ログ解析の位置づけ
進め方を見る前に、何を指す取り組みなのかを押さえておきましょう。
ログ管理とログ解析の関係
ログ管理は、各種の機器やシステムが出力する記録を集めて保管し、必要なときに取り出せる状態にすることを指します。ログ解析は、集めた記録を突き合わせて、通常と異なる動きを見つける取り組みです。
管理は解析の前提にあたります。必要な記録が取得されていない、保存期間が短くて残っていないという状態では、解析のしようがありません。どの記録をどれだけの期間残すかを決めることが、最初の作業になります。
セキュリティで解析が求められる理由
不正な操作や外部からの侵入は、単一の記録だけでは判断しにくい場合があります。認証の失敗が続いた後に成功している、通常使わない時間帯に大量のファイルが操作されているといった動きは、複数の記録を組み合わせて初めて見えてきます。
また、実際に事態が生じた際には、いつ何が起きたのかを説明する必要があります。記録が残っていれば、影響の範囲を確認する材料になります。予防と事後の確認という二つの面で、解析が求められる領域です。
対象となるログの種類
どのような記録を集めるのかを、三つに分けて確認します。
端末の操作に関する記録
従業員が使うパソコンでの操作を記録するものです。ファイルの作成や削除、外部記憶媒体への書き出し、印刷、Webサイトの閲覧といった内容が対象になります。
内部からの持ち出しに関する確認では、この記録が中心になります。ただし、すべての操作を記録すると量が膨大になり、確認も追いつきません。何を確認したいのかを決め、必要な操作に絞って取得する設計が求められます。
サーバやネットワーク機器の記録
サーバへの接続、実行された処理、通信の経路と宛先といった記録です。外部との通信の状況や、システムの動作に関わる情報が含まれます。
不審な通信が発生していないか、想定しない宛先へデータが送られていないかを確認する際に使われます。機器の種類が多いほど、記録の形式もばらつきます。集めた後に突き合わせられる形に整える工程が必要になります。
認証と権限に関する記録
いつ誰がどこから接続したか、認証に失敗した回数、権限が変更された履歴といった記録です。なりすましや権限の不正な取得を確認する際の手がかりになります。
特に管理者の権限に関わる操作は、影響が大きいため確実に記録しておきたい領域です。退職者のアカウントが使われていないか、通常と異なる時間帯や地域からの接続がないかを確認する材料にもなります。取得できる項目は機器やサービスによって異なるため、必要な情報が残る設定になっているかを確かめておきましょう。
解析を進める際の考え方
集めた記録を活用するために、事前に整えておきたい二つの点を確認します。
何を見つけたいかの明確化
すべての記録を集めて眺めても、気づきは得られません。まず、どのような事態を早く把握したいのかを決めます。内部からの持ち出しなのか、外部からの侵入なのか、権限の不正な利用なのかによって、必要な記録も分析の条件も変わります。
優先する対象が定まれば、取得すべき記録の範囲も絞れます。あわせて、それを見つけた際に誰が何をするのかという手順も決めておきましょう。気づける仕組みだけを作っても、対応する体制がなければ活かされません。
時刻と形式をそろえる準備
複数の機器の記録を突き合わせるには、時刻の設定がそろっていることが前提になります。機器ごとに時刻がずれていると、前後関係を正しく追えません。
記録の形式も機器やシステムによって異なります。集めた後に共通の形へ整える工程が必要になり、この作業を担う仕組みがあるかどうかが解析の進めやすさを左右します。導入前に、現在使用している機器の記録に対応するかを確認しておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でログ管理システムの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
運用でつまずきやすい点
始めた後に課題として表面化しやすい点を二つ挙げます。
保存量と保存期間の見積もり
取得する記録の種類と対象の台数が増えるほど、保存に必要な容量も増えます。想定より早く上限に達し、古い記録から消えてしまうという事態も起こり得ます。
どのくらいの期間さかのぼれる必要があるかを先に決めましょう。確認が必要になるまでに時間が経過する場合もあるため、短すぎる設定は避けたいところです。取り扱う情報の種類によっては、社内規程や関係する制度で保存の考え方が示されている場合もあります。判断に迷う部分は法務や情報システムの担当に確認しましょう。
通知が増えすぎた場合への備え
検知の条件を細かく設定しすぎると、対応の必要がない通知まで届くようになります。日常的に通知が届く状態が続くと、重要な知らせを見落とす恐れが生じます。
対応が必要なものと参考情報を分ける、一定時間内に繰り返される通知をまとめるといった設定が有効です。運用を始めてから通知の内容を振り返り、条件を調整する時間を定期的に設けましょう。担当者一人で確認する体制も、続きにくい要因になります。
ログ管理ツールの選び方
ここまでの内容を踏まえ、ツールを選ぶ際の確認事項を整理します。
対象システムと取得範囲の整理
最初に、どの機器やシステムの記録を集めるのかを決めます。端末が中心なのか、サーバやネットワーク機器も含めるのか、クラウドサービスの記録まで対象にするのかによって、選ぶべき製品が変わります。
対応する機器の種類は製品によって差があります。現在使用している構成を伝えたうえで、対応の可否を確認しましょう。すべてを一度に対象とせず、重要度の高いシステムから着手する進め方も現実的です。
検索と分析の機能
集めた記録から必要な情報を取り出せるかを確認します。期間や利用者、操作の種類で絞り込めるか、複数の記録を組み合わせて確認できるかといった点です。
あらかじめ用意された条件で検知できる機能や、報告用の資料を出力する機能を備えた製品もあります。監査で提出を求められる場合は、出力の形式もあわせて確かめておきましょう。件数が多い環境では、検索にかかる時間も確認したい要素です。
費用とサポート範囲の確認
料金は、対象の台数に応じた月額制、保存するデータ量による課金、機能ごとのプラン分けなど、製品によって考え方が異なります。保存期間を長く設定するほど費用が上がる構成もあるため、総額で比べることが必要です。
サポートについては、どこまで対応してもらえるのかを具体的に確かめます。操作方法の案内にとどまるのか、取得する記録の設計や検知条件の調整を支援してもらえるのかは製品ごとに差があります。専任の担当を置けない場合は、監視を委託するサービスも含めて検討しましょう。
ログの取得・解析に対応したログ管理ツール
対象とするログの種類にあわせて検討できる、ログ管理ツールを紹介します。
LANSCOPE エンドポイントマネージャー クラウド版
- 使いやすい管理コンソールでPC・スマホ・M365を一元管理
- IT 資産管理・操作ログ管理など PC 管理に必要な機能を網羅
- Microsoft 365にアクセスするユーザーの利用状況を見える化
エムオーテックス株式会社が提供する「LANSCOPE エンドポイントマネージャー クラウド版」は、PCの操作ログを取得・解析できるクラウド型のシステムです。ファイル操作やUSBメモリの使用履歴を記録する機能を備えており、不審な操作の兆候を確認する運用に活用できます。
クライアント運用管理ソフトウェア SKYSEA Client View
- 「日経コンピュータ 顧客満足度調査 2026-2027」で1位を獲得！
- 日々のログを収集し、情報漏洩リスクの素早い発見をサポート
- 特定のファイル操作などをログで確認、状況把握をご支援
Sky株式会社が提供する「クライアント運用管理ソフトウェア SKYSEA Client View」は、PCの操作ログを幅広く取得できるシステムです。取得したログを検索・集計する機能を備えており、インシデント発生時の原因調査に必要な記録をさかのぼって確認できます。
MaLionCloud
- Windows、Mac、スマホを一元管理
- IT資産を見える化して、ライフサイクルを徹底管理
- 労働状況の見える化で、長時間労働・サービス残業を把握・是正
株式会社インターコムが提供する「MaLionCloud」は、PCの操作履歴を記録・管理できるクラウド型のログ管理システムです。端末ごとのログをクラウド上に集約する構成になっており、複数拠点にまたがる組織でもログを一元的に確認しやすくなります。
Loggly （SolarWinds Japan株式会社）
- 複数ソースのログをクラウドで一元集約。
- 高速検索と直感的なクエリで原因調査を支援。
- リアルタイムで異常を検知・通知。
CloudLogging （グーグル・クラウド・ジャパン合同会社）
- 新規顧客に300ドルの無料クレジット提供
- ログ エクスプローラで柔軟なクエリと可視化が可能
- BigQueryで詳細なログ分析を提供
ログ解析に関するよくある質問
取り組みを検討する担当者から寄せられることの多い質問と回答をまとめました。
- Q1： どの記録から集めるべきですか？
- 何を早く把握したいかによって変わります。内部からの持ち出しが心配であれば端末の操作、外部からの侵入であれば通信や認証の記録が候補になります。優先する対象を決めてから、必要な範囲を絞りましょう。
- Q2： 保存期間はどのくらいが目安ですか？
- 一律の目安はありません。確認が必要になるまでにどの程度の時間が経過し得るかを想定して決めることが望まれます。社内規程や取引先との契約で保存の考え方が定められている場合もあるため、関係する要件を確認しましょう。
- Q3： 記録を取得すると従業員への説明は必要ですか？
- 端末の操作を記録する場合は、取得する範囲と利用目的を説明し、社内規程として定めておくことが望まれます。監視が目的ではないことをあわせて伝えると理解を得やすくなります。判断に迷う部分は法務や労務の担当に確認しましょう。
- Q4： 導入までにどのくらいの期間がかかりますか？
- 対象システムの数や、記録の形式をそろえる作業の範囲によって幅があります。端末の操作記録から始める場合は短期間で立ち上げられる一方、複数の機器を対象に検知条件まで設計する場合は時間を要します。段階的な計画を立てましょう。
まとめ
セキュリティにおけるログ解析は、端末の操作、サーバやネットワーク機器、認証と権限に関する記録を突き合わせて、通常と異なる動きを見つける取り組みです。進めるには、何を見つけたいかを明確にし、時刻と形式をそろえる準備が欠かせません。保存量と通知の量は運用の負担に直結するため、条件を調整できる仕組みを選びましょう。対象システムと取得範囲を整理したうえで、検索の機能や費用を比べて選ぶことをおすすめします。
