パソコンのログの確認方法は？Windowsのイベントログで見る場所

パソコンのログは、Windowsならイベントビューアーの「Windowsログ」⁠で確認できます。事故の調査の初めに見るのは「セキュリティ」⁠のログオンの記録で、そこから怪しいログインの有無と日時を確かめます。

今日やることは、普段使うパソコン1台で、管理者権限のイベントビューアーを開き、ログの一番古い日付を確かめることです。事故が起きてから初めて開くと、見る場所を探すところで時間を使います。残っている日数が短いと分かれば、ログ管理の見直し⁠につなげられます。

イベントログの開き方と見る場所は？

スタートメニューで「イベントビューアー」⁠を検索し、右クリックして管理者として実行します。左の一覧で「Windowsログ」⁠を開くと、次の項目が並びます。

「セキュリティ」⁠を選んだら、右側の「現在のログをフィルター」⁠にイベントIDを入れ、日時で絞ります。記録の量が多いので、順に読もうとすると終わりません。疑わしい時刻の前後から当たります。

確かめた日時とパソコンの名前、見た人は、その都度メモします。あとで専門の会社に頼むとき、この記録が役に立ちます。

最初に確かめるイベントIDはどれか？

調査の初めは、次の7つ⁠に絞ります。Microsoftは監視すべきイベントの一覧⁠を公開していますが、中小企業の担当者が最初に全部を読む必要はありません。

一番時間をかけるのは4624です。ログオンされた側のパソコンに記録されるので、調べる相手のパソコンで見ます。開いたら、次の項目を読みます。

• アカウント名：誰のIDか
• ログオンの種類：どのように入ったか
• ワークステーション名、ソース ネットワーク アドレス：どこから来たか
• 日時：業務の時間内か、本人がその場にいたか

ログオンの種類は数字で出ます。Microsoftの説明では、2はそのパソコンの前でのログオン、3はネットワーク経由、10はリモートデスクトップなどの遠隔でのログオンです。使っていないはずのリモートデスクトップで10が出ていれば、確かめる理由になります。ネットワーク経由の3は、共有フォルダの利用などでも普段から出るので、数字だけで異常とは決められません。

1102は特に注意します。Microsoftは、通常はこのイベントを目にしないはずで、手動で消す必要はほとんどないと説明しています。身に覚えがなければ、自社で判断せずに相談する材料です。警察庁の報告も、攻撃者がログの痕跡を消して攻撃を終える流れを説明しています。

4625の失敗が多いだけでは、侵入されたとは言えません。一方で、失敗の連続のあとに同じIDの4624が出ていれば、優先して調べます。

何も出てこないのは、問題がないということか？

何も出てこないことと、何も起きていないことは別です。原因は主に3つあります。

1つ目は、記録する設定になっていないことです。Microsoftは、既定のログの動きはWindowsのバージョンとエディションで異なり、監査関連のグループポリシーの多くは既定で未構成だと説明しています。

たとえば、プログラムの起動を記録する4688は、プロセス作成の監査⁠の設定が前提です。起動時のコマンドの内容も、既定では空欄です。事故のあとに設定しても、過去の分は戻りません。

2つ目は、上書きされていることです。ログには最大サイズがあり、Microsoftの説明では、保持の設定値が既定の0なら記録は上書きされます。「セキュリティ」⁠を右クリックして「プロパティ」⁠を開くと、最大サイズと一杯になったときの動きが確かめられます。ログの一番古い日付が3日前なら、それより前のことはこのパソコンからは分かりません。

3つ目は、ログが消された、または暗号化されたことです。国土交通省の名古屋港の事案の中間取りまとめは、サーバー内のデータが暗号化されてログの解析が困難だったと整理しています。パソコンの中のログだけに頼れない理由です。

調べる前に、記録の写しを残すには？

ログは、調べている間にも増えて上書きされます。見始める前に写しを取ります。イベントビューアーなら、ログを右クリックして「すべてのイベントを名前を付けて保存⁠」⁠を選び、.evtx形式で保存します。

複数のログや台数をまとめて取るときは、Microsoftのwevtutilコマンド⁠が使えます。管理者のコマンドプロンプトで次のように入力し、E:\ の部分は調査対象のパソコンの外にある保存先に変えます。

wevtutil epl Security E:\pc01_security.evtx
wevtutil epl System E:\pc01_system.evtx

たとえば、工場の事務所のパソコンなら

たとえば、製造業の工場で、図面を扱う共用のパソコンにセキュリティソフトの警告が出た場合です。共用のIDだと、4624のアカウント名だけでは誰か分かりません。

この場合は、警告が出た時刻の前後で4624の種類と接続元を確かめ、シフト表と突き合わせます。夜間に操業していない工場で、10の遠隔ログオンが深夜に残っていれば、説明がつくかを当人と保守会社に確かめます。保守会社が遠隔で入る運用なら、作業の予定と合わせて確かめれば、不要な騒ぎを避けられます。

セキュリティソフトやEDRの管理画面にも、検知の記録があります。警告の種類と日時はここから取り、イベントログと時刻を合わせて読みます。普段の製品の選び直しはセキュリティソフトの製品比較⁠で確かめられます。

どこまで自分で調べ、どこから頼むのか？

担当者が確かめるのは、怪しいことが起きているか、誰に連絡するかを判断するところまでです。侵入経路や持ち出しの有無を、イベントログだけで社内で断定しないでください。

次のどれかに当てはまったら、自分での調査を止めて相談します。

• 暗号化や脅迫文など、被害がはっきり出ている
• 1102や身に覚えのない管理者の追加が見つかった
• 個人情報や取引先の情報が関係しそうで、説明が必要になる
• 複数のパソコンやサーバーで同じ現象が出ている

IPAの相談・届出窓口の一覧には、企業向けのサイバーセキュリティ相談窓口があります。調査を外部に頼むなら、窓口や調査範囲をインシデント対応・フォレンジックの比較で確かめられます。費用が気になる場合は、フォレンジック調査の費用の記事⁠に見積もりの中身をまとめました。

社内の役割分担や、普段の監視をどう回すかは監視・運用・社内体制のカテゴリ⁠で扱っています。1台⁠のパソコンで見られるのは、そのパソコンの記録だけです。全体を追える形にするには、統合ログ管理ツールの比較も見ておくと、判断の材料が増えます。