セキュリティログ分析とは

セキュリティログ分析
ファイアウォール
メールサーバ
プロキシサーバ
認証サーバ（Active Directory）

セキュリティログ分析

セキュリティログ分析は、システムを構成する機器が出すログを分析することで、セキュリティインシデントの早期検知や調査を目的とします。

ログとは、アプリケーションやデバイス、システムにアクセスした際の記録のことで、特にセキュリティ管理やセキュリティ対策に利用されるものをセキュリティログと呼ばれています。

ログ分析のメリット

セキュリティログを監視するメリットは次の３つあげられます。

システム障害の早期解決
セキュリティインシデントに対しても、前兆を予測でき早めの対処ができるため、被害が拡大する前に食い止めることができます。
内部不正に対する抑止力
セキュリティログを常に監視されているという事実そのものが、不正行為への抑止力となり、不正アクセスを未然に防ぐことができます。

ログの種類

取得対象の代表的なログの種類は以下になります。

認証ログ	端末やサーバへログインした日時や利用者のIPアドレス、端末などを記録
イベントログ	OSやアプリケーション内で発生した事象や動作、エラーなどを記録
エラーログ	端末やアプリケーション内で発生したエラーの発生日時や原因などを記録
入退室ログ	監視カメラやICカード、ドアセンサなどで入退出の時間や人物などを記録
操作ログ	端末やシステムにおけるファイルの閲覧や変更、削除などの操作履歴を記録
通信ログ	通信内容、通信時間など、端末とサーバ間の通信内容を記録
印刷ログ	印刷日時、印刷をしたデバイス、印刷ファイル名などを記録
設定変更ログ	システムやアプリケーションなどの設定変更、フォルダやファイルのアクセスの権限変更などを記録

ファイアウォール、メールサーバ、Webプロキシサーバ、認証サーバのログの活用と分析方法について紹介します。

ファイアウォール

ファイアウォール（FW）のログ分析は、ネットワーク境界における侵入試行の検知、マルウェア通信（C2通信等）の特定、意図しない設定ミスの発見を行うために不可欠なセキュリティ運用です。

主要なログ

FWのログ（セッションログ / パケットフィルタログ）には、通信の可否や詳細情報が記録されます。

ログ項目	内容	チェックポイント
Action	通信の処理結果（ACCEPT / DENY / DROP など）	拒否ログの急増や、許可されるべきでない通信の成功の有無
Src IP / Port	送信元IPアドレス / ポート番号	内部の特定端末からの不審な送信、外部の悪意あるIP
Dst IP / Port	送信先IPアドレス / ポート番号	危険な外部サイト（C2サーバー等）や、不要なポート（SSH, RDPなど）への接続
Protocol	使用プロトコル（TCP, UDP, ICMPなど）	通常業務で使われないプロトコルでの通信
Byte / Packet	送受信のデータ量・パケット数	大量のデータ送信（データ流出の疑い）

分析シナリオ

外部からのポートスキャン / 侵入試行
- 特徴：同一の外部IP（Src IP）から、内部の不特定多数のIPやポート（Dst IP/Port）に対して、短時間で大量の DENY / DROP ログが記録される。
- リスク：攻撃者が脆弱性のあるポートを探している（偵察行為）。
- 対応：攻撃元IPアドレスをFWでブロック、あるいは上位プロバイダ（ISP）レベルで遮断。
マルウェアによる C2通信（Command & Control）
- 特徴：内部端末（Src IP）から、脅威インテリジェンスで悪質と判定されている外部IP（Dst IP）に対し、定期的に少量の通信（ACCEPT）が発生している。
- リスク：内部端末がマルウェアに感染し、攻撃者のサーバと同期をとっている。
- 対応：対象端末をネットワークから即座に隔離し、フォレンジック調査を実施。
機密データの持ち出し（データ漏洩）
- 特徴：内部端末から特定のアウトバウンド通信において、通常と比べて極端に大きな送信データ量（Sent Bytes）が記録される。
- リスク：内部不正やマルウェアによる機密情報の外部転送。
- 対応：通信先IPの調査、当該端末での実行プロセスやユーザ操作ログの確認。
不適切な許可ルールの残存（設定ミス）
- 特徴：本来は拒否されるべき危険なポート（RDP: 3389、Telnet: 23、SMB: 445など）へのインターネット側からの接続が ACCEPT になっている。
- リスク：外部からの直接的な侵入・ランサムウェア感染。
- 対応：FWポリシの緊急見直しと、対象ポートの即時遮断。

分析の効率化

脅威インテリジェンス（IoC）との連携
FWログを単体で見るだけでなく、最新の悪質IPリスト（Threat Intelligence Feed）とマッチングさせることで、危険な通信を自動検知させる。
正常トラフィック（ノイズ）のフィルタリング
ブロードキャスト通信や、社内インフラ間の正常な同期通信（NTP, DNS, NTP等）を事前にフィルタリングし、調査対象から除外する。
次世代ファイアウォール（NGFW）ログの活用
単なるIP/ポートだけでなく、アプリケーション名（SSL, SSHなど）やユーザ情報（AD連携）、URLカテゴリまでログに含まれるNGFWを使用することで、調査の精度が向上します。

メールサーバ

メールサーバのログ分析は、メールの送受信トラブルの解消、スパム・フィッシングメールの検知、およびアカウント乗っ取りによる不正送信の早期発見を目的として行われます。

主要なログの種類、重要項目、代表的な分析シナリオ、および効率化のポイントを整理しました。

主要なログ

メールシステムは主に送受信（SMTP）と受信閲覧（POP3/IMAP4）でサーバ機能が分かれているため、それぞれのログを確認します。

ログ種類	主な役割	パラメータ
MTAログ (SMTP)	メールの送信・中継・受信の処理記録	Message-ID, from=, to=, status= (sent/bounced/deferred), client IP, relay
MDA / MDA アクセスログ (IMAP/POP3)	ユーザーによるメールボックスへのアクセス記録	ログイン日時, User ID, Client IP, Protocol (IMAP/POP3), 認証結果 (Success/Fail)
セキュリティ・認証ログ (DKIM/SPF/DMARC)	配送時のドメイン検証やスパム判定の記録	spf=pass/fail, dkim=pass/fail, dmarc=pass/fail, Spam Score

分析シナリオ

メール送受信トラブル（未達・遅延の調査）
- 特徴：ユーザからメールが届かない・送信できないという問い合わせがあった際の調査。
- 確認点：
  - 送信元/宛先アドレスや Message-ID でログを検索。
  - status= の値を確認（250 OK = 正常完了、4xx = 一時的エラー・再試行中、5xx = 恒久的エラー・バウンス）。
  - 相手先サーバからの応答コードを確認。
アカウント乗っ取りによる不正送信（スパム踏み台化）
- 特徴：社内アカウントの認証情報が漏洩し、外部へスパムメールが大量送信される。
- 確認点：
  - 特定の認証ユーザ（sasl_username など）から短時間で異常な通数のアウトバウンドメールが送信されていないか。
  - 通常と異なる国・IPアドレスからの SMTP 認証成功ログ。
  - 宛先不在によるバウンスメール（550 エラー等）の急増。
なりすまし・フィッシングメールの検知（インバウンド）
- 特徴：外部から社内宛てに送信されてくる悪質なメールの特定。
- 確認点：
  - SPF / DKIM / DMARC 検証ログ：spf=fail や dmarc=fail のログから、ドメインを騙った外部からのなりすまし通信を検知。
  - 送信元IP（Client IP）の評価：脅威インテリジェンスやレピュテーションデータベース（RBL等）で悪名高いIPからの接続試行。
ブルートフォース / パスワードスプレー攻撃
- 特徴：IMAP/POP3 や Webmail（Roundcube, Outlook Web等）に対する不正ログイン試行。
- 確認点：
  - 同一IPから複数のアカウントに対するログイン失敗ログの連続発生。
  - 特定アカウントに対する短時間での大量ログイン失敗。

分析の効率化

Message-ID や配送ID によるトレースの一貫性確保
メールは複数の内部コンポーネント（Postfix → SpamAssasssin → Dovecot など）を経由するため、共通の識別子（Queue ID や Message-ID）をキーにしてログを横断検索する仕組みが必須です。
送信ドメイン認証（DMARCレポート）の活用
DMARC解析ツールを導入することで、自社ドメインを騙って送信された不正メールの統計や、配信失敗ログをグラフィカルに可視化できます。
SIEM / ログ解析ツールでの閾値アラート
「１分間に同一ユーザから50通以上の送信」や「１時間に10回以上のIMAP認証失敗」といった条件で自動アラートを設定し、スパム踏み台化や乗っ取りを即座に検知し、アカウント停止できる体制を整えます。

プロキシサーバ

プロキシサーバ（Forward Proxy / Web Proxy）のログ分析は、Webアクセス経由でのマルウェア感染・C2通信の検知、機密データの外部流出の特定、および業務外アクセスの把握を目的として行われます。

主要なログ

プロキシサーバ（Squid, Zscaler, Palo Alto Networks, i-FILTERなど）のアクセスログには、社内端末からインターネットへの通信詳細が記録されます。

ログ項目	内容	チェックポイント
Timestamp	通信が発生した日時	業務時間外や深夜帯の不自然な通信の特定
Client IP / User	社内端末のIPアドレス / ログインユーザーID	どの端末・ユーザーが通信を行ったかの特定（AD連携時）
Method	HTTPメソッド（GET, POST, CONNECT など）	POST（データ送信・アップロード）や CONNECT（HTTPSトンネリング）の監視
URL / Host Domain	アクセス先のURLまたはドメイン名	未評価ドメイン、脅威カテゴリ（C2, Botnet, Phishing）への接続
Status Code	HTTPステータスコード（200, 403, 407 など）	403（拒否）の多発や 200（接続成功）の確認
Bytes Sent / Received	送信・受信データ量	送信データ量（Sent Bytes）の異常増加（情報漏洩の疑い）
User-Agent	使用されたブラウザ・クライアント識別子	非標準なUser-Agent（マルウェアやツール固有の識別子）
Category	URLフィルタリングカテゴリ	危険カテゴリ（悪性サイト、ストレージサービス、匿名プロキシ等）

分析シナリオ

マルウェアによる C2通信（Command & Control）の検知
- 特徴：内部感染端末が攻撃者の制御サーバへ定期的に通信（ビーコニング）を行う。
- 確認点：
  - 定期的・高頻度なアクセス：一定間隔で特定IP/ドメインへ通信しているログ。
  - 不審なUser-Agent：一般的なブラウザ（Chrome/Edge等）とは異なる文字列や、空欄・短すぎるUser-Agent。
  - 新興・動的ドメイン（Dynamic DNS）：生成されたばかりのドメインや、ダイナミックDNSサービス（No-IP等）への接続。
機密データの持ち出し・情報漏洩（データ送出）
- 特徴：ストレージサービスや外部WEBサイトへ大量のデータが送信される。
- 確認点：
  - HTTP POST メソッドかつ送信バイト数が極端に大きいログの抽出。
  - 許可されていないクラウドストレージ（Box, Google Drive, Megaなど）やファイル転送サイト（GigaFile便など）へのアクセス。
HTTPSトンネリング通信（暗号化通信の悪用）
- 特徴：HTTP CONNECT メソッドを利用してプロキシを制限なく通過し、Web以外のプロトコル（SSH, RDP, VPN等）を外部へ通す行為。
- 確認点：
  - 非標準ポート（443以外のポート）に対する CONNECT 通信。
  - 長時間セッションが維持され続けている通信。
悪質サイト・フィッシングへの誘導
- 特徴：ユーザがフィッシングメール内のリンクや不正な広告をクリックして危険なWebサイトへ移動する。
- 確認点：
  - ステータスコード 403 Denied（Webフィルタリング機能でブロックされたログ）の急増。
  - 短時間に多数のユーザが同一の不審なURLへのアクセス。

分析の効率化

SSL/TLS復号（SSL Decryption / Inspection）の導入
現在のWebトラフィックの9割以上はHTTPS（暗号化）されています。プロキシ側でSSL復号化の実施が不可欠です。
脅威インテリジェンス（IoC）との自動照合
プロキシログをSIEMに取り込み、最新の悪性URL/IPリスト（Threat Feed）とマッチングさせてアラート化します。
正常トラフィックの除外（ノイズリダクション）
OSや社内ソフトウェアの自動アップデートによる大量の通信ログは、分析ルールから事前に除外して調査コストを削減します。

認証サーバ（Active Directory）

Active Directory（以下、AD）とは、組織内のリソース（アカウントやパスワードなど）を一元管理するシステムです。

ADのログ分析は、ドメイン環境内における不審なサインイン（不正アクセス）、権限の乱用、横展開（ラテラルムーブメント）、設定変更などを早期に検知するための非常に重要な運用タスクです。

ADに対する攻撃手法

ADに対する攻撃を行い、ドメイン管理者アカウントなどの高い権限が窃取されると、ADが管理する全てのリソースをコントロールすることが可能になります。ADの認証の弱点を悪用して攻撃する代表的な手法は以下になります。

ADの脆弱性の悪用
ADの脆弱性を悪用するとドメインユーザがドメイン管理者権限に昇格できます。ドメインユーザの認証情報などが窃取できれば、比較的容易にドメイン管理者権限を獲得することができます。
端末に保存された認証情報の悪用
侵害した端末のローカル管理者権限を窃取した攻撃者は、WindowsOSのメモリなど保存されたユーザの認証情報（パスワードなど）を窃取することができます。
ローカル管理者アカウントの悪用
複数のコンピュータで共通のアカウント名やパスワードを設定している場合、1 台のコンピュータでローカル管理者アカウントのパスワードが窃取されてしまいます。

主要なイベントID

AD環境のログ分析では、特にドメインコントローラー（DC）に出力されるセキュリティイベントログを重点的に監視します。以下に、イベントID、イベント名 / 内容、分析・監視のポイントについてまとめます。

認証・ログオン

イベントID	イベント名 / 内容	分析・監視のポイント
4624	ログオン成功	ログオンタイプ（2:ローカル、3:ネットワーク、10:RDP）とソースIPを確認
4625	ログオン失敗	短時間での多発（ブルートフォース/パスワードスプレーの可能性）、状態コードの確認
4768	Kerberos TGT要求（成功/失敗）	認証チケット要求。失敗理由（エラーコード）から攻撃手法を特定
4769	Kerberos サービスチケット要求	Kerberoasting攻撃の検知（暗号化形式が`0x17`(RC4)などの不自然な大量要求）
4776	NTLM認証の検証	NTLMプロトコルによる認証試行の監視（Pass-the-Hash攻撃の監視）

アカウント管理

イベントID	イベント名 / 内容	分析・監視のポイント
4720	ユーザーアカウントの作成	未承認のアカウント作成（バックドア作成）の検知
4722	ユーザーアカウントの有効化	無効化されていたアカウントの勝手な有効化を監視
4723,4724	パスワード変更 / リセット	管理者による不審なパスワードリセットの検知
4738	ユーザーオブジェクトの変更	アカウント属性（SPN設定など）の意図しない変更
4728,4732, 4756	セキュリティグループへのメンバー追加	Domain Admins や Enterprise Admins などの特権グループへの追加を厳重監視

DS (AD) 操作

イベントID イベント名 / 内容分析・監視のポイント

5136 Active Directory オブジェクトの変更 GPO（グループポリシ）や権限（ACL）の書き換え検知

分析シナリオ

単体のログを見るだけでなく、複数のログの組み合わせや特定のパターンに着目して分析を行います。

パスワード推測攻撃（ブルートフォース / パスワードスプレー）
- 特徴：イベントID 4625（ログオン失敗）または 4768（Kerberos TGT要求失敗）が短時間に大量発生。
- 確認点：
  - 単一のアカウントに対して大量発生（ブルートフォース）
  - 多数のアカウントに対して同一パスワードで少数発生（パスワードスプレー）
  - 失敗理由コード（例: 0xC000006A = パスワード誤り、0xC0000234 = アカウントロックアウト）
横展開・特権昇格（ラテラルムーブメント）
- 特徴：正規の管理者アカウントや乗っ取られたアカウントが、短時間で複数の端末・サーバーへログオン。
- 確認点：
  - イベントID 4624 のログオンタイプ 3（ネットワーク接続）や 10（リモートデスクトップ）が、普段アクセスしない送信元IPから発生していないか。
  - イベントID 4672（特殊な特権の割り当て）が通常業務時間外に発生していないか。
Kerberoasting / AS-REP Roasting 攻撃
- 特徴：ドメイン内のサービスアカウントのハッシュを奪取するための攻撃。
- 確認点：
  - 4769：暗号化タイプ 0x17 (RC4-HMAC) を指定したサービスチケット要求が過剰に出ていないか。
  - 4768：事前認証が不要なアカウント（DONT_REQUIRE_PREAUTH）に対するTGT要求の急増。
バックドア（永続化）の構築
- 特徴: 攻撃者が侵入状態を維持するためにアカウントやグループ権限を操作。
- 確認点：
  - 4720（アカウント作成）$\rightarrow$ 4728（Domain Admins追加）という一連の流れの有無。

分析の効率化

コマンドラインとプロセス生成ログの有効化
エンドポイント（端末・サーバ）のイベントID 4688（プロセス生成）でコマンドライン引数の記録をグループポリシから有効化しておくと、powershell.exe や cmd.exe を使った不正操作の追跡が容易になります。
SIEM / ログ統合管理ツールの活用
Splunk、Microsoft Sentinel、Elasticsearch などのSIEMツールを導入し、特定の相関ルールを設定して運用するのが一般的です。
ノイズの除外設定
システムアカウント（ANONYMOUS LOGON、SYSTEM、LOCAL SERVICEなど）による自動化された正常ログオンをフィルターで除外することで、分析精度を高めます。

ADに対する対策

ADへの攻撃に対する予防策は以下になります。ドメイン管理者アカウントを主眼としています。

管理専用端末の設置	AD やサーバの管理用の端末を専用化し、インターネットのアクセスや、アプリケーションの実行を制限する。
セグメントの分離	ネットワークセグメントを分離し、セグメント間の通信を必要最低限にする。不要なリモートアクセスを制限する。
特権付与の最小化	ドメイン管理者権限などの特権の付与は必要最小限とする。有効期限を設け、共同使用などを禁止する。
更新プログラムの適用	Windows Update、WSUS などを使用し、最新のセキュリティ更新プログラムを適用する。
認証情報の保護	コンピュータのメモリなどに認証情報を保存しない、または、保存される認証情報を保護する機能を利用する。
適切なパスワード	共通パスワードの使用を避け、強固なパスワードを設定する。

ADに対する攻撃を検知した場合、アカウント悪用による被害を軽減するための緊急対処は以下になります。

krbtgt アカウントのパスワード変更	Golden Ticket の無効化のため、krbtgt のパスワードを２回連続で変更する。ドメイン管理者アカウントのパスワードも変更する。
コンピュータアカウントのパスワード変更	Silver Ticket の無効化のため、侵害を受けたコンピュータのアカウントのパスワードを２回連続で変更する。管理者アカウントのパスワードも変更する。