logging:syslogプロトコルとRed Hat 系 Linuxのログ管理

Linuxシステムの運用において、ログの収集と管理は非常に重要な役割を担います。ログはシステムの動作状況、エラー発生時の原因究明、セキュリティインシデントの分析などに役立ちます。Red Hat系Linuxでは、syslogプロトコルがログ収集の標準的な方法として広く採用されています。本稿では、Red Hat系Linuxにおけるsyslogプロトコルとログ管理について詳細に解説します！

syslogプロトコルの概要

syslogプロトコルは、ネットワーク上のデバイスからログメッセージを収集し、ログサーバーに転送するための標準的なプロトコルです。RFC 5424で定義されており、様々な種類のデバイス（サーバー、ネットワーク機器、アプリケーションなど）でログ収集に利用されています。

syslogプロトコルは、クライアント・サーバーモデルで動作します。ログを生成するデバイスがクライアントとなり、ログを受信して保存するデバイスがサーバーとなります。クライアントは、UDPポート514番またはTCPを用いてログメッセージをサーバーに送信します。TCPを用いる場合は、TLS暗号化を使用して安全にログを転送することもできます。 Red Hat系Linuxでは、 /var/log/messages や /var/log/secure などのファイルにログが保存されます。

syslogプロトコルの歴史は古く、1980年代にEric Allman氏によって開発されたsendmailのログ機能が起源となっています。その後、様々なUnix系OSにsyslog機能が実装され、現在ではLinuxを含む多くのシステムで標準的に利用されています。

syslogプロトコルの役割は、システムの安定稼働、セキュリティ確保、パフォーマンス監視など多岐に渡ります。ログを適切に収集・分析することで、システムの異常を早期に検知し、障害発生時の原因究明を迅速に行うことができます。また、セキュリティインシデント発生時の証拠としてもログは重要な役割を果たします。

syslogプロトコルのメッセージフォーマット

syslogプロトコルでは、ログメッセージは構造化されたフォーマットで送信されます。RFC 5424で定義されているフォーマットは、以下の要素で構成されます。

• ヘッダー: タイムスタンプ、ホスト名、アプリケーション名などの情報が含まれます。
• 構造化データ: キーと値のペアで表される追加情報です。
• メッセージ: ログメッセージの本文です。

ファシリティと重大度レベル

syslogプロトコルでは、ログメッセージを分類するためにファシリティと重大度レベルが使用されます。

ファシリティは、ログメッセージの発生源を識別するための分類です。例えば、kernはカーネル、userはユーザーレベルのプログラム、mailはメールシステムなどを表します。主なファシリティは以下の通りです。

ファシリティ	説明
auth	認証システム
authpriv	認証システムの機密情報
cron	cronデーモン
daemon	システムデーモン
kern	カーネル
lpr	プリンタシステム
mail	メールシステム
mark	内部的に生成されるタイムスタンプ
news	ニュースシステム
syslog	syslogデーモン自身
user	ユーザーレベルのプログラム
uucp	UUCPシステム
local0 – local7	ローカルで定義されたファシリティ

重大度レベルは、ログメッセージの重要度を示すための分類です。RFC 5424では、以下の8段階の重大度レベルが定義されています。

重大度レベル	説明
Emergency (0)	システムが使用不能
Alert (1)	すぐに対応が必要
Critical (2)	致命的な状態
Error (3)	エラー状態
Warning (4)	警告
Notice (5)	通常とは異なる状態
Informational (6)	情報
Debug (7)	デバッグ情報

Red Hat系Linuxにおけるsyslogデーモン

Red Hat系Linuxでは、伝統的にrsyslogdがsyslogデーモンとして使用されてきました。rsyslogdは、syslogプロトコルを実装した高機能なログデーモンであり、柔軟なログ収集・転送機能を提供します。

rsyslogdの設定ファイルは/etc/rsyslog.confです。このファイルでは、ログメッセージのフィルタリング、転送先、出力形式などを設定することができます。 /etc/rsyslog.conf は、ruleset ディレクティブで構成されています。 ruleset ディレクティブは、セレクタとアクションの2つの要素で構成されます。セレクタは、どのログメッセージを処理するかを指定し、アクションは、ログメッセージをどのように処理するかを指定します。

RHEL 8以降では、systemd-journaldがデフォルトのログデーモンとして導入されました。systemd-journaldは、systemdの一部として提供されるログデーモンであり、バイナリ形式でログを保存します。systemd-journaldは、従来のsyslogプロトコルとの互換性を維持しつつ、パフォーマンスと信頼性の向上を実現しています。 journaldの利点としては、パフォーマンスの向上、信頼性の高いロギング、バイナリ形式でのログ保存などが挙げられます。 また、 journald のログは永続的な性質を持ち、従来のログファイルとは異なり、システムの再起動後も保持されます。

systemd-journaldの設定ファイルは/etc/systemd/journald.confです。このファイルでは、ログの保存先、最大ファイルサイズ、ログのローテーション設定などを指定することができます。

ログの管理

ログの管理には、ローテーション、アーカイブ、圧縮など、様々な手法が用いられます。

ログのローテーションは、ログファイルが肥大化しないように、一定のサイズに達したら古いログファイルを削除またはアーカイブする処理です。rsyslogdでは、logrotateユーティリティと連携してログのローテーションを行います。 logrotate の設定ファイルは /etc/logrotate.conf です。このファイルには、ログファイルのローテーション方法、ローテーション間隔、保存期間などの設定が記述されています。 systemd-journaldでは、設定ファイルでローテーションの設定を行うことができます。

ログのアーカイブは、古いログファイルを圧縮して保存する処理です。圧縮することで、ストレージ容量を節約することができます。

ログのセキュリティ

ログは、システムのセキュリティ確保においても重要な役割を果たします。セキュリティ監査やインシデント対応において、ログは重要な証拠となります。ログの完全性と否認防止は、セキュリティおよびコンプライアンス監査において非常に重要です。安全なログ記録のプラクティスは、規制要件を満たし、説明責任を確保するのに役立ちます。

ログのセキュリティを確保するためには、以下の対策が重要です。

• ログの改ざん防止: ログの改ざんを防止するために、デジタル署名などの技術が用いられます。デジタル署名によって、ログの整合性を検証し、改ざんが行われていないことを確認することができます。
• ログへの不正アクセス防止: ログへの不正アクセスを防止するために、アクセス制御リスト（ACL）やファイアウォールなどのセキュリティ対策が有効です。ACLによって、ログファイルへのアクセスを許可されたユーザーのみがログにアクセスできるように制限することができます。ファイアウォールは、外部からの不正アクセスを遮断することができます。
• ログの機密性保護: ログの機密性保護には、暗号化などの技術が用いられます。暗号化によって、ログの内容を保護し、権限のないユーザーがログの内容を閲覧できないようにすることができます。

ログ分析ツール

ログ分析ツールは、大量のログデータを効率的に分析するためのツールです。ログ分析ツールを使用することで、システムの異常やセキュリティインシデントを迅速に検知することができます。

一般的なログ分析ツールとしては、以下のものがあります。

• Elasticsearch, Logstash, Kibana (ELKスタック): オープンソースのログ分析プラットフォーム
• Splunk: 商用のログ分析プラットフォーム
• Graylog: オープンソースのログ管理プラットフォーム
• ausearch: 監査ログを分析するためのコマンドラインツール。 ausearch を使用すると、特定のユーザー、イベント、または期間に基づいて監査ログをフィルタリングおよび検索できます。

ログ管理システムとSIEM

ログ管理システムは、ログの収集、保存、分析、監視などを一元的に管理するためのシステムです。ログ管理システムを使用することで、ログ管理の効率化、セキュリティ強化、コンプライアンス対応などを実現することができます。

セキュリティ情報イベント管理（SIEM）は、ログ管理システムの一種であり、セキュリティイベントの検知、分析、対応に特化した機能を備えています。SIEMを使用することで、セキュリティインシデントの早期発見、被害拡大の防止、インシデント対応の迅速化などを図ることができます。オープンソースのSIEMソリューションとしては、Security OnionやWazuhなどがあります。

systemd-journaldによるログ管理

RHEL 8以降では、systemd-journaldがデフォルトのログデーモンとして導入されました。systemd-journaldは、従来のsyslogプロトコルとの互換性を維持しつつ、パフォーマンスと信頼性の向上を実現しています。

systemd-journaldは、バイナリ形式でログを保存します。バイナリ形式で保存することで、ログの検索速度が向上し、ストレージ容量を節約することができます。また、systemd-journaldは、ログの改ざんを防止するための機能を備えています。

systemd-journaldのログは、journalctlコマンドで閲覧することができます。journalctlコマンドは、様々なオプションを指定することで、ログのフィルタリング、検索、表示形式の変更などを行うことができます。

ログのローテーション設定例

rsyslogdでログのローテーションを行うには、 /etc/logrotate.conf ファイルを設定します。以下は、 /var/log/messages ファイルを毎週ローテーションし、4週間分のログを保存する例です。

/var/log/messages {
    weekly
    rotate 4
    create
}

systemd-journaldでログのローテーションを行うには、 /etc/systemd/journald.conf ファイルを設定します。以下は、ログの最大使用量を500MB、ログファイルの最大サイズを100MB、最大ファイル数を10に設定する例です。

# /etc/systemd/journald.conf

SystemMaxUse=500M
MaxFileSize=100M
MaxFiles=10

トラブルシューティング

ログ関連のトラブルシューティングでは、以下の点を確認することが重要です。

• ログデーモンが正常に動作しているか: ログデーモンの状態を確認するには、systemctl status rsyslogコマンドまたはsystemctl status systemd-journaldコマンドを使用します。
• ログの設定ファイルに誤りがないか: ログの設定ファイルに誤りがないかを確認するには、ログファイルのシンタックスチェックを行います。rsyslogd の場合は rsyslogd -N1 コマンドを、 systemd-journald の場合は journalctl -f コマンドを使用します。
• ログファイルのパーミッションが適切に設定されているか: ログファイルのパーミッションが適切に設定されているかを確認するには、ls -lコマンドでパーミッションを確認します。
• ディスク容量が不足していないか: ディスク容量が不足していないかを確認するには、df -hコマンドでディスクの使用量を確認します。

ベストプラクティス

ログ管理のベストプラクティスは以下の通りです。

Best Practice	Description
ログの保存期間を適切に設定する	ログの保存期間は、法令や社内規定などを考慮して適切に設定する必要があります。
重要なログは長期保存する	セキュリティ監査やインシデント対応に必要なログは、長期保存する必要があります。
ログのバックアップを定期的に取得する	ログのバックアップを定期的に取得することで、ログの消失や破損に備えることができます。
ログ分析ツールを活用する	ログ分析ツールを活用することで、ログの分析効率を向上させ、セキュリティインシデントの早期発見に役立てることができます。
ログのセキュリティ対策を適切に実施する	ログのセキュリティ対策を適切に実施することで、ログの改ざんや不正アクセスを防止することができます。

結論

Red Hat系Linuxにおけるログ収集は、syslogプロトコルを基盤として行われます。rsyslogdまたはsystemd-journaldなどのログデーモンを使用することで、柔軟なログ収集・転送機能を利用することができます。ログの管理には、ローテーション、アーカイブ、圧縮などの手法を用いることで、ストレージ容量の節約とログの長期保存を実現することができます。また、ログのセキュリティ対策を適切に実施することで、システムのセキュリティ強化を図ることができます。ログ分析ツールやログ管理システムを活用することで、ログの分析効率を向上させ、セキュリティインシデントの早期発見に役立てることができます。