-
サーバ構築のデージーネットTOP
-
OSS情報
-
OSS紹介
-
Graylog〜ログ管理の課題を解決するOSS〜
-
WindowsイベントログをGraylogで監視・可視化する方法
WindowsイベントログをGraylogで監視・可視化する方法
ランサムウェア攻撃や不正アクセス被害が問題となる中、これらの未然防止・早期発見のため、日々発生する認証関連のイベントログの監視は非常に重要となっています。日本の企業で広く使われているWindowsでも日々大量のイベントログが出力されますが、これらを上手く管理することで、不正アクセスの兆候を早期に検知したり、トラブル発生時の迅速な対応を可能にしたりすることができます。この記事では、OSSのGraylogにインストールするだけで、すぐにWindowsのイベントログの監視・可視化を設定できる「windows_authentication」について解説します。
- ＋
目次
Windowsのイベントログ管理の重要性
近年、企業や自治体を狙ったランサムウェア攻撃や不正アクセス被害が増加しており、サイバーセキュリティ対策の重要性が高まっています。特に、IDやパスワードを悪用した認証突破を起点とする攻撃も多く、従来の境界型防御だけではなく、「ゼロトラスト」の考え方に基づいた継続的な監視が求められています。
こうした情勢の中、Windows環境においても、不正アクセスの兆候や設定不備、利用者の誤操作などを早期に検知するため、認証関連のイベントログの監視の重要性が高まっています。特に、同一IPアドレスからの認証失敗の繰り返しや、管理者アカウントに対する失敗イベントは、攻撃や不正試行の兆候として早期に発見しなければなりません。
Windowsのイベントログ管理の課題
Windows PCではイベントログがデフォルトで出力される設定となっており、ログオン失敗や認証失敗など様々な種類のイベントログが日々大量に出力されています。そのため、これらを個別にログ検索して確認する運用では、担当者の負担が大きいだけでなく、異常の発見に遅れがでてしまったり、原因を特定することが難しくなったりする可能性があります。
こうした課題を解決するための方法として、イベントログを収集し、統合監視するツールの導入があります。特に近年は、クラウド化や分散環境の普及により柔軟でコストを抑えた監視が求められています。従来は商用製品が主流でしたが、いまやオープンソースのログ管理ツールでも高機能・安心安全な運用が可能です。
そこで以下では、オープンソースソフトウェアの統合ログ管理ソフトウェア「Graylog」を活用した、Windowsの認証イベントログの管理・監視方法について解説します。
Windowsイベントログ監視をGraylogで行う方法
以下では、GraylogでWindowsの認証系イベントログを監視する際にできることを紹介します。
対象のイベントログ
GraylogでWindowsの認証系イベントログを監視する場合、以下のイベントIDを対象とするとよいでしょう。
- 4625： Windowsへのログオン失敗
- 4771： Kerberos事前認証の失敗（Active Directory環境）
- 4776： NTLM認証の資格情報チェック結果
ダッシュボードでログの可視化
受信した次のようなログ情報をGraylogのwebインタフェースのダッシュボード上に表示して可視化することができます。これにより、「どのユーザで失敗が多いのか」「どの接続元IPから試行が多いのか」「いつ集中して発生しているのか」といった状況を、画面上で直感的に把握できます。具体的に次のような内容を可視化するとよいでしょう。
- 直近の認証失敗イベント一覧
- イベントを発生させたユーザ別の件数
- イベントを発生させた接続元IPアドレス別の件数
- 発生ホスト別の件数
- 時間帯ごとの発生件数推移
- イベントIDごとの発生割合
Windows認証ログ監視ダッシュボード
アラート通知メールの送信
以下の状態を検知した際、特定のメールアドレス宛にアラート通知メールを送信するように設定できます。これにより、ログの蓄積だけでなく、異常の早期検知につなげられる点が大きな特徴です。
- 指定時間内に複数回イベントが発生した場合
- 同一の接続元IPアドレスから短時間に複数回イベントが発生した場合
- 管理者ユーザでイベントが発生した場合
異常検知時のアラートメール
デージーネットが開発したContent Packs「windows_authentication」とは？
ここまで、Graylogでイベントログの監視を行う方法を紹介しました。ただ、これらの設定を自身で一から適用するのは手間がかかります。
そこで、GraylogのContent Packsというテンプレート機能が便利です。Content Packsは、Graylog上の監視設定をまとめて配布・再利用することができる機能です。ダッシュボード、ログの受信設定（Inputs）、ログの検知ルール（Event Definitions）などの構成をJSONファイルとしてまとめ、別のGraylog環境へアップロードしてインストールすることができます。つまり、ログの受信設定や可視化、検知ルールのひな形をパッケージ化して配布するような使い方が可能となります。
デージーネットでは、上記で紹介したWindowsの認証失敗系イベントを対象にしたGraylogの設定を、Content Packs機能を利用してパッケージ化し、「windows_authentication」として公開しています。
「windows_authentication」インストールマニュアル
「windows_authentication」の利用メリット
Graylogにwindows_authenticationをインストールすることで、以下のようなメリットがあります。
セキュリティ監視環境を短期間で導入可能
通常、Windowsの認証ログ監視を行うには、ログの受信設定やダッシュボードの作成、アラート通知設定などを個別に構築する必要があります。windows_authenticationを使用することで、これらの構成をまとめて導入できるため、監視環境の初期構築工数を削減し、運用開始までの期間を短縮することができます。
なお、インストール後は、通知先メールアドレスや管理者ユーザー判定に用いる検索クエリなどを環境に合わせて変更できるため、運用に合わせた柔軟な利用も可能です。
不正アクセスの兆候を早期に把握可能
Windowsの認証ログを継続的に監視することで、同一IPアドレスからの認証失敗の繰り返しや、管理者アカウントへの不審なアクセス試行など、不正アクセスの兆候を早期に把握できます。これにより、ランサムウェア感染やアカウント侵害につながる攻撃への迅速な対応を支援します。
ログ監視運用の負担を軽減
ダッシュボードによるログの可視化やアラート通知を活用することで、認証失敗エラーなどの発生状況を直感的に把握し、分析に役立てることができます。これにより、日々大量に出力されるログを個別に確認する負担を軽減し、効率的なセキュリティ運用を実現します。
OSSを活用した低コストなセキュリティ監視を実現
Graylogおよびwindows_authenticationを利用することで、OSSのみを活用してログ監視・可視化のシステムを構成することができます。そのため、ライセンスコストを抑えながら、実践的なログ監視・セキュリティ監視環境を構築できます。
デージーネットの取り組み
デージーネットでは、windows_authenticationのインストールマニュアルをHPで公開しています。Graylogおよびwindows_authenticationは無料でインストールすることができるため、短期間かつコストを抑えてWindowsイベントログの監視システムを実現することが可能です。
Graylog Content Packs「windows_authentication」マニュアル
デージーネットでは、Graylogを活用したログ管理・監視基盤の構築をご提案しております。今回ご紹介したwindows_authenticationのように、現場ですぐに活用できる構成をContent Packsとして整備することで、導入負荷を抑えながら実用的な監視環境をご提供できます。
また、デージーネットでシステムを構築した場合、Open Smart Assistanceの保守サービスにご加入いただくことが可能です。この保守サービスでは、ソフトウェアだけでなくシステム全体を対象とし、使い方に関するQ&A、障害などの問題発生時の調査、最新のセキュリティ情報の提供などを行います。システム構築や保守サービスについて詳しく知りたい方はお気軽にお問い合わせください。
お問い合わせはこちら
関連情報一覧
Graylogは、GUIからログサーバの管理やログの参照、検査、可視化などを行うことができる統合ログ管理ソフトウェアです。大量のログを高速に解析できます。ログ以外の情報も蓄積してグラフ化したり、監視を行うこともできます。
Content Packsは、Graylog上の設定をまとめて再利用・配布するための仕組みです。このドキュメントは、Graylog Content Packs「windows_authentication」のマニュアルです。
デモのお申込み
もっと使い方が知りたい方へ
Graylogの操作方法や操作性をデモにてご確認いただけます。使い方のイメージを把握したい、使えるか判断したい場合にご活用下さい。デモをご希望の方は、下記よりお申込みいただけます。
「Graylog」OSS情報
- ログ管理のGUI
- ここでは、Graylogの特徴の一つであるGUIインタフェースについて解説します。ログサーバのシステム管理をGUIから行うことができます。
- ログ解析とログ収集
- ここでは、ログ収集と解析の機能について解説します。Graylogは様々な方法でログを収集することができ、また、収集したログを解析して保管することで、さらに高速にログの検索と表示を行うことができます。
- Graylogのシステム構成と拡張性
- ここでは、Graylogのシステム構成と拡張性について解説します。ビッグデータの解析に利用するOpenSearchを使い、高速なログ管理システムを実現しています。
- Graylog2.4日本語マニュアル
- Graylogの画面は英語表記です。そのため、時には利用方法が分かりにくく迷うことがあります。こうした問題に対処するために、デージーネットが独自に日本語化したマニュアルです。
