前作第17話では、1つのWebアクセスログだけを部分文字列でフィルタリングし、ブルートフォース攻撃の痕跡を追いました。今回はその技術を土台に、1つのログだけでは見えない「攻撃の全体像」を、複数のログを繋ぎ合わせることで初めて浮かび上がらせます。

実際のシステムでは、Webサーバー・認証サーバー・ファイアウォールといった異なる機器やソフトウェアが、それぞれ独立にログを記録しています。1つのログだけを見ても「ログインが何度か失敗した」「あるURLにアクセスがあった」「ある通信がブロックされた」という個別の事実しか分かりません。これらを時系列で並べて初めて、「侵入に成功し、データを盗み出した」という1つの物語が見えてきます。

3種類のログは、それぞれ違う層の出来事を記録しています。どの項目を手がかりに突き合わせればよいかを知っておくことが、複合フォレンジックの第一歩です。

下のラボには、同じ日の14時台に記録された3つのログ（認証・Web・ファイアウォール）が表示されています。検索欄にIPアドレスや時刻の一部を入力すると、3つのログすべての中から一致する行が黄色くハイライトされます。

実際のセキュリティ運用では、ログイン失敗が数回記録されただけで「攻撃された」と断定することはできません。誤入力やパスワード忘れは日常的に発生するためです。しかし「同じ送信元から同じユーザーへの失敗が続いた直後に成功し、さらにその直後に普段とは違うデータアクセスや外部通信が発生している」という複数のログにわたる一致が見えたとき、初めて「これは侵入されたインシデントだ」と高い確信を持って判断できます。

次回はフォレンジック実践編の技術を含め、これまでの実践編で学んだ複数の技術を1つの侵入シナリオに統合する複合チャレンジに挑戦します。

第8話では、3種類の異なるログをIPアドレスとタイムスタンプで突き合わせ、ブルートフォース攻撃の成功からデータ流出までの一連の流れを再構築しました。これでフォレンジック実践編（第7話・第8話）が完結です。第1話からの技術がどれも「複数の手がかりを繋ぐ」という同じテーマでつながっていることに気づいていただけたなら、本シリーズの狙いは果たせています。