監査ログをいかに取得し活用するか

はじめに

本連載も第4回を迎えました。今回が最終回になりますが、第1回から第3回までの間、アカウントと認証、権限管理、暗号化といった、データベースの安全性を向上するための施策について解説がありました。これらは予防策であり、事件・事故の発生防止に大きく貢献します。

今回は最終回として、「監査ログ」について説明します。発生した事件・事故内容を正確に検知する「事後対応」の施策として活用するだけでなく、兆候をつかむ事で予防にも役立てる事ができますから、これもセットで対策をする事で相当の安全性が期待できると考えています。ぜひご一読ください。

なお、「DBSCが解説！データベースセキュリティ」というタイトルにもかかわらず、今回はデータベースに割く文字数が少なめですが、データベースのログを取得するだけでは「監査ログ」を活用する事ができないという事をあらかじめご理解ください。

本稿では次の内容を順番に解説します。

• 監査ログ取得にかかわる実態
• 監査ログの定義
• 監査ログ取得の必要性
• 監査ログの取得方法（データベースの例）
• 監査ログの管理方法

監査ログ取得にかかわる実態

早速ですが、皆さんがお使いのシステムでは監査ログを取得していますか？というのも、著者がセキュリティにかかわる相談を受ける際、監査ログの話題に触れる事もありますが、あまり本腰を入れて取り組んでいる会社にお会いする事がありません。金融業など一部の業界、または過去に従業員（派遣社員・委託先要員を含む）が内部から不正に情報を持ち出してニュースになるといった「痛手」を負った会社ではログをガチガチに取得しているという話を聞くものの、それらは例外的な事例のようです。

監査ログにかかわる企業の実際にありがちな反応は、以下のような内容が多く感じられます。

1. 監査ログを取得する必要性が分からない
2. 監査ログは発見的対策であり、防止策よりも優先順位が低い（だから取得していない）
3. どのログを取得すれば良いか分からない、または保管期間が分からない
4. 取得したログを分析する頻度や方法が分からない
5. ログは取得しているはずだ

「1.」と「2.」からは監査ログ取得の必要性を十分に理解していない事、「3.」と「4.」からは取得・保管・チェックといった監査ログを用いた活用が難しいと考えている事が伺えます。また、取得範囲と保管期間の積算が保管容量となりストレージコストに反映されますから、コスト面についても懸念があるようです。そして、「5.」は一見すると望ましい対策を採っているように見えますが、ログは取っているものの監査ログを取る設定にしていないというケースがあります。この点は、後ほど「監査ログの定義」でご説明します。

次に、DBSC発行の「データベースセキュリティ安全度セルフチェック統計データ」から、監査ログの取得を含む、セキュリティ対策を実施しているかどうかについての状況を紹介します。

この統計を見ると、監査ログの取得は「アカウント管理」や「暗号化」などと比べても実施率に大きく違いがない事から、実際には取り組みが進んでいるように見えます。ただし、前述した企業の反応を考えると、きちんとした対策がとられているかどうか、見直す必要があるかも知れません。