最低限取っておきたいのは、①認証のログ（誰がいつどこからログインしたか）、②外部との通信のログ（ファイアウォール・VPN・プロキシ）、③重要なサーバー・クラウドの操作ログ、④端末の動作ログ（EDR）です。侵入から発覚までに長い時間がかかることがあるため、重要なログは1年程度以上を目安に、自社の状況と規制に合わせて保存期間を決めます。
ログ管理のポイント
- 時刻の同期：機器ごとに時刻がずれていると、攻撃の流れを追えない
- 集約：機器ごとにばらばらではなく、1か所に集める
- 改ざん防止：攻撃者に消されないよう、別の場所・書き換えできない形で保存
- クラウドの監査ログ：標準の保存期間が短いことがある。設定を確認（クラウドのログ）
監視の始め方
- 管理者アカウントのログイン、海外からのログインなど、見るべきイベントを絞る
- 通知（アラート）の仕組みを作る
- アラートを受けたら誰が何をするかを決める