Oracle Cloud Infrastructure Blog(翻訳)

監査データが欠落している場合… (2026/07/24) https://www.ateam-oracle.com/the-case-of-the-missing-audit-data 投稿者： Vinay Kalra  | Principal Cloud Solution Architect これは実話ですが、犯人を保護するために名前だけは変更されています。 OCI監査ログを（OCIストリーム経由で）セキュリティ情報イベント管理（SIEM）プラットフォームに送信することは、i/qsの一般的なユースケースであり、推奨されています。では、SIEMへの接続が数週間途絶えた場合、どうなるでしょうか？この記事では、その状況、失われた監査データの復旧方法、そして再発防止策について説明します。 犯罪現場 OCI で SIEM ソフトウェアを実行している仮想マシン (VM) が「終了」しました。監査レコードは OCI ストリーム経由で同じ VM に送信されるため、 インスタンスを終了したのが誰なのかはまだわかりません。さらに重要なことに、何週間も管理者に通知されませんでした。監査データを OCI ストリームに送信するには、サービス コネクタをストリーム ターゲットに構成する必要があります。デフォルトでは、ストリームは 24 時間分の履歴データしか保存できませんが、これを 7 日まで構成できます。失われた何週間分のデータを取り戻すにはどうすればよいでしょうか? 修正 OCI は 365 日分の監査ログを保持します。OCI コンソールからログの一部をダウンロードできますが、コンソールでは最大 2 週間分の監査記録しか取得できません。大規模なデータセットの場合、ログを取得する最良の方法は REST/SDK または OCI CLI を使用することです。私は、 設定可能な期間の監査ログを復元するための Python SDK を使用した スクリプトを作成しました。 このスクリプトを実行するには、Python OCI モジュールがローカルコンピュータにインストールされている必要があります。または、OCI CloudShell を 使用することもできます。 このコードが行うこと 前提条件とスクリプトの実行方法の詳細については、README.md ファイルを参照してください。スクリプトが完...