ログ解析ツール: 主な機能と注目の10選

ほとんどの調査は単純な疑問で行き詰まります：ログはどこにあり、それをどうやって取り出しますか？ Windowsでは、イベントログは %SystemRoot%System32winevtLogs のバイナリ.evtファイルとして置かれています。イベントビューアからエクスポートする（ログを右クリックして、 すべてのイベントを別名で保存…）か、昇格したプロンプトから wevtutil epl Security C:IRSecurity.evtx を使います。systemdベースのLinuxでは、ジャーナルは持続ストレージが有効な場合は /var/log/journal/ に、一時的な場合は /run/log/journal/ にあり、journalctl -o json は1行に1つのJSONオブジェクトとして書き出します。古典的なテキストsyslogはDebianとUbuntuでは /var/log/auth.log、RHEL系列ホストでは /var/log/secure に残っています。クラウドやSaaSプラットフォームは、JSONとして監査の記録をコンソールまたはAPIから提供します。

ファイルを取得するのは簡単です。困難は、単一のホストが40万件のイベントを渡してきて、時間が刻々と過ぎ、法律が生データを誰が見るかを知りたがっているときに始まります。ここでトップAI駆動のログ分析ツールが単なる検索コンソールから分かれます。一部はSIEMの上に機械学習モデルを適用します。他には、SOC Primeの LogTotalのように、各イベントを事前コンパイルされた検出ライブラリと照合し、ヒットリストではなく相関攻撃チェーンを返します。

このガイドは、ログ分析ツールが何をするのか、インシデント対応時に重要な機能は何か、2026年に知っておくべき10のツール、およびWindowsやLinuxのログをエクスポートしてLogTotalで分析するためのステップバイステップワークフローをカバーしています。問題解決の手順と一般的な質問への回答で締めくくります。

LogTotalを試す、無料

ログ分析ツールとは何か？

ログ分析ツールは、機械生成の記録を「誰が」「どの資産で」「いつ」「どこから」「どのメカニズムを使ったか」という回答に変換します。生データ形式を解析し、フィールドを正規化し、検出ロジックを適用し、関連イベントを結びつけることで、分析者が行を一つ一つ読む代わりに侵入を再現できるようにします。

このカテゴリはSIEMよりも広範です。典型的なSOCでは、4種類のツールが作業を共有します：

• SIEMとセキュリティ分析プラットフォーム （Splunk、Microsoft Sentinel、Google SecOps、Elastic）は、インジェストを集中化し、スケジュールされた検出とストリーミング検出を実行し、トリアージとケース管理を行います。
• セキュリティデータパイプライン （Cribl Stream、Fluent Bit、Vector）は、保管前にイベントをルートし、フィルタし、エンリッチし、インジェストコストを制御しECSやOCSFのようなスキーマを正規化します。
• DFIRユーティリティ （Hayabusa、Chainsaw、EvtxECmd）は、通常はEVTXをオフラインで処理し、単一ホストのタイムラインを生成します。
• スナップショットアナライザ LogTotalのようにエクスポートされたログセットを取り込み、オンボーディングまたは統合作業なしで全体的な調査を返します。

ログ分析はログ管理とは異なります。管理は配管：収集、保持、アクセス制御、整合性。分析は解釈です。12ヶ月の保持を持つパイプラインをクリーンに運営しても、4769イベントをRC4暗号タイプ0x17で分析しなければKerberoastingキャンペーンを見落とすことがあります。

では、最高のログ分析ツールを他と分けるのは何か？三つの要素があります：変換なしでどれだけ多くのフォーマットを読み取れるか、どれだけのメンテナンスされた検出コンテンツを適用するか、孤立したヒットを攻撃の物語に関連付けるかどうかです。スピードとデータ処理コントロールが他の部分を決定します、特にログがSIEMに一度もオンボードされなかったホストから来た時です。

どの機能が重要で、それによって何が得られるのか？

ベンダーページの機能リストは似ています。インシデントの際、7つの機能が主な作業を担います。

• ネイティブパーサ。 EVTXはXMLイベントペイロードを持つチャンク化されたバイナリ形式で、grepは無効です。ツールはEVTX、JSON/NDJSON、syslog（RFC 3164およびRFC 5424）、CEFを変換スクリプトなしで読むべきです。
• フィールドの正規化。 ソースIPはファイアウォール、IdP、またはSysmonイベントID 3から来たものであっても同じフィールドであるべきです。ECSやOCSFのようなスキーマは、ベンダー間で一つの検出を働かせます。
• メンテナンスされた検出コンテンツ。 Sigmaルール、ベンダー分析、および脅威インテリジェンスのマッチング。量が重要ですが、更新頻度もそうです：ライブラリが新しいTTPに数ヶ月遅れていると、誤った安心感を与えます。
• 相関。 アトミックヒットでは妥協を証明することはまれです。シーケンスおよび高次相関は、4625バースト、4624タイプ10ログオン、および7045サービスインストールをMITRE ATT&CKにマップされたひとつのチェーンにリンクします。
• 結果までの時間。 インデックスされたバックログの15分スケジュール検索はモニタリングには良いです。エクスポートされたログセットのトリアージには、分が予算です。
• データ処理コントロール。 ログはユーザー名、ホスト名、ベアラートークン、セッションクッキーを運びます。アップロード前の鍵付き偽名化は相関を保ち、DPOの支持も得られます。
• エクスポートおよびAPIアクセス。 所見はJSONまたはCSVとしてツールを離れるべきです、ケース管理、チケッティング、および報告のために。

利点は直接的です。迅速なスコーピングは封じ込めまでの時間を短縮します。相関された所見はアナリストが読むアラートキューを削減します。イベントレベルの証拠は、PCI DSS v4.0 要件10の下での監査ログレビューなどの規制報告を支援します。実際のテレメトリは、攻撃者が実際に残したルールに対してテストされるため、検出エンジニアリングも支援します。

知っておくべき10のログ分析ツール

単一の製品がすべてのステージを網羅しているわけではありません。以下のリストは、継続的なモニタリングのためのプラットフォームと、インシデントの最初の数時間に設計されたツールを混在させています。

1. LogTotal（SOC Prime）。 エクスポートされたログセットのための無料のブラウザベースのアナライザです。ログをローカルでサニタイズし、EVTX、JSON/NDJSON、およびsyslogを自動検出し、ほぼ1,000,000の検出ルールと13,000の脅威ラベルに対してイベントを照合し、MITRE ATT&CKにマッピングされたランク付けされた攻撃チェーンを返します。1分未満で最大1.7百万のイベントを処理します。
2. Splunk Enterprise Security。 多くの大規模SOCのためのリファレンスSIEMです。SPLは表現力があり、リスクに基づくアラートはノイズを減少させ、アプリのエコシステムはほとんどのソースをカバーします。
3. Microsoft Sentinel。 Log Analyticsワークスペース上で稼働するクラウドネイティブSIEMで、KQLを使用してクエリします。Entra ID、Microsoft 365、およびDefender用のネイティブコネクターはMicrosoft依存の環境でデフォルトです。
4. Google Security Operations。 以前のChronicle。データを統一データモデル（UDM）に正規化し、YARA-Lで検出し、大きな保存ウィンドウを迅速に検索します。
5. Elastic Security。 ElasticsearchとElastic Common Schemaの上に構築されています。EQLシーケンスクエリはマルチステップの動作に適しており、検出ルールはGitHubで公開されています。
6. Sumo Logic。 Cloud SIEMティアを持つSaaSログ分析プラットフォームです。
7. Graylog。 オープンソース版と商用版があります。GELF入力、処理パイプライン、ストリームルーティングは、自分のスタックを運営したい中規模チームにとって実用的な選択です。
8. Wazuh。 Windows、Linux、macOS用のエージェントを持つオープンソースXDRおよびSIEMです。ファイル整合性管理、脆弱性検出、コンプライアンスマッピング用のデコーダーとルールが出荷されます。
9. Hayabusa。 Yamato SecurityのRust製EVTXタイムラインジェネレーターです。Sigmaおよび独自のルールをオフラインイベントログに適用し、単一ホストのトリアージ用のCSVまたはJSONLタイムラインを書き出します。
10. Chainsaw。 WithSecureのSigmaと組み込みの検出ロジックを使用してEVTXファイルを迅速に検索するためのRustツールです。高速、スクリプト可能で、相関はアナリストが行います。

パターンは明確です。データがオンボードされた後はSIEMが優れています。DFIRユーティリティは高速ですが、小さいルールセットを実行し、相関はアナリストに任されています。LogTotalはそれらの間のギャップを埋めます：SIEMに到達しなかったログに対してフル検出深度を適用します。

LogTotalによるログ分析：エクスポートから攻撃チェーンへ

LogTotalはインシデント時のログ分析に対するSOC Primeの答えです。それは2026年8月26日のパブリックプレビューで開始され、2026年10月15日に一般リリースされました。それは無料で、統合やAPIアクセスは必要ありません。以下のワークフローは、WindowsまたはLinuxホストを生ログから相関された所見へと変えます。

ステップ1：ログをエクスポート

Windows（イベントビューア）。 eventvwr.mscを開き、展開します Windowsログ、右クリックして セキュリティを選択します。 すべてのイベントを別名で保存…。ファイルタイプを.evtxのままにします。Sysmonの場合は、 アプリケーションとサービスログ > Microsoft > Windows > Sysmon > 操作 を参照して、繰り返します。

Windows（コマンドライン）。 昇格したプロンプトから：

wevtutil epl Security C:IRSecurity.evtx

wevtutil epl “Microsoft-Windows-Sysmon/Operational” C:IRSysmon.evtx

wevtutil epl “Microsoft-Windows-PowerShell/Operational” C:IRPowerShell.evtx

エクスポートを過去72時間に限定するには、XPathフィルターを追加：/q:”*[System[TimeCreated[timediff(@SystemTime) <= 259200000]]]”。既存のファイルを上書きするには/ow:trueを追加。正確なチャンネル名の一覧を表示するにはwevtutil elを実行。

Linux（systemdジャーナル）。 rootとして、またはsystemd-journalまたはadmグループのメンバーとして実行：

journalctl –since “2026-10-17 00:00” –until “2026-10-20 00:00” -o json > host-journal.json

出力はNDJSONで、1行につき1エントリです。テキストsyslogを持つホストの場合は、/var/log/auth.log（Debian、Ubuntu）または/var/log/secure（RHEL、Rocky、Alma）をコピーします。

ステップ2：サニタイズ

開く logtotal.com そしてファイルをロードします。サニタイズはアップロード前にブラウザで実行されます。オープンソースのサニタイザーは、秘密、IPアドレス、ホスト名、ユーザー名などの識別子を<USER:…>や<IP:…>のような安定したHMACトークンで置き換えます。リダクション後も、同じユーザーが3つのホスト上で一つのエンティティとして保存されます。プレビューを確認し、ケースファイル用にサニタイズされたコピーをダウンロードし、キーを保存します。

エアギャップまたは厳格に管理された環境の場合、同じライブラリをローカルで実行します（Node.js 20以上）：

npx logtotal-sanitize ./auth.log -o ./auth.sanitized.log –report ./report.json –print-key

npx logtotal-sanitize ./secure.log -o ./secure.sanitized.log –key “$KEY”

キーを再利用すると、ファイル間でトークンが一貫します。

ステップ3：分析し、所見を読む

サニタイズされたスナップショットを確認した後、LogTotalはそれを使い捨てで不変のインスタンスで実行し、その後削除されます。何も保存されず、データはトレーニングに使用されません。結果は、ATT&CK技術にマッピングされたランク付けされた攻撃チェーンとして戻り、基礎となるイベントが添付されます。フラグはステルス技術と、AI支援の侵入で典型的な良性の外観活動のスパイクを強調します。あなたのキーを使用して内部的にトークンを実際のIDにマッピングします。

特徴的な理由

• 深度： 約1,000,000の検出ルールと13,000の脅威ラベル、高次Sigmaルールと対話型AIで相関されています。
• 速度： 1分未満で最大1.7百万イベント。これは2026年7月にフロンティアモデルが処理することを拒否した17,000イベントのHugging Faceログセットの約100倍です。
• プライバシー： ローカルサニタイズ、持っているキー、保存なし。
• 継続的カバレッジへの道： 同じエンジンが Prime Hunt SIEM、EDR、データ湖を横断し、 Prime Detect でSIEMの前にデータストリームで動作します。

トラブルシューティング