統合ログ管理の最新動向 - 賢いセキュリティ対策 Part5

散在するログを横串で分析可能に
発見的統制の基盤として活用

有事の際、ログデータは原因追及の手がかりとして大いに有効だ。しかし、一元管理できていなければ、迅速で多面的な分析はできない。そこで注目を集めるのが、複数の機器を対象に、ログを収集/蓄積/分析できる統合ログ管理ツールだ。

コンピュータ機器が、自身の動作内容や警告メッセージを記録するログファイル。障害が起こった時には、そのログファイルをたどることで、何が起きたかの見当を付けることができる。OSが出力するログもあれば、アプリケーションやデータベース、機器内蔵のファームウエアが出力するログもある。メインフレームやサーバー、クライアントPC、ネットワーク機器など、企業情報システムは様々なハード/ソフトで構成されており、これまで多くの企業は社内のあちこちにログを偏在させている状況にあった。

個別にログを記録している場合は、「情報漏洩などの問題が露呈した時になってはじめて、あちこちからログをかき集めて原因追及するケースが少なくなかった」（RSAセキュリティの轡田拓也・エンタープライズ営業本部シニアマネジャー）。プレーンテキストのログもあれば、バイナリ形式で専用ツールがなければ内容を確認できないログもあり、細かな分析を加えるには多くの手間と時間がかかった。

こうした状況を抜本から解決するものとして期待されているのが統合ログ管理ツールだ。情報システムを構成するハード/ソフトのログを集約して一元管理し、すべて横串にした分析を可能とする（図5-1）。統合ログ管理は、米国では「SIEM（Security Information and Event Management）」と呼ばれる。SIMとSEMという2つの製品分野が統合してきた動きを受けてのものだ（図5-2）。ログの収集-蓄積-分析を一貫して支援する基盤として期待が集まる。

図5-1　統合ログ管理ツールの特徴（図をクリックで拡大）

図5-2　統合ログ管理ツールの発展の経緯

RSAセキュリティのアプライアンス製品「enVison」の分析画面例

集約／蓄積の方法に違い
まずは自社の目的を明確に

表5-1に、主要な統合ログ管理製品の概要をまとめた。ログの収集方式、圧縮などの蓄積機能、分析のバリエーションなどで各製品の特徴が出る。

例えば収集方式を例にとると、アプリケーションサーバーなど、対象とする機器にエージェントと呼ぶ常駐モジュールを導入してログデータを自動収集するものが多い。メジャーなOS/アプリケーションについてはエージェントがあらかじめ用意されているが、手組みのシステムについては個別のカスタマイズが生じる場合もある。また、エージェントを介さず、ログデータの形式変換などをすべて中央集中型で処理する製品も出始めた。統合ログ管理ツールを導入する際には、どのログを収集・分析対象とし何をしたいかを事前にしっかりと定義し、それにふさわしい機能を備える製品を選択することが基本となる。

Part4で見た統合ID管理を「予防的統制」と位置付けるなら、統合ログ管理の分析機能は「発見的統制」ととらえられる。ログを一元的に蓄積できているということだけに満足せず、定期的にチェックするなどの積極的なアクションを習慣づけるのが望ましい。統合することで軽減できる人的リソースの負担（＝コスト）を攻めのログ管理に振り向け、内部統制の基盤として活用することはもちろん、怪しげな挙動に即座に手を打てる体制を整えるのが理想だ。

下記の表をPDFでダウンロード

表5-1　主要な統合ログ管理製品