SSOセキュリティインシデント：監査ログで30分以内にタイムラインを作る方法
アカウント侵害や不審なアクセスが疑われる際、IdPの監査ログを基準に事実を整理し、遮断・調査・報告へつなげる実務手順を解説します。
セキュリティインシデントが疑われるとき、最初に必要なのは犯人を推測することではなく、何がいつ起きたかを確認することです。しかし、ログイン履歴がアプリごとに分散し、アカウント変更の承認がチャットにしか残っていなければ、初動の30分を資料集めに費やしてしまいます。IdPの監査ログは、複数の出入口の記録を一つの管理室に集めるように、調査の基準点を作ります。
近年、アイデンティティレジリエンス、継続的なアクセスレビュー、最小権限が重視される理由も同じです。攻撃を完全に防ぐという約束より、異常が起きた際に影響範囲を素早く確認し、アクセスを回収できる運用能力が重要です。
最初に保全する四つの記録
調査を始める前に、疑わしいアカウントを慌てて削除しないでください。次の記録を同じ基準時刻で確保すると、事象の前後関係を説明できます。
• ログイン成功・失敗の時刻と対象アカウント • MFAの登録・変更および認証結果 • グループ・アプリへのアクセス権の付与と回収 • SCIMによるアカウントの作成・更新・無効化
ログをUTCで保存し、担当者の画面で現地時刻へ変換すれば、複数地域の記録を比較しやすくなります。監査準備の基本項目はISMS-Pアカウント管理の監査資料ガイドでも確認できます。
30分でタイムラインを作る手順
0〜10分：アカウントとセッションの範囲を絞る
最初のアラート時刻を基準に、対象ユーザーのログイン失敗・成功、MFA変更、新しい権限付与を確認します。通常と異なる成功記録があれば、関連セッションを終了してアカウントを一時停止します。ただし、元のログはそのまま保全します。SSO障害や管理者のロックアウトに備える手順は緊急用アカウント運用ガイドを参照してください。
10〜20分：アプリと権限の移動経路をつなぐ
OIDC・SAMLアプリへのアクセスとグループ変更を時系列で照合します。SCIMによる無効化が実際に処理されたか、SSO非対応アプリのアカウントが別に残っていないかも確認します。非SSOアプリはSWAによる自動ログイン管理まで調査対象に含め、死角を減らします。
20〜30分：事実と推測を分けて記録する
「アカウントが侵害された」という結論より、「09:12 MFA変更、09:18 管理者グループ追加、09:24 アプリへアクセス」のように確認済みの事実を先に記載します。未確認の原因、現在の遮断状況、追加調査項目を分け、該当ログをCSVやPDFでエクスポートして保全します。この文書が社内報告、顧客への説明、再発防止の共通基準になります。
平時の準備が初動を速くする
四半期ごとにテストアカウントを使い、ログイン失敗、権限変更、SCIM無効化が記録されるか確認しましょう。担当者、エスカレーション経路、ログ保存期間、時刻基準も事前に決めます。監査ログは事故後に作る資料ではなく、日々蓄積する運用資産です。
AxiPassで認証と調査の基準を一元化
AxiPassはSaaS企業向けのマルチテナントIdPとして、OIDC、SAML、SCIM、MFA、SWA、監査ログを統合します。顧客企業ごとにテナントを分離しながら、ログインとアカウント・権限変更を一つの流れで確認し、必要な期間の記録をCSV/PDFでエクスポートできます。