セキュリティ監視とログの選び方

セキュリティ監視とは、システムが出す記録を見張り、攻撃の兆しを早く見つける仕事です。何を記録して何を見るかを決めておけば、夜中の侵入にも朝までに気づけます。

たとえば通販サイトなら、ログインの失敗が急に増えたら調べます。ログは、あとで何が起きたかを調べる、ほぼ唯一の手がかりでもあります。

あとで調べられるログには、5つの情報が入っています。いつ、どこで、誰が、何をして、結果はどうだったかです。

どれか1つ欠けると、調べが止まります。時刻がなければ、順番が分かりません。「誰が」がなければ、誰の操作か分かりません。

メトリクスは、時間とともに変わる数です。1時間あたりのログイン失敗の数などが、その例です。

ふだんの数をベースラインと呼びます。ベースラインを知っていれば、今日の数が多いかどうか決められます。知らなければ、「多い」とも「ふつう」とも言えません。

ls case/var/log

wc -l < case/var/log/auth.log

wc -l < case/var/log/nginx/access.log

1日のログは、何百行にも何千行にもなります。全部を同じ強さで見ることはできません。そこで、見るものを選びます。

まず守るものを決めます。次に、それが攻撃されたら必ず残る記録を選びます。

awk '{print $7}' case/var/log/nginx/access.log | sort | uniq -c | sort -rn | head -n 5

侵入者は、自分の跡を消すために、ログを消すことがあります。そこで、ログは別のマシンにも送って残します。

保存期間は、調べる期間より長くします。半年前に始まっていた侵入を、1か月分のログでは追えません。