【入門編】 ZTNAログ監査におけるSIEM連携フォーマット（Syslog、CEF、JSON）の仕様 – ゼロトラスト＆エンタープライズセキュリティ実践ガイド

境界線の「壁」をぶち壊せ！ZTNAログ監査を「郵便システム」で理解するSIEM連携の極意

こんにちは！ネットワークセキュリティの世界へようこそ。
かつて、企業のセキュリティは「強固な城壁（ファイアウォール）」を築き、その中にいれば安全という考え方が主流でした。しかし、今はクラウド活用やリモートワークが当たり前。そんな「境界型防御」の時代から、「何も信頼せず、すべてを確認する」という「ゼロトラスト（ZTNA）」の時代へと劇的に変わりました。

そんな中で、ZTNAにおいて最も重要と言っても過言ではないのが「ログの監査」です。誰が、いつ、どこから、どのリソースにアクセスしたか。これを外部のSIEM（セキュリティ監視システム）に正しく届けなければ、どれだけ強固な盾を持っていても「攻撃されていること」すら気づけません。

今回は、このログという「大切な手紙」を、SIEMという「郵便局」へ正確に届けるための仕組みについて、一緒に紐解いていきましょう！

—

1. そもそも「ログ連携」って何をしているの？

想像してみてください。あなたは、機密情報の入った巨大な倉庫（ZTNAアクセス先）の警備員です。
不審な人間が近づいたり、正当なユーザーが扉を開けたりするたびに、あなたは「日報」を書きますよね。この日報が「ログ」です。

しかし、倉庫の警備員が自分で日報を保管していても、何かあったときにすぐには気づけません。そこで、この日報を本部の「監視センター（SIEM）」に速達で送る必要があります。この「日報の書き方」を統一するのが、今回紹介するフォーマットの役割です。

ログフォーマットの3つの選択肢

SIEMに送るための主な形式は、大きく分けて3つあります。

Syslog: 昔ながらの「手書きのメモ」。シンプルですが、書き方のルールが少し緩いため、受け取る側が解釈に困ることがあります。
CEF（Common Event Format）: 「決まった書式の手紙」。項目が細かく決まっているため、SIEMが「あ、これは誰のアクセス記録だ」と瞬時に理解できるプロの形式です。
JSON: 「最新のIT辞書」。機械が読み取るのに最も適しており、複雑な情報もきれいに整理して詰め込めます。

—

2. 実践！JSON形式でログを定義してみよう

最近のクラウドネイティブなZTNA製品では、柔軟性の高い JSON 形式が標準になりつつあります。なぜなら、 JSON は「キー（項目名）」と「値（中身）」がセットになっているので、後から項目が増えてもSIEM側が混乱しないからです。

例えば、あるユーザーがログインに失敗した時のログは、こんな形になります。

{
  "timestamp": "2023-10-27T10:00:00Z",   // いつ起きたか（郵便の消印）
  "event_type": "auth_failure",         // 何が起きたか（事件の種別）
  "user_id": "tanaka_taro",             // 誰がやったか（犯人または本人）
  "source_ip": "192.168.1.50",          // どこから来たか（発信元）
  "status": "denied",                   // 結果（成功か拒否か）
  "reason": "invalid_password"          // 詳細（なぜダメだったのか）
}

このように、 JSON は人間が見てもパッと意味が分かりますし、コンピューターにとっても処理がしやすいため、現代のセキュリティ運用の「公用語」になっているんです。

—

3. SIEMに送る際の大切なポイント：セキュアな配達

ログを郵便で送る際、内容が 封筒（暗号化） に入っていないと、途中で誰かに書き換えられたり、盗み見られたりするリスクがあります。

現場でログを転送する際は、必ず以下のポイントを意識してください。

1. TLS通信の利用: ログを転送するプロトコルには、必ず TLS（SSL/TLS暗号化）を使いましょう。郵便の「書留」のように、中身を暗号化して盗聴を防ぎます。
2. 時刻同期（NTP）: ログの timestamp がズレていると、前後関係が分からなくなり、原因調査が不可能になります。全機器で時刻を完璧に合わせることが鉄則です。
3. フィルタリング: すべての通信をログにすると、SIEM側のストレージがパンクします。アクセス拒否や認証失敗など、「意味のあるイベント」だけを抽出する工夫が、凄腕エンジニアへの第一歩です。

—

最後に：ログは「未来のあなたを助ける羅針盤」

初学者のうちは、「ログなんてただの文字の羅列でしょ？」と思うかもしれません。しかし、インシデント（セキュリティ事故）が起きた時、最後にあなたを救ってくれるのは、その日コツコツと蓄積してきたログの山です。

「いつ、誰が、何をしたか」という事実を、 JSON や CEF という言葉に乗せて確実に届ける。これこそが、複雑なネットワークを安全に守るための、もっとも地味で、もっとも重要な「基盤」になります。

まずは、お使いのZTNA製品のログ出力設定を開いてみてください。そこにある「フォーマット選択」のプルダウンメニューが、今日学んだ Syslog や JSON と繋がっていることに気づくはずです。

一歩ずつ、確実に理解していきましょう。あなたのセキュリティ運用が、より堅牢で実りあるものになることを応援しています！