ログ分析と不正検知・監視

ログ分析と不正検知・監視とは、機器や端末が出力するログとネットワークの通信記録を収集して分析し、不正な活動や侵害の兆候を早期に見つけて対応につなげる活動である。ログは取得する地点によって見える範囲が異なるため、どの地点のログで何が分かるかを把握しておくことが分析の前提となる。試験では、侵害の痕跡、異常検知、対応の自動化といった概念の区別と、検知ルールの具体化が問われやすい。

侵害の痕跡と検知の基本概念

IoCは、侵害が起きたことを示す観測可能な痕跡であり、通信の履歴や端末の挙動などがこれに当たる。たとえば、攻撃者の指令サーバとの通信履歴は、機器が侵害され外部と連携していたことを示す痕跡になり得る。一方、脆弱性情報は攻撃に悪用され得る情報であり、証明書の失効リストや通常のフィルタリングルールは侵害の痕跡とは限らない。両者を区別して理解することが重要である。

UEBAは、利用者や機器の振る舞いを分析し、通常と異なる行動を検知する仕組みである。生体認証で本人を確認する機能や、情報への論理的なアクセスを制限する機能とは役割が異なる。

分析基盤と自動化の役割分担

SIEMは複数の製品のログを集約し、相関分析を行う仕組みである。これに対しSOARは、脅威インテリジェンスを活用してセキュリティ運用の自動化とインシデント対応の効率化を担う。両者は連携して使われることが多く、ログの集約と相関を担うのか、対応の自動化を担うのかで区別する。

脅威情報を構造化して組織間で交換するための仕様は、STIX/TAXIIと呼ばれ、SOARの機能とは区別される。ゼロトラストは利用者や端末を暗黙に信頼せず、アクセスごとに検証する考え方である。

ログの取得地点と見える範囲

ログを取得する地点が異なると、同じ事象でも記録の有無が変わる。認証基盤のログだけを見ても、攻撃の全体像を把握できないことがある。そのため、認証サーバ、Webサーバ、クラウドのサービス側など、複数の層のログを組み合わせて分析する必要がある。