Slackのアクセスログでわかること・わからないこと
Slackのアカウントアクセスログには、ログイン時刻、IPアドレス、デバイスが表示されます。これは所有者がタイムラインを作るための素材であり、侵入検知器を動かしているわけではありません。自分が把握している活動と各項目を照らし合わせる作業です。
Slackのアカウントアクセスログには、ログイン時刻、IPアドレス、デバイスが表示されます。出典
各行は判定ではなく、一つのデータ点として扱ってください。IPアドレスはネットワークの出口を特定するもので、多くの人が同じアドレスを共有できますし、同じ人物が一日のうちに複数のアドレスから現れることもあります。繰り返し現れる項目は、再ログイン、デバイスの再接続、アプリの定期的な活動を反映している場合があります。これらのどれか一つだけでは、誰がキーボードの前にいたかを確定できません。
所有者のイベントタイムラインを作る
- 気になる期間を書き留めます。たとえば、共有PCを使った時間帯とその前後の日です。
- アクセスログを開き、各項目を自分の予定と照合します。その時刻に、そのネットワークから、そのデバイスでログインしたかどうか。
- 説明がつかない項目は「侵入者」ではなく「未説明」と印を付けます。未説明は調査を意味し、他の誰かがそこにいたという意味ではありません。
- 次に何をいつ行ったかを記録します。自分の対応によって生じた後日のログ項目を、新しい活動と取り違えないようにするためです。
所有者はアカウント設定からアクセスログを開き、非公開のコピーをダウンロードできます。
所有者はアカウント設定からアクセスログを開き、非公開のコピーをダウンロードできます。出典
ダウンロードしたコピーは二つの理由で役立ちます。将来のエクスポートと比較できる安定した記録になること、そして共有マシン上でセッションを開いたままにせずオフラインで確認できることです。ログイン時刻、アドレス、デバイスの詳細が含まれるため、非公開の場所に保管してください。
見覚えのあるデバイスと見覚えのないデバイスを比較する
合否の判定ではなく、シンプルな3列のレビューを使ってください。
| 列 | 記入する内容 | 重要な理由 |
|---|---|---|
| 項目 | 記録された時刻、IP、デバイス | 比較を事実に基づいたまま保つ |
| 自分の説明 | 「自宅のノートPC」「共有PC」「不明」 | 既知と未説明を分ける |
| 対応 | 維持、サインアウト、監視 | レビューを判断に変える |
対応列の判断基準：
- 維持 — 項目が見覚えのあるデバイスとネットワークに一致し、時刻も自分の利用に合っている場合。
- サインアウト — セッションの説明がつかない場合、特に共有PCや公共のコンピュータに関連する場合、またはブラウザを閉じたかどうか確信が持てない場合。
- 監視 — 項目はもっともらしいが未確認の場合。たとえば、移動中にモバイルアプリが再接続した場合など。記録しておき、次のレビューで再確認します。
よくある二つの誤読を避けてください。第一に、写真や名前、ハンドルが別の場所で一致したことを、セッションの所有者の確認とみなさないこと。これらのシグナルは手がかりであり、身元の証明ではありません。第二に、見慣れないデバイス名が別の人物を意味すると決めつけないこと。デバイス名は一般的なものや使い回されたものである場合があります。
不要なセッションを終了する
「他のすべてのセッションからサインアウト」はアカウント設定から利用できます。ログ項目はアプリの活動や可用性の変更によっても生成される場合があります。
「他のすべてのセッションからサインアウト」はアカウント設定から利用できます。ログ項目はアプリの活動や可用性の変更によっても生成される場合があります。出典
この最後の点は検証にとって重要です。他のセッションをサインアウトした後も、自分のアプリの再接続や可用性の変更によって新しいログ項目が現れることがあります。結果は、ログが完全に静かになったかどうかではなく、終了しようとしたセッションが消えたかどうかで判断してください。
実践的な作業順序：
- まずアクセスログをダウンロードし、何かを変更する前に見た内容の記録を残します。
- アカウント設定から他のセッションをサインアウトします。
- 自分が管理するデバイスから引き続きサインインできることを確認します。
- 妥当な間隔を置いてログを再確認し、新しい項目を構築したタイムラインと比較します。
共有PC自体でまだサインインしている場合は、そこでもサインアウトしてください。他のセッションを終了しても、目の前のブラウザが必ず閉じるわけではありません。
セッション終了でできないこと
セッションの終了は、ワークスペースやアカウントの無効化とは異なります。サインアウトはログインを削除するだけで、アカウントを削除したり、所有権を変更したり、保存データを削除したりはしません。アカウント自体が侵害された、あるいはもう存在すべきでないという懸念がある場合は、異なる結果を伴う別の判断であり、ログの一行に対する慌てた対応ではなく、意図的に行うべきものです。
同様に、プロフィールの編集やログイン接続の削除は、保存データが削除された証拠ではありません。決めたアカウント変更を終えるまで、自分のリカバリ経路はそのまま保ってください。
使えるチェックリスト
- 変更する前にアクセスログをダウンロードした。
- 各項目を時刻、IP、デバイスとともに列挙した。
- 項目を説明済み、未説明、監視のいずれかに分類した。
- アカウント設定から他のセッションをサインアウトした。
- 共有PCのブラウザでもサインアウトした。
- 自分が管理するデバイスから引き続きサインインできることを確認した。
- ログを再確認し、新しい項目をタイムラインと比較した。
- ダウンロードしたコピーを非公開の場所に保管した。
問いがセッションではなく人物についてのとき
セッションのレビューが答えるのは「このアカウントは使われたか、どこからか」です。「この人物は誰か」には答えません。次のステップが、メールアドレスやハンドルに関連する公開アカウントを把握することなら、それは独自の限界を持つ別のタスクです。公開された一致は手がかりであり、所有の証明ではありません。そのワークフローについてはメールアドレスからアカウントを見つけるを参照してください。