概要

ログ管理は「何が起きたか」を記録し、監査証跡はその記録の真正性・完全性を保証します。セキュリティ監視・インシデント調査・法令対応・業務監査のすべてがログに依存しており、「記録がなければ何も証明できない」という状況はセキュリティ上の致命的な欠陥です。SC試験ではログの設計・保全・活用の全体像が問われます。

収集すべきログの種類

システム・ネットワーク系

ログ種類内容重要イベント
OSログ（syslog/Windows Event Log）ログイン・プロセス起動・設定変更ログイン失敗・特権使用・ユーザ作成
ファイアウォールログ許可・拒否された通信の記録不審なポートスキャン・内部→外部通信
DNSログ名前解決の記録マルウェアのC2ドメイン問い合わせ
VPN・リモートアクセスログ接続元IP・ユーザ・時刻通常と異なる時間帯・場所からの接続

アプリケーション系

ログ種類内容重要イベント
WebサーバログHTTPリクエスト・レスポンスコード404/403の多発・SQL文字列の混入
認証ログログイン成功・失敗・MFA操作短時間多数の失敗（ブルートフォース）
アプリケーションエラーログ例外・エラー内容SQLエラー（SQLi試み）・スタックトレース漏洩

クラウド系

ログ種類例
クラウド操作ログAWS CloudTrail・Azure Activity Log
リソースアクセスログS3アクセスログ・Azure Storage Analytics
セキュリティイベントAWS Security Hub・Azure Defender

監査証跡の要件

取得すべき情報

ログの最小構成要素（5W1H）：
- Who（誰が）：ユーザID・IPアドレス
- What（何を）：操作内容・対象リソース
- When（いつ）：タイムスタンプ（UTC推奨）
- Where（どこで）：端末・サーバ・アプリ
- Why（なぜ）：業務目的（可能な場合）
- How（どうやって）：使用した手段・プロトコル
監査証跡の5W1H
Who
ユーザID・IPアドレス
What
操作内容・対象リソース
When
タイムスタンプ（UTC推奨）
Where
端末・サーバ・アプリ
Why
業務目的
How
使用した手段・プロトコル
監査証跡
ログの最小構成要素

ログの保存期間

法的・規制要件保存期間
PCI DSS12か月（最新3か月はオンライン）
HIPAA（米国医療）6年
電子帳簿保存法（日本）最大10年
一般的なセキュリティ要件最低1年（1〜3年推奨）

ログの改ざん防止

分離保管

ログは監視対象システムとは別のサーバ・ストレージに保管します。

悪い例：Webサーバのローカルディスクにアクセスログ保存
→ 攻撃者がWebサーバを侵害すると証拠隠滅できる

良い例：別のSyslogサーバ・SIEM・クラウドストレージに転送して保管

ハッシュ値による完全性確認

保存時：ログファイルのSHA-256ハッシュ値を記録
確認時：現在のファイルのハッシュと一致するか確認
不一致：改ざんの疑い → フォレンジック調査

Write-Once ストレージ（WORM）

Write Once Read Many の原則で、追記のみ可能で削除・上書きが不可能なストレージです。

技術例
WORM ストレージAWS S3 Object Lock（Compliance モード）
タイムスタンプサービス電子署名付きタイムスタンプで時刻の改ざんを防止
Blockchain分散台帳によるログの改ざん検知（実験的）

SIEMとの連携

ログ収集の流れ：
各システム → syslog/API → ログ転送（Logstash等） → SIEM（Splunk・ArcSight等）
                                                      ↓
                                              相関分析・アラート→ SOC
ログ収集からSOC対応までの流れ
1
各システム
OS・FW・アプリ等
 2
ログ転送
syslog / API（Logstash等）
 3
SIEM
収集・正規化・相関分析
 4
SOC
アラート対応・トリアージ

SIEM ではログを一元管理し、相関ルールで異常を検知します。ログ管理の設計が不十分だと SIEM を導入しても効果が限定的です。

SC試験での頻出ポイント

  • ログを分離保管する理由：攻撃者によるログの改ざん・削除（証拠隠滅）を防ぐ
  • タイムスタンプをUTCで記録する理由：タイムゾーンが異なるシステムのログを正確に時刻順で結合するため
  • 監査証跡の完全性確認方法：ハッシュ値の記録・WORMストレージ・電子タイムスタンプ
  • ログの保存期間の根拠：法的要件（PCI DSS・個人情報保護法等）と組織のポリシー
  • ログが改ざんされた場合の問題：インシデント調査が困難になり、攻撃者の特定・訴追が不可能になる

よくある誤問・ひっかけパターン

誤り① 「ログはシステム障害の調査専用」→ 誤。セキュリティ監視・インシデント調査・法令対応・業務監査など幅広い用途があります。

誤り② 「ログを長期保存するとコストが増えるだけでセキュリティ上の意義はない」→ 誤。APT攻撃は潜伏期間が長期に及ぶため（平均200日以上）、古いログが調査に不可欠なケースがあります。

誤り③ 「ハッシュ値が保存されていればログは改ざんできない」→ 誤。ハッシュ値は改ざんを「検知」するためのもので、「防止」ではありません。防止にはWORMストレージが必要です。

関連用語

重要キーワード

用語説明
監査証跡「誰が・いつ・何をしたか」を証明できるログの記録
WORMWrite Once Read Many。追記のみ可能で削除・上書き不可のストレージ
タイムスタンプログの時刻を信頼できる形で記録・保証する仕組み
syslogログを集中管理サーバに転送するためのUNIX標準プロトコル
ログの正規化異なる形式のログを統一形式に変換してSIEMで分析可能にする
相関分析複数のログを組み合わせてシングルのイベントでは見えない攻撃を検知する