インシデント対応: ログの活用

インシデント対応計画の一環として Auth0 テナントログを使用し、不審なログインの調査、侵害の範囲の特定、監査タイムラインの作成を行う方法を学びます。

攻撃の影響を評価するためにログを確認することは、インシデント対応計画における重要なステップです。このページでは、Auth0 Dashboard でログにアクセスする方法と、攻撃の兆候を見つけてアカウントのアクティビティを確認するためのログ検索クエリの例をいくつか紹介します。

​

Auth0 のログを確認する

1. Auth0 Dashboard にログインします
2. Logs ページは、左側のメニューの Monitoring にあります。
3. Logs ページには、検索バー、フィルターの選択、および日付ピッカーが表示されます。

一覧からログイベントを選択すると、イベントの Summary と、生の JSON を含む Details を確認できます。

​

ログの構造

各ログイベントには、次のフィールドがあります。

Field	Description
date	このイベントが発生した日時を示すタイムスタンプ。
log_id	ログイベントの ID。
type	ログイベントのイベントタイプ。
description	イベントの説明。
connection	イベントに関連する接続名。
connection_id	イベントに関連する接続 ID。
client_id	イベントに関連するクライアント ID。
client_name	イベントに関連するクライアント名。
ip	このログイベントの原因となったリクエストの送信元 IP アドレス。
user_agent	イベントに関連するユーザーエージェント。
details	このログイベントに関する追加情報を含むオブジェクト。
user_id	イベントに関連するユーザー ID。
user_name	イベントに関連するユーザー名。
strategy	イベントに関連する接続のストラテジー。
strategy_type	イベントに関連する接続のストラテジータイプ。

​

ログイン失敗のログイベントの例

以下は、パスワードの誤りによってログインに失敗した場合のログイベントの例です。

{
  "date": "2020-10-27T19:39:54.699Z",
  "type": "fp",
  "description": "Wrong email or password.",
  "connection": "Username-Password-Authentication",
  "connection_id": "con_ABC123",
  "client_id": "ABCDEFG123456789",
  "client_name": "All Applications",
  "ip": "99.xxx.xxx.xxx",
  "user_agent": "Chrome 86.0.4240 / Mac OS X 10.15.6",
  "details": {
    "error": {
      "message": "Wrong email or password."
    }
  },
  "user_id": "auth0|ABC123",
  "user_name": "[e-mail]",
  "strategy": "auth0",
  "strategy_type": "database",
  "log_id": "123456789",
  "_id": "123456789",
  "isMobile": false
}

​

攻撃の兆候

攻撃を早期に見極めるのは難しい場合がありますが、ログで確認すべきポイントと検索クエリの例を以下に示します。

• 無効なユーザー名によるログイン失敗や、存在しないユーザーに対するログイン試行が大量に発生している。

  • type:"fu"
  • description:"missing username parameter"
  • description:"Wrong email or password"

• 失敗したログイン試行回数の上限に達しているアカウントが大量にある。

  • type:"limit_wc"

• 漏えいしたパスワードを使ったログイン試行が多数発生している。

  • type:"pwd_leak"

調査の際は、IP アドレス、標的となっているアプリケーション、使用されている接続やアイデンティティプロバイダーを記録してください。

ログ検索クエリの構文のページでは、Auth0 のログクエリ構文の詳細に加え、さらに多くのクエリ例も確認できます。

​

侵害された可能性のあるユーザーアカウントを特定する

侵害された可能性のあるユーザーアカウントを特定するには、次の項目を検索します。

• 不審な IP アドレスからのログイン成功イベント:

  • type:"s" AND ip:"99.xxx.xxx.xxx"

​

侵害されたユーザーアカウントのアクティビティを確認する

侵害されたユーザーアカウントを特定したら、そのアカウントのアクティビティを確認します。

• 同じ user_id を持つ他のログイベントを検索します: user_id:"auth0|ABC123"
• client_name または client_id のログイベントフィールドを確認し、どのアプリケーションにアクセスされたかを確認します。アクセスがあった時刻を記録してください。
• 管理者アクセスや Auth0 の設定変更がないか確認します
• 最近の Management API 呼び出しを検索します: type:"sapi"

​

Auth0 Dashboard でユーザーを削除またはブロックする

1. Auth0 Dashboard > User Management > Users に移動します。
2. 削除またはブロックするユーザーを検索します。
3. ユーザーの右端にある「…」ボタンをクリックします。
4. Block または Delete を選択し、確認します。