ひとことで言うと
パソコンやサーバーが残す、いつ・だれが・何をしたかの記録
EXAMPLE
たとえば
事故の原因を調べるとき、ログが残っていないと「どこから入られたか」が分からないことがあります。保存期間を決めておきます。
01ログでできること・できないこと
ログは、パソコンやサーバー、ネットワーク機器が残す「いつ・だれが・何をしたか」の記録です。ログイン、ファイルの操作、通信の相手、設定の変更などが記録されます。
ログが役に立つのは、主に事故のあとです。警察庁は、ランサムウェアの被害にあったとき、被害の実態をつかみ再発を防ぐために侵入経路や侵害の範囲を調べる必要があり、ネットワーク機器や端末のログは調査の重要な手がかりになると説明しています。Webサイトの改ざんでも、調査には改ざんされたサーバーなど各種機器のログが必要になるとしています。
一方で、ログを取っているだけでは攻撃は止まりません。誰も見ていなければ、異常があっても気づけません。また、JPCERT/CCは、侵入型ランサムウェアでは調査に必要なログ自体が暗号化されて使えなくなるケースがあるとしています。
02どんな会社・人に必要か
規模に関係なく、パソコンやサーバーを仕事に使う会社なら必要です。特に次のものは、事故のときに真っ先に見られます。
| 機器 | 見たいこと |
|---|---|
| VPN機器・ファイアウォール | 外からの接続、認証の成功と失敗 |
| サーバー（ファイル・Web） | ログイン、ファイルの操作、管理画面へのアクセス |
| パソコン | ログイン、ソフトの起動、ウイルス対策ソフトの検知 |
| クラウドサービス | ログインした場所、共有設定の変更 |
JPCERT/CCは、侵入経路を調べるとき、SSL-VPN製品などリモートアクセスの認証ログを調べることを例に挙げています。
03導入するときに見ること
- ログを取る設定になっているか。何を記録し、どれだけの量を残せるかは、機器の設定によって違います。
- 保存期間を決める。気づくまでに時間がかかる攻撃もあるため、短すぎると調べられません。
- 別の場所に保管する。警察庁は、ログはバックアップデータと同様に適切に保管するよう勧めています。攻撃者に消されたり暗号化されたりしないよう、機器の外に送って残します。
- 時刻を合わせる。機器ごとに時計がずれていると、出来事の順番を追えません。
集めたログを専門家に見張ってもらう方法もあります。ログを集めて分析するしくみがSIEM、見張りを担う窓口がSOCです。依頼先はSOC・MDR・SIEMから探せます。事故のあとの調べ方はフォレンジックのページで説明しています。
ARTICLES
