統合ログ管理システム導入の基本アプローチ

　ITシステムのログには、「イベント系ログ」「システム系ログ」「デバッグ系ログ」など目的に合ったさまざまなログが存在する。ここで重要なのが、ログを有効に活用する方法を熟知したベンダーやインテグレーターを見つけることである。ログの有効活用方法は、システム導入と異なり千差万別である。ITシステムのログ分析について、幅広い知見と技術を保有するベンダーやインテグレーターと連携することを強く勧めたい。

統合ログ管理システムの概要

分析結果を運用に役立てるための要件定義

　要件定義では、運用管理を実施する統合ログ管理システムの役割と用途を明確にする。多くのITシステムにおいて運用管理上、ログを収集・保存しているケースは多い。しかしながら、そのログを運用管理部門は本当に有効活用しているのだろうか。多くの運用管理者・管理部門にログ管理を実施しているか尋ねると、大規模企業では約8割以上、全体でも半数以上が「実施している」と答えるだろう。ただし、“ログ管理＝ログ保存”状態である場合が多く、ITシステムのログを有効活用できている企業は少ない。つまり、「集めているだけ」なのだ。これではせっかくのログ運用が台無しである。また、ログを収集するためだけに高価なログ管理システムを構築している企業も少なくない。このように統合ログ管理システムとITシステムのログを有効活用するためにも、要件定義は非常に重要な要素である。

統合ログ管理システムの導入ステップ

　統合ログ管理システムに必要なのは、ITシステムログのうち4W1Hに相当する情報を収集・分析・保存すること。さらに、分析目的にひも付けされるITシステムログには正確性が求められ、また複数のシステムからのログ情報が必要となる。従って、ITシステムログ間の相関分析が必要なのである。そこで、最も重要な要件定義は主に次の手順で検討する。

（1）運用管理部門が描くITシステムログ分析の共有

　まず、ITシステム管理者部門（管理責任者・担当者）と綿密な打ち合わせを実施し、ログの活用方法とその分析のアウトプットイメージを共有する。ここでは、具体的に何についての4W1Hを分析するのかを具体的に検討し決定する必要がある。例えば、

• ITシステム認証基盤のアクセス状況についてのログ分析（4W1H）を実施する
• 任意のアプリケーションシステムのアクセスログ＋利用状況について分析する

といったさまざまなパターンについて要件（要求）を定義し、現実的な範囲で決定する。

（2）対象ITシステムの概要・特徴と既設運用状況を知る

　次に、対象となるITシステム概要と特徴を理解、調査する必要がある。これは単にITシステム管理者にヒアリングするということではなく、システム構成図、設計書、運用設計書、運用手順書などを熟読し、客観的にITシステムを把握することが重要なのである。併せて、（1）の結果を見据えながら堅実的な解を模索する必要がある。

（3）運用業務におけるログ分析結果の利用方法を整理

　既設運用管理業務と比較しながら、ITシステムのログを活用してどのような運用業務を実現するのかを整理する。例えば、正常確認を洗い出したいのか、異常確認を洗い出したいのか、セキュリティ面を強化したいのか、リアルタイムにモニタリングしたいのか、月次でモニタリングしたいのかなど、企業・ITシステム単位で要求はさまざまである。

（4）ログ収集範囲の決定

　（1）（2）で検討した結果を基に、ログ収集範囲を明確にする。ネットワークシステム、サーバシステム、OS、データベースシステム、アプリケーションシステムなど、ログ収集範囲をおおむね定め、ログ調査範囲を明確にする。

現地調査と評価から現実解を探る

　前項で定めた要件定義内容に基づき、実際のITシステムログデータの調査を実施する。要件定義で定めた範囲のITシステムにおいて、各システム・製品が保有するログにはさまざまな内容が記載されており、そのレベルもさまざまだ。従って、ログ分析内容（4W1H）を前提に、どのログから何の情報を抽出すべきかを調査する。

　例えば、認証基盤システムで利用されるRADIUSやLDAPシステムのログを利用して、「誰が」「いつ」「どこで」「どのようにして」「何を」しているかを分析するとしよう。多くのITシステム管理者は、単にRADIUSやLDAPシステムのログから情報を抽出すればよいと考えるが、RADIUSやLDAPシステムは製品によっても生成するログの内容が異なっている。単純な「誰が」「いつ」「どのような（認証成功／失敗）」レベルの分析は可能だが、「誰が」について、ユーザー名のみでなくIPアドレスやMACアドレスの情報まで取得しようとすると、単一のログでは不可能に近い。また「どこで」の情報を正確に収集することも困難な場合が多い。これらはすべて、ログを生成するITシステム製品の仕様が異なるためであり、多様な製品知識も十分に兼ね備えた技術者集団が調査する必要がある。時には、この時点でシステムの更新が必要になることもある。

　ここで最終的な要件定義を完了し、要件に見合う製品を選択しなければならない。

導入の成否にかかわるシステム設計

　これまでの結果を基に打ち合わせを行い、最終的な仕様を確定した上で設計を実施する。

　まず設計フェーズにおいては、導入プロセスとスケジュールについて検討する必要がある。つまり導入計画書の策定だ。導入計画には「基本概要設計」「詳細設計」「システム試験設計」「システム導入手順」「運用概要設計」が盛り込まれていなければならない。特にログ収集方法、相関分析内容、リアルタイムイベントの有無、分析リポート内容など、ITシステム管理部門が理解しなければならない項目については入念な確認が必要である。

　統合ログ管理システム導入の成否は、要件定義と設計フェーズで決定するといっても過言ではない。企業のITシステム管理者は、導入業者と綿密な打ち合わせを実施し、現実的な解を見いだしながら最良の統合ログ管理システムの導入準備をすることを強く勧める。

統合ログ管理システムの構築

　統合ログ管理システム構築では、前項で定めたシステム試験設計やシステム導入手順に加え、導入業者側の社内評価を確認する必要がある。当然ながら、導入業者が統合ログ管理システムを導入するITシステムのテスト環境をすべてそろえることは不可能である。従ってシステム導入時の問題を少しでも軽減するために、社内評価内容について実際に評価した項目とロジカルな技術論を併用して結果を想定する必要がある。この結果は、導入スケジュールに反映されなければならない。

知りたいリポートはシステムからは得られない

　統合ログ管理システムの構築が完了すると、最も重要なプロセスが待っている。運用と保守である。その中でも特に重要な要素である分析リポートについて解説しよう。

　誤解してはならないのが、統合ログ管理システムから分析リポートは出力されないということだ。筆者は統合ログ管理システムから出力されるリポートを、あえてシステムリポートと呼ぶことにする。このシステムリポートは、統合ログ管理システムが機械的に出力するリポートである。出力ログ項目と数値が機械的に並べられているにすぎない。ITシステム管理者は、このシステムリポートから何をどのように読み取ればよいのか分からないだろう。

　分析リポートは、各企業のITシステム単位とITシステム管理部門の視点に沿った内容でなければならない。そのため、現実的には分析を実施するアナリストが必要となる。

実現すべきログ管理システム基盤の構成

分析リポートの例《クリックで拡大》

　昨今、この分析リポートはサービスプロパイダーが分析サービスなどと称して提供しているケースも多いので、専門家集団に委託することを強く勧める。ITシステム管理部門は、プロフェッショナルの分析リポートを理解し、サービスプロパイダーとともにナレッジを蓄積すべきだろう。

アウトソーシングの活用へ

　現在、統合ログ管理システムは、その最終目的がITシステムのログ「保存」でなく、収集したログの「活用」にあるとして注目を浴びている。ITシステムの中では非常に地味なログデータがこれほど注目されると誰が思っていただろうか。

　IT技術者・管理者にとって、ログデータを活用し、ITシステム上に潜在する危険性や脆弱性を早期に発見したり、システムの改善策を見つけ出す技術は非常に高度である。各企業は内部統制の強化に伴って、このような高度な技術を要する分析が求められている。本来の事業領域を超えた対応に困惑している企業が多数存在するのも事実である。

　今後はこうした弱点強化と生産性向上を目的として、MSSP（Managed Security Service Provider）と呼ばれるアウトソーシングサービスを利用することで、高度な運用基盤構築が進められると思われる。MSSPをはじめ各企業のITシステムを支援するプロバイダーなどは、利害関係のみならず今まで以上に各企業と連携し、ITシステム基盤の維持管理を追求していくだろう。