セキュリティ対策は「防ぐ」だけでなく「気づく」も大事です。ログ管理とSIEMの入門をまとめます。
なぜログを集めるのか
攻撃や不正アクセスは、ログに痕跡を残します。ファイアウォールの拒否ログ、認証の失敗、普段と違うアクセス——これらを見れば、侵入の兆候や、実際に起きた事象を追えます。「防御をすり抜けた何か」に気づくには、ログが頼りです。
ログが散らばる問題
FW、サーバ、認証、アプリ…とログはあちこちに分散しています。バラバラだと、
- 全体像が見えない
- 相関（複数機器にまたがる攻撃の流れ）が追えない
- 大量すぎて人が見きれない
という問題が起きます。
SIEMとは
SIEM（Security Information and Event Management）は、各所のログを一箇所に集約し、相関分析して、脅威を検知する仕組みです。
- 集約: FW・サーバ・認証などのログを一元収集
- 正規化: 形式の違うログを共通の形に整える
- 相関分析: 「短時間に大量のログイン失敗 → その後成功」のような、危険なパターンを検出
- アラート: 怪しい兆候を通知
検知したい典型パターン
- 短時間の大量ログイン失敗（ブルートフォース）
- 普段と違う場所・時間からのアクセス
- 権限昇格、管理者アカウントの異常な操作
- FWで大量の拒否が発生（スキャンの兆候）
- マルウェア検知後の内部への横展開
まず何から始めるか
いきなり本格SIEMでなくても、
- 重要な機器（FW、認証サーバ、公開サーバ）のログを集約する
- syslogサーバやログ基盤に転送し、消えないよう保管する
- 最低限の「見るべきアラート」を決める（大量ログイン失敗など）
から始めれば十分です。まず「ログが一箇所に、消えずに残る」状態を作るのが第一歩です。
ログ保全の注意
- 侵入されると、攻撃者はログを消そうとする → ログは別サーバへ即転送し、改ざんされにくくする
- 保持期間を決める（インシデント調査に使えるよう、一定期間残す）
まとめ
セキュリティは「防ぐ」と「気づく」の両輪です。ログを集約し、SIEMで相関分析して兆候を捕まえる。まずは重要機器のログを一箇所に集め、消えないように残すところから。攻撃の痕跡は必ずログに残るので、それを見られる体制が、被害の早期発見につながります。