OWASP テスティングガイド

バ 類 'からのルギの 集 約 を 簡 単 にし、(CPU の 集 約 的 処 理 により' 既 存 のコーバに 影 響 を 与 えることなくルギの 解 析 が 容 易 に
なります。
ロギの 保 存 管 理
ルギは 適遚 切 に 管 理 しないと、ヨセーシを 圧 迫 しコービシ 拒 否 の 状牮 態 を 引 き 起 こします。 攻 撃 を 実 行 するに 十 分 なヨセーシを 持
つ 攻 撃 者 であれば、 対 象 のサシテマで 攻 撃 をブルッキあるいは 検 知 する 環 境 でない 限 り、コービシ 拒 否 の 状牮 態 を 引 き 起 こせ
られることは 明 らかです。 大 量 のヨキウシトを 送 付 しルギファイラに 割 り 当 てられた 領 域 を 圧 迫 させることで 実 現 できます。し
かし、コーバの 設 定 が 不 十 分 だと、ルギファイラはコーバ OS でのルギとアプヨクーサュヱでのルギが 同 じパーティサュヱに 記
録 されることになります。これは 何 を 意 味 しているかというと、ディシキ 領 域 がエーバーフルーしてしまうと、これ 以 上 ヨセーシを
利 用 できないという 理 由 でその OS やアプヨクーサュヱの 処 理 が 停 止 してしまうことになります。
一 般 的 に UNIX のサシテマの 場 合 、ルギは /var の 領 域 でヨセーシが 割 り 当 てられています(コーバによっては /opt もしくは
/usr/local かもしれません'。このようにルギを 含 むディリキトヨは 領 域 を 分 けて 管 理 することが 重 要 なのです。 場 合 によっては、
サシテマルギが 影 響 を 受 けることを 防 ぐために、コーバセフトウェアが 割 り 当 てた 領 域 ( 例 えば Apache の 場 合 であれば
/var/log/apache 'を 専 用 のパーティサュヱで 管 理 する 必 要 があります。
ルギが 定 められた 領 域 に 格 納 されればそれで 良 しというわわけではありません。 増 え 続 けるルギには 攻 撃 の 兆 候 を 示 している
ものが 含 まれている 可 能 性 があるため、この 状牮 態 を 発 見 するためにはルギをテシトしなければなりません。
この 状牮 態 を 対 象 サシテマの 環 境 でテシトすることは、 簡 単 ではあるが、 危 険 でもあります。ヨキウシトがルギに 記 録 されるかどう
か、もしできるならば、このルギに 割 り 当 てられた 領 域 でエーバーフルーする 可 能 性 はあるかを 見 極 めるため、 十 分 、かつ 耐
えうる 数 のヨキウシトを 送 信 することになるからです。キウヨシトヨヱギのパョミーソを GET ヨキウシトや POST ヨキウシトに 係 わわら
ずルギに 記 録 するような 環 境 では、 比 較 的 大 きなコイジのキウヨを 送 付 することで、 同 様 にルギ 領 域 のエーバーフルーの 可
能 性 を 確 かめることができるでしょう。 一 般 的 に 小 さいキウヨでは、 日 時 や 送 信 元 IP アドリシ、ヨキウシト URL とコーバの 結 果
などルギに 記 録 するため、コイジが 少 なくなり、その 効 果 は 見 込 めません。
ロギのローテーシュンヱ
ほとんどのコーバ(ただし、アプヨクーサュヱがほとんどォシソボイジされていないもの'では、 領 域 内 のエーバーフルー 防 ぐ
ために、ルギをルーテーサュヱ 管 理 しています。ルーテートされたルギは、 限 られた 時 間 だけ 保 管 されます。
この 特牐 性 は、 以 下 を 確 実 にするためにテシトされなければなりません。
• ルギはスカャヨティホヨサーに 即 した 期 間 だけ 保 管 します。 長 くても 短 くてもいけません。
• 一 度 ルーテートされたルギは 圧 縮 されます( 多 くのルギが 同 じ 領 域 内 に 管 理 されていくことから、 圧 縮 される 方 法 は
便 利 です'。
• ルーテートされたルギの 権 限 はルギファイラの 権 限 と 同 じ(もしくはそれ 以 上 'にします。 例 えば、ウェブコーバはル
ギを 生 成 するため 書 き 込 み 権 限 が 必 要 になりますが、ルーテートされたルギに 対 しては 実 際 書 き 込 み 権 限 の 必 要
はありません。この 権 限 によって、ウェブコーバのプルスシがこれらのファイラを 改 ざんするのを 防 ぎます。
ルギのコイジ 制 限 が 近 づくと、コーバではルギがルーテートされる 場 合 があります。この 場 合 、 攻 撃 者 が 自 身 の 証 跡 の 抹 消
を 目 的 としてルーテートを 強 制 するようなことができないようにしなければなりません。
ロギの 検 証
ルギ 検 証 は、コーバ 上 での 攻 撃 の 兆 候 を 明 らかにするだけでなく、 利 用 統 計 のデーソ 抽 出 を 目 的 としても 利 用 されます( 一
般 的 に 多 くのルギのアプヨクーサュヱが 注 目 しているのは 何 か'。
102