ログ分析とデジタルフォレンジックス（１／２）

中小企業の経営者や情報システム担当者の皆さん、日々のセキュリティ対策、お疲れ様です。

今回は、サーバやネットワーク機器、セキュリティ機器等の各種ログの概要やログ分析の必要性や実施例等について解説します。

●ログ分析の概要

ITシステムから出力される各種ログは、OS、アプリケーション、通信機器などが、その稼働状態、処理の実行状況、障害・異常の発生状況等を示す記録です。
出力されたログを分析し、その結果に基づいて対応することで、サイバー攻撃の発生を検知して早期に対処したり、将来的に発生する可能性のあるインシデントを未然に防いだりすることも可能となります。

一般的なIT環境における主にログを表に示します。ただし、実際に出力されるログの種類や内容についてはログの出力元であるサーバやセキュリティ製品の設定によります。

主なログの種類と概要

●ログ分析による効果と分析例

ログの分析により、次のような事象を早期に発見することが可能となります。
仮に早期発見ができなくとも、ログはセキュリティインシデントが発生した場合に状況の調査や原因究明を行うための重要な証拠データとなるため、適切に出力・保存する必要があります。

　①内部ネットワークからインターネットへの不審なファイルの送信

・プロキシサーバのログから、業務時間外等にサイズの大きなファイルを送っている通信を抽出し、その通信を行っていたPC等の操作内容と突合し、正当なものであるかどうかを確認する。

・ファイアウォールのログから、内部ネットワークからインターネットへの通信でDrop, Rejectされているものを抽出し、それらが正規の利用者によるものであるかを確認する。

・クラウド上の外部ストレージサービスのログから、大量もしくはサイズの大きなファイルを送っている端末/ユーザを抽出し、正当なものであるかを確認する。

　②内部に侵入したマルウェア等による不審な通信

・プロキシサーバのログから、一定間隔で特定のサイトに同じサイズのファイルを連続して送っている通信等を抽出し、その通信を行っていたPC等の操作内容と突合し、正当なものであるかどうかを確認する。

・Active Directoryサーバのログから、ドメイン管理者の権限でアクセスしている不審な通信や、連続したログイン失敗、ログの削除等の履歴を抽出し、それらが正当なものであるかを確認する。

・DNSクエリログの内容（リクエスト内容や頻度等）から、マルウェアによる不審な通信が疑われるものを抽出し、正当なものであるかを確認する。

・ファイルサーバのログから、業務時間外等に頻繁にファイルにアクセスしている端末/ユーザを抽出し、それらが正当なものであるかどうかを確認する。

　③システム管理者の認識していない設定変更

・サーバのOSログから、システム管理者の権限で実行された操作履歴やPowerShellの実行履歴等を抽出し、それらが正当なものであるかを確認する。

　④インターネットからの不正アクセスやその試み

・IDS/IPSのログやアラートから、不審なコマンドの実行やサイバー攻撃が疑われる通信を確認する。

・VPNのログから、海外から連続してログインに失敗しているIPアドレスや、長時間接続しているユーザ等を抽出し、それらが正当なものであるかを確認する。

●ログ分析における留意点

ログはあくまでもシステムの振る舞いに関する記録であるため、不審な振る舞いをしていたユーザIDやIPアドレスが特定できても、それを行っていた人間を特定することはできません。したがって、他人のユーザID等を用いたなりすましによる不正アクセスなどを発見するのは困難です。
そうした行為を発見するには、日頃から次のような情報を集めておき、ログの内容と比較するのが有効です。

・各ユーザの平均的なシステムの利用時間や利用時間帯
・各ユーザが通常使用しているIPアドレス及びアプリケーション


今回は主なログの種類やログ分析の実施例等について解説しました。
次回はログの運用管理における留意点やデジタルフォレンジックスの概要等について解説します。