Zabbixでログ監視はできる？セキュリティで使う時の限界と設定の範囲

Zabbixでログ監視はできます。ログの中の文字列や件数を条件に通知する機能が公式に用意されており、Windowsのイベントログも対象です。ただし、攻撃かどうかを判断する道具でも、調査用にログを保管する道具でもないので、セキュリティで使うなら「知らせる」役割に限って設定します。

今日やることは、すでにZabbixを動かしている会社なら、守りたいサーバーを1台選び、そのログが今どこに何日分残っているかを確かめることです。これから入れる会社は、誰が条件を書き、誰が通知を受けるかを先に決めます。

Zabbixのログ監視で何ができるのか？

公式マニュアル⁠によると、対象のログに特定の文字列やパターンが現れたときに通知できます。必要なのは、対象の機器で動くZabbixエージェントと、ログ監視の設定です。

logrtは、ログファイルが日ごとに切り替わる場合に使うキーです。eventlogの条件はWindows向けのキーの説明⁠に載っています。Zabbixの紹介ページは、OSやアプリのログに加え、セキュリティログの監視でインシデントの通知を受ける使い方も挙げています。ソフト自体はオープンソースなので、この範囲は追加のライセンス費用なしで始められます。

設定の前に確かめること

設定そのものより、前提で止まることが多い部分です。公式マニュアルから、担当者が確認する点を抜き出します。

• 監視項目の種類は「Zabbixエージェント（アクティブ）」にする
• エージェント設定のHostnameを、画面上のホスト名と一致させる
• ServerActiveに、データを送るZabbixサーバーを書く
• 読むファイルに、zabbixユーザーの読み取り権限を与える。権限がないと監視項目は「取得不可」⁠に⁠な⁠る
• ログの時刻の形式を指定する。指定しないと時刻が1970年1月1日として扱われる

ログの更新時刻を変えたり、ファイルを上書きで戻したりすると、最初から読み直して通知が重複することがあるとも書かれています。ログの整理を手作業でしている会社は、その手順も見直します。

セキュリティで使うときの限界はどこか？

公式の説明から分かる仕組みをもとに、セキュリティで使うときに注意する点を5つ挙げます。製品の欠点というより、役割の違いです。

1つ目は、条件を自社で決めることです。Zabbixは指定された文字列や件数で知らせます。何を異常とするかは、書いた人の判断で決まります。条件が甘ければ見逃し、厳しければ通知があふれます。

2つ目は、一致した行だけを送る設定では、全文の保管にならないことです。あとで「同じ日に何が起きていたか」⁠を調べるときは、一致しなかった行が手がかりになることがあります。

警察庁の令和7年上半期の報告は、攻撃者が痕跡を消すためにログやバックアップを消去する例に触れています。ログがなければ侵入の調査が難しくなり、再び被害を受けるおそれがあるとして、日頃の取得と保管を求めています。保管は統合ログ管理ツールの比較にあるような製品や、機器の外への転送で別に用意します。

3つ目は、エージェントが入らない機器です。公式マニュアルは、ログの監視にはエージェントが動いていることを前提にしています。VPN機器やUTMのような機器には通常入らないので、機器からログを受けるサーバーを別に置き、その上のエージェントに読ませる形になります。この受け口のサーバーも保守の対象に増えます。

4つ目は、処理できる行数です。公式マニュアルによると、更新間隔が1秒⁠の場合、既定では1回⁠に200行まで解析し、一致した行を20行まで送ります。設定で解析1万行、送信1,000行まで上げられますが、ログが多い機器では負荷と相談しながらの調整が要ります。

5つ目は、ログの関連づけです。IBMの解説は、イベントの関連づけをSIEMに欠かせない部分と説明しています。VPN、サーバー、通信の記録を並べて流れを読み解く作業は、SIEMの製品比較にある道具の役割です。ただし、SIEMも見る人がいなければ働きません。

夜間に誰が見るのかという別の限界

通知が届いても、夜に誰も見なければ同じです。Zabbix自体は通知の段階を上げる設定を持っていますが、受ける人までは用意してくれません。兼任の担当者しかいない会社は、セキュリティ人材を採用せずに回す組み立て⁠も合わせて読み、24時間見る部分を外に出すかを決めます。

最初に設定するならどの範囲か？

全部を監視しようとすると続きません。次の表は、担当者が通知を受けて意味を判断しやすいものを、私たちが選んだ例です。イベントIDはMicrosoftの説明⁠で確かめたものです。

イベントログに記録されるかは、Windows側の監査の設定にも左右されます。条件を作ったら、テスト用のアカウントで実際に記録と通知が出るかを確かめます。動作の確かめ方は、普段のログイン失敗のように安全な操作で十分です。

製造業ではどんな使い方になるか？

たとえば、樹脂部品の工場で、図面を置くWindowsサーバーがあり、保守会社がVPN経由で作業している場合です。ここで監視するのは、図面サーバーのログオン失敗の急増と新しいアカウントの作成、VPN機器の管理者ログインです。

保守会社の作業予定を総務が知らないと、正常な作業にも毎回驚くことになります。作業の予定を前日までにもらう約束をしておけば、予定にない夜間のログインだけが確認の対象になります。

ログだけでは判断できない部分は、人が持っている情報で埋めます。工場の予定、取引先との関係、誰が休みなのかは、製品の中には入っていません。ここが、専門家がいない会社でも、社内に担当を置く意味のある部分です。

どこまでZabbixで、どこから別の道具か？

判断の目安を分けます。これも私たちの整理で、会社の条件で変わります。

• Zabbixを稼働監視に使っていて、担当者が週に数時間を使える。この場合は、数個の条件を足す価値があります
• ログの保管先がない。通知の前に保管を用意します
• 複数のサーバーやクラウドのログを横断して調べたい。ログ管理製品かSIEMを比べます
• Windowsサーバー自体の守りが手薄。ログを見る前に、サーバーセキュリティの比較にある不正な動きを止める対策を確かめます
• 夜間の対応ができない。監視の外注を比べます

Zabbixを新しく入れる話なら、無料の監視ツールと有料製品の手間の違い⁠も判断材料になります。Zabbix本体も、攻撃者から見れば社内の情報が集まるサーバーです。管理画面の公開範囲を絞り、サポート方針に沿って更新を続けます。LTS版のサポートは5年で、新しい標準版より更新の計画を立てやすくなります。

通知を受けたあと、誰が何を決めるのかは社内に配れるインシデント対応フロー⁠に落としておきます。運用全体の話はセキュリティの運用と体制⁠にまとめました。

ログ監視は、設定した日より、3か月後に通知を誰かが見ているかで価値が決まります。続けられる数まで条件を絞るところから始めます。