ログを別の場所へ送るべきか

レン

ログを別のサーバーに送る、っていう話を見たけど、個人でもやったほうがいい？

プロクラ

目的をはっきりさせると判断しやすいよ。外へ送る理由は主に2つ。消されないようにすることと、サーバーが失われても残すことだ。

消される、という問題

侵入した側が最初にやることのひとつが、記録の削除です。同じサーバーに置いたままだと、いちばん知りたい記録がいちばん先に失われます。個人運用でも、日次で別の場所へ写すだけで、この問題の大半は避けられます。

ウィルスン

…侵入した後、ワタシが最初にすることの一つが記録の整理でな。どこから入ったか、何をしたかが残っていては都合が悪い。同じサーバーの中にあるログなら、消すのは造作もない。

プロクラ

つまり、侵入されたサーバーのログは信用できなくなる。「ログを見たけど何も無かった」が、消された結果かもしれないんだ。外に送ってあれば、そちらは手が出せない。

個人運用でどこまでやるか

プロクラ

専用のログ収集基盤を立てるのは、個人には重い。ただ、目的の一部だけなら簡単な方法で達成できるよ。

• 認証ログの要点だけを、毎日メールで自分へ送る
• バックアップにログも含める（別の場所へ保存される）
• 外部の保管先へ、定期的にログを圧縮して送る
• 監視サービスに、重要なイベントだけを通知する

プロクラ

2つめが手軽で効果的だね。既にバックアップを別の場所へ送っているなら、対象にログを加えるだけ。新しい仕組みを増やさずに済む。

送るなら気をつけること

• ログには接続元のIPや、入力内容が含まれることがある
• 個人情報を含む可能性があるなら、保管先の扱いも考える
• 送信経路は暗号化する
• 保存期間を決めて、無期限に溜めない

プロクラ

1つめと2つめは見落としやすいよ。ログを外へ送るということは、そこに含まれる情報も外へ出るということ。何が含まれているかを一度確認してから決めよう。

そもそも残す期間を確保する

• 外へ送らない場合でも、数週間分は残す設定にする
• 容量を惜しんで数日分にすると、侵入の調査ができない
• 再起動をまたいで残る設定にしておく
• ログの自動削除と、残す期間のつり合いを決める

レン

まずはバックアップにログを含めるところからやってみる。

どのログを優先するか

プロクラ

全部を外へ送る必要は無いよ。侵入の調査で効くのは、限られた種類のログだ。優先順位を決めれば、容量も手間も抑えられる。

• 認証ログ（誰がいつ入ったか。最優先）
• 権限昇格の記録（sudoの実行履歴）
• Webのアクセスログ（侵入経路を辿る材料）
• 定期実行の記録（仕掛けが登録されていないか）

プロクラ

特に1つめと2つめは量も少ないので、外へ送るのが現実的だよ。アクセスログは量が多いので、まずは保存期間を確保するところからでいい。

プロクラ

送り先としては、既に使っているバックアップの保管先を流用するのが手軽だよ。新しい契約も、新しい仕組みも増やさずに済む。