはTanium Clientにカスタムログを作成することができます。

  1. プラットフォームサーバまたはTanium Clientのホストシステムにサインインします。

  2. コマンドプロンプトを開き、サーバまたはクライアントのインストールディレクトリに移動(cd)します。

  3. カスタムログの正規表現を設定します。

    <executable> config set Logs.<log prefix>.FilterRegex "<filter regex>"

  4. (任意) カスタムログのログレベルを設定します。この手順を省略すると、デフォルトレベルは1になります。

    <executable> config set Logs.<log prefix>.LogVerbosityLevel <logging level>

macOS: Tanium Clientでカスタムログを作成する

表2に示すコマンドオプションを使用して次の手順を実行することで、管理対象のMacOSエンドポイントにカスタムログを作成することができます。変数「 <Tanium Client> 」は、Tanium Clientのインストールディレクトリです。

  1. Tanium Clientをホストしているエンドポイントにサインインします。

  2. ターミナルプログラムを開きます。

  3. カスタムログの正規表現を設定します。

    sudo <Tanium Client>/TaniumClient config set Logs.<log prefix>.FilterRegex "<filter regex>"

  4. (任意) カスタムログのログレベルを設定します。この手順を省略すると、デフォルトレベルは1になります。

    sudo <Tanium Client>/TaniumClient config set Logs.<log prefix>.LogVerbosityLevel <logging level>

Linux、Solaris、AIX: Tanium Clientにカスタムログを作成する

表2に示すコマンドオプションを使用して次の手順を実行することで、管理対象のLinaxやSolaris、あるいはAIXエンドポイントにカスタムログを作成することができます。変数「 <Tanium Client> 」は、Tanium Clientのインストールディレクトリです。

  1. Tanium Clientをホストしているエンドポイントにサインインします。

  2. カスタムログの正規表現を設定します。

    sudo <Tanium Client>/TaniumClient config set Logs.<log prefix>.FilterRegex "<filter regex>"

  3. (任意) カスタムログのログレベルを設定します。この手順を省略すると、デフォルトレベルは1になります。

    sudo <Tanium Client>/TaniumClient config set Logs.<log prefix>.LogVerbosityLevel <logging level>