ネットワークセキュリティで考慮すべき主要なログソースとは？

ネットワークセキュリティ対策において、ログの収集と分析は非常に重要な要素です。本記事では、ネットワークセキュリティログの基本概念から、サイバーセキュリティで扱うログの種類、SIEMに送信すべきログソース、セキュリティログの確認方法まで、押さえておきたいポイントをわかりやすく解説します。

ネットワークセキュリティログとは

ログとは、システムの稼働状況、発生したイベント、エラー状態、障害、全般的なステータスなどを記録したデータの集合のことです。ログを適切に収集・管理していなければ、システム上で発生している潜在的に悪意のある活動に気づくことすらできず、当然ながら適切な対応を取ることもできません。

サイバーセキュリティにおける主なログの種類

サイバーセキュリティの現場で扱うログは多岐にわたります。代表的なものは以下のとおりです。

• 境界（ペリメーター）機器が生成するログ
• Windowsのイベントログ
• エンドポイントのログファイル
• アプリケーション活動の詳細ログ
• プロキシサーバーのログ
• IoTデバイスが生成するログ

ログソースとは

ログソースとは、イベントログを生成する機器やシステムのことです。ファイアウォールや侵入防止システム（IPS）はセキュリティ関連のイベントを記録し、スイッチやルーターはネットワーク関連のイベントを記録します。IBM QRadarのようなSIEM製品は、幅広いプロトコルに対応しており、生のログイベントを受信できます。

セキュリティインシデント時に価値のあるログソース

インシデント対応やフォレンジック調査では、以下のようなログが貴重な情報源となります。

• データベースのログファイル
• Webサーバーのログ
• DNS（ドメインネームシステム）のログファイル
• クラウドプラットフォームのログファイル
• 物理的な拠点におけるセキュリティ活動のログ（入退室記録など）

ログがセキュリティにとって重要な理由

ログファイルは、エラー調査の強力な助けとなります。エラーやセキュリティ侵害の原因を特定するための有用なツールであり、システムの稼働と並行して活動が記録されるため、事後分析やインシデント調査における重要な手がかりとなります。

組織のシステムにおけるネットワークセキュリティログ

組織のシステムやネットワーク全体で発生するイベントの情報は、ログファイルに記録されます。ログは通常、ネットワークやシステム内で発生した個々のイベントの詳細を記録した「ログエントリ」で構成されており、組織内の多くのログファイルにコンピューターセキュリティに関する情報が含まれています。

セキュリティログに記録される内容

監査ポリシーの一環として、セキュリティログにはログインおよびログアウトの活動記録が含まれます。監査機能を有効にすると、管理者はWindowsに対して、オペレーティングシステムの活動をセキュリティログに記録するよう設定できます。

セキュリティログの確認方法

Windowsの場合は、イベントビューアーを開き、コンソールツリーで「Windowsログ」を展開して「セキュリティ」をクリックすると、個々のセキュリティイベントを確認できます。結果ペインで特定のイベントをクリックすると、その詳細を表示できます。

イベントビューアーで確認できる3種類のログ

Windowsのイベントビューアーで確認できる主なログは、「アプリケーション」「システム」「セキュリティ」の3種類です。また、イベントには情報・警告・エラーといったレベルがあり、セキュリティログでは「成功の監査」と「失敗の監査」が記録されます。

ログの分類

IT環境におけるログは、大きく分けてシステムログ、セキュリティログ、アプリケーションログ、ネットワークログなどに分類できます。それぞれ記録対象が異なるため、これらを組み合わせて分析することで、システム全体の可視性が高まり、より正確な脅威検知が可能になります。

SIEMに送信すべきログ

SIEM（Security Information and Event Management）に集約すべき主なログは以下のとおりです。

• ファイアウォールのログ
• ルーター、スイッチ、アクセスポイントなどのネットワーク機器のログ
• ワイヤレスアクセスポイントのログ
• 脆弱性診断ツールのレポート
• パートナー接続に関するログ
• アンチウイルス・アンチマルウェアのログ

SIEMのログソース

SIEMに取り込まれるログソースは、IDS、アンチウイルス／アンチマルウェア、データ損失防止（DLP）、Webフィルター、ハニーポット、ファイアウォールなどのセキュリティ対策製品に加え、スイッチポート、ルーター、ドメインコントローラー、Webアプリケーションサーバー、イントラネットアプリケーション、データベースなど、インフラ全体に及びます。

SIEMログソースの具体例

SOCアナリストは、ネットワークIPS/IDS、ネットワークDLP、サンドボックス、さらにはルーターのNetFlowデータなどから取得したログを活用し、分析データを補強（エンリッチメント）することもあります。

ログソース識別子とは

ログソース識別子とは、ログファイルの送信元を一意に特定するためのパラメーターです。通常はIPv4アドレスまたはホスト名で識別されます。ネットワークを設定する際は、イベントを発生させたデバイスのIPアドレスを指定し、該当するデバイスが存在しない場合には管理コンソールのアドレスを指定します。

SIEMでログ収集すべき3つの機器・プログラム

まず必須なのはファイアウォールのログです。次に、Active Directoryサーバー、データベースサーバー、主要なアプリケーションサーバーといったキーサーバーからログを収集しましょう。さらに、IDSのログやアンチウイルスのログも確認が必要です。Webサーバーのログも監視対象に含めるべきです。