こんにちは！インフラやネットワークの世界へようこそ。日々の業務、本当にお疲れ様です！
ネットワークやセキュリティの勉強を始めると、英語の専門用語や見たこともないコマンドが次から次へと出てきて、思わず頭を抱えたくなりますよね。「ゼロトラスト？境界型防御？なんだか難しそう……」と感じている方も多いのではないでしょうか。
でも、大丈夫です！一歩ずつ、身近な例えから紐解いていけば、決して難解なものではありません。今回は、ゼロトラストの要（かなめ）である「ZTNA（ゼロトラストネットワークアクセス）」におけるセキュリティ監査ログについて、一緒に楽しく学んでいきましょう！
—
1. そもそも「境界型防御」と「ゼロトラスト」って何が違うの？
これまでのオフィスのセキュリティは、よく「頑丈な城壁のお城」に例えられます。
城壁（ファイアウォール）の内側に入ってしまえば、「この人は味方だ！」と信じ込んでしまい、中の部屋（サーバーやファイル）には自由に出入りできました。これが従来の「境界型防御」です。しかし、この方法だと、一度城壁が破られたり、内部の人間に裏切られたりすると、一気にすべての情報が奪われてしまいますよね。
そこで登場したのが、「ゼロトラスト（何も信じない）」という考え方です。
ゼロトラストの世界では、たとえオフィスの机からアクセスしていようが、自宅のカフェからアクセスしていようが、「誰も、何も信用しない」を大前提にします。
では、どうやって安全を保つのでしょうか？
それは、ドアを開けるたびに「あなたは誰ですか？」「そのカバンの中身は何ですか？」「今、何時ですか？」と、何度も厳しくチェックする仕組みを作ることです。そして、その「誰が、どこから、何をしたのか」という出入り口の記録をすべてノートに書き留めておくこと。これが今回テーマにする「セキュリティ監査ログ」なんです。
—
2. 郵便配達の仕組みで理解する「ZTNAの監査ログ」
ゼロトラストのログがなぜ重要なのか、身近な「重要書類の郵送と受け渡し」に例えてみましょう。
想像してみてください。あなたの会社が、絶対に他所に見られてはならない極秘の設計図を管理しているとします。
従来の境界型防御は、「会社の門限を通過した郵便屋さんなら、中身は見ずに誰の机に届けてもOK」というルールでした。これでは、もし郵便屋さんの制服を着た不審者が入り込んだら、設計図は盗み放題です。
一方、ZTNAの仕組みはこうです。
1. 誰が（Who）： 誰という身分証明書を持った、どの配送員か。
2. いつ（When）： 昼の12時30分という、許可された時間内か。
3. どのデバイスから（Which Device）： 会社が安全だと認めた、ウイルス対策済みの専用バイクか。
4. どのリソースに（What Resource）： 設計図が置いてある金庫室のドア（特定のサーバー）の前に来ているか。
5. どんな操作を行ったか（Action）： 「見るだけ」なのか、「コピーしようとした」のか。
これらすべてのドラマのワンシーンを、防犯カメラのように一部も漏らさず記録し続けるのが、ZTNAの監査ログの役割です。もし万が一、不正なアクセスがあったとき、「犯人はいつ、どこから、どのドアをこじ開けようとしたのか」がすべて一目でわかるようになります。
—
3. SIEM（シーム）でログを一つに束ねる理由
さて、会社の中で「誰がどこに行ったか」の記録が、あっちのサーバー、こっちのゲートウェイ、そっちのクラウドサービスと、バラバラのノートに書き留められていたらどうでしょう？ 事件が起きたときに、すべてのノートを集めて突合するだけで何日もかかってしまいますよね。
そこで活躍するのがSIEM（Security Information and Event Management：シーム）という仕組みです。
SIEMは、社内のあちこちから集まるバラバラな形式のログを、一箇所に集めて、綺麗な「共通のフォーマット」に整えて保管してくれる優れもの。「あ、さっきのAさんの行動と、数分前のBさんのログイン失敗は、実は同じサイバー攻撃の一部だ！」というふうに、バラバラの点と点を線で繋げて見せてくれる、優秀なセキュリティの番人なのです。
—
4. 実践！SIEM統合ログフォーマットの仕様例
それでは、実際にシステムの世界では、この「誰が・いつ・どこから・何を・どうした」という情報がどのように記録されているのか、具体的な設定やフォーマットのサンプルを見てみましょう。
実務でよく使われるJSON形式というデータ構造のサンプルです。難しく考えず、「こういう項目を記録しているんだな」と眺めてみてくださいね。
{
"timestamp": "202X-10-27T08:30:00Z", // いつ（協定世界時で正確な時刻を記録します）
"actor": {
"user_id": "tanaka_j@example.com", // 誰が（社員のメールアドレスやID）
"device_id": "DEV-MACBOOK-9981", // どのデバイスから（端末固有の識別番号）
"ip_address": "203.0.113.50" // 接続元のグローバルIPアドレス
},
"context": {
"location": "Tokyo, Japan", // 接続している大まかな地理的場所
"trust_score": 85 // デバイスの安全度スコア（100点満点中）
},
"target": {
"resource_name": "Project-X-Database", // どのリソース（アクセス先）に
"resource_type": "PostgreSQL" // リソースの種類
},
"action": "READ", // どのような操作（READ, WRITE, DELETEなど）
"result": "SUCCESS" // 結果（成功したか、ポリシー違反で弾かれたか）
}このように、1回のアクセスごとにひとまとまりのデータ（レコード）が生成され、SIEMへリアルタイムに送られていきます。
—
5. 現場のインフラエンジニアが直面する落とし穴と対策
「よし、じゃあ片っ端からすべてのログを何でもかんでも保存すれば完璧だな！」と思ったそこのあなた、ちょっと待ってください！ ここに現場ならではのリアルな落とし穴があります。
落とし穴1：ストレージ容量の圧迫とコスト
ゼロトラスト環境では、全社員のあらゆる細かなアクセスを記録するため、ログの量は文字通り「爆発的」に増えます。何も考えずに半年間保存し続けたら、クラウドのストレージ代だけで会社が傾いてしまう……なんて笑えない事態も起こり得ます。
対策：
本当に必要な監査ログ（誰が重要なリソースに触ったか、ログインに失敗したかなど）と、一時的な通信のデバッグログをしっかりと切り分け、保持期間のポリシー（ライフサイクル管理）をあらかじめ設計段階で決めておきましょう。
落とし穴2：時刻のズレ（NTPの重要性）
Aというサーバーのログには「12:00:01」と書いてあるのに、Bというセキュリティゲートウェイのログには「12:00:05」とズレて記録されていたらどうでしょう？ サイバー攻撃の足取りを追うときに、時系列が狂ってしまい犯人を特定できなくなります。
対策：
ネットワーク内のすべての機器の時計を正確に同期させる「NTP（Network Time Protocol）」の構築を絶対にサボらないこと。これ、現場の鉄則です！
—
まとめ
いかがでしたでしょうか？
ゼロトラストネットワークアクセス（ZTNA）におけるセキュリティ監査ログは、一見すると難解な英単語の羅列に見えますが、本質は「会社の安全を守るための、きめ細かな出入国管理ノート」そのものです。
- 「誰が・いつ・どのデバイスから・どのリソースに・どんな操作をしたか」の5つの要素を意識する。
- バラバラのログをSIEMで綺麗に統合して一元管理する。
- ストレージ容量や時刻同期といった、現場の泥臭い現実にも目を向ける。
この基本さえ押さえておけば、インフラやネットワークの第一歩を踏み出したあなたでも、自信を持ってセキュアな設計や運用に携わることができますよ。
それでは、また次回の技術解説でお会いしましょう！安全で快適なネットワークライフを！
コメント