不正ログインは、社内で最も気づかれにくい侵入の形です。攻撃者が正しいIDとパスワードを手に入れて入ってきた場合、システムから見れば正当な利用者のログインであり、エラーも警告も出ません。この記事では、不正ログインの確認方法として、どこに兆候が出るのか、何をどの順で見るのか、そして確認を継続的な運用にする方法を整理します。侵入の手口そのものについては不正アクセスの基本で解説しています。
なぜ不正ログインは気づかれないのか
不正ログインが見つけにくい理由は、技術的な巧妙さではなく、それが正規の手続きを通っている点にあります。盗まれたIDとパスワードで入られた場合、認証は「成功」として記録されます。ログを見ても、通常の業務アクセスと形式上の違いがありません。
また、ウイルスファイルの実行を伴わない侵入では、ウイルス対策ソフトの検知対象にもなりません。ファイルを置かず、既にある機能をそのまま使って情報を閲覧・持ち出す動きは、マルウェアの痕跡を探す仕組みでは捉えられないことがあります。パスワードが漏れた場合に何が起こりうるかはパスワード漏洩の影響で扱っています。
兆候として現れうるもの
見分けがつきにくいとはいえ、痕跡がまったく残らないわけではありません。次のような点は、確認する価値のある兆候です。
- 普段使われない時間帯や場所からのログイン — 深夜や休日、業務で使わない地域からのアクセス
- 同一アカウントの同時ログイン — 同じIDが別の端末から並行して使われている状態
- 失敗が続いた後の成功 — 認証失敗が連続したうえで成功しているパターン
- 退職者や休職者のアカウントの利用 — 使われるはずのないアカウントに動きがある
- 管理者権限の操作が普段と違う — 権限付与や設定変更が通常の運用時間外に行われている
- 設定やメール転送ルールが勝手に変わっている — 情報を継続的に外へ流す目的で変更されることがあります
- 利用者が身に覚えのないログイン通知を受け取っている — 本人が心当たりのない通知は重要な手がかりです
いずれも単独では断定できませんが、複数が重なる場合は詳しく見る対象になります。特に管理者権限のアカウントについては権限管理の考え方も合わせて確認してください。
確認するときに見る観点
不正アクセスの確認で押さえる観点は、いつ・誰が・どこから・何に対して操作し、それが成功したのか失敗したのか、という5点です。使っているOSやサービスによって画面名や操作は異なるため、どこを開くかではなく、この5点が読み取れるかどうかを基準にしてください。
現実には、すべてのログを毎回見ることはできません。優先順位をつけて、管理者権限を持つアカウントと社外からのアクセスに絞って見るのが実務的です。この2つは、侵入された場合の影響が大きく、かつ件数が限られているため確認が続けやすい範囲です。棚卸しの対象となるアカウントの整理はID棚卸しの進め方を参照してください。なお、そもそも何を記録として残すか、どの期間保存するかというログ設計はアクセスログ監査の担当範囲です。
確認を仕組みにする
一度確認しただけでは意味がありません。誰がいつ確認するかを決め、確認した事実を記録として残すところまでを運用に組み込みます。担当者と頻度が決まっていないと、確認は忙しい時期に真っ先に止まります。
あわせて用意しておきたいのが、利用者からの報告を受け付ける窓口です。「身に覚えのないログイン通知が来た」という報告は、管理者側のログ確認より早く異常を捉えることがあります。報告先をどこにするか、報告があったときに誰が何を確認するかを事前に決めておけば、報告が放置されずに済みます。
見つけた場合にまず何をするか
兆候が見つかった段階では、まず該当アカウントのアクセスを止め、パスワードと認証情報を変更します。そのうえで、そのアカウントで何が閲覧・操作できたのかという影響範囲の確認に進みます。判断に迷う場合も、アクセスを止める判断は先に行って構いません。
漏洩が確認された後の初動対応の詳細な手順はパスワード漏洩の影響と対応で扱っています。
確認だけでは足りないこと
気づく仕組みは、被害を小さくするためのものです。確認の頻度を上げても、侵入そのものが減るわけではありません。パスワードだけで入れる入口が残っている限り、同じことは繰り返されます。
そのため、確認の運用と並行して、入口を塞ぐ対策を進める必要があります。多要素認証の導入はWindows OSログインの2要素認証、対策全体の組み立ては不正アクセス対策で整理しています。検知する仕組みと事前に弱点を潰す診断の役割の違いについては検知システムと予防診断の違いを参照してください。
まずは自社の状況を確認する
ログイン状況の確認が運用として回っているか、入口側の対策がどこまで進んでいるかは、組織ごとに状況が異なります。applippliの無料診断では、約3分の質問に回答するだけで、自社の認証・アカウント管理の対応状況を確認できます。