【入門編】セキュリティログの監査とSIEMによる異常検知パターン – アプリケーションセキュリティ & 安全な開発防御ガイド

「ログはただの記録じゃない、侵入者の足跡だ」――セキュリティログと異常検知の歩き方

こんにちは。日々、システムの守りを固めるエンジニアの皆さん、お疲れ様です。

「ログなんて、エラーが出た時に見るだけでしょ？」そう思っていませんか？実は、ログは単なる記録ではありません。「泥棒が家の中に侵入しようとした瞬間の、ドアノブを回す音」そのものなんです。

今日は、セキュリティの専門家として、新人エンジニアの方や開発現場の皆さんに、ログを活用した「泥棒を追い出すための防犯術」を噛み砕いてお話しします。

—

1. なぜ「ログ」が最強の武器になるのか？

あなたの家を想像してみてください。玄関に鍵をかけていても、泥棒は窓から入るかもしれませんし、あるいは鍵を複製して入るかもしれません。

この時、家の中に「いつ、誰が、どの窓を触ったか」を記録するカメラやセンサーがあればどうでしょう？

玄関で何度も鍵をガチャガチャしている人（認証失敗）
普段は開けない裏口の鍵をこじ開けようとしている人（権限外アクセス）

セキュリティの世界では、これを「ログ監査」と呼びます。SIEM（シーム：Security Information and Event Management）というツールは、この大量のログを自動で監視し、「おい！今の動き、怪しいぞ！」とアラートを鳴らしてくれる、いわば「24時間365日働く優秀な警備員」です。

—

2. 泥棒の「動き」をログで捉える

泥棒は、いきなり金庫を盗むわけではありません。必ず「偵察」というプロセスを踏みます。この「偵察のサイン」をログから見逃さないことが、被害を最小限にするコツです。

狙われる3つのポイントとログの残し方

① 認証失敗の繰り返し（ブルートフォース攻撃）

「パスワードを適当に入力して、総当たりで突破しようとする攻撃」です。

ログの残し方: ユーザー名、アクセス元IPアドレス、結果（成功/失敗）を必ず記録します。
SIEMでの検知: 「同じIPから、5分間で10回以上ログイン失敗があったらアラート」というルールを作ります。

② 権限昇格の予兆

平社員が、いきなり「管理者メニュー」を叩こうとする動きです。

ログの残し方: 「誰が」「どのリソースに」「どの権限で」アクセスしたかを記録します。
SIEMでの検知: 「本来、一般ユーザーには許可されていないURL（例: `/admin/delete_user`）へのアクセスログ」が発生した瞬間に検知します。

③ 大量データアクセス（データ持ち出し）

夜中に突然、数ギガバイトのデータをダウンロードするような動きです。

ログの残し方: 通信バイト数やデータ量を出力します。
SIEMでの検知: 「普段の平均通信量から逸脱した、異常に大きなデータ転送」を検知対象にします。

—

3. 実践！ログ検知のためのコードサンプル

例えば、Webアプリケーションでユーザーのログイン状況を記録する場合、以下のようにシンプルでもいいので「確実な情報」をJSON形式で残す癖をつけましょう。

{
“timestamp”: “2023-10-27T10:00:00Z”,
“event_type”: “login_attempt”,
“user_id”: “target_user_01”,
“ip_address”: “192.168.1.50”,
“status”: “failed”, // 成功したか失敗したか
“reason”: “invalid_password”, // なぜ失敗したか（重要！）
“user_agent”: “Mozilla/5.0…”
}

このログをSIEM（例：AWS CloudWatch Logs Insights や Elastic Stack）で分析する際、こんなクエリを組むと、怪しい動きが浮かび上がってきます。

/ ログイン失敗が頻発しているIPを特定するクエリ例 /
SELECT ip_address, count() as failure_count
FROM logs
WHERE event_type = ‘login_attempt’ AND status = ‘failed’
GROUP BY ip_address
HAVING failure_count > 10; — 10回以上の失敗を異常とみなす

—

4. 最後に：完璧なシステムは存在しない

ここまで読んで「なるほど、ルールを作れば安心だね！」と思った方、鋭いですね。でも、実はこれだけでは足りないのが現実です。

攻撃者は、私たちの設定したルールをかいくぐろうと、わざとゆっくりログインしたり、別のIPを経由したりしてきます。

「ログは嘘をつかないが、攻撃者はログを騙そうとする」

だからこそ、まずは「基本のログをしっかり取る」。そして、「いつもと違う動きはないか？」と疑う好奇心を持つこと。これが、最高峰のセキュリティ担当者が一番大切にしているマインドセットです。

皆さんのシステムが、今日も安全であることを願っています。何か怪しい挙動を見つけたら、それはあなたのシステムが「守られた」証拠ですよ。一歩ずつ、一緒に強くなっていきましょう！