複数のDCがある環境で、イベントログを1台ずつイベントビューアーで確認していませんか。それ、DCの台数が増えるほど破綻します。この記事では、ADのログをsyslogへ転送する目的と方法を整理します。
syslogとは？何のために転送するのか
syslog（シスログ） ログメッセージを送信するための標準プロトコル（RFC 5424）。もともとUnix/Linux系で使われてきたが、Windows環境でも変換ツールを介して対応できる。
ADは複数のDCで構成される分散環境です。各DCが個別にログを持っている状態では、「どのDCで何が起きたか」を横断的に把握するのが困難になります。ログを1箇所（syslogサーバーやSIEM）に集約する目的は、この分散を解消し、複数DC・複数サーバーのログを一元的に監視・分析できる状態を作ることにあります。
イベントビューアーだけでは足りない理由
- DCの台数が増えるとスケールしない。 台数分、個別にログインして確認する必要があります。
- 保存期間の制約を受ける。 ローカルログは既定のログサイズ・保存期間に依存し、古いログは上書きされて消えます。
- リアルタイムの相関分析ができない。 「DC1でログオン失敗が続いた直後、DC2で権限昇格が起きた」といった横断的な異常の発見は、1台ずつ見ていては困難です。
- 改ざん耐性が低い。 攻撃者がDCに侵入した場合、ローカルのイベントログ自体を消去・改ざんされるリスクがあります。外部へ転送しておくことで、証跡がローカル側の状態に左右されにくくなります。
転送する主な方法
| 方法 | 概要 | 追加ソフト |
|---|---|---|
| WEF（Windows Event Forwarding） | Windows標準機能。WinRM経由でイベントを収集サーバーに集約 | 不要 |
| Syslogエージェント | NXLog・Snare等のサードパーティ製エージェントで、ログをsyslog形式に変換して転送 | 必要 |
| SIEM専用コネクタ | Azure Monitor Agent（Sentinel向け）など、SIEM製品が提供する専用の収集エージェント | 必要 |
追加ソフトを入れたくない場合はWEFが基本線になりますが、そのままではsyslog形式ではないため、後段で変換が必要になる点に注意してください。
WEF（Windowsイベント転送）の仕組み
WEFはWindows標準機能で、追加ソフトなしにイベントを集約できます。「収集サーバー（Collector）」と「転送元（Source）」という構成で、WinRM（HTTP/HTTPS）を使って通信します。
収集方式は2パターンあります。
- Pull型：収集サーバー側が転送元に定期的に取りに行く
- Push型：転送元側が収集サーバーへ能動的に送る
どちらの方式でも、「サブスクリプション」という設定で、どのイベントログ・どのイベントIDを集めるかを指定します。
syslog形式に変換する際の注意点
WEFで集約したイベントは、Windows独自のXML形式です。そのままではsyslog/SIEM側でうまく扱えないため、変換が必要になります。ここでいくつかつまずきやすい点があります。
- 文字コード・タイムゾーンの差異。 Windows側はローカルタイムで記録されることが多く、syslog側はUTCを前提にしている場合があります。時刻がズレたまま集約すると、後の調査で時系列を誤読するリスクがあります。
- 1レコード1行の原則が崩れやすい。 syslogは基本的に1行＝1レコードですが、Windowsのイベントは複数行にまたがる情報を含むことが多く、そのまま変換すると構文が崩れることがあります。
どのイベントIDを転送すべきか
すべて転送すると転送量が膨らみすぎるため、優先度の高いものに絞るのが現実的です。
- 4624／4625（ログオン成功／失敗）
- 4648（明示的な資格情報を使ったログオン）
- 4662（ディレクトリサービスへのアクセス、DCSync検知にも関わる）
- 4688（プロセス作成）
- 4720（ユーザーアカウント作成）
- 4732（グループへのメンバー追加）
イベントIDそのものの意味については「Windowsイベントログの重要ID一覧」で詳しく解説しています。
転送した先で何をするか
集約しただけでは意味がなく、転送先で相関ルール・アラート・ダッシュボードを組んで初めて価値が出ます。ここから先はSIEM製品の領域です。Microsoft Sentinelを使う場合の基本的な考え方は、別記事「Microsoft Sentinel入門」で解説しています（※リンクはURL確定後に追記してください）。
現場で確認しておくべきこと
自分の環境のイベントログが、DC単体でしか確認できない状態になっていないか確認してください。
複数DC環境で、いまだに1台ずつイベントビューアーを開いて確認しているなら、WEFでの集約から検討する価値があります。まずは追加ソフト不要のWEFで集約するところから始め、必要に応じてSIEMへの転送を検討する、という段階的な導入がおすすめです。
コメント