知っておくべきアクセスログ管理。基礎から情報漏洩対策まで

セキュリティ マイナンバー

マイナンバーなど重要な個人情報が企業内でやり取りされるようになった今、それを狙うサイバー攻撃もますます活発化することが予測されています。従来の情報漏えい対策を巧妙にかいくぐる脅威を無視できない今、新たな切り札としてアクセスログ管理に注目が集まっています。

以前は監査対応や障害の原因究明のために、または情報漏えいの追跡調査を目的に導入されてきたアクセスログ管理ですが、今やセキュリティ対策の定番となりつつあります。このコラムでは、今さら聞けない基礎知識から導入時に気をつけたいポイントまで、アクセスログ管理について詳しく解説していきます。

アクセスログ管理が必要とされる背景とは

まずは、アクセスログがどんなものなのかを整理しましょう。
アクセスログとは、サーバやPC、システム等に対する接続・操作の履歴を記録し、どのような通信が行われていたか、どんな操作が行われたかなど、すべてのできごとを時系列で保存したものです。具体的には、通信やアクセスの送信元、送信先のIPアドレス、ポート番号、各命令の詳細など、様々なものがアクセスログとしての収集対象となっています。

アクセスログは障害の原因究明に役立つもので、システムの安定した運用や保守、管理のために欠かせません。障害の前後に何がおこっていたのかがログをたどることで明らかになり、傾向の把握や対策にもつなげることができるからです。
また、セキュリティ対策として、情報漏えいがあった際の追跡調査などにも威力を発揮します。アクセスログの取得を周知することで、不正行為の抑止力としても期待できるでしょう。

かつては、主に上場企業だけが義務的に取り組んでいたアクセスログ管理ですが、近年は多くの企業が導入するようになりました。ITシステムのスムーズな運用と適切な管理がビジネスの成功を左右する時代となった今、その重要性が広く認知されるようになってきたのです。これにともない、様々なシステム規模や目的に応じた管理ツールが登場しています。

アクセスログの取得方法――サーバとPCによる違い――

では、自社でアクセスログ管理を行うには、どのポイントでログを取得するのが良いのでしょうか？

まずは、規模や用途に応じて2つのポイントで検討してください。1つはデータベースなどが格納された「ファイルサーバ」、もう1つが、そのサーバへのアクセスの窓口となる「クライアントPC」です。

サーバ側でのアクセスログ管理は、対象となるファイルサーバにアクセスしてきた通信の状況を記録します。サーバのみで管理できるため、導入も運用も比較的容易ですが、あくまで対象サーバ内での記録となります。Pマーク取得などに向けて、まずはここから証跡管理を始めるという企業も多いようです。

クライアントPCでのアクセスログ管理は、各PCの利用実態を把握するのに役立ちます。ファイルサーバへのアクセス履歴はもちろん、ユーザーがPCで行った操作履歴まで記録されます。すべてのクライアントPCにエージェントをインストールする必要があり管理負荷がやや高くなりますが、ユーザーへの抑止力としても大いに期待できるものです。ISMS取得を視野に入れた本格的な証跡管理を考えているなら、クライアントPCでのアクセスログログ取得が適しているでしょう。

セキュリティ対策としてのアクセスログ管理

セキュリティという観点で見れば、従来のアクセスログ管理は、情報漏えいがおこった時の犯人特定など、「事後対策」のために行うものでした。しかし、最近ではこうした使い方だけでなく、「事前対策」も含めた新しい活用が始まっています。アクセスログ管理ツールはモニタリングすることにより常にシステムを監視してチェックしているわけですから、そのデータをいち早く解析することで、情報漏えいの兆候を発見することができるのです。

巧妙化した昨今のサイバー攻撃は、従来の基本的なセキュリティ対策だけで完全に防ぐことが難しく、いくつかのマルウェアは必ずガードをすり抜けてくると考える必要があります。しかし、運悪くマルウェアに感染してしまったとしても、アクセスログからその不正な動作や通信をあぶり出すことが可能です。これにより、被害が拡大する前に対策を行い、最小限に食い止めることができるようになるのです。

なお、情報漏えい対策としてのアクセスログ管理を考えるなら、複数のシステムやデバイスを横断したアクセスログ収集の一元化が必要です。情報漏えいの経路はサーバやPCだけにとどまらないため、様々なポイントを網羅する必要があるでしょう。

アクセスログ管理に必要な機能とは

ここからは、アクセスログ管理ツールによる具体的な管理の手順と、システム導入の際の注意点を見ていきましょう。アクセスログは、一般には「収集」「保管」「分析」という3つのフェーズで管理します。

フェーズ(1)「収集」

まずは収集のフェーズです。様々なシステム、例えばおこった減少や動作の記録であるWindows系のイベントログ、UNIXサーバなどのSyslogなどと、サーバやPCから集めたログは、それぞれ独自の体裁になっています。これらをそのままバラバラに管理していては効率が悪いため、目的に応じて体裁をそろえる必要があります。
システムや機器をまたがった統合的なログモニタリング環境を構築するならば、様々なメーカー、カテゴリに分かれた多岐に渡る製品群から、いかに手間なくアクセスログを収集できるかに着目すべきです。

フェーズ(2)「保管」

保管のフェーズでは、データの肥大化を必ず念頭におきましょう。ログは確実に増え続けるものなので、圧縮保存できることが重要です。また、ストレージの拡張性にも注目してください。監査対応をお考えなら、改ざん対策やアクセス制御の仕組みも備えていることが望ましいでしょう。

フェーズ(3)「分析」

システムや機器から出力されたアクセスログは基本的には大量の文字列の羅列ですが、管理ツールを使えば「いつ」「どこで」「どの機器が」等、誰が見てもわかる形に変換できます。ログのどこに注目すべきかは目的によっても異なりますが、変換されたログを必要な切り口でレポートにまとめます。レポート作成は管理ツールで自動化されていることが多く、その場合にはシステムの重要度や役割に応じて提出期限や監視対象などを設定します。

アクセスログは、ただ保存しているだけでは役立てることはできません。膨大なログデータを自分の手で管理することは難しいですが、管理ツールを使えば各段とわかりやすくなり、活用の幅も広がります。今まで手つかずだったという方も、これを機に始めてみてはいかがでしょうか。

この記事のライター

落合純平（おちあい じゅんぺい）

株式会社ネクストアド B2Bコンテンツマネージャー。
IT製品の紹介ページやナーチャリングコラム、メールマガジンの制作を数多く請け負い、サーバ、ネットワーク、仮想化基盤といった専門的な分野から、クラウドやモバイルといったトレンド分野まで、幅広いジャンルのWebコンテンツを制作。