ネットワークセキュリティで考慮すべき主要なログソースとは？種類と活用方法を徹底解説

ネットワークセキュリティにおいて、ログの収集と分析は脅威の検出やインシデント対応の基盤となる重要な取り組みです。本記事では、セキュリティログの基本概念から、SIEMに送信すべき主要なログソース、実際の確認方法まで、よくある質問形式でわかりやすく解説します。

ネットワークセキュリティログとは？

ロギングとは、システムの稼働状況、発生したイベント、エラー状態、障害、全般的なステータスなどを記録として蓄積することです。ログが存在しなければ、システム上で発生している潜在的な悪意ある活動に気づくことすらできず、適切に対応することも不可能になります。

サイバーセキュリティにおける主なログの種類

サイバーセキュリティで扱うログには、以下のようなものがあります。

• 境界装置（ファイアウォールなど）が生成するログ
• Windowsのイベントログ
• エンドポイントのログファイル
• アプリケーションの動作に関する詳細ログ
• プロキシサーバーのログ
• IoTデバイスが生成するログ

ログソースとは何か？

ログソースとは、イベントログを生成する機器やソフトウェアのことです。例えば、ファイアウォールや侵入防止システム（IPS）はセキュリティに関連するイベントを記録し、スイッチやルーターはネットワークベースのイベントを記録します。IBM QRadarのようなSIEM製品は、幅広いプロトコルをサポートしており、生のログイベントを受け取ることができます。

セキュリティインシデント時に価値のあるログソース

セキュリティインシデントの調査では、以下のログが特に有用です。

• データベースのログファイル
• Webサーバーのログ
• DNS（ドメインネームシステム）のログファイル
• クラウドプラットフォームのログファイル
• 入退室管理など、物理的なセキュリティ活動のログ

なぜログがセキュリティにとって重要なのか？

ログファイルは、エラーの調査に役立つ貴重な手がかりとなります。エラーやセキュリティ侵害の原因を特定するために活用でき、システムの稼働と並行して活動が記録されるため、事後分析やフォレンジック調査にも欠かせない存在です。

組織のネットワークセキュリティログの中身

組織のシステムやネットワーク全体で発生するイベントに関する情報は、ログファイルに記録されます。ログは通常、ネットワークやシステム内で発生した特定のイベントの詳細を記録した「ログエントリ」の集まりで構成されており、多くの組織がコンピュータセキュリティに関する情報をログファイルとして保持しています。

セキュリティログに記録される内容

監査ポリシーの一環として、セキュリティログにはログインおよびログアウトの活動が記録されます。管理者は監査機能を有効にすることで、オペレーティングシステムの活動をセキュリティログに記録するようWindowsを構成できます。

セキュリティログの確認方法

Windows環境でセキュリティログを確認するには、以下の手順を実行します。

1. イベントビューアーを開きます。
2. コンソールツリーで「Windowsログ」を展開し、「セキュリティ」をクリックします。
3. 結果ペインで特定のイベントをクリックすると、その詳細を表示できます。

さまざまな分野におけるログの種類

「ログ」という概念は、ITセキュリティ以外の分野でも広く活用されています。例えば、地質調査や油田開発の分野では、以下のような測定ログが知られています。

• ガンマ線データのログ
• スペクトルガンマ線ログ
• 密度検層（デンシティログ）
• 中性子孔隙率ログ
• パルス中性子寿命ログ
• 二酸化炭素濃度のグラフ
• 地球化学プロセスのログ

SIEMに送信すべきログ

SIEM（Security Information and Event Management）に集約すべき代表的なログは以下の通りです。

• ファイアウォールのログ
• ルーター、スイッチ、アクセスポイントなどのネットワーク機器のログ
• 無線LANアクセスポイントのログ
• 脆弱性診断ツールの結果
• パートナー企業（サードパーティ）との接続に関する情報
• アンチウイルス・アンチマルウェアソフトのログ

SIEMのログソースの例

企業が導入するセキュリティ対策機能としては、IDS（侵入検知システム）、アンチウイルス／アンチマルウェア、データ損失防止（DLP）、Webフィルター、ハニーポット、ファイアウォールなどがあります。また、スイッチポート、ルーター、ドメインコントローラー、Webアプリケーションサーバー、イントラネットアプリケーション、データベースなどのログも、重要なログソースとなります。

ログソース識別子とは？

ログソース識別子とは、ログファイルの発生源を特定するためのパラメータです。通常、ログソースはIPv4アドレスまたはホスト名によって識別されます。ネットワークを構成する際は、イベントを発生させたデバイスのIPアドレスを指定してください。該当するデバイスがない場合は、管理コンソールを指定します。

LogRhythmでログソースを確認する方法

LogRhythmでログソースを確認・追加する手順は以下の通りです。

1. Client Console上部にあるDeployment Managerツールバーを開きます。
2. 「System Monitors」タブをクリックします。
3. 「Agent Settings」タブで「Edit」ボタンをクリックします。
4. 「Log Message Sources Collected by this Agent」ウィンドウ内で右クリックし、新しいログメッセージソースを追加します。
5. 「Basic Configuration」タブで各種設定を行います。

SIEMで収集すべき3つの重要なログソース

SIEMを効果的に運用するためには、最低限以下のログ収集を検討すべきです。

• ファイアウォールのログ：必須と言える最重要のログです。
• 主要サーバーのログ：Active Directoryサーバー、データベースサーバー、基幹アプリケーションサーバーなど、中核となるサーバーからログを収集しましょう。
• IDS・アンチウイルスのログ：IDSのログに加えて、アンチウイルスのログも確認が必要です。さらに、Webサーバーも常に監視対象に含めることが推奨されます。

適切なログソースを選定し、一元的に収集・分析することで、セキュリティインシデントの早期発見と迅速な対応が可能になります。自社の環境に合わせて、優先的に収集すべきログを見直してみてください。