Active Directoryのセキュリティログを活用するために、適切な監視方法を探る

　Active Directory（AD）のイベントログは、攻撃の兆候を察知する上で欠かせない。想定外の端末やアカウントによるログインが行われていないか、不明な認証の試行・失敗がないか、あるいは特権アカウントを使った不審なログインがないかなど、さまざまな状況が見えてくる。

　ただ、具体的にどういったイベントに注目すればよいのか、またイベントログからどのような項目を抽出して監視すればよいのか、運用監視を最適化するに当たっては悩ましい点が多い。適切な設定に加え、前処理として、ドメイン管理者権限を有するアカウントリスト、ドメイン管理者が使用する端末のIPアドレス・ホスト名のリストを作成することも重要になる。

　そこで本資料では、ADセキュリティログの運用監視を支援するソリューションを紹介する。ログ監視シグネチャ（監視観点）の例なども検知手法・前処理を含めて紹介されており、自社環境を見直す上でも役立つだろう。