正解：エ
各選択肢の解説
アログの保存期間を延ばし、過去にさかのぼって調べられるようにする。
誤り。保存期間は「どこまで昔のログが残っているか」の設定です。 今回はログ自体は残っていて、困ったのは時刻の基準がそろっていないことでした。 何年分残しても、ずれた時刻のままでは順序は組み立てられません。
イログの取得範囲を広げ、より多くの機器と操作を記録の対象にする。
誤り。取得範囲は「何を記録するか」の設定です。記録する機器を増やしても、 それぞれの時計がばらばらなら、突き合わせる相手が増えるだけで 前後関係の食い違いはかえって増えます。
ウ各機器のログをSIEMに集約し、まとめて検索・分析できるようにする。
誤り。SIEMは複数の機器のログを集めて相関分析する仕組みですが、 分析は各ログに記録された時刻を手がかりにします。元の時刻がずれていれば、 集めた後の相関分析も誤った順序で行われます。時刻同期はSIEMの前提です。
エ各機器の時計をNTPで同じ時刻源に合わせ、同じ基準で時刻を記録させる。
正解。原因は機器ごとの時計のずれなので、NTPで全機器を同じ時刻源に 同期させれば、どのログのタイムスタンプも同じ物差しで比べられます。
理解を深めるために
時計がばらばらの証言では、事件の順番は決められない
複数の目撃者に「何時に何を見たか」を聞いても、それぞれの腕時計が数分ずつずれていれば、 誰の話が先なのか決められません。ログも同じで、機器ごとの記録は同じ時計で刻まれていて初めて 1本の時系列につなげられます。
なぜ時刻同期が先なのか
インシデントの調査では、ファイアウォールで外部との通信を、プロキシで閲覧先を、 サーバでファイル操作を、というように、別々の機器のログをつなげて 「いつ侵入し、何をして、いつ持ち出したか」を組み立てます。
- 各機器の時計は放っておくと少しずつずれる
- 数分のずれでも、秒単位で進む攻撃の前後関係は逆転しうる
- NTP（Network Time Protocol）で全機器を同じ時刻源に同期させれば、 ログのタイムスタンプを同じ物差しで比べられる
時刻がそろっていないログは、証拠としての信頼性も下がります。 ログ管理では、取得範囲・保存期間と並んで、記録する時刻の基準をそろえることを 最初に決めておきます。
混同しやすいものとの違い
| 対策 | 決めていること |
|---|---|
| 時刻同期（NTP） | 全機器が同じ基準で時刻を記録する |
| 保存期間 | どれだけ昔までログを残すか |
| 取得範囲 | どの機器の、どの操作を記録するか |
| SIEM | 集めたログを相関分析し、異常を見つける。各ログの時刻が正しいことが前提 |
試験では、調査で困った原因が「ログが無い」「古いログが消えた」「時刻がずれている」の どれかを読み取り、その原因に直接効く対策を選びます。