監査対応に伴う操作ログについて

Question

監査対応で操作ログの収集について質問させてください。

CUIの場合、コマンド情報を収集できれば良いと考えております。
・Linuxのviコマンドでファイル編集時の操作（編集内容）はどのように収集すればよいのでしょうか。
・それとも一般的に、監査対応における操作ログはviコマンドを発行したことまでが分かればよく、ファイル編集時の操作（編集内容）までは収集しなくてよいのでしょうか。

Answer 1

全履歴を保持したいならスナップショットでも取っておくしかないかと思います
厳密にチェックするならatimeまで対象になると思います

Answer 2

監査ポリシーは、業種のガイドラインや自社（または業務委託元）のコンプライアンスに準拠することになるので、まずそちらの整理が必要となります。
ポリシーによって、採取すべきログとその仕組を検討して下さい。

実務としては、厳密な監査を必要とする操作を行う端末は固定または踏み台サーバとして準備し、そこに監査用のアプリケーションを仕込むことで実現します。
踏み台での操作を逐一記録していく感じですが、そういったプロダクトは複数あります。要件（ポリシー）によって選んで下さい。ただし、中途半端な仕組みで導入すると、ユーザ操作によって記録を削除/迂回されたり、そもそもユーザを適切に識別できなかったりするので、知見のあるベンダーに相談すると良いです。

踏み台サーバの構築は、金融系のシステムや、アウトソースを請け負う業界では普通のことなので、そういった方面に強いベンダーに相談すると、良い回答が得られると思います。

Answer 3

それとも一般的に、監査対応における操作ログはviコマンドを発行したことまでが分かればよく、ファイル編集時の操作（編集内容）までは収集しなくてよいのでしょうか。

監査記録に何が必要かは監査の内容次第ですので「一般的に」答えることはできません。キー操作レベルの操作ログを要求された事例は経験がありませんが、あっても不思議ではないです。

viの操作は例えばttyrecで画面表示を記録しておくことが考えられますが、記録される内容の過不足は第三者には答えられませんし、信頼性の検証や改ざん対策の検討も必要です。余計なことを記録するとかえってセキュリティリスクになることもあります。

必要な記録が保存されていない場合それ自体が不正を疑われることになりますので、ご自身で対応できないなら上役にエスカレーションするとかセキュリティコンサルタントに相談された方が良いとおもいます。