ログの保管

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。不審なアクセスがなかったか、調べてほしい。でも、ログがいつ分まで残っているのか、分かりません。

あるいは、ディスクがいっぱいになって、古いログから自動で消えていた。今日は、ログの保管についてお話しします。

一言で言うと

先に、一言でまとめます。ログは、あとから、何があったのかを調べるための記録です。

何を、何日分、どこに残し、誰が見るのか。この4つを決めておかないと、いざというときに、役に立ちません。

地図のどこか

運用編でいうと、ここまでの回の仕組みが、それぞれ記録している情報の話です。ID、ファイアウォール、無線LAN、保守の作業と、すべてにログがあります。

三層でいうと、ログは、層ごとの機器の中に残ることが多いです。マイナンバー利用事務系のログは、ほかの層とは通信しないので、その層の中で確認する形が基本になります。

セキュリティ編のEDRやSIEMは、ログを集めて見る仕組みでした。今日は、その土台になる、ふだんの保管です。

何のログを残すのか

ガイドラインの解説は、ログとして、アクセスログ、システムの稼働ログ、障害のときのシステム出力ログ、そして障害の対応記録を挙げています。

具体的には、パソコンにログインした記録、ファイルサーバーの操作、ファイアウォールの通信記録、メールの記録、外から入る通り道の記録などがあります。

クラウドサービスの場合は、取得できるログの内容と期間が、サービスごとに違います。自分たちが必要な期間、保管できるのかを確かめます。

何日分残すのか

ガイドラインの解説では、ログは、1年以上保管することが望ましい、とされています。

ただし、システムが守るべき法令などで、保管の期間が決まっている場合もあるので、関係する法令を確かめた上で決めることとされています。

また、保管の期限が切れたログは、確実に消去する必要がある、とも書かれています。残すだけでなく、消す日も決めておきます。

容量と、保管場所

期間を決めたら、容量を計算します。ログは、毎日増え続けます。1年分となると、思った以上に大きくなる機器もあります。

機器の中だけに置くと、容量がいっぱいになったとき、古いものから上書きされることがあります。別の場所に集めて、保管する団体もあります。

ガイドラインの解説も、ログが、改ざんや消失をされないように、適正に保存することを求めています。

誰が見るのか

ログは、残しておくだけでは、役に立ちません。ガイドラインの例文では、取得したログを、定期的に点検または分析する機能を設けることとされています。

誰が、どれくらいの頻度で、何を見るのか。異常を見つけたら、誰に伝えるのか。ここまで決めて、はじめて、運用になります。

夜間や休日に、誰が気づくのか。セキュリティ編の第7回でもお話しした、アラートの話と、つながります。

時刻とのつながり

ログには、時刻が書かれています。その時刻がずれていると、調べるときに困ります。

ガイドラインの解説は、サーバーの間で時刻の記録に矛盾があると、ログの分析が難しくなり、証拠としての正確さも保てなくなる、と説明しています。

運用編の第3回で、タイムサーバーの話をしました。時刻を合わせることは、ログを残すことの前提です。

複数の機器のログを並べて読むときは、時刻がずれていると、出来事の順番が入れ替わって見えます。原因を読み違える元になるので、時刻は、ふだんから確かめておきます。

ログを使う場面

ログは、どんな場面で使うのでしょうか。一つ目は、障害のとき。いつから何が起きたかを、時間順にたどります。

二つ目は、委託先の作業の確認です。約束した時間に、約束した作業だけが行われたかを、あとから確かめます。

三つ目は、不正の疑いのときです。誰が、いつ、どのファイルに触ったか。ここでは、ログが残っているかどうかが、調査できるかどうかを分けます。

操作の記録を扱うとき

ログには、職員一人ひとりの操作が、記録されます。そのため、何のために取り、誰が見るのかを、あらかじめ決めて、職員に知らせておくことが大切です。

目的以外で、勝手に見ない。見るときは、記録を残す。こうした決まりは、団体ごとに違います。

自分の団体で、どんな決まりになっているかは、情報セキュリティポリシーの実施手順で確かめます。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。ログは、取っていれば十分、という誤解です。見る人がいなければ、問題があっても、気づけません。

二つ目。機器の中に残っているから大丈夫、という誤解です。容量がいっぱいになると、古いものから消えます。機器が壊れれば、ログも一緒に失われます。

三つ目。ログは、情シスだけが見るもの、という誤解です。委託先との切り分けや、監査、庁内の調査でも使います。誰に見せるかのルールが必要です。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。どの機器のログを、何日分、どこに残しているかの一覧です。決まっていなければ、機器ごとに、いま実際に残っている日数を確認します。

二つ目。ログを見る人と、見る頻度です。見る人が決まっていなければ、誰が担当するのかを、上司と相談します。

三つ目。ログの時刻が、タイムサーバーと合っているかです。ずれていないかを、機器をいくつか選んで見比べます。