「ログは取っています」という企業は少なくありません。しかし、実際に不審なアクセスの疑いが出たときに、その記録から何が起きたかを追えるかというと、話は別です。ログは取得していることではなく事故のときに使えることに意味があります。この記事では、ログイン履歴や操作ログとして何を残すべきか、そして誰がいつそれを見るのかという運用面を整理します。残したログを実際に見て不審な点を探す手順は不正ログインを無料で確認する方法を参照してください。アカウント管理そのものの考え方はアカウント管理システムとは？の記事で解説しています。
ログを取っているのに使えないという状況はなぜ起きるのか
ログが役に立たなかった、という状況にはいくつかの典型的な原因があります。
- 必要な項目が入っていない — 記録は残っているものの、接続元やアカウント名が含まれておらず、誰の操作か判断できない
- 保存期間が短く、事故発覚時には消えている — 不審な兆候に気づくまでに時間がかかることは珍しくなく、その時点で古い記録が失われている
- 量が多すぎて誰も見ていない — すべてを出力しているために、異常が埋もれてしまう
- どこにあるか分からない — 機器やサービスごとに保管場所が異なり、必要なときに集められない
いずれも設定の不備というより、運用設計の欠落によって起きます。何のためにログを残すのかを決めていないと、こうした状態になりやすくなります。
事故のときに使えるログの条件
後から原因を追うために最低限そろえておきたい条件は、次のように整理できます。
- いつ・誰が・どこから・何に対しての操作なのかが分かる
- その操作が成功したのか失敗したのかが区別できる
- 記録された時刻が信頼できる(機器ごとに時刻がずれていると、前後関係を追えなくなります)
- 改変されにくい場所に保管されている(操作された機器の中だけに置かないという考え方です)
- 制度や契約で求められる期間、あるいは自社で必要と判断した一定期間、確実に残っている
保存期間については、業種や取引先との取り決めによって求められる長さが異なります。一律の正解を決めるより、自社が説明を求められる相手を想定して期間を定め、それを文書に残しておくほうが実務的です。取引先から対応状況を問われる場面についてはSCS評価制度の解説記事も参考になります。
特に残しておきたいイベント
すべての操作を同じ重みで扱う必要はありません。優先度が高いのは次のような記録です。
- ログインの成功と失敗 — 失敗の記録は、試行の痕跡を確認するうえで欠かせません
- 管理者権限での操作 — 影響範囲が大きく、後から確認される可能性も高い操作です(Windows Serverの特権アカウントも参照)
- アカウントの作成・権限変更・削除 — 権限がいつ誰の判断で変わったかを追える状態にしておきます
- 社外からのアクセス — 通常の社内利用と区別できるようにしておくと、確認の手がかりになります
権限そのものの設計は権限管理の考え方の記事で扱っています。ログと権限設計は対になるもので、権限が整理されていないほど、ログを見ても判断がつかなくなります。
共有アカウントがあるとログは機能しなくなる
ログ運用で見落とされやすいのが、アカウントの持ち方です。複数の担当者が同じIDを使っている場合、記録自体は残りますが、そこから誰が操作したのかを特定できません。追跡ができないため、事後の原因究明にも、記録が残るという抑止の効果にも結びつきません。
つまり、ログを活用する前提として、アカウントが個人に紐づいている必要があります。共有アカウントをどう解消していくかについては共有アカウントの見直しに関する記事で詳しく扱っています。ログの整備に着手する前に、こちらの状況を確認しておくことをおすすめします。
全部を人が見るのは無理という前提で運用する
ログを残しても、すべてを毎日確認するのは現実的ではありません。運用として続けるには、見る対象を絞る必要があります。たとえば管理者権限での操作、ログイン失敗が続いている記録、通常と違う時間帯や場所からのアクセスなど、確認する優先順位を先に決めておく方法です。
そして、誰がいつ確認するかを決め、確認した事実を記録に残します。担当と頻度が決まっていないログは、時間の経過とともに見られなくなります。アカウント一覧の定期的な見直しとあわせて運用サイクルに組み込む考え方は棚卸しの進め方の記事で紹介しています。
見る人の手間を減らすなら、ログを1か所に集めて、異変のときだけ知らせが来る形にする方法もあります。アプリップリキーを使うと、全PC・サーバーのログイン記録（日時・利用者・接続元のPC名とIPアドレス）が自動で1か所に集まり、絞り込んでCSVで出せます。記録は10年間残るので、保存期間の心配も減ります。ログインの連続失敗やランサムウェアの前兆はLINEに届くので、毎日ログを見に行かなくて済みます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると、記録には「どのスマホでログインしたか」も残り、「誰が入ったか」をはっきり説明できるようになります（PC版・サーバー版）。
検知の仕組みとログの役割の違い
ログは事後に経緯を追うためのものであり、同時に異常に気づくための材料にもなります。ただし、ログを取得しても、侵入が止まるわけではありません。入口を塞ぐ対策とは役割が異なります。検知を担う仕組みと、事前に弱点を洗い出す考え方の違いについては不正アクセス検知と予防の違いを整理した記事で解説しています。ログの整備は、そのどちらを進める場合でも土台になる部分です。
普段の管理が楽になると何が変わるか
ログは事故のときだけでなく、普段の仕事でも役に立ちます。取引先のチェックシートや監査で「ログイン履歴を保存していますか」と聞かれたとき、聞かれたその日に、期間と利用者で絞り込んだ記録をCSVで出せます。社員から「ロックされて入れない」と言われたときも、席まで行かずに、どのPCで誰が失敗したかをその場で確かめられます。在宅勤務の社員がいる会社なら、いつPCを使い始めて終えたかが分かるので、働いた時間を会社と社員の両方が説明でき、打刻とのずれもCSVで突き合わせられます。
ログを残しておく実務上の理由の一つは、漏えいの範囲を確定できることです。 範囲を示せない場合の扱いは 個人情報漏えいの報告義務と期限で扱っています。ファイルサーバー側の権限を見直す手順は ファイルサーバーのアクセス権を棚卸しする手順を参照してください。
全PC・サーバーをADなしで1か所にまとめて管理する方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらに社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
いまの運用を棚卸ししてみる
ログを何のために残し、誰が確認するのかは、組織の規模や利用しているシステムによって変わります。applippliの無料棚卸しでは、10問・約3分で、自社のID・アカウント管理やログ運用の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。手をつける順番を決める材料としてご利用ください。