ログ管理・SIEMによる証跡保全とデジタルフォレンジクス

ログで経緯を追うでは、記録の時刻・保管・関連付けから、事象の経緯を追います。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

1. ログ管理の3大必須技術要件

• 必要なログを集め、記録漏れ・転送失敗・保存期間を確認する。利用目的とアクセス権も管理する。

• 信頼できる時刻源で同期し、タイムゾーンや時計のずれを把握する。全機器を必ず一台のNTPサーバへ同期するとは限らない。

• ログの変更・削除を制限し、別の保管先やハッシュ値等で保全後の変更を検知する。ハッシュ値だけでは記録内容が真実か、誰が生成したかまでは証明できない。

2. デジタルフォレンジクス（Digital Forensics）の基本原則

証拠保全で記録すること
・取得した担当者、日時、対象、手順
・取得元と保管先、移送や受け渡しの履歴
・保全時のハッシュ値と、確認時の一致
・必要に応じたメモリ等の揮発性情報
調査は専門担当と手順に従い、被害拡大の防止も並行する。

3. 科目B形式オリジナル実戦シナリオ演習

演習1：複数サーバのログ突合におけるNTP時刻同期の重要性

〔背景・企業概要〕A社でWebサーバへの不正アクセス事件が発生した。情シス担当者がファイアウォールとWebサーバのログを照合したところ、アクセス順序の前後関係が矛盾して攻撃経路が特定できなかった。

〔設問〕この事態を招いた根本原因と、再発防止策として最も適切なものはどれか。

• ア：機器間で時刻同期（NTP）がされておらず時計が数分ズレていたことが原因であり、全社内機器で共通のNTPサーバを参照する設定を義務付ける。

• イ：ログの文字フォントが異なっていたことが原因であり、全機器のフォントを統一する。

• ウ：サーバの電源をこまめにON/OFFすることが原因であり、年中無休で稼働させる。

• エ：ログを英語で記録していたことが原因であり、すべて日本語に翻訳する。

【正解】：ア

根拠：複数のログを時系列で関連付けるには、時計のずれやタイムゾーンを把握し、信頼できる時刻源で同期することが重要です。ログの時刻が一致していることだけで事象の原因を断定しません。

確認する点：ログを無制限に消去したり、時刻を確認せず比較したりすると経緯を追いにくくなります。

4. まとめと重要チェックリスト

• ログの時刻とタイムゾーンをそろえて関連付ける。

• アクセスや変更を制限し、保全後のハッシュ値等も確認する。

• フォレンジクスは専門担当が手順に従い、証拠と取得・移送の記録を保全する。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験 シラバス Ver.4.1

NIST SP 800-61 Rev.3：インシデント対応