インシデント対応: ログの活用

インシデント対応計画の一環として Auth0 のログを使用する方法。

攻撃の影響を評価するためにログを確認することは、インシデント対応計画における重要なステップです。このページでは、Auth0 Dashboard でログにアクセスする方法と、攻撃の兆候を特定し、アカウントのアクティビティを確認するためのログ検索クエリの例を紹介します。

​

Auth0 のログを確認する

1. Auth0 Dashboard にログインします
2. Logs ページは、左側のメニューの Monitoring にあります。
3. Logs ページには、検索バー、フィルター選択、日付ピッカーが表示されます。

一覧からログイベントを選択すると、そのイベントの Summary と、生の JSON を含む追加の Details を確認できます。

​

ログの構造

各ログイベントには、次のフィールドが含まれます。

フィールド	説明
date	このイベントが発生した日時を示すタイムスタンプです。
log_id	ログイベントの id です。
type	ログイベントの種類です。
description	イベントの説明です。
connection	イベントに関連する接続名です。
connection_id	イベントに関連する接続 id です。
client_id	イベントに関連する client_id です。
client_name	イベントに関連するクライアント名です。
ip	ログイベントの原因となったリクエストの送信元 IP アドレスです。
user_agent	イベントに関連するユーザーエージェントです。
details	このログイベントに関する追加情報を含むオブジェクトです。
user_id	イベントに関連するユーザー id です。
user_name	イベントに関連するユーザー名です。
strategy	イベントに関連する接続戦略です。
strategy_type	イベントに関連する接続戦略の種類です。

​

ログイン失敗時のログイベントの例

以下は、パスワードが正しくないためにログインに失敗した場合のログイベントの例です。

{
  "date": "2020-10-27T19:39:54.699Z",
  "type": "fp",
  "description": "Wrong email or password.",
  "connection": "Username-Password-Authentication",
  "connection_id": "con_ABC123",
  "client_id": "ABCDEFG123456789",
  "client_name": "All Applications",
  "ip": "99.xxx.xxx.xxx",
  "user_agent": "Chrome 86.0.4240 / Mac OS X 10.15.6",
  "details": {
    "error": {
      "message": "Wrong email or password."
    }
  },
  "user_id": "auth0|ABC123",
  "user_name": "[e-mail]",
  "strategy": "auth0",
  "strategy_type": "database",
  "log_id": "123456789",
  "_id": "123456789",
  "isMobile": false
}

​

攻撃の兆候

攻撃を早期に特定するのは難しい場合がありますが、ログでは次のような点に注意してください。あわせて、検索クエリの例も示します。

• 無効なユーザー名によるログイン失敗や、存在しないユーザーに対するログイン試行が大量に発生している。

  • type:"fu"
  • description:"missing username parameter"
  • description:"Wrong email or password"

• ログイン失敗回数の上限に達しているアカウントが多数ある。

  • type:"limit_wc"

• 漏えいしたパスワードを使ったログイン試行が多数ある。

  • type:"pwd_leak"

調査中は、IPアドレス、標的となっているアプリケーション、使用されている接続またはIDプロバイダーを記録してください。

ログ検索クエリ構文のページでは、Auth0 のログクエリ構文の詳細と、さらに多くのクエリ例を確認できます。

​

侵害された可能性のあるユーザーアカウントを特定する

侵害された可能性のあるユーザーアカウントを特定するには、次の条件で検索できます。

• 不審な IP アドレスからのログイン成功イベント:

  • type:"s" AND ip:"99.xxx.xxx.xxx"

​

侵害されたユーザーアカウントのアクティビティを確認する

侵害されたユーザーアカウントを特定したら、そのアカウントのアクティビティを確認します。

• 同じ user_id を持つ他のログイベントを検索します: user_id:"auth0|ABC123"
• client_name または client_id のログイベントフィールドを確認し、どのアプリケーションへのアクセスがあったかを特定します。アクセスが発生した時刻を記録しておきます。
• 管理者アクセスや Auth0 の設定変更がないか確認します
• 最近の Management API 呼び出しを検索します: type:"sapi"

​

Dashboardでユーザーを削除またはブロックする

1. Dashboard > User Management > Users に移動します。
2. 削除またはブロックするユーザーを検索します。
3. ユーザーの右端にある「…」ボタンをクリックします。
4. Block または Delete を選択して確定します。