[CODE BLUE 2025レポート] Day 2 ギャップに要注意: Windows イベントログの見落としを検出する

セッション情報

ギャップに要注意：Windowsイベントログの見落としを検出する（そして修正する!）
https://codeblue.jp/program/time-table/day2-t3-02/

発表資料はこちら。
https://github.com/Yamato-Security/Presentations/blob/main/Japanese/2025-11-19-CODE-BLUE-ギャップに要注意：Windowsイベントログの見落としを検出する.pdf

セッション内容

Windows event logとは

Windows環境に標準搭載されていて、フォレンジック調査の基本となるログ。

• Windows XP/2003
  拡張子：.evt
  • パフォーマンスが悪い
  • ログ転送できない
• Vista以降
  拡張子：.evtx
  独自のバイナリフォーマットのXML。対応するviewerが必要。

データ構造

<event>タグ配下に<System>（前半）と<EventData>または<UserData>（後半）
Systemタグは全てのイベントに存在。

EventDataは、単純なKVペア。

<Data Name="Key">Value</Data>

16進数のバイナリがそのまま入っていることもある。
イベントごとにフィールドがバラバラ。フィールド名の命名規則もない。（数百種類）

ログレベルもあるが、システム運用観点なので、DFIR観点では役に立たない。

Event Viewer 標準搭載のイベントログビュワー。
簡単な確認しかできないので、DFIR調査には向かない。
ただし、ツールを入れずにその場で解析する際には唯一の選択肢。
ログの設定変更も可能。

Application、Security、Systemのイベントログを最初に見ることが多い。

• System
  アプリケーションのインストールなど
• Security
  ログ量が多いので、ローテートで消えていることも多い。

デフォルト設定の問題点

デフォルトのログ設定だと出力内容が不十分。
元々DFIR用ではないので。

ログが有効化されていなく、調査に支障が出る項目の例。

• プロセス作成ログ
• ログオン失敗
• Powershell実行

デフォルトのログサイズは20MB。
フォレンジック段階で、証拠が消えていることも多い。

イベントログの解析にはSigmaルールを活用する。
イベントログを全て有効にした上で、Sysmonも追加することで、Sigmaルールを全て網羅できる。

セッション当日、SysmonがWindowsにネイティブ統合される予定というニュースが発表された（デフォルトで有効にはならないかも）。
https://techcommunity.microsoft.com/blog/windows-itpro-blog/native-sysmon-functionality-coming-to-windows/4468112

各種ログ保存のガイドラインが公開されている。

• Microsoft
  https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/audit-policy-recommendations?tabs=winclient
• ACSC（オーストラリア政府）
  https://www.cyber.gov.au/business-government/detecting-responding-to-threats/event-logging/windows-event-logging-and-forwarding
• 大和セキュリティ
  • https://github.com/Yamato-Security/EventLog-Baseline-Guide
    Sigmaルールの網羅率も確認できるツール。
  • WELA
    https://github.com/Yamato-Security/WELA
    Windows Event Logをいい感じに設定するためのツール。

ガイドラインを元に設定すべきもの

• ログサイズを増やす
• 保存期間を延ばす
• ログ対象を増やす

個別の設定項目については、記事冒頭の発表資料とガイドラインを確認ください。

感想・コメント

Linuxでも参考になりそうなお話が多かったです。

ログ保存のガイドライン（デフォルトで有効になっていないログなど）

Microsoftやオーストラリア政府から詳細なガイドラインが出ています。
ストレージの都合なのでしょうが、ログオン失敗など重要なログでもデフォルトでは有効になっていないようです。
各項目について詳細に書かれているので、WindowsだけでなくLinuxやクラウドでも、ログ有効化の方針を決める上で参考にできそうです。

SysmonをWindowsネイティブで使用できるようになる

発表当日に、SysmonをWindowsにネイティブで組み込むアップデートを来年に予定していることが、Microsoftから発表されました。
Sysmonの重要性はセッションの中でも何度も言及されていましたし、嬉しいアップデートですね。
デフォルトで有効化されるかわからない（Microsoftの記事を見る限りデフォルトは無効になりそう？）ので、他のイベントログと同じく有効化されているかどうかの確認は引き続き必要になりそうです。

まとめ

Windows Event Logのデフォルト設定の問題点と、推奨される設定内容のセッションでした。
OS周りのログ設定はデフォルト設定のままになっている場合もあると思いますので、この機会に出力内容や保存期間を見直してみてはいかがでしょうか。