監査ログとはシステム内で発生したイベントやユーザーの行動を書き残した記録のことです。監査ログを記録するとユーザーの怪しい挙動や、障害につながるイベントなどの調査ができます。本記事では監査ログ管理の課題や解決策を解説し、より効率的な管理のためにできることを紹介します。
監査ログとは？基本概念と役割
監査ログとは、システム内で発生したイベントやユーザーの行動を書き残した記録のことです。監査ログを記録することで「ユーザーが怪しい挙動をしていないか」「障害につながるイベントが発生していないか」などの調査ができます。
年々、監査ログの重要性は高まっています。理由としては、内部不正への対応が不可欠になったことが挙げられます。近年では、従来の境界型の防御は通用しなくなってきており、ゼロトラストの概念が広まりました。監査ログで社内ユーザーの挙動を監視することで、ゼロトラスト実現に向け、内部不正を心理的に防ぎ、仮に不正をされても犯人や原因を特定できます。
また各国で厳しい規制ができたことも監査ログの重要度が高まった要因です。各システムにおける監査ログの記録は大抵の規制において必須項目となっています。
監査ログの主な機能と活用方法
監査ログの主な機能と活用方法は以下の通りです。詳しく解説しましょう。
- ユーザーアクティビティの記録と分析
- インシデント対応と不正アクセスの検知
- 監査対応の効率化と証跡管理
ユーザーアクティビティの記録と分析
監査ログはユーザーアクティビティの記録と分析に活用できます。
ユーザーアクティビティは監査ログの記録レベルによって、粒度が異なります。ログイン、ログアウトのみを記録するレベルもあれば、実行したコマンドやファイルを細かくチェックするレベルなどさまざまです。
ユーザーアクティビティを記録し、分析をすることで、幅広く活用ができます。
例として、異常行動の検出への活用です。日頃から一般ユーザーがアクセスするファイルやシステムが決まっていれば、同様のログが多く溜まります。しかし、その中で別のファイルやシステムにアクセスすれば「異常行動だ」として検出しやすくなります。
インシデント対応と不正アクセスの検知
監査ログはインシデント対応と不正アクセスの検知にも活用できます。
例えば、外部からサイバー攻撃をされた場合、監査ログを用いて原因や犯人の調査が可能です。送信元のIPアドレスや、実行されたコマンド、アクセスされたファイルなどから、被害状況の確認や侵入経路の特定ができます。また、不正アクセスの場合は送信元IPアドレスや、行動分析から検知が可能です。
監査ログがこれらの対応や検知につながれば、今後のセキュリティ対策のヒントとしても活用できます。
監査対応の効率化と証跡管理
監査ログは監査対応の効率化と証跡管理にも有効です。
監査は外部から「会社のシステムに問題がないか」を確認するために行います。システムイベントの必要な内容が記録されていることや、適切な期間にわたって記録が保存されていることが監査基準です。監査ログの記録によって、監査対応が効率化できます。
サイバー攻撃や内部不正があった場合の証跡管理にも監査ログは有効です。監査ログを裁判の証拠やデータの改ざん被害がないことの証明に活用できます。
監査対応や証跡管理は利益を生み出す業務ではありません。だからこそ、適切に監査ログを記録し、効率的に対応することが重要です。
監査ログ管理の課題と解決策
監査ログ管理の課題として以下が挙げられます。
- ログデータの膨大化と効率的な管理方法
- 不正行為の早期検知とアラート設定
- セキュリティ運用の負担軽減と自動化
ログデータの膨大化と効率的な管理方法
監査ログ管理において、ログの膨大化はつきものです。効果的な管理方法がなければ、保存や分析に困ることになります。
監査ログは以下の要素により、ログ量が膨大になります。
- ログを記録、保存する期間が長い
- ログ記録の対象となるシステム数が多い
- 記録するログの内容が詳細なものが求められる
規制を遵守するためには期間、内容に規定があるため、効率的な管理方法が欠かせません。効率的な管理をするための策として、以下があります。
- ログの収集・保存ポリシーを見直し、必要なデータのみ記録する
- ログ管理ツールを活用し、集約・圧縮・アーカイブを実施する
- クラウドストレージやデータレイクの活用により、大量のログを低コストで保管
膨大な監査ログを保存する仕組みと、保存したログを分析する仕組みが重要です。
不正行為の早期検知とアラート設定
監査ログを記録していても不正行為の早期検知と、適切なアラート設定は難しいものです。しかし、致命的なミスや影響が大きいサイバー攻撃などは、なるべく早く気が付かなければなりません。
解決策として以下があります。
- SIEM（セキュリティ情報イベント管理）を活用し、監査ログの中から異常なログイン試行や権限昇格をリアルタイムで検知する
- 機械学習を活用したログ分析により、通常の動作パターンを学習させておき、異なる異常な行動パターンを検出しやすくする
- アラートの最適化を行い、重要度の低いイベントをフィルタリングすることで、誤検知を減らす
上記によって不審かつ重大なログのみに着目し、アラート発出ができる確率が高まります。
セキュリティ運用の負担軽減と自動化
監査ログの記録により、セキュリティ運用業務の負担は大きくなる場合があります。ログの保存や分析、発出したアラートの確認など、必要な対応が増えるためです。
しかし、セキュリティ業務にばかりリソースを割くわけにも行きません。負担軽減をするための解決策として以下があります。
- ログの収集・分類・分析の自動化を行うツールを導入
- SOAR（Security Orchestration,Automation and Response）の活用によるインシデント対応の自動化
セキュリティ運用が自動化できれば、セキュリティリスクを小さくすることや、被害を小さくする活動につなげやすくなります。
監査ログ管理ツールの選定ポイント
監査ログには管理ツールがあります。監査ログ管理ツールの選定ポイントとして以下があります。
- 監視内容
- 他システムとの連携性と拡張性
- コンプライアンス対応のためのレポート機能
監視内容
監査ログ管理ツールのうち、重要なのは監視内容です。
監査ログに記録すべき内容はシステムや規制によってさまざまです。例えば、ファイルへのアクセスログを記録できるか、ファイル内のデータ操作を詳細に記録できるか、など監視できる内容の粒度がツールごとに異なります。またクラウドサービス／オンプレミスに対応できるのか、システム環境に対応できるツールを選ぶことも重要です。
自社が記録したい内容が記録できなければ導入しても意味がありません。よってツールを選定する前に、監視すべき内容を明確にしておく必要があります。
他システムとの連携性と拡張性
監査ログ管理ツールは他システムとの連携性や拡張性も重要です。
監査ログ管理ツールが連携する他システムの例として以下があります。
- SIEM
- SOAR
- ID管理システム
- ストレージ
拡張性の点ではAPI連携（異なるアプリケーションやシステム間の連携）が可能か、カスタムスクリプトへの対応可否などの点が重要です。またログの量が膨大になることを考え、後から保存容量の増大に問題なく対応できるかどうか、も気にしておきましょう。
コンプライアンス対応のためのレポート機能
コンプライアンス規制に対応したレポートを出力できるかどうかも監査ログ管理ツールの選定ポイントです。
自社が運用するシステムや、活動する地域によって遵守すべき規制が異なります。遵守する規制に対応したレポートの作成、出力ができることが重要です。
またレポート作成を効率化するため、以下の機能も確認しておきましょう。
- 監査時に活用しやすいレポートテンプレートが用意されているか
- 自動レポート生成機能があるか（手作業を減らし、監査対応を効率化）
監査ログを活用するためのソリューション
監査ログを活用するためのソリューションとして、OIM（One Identity Manager）があります。本章ではOIMによる効果的な監査ログ管理について解説します。
効果的な監査ログ管理の実現方法
効果的な監査ログ管理の実現方法として、監査ログ管理とセキュリティ対策の両立が挙げられます。
監査ログ管理はセキュリティ対策の結果と、システム状況を可視化するためのツールです。よって監査ログ管理とセキュリティ対策を同時にできれば、効率よく監査ログを実現できます。
そのために必要な機能には以下があります。
- 適切なログの収集とフィルタリング
- セキュリティイベントのリアルタイム監視
- 監視対象システムとの連携
- 監査ログの結果レポートやアラートの発出
One Identity Manager（OIM）を活用した監査ログ管理の最適解
OIMは先述した機能をそれぞれ持ちます。
OIMはID管理とITガバナンスの両立が可能なIGA（Identity Governance and Administration）ソリューションです。OIMを利用することで、ユーザーアカウントの作成、変更、削除や権限の管理を効率よく実現できます。
OIMのセキュリティ機能に加えて監査ログ管理の機能を併用すれば、効果的な監査ログ管理が実現します。セキュリティ機能の設定内容によって監査ログの内容も調整が可能です。もちろん、レポートの機能も備わっており、監査対応を効率化できます。
OIMの利用により、セキュリティ対策と監査対策を両立しましょう。
まとめ
監査ログとはシステム内で発生したイベントやユーザーの行動を書き残した記録のことです。監査ログを記録するとユーザーの怪しい挙動や、障害につながるイベントなどの調査ができます。
監査ログは監査が入る際にも利用され、監査の準備にはレポートや現地調査が必要です。OIMの監査ログ機能を用いるとレポート作成の自動化や、調査ができるため、監査対応を効率的に進められます。
OIMが気になった担当者さまは下記リンクより、資料ダウンロードにお進みください。
SAP ID＆アクセス管理ソリューション
ID統合管理とアクセス管理の連携により、ID及びリスク管理のコストを削減します。
