ナレッジ
ナレッジ データ改ざん関連
ログデータとはどんなもの？改ざんの手口や防止策について解説
端末の操作に関する情報やエラーメッセージなど、さまざまな情報が記録されているログデータ。不正アクセスやデータ改ざんなどの被害にあった際には、調査の役に立つ重要なデータです。しかし、時には証拠を残さないために改ざんされてしまうおそれもあります。ログデータを改ざんされないためには、普段からの対策が必要です。本記事ではログデータに関する基本的な情報から、改ざんを防ぐための具体的な方法まで詳しく解説していきます。
ログデータとは？主なログデータ8種類
ログデータとは、PCやサーバー、ネットワーク機器などが実行した処理を記録したデータの総称です。ログデータは、セキュリティ対策やシステム障害の防止、システム障害後の調査やユーザーニーズの解析、内部統制や労務管理の強化などに利用できます。ひとえにログデータと言ってもさまざまな種類があり、主なログデータとしては、下記の8種類が挙げられます。
- ・認証ログ
- ・操作ログ
- ・イベントログ
- ・通信ログ
- ・通話ログ
- ・印刷ログ
- ・設定変更ログ
- ・エラーログ
認証ログ
認証ログは、情報システムへのログインや認証の履歴を示す記録です。認証した利用者の情報や日時などが記録されます。認証ログはサイバー攻撃があったときに、「いつ」「誰のアカウントで」「どの端末から行われたか」など、調査を行うための基礎情報となります。
操作ログ
操作ログは、システムや端末の利用者が操作した履歴を記録したものです。操作ログには、ログインした日時やファイル・フォルダを操作した内容、Webサイトの閲覧などが記録されているため、情報漏えいや内部不正への対策に活用できます。
イベントログ（Windowsイベントログ）
イベントログは、起動やシャットダウン、スリープ、アプリケーションのインストールなどが記録されているものです。こうしたイベントを記録したものを総じてイベントログと呼びますが、一般的にはWindowsのイベントログを指しているケースがほとんどです。Windowsシステムで障害が起こった場合には、このイベントログがトラブルシューティングの分析材料になります。なお、Windowsのイベントログにも複数の種類があり、アプリケーションログやセキュリティログ、システムログなど記録される内容ごとに分かれています。
通信ログ
通信ログはデバイスとサーバー間の通信記録です。通信の開始／終了時間や通信の内容などが記録されます。通信エラーの解析にも使われるログです。
通話ログ
通話ログ（コールログ、音声ログ）は文字通り通話の記録であり、着信や発信の日付などを保存します。通話ログの分析を通して通話品質の改善が行えるほか、コールセンター業務を行っている企業がサービス改善に活用しています。
印刷ログ
印刷ログは、プリンターで行われた印刷の履歴です。印刷ログには誰がその文書を印刷したかという情報が収められているため、紙媒体での情報漏えいが行われたときには原因追跡の手段となります。なお別名として、コピー機や複合機で行われた印刷の履歴をジョブ履歴と呼ぶこともあります。
設定変更ログ
設定変更ログは、情報システムにおいて、各種設定を変更した管理者や端末などの情報を収めた記録です。このログを調査することで、管理者権限やアプリケーション設定における不正な変更を発見できます。
エラーログ
エラーログは、情報システムやPCでエラーが起きた際に記録されるログです。エラーコードやエラーメッセージ、通信状況などが記録されます。情報システムの障害が起きた際には、エラーログをもとに原因を特定し、対応します。
ログデータの改ざんの手口
サイバー攻撃や内部不正が行われた際、ログデータは早期発見・問題解決のために重要となる情報ですが、サイバー攻撃を行う者から見ると攻撃や不正の証拠でもあります。そのため、ログデータ自体も攻撃対象として狙われるおそれがあり、ログデータが改ざんされてしまうと、調査も難航してしまいます。ここからは、どういったログが狙われるのか、またログが改ざんされることによる具体的な影響について解説していきます。
サイバー攻撃時のログデータの改ざん
サイバー攻撃が行われたときには、主にアクセスログやコマンドの実行履歴が改ざんされます。アクセスログとは、アクセスした時間と人が記録されるものです。アクセスログに不審な点があれば情報システム管理者が異常な状態に気づくため、攻撃者はコマンドやツールを使って関連した部分のログを削除するのです。またコマンド実行履歴にも不正に実行したコマンドの履歴が残るため、不正コマンドの記録が削除・改ざんされるおそれがあります。
内部不正時のログデータ改ざん
内部不正時には、不正を行う者がシステム管理者の権限を不正に用いて、操作ログを削除することも考えられます。ユーザーアカウントではアクセスできない場所にログデータを管理していたとしても、システム管理者の権限を不正に得られれば、ログデータの改ざんや削除を容易に行えてしまうのです。
ログデータ改ざんの影響
ログデータが改ざんされると、サイバー攻撃や内部不正が起こったことに情報システム管理者が気づかず、対応が遅れる可能性があります。ログデータの解析ができないと、攻撃や不正の原因を特定するのに時間がかかり、情報漏えいなどへの対応も遅れてしまうでしょう。ランサムウェア攻撃やサプライチェーン攻撃といった脅威がある昨今において、ログデータを適切に利用するためには、ログデータの改ざん防止策は必須です。
ログデータの改ざん防止策1：不正のトライアングル対策
ログデータの改ざんを防止するためにまず知っておきたいのが、「不正のトライアングル」です。内部不正に対しては、この不正のトライアングルにもとづいて防止策を講じることが肝要です。
不正のトライアングルとは
「不正のトライアングル」とは、不正行為を犯すことの心理的な要因を「機会」「動機・モチベーション」「正当化」という3つの観点に分ける理論です。不正行為はこれら3つの要因がそろったときに行われるとされています。
・機会
不正を行うための手段や環境がそろっている状況のことを指します。たとえば上司やカメラなどの監視の目がない、情報システムの機密情報に簡単にアクセスできる、というような状況であれば、不正を行う者にとっては「不正の好機」と感じやすくなります。
・動機・プレッシャー
動機やプレッシャーも、不正への原動力になります。たとえば経済的に困窮しており、不正行為を通して金銭を得たい、上司やライバルを見返したいといったことが不正の動機になりえます。また仕事上の数値目標の達成や締め切りの遵守にプレッシャーを感じていれば、そのプレッシャーから解放されたいという気持ちも動機につながるでしょう。
・正当化
「他の人もしている」「会社から命令された」「自分も不当な扱いを受けている」というような正当化も不正要因のひとつです。理由をつけて正当化すると、不正行為は「やっても良いこと」のように思えてしまいます。
不正のトライアングルに基づく防止策
不正のトライアングルを成立させないためには、それぞれ下記のような対策が効果的です。
・「機会」を低減する内部統制の整備
内部統制の一環として、システム運用やルールを整備し、正しく運用します。全ての作業記録をログとして残し、ログを作業者自身がアクセスできない場所に一元管理することも対策のひとつです。また後述のログに関する仕組みを導入することも機会の低減になりえます。
・「動機」を排除する透明性の高い組織の構築
組織の人間関係が動機・プレッシャーとなる場合、透明性の高い組織を構築することが重要です。定期的に上司が部下と1on1で話す機会を設けるなどして風通しの良い職場づくりを意識することや、長時間労働によって従業員に過度に負荷がかかっていないかを確認し、必要に応じて是正することなどが求められます。
・「正当化」を阻止するコンプライアンス教育の強化
コンプライアンス教育、特に情報セキュリティ教育を強化します。組織内でセミナーや研修を実施し、関係者全員の情報セキュリティ意識を高めることが必要です。過去に実際に発生した内部不正の事例を紹介するなどして、内部不正がどんな被害をもたらすのかを紹介することで、従業員の内部不正に対する意識は変わっていくでしょう。
ログデータの改ざん防止策2：データが改ざんされていないことを証明する仕組みの導入
もう1点考えたいのが、ログデータの適切な管理です。「ログデータが改ざんされていないことを証明できるサービス」を導入すれば、ログデータの改ざんにすぐに気づくことができます。データにタイムスタンプを付与するサービスを活用することで、データが改ざんされていないことを証明することが可能です。タイムスタンプとは、データがいつ作成されたのかを記録し、それ以降改ざんされていないことを証明する技術です。ログデータにタイムスタンプを付与すれば、そのログデータが改ざんされていないことの証明ができます。
DocuTrackerは、クラウドストレージサービスに保存されたファイルに、自動的にタイムスタンプを付与することが可能です。タイムスタンプに加え、ファイルを識別する値である「ファイルハッシュ」もブロックチェーンに保存されるため、ファイルが変更されていないことの証明になります。ファイルを改ざんすれば証拠が残ることから、不正のトライアングルにおける「機会」の低減につながります。
データの改ざん対策として、データが改ざんされていないことを証明できる、DocuTrackerについて詳しくはこちら ≫
※ブロックチェーン……暗号技術を用いて分散的に処理・記録する技術。DocuTrackerで用いているブロックチェーンは、テックビューロ株式会社が開発・販売しているプライベートブロックチェーン「mijin」です。
複数のクラウドストレージサービスに対応しており、Google ドライブ以外にもMicrosoft OneDrive、Dropbox、Boxもサポートしています。DocuTrackerはログデータだけでなく、クラウドストレージサービスで使えるさまざまな種類の文書にも使えます。データ改ざんへの対策として、検討してみてはいかがでしょうか。
まとめ
ログデータの種類と重要性、ログデータの改ざんを未然に防ぐための方法をご紹介しました。ログデータはトラブルが発生した際の原因の調査や問題解決に必要な情報が記録されている、極めて重要なデータです。ログデータの改ざんを防ぐためにも、内部統制を徹底しつつ、タイムスタンプを付与するサービスなどを積極的に活用して備えましょう。