「専門家でも1週間」の監査対応を、AIと1時間で終わらせた話
きっかけは1枚の調査票だった
先日、大手製造業のグループ会社から「情報セキュリティ調査票」が届きました。取引を継続するにあたって、委託先である弊社のセキュリティ体制を確認したいという内容です。
ウイルス対策、VPN利用状況、EOL端末の排除、アクセス権限管理……項目自体は情報セキュリティに携わる人なら見慣れたものばかりです。ただ、その中の1項目が、思った以上に骨が折れる内容でした。
「サーバーのアクセスログおよびVPNの利用状況などのログを、最低1年間保管していますか」
これです。多くの中小SIerや受託開発会社にとって、このNo.が地味に一番の難関だったりします。
なぜ「ログの1年保管」が難しいのか
理由は単純で、多くの環境ではログの保管期間を意識した設計になっていないからです。
Windowsのセキュリティイベントログは、デフォルトのままだと数日〜数週間で自動的に上書きされて消えていきます。ファイアウォール(今回はFortiGateでした)のログも、本体のディスク容量に依存するため、機種によっては1週間程度しか保持されません。
つまり、「ログを取っていますか」という質問には「はい」と答えられても、「1年間保管していますか」と聞かれると、多くの現場で答えに詰まるはずです。
これを本格的にやろうとすると、以下のような作業が必要になります。
まずActive Directoryのグループポリシーで監査ポリシーを有効化し、どのイベントを記録するか設計する必要があります。次にイベントログの保存容量を拡張し、ローテーション設計を組む必要があります。さらに、それを長期保管するための自動エクスポートの仕組みを作り、古いログを消す保持ポリシーも実装しなければなりません。ファイアウォール側も同様に、Syslogサーバーを別途用意して転送設定を組み、受信側の仕組みを作る必要があります。
一つひとつは難しい作業ではないのですが、「調査して」「試して」「動作確認して」を積み重ねると、慣れたインフラエンジニアでも数日、初めて触る環境であれば1週間以上かかっても不思議ではない類の作業です。実際、セキュリティコンサルタントに外注すればそれなりの見積もりになる領域だと思います。
AIと一緒に、画面を見ながら1時間で終わらせた
今回は生成AI(Claude)とチャット形式でやり取りしながら、実際のサーバー画面をスクリーンショットで共有し、その都度コマンドを教えてもらう、という進め方をしました。
流れはおおよそ以下の通りです。
まず「監査ポリシーを設定したい」と伝えると、グループポリシー管理コンソールでの正確な操作パスを教えてもらえました。自分の画面ではローカルグループポリシーを開いていたのですが、「それはドメイン全体には効きません、ドメインコントローラーのGPOで設定してください」と指摘があり、正しい場所に誘導してもらいました。
次にPowerShellでイベントログの容量拡張とエクスポートスクリプトを作成してもらい、実行してみるとエラーが出ました。存在しないドライブを指定していたのが原因でしたが、エラーメッセージをそのまま貼り付けるだけで、原因と修正版のコードがすぐに返ってきました。
タスクスケジューラへの登録も同様です。GUIでの確認方法、必要な権限設定(最上位の特権で実行する、といった細かい設定)まで具体的に教えてもらい、動作確認まで一気に終わりました。
ファイアウォール側のSyslog転送設定では、コマンドの構文エラーが出た際も、機種のバージョンに応じた代替コマンドをすぐに提案してもらえたので、詰まることなく進められました。受信側のWindowsサーバーでは、UDPで受信してファイルに書き出すだけの簡易的なスクリプトを作ってもらい、これも数分で動作確認まで完了しました。
気づけば、監査ポリシーの設計からログの自動保管・自動削除の仕組みまで、1時間もかからずに完成していました。
AIとの作業で感じた「思わぬ副産物」
作業の途中、導入済みのEDR製品(Acronis)の管理画面を開いたところ、なんと実際にマルウェア検出とログ消去の試みを示すインシデントが記録されていることに気づきました。
これも会話の流れの中で「この画面、何か警告が出ていますね」と指摘してもらったことがきっかけで発覚したものです。もし気づかずに放置していたら、と考えるとぞっとします。結果的に、監査対応のついでに実際のセキュリティインシデントにも対処することになりました。
AIに任せて良かった点、注意が必要だった点
良かった点として、まず調べ物の時間がほぼゼロになったことが挙げられます。「FortiGateのバージョンでどのSyslogコマンドが使えるか」といった、地味に検索しづらい情報もすぐに返ってきました。またエラーが出てもその場で修正案が出るため、試行錯誤のループが非常に短くなりました。さらに、スクリーンショットを見せるだけで現在の状態を正確に把握し、次の一手を提案してくれる点も大きかったです。
一方で注意すべき点もあります。AIが提示するコマンドやパスは、必ず自分の環境で実際に動くか確認する必要があります。今回もコマンドの構文エラーが複数回発生しましたが、それを鵜呑みにせず、エラーメッセージを見て一緒に修正していくという姿勢が重要です。またドメイン環境かスタンドアロン環境か、といった前提条件の伝達漏れがあると、間違った場所に設定してしまうこともありました。最終的な設定内容の妥当性は、自分自身の知識で判断する必要があります。AIはあくまで「優秀な相棒」であり、責任者は自分だという意識は必須です。
まとめ
大手企業との取引においては、情報セキュリティ調査票のような「エビデンスを整備する」作業が避けて通れません。これまでは片手間にできる作業ではなく、専門知識を持つ人材が数日〜1週間かけて対応するようなタスクでした。
しかし生成AIと対話しながら実機を操作するスタイルであれば、インフラ構築の経験が浅いエンジニアでも、正しい手順で、かつ短時間で同様の対応ができる時代になってきていると感じます。
もちろん今回のケースは、私自身にサーバーやネットワークの基礎知識があったからこそスムーズに進んだ側面もあります。ただ、それでも「調べる」「試す」「直す」のサイクルが劇的に短縮されたことは間違いありません。
セキュリティ監査対応に苦手意識を持っているエンジニアの方は、一度AIとの対話形式での作業を試してみることをお勧めします。
