PR

10.4 すべての重要なシステム・クロックと実際の時刻を同期させる。

 要件10.4では,ログに含まれる時刻が正確であることを求めている。要件10.2,要件10.3の要件を満たしていたとしても,単一のログからすべてを判断できない場合が,多々ある。その場合は,ほかのログと照らし合わせながら時系列的にたどって調査することになるが,その際にログの時刻がずれてしまっていると,矛盾が生じて調査の弊害となる。そのため,ログに記録される時刻には正確性が求められる。

 一般的に,正確な時刻同期を行う場合は,NTP(ネットワーク・タイム・プロトコル)による仕組みを利用する。具体的には,外部のNTPサーバーから正確な時刻を入手することになるが,時刻の正確さの指標として「stratum」という単位を参考にする。「stratum」の値が小さいほど(0に近いほど),原子時計やGPSなどの時刻の発生器に近い精度の高いNTPサーバーとなる。外部のNTPサーバーを参照する組織内用のNTPサーバーを配置し,収集対象のサーバーと機器類が,そのサーバーを参照する構成が望ましい(図3)。NTPに関する攻撃や脆弱性は,公開されているのでセキュリティ面にも配慮しなければならない。

図3●NTPサーバーの構築例
図3●NTPサーバーの構築例

アクセス・ログの保護

10.5 監査証跡は,改変できないように保護する。
10.5.1 監査証跡の閲覧は,それが業務上必要な人々に制限する。
10.5.2 監査証跡ファイルは,改ざんされないように保護する。
10.5.3 監査証跡ファイルを,集中ログ・サーバまたは改ざんが難しい媒体に,直ちにバックアップする。
10.5.4 無線ネットワークのログを,内部LAN上のログ・サーバにコピーする。
10.5.5 既存のログ・データが改ざんされた時に必ずアラートが発せられるよう,ログに対してファイル完全性監視/変更検知ソフトウェアを使用する(新しいデータの追加に対しては,アラートは起こらない)。

 要件10.5では,ネットワーク環境すべてのログの保護全般に関することを求めている。正当なユーザーによるログの閲覧のみを許可して,不当なユーザーからの改ざんを防ぐ仕組みを実装することである。正当なユーザーに対するアクセス制限を行うためには,ログ・ファイルのパーミッションによる制限設定やネットワーク・アクセスの制限などの対策が考えられる。不当なユーザーからのアクセス対策としては,万が一改ざんされてしまった場合を想定したことも含めて検討したほうがよい。例えば,変更できない媒体へのバックアップや改ざん検知と管理者へ通知の仕組みを構築する対策などが考えられる。ただし,PCI DSSに準拠するシステムの規模によってファイアウオールのログなどは膨大な量になるため,改ざん防止対策を効果的に実装することは極めて難しい。専門家と協議の上で検討することを推奨する(図4)。

図4●ログ保護の対策例
図4●ログ保護の対策例

アクセス・ログのレビュー

10.6 すべてのシステム・コンポーネントのログを,少なくとも一日1回はレビューする。ログのレビューの対象は,intrusion detection system(IDS)とauthentication, authorization, and accounting protocol(AAA)サーバ(例:RADIUS)のようなセキュリティ機能を果たすサーバを含む。
注:要件10.6 に準拠するためには,ログ収集,解析,アラートツールの使用も考えられる。

 要件10.6では,すべてのログ・レビューを毎日必ず実施しなければならないことが求められている。通常の情報システム部門では,ログをサーバーに集約して蓄積しておき,障害が発生したときに限り,原因調査を行なう運用が一般的である。

 一方,PCI DSSでは正常,異常に関係無く,最低1日に1回はログのレビューを実施する点が違う。実運用のイメージとしては「あらかじめ登録された異常パターンにマッチしたときにアラートをあげる監視の動き」と「1日の集計レポートをレビューする動き」の二つを組み合わせた形式になると思われる。検知,集計,分析機能を備えたログ管理ソリューションを導入することが望ましい。

■変更履歴
当初、「参照可能な国内のNTPサーバー」を記載していましたが、現在それらのサーバーは公開されていません。誤解を防ぐため、その部分を削除しました。 [2010/02/22 12:30]


伊藤 晃生
ネットワンシステムズ セキュリティ事業推進本部 コンサルティング部 第3チーム
SI企業を経て,2007年5月,ネットワンシステムズ入社。前職では,セキュリティ案件のプロジェクト・マネージャ,SOX法に関連したサービスの企画,開発などを担当。現在はコンサルタントとして,事業継続サービス,業務最適化プロジェクトなどに従事。