監査

証拠としてのログ — 保全・切り出し・改ざん対策の4原則

再起動で38分が消えた。直したのは正しい。では、直す前に何を持ち出すべきだったのでしょう。失われ方には型があります。4つです。前回までは「どう読むか」を書いてきました。今回はその前——読む対象を、あとで人に見せられ…

攻撃の痕跡は生ログにある — 横移動・SQLi・事後調査の4視点

暗号化は11分で終わった。意味があるのは、その前の6日間です。その6日を、どのログから、どの順で読みますか。痕跡は「1行」ではなく「並び」に残ります。第6回では、疑いが上がった直後に何を見るかを扱いました。今回はそ…

不正アクセス調査の初動 — 認証ログ数千万行から痕跡を拾う4手順

失敗4,812回、成功1回。同じIPからの認証ログです。攻撃なのか、パスワードを忘れた誰かなのか、まだ分かりません。この1回の「成功」を、どうやって信じるか／疑うかを決めますか？不正アクセスの疑いが上がった直後の数…