CIS Control 8 ガイド：監査ログ管理

CIS Control 8 の紹介

CIS Control 8 Center for Internet Security (CIS) バージョン 8 では監査ログ管理（audit log management）を扱います。（バージョン 7 では、このトピックは Control 6 で扱われていました。）このセキュリティ制御では、監査ログの収集、保存、時刻同期、保管期間、レビューなど、監査ログを確立して維持するための重要な保護措置を詳しく説明します。

システム導入時に、ログは2種類がそれぞれ独立して設定されます：

• システムログ は、プロセスの開始・終了時刻などのシステムレベルのイベントに関するデータを提供します。
• 監査ログ には、ログインやファイルアクセスなどのユーザーレベルのイベントが含まれます。監査ログはサイバーセキュリティインシデントの調査に不可欠で、システムログよりも多くの設定作業が必要です。

ログ管理

IT 環境では非常に多くのイベントが生成されるため、有益な情報を確実に収集し、迅速に分析できるようにログ管理が必要です。ファイアウォール、プロキシ、VPN、リモートアクセスシステムなど、すべてのソフトウェアおよびハードウェア資産は、有益なデータを保持するように設定されるべきです。

また、ベストプラクティスでは、組織がログを定期的にスキャンし、IT 資産インベントリ（これは CIS Control 1 に従って作成されるべきです）と照合して、各資産がネットワークにアクティブに接続され、期待どおりにログを生成しているかどうかを評価することを推奨しています。

効果的なログ管理において、しばしば見落とされがちな重要な点の 1 つは、イベントの時系列を明確にするために、すべてのシステムを中央の Network Time Protocol (NTP) サーバで時刻同期させる必要があることです。

ログ管理の役割

ログ管理には、ログの収集・確認・保管に加え、ネットワークまたはシステム上の不審な活動について通知（アラート）することが含まれます。適切なログ管理により、システムログに現れる侵害や攻撃の初期兆候を組織が早期に検知できるようになります。

また、セキュリティインシデントの調査と復旧にも役立ちます。監査ログ（Audit logs）は、攻撃者の出所、身元、および手口を段階的に記録した、法医学レベルの詳細な証跡を提供します。監査ログはインシデントのフォレンジックにも不可欠で、攻撃がいつ、どのように発生したのか、どの情報にアクセスされたのか、データが盗まれたのか破壊されたのかを把握できます。さらに、ログはフォローアップ調査にも重要で、数週間または数か月間検知されずに進行していた長期型の攻撃の開始点を特定するためにも使用できます。

以下に、コンプライアンスの取り組みを導くための CIS Control 8：Audit Log Management の内訳を示します。

Safeguard 8.1：監査ログ管理プロセスを確立し、維持する

企業のログ記録要件を定義する監査ログ管理プロセスを確立し、維持します。最低限、企業資産に対する監査ログの収集、確認、保管（保持）を扱ってください。この保護策に影響し得る重大な企業変更が発生した場合、または年1回、文書を見直して更新します。

なぜ監査ログの記録が必要なのでしょうか？

監査ログは、ネットワーク全体にわたる IT デバイスのイベントおよび変更をキャプチャして記録します。少なくとも、ログデータには次が含まれている必要があります:

• グループ — アクティビティが発生するチーム、組織、またはアカウント
• 実行主体（Actor） — 操作の責任を負うアカウントの UUID、ユーザー名、および API トークン名
• イベント名 — 特定のイベントに対する標準名
• 説明 — 人が読める形での説明で、関連情報へのリンクが含まれることがあります
• アクション — オブジェクトがどのように変更されたか
• アクションの種類 — 作成、読み取り、更新、削除などのアクションの種類
• いつ — NTP 同期されたタイムスタンプ
• どこで — 発信元の国、デバイス ID 番号、または発信元 IP アドレス

システム管理者と監査担当者は、これらの詳細を使用して疑わしいネットワーク活動を調査し、問題を切り分けます。ログは通常の挙動の基準を示し、異常な挙動についての洞察も提供します。

監査ログの利点

監査ログには次の利点があります。

• 活動の洞察に基づくセキュリティの改善
• HIPAA や PCI DSS のような基準および規制への準拠を示す証拠
• リスク水準を管理し、利害関係者に対してデューデリジェンスを実施したことを示すためのリスク管理

監査ログ記録の4つのステップ

ステップ1：システムとハードウェアを棚卸しし、初期の優先順位を設定します。

ネットワーク内にあるすべてのデバイスとシステムについて棚卸しを行います。例：

• コンピューター
• サーバー
• モバイルデバイス
• ファイルストレージプラットフォーム
• ファイアウォール、スイッチ、ルーターなどのネットワークアプライアンス

各資産に保存されているデータに価値を付けます。これらの資産が担う役割の価値と、ビジネス目的におけるデータの重要度（クリティカル度）を考慮してください。目的は、将来の評価に向けて各資産についてリスクを見積もることです。

ステップ 2：資産を統合し、置き換えます。

インベントリ（資産目録）を使用して、老朽化した機器やプラットフォームを交換対象として評価します。交換の実施、またはプラットフォームの統合に必要な見積もり時間を含め、最終的な目的として環境の監査（auditing）を行うことを掲げます。

監査（auditing）が比較的容易な資産と、追加の監査作業が必要な資産を切り分けます。進捗を測定し、監査担当者（auditors）のための参照資料を作成できるよう、すべてを記録（文書化）してください。

ステップ3. 残りのリソースを、監査（auditing）しやすい順（最も監査しやすいものから）に分類します。

残りのシステムを見直し、データの保存（data storage）またはアクセス制御（access control）との関連を判断します。資産を、監査（audit）が行われる可能性の見込みに基づいて分類してください。リスクまたは価値が最も高い情報は、最も監査（audited）しやすいシステムに保存されるようにします。

ステップ4. できるだけ短い時間で、最も多くの資産をカバーできる監査（auditing）ソリューションを探します。

ソリューションを選定する際は、幅広いツール群を備え、かつ優れたカスタマーサービスを提供するベンダーを探してください。ベンダーには、常に変化する監査要件やリスク環境に追随するための製品強化やアップデートを継続的に提供してきた実績（証明済みのトラックレコード）が必要です。

管理を簡素化するには、ライセンス数、連絡先、サポート体制（取り決め）の数を最小限に抑えます。加えて、ニーズに合った柔軟なライセンス体系、拡張性、そして中央集約型の長期保存機能も検討してください。

セーフガード 8.2：監査ログを収集する

監査ログを収集します。企業の監査ログ管理プロセスに従って、企業の資産全体でログ記録が有効化されていることを確認してください。

各組織は、次の内容を監査（確認）する必要があります。

• システム（すべてのアクセス・ポイントを含む）
• デバイス（Webサーバー、認証サーバー、スイッチ、ルーター、ワークステーションを含む）
• アプリケーション（ファイアウォールやその他のセキュリティソリューションを含む）

セーフガード 8.3：監査ログの適切な保存容量を確保する

ログの保存先が、企業のログ管理プロセスに準拠できるだけ十分な保存容量を維持していることを確認してください。

監査ログの保存は、ほとんどの法規制および標準の要件です。さらに、ログを保存することで、ある事象を調査し、是正（リメディエーション）するためのフォレンジック分析が可能になります。

保管すべき主要なデータの種類には、次のものがあります。

• ユーザーIDと認証情報
• 端末の識別情報
• システム構成の変更
• イベントの日時
• 成功および失敗したログの試行

NIST 公開文書 SP 800-92 の 5.1 節および 5.4 節 は、ポリシー開発と長期ストレージ管理について述べています。

ログの保管期間

組織のポリシーが、各ログにデータを保存する期間をどのように決めるかを左右するべきです。判断は、データの価値やその他の要因に依存します：

• 保存しない — 価値の低いデータ
• システムレベルのみ — システム管理にはある程度の価値があるが、ログ管理インフラに送るには十分ではないデータ
• システムレベルとインフラレベルの両方 — 保持と集中管理に必要なデータ
• インフラレベルのみ — システムログの保存容量が限られている場合

このポリシーでは、すべてのログソースに対してローカルのログローテーションも設定します。ログを定期的にローテーションさせるよう、またログが最大サイズに達したときにローテーションするように構成できます。ログが、簡単にローテーションできない専有形式の場合は、ログ記録を停止するか、最も古いエントリを上書きするか、またはログジェネレーターを停止するかを決定する必要があります。

ログの保管期間は、ビジネスの性質と組織のポリシーによって異なります。多くの企業では、監査ログ、IDSログ、ファイアウォールログを少なくとも2か月は保持しています。規制によっては、6か月から7年までの期間を求める場合があります。

比較的長期間ログを保持する必要がある場合は、すべてのアーカイブデータに対してログ形式を統一して選択し、予算やその他の要因に応じて特定の種類のバックアップ媒体を使用する必要があります。転送したログの完全性を検証し、媒体は安全にオフサイトへ保管してください。

セーフガード 8.4：時刻同期を標準化する

時刻同期を標準化します。対応している場合は、企業の資産全体にわたって少なくとも2つの同期された時刻ソースを構成してください。

ログを生成する各ホストは、イベントにタイムスタンプを付けるために内部クロックを参照します。ログを中央の時刻ソースと同期できていない場合、インシデントのタイムラインを調査するフォレンジック作業に問題が生じ、ログデータを誤って解釈する原因にもなり得ます。資産間でタイムスタンプを同期すると、イベントの相関付けと正確な監査証跡が可能になり、特にログが複数のホストからのものである場合に有効です。

保護策 8.5：詳細な監査ログを収集する

機密データを含むエンタープライズ資産に対して、詳細な監査ログ記録を設定します。イベントソース、日付、ユーザー名、タイムスタンプ、送信元アドレス、宛先アドレス、およびフォレンジック調査を支援し得るその他の有用な要素を含めてください。

ログのフォレンジック分析は、詳細情報がなければ不可能です。保護策に記載されている情報に加えて、イベントのエントリを取得する 必要があります。これは、発生して対象のデバイスに影響を与えた特定のイベントに関連する情報が得られるためです。

詳細な監査ログを収集する 対象：

• オペレーティング システムのイベント — システムの起動およびシャットダウン、サービスの起動およびシャットダウン、ネットワーク接続の変更または障害、ならびにシステムのセキュリティ設定と制御を変更しようとする試み（成功／失敗）
• オペレーティング システムの監査記録 — ログオン試行、ログオン後に実行された機能、アカウントの変更、情報、および操作

各監査ログには、次の情報を含める必要があります：

• タイムスタンプ
• イベント、状態、およびエラーコード（該当する場合）
• サービス/コマンド/アプリケーションの時間
• イベントに関連付けられたユーザーまたはシステムアカウント
• 使用したデバイスと送信元および送信先の IP
• 端末セッション ID
• Web ブラウザ
• 必要に応じてその他のデータ

セーフガード 8.6：DNS クエリ監査ログの収集

必要に応じ、かつサポートされている場合は、企業資産で DNS クエリの監査ログを収集します。

DNS クエリ監査ログ収集の重要性

DNS クエリの監査ログを収集すると、DNS 攻撃の影響を軽減できます。ログ イベントには次が含まれる場合があります：

• 動的更新
• ゾーン転送
• レート制限
• DNS署名
• その他の重要な詳細

DNS のリスクと攻撃

DNS ハイジャック は、マルウェアを使ってワークステーションで設定されたネームサーバーを改変し、DNS リクエストを悪意のあるサーバーに送信させます。ハイジャックにより、フィッシング、ファーミング、マルウェアの配布、そして Web サイトの改ざん版の公開が可能になります。

DNS トンネリング は、データ ペイロードを含む DNS クエリ、用語、応答にアクセスすることを指します。これらのペイロードは、マルウェア、盗み出したデータ、双方向プロトコル、権限、そしてコマンド＆コントロール情報などを運ぶ可能性があります。

サービス拒否（DoS）攻撃 は、サーバーにかかる負荷を増大させ、正当な要求に応答できなくなるまで継続します。

DNS キャッシュポイズニング（スプーフィングとも呼ばれます）はハイジャックと似ており、脆弱性により DNS リゾルバが無効なソースレコードを受け入れてしまいます。

セーフガード 8.7：URL リクエストの監査ログを収集する

適切かつサポートされている場合は、企業資産に対する URL リクエストの監査ログを収集してください。

URL リクエストはクエリ文字列を通じて情報を公開し、URL 内のパラメータに機密データを渡してしまう可能性があります。その結果、攻撃者はユーザー名、パスワード、トークンなど、その他の潜在的に機密性の高い情報を入手できます。HTTPS を使用しても、この脆弱性は解消されません。

URL リクエストに関連する可能性のあるリスクには次のようなものがあります:

• 強制ブラウズ
• パストラバーサル（ディレクトリ・トラバーサル）または操作
• リソースインジェクション

保護策 8.8：コマンドラインの監査ログを収集する

コマンドラインの監査ログを収集します。実装例には、PowerShell®、BASH®、およびリモート管理端末から監査ログを収集することが含まれます。

脅威アクターは、クッキーやフォームなどの安全でないデータ伝送を悪用して、Web サーバーのシステムシェルにコマンドを注入することができます。その後、攻撃者は脆弱なアプリケーションの権限を活用します。コマンドインジェクションには、シェルコマンドの直接実行に加え、実行環境への悪意のあるファイルの注入、構成ファイルの脆弱性の悪用が含まれます。

コマンドラインのエクスプロイトに関連するリスクの1つは、オペレーティングシステム上で任意のコマンドが実行されることです。とりわけ、アプリケーションが安全でないユーザー提供データをシステムシェルに渡す場合に危険が高まります。

したがって、組織はコマンドラインの使用に関するデータをログに記録する必要があります。

セーフガード 8.9：監査ログを一元管理する

可能な限り、企業の資産全体にわたって監査ログの収集と保管を一元化してください。

ハッカーは、自分の活動の証拠を消すためにローカルのログファイルを削除する手口をよく使います。ログデータを一元化し、安全なデータベースとして保管すれば、この手口を無力化でき、複数のシステム間でログを比較できます。

セーフガード 8.10：監査ログを保持する

企業の資産全体にわたって監査ログを最低 90 日間保持します。

ログ保持の利点には、システム侵害からかなり後に発見された攻撃についてフォレンジック分析を行いやすくすることが含まれます。多くの標準や規制では、コンプライアンスのために監査ログの保持が求められており、ログデータの保存はデータの完全性を確保するのに役立ちます。

ログはレコードへのすべての変更を追跡するため、外部ソースによって実行された不正な改変や、社内の開発またはシステム管理におけるエラーによる改変を見つけられます。

保護策 8.11：監査ログのレビューを実施する

監査ログをレビューして、潜在的な脅威を示し得る異常や異常なイベントを検出します。レビューは毎週、またはそれ以上の頻度で実施してください。

脅威を示唆し得る異常なイベントを検出するためにログを確認してください。ログを使ってエンドポイントをインベントリと照合し、必要に応じて新しいエンドポイントを設定します。さらに、監査ログも確認して、システムが適切なログを生成していることを確認してください。

毎週、またはそれ以上の頻度でレビューを実施してください。

保護策 8.12 サービスプロバイダーのログを収集する

対応している場合は、サービスプロバイダーのログを収集してください。例として、認証・認可イベント、データ作成および廃棄イベント、ユーザー管理イベントを収集する実装が挙げられます。

サービスプロバイダーがセキュリティを保証していても、受け取るログの完全性を検証し、ベンダーが規制に準拠していることを確認したいはずです。また、インシデントが発生した場合には、フォレンジック分析のためにデータが必要になります。

ベンダーは、認証および認可のイベント、データ作成および廃棄のイベント、ユーザー管理イベントを収集する必要があります。

クラウド コンピューティングが拡大するにつれて、攻撃者はますますサービスを標的にしています。ハッカーは URL をなりすまし（スプーフィング）して、ユーザーを顔のプロバイダー サイトにリダイレクトしたり、その他の被害を引き起こす可能性があります。また、サービス プロバイダーがセキュリティ上の問題を経験しても、顧客に対して適時に通知しないことがあり得ます。さらに、サービス プロバイダーがあなたの期待または要件として求めるレベルのセキュリティを備えていないことが判明する場合もあります。

概要

コントロール 8 には、監査ログ管理のための更新された保護策が含まれています。監査ログの確立と維持に必要な重要な機能であり、収集、保存、時刻の同期、保持、レビューを含みます。

各保護策は監査ログ管理の側面の一つに対応し、基準への準拠を維持できるようにするとともに、監査や攻撃が発生した場合に役立つ情報を提供します。

よくある質問（FAQ）

監査ログ（audit log）とはどういう意味ですか？

監査ログ（audit log）とは、ユーザー単位のイベントに関するデータを保持するための手法です。行為者と実行されたアクションを特定するのに役立つ、具体的な情報が含まれています。

監査ログ（audit log）の機能は何ですか？

このログは、攻撃が発生した場合のフォレンジック分析に利用したり、ログデータの整合性を判断したりするために使用できます。また、標準への準拠を証明する根拠にもなります。

監査ログには何を含めるべきですか？

監査ログには、次の内容を含める必要があります：

• グループ
• 実行主体
• アクションの種類
• イベント名と説明
• タイムスタンプ
• 送信元の場所