イベントログ監視とログ監査ソフトウェアの基礎

イベントログは、セキュリティイベントを見つけてトラブルシューティングするのに役立ち、システムとデータを保護できます。ですが、ログの記録は読みづらいことがあり、ノイズが多すぎて、重要なイベントや潜在的な脅威を特定するために何ページものイベントをふるいにかける必要が出てくる場合もあります。

監査ログ、ログ分析、ログ監査ソフトウェアについてさらに学ぶために読み進めてください。

監査ログとは？

監査ログとは、IT システムにおける変更とイベントの記録（台帳）です。多くのアプリケーション、サービス、ネットワーク機器ではイベントログが生成されます。たとえば、Microsoft Windows のイベントログや Syslog などがあります。IT 管理者や担当者は監査ログを使って、不審な動きを見つけ、インシデントを調査します。

ログデータの形式は、情報源によって大きく異なる場合がありますが、ログは一般的に次の内容を記録することでイベントを捉えます。

• イベントが発生した時刻
• 何が起きたのか、どこで起きたのかに関する詳細
• どのユーザーがイベントを発生させたかに関する情報
• 「Audit Failure」「Request accepted」または「Access denied」などのメッセージを含め、システムの反応に関する詳細。

優れた監査証跡（audit trail）を維持することは非常に重要であるため、Center for Internet Security (CIS) はログ管理を、その重要なセキュリティ管理策の1つとして挙げています。さらに、多くの標準や規制（例：Payment Card Industry Data Security Standard (PCI DSS)、Health Insurance Portability and Accountability Act (HIPAA)、Sarbanes-Oxley (SOX) Act、Gramm-Leach-Bliley Act）では、コンプライアンスのために企業が監査ログを作成し保持することを求めており、特定のカテゴリのイベントをカバーすることを求める場合もあります。たとえば、PCI DSS ではカード会員データへのアクセスの監視が必要であり、各種のデータプライバシー法では、企業が顧客データをどのように収集・保存・共有するかが規制されています。

監査ログのモニタリングには何が含まれますか？

監査ログのモニタリングは通常、次の手順で構成されます：

1. ログ収集

イベントログのモニタリングにおける最初のステップは、次を判断することです：

• どのコンピューター、ソフトウェア、デバイス、その他のシステムからイベントを収集するか
• 各ログに使用する設定（例：既定のログサイズを使用するかどうか）
• データがどのように保存・収集されるか
• 正規化された時刻設定がどのように見えるべきか（ソースとタイムゾーン）

すべてのソースからすべての情報を収集するのは賢明に思えるかもしれませんが、大量のデータを保存して処理する必要があるため、この戦略はかなりコストがかかります。代わりに、組織は包括的なデータ収集への希望と、それに伴うコストのバランスを取りながら、どのソースからどのイベントを収集するかを慎重に判断するべきです。

2. ログの集約

ログデータの収集を開始したら、それを1つの場所に集約する必要があります。1つの有力な選択肢は、複数のソースから大量のデータを集約できるログ管理ソリューションを導入することです。

3. ログのパース

次に、集約されたログファイルをパースする必要があります。最も簡単な例は、つながったログ文字列を個別のフィールドに分割することです。

4. ログの正規化

異なるシステムでは、ログファイルに対して異なる形式が使われます。たとえば CEF などです。 JSON または CSV。ユーザーやシステムがデータを読み取り、分析できるようにするには、共通の形式に標準化する必要があります。

5. イベントの相関分析

イベントの相関関係（Event correlation）とは、異なるログに記録されたイベント同士の関連性を見つけ出すプロセスです。たとえば Active Directory security ログ、ファイアウォールログ、データベースログなどです。たとえばサーバー障害が発生した場合、サーバーログとアプリケーションログのイベントを突き合わせることで、どのアプリケーションが影響を受けたのかを特定したいことがあります。

最も一般的なイベントの相関関係では、ルールを用いて、イベントの種類、タイムスタンプ、IP アドレスなどの条件に基づいてログのエントリを照合します。イベントの相関関係は、統計分析に依存することがよくあります。

6. ログ分析

最後に、実際の脅威やその他の重要なイベントに焦点を当てるには、データを分析する必要があります。集中型のログ管理プラットフォームは、ログデータ分析のプロセスを自動化し、効率化できます。これらは可視化を用いてイベント間の類似点や相関関係を強調することで、問題の発見、根本原因の特定、適切な対応アクションの判断をより容易にします。

監査ログ監視のための SIEM ソリューション

セキュリティ情報・イベント管理（Security information and event management（SIEM））ソリューション 効率的で信頼性の高いログ監視を提供できます。 SIEM ソフトウェアは通常、複数のソースによって生成されたログデータを収集し、イベントを相関付けし、高度な脅威分析を行い、アラート（通知）機能も提供することで、IT チームが迅速に対応できるようにします。

ただし、SIEM のログ監視ツールにはいくつかの欠点もあります。特に、次のようなことがよくあります。

• 複雑で高コスト： ログ管理ソリューションと比べると、SIEM ツールは運用やセットアップがより複雑です。その結果、専任の——そして費用のかかる——人員が必要になる場合があります。
• 脆弱性を特定するために設計されていない： SIEM は進行中の脅威を検知するために作られていますが、攻撃面を減らすためのセキュリティギャップを見つけたり、どのデータが機密で保護が必要かを理解したりすることには対応できません。
• 誤検知（誤ったアラーム）が発生しやすい： SIEM ツールは 多数の誤検知 を生成することがあります。ツールを適切にチューニングしないと、IT チームはそれらを調査するのに膨大な時間を費やすことになります。

Netwrix ソリューションでログ監視の機能を強化する

Netwrix の製品は、SIEM ソリューションよりも、より包括的なセキュリティアプローチを提供します:

• Netwrix Auditor は、定期的なリスク評価を実施してセキュリティを強化し、コンプライアンス監査に合格し、IT 運用を最適化するのに役立ちます。
• Netwrix Change Tracker は、重要なシステムの安全な構成を確立し、維持するのに役立ちます。
• Netwrix Data Classification は、組織全体にある機密情報およびビジネス上重要なコンテンツを特定し、分類します。
• Netwrix StealthDEFEND と Netwrix Threat Prevention は、異常な振る舞いと高度な攻撃を特定し、対応するのに役立ちます。

よくある質問

イベントログ監査とは何ですか？

イベントログ監査とは、企業の IT システムから取得したログを処理し、分析するプロセスです。

監査ログの監視とは何ですか？

監査ログのモニタリングは、イベントログの監査の別名です。別の言い換えとして、ログ ファイル監査があります。

イベントログは何を教えてくれますか？

イベントログには、オペレーティングシステム、デバイス、アプリケーションの動作と使用に関する情報が含まれています。