ために必要な情報をすばやく収集・分析する必要があります。Windowsにおいては、イベントログが監視や監査という観点からは重要なログといえるでしょう。ログオン等の情報が得られるので、Windowsのセキュリティイベントログが保存されていると有用です。1そこで、まだそこまでしくみを整備できていない人のために、今回はいざというときに備えてWindowsのセキュリティイベントログを収集・保存しておく方法を紹介します。今回は次の前提をもとに、ログを収集・保存するものとします。サービスのように常駐するプログラムを利用して随時収集する方式が適しています。Packageというソフトウェアを用いてログを収集する例を示します。Packageはログ収集のためのソフトウェアであるFluentdを簡単に使えるようにしたものです。動作に必要なランタイムやプラグインをまとめてインストールし、バックグラウンドサービスとして動作させることができるようにパッケージ化しています。インストーラーをダウンロードできます。本記事執筆時点ではv5.0.4が最新です。v5のセクションを参照してください。既定の選択肢を選んでいくだけでインストールは完了します。S3)に保存するすでに述べたように、Windowsの監査目的であれば、Windowsのセキュリティイベントログを保持しておくのが適切です。セキュリティイベントログには、アカウントへのログオンの可否等が記録されているからです。ファイルアクセスの可否など不審な挙動も把握できます。Windowsのセキュリティイベントログは既定で出力されるものもありますが、グループポリシーにて予め用意されている監査ポリシーを適宜選択することで、組織において高度な監査ポリシー設定を構成したり、ファイルやフォルダ単位で監査設定を変更してログを出すようにすることもできます。個別の監査ポリシーについてまでは言及がありませんが、監査ポリシーの推奨事項が公開されているので、組織の実情に応じて適宜取捨選択するとよいでしょう。Packageでどのように実現するとよいでしょうか。アーカイブを保存する設定をしてみましょう。次の内容のファイルをc:\opt\fluent\etc\fluent\fluentd.confとして保存します。</buffer></match>YOUR_AWS_KEY_IDや、YOUR_AWS_SEC_KEY、YOUR_S3_BUCKET_NAMEは適宜ご利用環境に合わせて、書き換えてください。2windows_eventlog2ではparse_descriptionを指定しておくことで、DescriptionとEventDataを自動的にパースさせることができます。イベントIDによってパースされたあとのフィールド名が若干変わってくる点に注意してください。S3のアクセス権限まわりは設定してあるものとします。最低限認証なしでアクセスできないようにします。S3に保存できるようになります。YOUR_S3_BUCKET_NAMEを作成する際には、バケットのオブジェクトロックを有効にしておくとよいでしょう。S3のバケットを作成するときに、バージョニングもあわせて有効にする必要があります。バケットのオブジェクトロックを有効にすることで、不用意なイベントログの削除を防ぐことができます。機能等を参照してください。本記事では詳細を割愛します。実際にこの設定でどのような情報が収集できるか、次の3つのケースについて紹介します。ログオンの場合ログオン失敗の場合ログオフの場合ログインの場合ログオン時には次のような情報が取得できます。10:38:52にログオンがあったことを確認できます。"Administrator"ログオン失敗の場合ログオン失敗時には次のような情報が取得できます。10:31:37にパスワード不一致によるログオン失敗があったことを確認できます。password."ログオフの場合ログオフ時には次のような情報が取得できます。10:22:41にログオフしたことを確認できます。"Administrator"おわりに今回はいざというときにそなえてWindowsのセキュリティイベントログを収集・保存しておく方法を紹介しました。どのアカウントがいつログオン/ログオフしたのかや、不審なログオン失敗などを後で確認することができるようになります。本記事では定期的に収集・保存できるしくみを確立することでなにかあったときのための備えとなるようなWindowsのセキュリティイベントログの保存のしかたの一例を説明しました。少なくするということもできます。S3にためておいたログを元に実際に問題が発生していないか確認したり・アラートをあげたりするなど、より活用していきたいところですが、これについては別の機会に紹介したいと思います。クリアコードはFluentdのサポートサービスを行っています。Packageのご利用方法についてもサポートいたしますので、詳しくはFluentdのサポートサービスをご覧いただき、お問い合わせフォームよりお気軽にお問い合わせください。Windowsのセキュリティイベントログの内容は、グループポリシーの監査ポリシーや、フォルダの監査設定によってもかわってきます。S3バケットは非公開となっています。↩AWSの権限設定まわりはそれだけでひとつの記事にできるくらいなので、本記事ではそこまで踏み込みません。フリーソフトウェア開発での開発の仕方をベースに、成果や知識を公開し共有しながら業務に携われます。クリアコードのYouTubeチャンネルです。メンバーの登壇動画や、開発プロダクトに関する動画を公開しています。Fluentdに関してトラブルシューティングガイドを公開しています。問題点の確認の仕方や、これまでFluentd開発にかかわる間にあった事例などを紹介しています。4.0とGFDLのデュアルライセンスで自由に利用できます。クリアコードはプログラミングが楽しいソフトウェア開発者を1名募集しています。クリアコードは「クリアコードをいい感じにする人」を1名募集しています。クリアコードはフリーソフトウェア開発で培った技術力を提供しています。Thunderbird)とRubyとGroonga(全文検索)に関連した開発を得意としています。株式会社クリアコード。