LogTotalを活用したログ分析

ログ解析とは何か？

ログ解析とは、収集、解析、正規化、そして機械生成イベントレコードのクエリを行い、運用またはセキュリティ上の疑問に対する答えを得る実践です。SOCにおいて、その疑問は通常狭いものです。例えば、このアカウントが予期しないソースから認証されたか、このホストが異常な子プロセスを生成したか、データ転送に先立ってどのAPI呼び出しが行われたかといったものです。

原材料は多様です: .evtxファイル中のWindowsセキュリティおよびSysmonチャネル、Linuxのauth.logおよびjournald出力、CEF形式のファイアウォールおよびプロキシイベント、AWS CloudTrailやMicrosoft Entra IDサインインログのようにJSONでエクスポートされたクラウド監査記録。

作業を行うログ解析パイプラインは四つの段階から構成されます:

1. 収集。 フィールドやタイムスタンプを失わずにソースからイベントをエクスポートします。
2. 正規化。 src_ip、IpAddress、およびsourceIPAddressを共通スキーマにマッピングします。
3. 検出。 Sigmaまたはベンダールールを実行し、すべてのヒットにMITRE ATT&CK技術をタグ付けします。
4. 相関。 関連するヒットをタイムラインまたは分析可能な攻撃チェーンにグループ化します。

検出および対策でログ解析が重要な理由

ログは侵入後に唯一残る記録であることが多いです。EDRのテレメトリは上書きされ、メモリは再起動時に失われ、パケットキャプチャは必要なときには稼働していません。WindowsイベントIDの4624、4672、4688や、ConsoleLoginやCreateAccessKeyといったCloudTrail呼び出しは通常、インシデントの範囲を決定するための主要な証拠です。

三つの圧力により、ログ解析はSOCの基本的なスキルとなり、SIEMの機能に留まらなくなりました:

• ボリューム。 単一のインシデントで数百万のイベントが生成され、grepは既に探すべきものがわかっているものしか見つけません。
• カバレッジのギャップ。 請負業者のラップトップ、OTセグメント、誰も接続していないSaaSテナントはSIEMに含まれていませんが、これらのログは分析が必要です。
• データ処理。 ログはユーザー名、ホスト名、IP、セッションCookie、ベアラートークンを持ちます。GDPRの下ではそれらの多くは個人データであり、漏洩したトークンは生きたアクセス経路になります。

ベンダーチケットに添付されたりAIチャットに貼り付けられたすべてのログは、元の値を読める人々と法管轄の輪を広げます。良質なログ分析は、問題に素早く答えると同時に、二次的なインシデントを防ぎます。

ログ解析の短い歴史

Syslogは1980年代初頭にEric AllmanがSendmail用に書いたもので、その後RFC 3164 (2001) とRFC 5424 (2009) で標準化されました。二つの過去、ログ分析は中央のsyslogサーバー上でのgrepとawkを意味しました。

Windowsは構造化されました。Windows Vistaは従来の.evt形式をXMLベースの.evtx形式と、今日でも使われているチャネルモデルで置き換え、Sysmon (2014) は高精度のプロセスおよびネットワークテレメトリを追加しました。

2000年代中頃、SIEMが登場しました。ArcSight、QRadar、そして後のSplunkは、中央集約の検索と相関を製品カテゴリとし、ArcSightのCEFは現在でも多くのネットワーク機器から発信されています。2010年代にはELKのようなオープンスタックや、CloudTrail (2013) のようなクラウド監査ログが加わりました。

2017年には、Sigmaが防御者にベンダー中立なルール形式を提供しました。同年、SOC PrimeはSigmaルールにMITRE ATT&CK技術でタグ付けを始め、このアプローチをNotPetyaの公開調査に適用しました。ATT&CKマッピングは以来、検出コンテンツのデフォルト期待値となりました。

ログ解析の未来の方向性

検出は上流に移動します。 チームは、データがSIEMに到達する前にパイプライン上のストリーミングイベントにSigmaルールを実行し、ストレージコストを削減し、平均検出時間を時間から数分に短縮します。

相関は単一のアラートを上回ります。 孤立した低精度のマッチはノイズです。テクニックをホストと時間の窓を越えてリンクする高次のロジックは、アナリストに確認またはクローズする材料を提供します。

AIトリアージがデータ処理の限界に到達します。 LLMsはプロセスツリーを説明し、タイムラインをよく要約しますが、生のテレメトリをモデル提供者に送信すると、プライバシーや契約に関する問題が生じ、最前線のモデルはセキュリティコンテンツを完全に拒否する可能性があります。2026年7月のHuggingFaceインシデント対応中、約17,000のイベントをフロンティアモデルに送信しようとしましたが、ガードレールによりブロックされました。

仮名化がパイプラインの段階となります。 静的マスキングは相関を破壊し、単純なハッシュは辞書推測で逆変換され得ます。キー付きHMACトークンは値を取り除きながら関係性を保ちます。このステップはAIサービス、ベンダーサポート、MSSP、および共有データレイクといったすべての外部目的地の前に期待されます。

ログ解析のメリット

• インシデントレスポンダーのための迅速な範囲設定。 相関されたタイムラインは「どのホスト、どのアカウント、いつからか」に数分で答えを出し、封じ込めを促進し、滞留時間を短縮します。
• エンジニアのための検証済み検出。 ルールロジックに対してログを再生することで、どのSigmaルールが発火し、どれがノイズであり、どのATT&CK技術がカバレッジされていないかがわかります。
• 適合性の証拠。 PCI DSS要件10、ISO/IEC 27001制御A.8.15、NIS2はすべてセキュリティイベントがログに記録されレビューされることを期待しています。
• 管理者のための根本原因。 サービスの失敗を説明するjournalctlの出力はしばしば攻撃者に悪用され得る設定ミスを示しています。
• SIEMコストの削減。 一度分析するとオンボーディングなしで短命のソースを解析することができます。
• より安全なコラボレーション。 仮名化されたログにより、保持者、MSSP、またはベンダーTACがホストとユーザーを実際のアイデンティティを見ずにクラスタリングできます。

ログ解析のユースケース

管理されていないホストのトリアージ。 EDRを持たない請負業者のラップトップが妥協の疑いがあります。Security、Sysmon、およびPowerShellのログをエクスポートし、LogTotalの結果を確認してから再イメージングを行います。

クラウドアカウント乗っ取り。 見知らぬConsoleLoginの後、CloudTrailとEntra IDサインインの72時間分を引き抜き、新しいアクセスキー、MFAの変更、およびIAMポリシーの編集を探してください。

外部のIRリテイナーとベンダーのTAC。 あなたが保持するキーで証拠をサニタイズします。第三者はトークンでホストとユーザーをクラスタリングし、トークンを内部的にマッピングします。

検出エンジニアリング。 Atomic Red TeamまたはCalderaのログを再生し、どのルールが発火するかを確認し、それからGitまたはCIアーティファクトに到達する前にフィクスチャをサニタイズします。

プライバシーレビュー。 キー付きの仮名化は、GDPR第32条の下で文書化可能な技術的対策です: 置き換えられた内容、トークンの生成方法、そしてキーを保持する人物。

ログ分析を行う方法: プラットフォーム別にログを見つけてエクスポートする

以下のすべての手順は、LogTotalがネイティブに読み込む形式で終わります: EVTX、CEF、JSON/NDJSON、またはsyslog。まずUTCの時間枠を修正し、範囲を限定し、エクスポートをハッシュ化します（Get-FileHashまたはsha256sum）で証拠管理のために。

Windows (EVTX)。 ローカル管理者としての高権限シェルが必要です。%SystemRoot%System32winevtLogs以下のライブ.evtファイルはイベントログサービスによってロックされているため、wevtutilでエクスポートします:

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

“*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]” を追加してエクスポートを24時間に制限します。GUIパス: eventvwr.msc → Windows Logs → Security → すべてのイベントを保存

Linux (syslogまたはNDJSON)。 adm / systemd-journal内のルートまたはメンバーシップが必要です。/var/log/auth.log (Debian/Ubuntu) または/var/log/secure (RHEL) をコピーします。journalctlの場合:

sudo journalctl –since “2026-10-20” –until “2026-10-21” –utc -o json > host01.ndjson

AWS CloudTrail (JSON)。 cloudtrail:LookupEventsが必要です。CloudTrail → Event history → イベントをダウンロード → JSONをダウンロード 90日以内の管理イベントをカバーします。トレイルバケットから（s3:GetObject、kms:Decrypt）、記録をフラット化してNDJSONに変換します:

zcat ./ct/*.json.gz | jq -c ‘.Records[]’ > cloudtrail.ndjson

Microsoft Entra IDおよびMicrosoft 365 (JSON)。 Entra管理センター → Identity → Monitoring & health → Sign-in logs → ダウンロード → JSON (Reports Reader role)。Purview監査データの場合、CSVエクスポートをスキップし、直接JSONを取得します（Audit Logs role）:

Search-UnifiedAuditLog -StartDate 2026-10-20 -EndDate 2026-10-21 -ResultSize 5000 |

  Select-Object -ExpandProperty AuditData | Out-File .m365.ndjson -Encoding utf8

ネットワークデバイス (CEF)。 CEFにデバイスを切り替え（FortiGateでは: config log syslogd setting → set format cef）、syslogコレクターからCEF:0|を含む行をエクスポートします。

SOC Primeによるログ解析の提供

• Threat Detection Marketplace: 1,000,000以上のSigmaネイティブ検出ルールがSIEM、EDR、データレイクの言語に翻訳され、ATT&CKでタグ付けされています。
• Prime Hunt: 関連するルールで歴史的なSIEM、EDR、およびデータレイクデータをスキャンし、結果からアタックチェーンを推測します。
• Prime Detect: SigmaルールをSIEMの前でストリーミングイベントに実行し、リアルタイムでアタックチェーンに相関します。
• Uncoder.IO: SigmaおよびRootaルールをネイティブクエリに翻訳します。
• LogTotal: エクスポートされたログファイルをブラウザーでサニタイズして無料、サインアップ不要で分析します。
• logtotal-sanitizer: LogTotalの背後にあるApache 2.0エンジンであり、Node.jsライブラリとしてオンプレまたはエアギャップで使用するためのCLIです。

LogTotalはこのガイドが対象としているケースをカバーしています: SIEMの外部ソースからのファイル、または生のまま共有できないファイル。各分析はSOC PrimeのDetectFlowエンジンの使い捨ての専用インスタンス上で実行され、その後削除されます。

LogTotalを使用したログ解析の仕組み

LogTotalは無料で、アカウントを必要とせず、何かをアップロードする前にブラウザーでファイルをサニタイズします。SOC Primeは分析の後にログを保持しないか、ログをトレーニングに使用しません。

1. 開く logtotal.com 最新のChromium、Firefox、Safariビルドで。
2. エクスポートをロードします。 .evtx、.log、.json、または.ndjsonファイルをドロップします。形式は自動的に検出されます。
3. サニタイズを確認します。 シークレット、クッキー、支払いID、IP、ホスト名、ユーザー名、およびホームディレクトリのパスは、<USER:…>または<IP:…>などのキー付きHMAC-SHA-256トークンになります。同一の値は同一のトークンを得るため、10個のスプレーアカウントは10人のユーザーとして表示されます。
4. サニタイズされたコピーをダウンロードします あなたのケースファイルのために。それは分析されたまさにそのものです。
5. 分析を実行します。 イベントはおよそ1,000,000の検出ルールと13,000のラベルに対してチェックされ、その後高次SigmaルールとエージェンティックAIと相関されます。SOC Primeは1分以内に最大1.7百万イベントを提示していると述べています。
6. 結果を読む。 検出はATT&CKにマップされ、攻撃チェーンにグループ化され、AIによって説明されます。資格情報アクセスおよびラテラルムーブメントの発見の両方に現れるトークンが再設定すべきアカウントです。

複数のホストに対して、またはブラウザーアップロードが禁止されている場合、オープンソースCLI（Node.js 20以上）を使用してローカルでサニタイズし、トークンがファイル間で一致するように1つのキーを再利用します:

npm install -g @socprime/logtotal-sanitizer

logtotal-sanitize ./dc01.log -o ./dc01.sanitized.log –print-key

logtotal-sanitize ./ws17.log -o ./ws17.sanitized.log –key “$KEY”