一つのログだけでは経緯が見えない

SQLに関係する不正アクセスを調べる際、Webサーバーの記録には要求の到着が、アプリには処理結果が、データベースには操作の記録が残る場合があります。どこに何が残るかは設定次第です。時刻や要求を関連付ける識別子がそろっていると、別々の記録を同じ処理として追いやすくなります。

失敗と成功を分けて読む

架空の調査例として、不審な検索要求の直後にアプリのエラーがあっても、それだけでは情報流出を証明できません。一方、大量のデータ取得が記録されていても、正当な集計業務の可能性があります。利用者、操作、対象、結果を周辺の業務状況と照らし合わせる必要があります。要求が届いたこと、処理が実行されたこと、外部へ情報が渡ったことは別の段階です。

ログ自体を情報漏洩の原因にしない

OWASPは、調査に役立つ操作情報を記録する一方、パスワード、認証トークン、接続文字列などの秘密情報を直接残さない考え方を示しています。入力内容をすべて保存すると、個人情報や秘密情報がログへ複製される場合があります。また、入力に含まれる改行などによって記録の見え方を乱されない処理も必要です。

記録がないことの意味

ログの欠落は、攻撃がなかった証拠とは限りません。設定で記録していない、保存期間が過ぎた、取得が止まった、改ざんされたといった可能性があります。外部保管やアクセス制限は証拠の信頼性を支える仕組みです。調査結果を説明するときは、確認できた操作と、記録不足で判断できない範囲を分けることが重要になります。

OWASP Logging Cheat Sheet

記事更新・資料確認日：2026年9月12日。事例・注意喚起の時点は本文に記載しています。