ログの取り方と見方。何を、どのくらい残すか

ログの取り方と見方の基本は、事故に気づくためと、後から調べるために要る記録を決めて残し、時刻をそろえ、改ざんされない場所に集め、見る担当と頻度を決めることです。ログは、残しているだけでは役に立ちません。事故が起きてから「その時期の記録が消えていた」「機器ごとに時刻がずれていて順番が分からない」とならないよう、事前に決めておきます。

ログは、何のために残すのですか

ログとは、システムや機器が、誰が、いつ、何をしたかを書き残す記録です。セキュリティの面では、いつもと違う動きに早く気づくためと、事故が起きたときに、何が起きたか、どこまで広がったかを後から調べるために使います。

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver 3.0」は、事故が起きたときの緊急対応の体制の整備の中で、原因を調べるために必要な、ログの保全や感染した端末の確保などの証拠の保全ができる体制をつくることを挙げています。

出典：サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省・IPA、2023年3月）

警察庁も、ランサムウェアに感染したときに、調べるために必要なログが失われるおそれがあるため、感染した機器の電源を切らないよう案内しています。ログは、事故の後の調べで手がかりになる記録です。

出典：ランサムウェア被害防止対策（警察庁）

どんなログを残せばよいですか

残しておきたいログは、ログインと認証、管理者の操作と設定の変更、ネットワークの出入り、端末の検知、クラウドの操作の5つです。

業務のシステムの中では、重要な情報を見た、書き換えた、書き出したといった操作の記録も役に立ちます。誰がいつ何をしたかを追える記録は監査証跡と呼ばれ、内部統制の点検でも確かめられます。

残すときに気をつけること

ログには、利用者のIDや接続元のアドレスなど、個人に関わる情報が含まれることがあります。パスワードやクレジットカードの番号などを、そのまま書き残さない作りにします。ログを見られる人も限ります。

なぜ、時刻をそろえるのですか

機器やサーバーの時刻がずれていると、複数のログを並べたときに、出来事の順番を正しく追えないためです。たとえば、VPN機器のログインと、サーバーでのファイルの操作が、どちらが先だったのかが分からなくなります。

すべての機器とサーバーの時刻を、同じ基準の時刻に自動で合わせる設定にします。あわせて、ログに記録される時刻の表し方（日本時間か、世界協定時か）をそろえておくと、比べるときに迷いません。

どのくらい残せばよいですか

保存の期間は、法令や契約、業界の基準で決まっている期間と、侵入に気づくまでにかかる時間の両方を考えて決めます。侵入は、気づくまでに時間がかかることがあるため、気づいた時点からさかのぼって調べられる期間を残しておくことが大切です。

決めるときに考えることは、次のとおりです。

• 取引先との契約や、業界の基準で、残す期間が決められていないか
• 事故に気づいたときに、どこまでさかのぼって調べたいか
• 保存にかかる費用と、すぐ検索できる場所に置く期間と、安く長く保管する場所に移す期間の分け方

ログを残す場所は、ログを生み出す機器とは別の場所にします。攻撃者は、侵入した跡を消すためにログを消したり書き換えたりすることがあるためです。書き換えられない設定の保管場所や、別の管理者が管理する場所に集めると安心です。

ログは、どう見ればよいですか

ログを見るには、集める、知らせる、定期的に確かめる、の3つの仕組みを組み合わせます。

集める

機器やサービスごとにばらばらに残っているログを、一か所に集めます。集めて分析し、怪しい動きを知らせる仕組みをSIEMと呼びます。中小企業では、使っているクラウドサービスやセキュリティの製品が持つ、ログを集めて知らせる機能から使い始めることもできます。

知らせる

すべてのログを人が読むのは現実的ではありません。管理者のアカウントの追加、短い時間でのログインの失敗の連続、海外からのログインなど、気づきたい出来事を決め、起きたら担当者に知らせる設定にします。

定期的に確かめる

知らせる設定に加えて、週に一度、月に一度など、決まった頻度でログを眺める担当を決めます。使っていないアカウントのログイン、権限の変更の一覧など、決まった項目を確かめる形にすると続けやすくなります。

監視を外部に頼む場合は、SOC（セキュリティの監視を行うチーム）のサービスを使う方法もあります。何を見てもらい、何が起きたら誰に連絡してもらうかを、契約の前に決めておきます。

中小企業の始め方

中小企業は、狙われやすい入り口と重要なシステムから、少しずつ始めると取り組みやすくなります。

1. 社外からつなぐ機器と、メールやファイル共有のクラウドサービスの、ログインの記録が残っているかを確かめる
2. 機器とサーバーの時刻を、同じ基準に合わせる
3. 管理者の操作と、外部への共有の記録を残す
4. 保存の期間と、ログを集める場所を決める
5. 知らせる出来事と、見る担当と頻度を決める

ログは、事故への備えの土台の一つです。事故が起きたときの動き方は、セキュリティ事故に備える、初動の手順書のつくり方で、内側も信用しすぎずに確かめる考え方は、ゼロトラストの考え方と、中小企業の始め方で説明しています。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、残すログの洗い出し、時刻と保存の設定の見直し、知らせる出来事と確かめ方づくりをご支援しています。「守りの継続」のパッケージでは、ログの確認やパッチの管理を営業時間内でお受けし、夜間・休日の監視や専門的な調査は外部の専門の会社と連携してお受けします。まずは無料のセキュリティの自己診断で、現状をおおまかに確かめることもできます。