「城壁」から「個別の身分証」へ：ZTNAでログを「最強の監視員」にする方法
皆さん、こんにちは。ネットワークセキュリティの世界へようこそ。
かつてのセキュリティは「城」を守る戦いでした。高い城壁（ファイアウォール）を築き、跳ね橋（VPN）を管理していれば、中にいる人は「味方」だと信じられた時代です。しかし、テレワークが当たり前になり、クラウドを使いこなす今、その城壁はもはや意味をなしません。「誰が」「どのデバイスで」「何をしているのか」。これらを常に疑い、確認し続けるゼロトラスト（ZTNA）の考え方が重要になっています。
今回は、そんなZTNAの世界で「何が起きているかを監視する」ためのログ収集と、SIEM/SOARという頼もしい相棒との連携について、身近な例えを交えながら紐解いていきましょう。
—
1. なぜZTNAでは「ログ」が命綱になるのか？
想像してみてください。あなたは巨大なオフィスビルの警備責任者です。昔なら「入り口に強固なゲートを作れば安心」でした。でも、今の働き方は違います。社員は廊下を歩き、会議室に入り、資料室を開けます。
もし、ある社員の「身分証」が盗まれていたら？ ゲートは突破されてしまいますよね。
ここで登場するのがログ（記録）です。
- 「誰が」
- 「いつ」
- 「どの部屋（アプリ）に」
- 「どんなデバイスで（PCのOSは古くないか？）」
これらすべてを記録しておくことで、たとえ侵入を許しても、「あれ？ いつもは東京からアクセスする人が、なぜか深夜に海外からログインしているぞ？」といった違和感に気づくことができます。これがインシデントの早期検知です。
—
2. ログを魔法の杖に変える：SIEMとSOARの役割
収集したログは、ただ溜め込むだけでは「宝の持ち腐れ」です。ここでSIEM（シーム）とSOAR（ソアー）という、頼れる「AI秘書」たちの出番です。
- SIEM（ログの仕分け係）：膨大なログから「怪しい動き」を抽出します。「同じ人が1分間に10回ログイン失敗しているぞ！」とアラートを出してくれる、超優秀な監視員です。
- SOAR（自動対応のロボット）：SIEMが見つけた怪しい動きに対して、自動で対処します。「このPCからの通信を即座に遮断せよ！」と、人間が気づく前に先手を打って守ってくれます。
—
3. 実践！ログを収集する仕組みを覗いてみよう
ZTNA環境では、アクセスが行われるたびに以下のような情報がログとして出力されます。これをSIEMに送る設定をイメージしてみましょう。
サンプル：ログ転送の設定（Syslogのイメージ）
多くのセキュリティ機器は Syslog という形式でログを外に飛ばします。これは、ネットワーク上の「郵便ポスト」に手紙を投函するようなイメージです。
# SIEMサーバー（ログの収集先）へ情報を送る設定例
# サーバー側でログを適切に管理するための設定ファイルの一部です
*.* @192.168.1.100:514 # すべてのログをIP 192.168.1.100 のポート514へ送る
# 実際のログデータのサンプル（JSON形式で見やすくしています）
{
"timestamp": "2023-10-27T10:00:00Z",
"user": "yamada_taro",
"action": "access_granted",
"resource": "sales_database",
"device_posture": "compliant", # デバイスは安全か？
"ip_address": "203.0.113.5"
}このログがあれば、「山田さんが10時に安全なPCから営業データベースにアクセスした」という歴史が一つ残ります。もし device_posture が non-compliant（セキュリティ対策が不十分なデバイス）になっていたら、すぐにアラートを出せますよね。
—
4. 初学者がまず意識すべき「オーディティング（監査）」の要件
「何でもログを残せばいい」というわけではありません。闇雲に集めても、重要な情報が埋もれてしまいます。以下の3点は必ず押さえておきましょう。
1. 認証の成功と失敗：ログインの失敗は、攻撃者による「総当たり攻撃」のサインかもしれません。
2. デバイスの状態変化：セキュリティソフトがオフになった瞬間を逃さないこと。これが一番の攻撃の隙になります。
3. 特権操作：管理者権限での設定変更は、ログの改ざんを防ぐためにも、二重三重の確認が必要です。
—
最後に：完璧な監視なんて存在しない
ネットワークエンジニアとして一つだけお伝えしたいのは、「監視に終わりはない」ということです。
攻撃手法は日々進化しています。だからこそ、ログを見て「いつもと違う動きはないかな？」と想像するクセをつけることが、最高の防御になります。最初は難しく感じるかもしれませんが、まずは「自分のアクセスログがどう記録されているか」を確認することから始めてみてください。
一歩ずつ、確実に。あなたのネットワークの守りを固めていきましょう！
コメント