【天下布武！】名前を奪いに来た転校生

第４章 防衛

４０６ 検知

「いつ暗号化あんごうかされたのか、調しらべるのに苦労くろうしそうですね」
「全すべての書類ファイルを、一気いっきに変更へんこうすることはありますか？」
「ありません」
「全すべての書類ファイルを一気いっきに変更へんこうすれば、増分ぞうぶんバックアップにより保存ほぞんされるデータサイズはどうなるでしょうか。その日だけ、急激きゅうげきに増加ぞうかする現象げんしょうが発生はっせいします。この状態じょうたいを異常いじょうと検知けんちし、通知つうちさせることで、暗号化あんごうかされた翌日よくじつには、被害ひがいに遭あった事実じじつを知ることが可能かのうになります」
「そうしてもらえると、安心あんしん出来ます」

　異常いじょうを検知けんちする方法ほうほうは、色々いろいろある。
　例えば、サイバー攻撃こうげきを仕掛ける場合。乱波らっぱは、施設しせつに対し、何らかの行動こうどうを起こす。
　入口いりぐちでの認証履歴にんしょうログや、施設内しせつないでの行動履歴こうどうログは、適宜てきぎ記録きろくされる。
　不正ふせいを働はたらいている自覚じかくがある乱波らっぱは、不正ふせいの証跡しょうせきである履歴ログの消去しょうきょを試こころみる。

　履歴ログは、原則げんそくとして積つみ上げていくもの。
　一定いっていの容量サイズに達たっしたり、期間きかんで区切くぎり、記録きろくする書類ファイルを変えるログローテーションを行うことはある。けれど、記録きろくしている最中さいちゅうに、部分的ぶぶんてきに消失しょうしつするような運用うんようはしない。
　つまり、履歴ログの容量サイズが予定外よていがいのタイミングで減少げんしょうすれば、不正ふせいが発生はっせいしたと判断可能はんだんかのう。
　履歴ログは、記録きろくされている情報じょうほうを読よむだけでなく、履歴ログそのものを監視かんしすることでも、異常いじょう検知けんちに役立やくだてられる。

　乱波らっぱが、証拠隠滅しょうこいんめつのため、改竄かいざんしたり、履歴ログを削除さくじょする可能性かのうせいを否定ひてい出来ない。
　その後ごのリスクを排除はいじょするため、ファイアウォール、プロキシサーバ、 DNSサーバ、認証サーバ、メールサーバを運用うんようしている場合ばあい、各々おのおのの履歴ログを、一年分程はバックアップを残しておくことが望のぞましい。

　履歴ログをバックアップ対象たいしょうに追加ついかする。