ログ管理は、システムが残す記録を集め、必要な人が調べられる状態で保管し、決めた期間の後に適切に削除する運用です。ファイルが保存されているだけでは、障害や不正利用の調査に使えるとは限りません。
最初に決めたいのは、何を確かめるために、どの記録を、誰が使うのかです。この記事では、個別製品の選定前にそろえる運用項目を説明します。
調べたいことから記録対象を決める
ログには、アプリケーション、OS、ネットワーク機器などが残す記録があります。障害調査、アクセスの確認、処理結果の追跡など、目的によって必要な情報が違います。
OWASPは、アプリケーションログをセキュリティと運用の両方に使えるものとして説明しています。また、記録する量は目的に合わせて決める必要があります。OWASP Logging Cheat Sheet
たとえば架空の申請システムで「処理に失敗した申請を追いたい」なら、申請の識別子、処理の段階、結果、時刻を対応させる案が考えられます。本文の内容をすべて保存することと、処理を追えることは同じではありません。
一つの操作を追える項目をそろえる
複数システムの記録を調べるとき、名称や時刻の形式が違うと照合に手間がかかります。次の表は、収集元ごとに確認するための項目例です。
| 項目 | 確認する内容 |
|---|---|
| 時刻 | 発生時刻か収集時刻か、タイムゾーン |
| 発生元 | システム、環境、処理の名称 |
| 操作 | 何をしようとしたか |
| 対象 | 調査に必要な識別子 |
| 結果 | 成功・失敗・保留などの意味 |
| 関連づけ | 同じ要求を追う識別子の有無 |
すべての項目を無条件に追加するのではなく、必要性と機密性を確認します。記録の仕様が変わったときは、検索や集計にも影響するかを確認してください。
保存しない情報と閲覧権限を決める
ログに秘密情報を残すと、調査用の保管場所が別の漏えい経路になり得ます。OWASPは、パスワード、アクセストークンなどを通常そのまま記録しない対象として挙げ、記録へのアクセス制御も求めています。
本記事では、設計時に「記録する項目」と「除外する項目」を対で残すことを勧めます。検証環境では架空データを使い、除外すべき値が実際に出力されないかを確認します。
閲覧担当、設定変更担当、削除担当も整理します。全員が全ログを見られる状態を前提にせず、調査目的に合う範囲を決めます。外部へ調査を依頼する場合は、必要部分の抽出と共有方法を別に確認します。
保管期間と収集失敗の扱いを決める
「ずっと保存する」「容量が埋まったら消す」では、必要な記録が残るか判断できません。業務上の調査期間、契約や社内規程、保存先の条件を確認して期間を決めます。この記事で全企業共通の保存年数は定めません。
保存期間と、すぐ検索できる期間も分けて考えます。古いログを別の保管先へ移すなら、取り出す担当と手順を確認してください。削除対象には複製や抽出データも含めて管理します。
また、収集が止まった状態を「異常がなかった」と扱わないことが大切です。最終受信時刻、取り込みエラー、容量不足などを確認する担当を決め、欠測期間を記録します。
記録を使う練習で運用を確かめる
導入後は、架空の問い合わせを一件用意し、担当者が対象の操作を探せるか試します。「いつ」「どの処理で」「どこまで進んだか」が分かるかを確かめ、足りない項目や過剰な情報を見直します。
ログを残す設計と、異常を通知する設計は関連しますが別の作業です。通知条件や初動は監視アラートの設計に整理しています。
まず一つの重要なシステムについて、目的・項目・閲覧担当・保管期間・収集失敗時の連絡先をそろえてください。運用体制の相談はインフラサポートをご確認いただけます。