SC：対策技術 - ログの分析・管理

「.NET 開発基盤部会 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

• 戻る

目次 †

概要 †

• 検知・追跡に該当。

• 以下で利用できる。

• インシデントの現状調査や原因究明

• 責任追跡性、否認防止 → デジタル・フォレンジック

詳細 †

主なログ †

ポイント †

適切なログ出力 †

適切なログ出力が必要。

• 不審な通信
  • 内部から外部への不審なファイル送信
  • マルウェアなどによる通信

• 一定時間で繰り返される
  • ログイン
  • 権限取得
  • 設定変更

ログの留意点 †

ログの管理運用における留意点

• ログの取得 / 保存 / 管理に関するポリシの設定
  • 保存期間
  • 管理方法
  • 機器への反映

• ログを安全に保存できるシステムの構築
  • 改ざん / 消去などの問題 → 保全の仕組み
  • 容量の問題 → 十分な容量

• 必要な情報を記録するためのシステム面での工夫
  • サーバー信頼モデルの際のDBMSへの接続ユーザ情報
  • 接続元IPを記録するためProxyでのXFF（X-Forwarded-For）ヘッダの付与
    （NATの外 → 内の通信では、送信元IPアドレスは変換されない）

• ログ運用 / 管理要員の確保と手順書の整備
  • 要員の確保
  • 手順書の整備
  • そして、教育と訓練

• ログの定期的な分析
  • システム：統合ログ管理システム、セキュリティ情報イベント管理（SIEM）
  • 組織：SOC → エスカレーション → CSERT