DNET_SCLogAnalysisManagement

SC：対策技術 - ログの分析・管理

• 戻る（対策技術）

概要

• 検知・追跡に該当。

• 以下で利用できる。

  • インシデントの現状調査や原因究明

  • 責任追跡性、否認防止（SC：基礎の該当節を参照）
    → デジタル・フォレンジック
    （高度午前 - 技術要素 - セキュリティの該当節を参照）

詳細

主なログ

#	種類（分類）	種類	概要
1	OS	UNIXシステムログ	ログイン、プロセスの開始・終了、コマンド実行
2	OS	Windowsイベントログ	ログイン、プロセスの開始・終了、システム変更、その他イベント
3	サーバ	WWWサーバ・アクセス・ログ	W3C 拡張、Microsoft IIS、NCSA 共通、ODBCなど
4	サーバ	SMTPサーバ・ログ	メール配送履歴
5	サーバ	Proxyサーバ・ログ	サイトへのアクセス履歴
6	サーバ	DNSクエリ・ログ	DNSクエリ（名前解決要求）の履歴
7	サーバ	ディレクトリサーバ、認証サーバ・ログ	X.500、LDAP、その他認証基盤の 認証履歴（ログインの成功、失敗、権限昇格）
8	サーバ	DBMSログ	アクセス履歴、操作（DDL、DML）の履歴
9	セキュリティ製品	F/W	パケットのACCEPT / REJECT / DROP、稼働状況の履歴
10	セキュリティ製品	IDS / IPS	検知 / 遮断のアクセス履歴
11	セキュリティ製品	AV(Anti virus)	検知の履歴
12	セキュリティ製品	EDR	隔離（検疫）/ 駆除の履歴
13	セキュリティ製品	URLフィルタ	検知 / 隔離（検疫）/ 駆除の履歴
14	セキュリティ製品	サンドボックス	不審なプロセスやファイルの検知 / 遮断の履歴

• F/W、IDS / IPS、サンドボックスは
  SC：対策技術 - 防御・侵入検知の該当節を参照。
• AV(Anti virus)、EDR は 脅威の該当節を参照。

ポイント

適切なログ出力

適切なログ出力が必要。

• 不審な通信

  • 内部から外部への不審なファイル送信
  • マルウェアなどによる通信

• 一定時間で繰り返される

  • ログイン
  • 権限取得
  • 設定変更

ログの留意点

ログの管理運用における留意点

• ログの取得 / 保存 / 管理に関するポリシの設定

  • 保存期間
  • 管理方法
  • 機器への反映

• ログを安全に保存できるシステムの構築

  • 改ざん / 消去などの問題 → 保全の仕組み
  • 容量の問題 → 十分な容量

• 必要な情報を記録するためのシステム面での工夫

  • サーバー信頼モデルの際のDBMSへの接続ユーザ情報
  • 接続元IPを記録するためProxyでのXFF（X-Forwarded-For）ヘッダの付与
    （NATの外 → 内の通信では、送信元IPアドレスは変換されない）

• ログ運用 / 管理要員の確保と手順書の整備

  • 要員の確保
  • 手順書の整備
  • そして、教育と訓練

• ログの定期的な分析

  • システム：統合ログ管理システム、セキュリティ情報イベント管理（SIEM）
  • 組織：SOC（SC：マネジメントの該当節を参照）
    → エスカレーション → CSIRT

移行メモ

• 「CSERT」→「CSIRT」に正した。
• 主なログの表の「IDP/IPS」は、リンク先が IDS（不正侵入検知システム）の アンカだったため「IDS / IPS」に正した。
• 元 Wiki の結合セル（> / ~）を含む表は、GitHub Wiki では再現できないため、 セルの内容を展開して平坦な表にし、 セル内に埋め込まれていた他ページへのリンクは表の直後にまとめた。
• マイクロソフト系技術情報 Wiki（techinfoofmicrosofttech.osscons.jp）への URL リンクは、移行済みの サーバ信頼セキュリティ モデル に張り替えた。
• PukiWiki のページ内アンカ（#xxxxxxxx）は GitHub Wiki では再現できないため、 他ページのアンカを指すリンクは「〜（ページ名 の該当節を参照）」の形に置き換えた。
• 未移行のページはファイル名を予約し、TODO.md に記録した。

---

Tags: 移行, 資格, SC, 対策技術, ログ, ログ管理, SIEM, SOC, CSIRT, デジタル・フォレンジック, X-Forwarded-For