環境のモニタリングと監査

[更新日：2025年09月30日]

統合的なセキュリティ監視体制

ビジネス中心のセキュリティ監視

ビジネスオーナーは、さくらのクラウド環境全体のセキュリティ体制を統合的に把握することを求められます。「セキュリティ監視」は、企業のデジタル変革を支える基盤として、ビジネス全体の要件と密接に関係しています。クラウドサービスの責任共有モデルにおいて、セキュリティ監視はその最上層に位置し、お客様が主体的に取り組むべき領域です。

監視活動は個人のスキルや経験に依存する属人的な運用ではなく、組織的・システム化したアプローチで実施されるべきです。お客様のセキュリティチームによって体系的に監視され、明確な責任と権限の下で運営される必要があります。テナントのルートレベルでセキュリティ監視サービスを実行することで、すべてのコンパートメントを包括的に監視し、組織全体の一貫した「セキュリティポスチャ」（Security Posture）の維持が実現されます。

ビジネス中心監視の要素は以下のとおりです。

• 戦略的位置づけ：セキュリティ監視をビジネス戦略の中核要素として位置づけ

• 組織的アプローチ：個人依存を排除した体系的な監視体制の構築

• 責任共有モデル：クラウドサービスの責任分界点を明確にした監視設計

• 包括的可視性：全コンパートメントを網羅した統合的な監視実現

• 継続的改善：ビジネス要件の変化に応じた監視体制の最適化

モニタリングスイートの戦略的活用

さくらのクラウドが提供している「モニタリングスイート」は、現代の複雑なIT環境におけるシステム監視を行うための統合プラットフォームとして活用できます。さくらのクラウド、AWS、Azure、Google Cloud Platformなどの複数のパブリッククラウド、さらにはオンプレミス環境まで含む、多様で異質なインフラストラクチャを一元管理できます。この統合的な可視化機能により、IT管理者は分散した環境全体の状況を単一のダッシュボードから把握できます。セキュリティオペレーションセンター（SOC：Security Operation Center）のスケーラビリティ向上により、限られた人的リソースでも大規模なIT環境の監視が可能になります。

モニタリングスイートの活用には以下の要素があります。

• マルチクラウド対応：複数のクラウドプラットフォームの統合監視

• ハイブリッド環境：オンプレミスとクラウドの一元的な可視化

• スケーラビリティ：限られたリソースでの大規模環境監視

監査設定と包括的ログ管理

イベントログ機能の詳細実装

さくらのクラウドでは、システム運用の透明性とアカウンタビリティを確保するため、包括的なイベントログ機能を提供しています。リソースの追加・削除、設定変更、コントロールパネルへのログインなどの重要な操作が、タイムスタンプ付きのイベントログとして自動的に記録されます。記録されたイベントログは、直感的なWebベースのコントロールパネルから容易に閲覧でき、CSV形式でのダウンロード機能により、外部の分析ツールやレポーティングシステムでの活用も可能です。

現在、さくらのクラウドが提供する多くのサービスが、イベントログ機能による記録に対応しています。対応状況は公式マニュアルに詳細に記載されており、定期的に更新されています。

ログ記録の対象範囲は、さくらのクラウドコンソール、コマンドラインインターフェース（CLI）、ソフトウェア開発キット（SDK）、お客様独自のクライアント、その他のさくらのクラウドサービスからのAPI呼び出しが含まれます。

イベントログ実装の要素は以下のとおりです。

• 包括的記録：すべての重要操作の自動的なログ記録

• タイムスタンプ：精確な時刻情報による操作の追跡可能性

• 外部連携：CSV出力による他システムとの統合

• リアルタイム：操作と同時の即座なログ記録

• 標準化：統一されたログフォーマットによる分析効率化

ログに含まれる詳細情報

各ログイベントには、ヘッダーID、対象リソース、記録されたイベントのタイムスタンプ、リクエストパラメータ、レスポンスパラメータが含まれます。これらのデータは、診断、リソース使用状況の追跡、コンプライアンスの監視、セキュリティ関連イベントの収集・分析に役立ちます。

項目	内容	重要性	活用場面
時刻情報	APIアクティビティが発生した正確な時刻（JST標準時）	高	インシデント調査、順序関係の特定
発生源	操作を実行したユーザ、アプリケーション、またはサービス	高	責任追跡、アクセス制御監査
対象リソース	変更対象となったリソースの詳細情報と一意識別子	高	影響範囲特定、リソース管理
アクション種類	実行された操作の種類（標準化された分類体系）	中	操作パターン分析、ポリシー適用
レスポンス種類	操作の成功状況とエラー詳細情報	中	障害分析、システム健全性監視

ログ詳細情報の活用には以下の要素があります。

• 完全性：操作に関する包括的な情報の記録

• 構造化：分析しやすい標準化されたデータ構造

• 関連性：関連する操作間の論理的な関係性

• 検索性：効率的な検索とフィルタリング機能

• 保持性：適切な期間での確実なデータ保持

• 整合性：データの一貫性と完全性の保証

サードパーティツールとの連携

お客様がSIEMシステムや、その他のサードパーティ製セキュリティツールでさくらのクラウドのイベントログデータにアクセスする必要がある場合、指定した保持期間でCSV形式にエクスポートし、イベントログデータを別途保存することを推奨します。これにより、柔軟かつ安全なデータ管理を実現できます。

サードパーティ連携の要素は以下のとおりです。

• 標準フォーマット：CSV形式での出力

• バッチ処理：大容量データの効率的な一括処理

• セキュリティ：暗号化された安全なデータ転送

ポリシー監査の実施

定期的なポリシー見直しの重要性

組織のセキュリティ体制を維持・向上させるためには、定期的なセキュリティポリシーの評価と見直しが不可欠です。技術環境の急速な変化、新たな脅威の出現、規制要件の更新、組織構造の変化など、多様な要因がセキュリティポリシーの有効性に影響を与えます。ポリシー監査では単なる形式的なチェックではなく、組織のセキュリティリスクプロファイルを継続的に最適化する戦略的な活動が必要となります。

ポリシー監査担当者は、さくらのクラウドコントロールパネルの包括的な管理機能を活用して、IAM（Identity and Access Management）ポリシーを効率的に確認できます。また、オフラインでの詳細な分析やドキュメント化のニーズに対応するため、多様なポリシーレポート生成機能を提供しています。

ポリシー見直しには以下の要素があります。

• 定期評価：計画的な間隔でのポリシー有効性評価

• 変化対応：技術・組織・規制環境の変化への適応

• リスク最適化：セキュリティリスクプロファイルの継続的改善

• 戦略的位置づけ：形式的チェックを超えた戦略的活動

• 包括的分析：オンライン・オフライン両方での詳細分析

• 文書化：監査結果と改善策の適切な記録管理

ポリシー監査における重要チェックポイント

ポリシー監査を実施する際には、以下の潜在的な問題点に留意してください。

重要チェックポイントの要素は以下のとおりです。

• 準拠性確認：組織基準とポリシー定義の整合性検証

• 権限最小化：過剰権限の特定と最小権限原則の適用

• 配置適正化：サービス配置の妥当性と制限必要性の評価

• 重複排除：冗長なポリシーステートメントの特定と整理

• 範囲最適化：広範囲権限の見直しと適切な制限設定

• グループ管理：グループ権限の適正化と役割明確化

• 継続監視：定期的な監査サイクルの確立と維持

準拠性確認では、ポリシーはどこで定義され、プロジェクト単位の運用分割やアクセス権限設計などの組織での利用基準に準拠しているかを確認します。

権限最小化では、過剰な権限が付与されていないか確認し、最小権限の原則に基づき、必要最小限の権限のみが付与されている状態を目指します。

配置適正化では、どのようなサービスが構成され、どこに配置されているかを確認し、一部のサービスは、特定のリソースまたはグループに限定すべき場合があります。

重複排除では、重複したステートメントがないか確認し、削除することで、ポリシーの簡素化により、運用担当者の理解度向上と変更管理の品質向上も期待できます。

範囲最適化では、テナント全体に権限を付与するポリシーを特定し、必要に応じて修正します。グループ権限の適正化では、必要な権限以上の権限を持つグループを特定し、権限を最適化します。

継続的な脆弱性スキャン

脆弱性スキャンツールの役割と重要性

脆弱性スキャンツールは、組織のコンピュータシステム、ネットワーク、アプリケーション、データストアに潜む脆弱性を検出・分析し、リスク管理や対策優先順位付けを支援するソフトウェアです。これらのツールは、ITインフラの安全性向上や、サイバー攻撃・情報漏洩防止のために不可欠なセキュリティ運用の一部となっています。

脆弱性スキャンツールには以下の役割があります。

• 自動検出：システム全体の脆弱性を自動的に発見

• リスク分析：発見された脆弱性の影響度と緊急度を評価

• 優先順位付け：限られたリソースでの効果的な対策実施

• 継続監視：新たな脆弱性の継続的な監視と検出

• コンプライアンス：規制要件への準拠状況の確認

• レポーティング：経営層への分かりやすい状況報告

主要な検出項目の詳細分析

ソフトウェアやファームウェアのバージョン管理では、サポートが終了したOSやミドルウェア、ファームウェアのバージョンを検出し、バージョン情報をCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）データベースと突き合わせて既知のセキュリティホールを抱えるバージョンを洗い出します。サポート切れ製品の影響は、単一システムにとどまらず、ネットワーク全体に波及する可能性があります。

パッチ管理状況の評価では、OSやアプリケーションのパッチ管理状況を確認し、最新のセキュリティパッチが適用されていないソフトウェアやモジュールを検出します。パッチ未適用箇所について、エクスプロイトの存在や悪用の容易さなど、攻撃の現実的なリスクを評価し、緊急度に応じた対策優先順位を決定します。

設定ミスとセキュリティ設定の不備では、不適切なネットワーク設定として、不必要にオープンなポート、不要なサービス・共有設定などを検出します。権限・アクセス制御の誤設定では、ゲストアクセス許可や無制限アクセスなどの意図しない権限付与を確認し、ゼロトラストアーキテクチャの考え方に基づく継続的な認証・認可プロセスを評価します。

主要検出項目の要素は以下のとおりです。

• バージョン管理：EOLソフトウェアと既知脆弱性の特定

• パッチ管理：セキュリティパッチ適用状況の包括的評価

• 設定検証：セキュリティ設定の適切性確認

• ネットワーク監査：不要な開放ポートとサービスの検出

• アクセス制御：権限設定の妥当性と最小権限原則の適用

• 暗号化監査：暗号化実装の強度と適切性評価

• 認証システム：認証メカニズムの脆弱性評価

アプリケーションセキュリティと認証システムの評価

アプリケーションセキュリティの評価では、Webアプリケーション脆弱性として、クロスサイトスクリプティング（XSS）、SQLインジェクション、コマンドインジェクションなど入力値検証の不備を検出します。バッファオーバーフローやメモリ管理の不備を静的・動的解析によって検出し、安全策がとられていないAPI呼び出しやロジックミスを抽出します。

認証システムのセキュリティでは、推測されやすいパスワードの検出として、辞書攻撃・ブルートフォースに弱いパスワード設定や、初期設定のままのアカウントを検出します。脆弱な認証方式として、パスワード認証のみ・多要素認証未導入や、パスワードの平文保存などを検出します。

その他の重要な検出項目として、システムサービス最適化（セキュリティリスクのある不要なプログラムやバックグラウンドサービスの実行状況）、情報漏洩リスク（設定ミスにより外部公開してしまっている機密データや設定ファイル有無の確認）、暗号化実装（SSLv2/SSLv3などの弱いプロトコルや不十分な証明書管理の検出）、ソフトウェアサプライチェーン（アプリケーションで利用されている各種プラグインやOSSコンポーネントに潜む既知の脆弱性）があります。

アプリケーション・認証評価には以下の要素があります。

• Webアプリケーション：XSS、SQLインジェクションなどの一般的脆弱性

• メモリ管理：バッファオーバーフローなどのメモリ関連脆弱性

• API セキュリティ：安全でないAPI呼び出しとロジック欠陥

• 認証強度：パスワードポリシーと多要素認証の実装状況

• セッション管理：セッション処理とトークン管理の安全性

• データ保護：機密データの適切な暗号化と保存

• サプライチェーン：第三者コンポーネントの脆弱性管理

SIEM連携による高度な脅威検知

SIEMシステムの戦略的価値

セキュリティインフォメーション＆イベントマネジメント（SIEM：Security Information and Event Management）にサービスログを送信することで、セキュリティ攻撃への対応力を高めることができます。SIEMは、ネットワーク、デバイス、IDなど、さまざまなソースからのセキュリティイベントを監視し、機械学習を用いてリアルタイムでこれらの情報を相関分析することで、脅威となるハッキング活動や異常なセキュリティイベントを特定します。

さくらのクラウドは、複数のサードパーティのSIEMプラットフォームへのログとイベントの送信に対応しています。標準的なログフォーマット（Syslog、CEF、LEEFなど）での出力、API経由でのリアルタイムデータ転送、バッチ処理による大容量データの効率的な転送など、多様な連携方式に対応しています。

SIEMシステムの戦略的価値は以下のとおりです。

• 統合分析：複数ソースからのデータを統合した包括的分析

• 相関分析：単独では発見困難な関連性のある脅威の検出

• 機械学習：AI技術による高度な異常検知と予測分析

• リアルタイム：即座の脅威検知と迅速な対応実現

• スケーラビリティ：大規模環境での効率的なログ処理

• コンプライアンス：規制要件に対応した監査証跡管理

モニタリングスイート・イベントログとの統合効果

モニタリングスイートと連携することで、システム監視のデータとセキュリティイベントを統合的に分析し、より高度な脅威検知と迅速な対応を実現できます。セキュリティインシデントの早期発見では、モニタリングスイートから送信される各種ログ、監視データ、アラートをSIEMで集約・相関分析することで、通常監視では見逃しがちな不正アクセスやマルチシステム横断の異常パターンを迅速に検知することが可能です。

監査やインシデント対応の効率向上では、SIEMに統合されたログは、証跡管理や内部/外部監査（コンプライアンス）作業の省力化やスピード化の向上に貢献します。インシデント発生時に、詳細な過去イベント（メトリクスの閾値超過・ログイン履歴・システムイベント）が一括検索可能なため、原因調査・影響範囲分析の迅速化が可能です。

運用・セキュリティチームの連携強化では、モニタリングスイートによる障害・性能・セキュリティの「技術監視」と、SIEMによる「インシデント検知・ガバナンス」を統合し、運用・セキュリティチーム間の情報共有の質とスピードが向上します。部門ごとに分散しがちな監視・運用ノウハウやアラート通知を、SIEMにより中央集約することが可能です。

自動化・運用強化では、SIEMの対応ルールと連携することで、特定イベント発生時に自動アクション（アカウント停止や通信遮断など）をトリガーすることも可能です。モニタリングスイート独自のメトリクスや独自フォーマットのログも柔軟に連携可能なため、多様な運用ニーズに合わせたセキュリティ自動化が可能です。

統合効果には以下の要素があります。

• 早期発見：複合的な脅威パターンの迅速な検知

• 効率向上：監査・インシデント対応作業の大幅な効率化

• チーム連携：運用・セキュリティ部門間の協力強化

• 中央集約：分散した監視情報の統合管理

• 自動対応：検知から対応までの自動化実現

• カスタマイズ：組織固有要件への柔軟な対応

• 証跡管理：包括的な監査証跡の確実な保持