こんにちは！インシデントレスポンスの世界へようこそ。
日々、企業のネットワークを守るSOCアナリストとして最前線に立っていると、「もし攻撃者にシステムに入り込まれてしまったら？」という瞬間によく直面します。
サイバー攻撃者は侵入に成功すると、自分たちの足跡を消そうと必死になります。システムにどんな不正なプログラムを仕掛けたか、どこにアクセスしたかといった「ログ」を、まるで何食わぬ顔で書き換えたり削除したりしてしまうのです。
今回は、そんな「証拠隠滅」という厄介な手口から大切なログを守り、フォレンジック（法的な証拠調査）の信頼性を保つための技術「ハッシュチェーン」について、身近な例えを交えながら優しく紐解いていきたいと思います。一歩ずつ、一緒に学んでいきましょう！
—
1. なぜ攻撃者はログを書き換えるのか？（身の回りの防犯に例えて）
想像してみてください。あなたが大切にしている自宅に、夜中に泥棒が侵入したとします。
玄関の鍵をピッキングで開け、リビングを物色し、いくつかの貴重品を持ち去りました。
もし、あなたの家に「防犯カメラ」が設置されていて、その映像が玄関のレコーダーにしっかり残っていたらどうでしょう？ 警察（私たちのインシデントレスポンスチームですね）はすぐに映像を確認し、泥棒の顔や逃走経路を特定することができますよね。
しかし、もしその泥棒が「プロ」で、侵入した後にレコーダーのデータを書き換えたり、自分たちの姿が映っている時間帯の映像を丸ごと消去してしまったら……？
「あれ？ 昨日の夜、何か変な音しなかった？」と思っても、証拠がなければ警察も動きづらくなりますし、保険会社に被害を証明することも難しくなってしまいます。
サイバー世界でもこれと全く同じことが起きています。
攻撃者はシステムに侵入して悪さ（マルウェアの実行やデータの持ち出し）をした後、自分たちの足跡である「ログファイル」をこっそり書き換えたり、削除したりして証拠を隠そうとします。これでは、私たちセキュリティ担当者が後から駆けつけても、何が起きたのか真相が闇の中になってしまいますよね。
だからこそ、「ログが後から絶対に改ざんされていないこと」を証明する仕組みが必要不可欠なのです。
—
2. ログを守る最強の仕組み「ハッシュチェーン」とは？
「ログが書き換えられていないことを、どうやって証明すればいいの？」
そこで登場するのが、今回の主役である「ハッシュチェーン」という技術です。
少しだけ難しい言葉が出てきますが、安心してついてきてくださいね。
まず「ハッシュ（Hash）」とは、元のデータ（ログの内容など）を専用の計算機に入れて混ぜ合わせることで作られる、固有の「要約データ（文字列）」のことです。
ハッシュには次のような面白い特徴があります。
- 一方向性: ハッシュの文字列から、元のデータの中身を復元することは（事実上）不十分でできません。
- 雪だるま式の影響: 元のデータが1文字でも変わると、出来上がるハッシュの文字列は全く似ても似つかないものにガラリと変わります。
これを利用して、「日記帳のチェーン綴じ（つづじ）」のような仕組みを作るのが「ハッシュチェーン」です。
1. 1行目のログが記録される。
2. その1行目のログから「ハッシュA」を作る。
3. 2行目のログを記録する際、「1行目のハッシュA」を一緒に混ぜ込んで「ハッシュB」を作る。
4. 3行目のログを記録する際、「2行目のハッシュB」を一緒に混ぜ込んで「ハッシュC」を作る。
このように、まるで鎖（チェーン）のようにつぎはぎの結びつきを作っていくのがハッシュチェーンです。
もし攻撃者が、過去の「2行目のログ」こっそり書き換えようとするとどうなるでしょうか？
2行目の内容が変わるので、そこから作られるハッシュBが変わり、連鎖してハッシュCも、その先も全部の辻褄が合わなくなってしまいます。
つまり、「過去の改ざんが、一目瞭然でバレる仕組み」になっているのです。
—
3. 実装してみよう！ハッシュチェーンのシンプルなPythonコード
百聞は一見にしかず。新人のIT担当者や開発者の皆さんが、実務のイメージを掴みやすいように、Pythonを使って非常にシンプルなハッシュチェーンの仕組みを実装してみましょう。
以下のコードを参考に、ログがどのように鎖のように結びついているか確認してみてください。
import hashlib
import json
from datetime import datetime
class LogChain:
def __init__(self):
# チェーンの最初のハッシュ（ジェネシスブロックのようなもの）
self.previous_hash = "00000000000000000000000000000000"
self.chain = []
def add_log(self, user, action):
"""
新しいログを追加し、前回のハッシュと結びつけてチェーンを形成する関数
"""
timestamp = datetime.now().isoformat()
# ログの基本データを作る
log_data = {
"timestamp": timestamp,
"user": user,
"action": action,
"previous_hash": self.previous_hash # 前回のハッシュをここに組み込む！
}
# 辞書型データをJSON文字列に変換してからハッシュ化する
log_string = json.dumps(log_data, sort_keys=True).encode('utf-8')
current_hash = hashlib.sha256(log_string).hexdigest()
# ブロック（ログ＋現在のハッシュ）をチェーンに保存
block = {
"data": log_data,
"current_hash": current_hash
}
self.chain.append(block)
# 次のログのために、現在のハッシュを「前回のハッシュ」として保持する
self.previous_hash = current_hash
def verify_chain(self):
"""
チェーンの整合性を検証し、改ざんがないかチェックする関数
"""
for i in range(1, len(self.chain)):
current_block = self.chain[i]
prev_block = self.chain[i-1]
# 1. 現在のブロックの previous_hash が、直前のブロックの current_hash と一致するか確認
if current_block["data"]["previous_hash"] != prev_block["current_hash"]:
print(f"[-] 警告: ブロック {i} でチェーンのつながりが切れています！改ざんの可能性があります。")
return False
# パーフェクトチェック: 記録されているデータからハッシュを再計算し、保存されているハッシュと一致するか確認
recalculated_string = json.dumps(current_block["data"], sort_keys=True).encode('utf-8')
recalculated_hash = hashlib.sha256(recalculated_string).hexdigest()
if recalculated_hash != current_block["current_hash"]:
print(f"[-] 警告: ブロック {i} のデータが書き換えられています！")
return False
print("[+] 検証成功: すべてのログの完全性は完全に保護されています。")
return True
# --- 実際に動かしてみましょう ---
if __name__ == "__main__":
secure_logger = LogChain()
# ログをいくつか追加します
secure_logger.add_log("admin_tanaka", "サーバーにログインしました")
secure_logger.add_log("user_sato", "パスワードを変更しました")
secure_logger.add_log("admin_tanaka", "設定ファイルを更新しました")
print("--- 改ざん前の検証 ---")
secure_logger.verify_chain()
# --- 悪意ある攻撃者がこっそりデータを書き換えたと仮定 ---
print("\n--- 攻撃者がログ（1番目）をこっそり書き換えたとします ---")
secure_logger.chain[0]["data"]["action"] = "サーバーに不正侵入しました（改ざん）"
print("--- 改ざん後の検証 ---")
secure_logger.verify_chain()このコードを実行してみると、最初のログ（index 0）のデータをちょっと書き換えただけで、verify_chain() 関数が瞬時に「おや、おかしいぞ！」と異変を察知してアラートを上げてくれるのが分かります。これが現場で役立つ、改ざん検知の生々しい仕組みです。
—
4. 現場のプロが教える！実務導入時の落とし穴とベストプラクティス
「なるほど、ハッシュチェーンの仕組みは分かった！じゃあ自分のシステムにもさっそくこのコードを入れよう！」
……ちょっと待ってください。ここからが、私たちDFIRの専門家が現場で培った「泥臭い知見」のお時間です。
いくらプログラム側でハッシュチェーンを実装しても、そのログファイルやプログラム自体が攻撃者に乗っ取られてしまっては意味がありません。 以下のポイントを必ず実務の設計に組み込んでください。
① ログの「書き込み専用（WORM）」保管
攻撃者は、システムに侵入した後にログのデータベースやファイルを削除しようとします。
そのため、一度書き込んだら「一定期間は絶対に削除も上書きもできない（Write Once, Read Many）」という特殊なストレージ機能や、クラウド（AWS S3のオブジェクトロックなど）の機能を使ってログを物理的・論理的に保護しましょう。
② 外部の「信頼できるタイムスタンプ局（TSA）」や別サーバーへの転送
手元のサーバーだけにログを置いておくと、サーバーの管理者権限を奪われた瞬間に全てがおしまいです。
ログが生成されたら、リアルタイムで別の安全な監査用サーバー（SOC専用の踏み台など）へ syslog や Fluentd などのツールを使って転送・退避させましょう。さらに、タイムスタンプを付与することで「いつそのログが作成されたか」の証明力も高まります。
③ 鍵の管理とアクセス権の最小化
ハッシュチェーンを計算するためのシークレットや、データベースへのアクセス権限（chmod や IAMポリシー）は、必要最小限の権限（Principle of Least Privilege）に厳しく絞り込みましょう。「誰でも読めて書ける」状態のログフォルダは、攻撃者にとって格好の遊び場になってしまいます。
—
まとめ
いかがでしたでしょうか？
今回は、ログの完全性保護と改ざん検知の要である「ハッシュチェーン」について解説しました。
- 攻撃者は証拠隠滅のためにログを書き換える（防犯カメラの映像を消すようなもの）
- ハッシュチェーンは、前のログの要約を次のログに混ぜることで、一連のつながりを強固にする仕組み
- プログラムによる実装だけでなく、WORMストレージや別サーバーへの転送といった「物理・インフラ的な守り」を組み合わせるのが実務の鉄則
セキュリティに初めて触れるときは難しく感じるかもしれませんが、身の回りの防犯に置き換えて考えると、本質はとてもシンプルです。「確かな証拠」を残し、それを守り抜くことが、インシデント発生時の迅速な原因究明とビジネスの信頼回復への第一歩となります。
今日からできる小さな一歩として、まずは今お使いのシステムの「ログがどこに保存され、誰が削除できる権限を持っているか」を確認することから始めてみませんか？
それでは、次回の記事でも現場で役立つ実践的な知見をお届けします。安全なシステム運用を心がけていきましょう！
コメント