ログを「残す」と「見る」は別の仕事——保存期間は足りていますか

「ログは取っています」——情報システムの担当者に尋ねると、まずこの答えが返ってきます。嘘ではありません。ネットワーク機器にも、メールのサービスにも、業務システムにも、動作を書き残す機能は最初から入っています。導入のときに「何かあったときのために」と説明を受けた記憶がある方も多いはずです。

詰まるのは、その次の質問です。

事故が起きた会社にうかがって最初に聞くのは、たいてい「では、いつから入られていましたか」です。ここで会話が止まります。ログは確かにあった。画面を開けば今日の分も昨日の分も並んでいる。ただ、知りたい時期の分だけが、もう残っていないのです。

これは不注意な会社だけの話ではありません。導入した当初は担当者もそのつもりで設定を終えているのに、同じ穴に落ちます。理由は、記録が消えていく様子が普段の業務では一切目に見えないからです。容量の警告が出るわけでもなく、画面にはいつも通り最近の分が表示されている。その裏側で、何か月も前の記録が古い順に静かに上書きされていることに、誰も気づきません。

「残す」と「見る」は別の仕事です。この記事では、その二つを分けて考える理由と、何をどれだけ残すか、残したものをどう見る仕組みに変えるかを順に扱います。

「いつから入られていたか」に答えられるかで、対応の速さが決まる

不審な動きが見つかった日、社内で飛び交う質問はどの会社でもほとんど同じです。いつからおかしかったのか。どこまで見られたのか。他の部署にも広がっているのか。答えられれば、被害の範囲を線で囲んで、そこだけに人手を集中できます。答えられなければ、疑わしい機器をまとめて止めて、一から調べ直すしかありません。同じ規模の事故でも、業務が止まる範囲と日数がまるで変わります。

答えられなかった会社が実際に何をすることになるか、具体的に書きます。疑わしい範囲が絞れないので、社内の端末をまとめて業務から外します。全員のパスワードを入れ替え、社外からの接続をいったん止めます。取引先には「調査中で、影響の範囲はまだ申し上げられません」と伝えるしかありません。この「まだ申し上げられません」が続くほど、相手の側の不安は膨らみます。技術的な被害より、この期間に失うもののほうが大きかった、という例も珍しくありません。記録が残っていれば、同じ事故でも「この部署の、この期間だけです」と最初の数日で言い切れます。

答えの材料はひとつしかありません。事故の時期までさかのぼれる記録が残っているかどうかです。消えた記録は、どれほど腕のいい担当者でも復元できません。調査の速さは、担当者の力量より先に、機器を買った日の設定で決まっています。

多くの会社がここでつまずくのは、悪意でも怠慢でもありません。機器やサービスの保存期間の初期設定が、そもそも短く作られていることを知らないまま使っているからです。導入時の設定のまま何年も動いている機器は珍しくありませんし、その設定が何か月で記録を上書きしていくのかを一度でも確かめた担当者は、むしろ少数派です。

設定が見直されない事情はもう一つあります。初期設定をしたのは導入時の業者で、その後に担当者が代替わりしていることです。引き継ぎの資料に書いてあるのは接続の手順やパスワードの管理方法で、保存期間が何か月かまでは載っていません。載っていない項目は、疑われもしません。

しかも記録を持っている場所は、一社の中に何か所もあります。ネットワークの出入口、メール、グループウェア、ファイルサーバー、業務システム。それぞれが別々の初期設定で動いていて、ある機器は三か月、別のサービスは一か月、ファイルサーバーは容量がいっぱいになるまで、といった具合に保存期間がばらばらです。事故のときには、残っていた記録と消えていた記録が入り混じり、時系列がつながらないという形でそれが表面化します。

「残している」と「見ている」は、まったく別の作業です

先に結論を言えば、効いてくるのは「取る」ではなく「見る」のほうです。

多くの会社で「ログ対策」は、記録を取る機能をオンにすることだと理解されています。ただ、記録を取るのは機器の設定を一度いじれば終わる作業で、その記録に目を通して異常に気づくのは、日々続く人の作業か、それに代わる仕組みです。工程としてまったく別のものが、同じ「ログ」という言葉でひとくくりにされています。

混同したまま「ログは取っているので大丈夫です」と説明している会社は、実際には何も見ていません。記録は倉庫に積み上がるだけで、誰も棚を開けない。事故が起きて初めて棚を開け、必要な箱がすでに処分されていたと知る。冒頭で触れた「答えられない」会社の中身はこれです。どれだけ精緻に取っていても、見る人がいなければ、侵入から発覚までの期間は延び続けます。その間、攻撃者は社内を歩き回る時間を手に入れています。

では「見る」とは具体的に何をすることなのか。画面に流れる記録を端から眺めることではありません。あらかじめ「これが出たら手を止めて調べる」と決めた事象がいくつかあって、それが出ていないかを確かめる。出ていれば、その前後に記録を広げて、正規の操作かどうかを判断する。作業の中身はこれだけです。決めた事象がないまま画面を開いても、何も起きていないように見えて終わります。

新しく着任した担当者がまず手をつけるべきことの一つに、社内の状態を見えるようにする、という定番があります。資産の一覧を作る、外部からの入口を洗い出す。どれも要りますが、ログを見る仕組みだけは後回しにされがちです。一覧や洗い出しは一度やれば形が残るのに対して、見る仕組みは日々続けて初めて意味を持つからです。着任直後の忙しい時期に飛ばされ、そのまま数年が過ぎている例をいくつも見ました。

何を残すか——記録の種類と、それぞれが答えてくれること

「とりあえず全部残す」は、安全に見えて機能しません。容量の問題以前に、性質の違う記録を無秩序に集めると、後から必要なものを探し出せなくなります。選ぶ基準は単純で、事故のときに実際に聞かれる質問に答えられるかどうかです。

代表的なものを並べます。どれも専用の機器がなければ残せないものではなく、たいていは今動いているシステムの設定を見直すだけで残せるようになります。買い足しの検討は、その確認を終えてからで構いません。

六つに共通しているのは、「誰が」「何に対して」「何をしたか」がはっきりする記録だという点です。この三点があいまいな記録——たとえば通信量の合計だけを積み上げたもの——は、量が膨大でも事故対応ではほとんど使えません。

残す設定と一緒に決めておきたいことが二つあります。一つは、記録をその機器の中だけに置かないこと。侵入した側は、自分の足跡が残ると分かっていれば消しにきます。機器の中の記録だけが頼りだと、肝心の部分が消された状態で調べることになります。生成された記録を別の場所へ寄せておけば、片方が消えてももう片方が残ります。

もう一つは、機器の時刻を合わせておくことです。地味な話に見えて、調査では効きます。複数の機器から集めた記録を一本の時系列に並べるのが調査の中身なので、機器ごとに時計が数分ずれていると、前後関係が逆に見えることがあります。どちらが先に起きたのか分からなければ、侵入の経路もたどれません。設定画面の奥にある項目ですが、事故の前に一度開いておく価値があります。

個人情報の漏えいが疑われる場面では、この記録の有無が通知の規模そのものを決めます。どの顧客の情報が対象だったかを記録から絞り込めれば、通知はその範囲で済みます。絞り込めなければ、対象を特定できないまま、扱っていた顧客全員に通知するしかありません。手順の詳細はそれだけで別の話になりますが、絞り込めるかどうかを決めているのは、ここで挙げた記録があるかないかです。

保存期間をどう決めるか——「初期設定のまま」が一番多い失敗

次は、どのくらいの期間残すかです。ここも初期設定のまま、という会社が大半です。機器やサービスの初期値は、数週間から数か月で古いものから上書きされていく設定が少なくありません。製造元が手を抜いているわけではなく、保存には容量の負担が伴うので、無難な短さに寄せてあるだけです。延ばす判断は使う側の仕事になります。

厄介なのは、その初期値が、侵入に気づくまでの時間より短いことです。侵入者は急ぎません。管理者権限を奪ってすぐ派手に動くのではなく、しばらく身を潜め、社内の様子をうかがいながら、時間をかけて目的のデータに近づきます。侵入から発覚まで数か月かかるのは、特殊な例ではありません。

そのうえ、発覚のきっかけは社内からとは限りません。「お宅から届いたメールの様子がおかしい」「お宅に預けた情報が別の場所で使われている」——取引先や顧客からの連絡で知る形が多く、その時点で侵入の開始時期はかなり前にさかのぼっています。保存期間を決めるときに想定すべきなのは、自社が気づく早さではなく、外から知らされるまでの遅さのほうです。

だとすれば、基準は容量ではなく「侵入に気づくまでに、どのくらい時間がかかるか」のほうです。目安として1年、少なくとも半年は確実にさかのぼれる状態を保つ。すべてを同じ長さで残す必要はなく、管理者権限の使用や認証の記録のような重い項目から優先して長めに取る配分でも構いません。対象を六つに絞った時点で量そのものはかなり抑えられますから、延ばす対象を絞ることと、延ばす期間を決めることは、セットで考えてください。

あわせて確認しておきたいのが、その設定を誰が変えるかです。機器の管理者として入る必要があるため、保守を委託しているなら委託先への依頼になります。契約の範囲に入っていない作業だと、見積もりのやり取りから始まって数週間が過ぎます。延ばすと決めた日と、実際に延びる日は別の日です。

全部を人の目で見るのは無理だから、順番を決めて仕組みにする

記録が残るようになると、次は誰が見るのかという問題が来ます。ここは正直に認めるところから始めたほうが早い。一日に生まれる記録の量は、人が一件ずつ読んで判断できる量をはるかに超えます。専任者を置いている会社でも全件は無理ですし、兼務の担当者しかいなければなおさらです。

認めないまま「担当者を置いたのでログは見ています」という体制にすると、実際に目を通せるのはごく一部なのに、見ているという安心感だけが社内に広がります。これが一番危ない状態です。見ていないと自覚している会社のほうが、まだ次の手を打てます。

目指すのは全件確認ではなく、機械にふるいをかけさせ、人が判断すべきものだけを人に残す形です。進め方は三段階で考えると組み立てやすくなります。

第一に、後からさかのぼって調べられる状態を作ります。何を、どのくらいの期間残すか——ここまでに整理した設計そのものです。この段階では、まだ誰も日常的に記録を見る必要はありません。事故が起きたときに調べられる土台を用意する段階だと考えてください。

第二に、少数の重要な事象だけを自動で知らせる仕組みを足します。管理者権限の異常な使い方、普段と違う時間帯や場所からの接続。最初から過不足のない条件は作れないので、数項目に絞って始め、知らせすぎた・見落としたという失敗を重ねながら調整していきます。

知らせる先も決めておいてください。共有のメールアドレス宛てにすると、誰かが見ているはずだという状態になり、結局は誰も開きません。個人宛てにして、受け取った人が「確認した」と短く残す。それだけで、見落としがあったかどうかを後から追えるようになります。

第三に、届いた知らせを確認する時間を、業務の予定に入れます。「手が空いたら見る」にすると、忙しい時期ほど後回しになり、最も見るべきときに見られません。週に一度でも、担当者の予定表に確認の枠として書き込んであるか。続くかどうかは、そこで分かれます。

自社の予定表を開いて、今週その枠があるかどうか。無ければ、仕組みはまだ動いていません。

仕組みを作っても、静かな侵入には反応が出ない

ここまでを実行すれば、記録は整い、重要な事象は自動的に届くようになります。それでも残る穴があります。ここまでの仕組みは、いずれも「おかしな動きが記録に現れる」ことを前提にしていて、攻撃者の側もそれを知っているからです。だから、記録に異常として現れないように、正規の手順に似せて静かに動きます。

管理者権限を奪ったあと目立つ操作を一切せず、通常業務のふりをして数か月かけて目的のデータに近づく。こうされると、記録の設計がどれほど良くても条件に引っかかりません。正規の利用者がやる操作を、正規の利用者と同じ手順でなぞられれば、「異常」として浮かび上がらないのは当然です。アラートの精度を上げる努力には意味がありますが、最後に埋まらない隙間が残る、という現実は認めておく必要があります。

攻撃する側から見れば、静かに動くのは面倒な選択です。時間がかかるうえ、途中で権限を失えば最初からやり直しになります。それでもそうするのは、そのほうが見つからないと知っているからで、裏を返せば、見る仕組みを持っている会社ほど相手に時間を使わせているということです。

ただし、静かな侵入に気づけないからといって、記録を残す意味が薄れるわけではありません。むしろ逆です。気づくのが遅れた事故ほど、後から「いつから」をたどれる材料は記録しかなく、そこに残っているかどうかで復旧の重さが変わります。

この隙間を埋める考え方が、あえて「触れたら分かる」ものを社内に置いておく方法です。実際の業務では誰も使わない偽の情報やおとりの経路を用意しておき、そこに触れた時点で、正規の利用者ではあり得ない動きとして捉えます。記録を見て異常を探しにいくのではなく、異常の側から合図を出させる発想です。デセプション・セキュリティの仕組みとして別のページで詳しく扱っています。

残す、見る、それでも気づけないものに備える。順番に積み上げるものであって、どれか一つで完結するものではありません。どこまで自社でやり、どこから外の手を借りるかは会社の規模や体制で変わりますので、現状を整理したいという段階でもご相談ください。一緒に優先順位を組み立てます。

参考になる公的資料

• 情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」
• 警察庁「サイバー空間をめぐる脅威の情勢等」
• NISC「サイバーセキュリティ関係法令Q&Aハンドブック」