[第2回] ログにはどんなものがあるのか ～その種類と内容、問題点～

ログ管理への取組みの分類

前回からの続きとなりますが、「個人情報保護法」「内部統制」がログ管理ツール導入の契機になったという説明をしましたが、勿論、ログはそれ以外の目的でも多く利用されています。特に、Webアクセスのログ分析などは、以前から多くの企業で実施され、マーケティングに有効に活用されています。こうした使い方と分けて考えるため、下表にログ管理への取り組み方の分類をまとめます。 上記分類は、「企業の環境経営の取組姿勢（環境白書）」から一部使わせて頂いたもので、（エコなどの）「環境対応」と「ログ管理」は、直接的な経営へのプラスのメリットが見えにくく、「規制対応型」が先行するという意味で共通する面が多いかと思います。基本的には、表の下に行くほどログの活用度が高いという事が言えますが、「[第1回] ログが活用できないワケ ～ログを溜めるだけになっていませんか？～」で説明した通りの理由で、多くの企業が「規制対応型」或いは「予防的対応型」に留まっているのが現状です。また、「規制対応型」「予防的対応型」にしても、実質的に意味のあるログ管理を行えていないケースも多く見られます。形式的な対応で監査をパスしたものの、何らか調査すべき異常・不正が生じた際、その原因調査に全くログが利用できなかった、というようなケースです。今回、第3回、第4回では、意味のあるログ管理を行うために必要な点について説明していきますが、まずは、ログそのものの説明から進めていきたいと思います。

様々なログの種類

「ログ」という言葉から、思い浮かぶものは何でしょうか。システムの運用を担当されている方であれば、サーバやネットワーク機器のシステムログなど、セキュリティを担当されている方であれば認証ログやデータベース等の監査ログやファイアウォールやIPS/IDSのログなど、Webマーケティングを担当されている方であれば、自社Webサイトへのアクセスログなどでしょうか。ログはITシステムの動作履歴ですから、業務の大部分をITシステムに依存する現代の企業では、様々な目的でログを収集しています。下記に、ログの分類の一例を挙げます。 ログには、実に様々ものがありますので、「何のためにログを管理するのか」を明確にした上で、何のログを管理するのか、絞り込んでいく必要があります。また、その中から具体的に何を得るのかを設定し、そのための “軸” を持つ事が重要になります。”軸” とは例えば、”閾値” や “範囲” を指します。よく、”コンプライアンス対応” と称するログ分析レポートで、「ログインの失敗履歴」を出力するようなものがあります。そのレポートには、1日に発生したログイン失敗ログのリストや、ユーザ毎のログイン失敗回数が出力されています。このようなレポートから、どのような分析が出来るでしょうか。記録されているログそのものや、発生している回数だけを見ても、殆ど意味はありません。ここで見るべきポイントの例としては、「通常とは違う場所からアクセスされていないか？」や、「通常は人が居ない時間帯にアクセスされていないか？」「いつもより回数が異常に多くないか？」などです。こうした分析を行うために、「通常のアクセス元」「通常アクセスのある時間帯」「通常のアクセス回数」などの “軸” が必要である事がお分かり頂けるかと思います。そして、決めた “軸” との比較に必要な内容が、ログに記録されているかを確認し、それを管理していく必要があります。

ログの記録内容

それでは、具体的なログの内容を見てみましょう。ログの種類によって違いはありますが、アクセスログに記録される代表的な項目は下記になります。 次に、上記表に対応する、実際の生のログを見てみましょう。

Windowsイベントログ

Webサーバアクセスログ

データベースアクセスログ

ログ分析を本職にしていない限り、「いつ」「誰が」「何を」「どこで」「どうやって」「どうなった」といった情報が、ログの中のどの部分に記録されているかは直ぐには分からないと思います。このように、ログの形式はシステムや機器ごとにバラバラで、更に、このようなログがITシステム上のあちこちに点在して保存されています。ログ管理を簡潔に説明すると、「点在するログを一元的に、必要な情報と共に管理し、各ログの形式を理解した上で、”軸” と比較する」という事になります。 　そのために、まずは下記の問題点を認識し、解決していく必要があります。

問題点① ログは点在している

ログが点在している事は、下記の問題があります。

• ログの追跡が困難 ITシステム上での人の動きやデータの流れを追跡するためには、異なる複数のログを繋ぎ合わせて確認する事が必要になります。例えば、あるサーバ上で何らかの異常が生じた際、その原因調査のために、「サーバ自身のアクセスログ」「サーバに接続していた端末のアクセスログ」「サーバが置かれているマシンルームの入退室ログ」など、様々なログを調査する事があります。 そうした際、ログが点在したままでは、追跡調査は極めて困難です。

• ログの保存期間が統一できない 各サーバ・機器上にそのままログを保存する方法では、保存する期間は各サーバ・機器が持つ機能や、ストレージの大きさに依存する事になります。特にネットワーク機器などは、長期間のログを保管する為の領域を持っていない事が多く、短期間でログが捨てられる事もあります。これは、先に説明したログの追跡を更に困難にします。

• ログの改ざんに対して無防備 悪意を持った人物によってITシステム上で何らかの不正が行われた場合、その痕跡を残さない為に、ログが改ざん・削除される事もあります。各サーバ・機器上にそのままログを保管する方法では、このログの改ざん・削除に対しては無防備です。

こうした問題に対し、統合ログ管理ツールを導入して対応する企業が増えています。統合ログ管理ツールは、「ログの一元化」「ログの圧縮による長期保管」「ログの暗号化・改ざん検出」の他、様々なログの分析機能を持っており、ログ管理の負担を大幅に軽減します。

問題点② ログの形式がバラバラ

残念ながら現在、ログの形式に関する共通的なルールはほぼ無いと言って良く、各製品やアプリケーションがそれぞれ独自の形式でログを出力しています。更にそれらのログの中には、ユーザが読むことを意識して出力されていないものも多くあります。そのため、ログを管理する際は下記を意識する必要があります。

• ログの内容が理解出来る形で管理する
• 必要に応じて情報を付加して管理する

「規制対応型」の場合、単に発生したログをそのまま溜め込んでいるというケースも多く見られ、その場合、いざログを活用しようとしても、それは極めて困難であると言えます。このログ形式の問題に対して、具体的にどう対応すべきかは次回、第3回でご説明します＞＞[第3回] 使えるログとは何か ～世の中に溢れる読めないログへの対処～