不正ログインを無料で確認する方法｜スキャン・チェックの手順と兆候

不正ログインは、社内で最も気づかれにくい侵入の形です。攻撃者が正しいIDとパスワードを手に入れて入ってきた場合、システムから見れば正当な利用者のログインであり、エラーも警告も出ません。この記事では、不正ログインを無料で確認する方法から順に、費用をかけずに今すぐできる3つの手順、環境別にどこを開けばよいか、そして確認を継続的な運用にするところまでを整理します。製品の導入や見積もりは必要ありません。侵入の手口そのものについては不正アクセスの基本で解説しています。

無料でできる不正ログインの確認方法

不正ログインの確認は、費用をかけずに始められます。専用の監視製品を導入しなくても、WindowsやMicrosoft 365に最初から備わっている機能で、いつ・どこから・誰がログインしたかは確認できます。まず無料でできる3つを、着手しやすい順に整理します。

ここは正確に書いておきます。3つ目の診断は、御社のログを読み取って侵入を検出するものではありません。パスワードの運用や認証の設定を答えていただき、不正ログインを受けやすい状態になっていないかを判定するものです。すでに侵入されたかどうかを調べたい場合は、1つ目のログ確認が答えになります。目的に応じて選んでください。

なお、無料の「不正ログインスキャン」を掲げる外部サービスに社内の認証情報を渡すのは避けてください。確認のために管理者権限やパスワードの入力を求めるものは、それ自体が侵入経路になり得ます。自社の管理画面の中で完結する方法から始めるのが安全です。

なぜ不正ログインは気づかれないのか

不正ログインが見つけにくい理由は、技術的な巧妙さではなく、それが正規の手続きを通っている点にあります。盗まれたIDとパスワードで入られた場合、認証は「成功」として記録されます。ログを見ても、通常の業務アクセスと形式上の違いがありません。

また、ウイルスファイルの実行を伴わない侵入では、ウイルス対策ソフトの検知対象にもなりません。ファイルを置かず、既にある機能をそのまま使って情報を閲覧・持ち出す動きは、マルウェアの痕跡を探す仕組みでは捉えられないことがあります。パスワードが漏れた場合に何が起こりうるかはパスワード漏洩の影響で扱っています。

兆候として現れうるもの

見分けがつきにくいとはいえ、痕跡がまったく残らないわけではありません。次のような点は、確認する価値のある兆候です。

• 普段使われない時間帯や場所からのログイン — 深夜や休日、業務で使わない地域からのアクセス
• 同一アカウントの同時ログイン — 同じIDが別の端末から並行して使われている状態
• 失敗が続いた後の成功 — 認証失敗が連続したうえで成功しているパターン
• 退職者や休職者のアカウントの利用 — 使われるはずのないアカウントに動きがある
• 管理者権限の操作が普段と違う — 権限付与や設定変更が通常の運用時間外に行われている
• 設定やメール転送ルールが勝手に変わっている — 情報を継続的に外へ流す目的で変更されることがあります
• 利用者が身に覚えのないログイン通知を受け取っている — 本人が心当たりのない通知は重要な手がかりです

いずれも単独では断定できませんが、複数が重なる場合は詳しく見る対象になります。特に管理者権限のアカウントについては権限管理の考え方も合わせて確認してください。

確認するときに見る観点

不正アクセスの確認で押さえる観点は、いつ・誰が・どこから・何に対して操作し、それが成功したのか失敗したのか、という5点です。使っているOSやサービスによって画面名や操作は異なるため、どこを開くかではなく、この5点が読み取れるかどうかを基準にしてください。

現実には、すべてのログを毎回見ることはできません。優先順位をつけて、管理者権限を持つアカウントと社外からのアクセスに絞って見るのが実務的です。この2つは、侵入された場合の影響が大きく、かつ件数が限られているため確認が続けやすい範囲です。棚卸しの対象となるアカウントの整理はID棚卸しの進め方を参照してください。なお、そもそも何を記録として残すか、どの期間保存するかというログ設計はアクセスログ監査の担当範囲です。

確認を仕組みにする

一度確認しただけでは意味がありません。誰がいつ確認するかを決め、確認した事実を記録として残すところまでを運用に組み込みます。担当者と頻度が決まっていないと、確認は忙しい時期に真っ先に止まります。

あわせて用意しておきたいのが、利用者からの報告を受け付ける窓口です。「身に覚えのないログイン通知が来た」という報告は、管理者側のログ確認より早く異常を捉えることがあります。報告先をどこにするか、報告があったときに誰が何を確認するかを事前に決めておけば、報告が放置されずに済みます。

見つけた場合にまず何をするか

兆候が見つかった段階では、まず該当アカウントのアクセスを止め、パスワードと認証情報を変更します。そのうえで、そのアカウントで何が閲覧・操作できたのかという影響範囲の確認に進みます。判断に迷う場合も、アクセスを止める判断は先に行って構いません。

漏洩が確認された後の初動対応の詳細な手順はパスワード漏洩の影響と対応で扱っています。

環境別に、どこを開いて確認するか

観点が分かっても、実際にどの画面を開けばよいのかが分からないと確認は始まりません。使っている環境ごとに、記録が残っている場所は決まっています。

調査を始める前に、記録が残っているかどうかを先に確かめてください。既定の設定では古い記録から上書きされていきますし、共有フォルダのアクセス履歴は設定していなければそもそも残りません。「調べたが何も出なかった」と「記録が残っていなかった」は別の話です。後者だった場合、まず取るべき対応は調査ではなく記録の設定です。

身に覚えのないログイン通知が来たとき

利用者から「ログインしたという通知が届いたが、自分ではない」という報告が上がることがあります。管理者がログを見るより早く異常を捉えられる経路なので、報告があった時点で次の順序で確認します。

1. その通知が本物かを確かめます。通知を装ってパスワードを入力させる手口があります。通知メールのリンクからではなく、いつも使っている方法でサービスを開いてください
2. 本物であれば、サインインの記録で日時・場所・端末を確認します。本人の別端末や、通信環境の切り替えによる表示の可能性も先に潰します
3. 本人の操作でないと判断できたら、先にパスワードを変更してサインインを止めます。調査は止めたあとで構いません
4. 同じパスワードを他でも使っていないかを確認します。1か所で漏れた認証情報は、他のサービスでそのまま試されます

通知が来ていないことは、何も起きていないことの証明にはなりません。通知は設定されている場合にのみ届きますし、攻撃者が通知の設定を変更していることもあります。報告がないからといって、定期的な確認を省略しないでください。

確認だけでは足りないこと

気づく仕組みは、被害を小さくするためのものです。確認の頻度を上げても、侵入そのものが減るわけではありません。パスワードだけで入れる入口が残っている限り、同じことは繰り返されます。

そのため、確認の運用と並行して、入口を塞ぐ対策を進める必要があります。多要素認証の導入はWindows OSログインの2要素認証、対策全体の組み立ては不正アクセス対策で整理しています。検知する仕組みと事前に弱点を潰す診断の役割の違いについては検知システムと予防診断の違いを参照してください。

まずは自社の状況を確認する

ログイン状況の確認が運用として回っているか、入口側の対策がどこまで進んでいるかは、組織ごとに状況が異なります。applippliの無料診断では、約3分の質問に回答するだけで、自社の認証・アカウント管理の対応状況を確認できます。