フォローする 企業環境では、毎時間何百万ものイベントが発生します。インシデント発生時、対応者はすべてを必要とするわけではありません。必要なのは、物語を語る数百の情報：4625の失敗が続く4624の成功、winword.exeから生成されたエンコードされたPowerShell、ドメインコントローラーに03:12にインストールされた新しいサービスです。ログ分析は、第一の数字から第二の数字に速やかに到達するための技術です。
その作業は同時に2つの方向で困難になっています。AIツールを使った攻撃者は機械速度で証拠を生成し、実際の行動に無害に見える活動を詰め込んでいます。一方、ログをLLMに押し込む明白な近道は、ガードレール、コンテキストウィンドウの制限、そしてデータ保護の義務に突き当たります。Hugging Faceの対応者は2026年7月にまさにその壁に突き当たり、約17,000のイベントをフロンティアモデルによって拒否され、代わりにローカルモデルで処理する必要がありました。
以下では、ログ分析を端から端までカバーし、次にLogTotalについて、SOC Primeの無料回答としてインシデント時における問題の解決策を紹介します。
ログ分析の基本とは？
すべてのログ分析ワークフローは、SIEM、データレイク、対応者のラップトップどこで実行されていようと、同じ5つの段階に依存しています。1つをスキップすると、通常は後で見逃し検出や誰も説明できない誤検出として現れます。
- 収集。 エージェント、syslogフォワーダー、APIポーラー、クラウドネイティブエクスポーターは、イベントをソースから移動させます。ここでのギャップは静かです：例えば、Sysmonの構成がイベントID 10（プロセスアクセス）をドロップする場合、LSASS経由のクレデンシャルダンピングは下流に現れることはありません。
- 解析と正規化。 生の行がフィールドになります。ファイアウォール、IdP、EDRから来たかにかかわらず、ソースIPは同じフィールドであるべきで、そのためにECSやOCSFのようなスキーマが存在します。
- エンリッチメント。 資産の重要性、ユーザーロール、GeoIP、脅威インテリジェンスによって、IPアドレスをアナリストが行動できる文脈に変えます。
- 相関。 単一のイベントはめったに何かを証明しません。ホスト、ユーザー、プロセスGUID、セッションIDでリンクすることにより、攻撃の物語を生み出します。
- 保存と整合性。 検索用のホットストレージ、フォレンジクス用のコールドストレージ、レコードが後で持ちこたえるための改ざん証拠。
ログ分析とは何か？
ログ分析は、システムで何が起こったかを再構築し、それが重要かどうかを判断し、次にどうすべきかを決定するために機械生成された記録を調べるプロセスです。セキュリティオペレーションでは、疑わしい活動について5つの質問に答えます：誰が行動したか、どの資産で、いつ、どこから、どのメカニズムで。
ログ管理とは異なります。管理は配管です：取り込み、保存、保持、アクセス制御。分析は解釈です。チームは優れたログパイプラインを持っていても、データに対して正しい質問をしていないため、人間も機械も侵入を見逃す可能性があります。
実際のところ、ログ分析は3つのモードで動作します：
- 検出。 ルールとモデルはイベントを継続的に評価し、既知の悪意のある行動が現れたときにアラートを発します。
- 調査。 アラートや通報の後、アナリストは関連するイベントをピボットして、インシデントの範囲を特定し、根本原因を探します。
- 脅威ハンティング。 アナリストは、特定のLOLBinの悪用のような仮説から出発し、検出レイヤーが見逃した証拠を積極的に検索します。
ログを使用するすべてのチームの中で、セキュリティはギャップの余地が最も少ないです。
ログ分析が非常に重要な理由は？
なぜなら、時間が侵害コストを決定するからです。そしてログは時間が勝ち取られるか失われるかの場所です。IBMの2026年データ侵害コストレポートでは、侵害を特定および封じ込める平均時間が247日とされ、5年ぶりに増加しました。ライフサイクルが200日を超える侵害は平均で5.65百万ドル、速く抑制された場合は4.32百万ドルとされています。
コストを超えて、ログ分析はすべてのセキュリティプログラムが担う4つの義務を支えます：
- 検出。 EDRとNDRは活動の一部を見ます。識別プロバイダー、SaaS監査トレイル、クラウド制御プレーンからのログがそれらの間のギャップを埋めます。
- スコープと根本原因の特定。 イベントレベルの証拠なしでは、対応者はどのアカウントが触れられたのか、または攻撃者がどのように侵入したのかを言うことができないため、改善策は推測になります。
- 規制報告。 PCI DSS 4.0の要件10は、監査ログのレビューと12ヶ月の保持を義務付けています。SECのフォーム8-K項目1.05は、有価証券上場企業に物質性の決定後4営業日を与えますが、迅速なスコーピングなしでは不可能です。
- 検出エンジニアリング。 実際のテレメトリーがルールのテストと調整に使用されます。
次の注意点があります。これを可能にする同じログには、ユーザー名、IPアドレス、セッションクッキー、ベアラートークンが含まれています。それらを分析することはますます安全に分析することを意味します。
ログデータのタイプは何ですか？
セキュリティに関連するログは6つのファミリに分類されます。それぞれ異なる質問に答え、1つまたは2つのファミリのみに依存する調査は攻撃者が潜む盲点を持ちます。
| ログファミリ | 典型的なソース | アナリストに何を伝えるか |
| エンドポイントとOS | Windowsセキュリティ (4624, 4688, 7045)、Sysmon、Linux auditd、journald | どのプロセスがどのアカウントの下で、どの親とコマンドラインで実行されたか |
| アイデンティティ | Active Directory (4768, 4769)、Entra IDサインイン、Oktaシステムログ | 誰がどこからどのプロトコルとMFA結果で認証されたか |
| ネットワーク | ファイアウォール、DNS、ウェブプロキシ、Zeek、NetFlow | 誰が誰と通信したか、どれだけのデータが移動したか、どのドメインが解決されたか |
| クラウド制御プレーン | AWS CloudTrail、Azureアクティビティログ、GCP監査ログ、Kubernetes監査 | どのAPIコールがインフラストラクチャ、役割、ポリシーを変更したか |
| アプリケーションとSaaS | ウェブサーバーアクセスログ、Microsoft 365統合監査ログ、Google Workspace | ビジネスアプリケーションとデータストア内でユーザーが何をしたか |
| セキュリティコントロール | EDR、IDS/IPS (Suricata)、WAF、メールゲートウェイ | 他のツールが既にフラグを立てた理由 |
最も価値の高い発見は通常、シームにあります。Kerberoastingアプローチは、RC4暗号化を使用した4769リクエストのクラスターとして、アイデンティティログに表示されます。攻撃者がクラックされたサービスアカウントで何をしたかを証明するには、エンドポイントとクラウドデータが必要です。
一般的なログファイル形式と構造は何ですか？
ログは完全に構造化されたものからフリーテキストに至るまで、解析の負担はそれに応じてスケールします。SOCが日々扱うもののほとんどをカバーする4つの形式があります。
Syslog。 依然としてネットワークデバイスとUnixホストのリンガフランカです。RFC 3164（BSD syslog）は緩く定義されており、タイムスタンプが少ないです。RFC 5424は、バージョンフィールド、ISO 8601タイムスタンプ、MSGID、STRUCTURED-DATAブロックを追加しますが、メッセージ本体自体はしばしばベンダー固有のフリーテキストです。
CEF。 ArcSightの共通イベント形式はパイプ区切りのヘッダーでイベントをラップした後、key=valueの拡張を続けます：
CEF:0|Acme|FW|7.2|4625|ログオン失敗|5|src=10.1.4.22 suser=jdoe dst=10.1.0.5
解析しやすいが浅く、ベンダーがフィールドを一貫性なくマッピングします。LEEFはQRadarで使用され、同じ考えを持っています。
JSONとNDJSON。 クラウドとSaaS監査ログのデフォルトです。1行あたり1オブジェクトのためNDJSONはストリーム可能ですが、深いネストと配列は固定スキーマに平坦化することを難しくします。
Windows EVTX。 XMLイベントデータを保持するチャンク形式のバイナリ形式です。grepできず、専用のパーサーを必要とし、有用なフィールドはEventDataに存在します。
任意の分析ツールを試す実用的なテストは、インシデントの途中で変換スクリプトを書くことなく4つすべてをネイティブで取り込むかどうかです。
リアルタイムログモニタリング
リアルタイムモニタリングは、定期的な検索スケジュールではなく、イベントが到着するときに評価することを意味します。20分のルックバックウィンドウがある15分ごとのスケジュールされたSIEMクエリは、取り込みとインデックスの遅延により、攻撃者の行動と最初のアラートの間に簡単に30分を開ける可能性があります。
ストリーミングアーキテクチャは、そのギャップを埋めるために検出ロジックをアップストリームへ移動させます。イベントはKafkaのようなバスやCribl Streamのようなパイプラインを通過し、状態フルウィンドウでカウントとシーケンスが評価されます。タグ付けされたイベントとアラートだけがSIEMへ進み、取り込みコストも削減されます。
それには3つのエンジニアリングの問題が伴います：
- 遅延や順序の狂ったイベント。 ウィンドウにはウォーターマークや猶予期間が必要で、遅延バッチで分割されたシーケンスは完了しません。
- 状態管理。 10,000ホストを30分ウィンドウで追跡するのは、クエリの問題ではなくメモリの問題です。
- アラートボリューム。 ノイズの多いルールのより迅速な検出は、ノイズを迅速に生むだけです。
リアルタイムパイプラインも設計上の盲点があります。それらが配線されているものしか見ません。孤立したサーバーや、契約者のラップトップ、最近買収された子会社から引き出されたログは、依然として迅速な単独分析を必要とします。
ログの主なパターン認識技術は何ですか？
ログにおけるパターン認識は、単一のイベントから全体の攻撃連鎖まで、層構造的に機能します。
- アトミックマッチング。 1つのイベント、1つの条件：既知の悪意あるハッシュ、ユーザ書き込み可能なパスからのrundll32.exeの読み込み、疑わしいコマンドラインに関するSigmaルール。速くて正確ですが、文脈でのみ悪意あるものには盲目。
- 集約と閾値。 ウィンドウ内でカウントします。1アカウントに対して20回の認証失敗はブルートフォースを示唆し、同じソースから20アカウントそれぞれに1回の失敗はパスワードスプレーを示唆します。同じイベントID、異なるパターン。
- シーケンス相関。 時間ウィンドウ内の順序付きイベント、例えば、10分以内に作成されて使用された新しいローカル管理者アカウントによるRDPログオン。
- ベースライニングと異常検出。 初見の親子プロセスのペア、珍しいユーザーエージェントの文字列、ユーザーの通常の業務時間外のログオン。
- 高次相関。 生のイベントではなく検出結果で動くルールで、MITRE ATT&CK戦術にマッピングされた個々のヒットを一つのインシデントに縫い合わせるものです。これが400のアラートを1つのインシデントに変える層です。
必須のログ解析ツールは何ですか？
単一の製品が全仕事をカバーするわけではありません。成熟したチームは、4つのカテゴリからログ分析ツールを組み合わせます。
| カテゴリ | 例 | 得意なこと |
| SIEM | Splunk、Microsoft Sentinel、Google SecOps、Elastic Security | 集中検出、アラートトリアージ、ケース管理 |
| セキュリティデータパイプライン | Cribl Stream、Vector、Fluent Bit | 保管前のルーティング、フィルタリング、正規化、コスト管理 |
| データレイク | Amazon Security Lake (OCSF)、Snowflake、ClickHouse | 安価な長期保管と大規模ハンティング |
| DFIRユーティリティ | Hayabusa、Chainsaw、EvtxECmd、Velociraptor | 収集されたアーティファクトの迅速なトリアージ、特にEVTX |
ギャップはインシデント対応時に現れます。SIEMはデータが既にオンボードされていることを想定します。DFIRユーティリティは迅速ですが、限られたルールセットを実行し、アナリストに相関を任せます。汎用LLMはコンテキストの限界に突き当たり、セキュリティコンテンツを拒否します。インシデントの最初の1時間のために構築されたツールには、次の特性が必要です：
- EVTX、syslog、CEF、JSONをネイティブに取り込む
- 大規模なメンテナンスされた検出ライブラリ、数百のルールではない
- 攻撃連鎖への相関、ヒットのフラットリストではない
- 一般的なインフラストラクチャで数分以内に結果を得る
- DPOのレビューを通過するプライバシーモデル
LogTotalがそのリストのすべてをチェックし、無料で実行します。SOC Primeは
8月26日、2026年に公開プレビュー として開放し、 10月15日に一般リリースを発表しました 。ワークフローは簡単です：アップロード、サニタイズ、調査を得る。 要件LogTotalがそれを満たす方法
| ネイティブ形式 | EVTX、JSON/NDJSON、syslogを自動検出、変換ステップなし |
| 検出の深さ | 約1,000,000の検出ルールと13,000の脅威ラベルに基づいてイベントを一致させる |
| 相関 | 高次Sigmaルールとagentic AI相関により、MITRE ATT&CKにマッピングされた攻撃連鎖を組み立てる |
| 速度 | 1.7百万のイベントを1分未満で処理、Hugging Faceログセットの約100倍 |
| プライバシー | ブラウザでサニタイズ実行、何も保存されず、顧客データはトレーニングに使用されない |
| スピードはGPUのトリックではありません。それぞれの攻撃がどのように見えるかについての推論は事前に行われており、検出コンテンツにコンパイルされています。エンジンはトークンを生成するのではなく、マッチングと相関を行います。 | プライバシーモデルがLogTotalを法的審査を通過させるものです。オープンソースの@socprime/logtotal-sanitizer（Apache-2.0）は、資格情報、IP、ホスト名、ユーザー名を安定したHMACトークンに置き換え、3ホストにまたがる1つのユーザーが赤字後も1つのエンティティとして残ります。キーはあなたが保持します。それぞれの分析は使い捨てで不変のインスタンス上で実行され、終了後に削除されます。 |
所見はランク付けされた攻撃連鎖として届き、ステルス技術とAI駆動侵害に典型的な無害活動のスパイクにフラグが付けられます。
2026年のログ分析の主なトレンド
5つのシフトが今年のログ分析の方法を変えつつあります。
AI速度の攻撃が「疑わしい」の意味を変えています。
IBMの報告によると、組織の4分の1以上がAI駆動の攻撃に直面し、前年比で56%増加しています。無害なイベントクラスのボリューム異常はそれ自体が検出信号になりつつあります。
- SIEMは分裂しています。 ガートナーの2026年セキュリティオペレーションのハイプサイクルは、統合SOCプラットフォームとセキュリティデータレイク、市場で分裂を示し、AI SOCエージェントが誇張された期待のピークにあります。分析はますますデータが存在する場所で行われることになります。
- 検出がパイプラインに移動します。 インデックス前のストリーム上でルールを実行することにより、検出の平均時間を削減し、取り込みの支出も削減されます。
- OCSFが共有スキーマになります。 正常化されたデータが同じ検出や同じAIエージェントをベンダー間で機能させるものです。
- プライバシー保護分析が標準的なプラクティスになります。 IBMは影のAIが43%のインシデントに関与していると報告しており、20%から増加しています。チャットボットに生のログを貼り付けることは正にそれです。ログが組織を離れる前のキー付き擬似化が良いプラクティスから期待に変わりつつあります。
- 共通の糸は露出なしのスピードです。LogTotalはその問題を解決するために構築され、あなた自身のログに対して無料でテストできます。 IBM counted shadow-AI involvement in 43% of incidents, up from 20%. Pasting raw logs into a chatbot is exactly that. Keyed pseudonymization before logs leave the organization is turning from good practice into an expectation.
The common thread is speed without exposure. That is the problem LogTotal was built to solve, and it costs nothing to test it against your own logs.
