ログの種類を区別する
Webサーバー、CDN・WAF、PHPエラー、管理操作、認証、外部サービスのログがあります。同じアクセスが複数に記録される場合や、CDNで遮断されサーバーへ届かない場合もあります。記録がない理由を構成から判断します。
確認したい出来事
管理者の追加、権限変更、ログイン失敗の集中、普段使わないAPI、設定やファイルの変更、外部送信を確認します。攻撃らしいURLへのアクセスは、成功した証拠ではありません。HTTP応答、前後の操作、ファイル差分などと照合します。
調査を進める手順
対象時刻とタイムゾーンを合わせ、ログを退避します。URL・ステータス・接続元・ユーザー・操作内容で関連する記録を集め、正常な保守作業と照合します。プロキシ経由のIPは設定次第で変わるため、そのまま利用者本人のIPと断定しないでください。
保存と共有の注意
ログには個人情報や入力値が含まれることがあります。秘密情報を記録し過ぎず、閲覧権限、保存期間、改ざん防止、公開ディレクトリへの露出を確認します。外部へ共有する前にマスキングし、原本は分けて保管します。
操作と通信を結び付ける例
管理者が追加された時刻から、直前の認証、設定操作、関連URLへのアクセスを調べます。IPだけでなく、アカウント、セッション、操作結果、他の変更を合わせます。複数人が同じ管理者を使っていると識別が難しくなるため、担当者別アカウントの運用もログ調査の前提になります。
保存期間の見直し
障害や侵害の発見が遅れると、必要な期間のログがすでに消えている場合があります。保存容量、個人情報、調査の必要性を踏まえて期間を決め、ローテーションと外部保管を確認します。
よくある質問
404が大量にあれば侵入されていますか？
探索の試行である可能性はありますが、成功とは限りません。応答や前後の挙動、ファイル、管理操作を照合して判断します。
ログがなければ異常はありませんか？
記録していない、経路が違う、保存期間が切れた場合もあります。ログ設定と配信構成を確認し、記録の限界を報告します。