【入門編】インシデント対応におけるタイムライン分析とイベント相関 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド

泥棒は「いつ」家に入ったのか？セキュリティ担当者が身につけるべき「タイムライン分析」の極意

こんにちは。セキュリティの最前線で「いかにしてシステムを壊すか（そして守るか）」を研究しているエンジニアです。

今日は、サイバー攻撃が起きた時に、「一体、いつ、どこで、何が起きたのか？」を突き止めるための「タイムライン分析」についてお話しします。

難しく聞こえるかもしれませんが、実は「家の防犯」を想像すると非常にシンプルです。一緒に紐解いていきましょう！

—

1. 泥棒の足跡を追う：タイムライン分析とは？

ある日、あなたの家が荒らされていたとします。鍵は壊れていないのに、中の現金がなくなっている。警察はどうやって犯人を特定するでしょうか？

1. 近所の防犯カメラを確認する
2. 玄関のドアの開閉記録（スマートロックのログ）を見る
3. 泥棒が逃げた窓の指紋を調べる

これらバラバラの情報を、「時系列（何時何分に何が起きたか）」に並べ替える作業。これが「タイムライン分析」です。

サイバー攻撃も同じです。攻撃者は一度にすべてを盗むわけではありません。

偵察： どこに穴があるか探る
侵入： 鍵をこじ開ける（または合鍵を作る）
横展開： 家の中の他の部屋を物色する
持ち出し： 大切なデータを外へ運び出す

この一連の流れをログから再構築するのが、インシデント対応の腕の見せ所なんです。

—

2. ログの「ズレ」が最大の敵！

ここで一つ、厄介な問題があります。それは「時計のズレ」です。

家の玄関の時計は「10時00分」、リビングの時計は「10時05分」を指していたら、泥棒がどっちの部屋を先に通ったか分かりませんよね？サーバーの世界でも、サーバーAとサーバーBで時間が数秒ズレているだけで、攻撃の全貌が見えなくなります。

だからこそ、ログを分析する際は「タイムスタンプの正規化（UTC等の統一規格に合わせる）」が鉄則なんです。

—

3. 実践：攻撃の痕跡を見つけるログの読み方

開発者やIT担当者がログを見る時、つい「エラーが出ていないか」だけを確認しがちです。しかし、攻撃者はエラーを出さずに静かに侵入します。

例えば、Webサイトのアクセスログ（access.log）を見る時は、以下のような特徴的な動きを探しましょう。

# 攻撃者が仕掛けてくる怪しいアクセスの例
192.168.1.1 - - [10/Oct/2023:14:00:01 +0900] "GET /login.php HTTP/1.1" 200 1234
192.168.1.1 - - [10/Oct/2023:14:00:05 +0900] "POST /login.php HTTP/1.1" 200 4567  <-- ログイン試行
192.168.1.1 - - [10/Oct/2023:14:05:20 +0900] "GET /admin/backup.zip HTTP/1.1" 200 999999 <-- データを盗んでいる！

このように、短い時間に「ログイン」→「通常ありえない場所へのアクセス」が連続している場合、それは泥棒が家の中で物色を始めたサインです。

—

4. 防御側として今すぐできること：ログの保存と正規化

「ログを取っていない」は、「防犯カメラがない」のと同じです。まずは、最低限のログが記録されているか確認しましょう。

Webサーバー（ApacheやNginx）のログフォーマットを、分析しやすい形式に整える設定例です。

# Apacheの設定例：ログにミリ秒まで含めると、分析が圧倒的に楽になります
LogFormat "%{%Y-%m-%dT%H:%M:%S%z}t %m %U %>s %b" combined_precise

# この設定で、ログが以下のようになります
# 2023-10-10T14:00:01+0900 GET /login.php 200 1234

なぜこれが重要なのか？

この形式なら、Excelや分析ツール（ELKスタックなど）に読み込ませた時に、機械が自動で時系列順に並び替えてくれるからです。「人間が一つずつ目視する」という泥臭い作業を減らし、より高度な分析に時間を割くための一歩です。

—

5. 最後に：セキュリティは「答え合わせ」の積み重ね

セキュリティに完璧はありません。ですが、「ログという名の証拠」を残しておけば、万が一の時に「どこが壊されたのか」「何を盗まれたのか」を正確に把握し、被害を最小限に食い止めることができます。

まずは、自分のサーバーのログが「いつ」「どこで」記録されているのか、ぜひ一度確認してみてください。「あれ、このサーバーだけ時間がずれてるな？」と気づくこと。そこから、あなたのセキュリティ対策は大きく前進します。

一歩ずつ、一緒に学んでいきましょうね。次回の記事では、このログを使って「攻撃者の足跡を地図にする方法」を詳しく解説します。お楽しみに！