ログ、Syslog、アラート

ログとは、ログイン、インターフェースの変更、パケットの破棄、エラーなど、あるイベントを時刻付きで記録したものです。ログはネットワークの記憶です。障害が発生したとき、ログがあれば何がいつ起きたのかを再構成できます。ログがなければ、トラブルシューティングは当て推量になります。ログがあれば、根本原因にたどり着くための証拠を追うことができます。

Syslogは、ネットワーク機器やUnix系システムでイベントメッセージを生成・送信するための、長年使われてきた標準です。デバイスはsyslogメッセージを生成し、中央のsyslogサーバーへ転送できます。これを一元化すると、50台のデバイスにそれぞれログインする代わりに、1か所を検索するだけで済むため強力です。Syslogは通常、UDPポート514を使用します。

ログの一元管理では、多数のデバイスからログを1台のサーバーまたは1つのプラットフォームに収集します。これには3つの利点があります。デバイス間のイベントを関連付けられること、デバイスが消去されたり故障したりしてもログを保持できること、そしてすべてを一度に検索できることです。攻撃者は痕跡を隠すためにローカルログを消去しようとすることが多いため、ログを中央に保存することはセキュリティ上も重要です。

Syslogでは、メッセージを重大度0～7で分類します。数字が小さいほど緊急度が高くなります。

• 0 Emergency、1 Alert、2 Critical
• 3 Error、4 Warning
• 5 Notice、6 Informational、7 Debug

通常は、ノイズの多いデバッグメッセージが重要なメッセージを埋もれさせないようにフィルタリングします。0が最も重大だと知っておくと、優先順位を付けやすくなります。

各syslogメッセージには、カーネル、メールシステム、認証サブシステムなど、どこから発生したかを示すファシリティコードも含まれます。ファシリティと重大度を組み合わせることで、メッセージの振り分けやフィルタリングが可能になります。たとえば、認証失敗をすべてセキュリティチームに送信できます。ファシリティと重大度によって、イベントの「何が」と「どこから」が分かります。

一般的なログ行には、タイムスタンプ、送信元のホストまたはデバイス、ファシリティと重大度、人が読めるメッセージが含まれます。正確なタイムスタンプは不可欠です。そのため、デバイスはNTPで時計を同期します。2台のデバイスの時刻が一致していないと、インシデント発生時にログを関連付けることはほぼ不可能になります。

ログは受動的な記録ですが、その上にアラートを構築できます。監視システムは受信するログを監視し、1分間に5回のログイン失敗が発生した場合や、「critical」メッセージが発生した場合など、パターンに応じて反応します。アラートはスタッフにメール、テキストメッセージ、ページャー通知を送信できます。これにより、静かなログの流れが、対応を求める能動的でタイムリーな警告に変わります。

SIEM (Security Information and Event Management)システムは、ネットワーク全体からログを収集して正規化し、イベントを関連付けて脅威を検出します。たとえばSIEMは、ファイアウォールによるブロック、ログイン失敗、新しい管理者アカウントの作成を、1つの不審な一連の事象として関連付けることがあります。SIEMはログ管理、アラート、分析を組み合わせたものであり、現代のセキュリティ運用の中心です。

保持とは、ログをどのくらいの期間保存するかということです。短すぎると調査に必要な履歴を失い、長すぎるとストレージコストが増加します。多くの組織や規制では、ログを数か月から数年間保存することが求められます。保持ポリシーでは、調査上の価値、コンプライアンス要件、ストレージ容量のバランスを取り、インシデント発生後ではなく事前に決定します。

ログの関連付けには一貫した時刻が必要なため、すべてのデバイスでNTP (Network Time Protocol)を使用し、共通の時刻ソースと時計を同期する必要があります。時刻が同期されていれば、ファイアウォールのログとサーバーのログを秒単位で一致させ、イベントの経路を追跡できます。時計のずれは、調査を混乱させる典型的で厄介な原因です。

他の監視と同様に、アラートも調整する必要があります。アラートが多すぎるとアラート疲れが起き、重要な警告が無視されます。少なすぎると、実際のインシデントを見逃します。高い重大度のイベントや意味のあるパターンに対してアラートを設定し、既知のノイズの多いメッセージを抑制し、ネットワークの変化に応じてアラートルールを定期的に見直すのが適切です。

ログ管理の知識を確認しましょう。

ログ管理とアラートについて学びました。重要なポイント：

• ログは時刻付きのイベント記録であり、syslogによって標準化されます（UDP 514）。
• ログの一元管理は、関連付け、保存、検索に役立ちます。
• 重大度は0（Emergency）から7（Debug）までで、数字が小さいほど緊急度が高くなります。
• SIEMはログを関連付けて脅威を検出します。
• NTPによって時計が同期され、ログの時刻を一致させられます。