「ログは取っています」という企業は少なくありません。しかし、実際に不審なアクセスの疑いが出たときに、その記録から何が起きたかを追えるかというと、話は別です。ログは取得していることではなく事故のときに使えることに意味があります。この記事では、ログイン履歴や操作ログとして何を残すべきか、そして誰がいつそれを見るのかという運用面を整理します。アカウント管理そのものの考え方はアカウント管理システムとは？の記事で解説しています。
ログを取っているのに使えない、という状況はなぜ起きるのか
ログが役に立たなかった、という状況にはいくつかの典型的な原因があります。
- 必要な項目が入っていない — 記録は残っているものの、接続元やアカウント名が含まれておらず、誰の操作か判断できない
- 保存期間が短く、事故発覚時には消えている — 不審な兆候に気づくまでに時間がかかることは珍しくなく、その時点で古い記録が失われている
- 量が多すぎて誰も見ていない — すべてを出力しているために、異常が埋もれてしまう
- どこにあるか分からない — 機器やサービスごとに保管場所が異なり、必要なときに集められない
いずれも設定の不備というより、運用設計の欠落によって起きます。何のためにログを残すのかを決めていないと、こうした状態になりやすくなります。
事故のときに使えるログの条件
後から原因を追うために最低限そろえておきたい条件は、次のように整理できます。
- いつ・誰が・どこから・何に対しての操作なのかが分かる
- その操作が成功したのか失敗したのかが区別できる
- 記録された時刻が信頼できる(機器ごとに時刻がずれていると、前後関係を追えなくなります)
- 改変されにくい場所に保管されている(操作された機器の中だけに置かないという考え方です)
- 制度や契約で求められる期間、あるいは自社で必要と判断した一定期間、確実に残っている
保存期間については、業種や取引先との取り決めによって求められる長さが異なります。一律の正解を決めるより、自社が説明を求められる相手を想定して期間を定め、それを文書に残しておくほうが実務的です。取引先から対応状況を問われる場面についてはSCS評価制度の解説記事も参考になります。
特に残しておきたいイベント
すべての操作を同じ重みで扱う必要はありません。優先度が高いのは次のような記録です。
- ログインの成功と失敗 — 失敗の記録は、試行の痕跡を確認するうえで欠かせません
- 管理者権限での操作 — 影響範囲が大きく、後から確認される可能性も高い操作です(Windows Serverの特権アカウントも参照)
- アカウントの作成・権限変更・削除 — 権限がいつ誰の判断で変わったかを追える状態にしておきます
- 社外からのアクセス — 通常の社内利用と区別できるようにしておくと、確認の手がかりになります
権限そのものの設計は権限管理の考え方の記事で扱っています。ログと権限設計は対になるもので、権限が整理されていないほど、ログを見ても判断がつかなくなります。
共有アカウントがあるとログは機能しなくなる
ログ運用で見落とされやすいのが、アカウントの持ち方です。複数の担当者が同じIDを使っている場合、記録自体は残りますが、そこから誰が操作したのかを特定できません。追跡ができないため、事後の原因究明にも、記録が残るという抑止の効果にも結びつきません。
つまり、ログを活用する前提として、アカウントが個人に紐づいている必要があります。共有アカウントをどう解消していくかについては共有アカウントの見直しに関する記事で詳しく扱っています。ログの整備に着手する前に、こちらの状況を確認しておくことをおすすめします。
全部を人が見るのは無理という前提で運用する
ログを残しても、すべてを毎日確認するのは現実的ではありません。運用として続けるには、見る対象を絞る必要があります。たとえば管理者権限での操作、ログイン失敗が続いている記録、通常と違う時間帯や場所からのアクセスなど、確認する優先順位を先に決めておく方法です。
そして、誰がいつ確認するかを決め、確認した事実を記録に残します。担当と頻度が決まっていないログは、時間の経過とともに見られなくなります。アカウント一覧の定期的な見直しとあわせて運用サイクルに組み込む考え方は棚卸しの進め方の記事で紹介しています。
検知の仕組みとログの役割の違い
ログは事後に経緯を追うためのものであり、同時に異常に気づくための材料にもなります。ただし、ログを取得すれば侵入を防げるわけではありません。入口を塞ぐ対策とは役割が異なります。検知を担う仕組みと、事前に弱点を洗い出す考え方の違いについては不正アクセス検知と予防の違いを整理した記事で解説しています。ログの整備は、そのどちらを進める場合でも土台になる部分です。
まずは自社の状況を確認する
ログを何のために残し、誰が確認するのかは、組織の規模や利用しているシステムによって変わります。applippliの無料診断では、約3分の質問に回答するだけで、自社のID・アカウント管理やログ運用の対応状況を確認できます。手をつける順番を決める材料としてご利用ください。