ログ解析ツール: 主な機能と注目の10選

多くの調査が単純な質問で行き詰まります: ログはどこにあり、それをどうやって取り出せばいいのか？ Windowsでは、イベントログは%SystemRoot%System32winevtLogsにバイナリの.evtxファイルとしてあります。Event Viewerから（ログを右クリックしてから すべてのイベントを名前を付けて保存…）または昇格したプロンプトからwevtutil epl Security C:IRSecurity.evtxでエクスポートします。systemdベースのLinuxでは、ジャーナルは永続ストレージが有効な場合は/var/log/journal/に存在し、揮発性の場合は/run/log/journal/に存在し、journalctl -o jsonはそれを1行につき1つのJSONオブジェクトとして書き出します。従来のテキストsyslogはDebianやUbuntuなら/var/log/auth.log、RHELファミリーのホストでは/var/log/secureに残ります。クラウドおよびSaaSプラットフォームは、コンソールまたはAPIを通じてJSON形式で監査トレイルを公開しています。

ファイルを手に入れることは簡単です。本当の問題は、一台のホストが40万件のイベントを渡してきたとき、時間が限られ、法的に誰が生データを見るかを知りたいときに始まります。AI駆動のログ解析ツールがシンプルな検索コンソールと差別化されるのはここです。中には、SIEMの上に機械学習モデルを適用するものもあります。他には、SOC Primeの LogTotalのように、事前コンパイルされた検出ライブラリに対してすべてのイベントをマッチさせ、攻撃チェーンとして関連付けられた結果を返すものもあります。

このガイドでは、ログ解析ツールが何をするか、インシデント対応中に重要な特徴、2026年に知っておくべき10のツール、WindowsやLinuxのログをエクスポートしてLogTotalで調査するためのステップバイステップのワークフローを紹介します。最後にはトラブルシューティングのステップとよくある質問への回答も紹介します。

無料で始める

ログ解析ツールとは何か？

ログ解析ツールは機械生成の記録を回答に変えます：「誰が行動したか、どの資産に対して、いつ、どこから、どのメカニズムを通じて？」これらは生データを解析し、フィールドを正規化し、検出ロジックを適用し、関連するイベントをリンクすることで、アナリストがインシデントの詳細を行ごとに読む必要なしに再構築できるようにします。

このカテゴリーはSIEMよりも広い定義です。典型的なSOCでは、四種類のツールが役割を分担しています：

• SIEMおよびセキュリティ分析プラットフォーム （Splunk、Microsoft Sentinel、Google SecOps、Elastic）は、データの中心的な取り込み、スケジュールデータおよびストリーミング検出を実行し、トリアージおよびケース管理を処理します。
• セキュリティデータパイプライン （Cribl Stream、Fluent Bit、Vector）は、ストレージ前にイベントをルート、フィルタリング、エンリッチすることで取り込みコストを管理し、ECSやOCSFなどのスキーマを正規化します。
• DFIRユーティリティ （Hayabusa、Chainsaw、EvtxECmd）は、収集されたアーティファクトをオフラインで処理し、通常はEVTXに対して、単一ホストのタイムラインを作成します。
• スナップショットアナライザー 例えばLogTotalなどは、エクスポートされたログセットを取り込み、オンボーディングや統合作業なしでフルな調査を提供します。

ログ解析はログ管理とも異なります。管理は配管：収集、保持、アクセス制御、整合性。解析は解釈です。チームは12ヶ月間の保持でクリーンなパイプラインを実行できますが、何もRC4暗号化タイプ0x17で4769イベントが評価されない限りKerberoasting攻撃を見逃す可能性があります。

では、最高のログ解析ツールを他と区別する要因は何か？3つあります：処理形式の数、適用される更新された検出コンテンツ量、そして分離したヒットを攻撃ナラティブに関連づけるかどうかです。スピードとデータ処理制御は他の要因を決定づけます、特にログがSIEMにオンボードされていないホストから来る場合に。

どの機能が重要で、それが何をもたらすのか？

ベンダーページの機能一覧は大差ありません。インシデント中には、7つの能力が大半の作業を行います。

• ネイティブパーサー。 EVTXはXMLイベントペイロードを持つチャンク化されたバイナリ形式ですので、grepは無力です。ツールはEVTX、JSON/NDJSON、syslog（RFC 3164およびRFC 5424）、およびCEFを変換スクリプトなしに読む必要があります。
• フィールドの正規化。 ソースIPは、ファイアウォール、IdP、またはSysmonイベントID 3から来たかどうかにかかわらず同じフィールドであるべきです。ECSやOCSFのようなスキーマは、ベンダー間で1つの検出を機能させます。
• メンテナンスされた検出コンテンツ。 シグマルール、ベンダー分析、および脅威インテリジェンスとの一致。量も重要ですが、アップデートの頻度も重要です：TTPの出現に数ヶ月遅れるライブラリは、偽の安心を与えます。
• 相関。 原子的ヒットは妥協を証明することはまれです。シーケンスと高次の相関は、4625バースト、4624タイプ10ログオン、および7045サービスインストールを1つのチェーンにリンクしMITRE ATT&CKにマップします。
• 結果までの時間。 インデックスされたバックログに対する15分間のスケジュール検索は監視には問題ありません。エクスポートされたログセットのトリアージには、分単位が予算です。
• データ処理制御。 ログはユーザー名、ホスト名、ベアラートークン、およびセッションクッキーを含みます。アップロード前のキー付き仮名化は、相関を維持し、DPOを保持します。
• エクスポートおよびAPIアクセス。 調査結果はケース管理、チケット発行、および報告のためにJSONまたはCSVとしてツールから出るべきです。

直接の利益。スコーピングの高速化は、封じ込めまでの時間を短縮します。相関された発見は、アナリストが読むアラートキューを削減します。イベントレベルの証拠は、PCI DSS v4.0要件10の下での監査ログレビューのような規制報告をサポートします。実際のテレメトリも検出エンジニアリングに供給され、ルールは実際に攻撃者が残すものに対してテストされます。

知っておくべきログ解析ツール10選

単一の製品がすべての段階をカバーするわけではありません。以下のリストには、連続モニタリングのためのプラットフォームと、インシデントの初期時間のために構築されたツールが混在しています。

1. LogTotal（SOC Prime）。 エクスポートされたログセットのための無料のブラウザベースのアナライザーです。ログをローカルでサニタイズし、EVTX、JSON/NDJSON、syslogを自動検出し、約100万の検出ルールと13,000の脅威ラベルに対してイベントをマッチさせ、MITRE ATT&CKにマップされたランキング攻撃チェーンを返します。1分以内で最大170万イベントを処理可能です。
2. Splunk Enterprise Security。 多くの大規模SOCでの参照SIEM。SPLは表現力があり、リスクベースのアラートはノイズを減少させ、アプリエコシステムはほとんどのソースをカバーします。
3. Microsoft Sentinel。 Log Analyticsワークスペース上のクラウドネイティブSIEMで、KQLでクエリを実行します。Entra ID、Microsoft 365、およびDefenderのネイティブコネクタにより、Microsoft中心のエステートでデフォルトとなっています。
4. Google Security Operations。 以前はChronicle。データをUnified Data Model（UDM）に正規化し、YARA-Lで検出し、大きな保持ウィンドウを迅速に検索します。
5. Elastic Security。 Elasticsearch上に構築され、Elastic Common Schemaを使用しています。EQLシーケンスクエリは多段階の動作に適しており、検出ルールはGitHubで公開されています。
6. Sumo Logic。 Cloud SIEMティアを持つSaaSログ解析プラットフォーム。
7. Graylog。 オープンソースおよび商用エディションが利用可能です。GELF入力、処理パイプライン、およびストリームルーティングは、自分自身のスタックを実行したい中規模チームにとって実用的な選択です。
8. Wazuh。 Windows、Linux、macOS用のエージェントを備えたオープンソースのXDRおよびSIEMです。ファイル整合性監視、脆弱性検出、およびコンプライアンスマッピングのためのデコーダーとルールを提供します。
9. Hayabusa。 Yamato SecurityのRustベースのEVTXタイムラインジェネレーターです。オフラインイベントログにSigmaと独自のルールを適用し、単一ホストのトリアージ用にCSVまたはJSONLタイムラインを作成します。
10. チェーンソー。 WithSecureのSigmaと組み込みの検出ロジックを使用したEVTXファイルの高速ハンティング用Rustツールです。高速でスクリプト可能で、相関はアナリストに任されています。

パターンは明確です。データがオンボードされた後、SIEMは優れています。DFIRユーティリティは高速ですが、小さなルールセットを実行し、相関をアナリストに委ねます。LogTotalはそれらの間を埋めます：SIEMに到達しなかったログに適用された完全な検出深度。

LogTotalを使ったログ解析：エクスポートから攻撃チェーンまで

LogTotalは、SOC Primeのインシデントのタイミングログ解析への回答です。2026年8月26日にパブリックプレビューとして開始され、2026年10月15日に一般公開されました。無料で、統合やAPIアクセスは不要です。以下のワークフローは、WindowsまたはLinuxホストを生のログから相関された発見に導くものです。

ステップ1：ログをエクスポートする

Windows（イベントビューアー）。 eventvwr.mscを開き、 Windowsログを展開して右クリック セキュリティし、 すべてのイベントを名前を付けて保存…を選択します。ファイルタイプは.evtxのままにしておきます。Sysmon用には、 Applications and Services Logs > Microsoft > Windows > Sysmon > Operational に移動し、繰り返します。

Windows（コマンドライン）。 昇格したプロンプトから：

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

wevtutil epl “Microsoft-Windows-PowerShell/Operational” C:IRPowerShell.evtx

エクスポートを過去72時間に制限するには、XPathフィルタを追加します：/q:”*[System[TimeCreated[timediff(@SystemTime) <= 259200000]]]”。既存のファイルを上書きするには/ow:trueを追加します。正確なチャンネル名を一覧表示するには、wevtutil elを実行します。

Linux（systemdジャーナル）。 rootまたはsystemd-journalまたはadmグループのメンバーとして実行：

journalctl –since “2026-10-17 00:00” –until “2026-10-20 00:00” -o json > host-journal.json

出力はNDJSONで、1行ごとに1エントリです。テキストsyslogを持つホストの場合は、/var/log/auth.log（Debian、Ubuntu）または/var/log/secure（RHEL、Rocky、Alma）をコピーします。

ステップ2：サニタイズ

開く logtotal.com し、ファイルを読み込みます。サニタイズはアップロード前にブラウザ内で実行されます。オープンソースのサニタイザーが、安定したHMACトークン（<USER:…>または<IP:…>など）で秘密、IPアドレス、ホスト名、ユーザー名、その他の識別子を置き換えます。3つのホストにわたって同じユーザーが赤化後も1つのエンティティとして残ります。プレビューを確認し、ケースファイル用にサニタイズ済みのコピーをダウンロードし、キーを保管します。

エアギャップまたは厳しく管理された環境用には、同じライブラリをローカルで実行します（Node.js 20以降）：

npx logtotal-sanitize ./auth.log -o ./auth.sanitized.log –report ./report.json –print-key

npx logtotal-sanitize ./secure.log -o ./secure.sanitized.log –key “$KEY”

キーを再利用することでトークンはファイル間で一貫性を保ちます。

ステップ3：解析し、結果を読む

サニタイズ済みスナップショットを確認後、LogTotalは使い捨てで不変のインスタンスでそれを実行し、その後削除されます。何も保存されず、データはトレーニングに使用されません。結果はATT&CK技法にマップされたランキング攻撃チェーンとして返され、基礎となるイベントが添付されています。フラグはステルステクニックと無害に見える活動のスパイクを強調し、AI支援侵入の典型的なパターンです。内部的にあなたのキーを使用してトークンを実際のIDにマップし戻します。

際立つ点

• 深度： 約100万の検出ルールと13,000の脅威ラベル、Higher Order Sigmaルールおよび能動的AIとの関連付け。
• 速度： 1分以内で最大1.7百万イベント。これは、フロンティアモデルが2026年7月に処理を拒否した17,000イベントのHugging Faceログセットの約100倍です。
• プライバシー： ローカルでのサニタイズ、あなたが保持するキー、保持なし。
• 継続的なカバレッジへの道： 同じエンジンが Prime Hunt でSIEM、EDRおよびデータレイクにまたがり、 Prime Detect ではSIEM前のデータストリームで動作します。

トラブルシューティング