【基本情報の実務】ログは「見る」より「数える」──続く形にするところから
管理室の担当から、ログの見方について相談が届く。
「ログインの記録（アクセスログ）は残しているのですが、貯めているだけで見ていません。不審なアクセスに早く気づくには、どんな点に注目してログを見ればよいでしょうか。難しい道具は入れられないので、まず考え方だけ教えてください。」
基本情報の知識がここで力になるのは、「見る」という言葉を疑ったときだ。ログは毎日、読める量を超えて増える。見ようとすると、続かない。貯めているだけになっているのは、意志の問題ではない。この記事では、続く形から整理する。
まず結論：「見る」を「数える」に変える
| 続くか | |
|---|---|
| 毎日、全部の記録に目を通す | 続かない |
| 週に一度、失敗の件数だけ数える | 続く |
| 件数が変わったときだけ、中を見る | そのときは、見る理由がある |
ログを活用する話は「何に注目するか」から始まることが多い。その前に、続く形かどうかがある。
どれだけ良い着眼点でも、見なければ働かない。いま貯まっているだけなのは、まさにそこである。
だから最初に決めるのはいつ、何を、どれくらいの手間で見るかである。
数えるだけなら、数分で終わる。そして、変化には気づける。
中身を読むのは、変化があったときだけでよい。読む理由があるときだけ読む形にすると、続く。
先に「いつも」を知っておく
不審なものに気づくには「いつもと違う」が分かる必要がある。いつもを知らないと、違いも分からない。
だから最初の一度だけ平常時のログを見ておく。
- ふだん、何時から何時に集まっているか
- 失敗は、1日に何件くらいあるか——0件ではない。打ち間違いは毎日ある
- どのあたりから接続しているか
2つ目が大事である。失敗があること自体は、異常ではない。いつもより多いかどうかで見る。
これを知らないと失敗が数件あるのを見つけて、そのたびに驚くことになる。驚き続けると、見るのをやめる。
平常の数を1つ持っておくと、そこから先はずっと楽になる。
注目するのは、1件ではなく「並び」
1件のログを見ても怪しいかどうかは分からない。並びで見ると、分かる。
①失敗が続いている
同じ利用者名に対して、短い間に失敗が並んでいる。試されている形である。
②失敗のあとに、成功がある
これがいちばん大事である。試されて、当たったという並びになる。
そして成功のログだけを見ていると、絶対に見つからない。成功は、正常な記録と同じ形だからである。
失敗と成功を、続きとして見る——ここが、見方の中心になる。
③いつもと違う時間帯
夜中や休日の成功は本人の残業かもしれないので、これだけでは決まらない。他と重なったときに効く。
④同じ人が、離れた場所から同時に
一人の人が、同じ時刻に二か所にはいられない。これは、はっきりしている。
4つのうち②と④は、それだけで動く理由になる。①と③は、他と重なったときに見る。
見つけたあとを、先に決めておく
ここを決めずに始めると見るのをやめることになる。
理由は見つけても、何をしてよいか分からないからである。分からないと、次から見たくなくなる。
だから始める前に、3つ決めておく。
- 誰に伝えるか
- その場でやってよいこと——たとえば、そのパスワードを止める
- 本人に、どう聞くか
3つ目が抜けやすい。多くの場合、本人に確かめれば済む。「夜中に接続されましたか」と聞けば、たいてい終わる。
このとき聞き方が詰問にならないようにしておく。「確認です」という形にしておくと、本人も答えやすい。
そしてログを見る目的を、はっきりさせておく。誰かを見張るためではなく、早く気づくためである。
ここが伝わっていないと記録を取ること自体に、反発が出る。目的を先に共有しておく。
方針の例
アクセスログの見方について（方針案）
まず、続く形にします
ログは毎日、読める量を超えて増えます。全部に目を通す形は続きません。いま貯まっているだけなのは、そのためだと思います。
ですので「見る」を「数える」に変えます。
- 週に一度、失敗の件数だけを数える（数分で終わります）
- 件数がふだんと違うときだけ、中を見る
読む理由があるときだけ読む形にすると、続きます。
最初に一度だけ、平常時を見ておきます
「いつもと違う」に気づくには、いつもを知っておく必要があります。
- ふだん、何時から何時に集まっているか
- 失敗は1日に何件くらいあるか
- どのあたりから接続しているか
2つ目が大事です。失敗があること自体は異常ではありません。打ち間違いは毎日あります。いつもより多いかどうかで見ます。
注目するのは、1件ではなく並びです
並び どう見るか 失敗のあとに成功 すぐ確認（試されて当たった形） 同じ人が、離れた場所から同時に すぐ確認（一人は二か所にいられません） 短い間に失敗が続く 他と重なったら確認 いつもと違う時間帯 他と重なったら確認（残業のこともあります） 上の2つは、それだけで動く理由になります。
とくに1つ目は、成功のログだけを見ていると絶対に見つかりません。成功は正常な記録と同じ形だからです。失敗と成功を、続きとして見ます。
見つけたときにすることを、先に決めます
- ◯◯に伝える
- その場で、そのパスワードを止めてよい
- 本人に確認する——「◯日の夜に接続されましたか」
3つ目でたいてい終わります。本人の作業だった、ということが多いためです。
聞き方は「確認です」の形にします。問い詰める形にすると、次から答えにくくなります。
目的について（団員へのご案内に入れたい点）
ログを見るのは誰かを見張るためではありません。乗っ取られたときに早く気づくためです。
いちばん困るのは、本人も管理側も気づかないまま使われ続けることです。ここを先にお伝えしておきたいと思います。
続く形を、いちばん先に置いた。着眼点より前である。
「意志の問題ではない」と書いた。見ていない現状を、責めない。
並びを表にして、動く理由になるものを2つに絞った。4つとも同じ重さにしない。
「成功のログだけを見ていると見つからない」——ここが、この方針でいちばん効く一文である。
本人への聞き方まで書いた。見つけたあとが決まっていないと、見るのをやめる。
最後に目的を置いた。見張るためではないと言わないと、記録を取ること自体に反発が出る。
作り方の手順
- 続く形かどうかを先に見る。
- 「見る」を「数える」に変える。
- 読む理由があるときだけ読む形にする。
- 平常時を、一度だけ見ておく。
- 失敗は0件ではないと知っておく。
- 1件ではなく並びで見る。
- 失敗のあとの成功を中心に置く。
- 動く理由になるものを絞る。全部を同じ重さにしない。
- 見つけたあとを、先に決める。
- 目的を共有する。見張るためではない。
この場面で効いている基本情報の知識
- ログの活用——量が多いので、全部を読む形にしない
- 平常時の把握——いつもを知らないと、違いが分からない
- 並びで見る——失敗のあとの成功は、成功だけを見ても分からない
- 対応の事前決定——見つけたあとが決まっていないと、続かない
知識そのものより、着眼点より先に、続く形を決められることが、この場面で効いている。
方針で外したくないポイント
- 全部を見る形は続かない。意志の問題ではない。
- 「見る」を「数える」に変える。
- 変化があったときだけ、中を読む。
- 平常時を、一度だけ見ておく。
- 失敗は毎日ある。0件を平常だと思わない。
- 1件では分からない。並びで分かる。
- 失敗のあとの成功が、いちばん大事。
- 成功だけ見ていても、見つからない。
- 見つけたあとを、先に決める。本人への聞き方まで。
- 目的は、早く気づくこと。見張ることではない。