[第3回] 使えるログとは何か ～世の中に溢れる読めないログへの対処～

世の中に溢れる読めないログ

なぜログを取っておくのか、それは言うまでもなく、それを読み、何かを見つけ、必要な対策を取るためです。しかし残念な事に、多くのログは人間がそのまま読める形では記録されておらず、発生したままのログを保管しても多くの場合、あまり役には立ちません。

また現状、ログの分析はできているとする企業でも、特定の担当者のスキルによってカバーされているいわゆる「ログ管理の属人化」が進んでおり、その担当者が居なくなったらログの分析が行えなくなる、という状況も多いと思われます。このような状況を踏まえ、ログ管理を継続して、適切に行っていくためには、下記について強く認識しなければなりません。

• ログはそのままでは読めない、追えない。（ログを人間が読み、追える形で管理する）
• ログに必要十分な情報は記録されていない。（ログに必要な情報を足して管理する）

これを意識して管理を進めなければ、ログは「宝の山」などではなく、「ゴミの山」と化してしまいます。

それでは、人間が正しく読むことができ、追うことができ、必要な情報を記録する「ログ管理」の方法について、ここでは具体的な話をするために、統合ログ管理システムLogstorageを例にご説明します。

Logstorageとは様々なシステムに異なるフォーマットで散在するログを管理・分析する純国産の統合ログ管理システムです。内部統制、情報漏えい対策、サイバー攻撃対策、システム運用監視など多様な目的に対応できる、統合ログ分野でのデファクトスタンダード製品です。官公庁や金融業、通信業を中心に5100社以上が導入しており、統合ログ管理ツール分野シェア17年連続No1となっています。

ログが追えない

例えば、何らかの問題が発生し、ITシステム上での特定ユーザの行動を追跡する事を考えてみます。前回ご説明した通り、ログはシステム、機器、アプリケーション毎に形式が大きく異なり、下記のように出力されます。

入退室管理システム

認証システム

メールシステム

データベース監査システム

上記、赤字部分が各ログ上の「suzukiユーザを一意に識別するキー」を表しています。

このように、ユーザIDの記録のされ方はシステムによってバラバラですので、これらログを単に保管するだけでは、ログの追跡を行う事は極めて困難である事がお分かり頂けるかと思います。

この問題への対処方法は幾つかありますが、上記の図が、「統合ログ管理システムLogstorage」による解決方法です。この方法は、IDの違いを吸収するために「共通IDマスタ」を用意し、ログ収集対象毎のIDに対応する「共通ID」をログに付与します。

ここで付与した「共通ID」を利用して、ユーザID「suzuki」で検索する事で、ユーザの行動が追跡できるという仕組みです。「ログの追跡性」を確保するためには、こうした「必要な情報をログに足す」という発想が必要です。

ログが読めない その１ ～解析しなければいけないログ～

Windowsイベントログを収集・管理されるケースは非常に多くありますが、Windowsイベントログ（特にファイルアクセスログ）は、読めないログの代表的なものです。

下記は、監査設定を有効にした上で、1つの Excel ファイルをオープンした際に出力されるイベントログの例です。実際にはこのようなログが1アクセス毎に、10行以上記録されます。

マイクロソフト社より、上記ログをどのように監査すれば良いか、その方法に関するガイド（「サーバ製品のログ監査ガイド」）が公開されていますが、1つの事象を追うために幾つものログをチェックしなければならず、この手順通りに行うのは現実的ではありません。

そのため、現在はこの複雑なイベントログを解析し、「１アクセス＝１ログ」に近い形に翻訳してくれるツールが幾つか販売されています。

また、ご興味のある方は、マイクロソフト社の「サーバ製品のログ監査ガイド」をご覧下さい。分かり易くまとめられた内容ではありますが、同時に、セキュリティイベントログの追跡の複雑さがお分かり頂けるかと思います。

今回挙げたWindowsサーバのログ以外にも、ストレージのアクセスログなども解析が必要です。基本的なところではありますが、まずは、現在自社で収集しているログの内容が理解できるかどうか、チェックして見て下さい。

ログが読めない その２ ～変換・情報付与しなければいけないログ～

解析が必要なログ以外で、下記に、そのままではログが読めない代表的なケースを挙げます。

上記のケースに対して、またログの活用を進める上で必要なのは、現在記録されているログだけで何とかしようとせず、ログに記録される項目と内／外のデータをリンクし、ログの価値を向上させるという発想です。

「統合ログ管理システムLogstorage」は下の図のように、ログを収集する際に様々なデータをログに足し、利用し易い形で保管することができます。

例えば、最近流行している外部のストレージサービスへのアクセス監視を行いたいという話が増加しています。ストレージサービスは海外を中心に乱立している状況ですので、企業のシステム担当者が全てのストレージサービスを調査し、全てのURLをチェックする事は現実的ではありません。そこで、外部のデータベースを利用する事になります。繰り返しになりますが、「必要な情報をログに足す」という考え方を持つことによって、ログの活用の範囲は大きく広がります。

次回、ログをどう見るのか

今回は、正しく読むことができ、追うことができ、必要な情報を記録するためのログ管理の方法についてご説明しました。ただ、今回ご説明した内容を、全てのログに対して行う必要はありません。あくまで、必要なケースでのみ、実施する事になります。

「必要なケース」とは何か、簡単に言えば、「ログをどう見るのか」「ログから何を見つけるのか」を明確にして、「見つけるために必要な情報を足す」という事になります。

次回は、「ログをどう見るのか」「ログから何を見つけるのか」を中心にご説明します。

>>[第4回] ログをどう見るのか ～基準を定めてブレを見つける、ログの使い方～