ログ管理のベストプラクティスとシステム

ログの管理は複雑な作業になる可能性があります。典型的な組織はそれらを大量に生成するだけでなく、さまざまなソースからのものであり、それぞれが潜在的に異なる形式であり、異なる情報を含んでいます。すぐに混乱する可能性のあるものに秩序の類似性を持たせるために、ログ管理が発明されました。今日は、ログ管理のベストプラクティスとシステムについて見ていきます。これがはっきりとわかるようになることを願っています。

まず、ログ管理について簡単に説明します。次に、ログ管理のベストプラクティスについて詳しく説明します。既製のシステムを使用するか、自分で使用するかを検討します。また、何を監視し、何を監視しないかについても見ていきます。その後、ログのセキュリティと保持、およびストレージに関する考慮事項について説明します。また、いくつかの最高のログ管理システムを確認する前に、さまざまな管理タスク、ログの確認と保守、データソースの相関関係、および自動化に関する考慮事項について説明します。

ログ管理について

簡単に定義すると、ログは、特定のシステムに関連するイベントの自動的に作成され、タイムスタンプが付けられたドキュメントです。システムでイベントが発生すると、ログ（またはログエントリ）が生成されます。システムが異なれば、イベントごとにログが生成されます。ログ管理に関しては、一般に、ログデータの生成、送信、分析、および保存を管理および促進するために使用されるプロセスとポリシーを指します。ログ管理は通常、複数のソースからのログが集約される集中型システムを意味します。

ただし、ログ管理は単なるログ収集ではありません。名前が示すように、管理部分は重要です。ログがログ管理システムによって受信されると、それらは共通の形式に「変換」されます。システムが異なればログのフォーマットも異なり、ログに含まれるデータも異なるため、これが必要です。検索とイベントの関連付けを容易にするために、ログ管理システムの目的の1つは、収集されたすべてのログエントリが統一された形式で保存されるようにすることです。

検索や相関関係について言えば、これはほとんどのログ管理システムのもう1つの主要な機能です。最高のログ管理システムは、強力な検索エンジンを備えています。これにより、管理者は必要なものに正確に焦点を合わせることができます。さらに、イベント相関は、それらが異なるソースからのものであっても、関連するイベントを自動的にグループ化します。

ログ管理のベストプラクティス

ログ管理は複雑なプロセスであり、私たちにできることはあまりありません。この複雑さには、それを間違えるリスクが伴います。これを回避するために、ログ管理のいくつかのベストプラクティスのリストをまとめました。私たちの目標は、ニーズに最適なログ管理システムを選択するために、できるだけ多くの情報を提供することですが、さらに重要なことは、それを最大限に活用することです。

ログ管理システムまたはDIY？

何らかの理由で、「ログ管理システム」を手動で実装できると考える人もいます。あなたがこれらの人々の中にいるなら、すぐに冗談を言うのをやめてください。何らかの形式のログ管理を手動で実装することは可能ですが、必要な作業は、真のログ管理システムを実装するために必要な作業をはるかに上回ります。そして、いくつかの無料のオープンソースツールが利用可能であるため、コストの議論は有効なものではありません。

ほとんどの場合、独自にシステムを構築するのではなく、信頼できるベンダーによって構築、サポート、およびスケーリングされるマネージドロギングソリューションを使用することが理にかなっています。それらを使用すると、通常行う必要があるのは、ソースと宛先を接続することだけであり、システムとアプリケーションのログを簡単な方法で分析する準備ができています。ロギングインフラストラクチャを構築するのではなく、監視とロギングにより多くの時間を費やすことができます。

何を監視するか（そして何を監視しないか）を知る

何をログに記録するかを知ることは重要ですが、何をログに記録しないかを知ることはさらに重要です。何かをログに記録できるからといって、必ずしもログに記録する必要があるとは限りません。多くの場合、ログを記録しすぎると、実際に重要なデータを見つけるのが難しくなります。さらに、ログの量が増えると、ログの保存と管理のプロセスが複雑になり、コストがかかります。ログ管理プラットフォームの実装を開始する前に、ログに記録されるものと記録されないものについて事前に検討することが重要です。コストのかかるミスを防ぎ、ツールのサイズをより適切に設定できるようになります。

実際にログに記録する必要があるものを慎重に検討してください。コンプライアンスまたは監査の目的で重要な本番環境は、ほとんどの場合ログに記録する必要があります。したがって、パフォーマンスの問題のトラブルシューティング、ユーザーエクスペリエンスの問題の解決、またはセキュリティ関連のイベントの監視に役立つデータが必要です。

逆に、たとえば、ビジネスプロセスの本質的な部分ではないテスト環境のように、ログに記録する必要のないものがあります。コンプライアンスまたはセキュリティ上の理由からログに記録しないことを選択するデータもあります。たとえば、ユーザーが追跡禁止設定を有効にしている場合は、そのユーザーに関連付けられているデータをログに記録しないでください。

ログのセキュリティと保持ポリシーの実装

ログには機密データが含まれている場合があります。そのため、ログセキュリティポリシーが必要です。たとえば、機密データを匿名化または暗号化することを保証するのに非常に役立ちます。また、ログデータをログ管理システムに安全に転送するには、クライアント側とサーバー側でTLSまたはHTTPSを使用した暗号化された転送を使用する必要があります。

保持ポリシーに関しては、異なるソースまたはシステムからのログは異なる保持時間を必要とする場合があります。たとえば、主にトラブルシューティングに使用されるログは、数日、場合によっては数時間など、比較的短い保存期間で機能する場合があります。一方、セキュリティ関連のログまたはビジネストランザクションログは、多くの場合、規制に準拠するために、より長い保持時間を必要とします。これを考慮すると、ログソースまたはログのタイプに応じて、保持ポリシーは柔軟で適応性がある必要があります。

ログストレージに関する考慮事項

ログデータを保持すると、貴重なストレージスペースが消費されます。ログのストレージ容量を計画するときは、高負荷のピークを考慮する必要があります。ほとんどの場合、1日あたりのデータログの量は比較的一定です。これは主に、システムの使用率や1日あたりのトランザクション数に依存します。ただし、問題が発生した場合は、ログ量の増加が加速することが予想されます。ログストレージに超過する制限がある場合、最新のログが失われる可能性があります。この影響を軽減するために、最高のログ管理システムは循環バッファを使用します。ストレージ制限が適用される前に、最初に最も古いデータが削除されます。

また、ログストレージには独自のセキュリティポリシーが必要です。ほとんどの攻撃者は、ログファイル内のトレースを回避または削除しようとします。これを回避するには、ログをリアルタイムで中央のログストレージ（できればオフサイト）に送信し、保護する必要があります。したがって、攻撃者がインフラストラクチャのオフサイトログにアクセスできる場合、証拠は改ざんされないままになります。

ログの確認と保守

ログのメンテナンスは、最も重要な部分ではないにしても、ログ管理の重要な部分です。ログが維持されないと、トラブルシューティングが長くなり、データが漏洩するリスクが高まり、ログストレージのコストが高くなる可能性があります。システムによって生成されたログを確認し、必要に応じてログレベルを調整します。使いやすさ、運用、セキュリティの側面を考慮する必要があります。

ログレベルを構成可能にする

一部のシステムログは冗長すぎますが、他のシステムログは十分な情報を提供しません。残念ながら、それについてできることが常にあるとは限りません。ほとんどのシステムは、調整可能なログレベルを提供します。これらは、ログの冗長性を構成し、ログに記録する必要があるものと重要でないものが重要でないことを確認するための鍵です。

監査ログを頻繁に検査する

セキュリティの問題に対処することは非常に重要です。これが、ログを常に監視する必要がある理由です。ログ管理システムにその機能がない場合（多くの場合）、auditdやOSSECなどの外部セキュリティツールを使用してください。リアルタイムのログ分析を実装し、潜在的なセキュリティ問題を示すアラートログを生成します。また、それに加えて、疑わしいアクティビティについて迅速に通知されるように、重要なイベントに関するアラートを定義する必要があります。

データソースを相関させる

ロギングは、グローバル監視戦略の1つの要素にすぎません。真に効果的な監視を行うには、ログ管理を、イベント、アラート、トレースに基づく監視などの他の種類の監視で補完する必要があります。それを行うことは、任意の時点で起こっていることの全体像を把握するための最良の方法です。ログは問題に関する高精細な詳細を提供するのに適していますが、これは、木にズームインする前に、ある程度の距離を置いて森を見るときに最も役立ちます。

ログ管理は、サイロではうまく機能しません。何もしません。ネットワーク監視、インフラストラクチャ監視などの他の種類の監視で確実に補完する必要があります。また、理想的な世界では、監視ソリューションは、すべての監視情報を1か所で提供できるほど包括的である必要があります。または、この情報を提供する他のツールと統合することもできます。ここでの目標は、可能な限り、環境全体の単一ペインビューを表示することです。

ログ管理と自動化

ログ管理は、問題を早期に発見するのに役立ち、それによってあなたとあなたのチームの貴重な時間とエネルギーを節約できます。また、自動化の機会を見つけるのにも役立ちます。ほとんどのログ管理ツールでは、何かが発生したときにトリガーされるカスタムアラートを設定できます。これらのアラートがトリガーされたときに開始される自動アクションを設定できるものもあります。管理ツールで可能な限り多くの自動化を使用する必要があります。この自動化の設定に時間を費やしても、初めてインシデントに遭遇したときは、それだけの価値があることがわかります。

トップ6のログ管理ツール

私たちは、最高のログ管理ツールを見つけようとして市場を精査しました。さまざまな種類のツールを含むリストをまとめようとしました。結局のところ、すべての人のニーズは異なり、ある人にとって最良のツールが他の人にとって必ずしも最良であるとは限りません。

1. SolarWindsセキュリティイベントマネージャー（無料トライアル）

SolarWindsは、ネットワーク管理ツールの分野での一般的な名前です。それは約20年前からあり、最高の帯域幅監視ツールとNetFlowアナライザーおよびコレクターのいくつかをもたらしました。同社はまた、サブネット計算機やsyslogサーバーなどのネットワーク管理者の特定のニーズに対応するいくつかの無料ツールを公開していることでもよく知られています。

ログ管理に関しては、同社の製品は現在、SolarWinds Security EventManagerと呼ばれています。最近、Log＆Event Managerから名前が変更されました。これは、これが実際には単なるログ管理システム以上のものであるという事実をよりよく反映しているためです。その高度な機能の多くは、セキュリティ情報およびイベント管理（SIEM）の範囲に含まれています。たとえば、リアルタイムのイベント相関とリアルタイムの修復という2つのSIEMのような機能があります。

• 無料トライアル：SolarWindsセキュリティイベントマネージャー
• 公式ダウンロードリンク：https：//www.solarwinds.com/security-event-manager/registration

SolarWinds Security EventManagerの主な機能のいくつかを見てみましょう。このツールは、疑わしいアクティビティの即時検出と自動応答を使用して、脅威をすばやく排除できます。また、セキュリティイベントの調査と、軽減とコンプライアンスのためのフォレンジックを実行することもできます。また、コンプライアンスについて言えば、HIPAA、PCI DSS、SOXなどの監査で証明されたレポートのおかげで、この製品はそれを実証することができます。このツールには、ファイルの整合性の監視とUSBデバイスの監視もあります。これらの2つの機能は、ログ管理システムで一般的に見られる機能をはるかに上回っています。

SolarWinds Security Event Managerの価格は、最大30の監視対象ノードで4,585ドルからです。最大2500ノードのライセンスを購入できるため、製品の拡張性が高くなります。また、製品が自分に適していることを実際に確認したい場合は、フル機能の30日間の無料トライアルを利用できます。

2. SolarWinds Papertrail（無料プランが利用可能）

第二に、SolarWindsによる最近の買収であるPapertrailと呼ばれるもう1つの優れた製品があります。Papertrailは、人気のあるクラウドベースのログ管理システムです。ApacheやMySQL、Ruby on Railsアプリ、さまざまなクラウドホスティングサービス、その他の標準的なテキストログファイルなど、さまざまな人気のある製品のログファイルを集約します。Papertrailユーザーは、Webベースの検索インターフェイスまたはコマンドラインツールを使用してこれらのファイルを検索し、バグやパフォーマンスの問題を診断できます。このツールは、結果をグラフ化するためにLibratoやGeckoboardなどの他のSolarWinds製品とも統合されています。

• 利用可能な無料プラン：SolarWinds Papertrail
• 公式ダウンロードリンク：https：//papertrailapp.com/plans

Papertrailは、SolarWindsが提供するクラウドベースのサービスとしてのソフトウェア（SaaS）です。実装、使用、および理解は簡単です。また、すべてのシステムを数分で瞬時に可視化できます。このツールには、保存されたログとストリーミングログの両方を検索できる非常に効果的な検索エンジンがあります。そして、それは非常に速いです。

Papertrailは、無料プランを含むいくつかのプランで利用できます。ただし、多少制限があり、毎月100MBのログしか許可されません。ただし、最初の1か月で16 GBのログが許可されます。これは、30日間の無料試用に相当します。有料プランは、1GB /月のログ、1年間のアーカイブ、1週間のインデックスで$ 7 /月から始まります。ノイズフィルタリングにより、ツールは無駄なログを保存しないことでデータを保存できます。

3. ManageEngineEventLogアナライザー

ManageEngineのは、ネットワーク管理者と他の一般的な名前は、と呼ばれる優れたログ管理システムになりManageEngineののEventLog Analyzerを。この製品は、エージェントレスおよびエージェントベースのログ収集とログインポートの組み合わせを使用して、700を超えるソースのログデータを収集、管理、分析、相関、および検索します。

速度は、ManageEngine EventLogAnalyzerの強みの1つです。印象的な25,000ログ/秒でログデータを処理し、リアルタイムで攻撃を検出できます。また、迅速なフォレンジック分析を実行して、違反の影響を軽減することもできます。システムの監査機能は、ネットワーク境界デバイスのログ、ユーザーアクティビティ、サーバーアカウントの変更、ユーザーアクセスなどに拡張され、セキュリティ監査のニーズを満たすのに役立ちます。

ManageEngineのEventLogにAnalyzerはわずか5つのログソースをサポート機能低減無料版では$ 595から始まり、デバイスやアプリケーションの数によって異なりプレミアムエディションで利用可能です。フル機能の30日間の無料試用版もご利用いただけます。

4.Ipswitchログ管理スイート

ログ管理スイートはからの製品であるIpswitch社、私たちもたらした同じ会社WhatsUp Goldの、絶大な人気を誇るネットワーク監視ツールを。これは、システムログ、Windowsイベント、およびW3C / IICログを収集、保存、アーカイブ、および保存する自動化ツールです。さらに、その継続的なログ監視により、疑わしいアクティビティがあれば警告されます。

アクセス権、ファイル、フォルダー、オブジェクトの特権などの頻繁に監査されるイベントを追跡し、必要に応じてアラートを生成し、HIPAA、SOX、FISMA、PCI、MiFID、またはバーゼルIIコンプライアンスのコンプライアンスレポートを作成するために使用できます。このツールは、自動化されたフィルタリング、相関、レポート、および変換機能のおかげで、生のログデータをマネージャーまたはITセキュリティチームにとって意味のあるデータに変換するのにも役立ちます。

Log Management Suiteの価格情報は、Ipswitchからすぐには入手できません。製品は、出版社から直接購入することも、Ipswitchの再販業者ネットワークを通じて購入することもできます。無料試用版もご利用いただけます。

5.アラートロジックログマネージャー

Alert Logicの主な焦点は、セキュリティとコンプライアンスです。また、ログ管理は両方に密接に関連しているため、同社がAlert Logic LogManagerを提供しているのも当然です。このクラウドベースのツールは、すべての環境で自動化された統合ログ管理を提供します。クラウド、サーバー、アプリケーション、セキュリティ、およびネットワーク資産からログデータを収集、集約、および検索します。

アラート・ロジックログマネージャは、ログ監視、分析だけでなく、人間のアナライザでのライブで行われるログのレビューが含まれています。Alert Logicの専門家は、1年365日脅威の可能性があることを警告します。このサービスは、SOC 2、HIPAA、およびSOXのログレビュー要件を満たし、PCI / DSS 10.6、10.6.1、10.6.3に準拠するために、ログのレビューとイベントのフォローアップの負担を軽減するのにも役立ちます。

Alert Logic Log Managerの価格情報は、Webからすぐに入手することはできません。正式な見積もりを取得するには、AlertLogicの営業担当者に連絡する必要があります。無料トライアルも利用できませんが、AlertLogicに連絡して無料デモを手配できます。

6.Nagiosログサーバー

Nagiosを優れたネットワーク監視パッケージとしてすでにご存知かもしれません。無料でオープンソースであり、商用バージョンでも提供されているこの製品は、確固たる評判を誇っています。ログ管理の場合、Nagiosの製品はNagios LogServerと呼ばれます。これは、一元化されたログ管理、監視、および分析を備えた完全なパッケージです。このツールを使用すると、ログデータの検索プロセスを簡素化できます。また、潜在的な脅威を通知するアラートを設定することもできます。さらに、ソフトウェアには高可用性とフェイルオーバーが組み込まれています。その簡単なソースセットアップウィザードは、ログデータをプラットフォームに送信するようにサーバーやその他のデバイスを構成するのに役立ち、数分以内にログの監視を開始できます。

Nagiosのログサーバは、わずか数回のクリックですべてのログソースにわたってログイベントの簡単な相関を提供します。このシステムでは、ログデータをリアルタイムで表示し、問題が発生したときにリアルタイムで分析して解決することができます。この製品のもう1つの強みは、その優れたスケーラビリティです。このツールは、組織の成長に合わせてニーズを満たし続けます。必要に応じて、Nagios Log Serverインスタンスを監視クラスターに追加して、電力、速度、ストレージ、および信頼性をすばやく追加できます。

これらすべての機能を使用すると、高額な値札が予想されます。そうではなく、Nagios LogServerのシングルインスタンス価格は非常にリーズナブルな$ 3 995です。無料トライアルは提供していませんが、製品を直接見てみたい場合は、無料のオンラインデモを利用できます。購入を決定する前に。