外部からの指摘で不正アクセスが発覚した。調べると侵入は約8か月前に始まっていたが、 ファイアウォールのログはディスク容量に合わせて直近3か月分しか残っておらず、 最初の侵入経路を特定できなかった。発覚が遅れても侵入の始まりまで さかのぼれるようにする見直しとして、最も適切なものはどれか。

正解：イ

各選択肢の解説

1. アログの取得範囲を広げ、ファイアウォール以外の機器も記録の対象に加える。

   誤り。取得範囲は「何を記録するか」の設定です。今回ファイアウォールは 記録していたのに、古い分が消えていました。対象の機器を増やしても、 同じ保存期間なら8か月前の記録はどの機器にも残っていません。

2. イ侵入から発覚までにかかりうる期間を踏まえ、容量ではなく調査の必要からログの保存期間を決め直す。

   正解。困ったのは記録が古い順に消えていたことです。保存期間を容量の都合ではなく、 発覚の遅れも含めて調査でさかのぼる必要のある期間から決めれば、侵入の始まりが残ります。

3. ウSIEMを導入して各機器のログを集約し、異常をすぐに検知して通知させる。

   誤り。SIEMは集めたログを相関分析して早く気付くための仕組みです。発覚を早める効果は ありますが、すべての侵入にすぐ気付けるとは限りません。気付くのが遅れたときに さかのぼれるかは、ログをどれだけ残しているかで決まります。

4. エログを書換えのできない保管先へ転送し、侵入者による改ざんや消去を防ぐ。

   誤り。これはログの完全性を守る対策です。侵入者に消されたのではなく、 自社の設定どおり容量に合わせて古い分が上書きされていたので、 改ざん防止を加えても残す期間が3か月のままなら結果は変わりません。

理解を深めるために