コンプライアンスのための監査ログとは？【ソリューションを含む】
監査ログは、組織のコンプライアンスとセキュリティに役立ちます。では、監査ログとは何か、どのように実装し、コンプライアンスにどのように活用するのでしょうか。
まず、監査ログの機能とは何かという質問から始めましょう。監査ログは、誰がシステムにアクセスしたか、何を見たか、どのような行動を取ったかに関する情報を記録します。この時間的な情報は、コンプライアンスとセキュリティを証明するために重要です。
監査ログとは何か？
監査ログは、コンピュータシステム内で発生するイベントの記録です。ログ保持と記録のシステムは監査トレイルとなり、システム内の行動を調査する誰もが、ユーザーの行動、特定のファイルへのアクセス、またはルートや管理者権限でのファイル実行、OS全体のセキュリティやアクセス設定の変更などの活動を追跡できます。
最も広範なスケールでは、監査ログはシステム内で発生するほぼすべての変更を追跡できます。これにより、以下の3つの主要な方法で重要であり、必要不可欠です：
- 監査トレイルは、システムのフォレンジクスとその動作、または問題が発生した場所を提供します。これには、システム構成のバグやエラーの追跡、またはデータへの不正アクセスが発生した場所の特定が含まれます。また、管理者が機密データアクセス資格を持つ従業員のパフォーマンスと活動を監査するのにも役立ちます。
- 監査ログは、侵害に関連するフォレンジック情報も提供します。監査トレイルは、セキュリティコントロールがどのように配置され、重要なデータを保護するために機能しているかを示すことができます。また、ハッカーが特定のシステムをどのように侵害したか、またはコントロールを回避したか、そしてどのデータにアクセスしたかについての重要な情報を提供します。
- 最後に、監査ログは、システム管理者が日常的な問題をデバッグするのに役立ちます。
監査トレイルの不変性は、その使いやすさの重要な部分です。ログは、コンピュータ上の他のファイルと同様にデータであり、損傷すると役に立たなくなる可能性があります。監査ログに関するベストプラクティスは、少なくとも1年間、または規制コンプライアンスによって要求される場合はそれ以上の期間、監査トレイルを保持することを推奨しています（例えば、HIPAAはePHIを含むシステムのログを少なくとも6年間保持することを要求しています）。
監査ログと通常のシステムログの違い
監査ログは、調査目的でセキュリティに関連するユーザー活動とシステムイベントを記録するために生成されます。これらは、セキュリティに重要なイベントとユーザー活動の詳細な記録を提供し、疑わしい行動を特定して調査するために使用できます。
通常のシステムログは、欠陥、故障、全体的な使用データなどのシステム活動を記録するために生成されます。通常のシステムログは、システム運用のより一般的な概要を提供します。
セキュリティとコンプライアンスのための監査ログの活用
監査ログは、組織のITシステム内で行われた活動の詳細な記録を提供するため、セキュリティとコンプライアンスのための重要なツールです。この記録は、疑わしい活動や潜在的なコンプライアンス違反を特定するために使用できます。
監査ログは、セキュリティまたはコンプライアンスの侵害を示す可能性のある疑わしい活動を検出するために定期的に監視されるべきです。また、脆弱性が悪用される前に管理者に警告するためにも使用されるべきです。ログは、未承認のアクセスや疑わしい活動を示す可能性のある活動の傾向やパターンを特定するために定期的にレビューされるべきです。新しいまたは異常な活動は直ちに調査され、対処されるべきです。
監査ログは、潜在的なシステムの弱点を特定し、ユーザーが組織のセキュリティポリシーを遵守していることを確認するために使用できます。これにより、システムが適用される法律や規制に準拠して安全であることを確認できます。
監査ログは、コンプライアンス監査のためのレポートを作成するためにも使用できます。このようなレポートは、セキュリティまたはコンプライアンスに関連する活動の詳細な記録を提供し、組織が適用される法律や規制に準拠していることを示すために使用できます。
監査ログを使用する利点は何ですか？
コンプライアンスフレームワークがデータログの形式を要求する業界で働いている場合（例えば、HIPAA、GDPR、またはFedRAMP）、ログは単に有利なだけでなく、運用に必要不可欠です。
しかし、監査ログは、組織のシステム管理者やITマネージャーに対して、いくつかの異なる方法でサポートを提供します：
- コンプライアンスの証明: 上述のように、ログは監査人に対して、特定のフレームワーク内でコンプライアンスを遵守していることを示すのに役立ちます。これが、多くのフレームワークが最初に監査ログを要求する理由です。
- 証拠の連鎖の作成: セキュリティまたはコンプライアンスの基盤の一部として、多くのセキュリティフレームワークは、証拠の形式としてログを要求します。途切れのない証拠の連鎖は、調査官にセキュリティ侵害の原因を示したり、企業が実施したと主張するセキュリティ対策を証明することができます。
- 証拠保管の連鎖の作成: 法的な状況では、ファイルがどのように変更または処理されたかが法廷での証拠と見なされることがあります。不変の監査ログは、法執行機関にそのような証拠を提供します。
- 知見と最適化: よりポジティブな観点から、ログは管理者や専門家に、特定の条件下でシステムがどのように動作するかを示し、いくつかの内部システムを最適化するのに役立ちます。ログは、タスクを実行するのにかかる時間や、システムの安定性やパフォーマンスに影響を与える可能性のある競合する操作などを反映することができます。
- セキュリティとリスクの管理: セキュリティとリスクプロファイルを管理するには、情報が必要です。パートナーに関する情報、ベンダーに関する情報、クラウドシステムや製品に関する情報などです。
- ビジネスプロセスの追跡: 監査トレイルは、ビジネスユーザーにデータがどのように使用されたか、または使用されなかったかを示すことができます。例えば、弁護士が法的文書を相手方の弁護士に送信し、その相手方の弁護士が後に受け取っていないと主張した場合、送信者は監査トレイルを使用して、受け取ったことを証明できます。詳細には、いつ、どのIPアドレスと機器を使用してダウンロードされたかを示すことができます。
ソフトウェアの設定やコンピュータネットワーク（および規制要件）によっては、監査ログはこれらの利点の一つ以上を提供することで役立ちます。
監査トレイルとは何か？
簡単に言えば、監査トレイルは、一連の活動、行動、またはユーザーをシステム全体で記録する一連のログです。これには、オペレーティングシステムの作業に関する時間ベースの情報や、システムリソースやデータにアクセスするユーザーを記録する一連のログが含まれます。
トレイルはセキュリティにとって重要です。なぜなら、単一のイベントのログだけでは、この記事で以前に議論したことを管理するのに役立たないことが多いためです。代わりに、証拠のトレイルは、何が起こったのか、どのように問題に対処するかについての知見を提供できます。
例えば、サーバーがクラッシュしてデータが失われたり損傷したりした場合、イベントの前後の監査トレイルは、管理者が何が起こったのかを組み立てるのに役立ちます。
同様に、ハッカーがシステムに侵入してデータを盗んだ場合、ITセキュリティ専門家は監査トレイルを使用して、その個人の活動を追跡し、何を侵害したのか、何を損傷または盗んだのか、どのようにシステムに侵入したのかを特定することができます。
監査ログの構成要素は何ですか？
とはいえ、ログは単一のエンティティではありません。異なるログは、提供する証拠の関連性に基づいて異なる構成要素を持つことがあります。国際標準化機構（ISO）発行の27002は、エンタープライズ顧客向けにログが含むべき典型的なイベントと情報のガイドラインを提供しています。一般的に、このガイダンスに従うログは、通常以下の情報を含みます：
- ユーザーID（システムに認可された者とシステムにアクセスする者）
- 監査トレイル内のすべてのイベントの日付と時刻
- デバイスの場所、MACアドレスなどのシステム情報
- システムへのログイン試行（正当なものと拒否されたものの両方）
- ユーザー権限、ID番号、またはシステム構成設定の変更
- 関連する（またはすべての）ファイルとフォルダーへのアクセス試行
- システムアクセスに関連するネットワーク情報（IP番号、アクセスされたポート、接続されたプロトコル）
- セキュリティソフトウェアによって発生したアラート（ファイアウォール、アンチマルウェアソフトウェア、侵入検知システム）
- ユーザーがシステムソフトウェアを通じて行ったトランザクション、データ共有、またはその他の外部接続
- 保護されたまたは個人識別情報（PII）へのアクセス
特定のセキュリティログには、ここでカバーされていない特定のシステムやイベントに関する情報が含まれることもあり、追加の文書化を提供します。
とはいえ、市販のスタンドアロンの監査ログソフトウェアの例はあまり多くありません。多くのオペレーティングシステムやサードパーティアプリケーション（SaaSクラウドサービスを含む）には、カスタマイズ可能かどうかにかかわらず、組み込みのログ機能があります。しかし、セキュリティ、パフォーマンス、バグ追跡、従業員アラートに関する重要な知見を提供するためにログを集約できるソリューションの大規模な市場があります。これらのシステムは、セキュリティ情報とイベント管理（SIEM）ソリューションと呼ばれ、Splunk、IBM QRadar、LogRhythm、HPE ArcSightなどの製品が含まれます。
しかし、一般的にシステム内の監査ツールは、上記のデータを使用してイベントを追跡できる必要があり、プラットフォームやソフトウェアの活動、適用されるコンプライアンス要件、管理されるデータの種類（業界やビジネスによって異なる）に基づいて、安全でコンプライアンスに準拠したデータログを生成できる必要があります。
監査ログはどのくらいの期間保持すべきですか？
監査ログの保持期間は、組織や業界によって異なります。内部ポリシー、業界規制、法的要件、ログされるデータの種類などの変数が、組織が監査ログをどのくらいの期間保持すべきかを決定する要因となります。例えば、医療業界では、HIPAAは保護された健康情報（PHI）を含む監査ログを少なくとも6年間保持することを要求しています。同様に、金融業界では、SECルール17a-4は監査ログを少なくとも6年間保持することを要求しています。しかし、一部の組織は、法的、コンプライアンス、またはセキュリティ上の理由から、監査ログをより長期間保持することを選択するかもしれません。最低でも、監査ログは1年間保持されるべきです。
サーバー上で監査ログをどのように保護できますか？
監査ログが保護されていなければ、役に立ちません。損傷または変更されたログは監査トレイルを破り、システムを保護するために収集した情報の効果を低下させます。
監査ログは、コンピュータ上の他のファイルと同様に単なるファイルであることは、不幸でもあり幸運でもあります。不幸なことに、これは他のファイルと同様に盗まれたり、変更されたり、破損したりする可能性があることを意味します。幸運なことに、これはまた、一般的なセキュリティコントロールでそれらを保護できることを意味します。これには以下が含まれます：
- 暗号化: 監査ログファイルを暗号化することで、システムに侵入したハッカーの手からそのデータを守ることができます。これらのファイルは依然として破損する可能性がありますが、読み取ったり操作したりするのが難しくなります。
- 不正アクセスからの保護: コンピュータシステム内のファイルは、ユーザーがファイルを読み取ったり、書き込んだり、実行したりすることを許可または禁止するアクセス権限のシステムによって制御されます。監査ログに特定の認可要件を設定することで、不正なユーザーがそれらに対して何かを行うことを阻止できます。
- 管理者のアクセス制御: 管理者が自分自身や自分の活動に関する監査ログを変更し、何をしたかを追跡するのが難しくなる可能性があります。特定のユーザーや管理者に関するログを設定し、それらのユーザーによる読み取りや変更を禁止することができます。
- ログの変更、削除、またはシャットダウンの検出: 攻撃者は通常、システムに侵入するとすぐにログをシャットダウンして削除することで痕跡を隠します。システムは、ログを変更または破壊しようとする試みがあった場合、直ちにスタッフに警告する必要があります。
- ログの外部システムへのエクスポート: ログを集中化されたSIEMにエクスポートする分析上の利点に加えて、エラーや攻撃者によってログが削除された場合に別のコピーが存在することを保証します。システムがログの送信を停止した場合、SIEMがスタッフに警告を発するように設定してください。これはシステムがダウンしているか攻撃を受けていることを示しています。
- アーカイブとジャーナリング: ログを外部のアーカイブサービスに送信し、規制によって要求される年数を通じてそれらを維持します。自然災害、盗難、または元のシステムやデータセンターの破損にもかかわらず。
データログのためのKiteworksプラットフォーム
セキュアなファイル共有やストレージ、セキュアなメール、またはセキュアなフォームとデータ収集などの活動にプラットフォームを活用する場合、データログは非常に重要です。Kitworksプラットフォームは、以下の3つの重要な原則に基づいて、これらのサービスをセキュアで完全なログ機能と共に提供します：
- コンプライアンス: ビジネスがセキュアなMFT、SFTP、またはメールを必要とする場合、私たちはそのサービスを提供し、コンプライアンスを確保するために必要なログ機能を備えています。私たちは、医療、政府、金融などの業界の組織と協力し、HIPAA、FedRAMP、PCI DSS、GDPRなどのフレームワークでのコンプライアンスをサポートしています。
- セキュリティ: 私たちのセキュアなシステムには、あらゆる問題に対するフォレンジックツールとして役立つために必要なすべてのログが含まれており、Kiteworksプラットフォームをリスク管理のポジショニング内で簡単に利用するための予防ツールとしても役立ちます。
- アクセス可能性: 私たちの製品は、組織のメンバーに対するデータのアクセス可能性に焦点を当てており、それには適切な人々へのデータログへのアクセスも含まれます。監査を実施する時（セキュリティ侵害や年次コンプライアンス要求のため）、私たちのツールは必要なデータへのスムーズなアクセスを提供します。
- SIEM統合: Kiteworksエンタープライズプラットフォームは、標準の監査ログを介して組織のSIEMにログを継続的にエクスポートし、IBM QRadar、ArcSight、FireEye Helix、LogRhythmなどとの統合を含みます。また、Splunk Forwarderをサポートし、Splunk Appを含んでいます。
- クリーンで完全かつ使いやすいログデータ: 私たちのエンジニアは、すべての製品リリースでログエントリの品質、完全性、使いやすさをテストし、改善しています。彼らは包括的なCISOダッシュボードとレポート表示をテストベッドとして使用し、顧客が活動を監視し、脅威を検出し、フォレンジックを実行するために必要なメトリクスとパラメータにアクセスできるようにしています。
- 統一された標準化されたログ: アプリケーションとシステムコンポーネントからのイベントストリームはすべて単一のログに集約され、標準化されたメッセージが、メール、MFT、ファイル共有、SFTPなどの複数の通信チャネルを横断するパターンを分析するために、アナリストや機械学習を可能にします。また、ポリシー、権限、構成の管理変更、オペレーティングシステムの活動、ログイン、リポジトリアクセス、DLP、アンチウイルス、ATP、CDR製品によるスキャンも含まれます。
- インテリジェンス、分析、通知: AI技術は、可能性のあるデータ流出などの疑わしいイベントを検出し、メールと監査ログを介してアラートを送信します。
- 広範な管理レポート: 管理インターフェースは、人間が読みやすいダッシュボード、およびカスタムと標準のレポートのためにログを利用します。
- エンドユーザー監査トレイル: プラットフォームは、エンドユーザーが受信者がセキュアな共有フォルダー、セキュアメール、またはSFTPを介してコンテンツにアクセス、編集、またはアップロードしたかどうかを判断できるユーザーフレンドリーな追跡表示を提供します。
Kiteworksがどのようにコラボレーション、簡単な統合、規制コンプライアンスを可能にするかを学ぶために、Kiteworksのカスタムデモを今すぐスケジュールしてください。