ログデータから先進的なオペレーショナルインテリジェンスへの転換

サーバやセキュリティのログを分析してサイバー犯罪や社内の不正に対処し、ユーザーエクスペリエンスを最適化する紹介する。

公開 2015年10月16日 08時00分

著者

Bob Tarzey

[Computer Weekly]

印刷する

　ログ管理の目的は、各種のIT機器が生成するログを記録し、上書きされる前に少なくとも一定期間、中央に保管して、後で検証できるようにすることだった。ログは何らかのコンプライアンスを証明するため、セキュリティ事案を調査するため、あるいは不正が疑われるユーザーを調べるために必要だった。

Computer Weekly日本語版　10月7日号無料ダウンロード

Computer Weekly日本語版　10月7日号：ネットワークスローダウンの処方箋

なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。

　ストレージの価格が下がると、アーカイブできるログデータは増大し、古いデータの上書きを防ぐ当初のニーズはそれほど差し迫ったものではなくなった。だが、データはITインシデントの調査に役立つことが実証されている。サーバ（実機と仮想）、ルーター、ロードバランサー、アプリケーション配信管理ツール、ファイアウォール、ユーザー端末、クラウドプラットフォームなど、データを生成する機器が増え続けるに従って、その全てを相互に関連付けるための新たな課題が浮上した。

　初期の主な利用ケースはセキュリティ対策だった。そこでログ管理はセキュリティ情報およびイベント管理（SIEM：Security Information and Event Management）と呼ばれるようになり、過去のComputer Weekly製品導入ガイドでも「コンテキスト認識型セキュリティ製品導入戦略ガイド」で取り上げた。だが「セキュリティ」の名称を付けたことにより、一部の新興ツールが備えていた別の2つの拡張機能に関心が向きにくくなった。

　第1に、データはITシステム全般の管理の役に立つ。例えば仮想環境やクラウド環境を監視して活動のない（ゴースト）仮想マシンや不正な仮想マシンを洗い出したり、オンラインアプリケーションがいつクラウドプラットフォームからの追加リソースを必要とするかを調べたり（クラウドバースティング）、それがサービス妨害（DoS）攻撃に伴う大量トラフィックのためではなく、実体のあるユーザーのために必要なことを事前に確認したりできる。最近の調査でも、欧州の企業が複雑なITを管理するためにそうした技術の恩恵を受けていることが示された。

　第2に、この情報を組織の商業活動の分析に結び付ければ事業上の意思決定に活用できる。例えば、コールセンターの処理件数や待ち時間を他の顧客データと関連付け、Webサービスの取引にかかる時間が容認できる範囲内にあることを確認したり、ユーザー端末の種類などの情報に基づいてオンライン広告を展開したりすることが可能だ。機器が生成するデータを分析すれば、チャネル横断的な顧客エクスペリエンスの管理がしやすくなるという調査結果もある。

Computer Weekly日本語版最近のバックナンバー

Computer Weekly日本語版　10月7日号：ネットワークスローダウンの処方箋

Computer Weekly日本語版　9月16日号：フラッシュストレージセカンドシーズン

Computer Weekly日本語版　9月2日号：Windows Server 2003少しだけ延命策

Computer Weekly日本語版　8月19日号：64ビットARMチップアリか？　ナシか？

ログ管理からオペレーショナルインテリジェンスへ

　マシンデータを使っている欧州の組織の成熟度について調べた2014年の調査がある。

　最も先進的な組織は従来型のログファイル利用のはるかに先を行き、他のソースでデータを増強していた。これには通信記録（例えば電子メールや音声システムなど）、インターネットアクティビティデータ（クリックストリーム、cookieの記録など）、異なる種類の機器データ（工業プラント、センサーなど）、ソフトウェアの脆弱（ぜいじゃく）性情報やソーシャルメディア、気象情報といった外部フィードが含まれる。

　こうした組織の目標は、オペレーショナルインテリジェンスをもっと高いレベルで活用し、収集の自動化や幅広い機器からのデータ管理と分析を通じて、組織の活動のまさに中核部分へと分析情報を提供することにあった。

　このデータの応用には、セキュリティやパフォーマンス、ビジネス関連の問題が起きた場合にシステムが反応できるよう、リアルタイムでそのデータを利用できるツールが必要だった。報告書では、以下の4段階のオペレーショナルインテリジェンス機能を挙げている。

検索と調査：ログ管理の当初の概念、履歴の検証
先を見越したモニタリング：SIEMもこのカテゴリーに入る。一部のサプライヤーは、セキュリティ事案にリアルタイムで対応できる機能を提供するところまで進化している
運用可視化：イベントによっては、IT管理の特定の局面を自動化できる
リアルタイムビジネス分析：ITシステムが事業上の問題の発生に対応できる機能

　最終レベルではIT運用だけでなく、業務側の管理職が利用できるようなユーザーインタフェースを備えたツールが必要になる。調査によれば、最も先進的なオペレーショナルインテリジェンス能力を持つ組織のみが、広範なレベルに及ぶ分析情報を提供している。

　もう1つの課題は、できるだけ幅広いソースからデータを収集することだ。組織の約40％は、ログデータの全てあるいは大部分をITアプリケーション、インフラ、Webサイトから取集していると答えた。モバイル端末やアプリケーションの場合、この割合は約20％に低下する。だが、専用に開発されたツールを利用すれば、収集できる量はすぐに増える。

ログ管理ツール

　コンテキスト認識型セキュリティ製品導入戦略ガイドでは、SIEM専業のソフトウェアサプライヤーを取り上げた。ただし「HP ArcSight」「IBM QRadar」「LogRhythm」などの製品や、オペレーショナルインテリジェンスの専門サプライヤーは、もっと幅広い利用ケースに対応できるとうたっている。中でも最も知名度が高いのは米Splunkだろう。

　Splunkが市場を独占しているわけでは決してない。同社は米XpoLog、米Logentries、米TIBCO Software（2012年に米LogLogicを買収）、米Vitria Technologyなどと競合する他、「Graylog」や「Logstash」といったオープンソースツールもある。クラウドベースツールでは「Sumo Logic」「Loggly」「Logentries」「Splunk Cloud」がある。

　こうした全てに対抗する最大の競合製品は、既存の社内ビジネスインテリジェンスツールやデータ処理ツールを使ってマシンデータをオペレーショナルインテリジェンスに転換する取り組みから生まれるだろう。多くがまだ活用していない、だが活用すれば恩恵を受けることができるフリーリソースの利用には、さまざまな選択肢がある。

印刷する