クラウド監査ログの設計｜操作ログ・アプリログ・保存先を分ける

クラウド監査ログは、管理者や利用者が行った操作を後から確認する材料です。基盤の設定変更とアプリ内の閲覧・更新は、同じログへ残るとは限りません。どの主体が何をしたかを知るため、対象の操作、識別子、時刻、成功や拒否の結果を整理します。

取得機能があっても設定しなければ記録されない項目や、契約によって保持が異なる場合があります。外部へ保存する時も転送設定だけでなく、実際の到着、検索、権限を確認します。ログへトークンや個人情報の本文をそのまま入れると、調査用の保存先が別の漏えい経路になるため項目を絞ります。

クラウド事業者の内部ログと、利用組織が取得できる監査ログは別です。必要な時に取得できる範囲を契約と実際の操作で確認します。

取得と保存の担当を決め、正常な試験操作が検索できるか確認します。タイムゾーンや時計のずれも、複数ログを照合する際の前提になります。

ログがない期間を事故がなかった期間と解釈しません。取得できた根拠、欠落、時刻の基準を分けて記録します。

ログの時刻と識別子が揃っていないと、別のサービスで起きた活動を同じものとして照合できません。アカウント名の変更、テナント、要求の識別情報も確認します。表示名だけで人を確定せず、取得した記録の主体を管理された一覧へ対応させます。

試験では一つの承認済み操作を行い、取得元と保存先で検索できるかを確認します。記録が欠けた場合は設定、権限、到着の遅れを分けます。ログの保存期限を過ぎた欠落と、そもそも取得していない欠落も別の改善が必要です。

サイバーセキュリティの学習ガイドで、このテーマをクラウド・脆弱性と供給網の中に位置付けてください。関連する前提はセキュリティ証跡の保存期間はどう決める？ログ・設定・訓練記録の整理、SOC・SIEM・EDRの違いで確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。