ログ管理という言葉は広く、人によって指す範囲が違います。この記事では、次の4つの作業をまとめて呼ぶことにします。

4番目を忘れがちですが、警察庁の資料はランサムウェア攻撃の最後の工程として「ログや使用したツール等の痕跡を消去して攻撃を終了する」と明記しています。ログは攻撃対象でもあります。

似た言葉との関係も整理しておきます。混同すると、道具を買ったのに運用がないという状態になりがちです。

SIEMそのものの解説は「SIEMとは？「ログは取っている」のに、調べられない理由」、事故後の調べ方は「デジタルフォレンジックとは？証拠保全の現場が「当日の新聞」を撮る理由」で扱っています。

第1章 おわり — 次は第2章

ログをどれだけ残すか。この問いに、公的機関はすでに数字で答えています。まず、示されている目安を並べます。

出典：JPCERT/CC『高度サイバー攻撃への対処におけるログの活用と分析方法 1.2版』（2022年5月10日）。同資料は「ログ保存期間は1年以上にすることが望ましい」としたうえで、長期保存には媒体と費用の負担が伴うことも併記しています。

なぜ1年なのか

この「1年」は、切りのいい数字だから選ばれたわけではありません。攻撃が続く期間に合わせてあります。同じ資料が、根拠として次の調査を挙げています。

出典：同上（JPCERT/CC資料が引用している調査です）。31か月は2年7か月にあたります。

つまりこういうことです。攻撃が平均1年続くのなら、3か月分のログでは、最初に何が起きたかに永久に届きません。侵入の痕跡を1つ見つけても、いつから入られていたのかが分からない。JPCERT/CCも「ログの保存期間が十分ではない場合は、攻撃の痕跡を一つ見つけたとしても、いつから攻撃を受けていたのか判断することが難しい」と書いています。

国内の状況

警察庁は2026年3月の報告で、ランサムウェア被害を防ぐ・小さくするために有効な管理体制として、オフラインバックアップや訓練とならべて「侵害範囲特定に不可欠なログの取得」を挙げています。同じ調査では、サイバー攻撃を想定した業務継続計画（BCP）を策定済みの組織は約18%でした。備えの側の整備が、まだ広くは進んでいないことが分かります。

第2章 おわり — 次は第3章

「取っているのに残っていない」は、事故の現場でいちばんよく起きます。理由を分けると、対策の当て先が見えてきます。

1〜4はJPCERT/CC『高度サイバー攻撃への対処におけるログの活用と分析方法 1.2版』の記述にもとづきます。同資料は「攻撃者がログファイルを削除、あるいは自身のアクセス記録を消すなどの事例がよく見られる」として、各機器のログを集約し、長期保存に適したサーバへ保存することが望ましいとしています。5はサービスごとに異なるため、利用条件の確認が必要です。

4番目に注目してください。ログを守るということは、攻撃者の手が届かない場所に置くということでもあります。侵入された機器の中だけにログがある状態は、金庫の暗証番号を金庫の中にしまっているのに近い状態です。

最低限そろえたいログ

JPCERT/CCの資料は、モデルとなるネットワークの中でメールサーバ、Firewall、Webプロキシ、DNSサーバ、認証サーバのログを取り上げています。この5つが揃うと、攻撃の流れが端から端までつながります。

機器の種類はJPCERT/CC資料が挙げているものです。「何が見えるか」「無いとどうなるか」は筆者による整理で、環境によって変わります。

時刻がずれていると、つながりません

もうひとつ、地味ですが決定的な要素があります。時刻です。複数の機器のログを突き合わせて攻撃の流れを時間順に並べるとき、それぞれの時計がずれていると、順番が分からなくなります。

JPCERT/CCの資料は「機器のタイマは、わずかな誤差であっても累積することにより、同期を行わないとずれが生じる」として、NTPの活用を挙げています。あわせて、NTPサーバ自体が攻撃の踏み台にされないよう、アクセス制限などの基本的な対策が必要だとも書いています。ログの保存期間を延ばす前に、時計を合わせるほうが先です。費用はかかりません。

第3章 おわり — 次は第4章

第4章 おわり — 次は第5章

ログ管理は会社の話だと思われがちですが、個人が見られる記録もあります。アカウント乗っ取りに気づく手がかりは、たいていここにあります。

記録が何日分残るかはサービスごとに違います。「あとで見よう」は間に合わないことがあるので、気になったらその場でスクリーンショットを撮ってください。

第5章 おわり — 次は第6章

ログ管理は、製品を買うところから始めると高くつきます。お金のかからない作業のほうが先にあり、しかも効果が大きいからです。上から順にどうぞ。

6はJPCERT/CCの指摘にもとづきます。同資料は、専門家でなくても手順に従って実施できる定型的な調査項目が少なからずあるとし、作業方法を文書化しておけば緊急時に初心者を含むチームで手分けして解析できるとしています。

この一文は、5番目の作業の根拠です。ログを侵入された機器の中だけに置かない。それだけで、消される前提の設計になります。

第6章 おわり — 次は第7章

事故が起きたとき、現場の第一反応は「早く元に戻したい」です。ところがその動きが、調べるための材料をいちばん壊します。復旧の前に、10分だけログのために使ってください。

4番目は見落とされがちです。ずれた時計を直すこと自体は正しいのですが、直す前にどれだけずれていたかを記録しておかないと、それまでのログの時刻を補正できなくなります。

第7章 おわり — 次は第8章

この用語とセットで覚えると理解が早くなる語です。

第8章 おわり — 最後にFAQ