ログ管理ガイド

ログはさまざまな場面で必要になります。しかし、悪意ある第三者による改ざん・削除や、期間経過による自動破棄など、必要なときにログが残っていないケースは少なくありません。インシデント調査や監査対応の場面でログが残っていなければ、「原因究明の遅れによる被害拡大」や「監査で不合格・指摘」などのリスクが生じます。本記事では、ログを収集・保管・活用するまでの流れと、その過程で直面しやすい課題と解決策をご紹介します。

ログは、システムの稼働状況や操作履歴を記録したデータです。システム上で操作やイベントが発生すると、その記録がログとして残ります。たとえば、以下はWindowsイベントログ（イベントID 4624：ログオン成功）を抜粋したものです。ログオン日時・アカウント名・対象コンピューターなどが記録されています。

こうしたログを確認することで「本来アクセスしないはずのアカウントが管理者権限でログオンしていた」や「深夜・休日など通常とは異なる時間帯に管理者権限のログオンが発生していた」といった事実が見えてきます。

ログは何に使われるのか

ログは、セキュリティ対策やガイドライン対応、システム運用などに利用されます。

セキュリティ対策

• サイバー攻撃対策：外部脅威の可視化と迅速な検知・対応で、被害拡大を防ぐ。　詳細はこちら
• 標的型メール攻撃対策：不審な挙動の可視化と早期検知で、侵入後の被害拡大を防ぐ。　詳細はこちら
• 情報漏洩対策：操作ログを可視化・一元管理し、内部不正や情報漏洩を早期検知・追跡。　詳細はこちら
• インシデント対応・調査：発生したインシデントの証跡を一元管理し、迅速な原因特定と対応を支援。　詳細はこちら
• クラウドセキュリティ対策：クラウド環境の操作・アクセスを可視化し、リスクを統制。　詳細はこちら
• ゼロトラスト対応：アクセスを検証し、継続的にリスクを可視化・制御。　詳細はこちら
• サイバーレジリエンス強化：インシデント発生を前提に、検知・対応・復旧力を高める。　詳細はこちら
• 監査要件対応：証跡の一元管理と検索性向上で、監査対応の負荷を軽減。　詳細はこちら
• 能動的サイバー防御：通信・アクセスログの分析・活用により、サイバー攻撃への迅速な検知・対処を支援。　詳細はこちら

ガイドライン対応

• 情報セキュリティ、サイバーセキュリティ及びプライバシー保護 – 情報セキュリティ管理策（ISO/IEC27002）：ISOとIECが共同で策定した国際規格。附属書Aの管理策として、ログの取得と監視活動を規定している。　詳細はこちら
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）：経済産業省と内閣官房国家サイバー統括室が公表した方針に基づき、IPAが運営する制度。★3・★4レベルでは、ログの取得・保管・確認が関わる項目が評価対象とされている。　詳細はこちら
• クレジットカード情報保護のためのセキュリティ対策フレームワーク（PCI DSS）：国際カードブランド5社が設立したPCI SSCが策定した基準。監査ログの履歴を最低12ヶ月間保管し、うち直近3ヶ月分は分析のため直ちに利用できる状態にしておくことを要求している。　詳細はこちら
• 自工会/部工会・サイバーセキュリティガイドライン：日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）が共同で策定したガイドライン。ログの取得・保管期間・相関分析・常時監視などを求める。　詳細はこちら
• 医療情報システムの安全管理に関するガイドライン：アクセスログの記録・保存・監視に関する要求事項が明記されている。　詳細はこちら
• 重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針：サイバーセキュリティ戦略本部が策定する指針。ログの取得・監視によるサイバー攻撃の検知等を求める。　詳細はこちら
• 組織における内部不正防止ガイドライン：IPAが策定するガイドライン。システム管理者のアクセス履歴・操作履歴の記録・保存と、システム管理者以外による定期的な確認を求める。　詳細はこちら
• クラウドサービス利用のための情報セキュリティマネジメントガイドライン：経済産業省が策定するガイドライン。クラウド事業者に対し、クラウドの運用状況（監査ログ等）を利用者が適切に把握・入手できる仕組みの提供を要求している。　詳細はこちら

システム運用

• 障害の原因究明：システム障害発生時の原因調査にログが活用される。
• 稼働状況の可視化：ログにより、システムの状態を継続的に把握できる。

ログ管理は、ログを収集・保管・活用する一連のプロセスです。

• 収集：各システムから出力されたログを集める
• 保管：集めたログを整形し、一定期間保持する
• 活用：ログを監視・分析・調査・報告などに使う

ここからは、収集・保管・活用について、それぞれ見ていきます。

STEP1. ログの収集

ログの収集は、各機器やサービスのログを取得し、特定の箇所に集約するプロセスです。まず、用途に応じて収集するログを決めます。例えば、セキュリティ対策においては認証ログ・重要サーバーの操作ログ・ネットワーク境界の通信ログ・クラウドサービスの監査ログなどを収集するケースが多いです。

収集するログを決めた後は、次のことを検討します。

• 収集方式：どの方法でログを取得するか
• 収集するタイミング：いつ、どのくらいの間隔で集めるか
• 欠損への対応：取りこぼしをどう防ぐか

収集方式は、主に次の4つです。

• 管理画面から取得：各システムの管理画面から、手動でログをコピー・ダウンロードする
• エージェント方式：サーバーやPCに専用ソフトを入れ、ログを自動で転送する
• Syslog転送：Syslog（プロトコル）を用いて、システム側からログを転送する
• API連携：クラウドサービスやシステムが提供するAPIを通じて、ログを取得する

どの収集方式が適切かは、ログの出力元や社内のIT環境によって変わります。

収集するタイミングは、リアルタイムで取得するか、一定間隔でまとめて取得するかで選びます。脅威検知において重要なログほど間隔を短くし、そうでないログは負荷を抑えられる間隔で取得することが多いです。

収集対象が増えるほど、手動で集める労力は増大し、抜け漏れが発生しやすくなります。また、通信の途切れや機器の停止でログを取りこぼすケースもあります。だからこそ、自動で集め、取りこぼさない仕組みを整えておくことが大切です。

STEP2. ログの保管

ログの保管とは、収集したログを改ざんや消失から守りながら、必要なときにすぐ活用できる状態で保持するプロセスです。保管にあたっては、次のことを検討します。

• 保管期間：どのくらいの期間、ログを保持するか
• 保全：どうやってログの改ざん・削除を防ぐか
• 整形：分析のためにどんな形式に変換するか

保管期間は、目的や業種、対象となるログによって異なります。たとえば、PCI DSSでは監査ログを最低1年間は保管することが求められ、電子帳簿保存法では原則7年間の保存が必要です。また、サイバー犯罪の追跡・捜査に備える場合は、おおむね3〜7年が目安とされています。

ただし、すべてのログを検索しやすい状態のまま保ち続けると、データ量の増加とともに検索・分析の速度が落ちていきます。そのため、直近のログは即座に検索できる状態で保持し、一定の期間や容量を超えたログは、事後の調査で元の状態に戻せることを条件に、順次アーカイブへ移していくケースが多いです。テープやDVDなど可搬型の媒体にアーカイブする場合は、物理的なアクセス制御にも注意が必要です。

ログの保管においては、原本性を保持することが重要です。ログを証跡として利用するためには、「欠落していないこと」や「改ざんされていないこと」を証明することが求められます。そのために、暗号化、アクセス制御、ハッシュ値による改ざん検出などの対策を講じる必要があります。

また、各機器から出力されたログは「形式がバラバラ」「必要な情報が含まれていない」など、すぐに分析できる状態ではありません。そのため、必要な情報を付与したり、異なる形式を揃えたりして、分析しやすい状態に整えて保管しておくことが大切です。

STEP3. ログの活用

ログの活用は、目的に応じてログを利用するプロセスです。主な使い方として、次の4つが挙げられます。

• 監視：不審な挙動や異常を検知する
• 分析：傾向や利用パターンを把握する
• 調査：原因や影響範囲を特定する
• 報告：監査や経営層向けのレポートにまとめる

監視は、あらかじめ決めておいたシナリオをもとに行います。例えば、「複数システムへの認証エラーが立て続けに発生している」「承認を得ていない特権アカウントで作業が行われている」といったシナリオが検知されると、メールやコンソールにアラート通知が届きます。重要度に応じて、即時・日次・月次などタイミングを使い分けます。

分析では、傾向や利用パターンを定期的に可視化し、グラフなどでその推移を追います。過去の平均から外れる動きにも気づけるようにしておくと、異常の兆候を早い段階で捉えられます。

調査は、インシデントが発生したときや、疑わしい兆候を発見したときなどに行います。時間・ユーザー・操作対象（ファイル）など複数の切り口でログをたどり、発生日時・関係者・影響範囲を特定します。とくに効果を発揮するのが、複数のログを突き合わせる相関分析です。単体では見えない異常も、組み合わせると浮かび上がります。たとえば「入退室の記録がないIDで、社内からログインされていた」といった兆候は、複数のログを繋げて初めて気づくことができます。

報告は、監査対応や経営判断の場面で必要になります。監視・分析・調査で得られた結果を、読み手に応じて整理し直し、説明責任を果たせる形にまとめます。

ただし、こうした活用のしやすさは、ログの質で決まります。また、同じログでも見方によって得られる示唆は異なります。詳しくは以下の記事をご確認ください。

使えるログとは何か ～世の中に溢れる読めないログへの対処～
ログをどう見るのか ～基準を定めてブレを見つける、ログの使い方～

ログ管理ツールとは

ログ管理ツールとは、ログの収集・保管・活用を支援するシステムの総称です。ここまで見てきた「収集が大変」「ログが消失する」「分析が難しい」という課題を解決するために導入されるケースが多いです。対応範囲や得意分野はツールによってさまざまで、サーバーログやSyslog、PC操作ログなど特定の領域に絞ったものから、複数のログを横断的に管理・分析するものまで幅広く存在します。自社の課題や対象システムに合わせて、どれを選ぶかが重要になります。

ログ管理ツールの種類

ログ管理ツールの選び方

ここでは、ログ管理ツールを選ぶ際に、確認しておきたい観点についてご紹介します。

対応範囲：自社が管理したいログの種類や機器を、そのツールがどこまでカバーしているかを確認します。対応範囲はツールごとに異なるため、自社が管理すべきログを過不足なく収集できるか、将来システムが増えても拡張しやすいかなどを考慮して検討します。

要件への適合度：自社が求める要件をそのツールが満たしているかを確認します。ログ管理ツールは種類によって得意・不得意があります。例えば、Syslogサーバーは保管が得意ですが、分析機能が不足しているものが多いです。導入目的によって満たすべき要件は異なるため、優先順位を明確にした上で検討することが大切です。

運用のしやすさ：自社のリソースや人員のスキルに見合った形で、無理なく運用・保守を続けられるかを確認します。ログ管理ツールの中には、高度な専門知識が求められるものや運用負担の大きいものもあります。そのため、自社で運用するのか、外部に委託するのかも含めて検討することが大切です。

コスト：初期費用だけでなく、運用中に継続してかかる費用まで含めたトータルコストを確認します。ログ管理ツールは従量課金制と買い切り型で提供されるケースが多いです。従量課金制は始めやすい一方でログ増加時に費用が膨らみやすく、買い切り型は初期費用が大きい分、長期的には費用を抑えやすい傾向があります。いずれの場合も、保守費用・運用工数・人件費まで含めて比較することが重要です。

ログ管理ツールを選ぶ際は、いずれか一つの観点だけでなく、これらを総合的に踏まえて判断することがポイントです。