運用・監視 / ログ
監査ログとは
Audit log。誰がいつ何をしたかを後から追跡するためのログです。
用語集内のカードを見る詳細な図解
操作発生管理操作を記録
ログ収集時刻と主体を集約
保全/検索改ざん対策して保存
調査/監査誰が何をしたか説明
- 時刻同期を確認
- 保存期間を決める
- 検索できる形で残す
この記事で学べること
監査ログを、定義だけで終わらせず、現場で出てくる場面、確認材料、見落としやすい点、関連語とのつながりまで順に確認できます。
- 監査ログを読むときの前提
- 誰が何をしたか説明できる形にする
- 時刻同期と改ざん対策を見る
- 検索性と保存期間を設計する
- 変更証跡と引き継ぎ
実務メモ
主体、操作、対象、時刻、相関IDを検索できる形で保全する
どこで効くか
監査ログは管理操作、権限変更、クラウド操作、SaaS管理、インシデント調査、内部統制で効きます。誰が何をしたかの説明で確認します。
残す証跡
証跡にはログ対象、保存先、保存期間、主体、操作名、対象リソース、時刻同期、送信元、相関ID、保全方法、閲覧権限、アラート条件、調査Runbookを残します。
避けたい誤解
ログを出しているだけでは十分ではありません。時刻ずれ、共有アカウント、NAT越しの特定不能、削除保護なし、検索キー不足、閲覧権限過多は調査と監査を難しくします。改ざん対策も合わせて確認します。
まず確認すること
- NTPとタイムゾーンを確認する
- 削除保護と権限分離を設定する
- 検索キーと保存期間を決める
監査ログを読むときの前提
監査ログは、誰が、いつ、どこから、何をしたかを後から追跡するためのログです。管理操作、権限変更、インシデント調査、内部統制で使います。
実務では、対象操作、主体、時刻、送信元、結果、相関ID、保存期間、改ざん対策、時刻同期、検索性、アクセス権限を確認します。
証跡には、ログ対象、保存先、保存期間、時刻同期、検索キー、保全方法、閲覧権限、アラート条件、調査手順、削除禁止設定を残します。
誰が何をしたか説明できる形にする
監査ログは量が多いだけでは役に立ちません。利用者ID、サービスアカウント、操作名、対象リソース、結果、送信元IPを結びつけて説明できる必要があります。
共有アカウントやNAT越しの操作では、個人や端末の特定が難しくなります。追加の相関IDや端末ログも合わせて残します。
- 主体と操作を記録する。
- 対象リソースを残す。
- 相関IDでログをつなぐ。
時刻同期と改ざん対策を見る
時刻がずれていると、複数システムのログを時系列で並べられません。NTP、タイムゾーン、ログ転送遅延を確認します。
侵害時にはログ削除や改ざんが狙われます。書き換え困難な保存、別アカウントへの転送、権限分離、削除保護を検討します。
- NTPとタイムゾーンを確認する。
- 削除保護を有効にする。
- ログ管理権限を分離する。
検索性と保存期間を設計する
監査ログは必要なときに検索できて初めて価値があります。ユーザーID、操作名、リソース、IP、相関ID、期間で検索できるようにします。
保存期間は、法令、契約、監査、インシデント調査の要件で決めます。保存しすぎると費用や個人情報リスクも増えます。
- 検索キーを決める。
- 保存期間を要件に合わせる。
- 費用と機密性を確認する。
変更証跡と引き継ぎ
監査ログの対象や保存先を変えると、調査できる範囲が変わります。ログ設定、保存期間、閲覧権限、アラート条件の変更は必ず記録します。
引き継ぎでは、ログ基盤担当、セキュリティ担当、監査担当、関連語としてIAM、NTP、インシデント、フォレンジックを残すと確認しやすくなります。
- ログ対象の変更を記録する。
- 閲覧権限を棚卸しする。
- 調査Runbookを更新する。
関連語
同じ主要カテゴリの用語
運用・監視の学習順
同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。