ログの取得と監視

要点と定義

ログは、情報システムで起きた操作や状態を記録した情報です。システムログ、システムエラーログ、アラーム記録、利用状況ログなどがあり、記録を定期的に分析して、不正侵入などの事故や情報セキュリティ違反を監視します（IPAシラバス ver.4.1、p.18）。 例えばアクセスログの定期的な確認・解析は、通常と異なるアクセスや大量閲覧の兆候を捉え、漏えいの早期発見に役立ちます。

ログを使うときは、調べたい行為に対応する記録を選びます。メールの不正閲覧を追うなら、対象アカウントのメール受信要求ログが手掛かりになります。送受信やログイン失敗の記録だけでは、受信要求を直接確認できない場合があります。

適用条件と例

ログで分かることは、そのログが記録する対象と範囲に限られます。例えば、共有ファイルの受取人が取得したかを調べるなら、ダウンロードの記録を確認します。誤った宛先に気付いたときは、アクセス権を取り消す対応ができ、取得記録がないことは事例の条件下で漏えいしていないとの判断材料になります。ただし、ダウンロードログだけから、メール内URLへのアクセス有無までは分かりません。

調査の時間範囲も目的に合わせます。認証情報の漏えいが疑われる場合、アクセス権を無効にした時刻より後の不審なアクセスも確認対象に含めます。アクセスの痕跡を調べる目的なら、ダウンロードの有無だけを追うのでは不十分です。ログが見つからないことだけで、認証情報が使われなかったとは断定できません。

複数の記録を照合すると、単独のログでは分からない状況を検討できます。例えば、通信時刻をプロキシログで絞り、勤怠記録と照合すれば、その時刻に従業員が退勤していたかを調べる手掛かりになります。時刻の一致や不一致は調査材料であり、それだけで操作した人を確定するものではありません。

入退室のログでは、1日の入室記録と退室記録の件数が異なる人を聞き取り候補にできます。共連れなどの可能性を調べる手掛かりですが、件数差だけでは原因を確定できません。

誤りやすい点

ログが取得できても、必要な履歴をサービス提供者が開示しないなら、事故後に原因を調べられない場合があります。サービス利用前に、必要な操作履歴を取得・確認できるかを確かめることが大切です。