SC：対策技術 - ログの分析・管理のバックアップ(No.3) - .NET 開発基盤部会 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

バックアップ一覧
差分を表示
現在との差分を表示
ソースを表示
SC：対策技術 - ログの分析・管理へ行く。
- 1 (2019-10-27 (日) 14:43:59)
- 2 (2019-11-02 (土) 20:29:46)
- 3 (2020-01-04 (土) 12:40:46)
- 4 (2020-09-25 (金) 02:40:59)
- 5 (2020-10-09 (金) 17:01:48)

「.NET 開発基盤部会 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
詳細
- 主なログ
- ポイント
  - 適切なログ出力
  - ログの留意点

概要 †

検知・追跡に該当。

以下で利用できる。

インシデントの現状調査や原因究明

責任追跡性、否認防止→デジタル・フォレンジック

詳細 †

主なログ †

#	種類		概要
1	OS	UNIXシステムログ	ログイン、プロセスの開始・終了、コマンド実行
2	OS	Windowsイベントログ	ログイン、プロセスの開始・終了、システム変更、その他イベント
3	サーバ	WWWサーバ・アクセス・ログ	W3C 拡張、Microsoft IIS、NCSA 共通、ODBCなど
4		SMTPサーバ・ログ	メール配送履歴
5		Proxyサーバ・ログ	サイトへのアクセス履歴
6		DNSクエリ・ログ	DNSクエリ（名前解決要求）の履歴
7		ディレクトリサーバ、認証サーバ・ログ	X.500、LDAP、その他認証基盤の認証履歴（ログインの成功、失敗、権限昇格）
8		DBMSログ	アクセス履歴、操作（DDL、DML）の履歴
9	セキュリティ製品	F/W	パケットのACCEPT / REJECT / DROP、稼働状況の履歴
10		IDP/IPS	検知 / 遮断のアクセス履歴
11		AV(Anti virus)	検知の履歴
12		EDR	隔離（検疫）/ 駆除の履歴
13		URLフィルタ	検知 / 隔離（検疫）/ 駆除の履歴
14		サンドボックス	不審なプロセスやファイルの検知 / 遮断の履歴

ポイント †

適切なログ出力 †

適切なログ出力が必要。

不審な通信
- 内部から外部への不審なファイル送信
- マルウェアなどによる通信

一定時間で繰り返される
- ログイン
- 権限取得
- 設定変更

ログの留意点 †

ログの管理運用における留意点

ログの取得 / 保存 / 管理に関するポリシの設定
- 保存期間
- 管理方法
- 機器への反映

ログを安全に保存できるシステムの構築
- 改竄 / 消去などの問題 → 保全の仕組み
- 容量の問題 → 十分な容量

必要な情報を記録するためのシステム面での工夫
- サーバー信頼モデルの際のDBMSへの接続ユーザ情報
- 接続元IPを記録するためProxyでのXFF（X-Forwarded-For）ヘッダの付与

ログ運用 / 管理要員の確保と手順書の整備
- 要員の確保
- 手順書の整備
- そして、教育と訓練

ログの定期的な分析
- システム：統合ログ管理システム、セキュリティ情報イベント管理（SIEM）
- 組織：SOC → エスカレーション → CSERT