メインコンテンツへスキップ
攻撃の影響を評価するためにログを確認することは、インシデント対応計画における重要なステップです。このページでは、 でログにアクセスする方法と、攻撃の兆候を特定し、アカウントのアクティビティを確認するためのログ検索クエリの例を紹介します。

​
Auth0 のログを確認する

  1. Auth0 Dashboard にログインします
  2. Logs ページは、左側のメニューの Monitoring にあります。
  3. Logs ページには、検索バー、フィルター選択、日付ピッカーが表示されます。
Dashboard Monitoring Logs
一覧からログイベントを選択すると、そのイベントの Summary と、生の JSON を含む追加の Details を確認できます。

​
ログの構造

各ログイベントには、次のフィールドが含まれます。
フィールド説明
dateこのイベントが発生した日時を示すタイムスタンプです。
log_idログイベントの id です。
typeログイベントの種類です。
descriptionイベントの説明です。
connectionイベントに関連する接続名です。
connection_idイベントに関連する接続 id です。
client_idイベントに関連する client_id です。
client_nameイベントに関連するクライアント名です。
ipログイベントの原因となったリクエストの送信元 IP アドレスです。
user_agentイベントに関連するユーザーエージェントです。
detailsこのログイベントに関する追加情報を含むオブジェクトです。
user_idイベントに関連するユーザー id です。
user_nameイベントに関連するユーザー名です。
strategyイベントに関連する接続戦略です。
strategy_typeイベントに関連する接続戦略の種類です。

​
ログイン失敗時のログイベントの例

以下は、パスワードが正しくないためにログインに失敗した場合のログイベントの例です。 
{
  "date": "2020-10-27T19:39:54.699Z",
  "type": "fp",
  "description": "Wrong email or password.",
  "connection": "Username-Password-Authentication",
  "connection_id": "con_ABC123",
  "client_id": "ABCDEFG123456789",
  "client_name": "All Applications",
  "ip": "99.xxx.xxx.xxx",
  "user_agent": "Chrome 86.0.4240 / Mac OS X 10.15.6",
  "details": {
    "error": {
      "message": "Wrong email or password."
    }
  },
  "user_id": "auth0|ABC123",
  "user_name": "test@test.com",
  "strategy": "auth0",
  "strategy_type": "database",
  "log_id": "123456789",
  "_id": "123456789",
  "isMobile": false
}

​
攻撃の兆候

攻撃を早期に特定するのは難しい場合がありますが、ログでは次のような点に注意してください。あわせて、検索クエリの例も示します。
  • 無効なユーザー名によるログイン失敗や、存在しないユーザーに対するログイン試行が大量に発生している。
    • type:"fu"
    • description:"missing username parameter"
    • description:"Wrong email or password"
  • ログイン失敗回数の上限に達しているアカウントが多数ある。
    • type:"limit_wc"
  • 漏えいしたパスワードを使ったログイン試行が多数ある。
    • type:"pwd_leak"
調査中は、IPアドレス、標的となっているアプリケーション、使用されている接続またはを記録してください。
ログ検索クエリ構文のページでは、Auth0 のログクエリ構文の詳細と、さらに多くのクエリ例を確認できます。

​
侵害された可能性のあるユーザーアカウントを特定する

侵害された可能性のあるユーザーアカウントを特定するには、次の条件で検索できます。
  • 不審な IP アドレスからのログイン成功イベント:
    • type:"s" AND ip:"99.xxx.xxx.xxx"

​
侵害されたユーザーアカウントのアクティビティを確認する

侵害されたユーザーアカウントを特定したら、そのアカウントのアクティビティを確認します。
  • 同じ user_id を持つ他のログイベントを検索します: user_id:"auth0|ABC123"
  • client_name または client_id のログイベントフィールドを確認し、どのアプリケーションへのアクセスがあったかを特定します。アクセスが発生した時刻を記録しておきます。
  • 管理者アクセスや Auth0 の設定変更がないか確認します
  • 最近の 呼び出しを検索します: type:"sapi"

​
Dashboardでユーザーを削除またはブロックする

  1. Dashboard > User Management > Users に移動します。
  2. 削除またはブロックするユーザーを検索します。
  3. ユーザーの右端にある「…」ボタンをクリックします。
  4. Block または Delete を選択して確定します。