第7章ログと検知エンジニアリング — SIEMとMITRE ATT&CK

🎯 この章で学ぶこと

なぜ検知が必要か — 滞留時間(dwell time)を縮める価値
ログを「集めて・守って・正規化して」相関できる状態にする方法
SIEM・SOC・EDR・XDRの役割分担とMITRE ATT&CKの使い方
検知ルールの設計と、誤検知・アラート疲れとの戦い方

7.1 なぜ検知が必要か

多層防御をどれだけ積んでも、ゼロデイ脆弱性、巧妙なフィッシング、内部不正などによって、いつか防御線は突破されます。ここで問われるのが「侵入されてから、それに気づくまでの時間」です。これを滞留時間(dwell time)と呼びます。

攻撃は瞬時に完了するわけではありません。侵入 → 探索 → 権限昇格 → 横展開 → 目的達成(情報窃取・暗号化)というように、時間をかけて進みます。滞留時間が短ければ、攻撃者が目的を達成する前に対応を始められます。逆に数か月気づかなければ、その間に被害は拡大し尽くします。検知エンジニアリングの目的は、この滞留時間を可能な限り縮めることです。

💡 「防御」と「検知」は別の投資である

ファイアウォールやWAF(第6章)は「入れない」ための投資です。しかし「入られたら気づく」ための投資は別に必要です。両者を混同し、防御だけに予算を割いて検知が手薄なままだと、侵入されたことに何か月も気づけません。防御・検知・対応(第8章)は、それぞれ独立した柱として設計します。

7.2 ログを集める

検知の材料はログです。しかし「なんとなく全部集める」では役に立ちません。何を・どこで取り、どう守り、どう揃えるかを設計します。

何を・どこで取るか

認証(成功・失敗)、権限の変更、プロセス起動、ネットワーク接続、ファイルアクセス、管理操作など、攻撃者の行動が現れる箇所を優先します。取得点はOS(監査ログ)、アプリ、プロキシ、ファイアウォール、クラウドの監査ログ(第9章)など多岐にわたります。

保全と改ざん防止

ログは攻撃者が真っ先に消したい証拠です。侵害された端末のローカルにしかログがなければ、消されて終わりです。ログは速やかに集約サーバーへ転送し、書き換え・削除しにくい形(追記専用、アクセス制限、改ざん検知)で保管します。ログの完全性はインシデント対応(第8章)の生命線です。

時刻同期(NTP)

複数のログを突き合わせて攻撃の流れを再構築するには、各機器の時計が合っていなければなりません。1台だけ時刻が5分ずれていると、相関が崩れて「何が先に起きたか」が分からなくなります。全機器のNTPによる時刻同期は、検知の土台として必須です。

相関のための正規化

機器ごとにログの形式はバラバラです。あるログはIPをsrc_ip、別のログはClientAddressと呼びます。これらを共通のスキーマに正規化(normalize)して初めて、「同じIPが認証失敗を繰り返し、その後ログインに成功した」という横断的な相関ができます。

7.3 SIEM・SOC・EDR・XDRの役割分担

用語	正体	役割
SIEM	Security Information and Event Management(仕組み)	各所のログを集約・正規化・相関し、ルールでアラートを上げる基盤
SOC	Security Operation Center(組織・人)	SIEM等を使ってアラートを監視・分析・対応する専門チーム
EDR	Endpoint Detection and Response(製品)	端末上のプロセス・挙動を監視し、不審な動きを検知・隔離
XDR	Extended Detection and Response(製品)	端末・ネットワーク・クラウド等を横断して検知・相関

ざっくり言えば、SIEMはログを見る目、EDRは端末を見る目、SOCはそれらを運用する人です。XDRは複数のドメインを1つの視点に統合しようとする流れです。「ツールを入れれば安全」ではなく、それを運用する人とプロセスがあって初めて検知は機能します。

7.4 MITRE ATT&CK — 攻撃を地図にする

MITRE ATT&CKは、実際に観測された攻撃者の行動を体系化したナレッジベースです。攻撃を「戦術(Tactics)」と「技術(Techniques)」の2軸で整理します。

戦術(Tactics) — 攻撃者の「目的」。初期アクセス、実行、永続化、権限昇格、防御回避、認証情報アクセス、探索、横展開、収集、C2、持ち出し、影響、といった段階。
技術(Techniques) — その目的を達成する「手口」。たとえば「権限昇格」の下に、具体的な手法が多数ぶら下がります。

これらを組み合わせた攻撃者の一連の振る舞いをTTP(Tactics, Techniques, and Procedures)と呼びます。ATT&CKの価値は、検知カバレッジの地図として使える点にあります。「自分たちは、どの戦術・技術を検知できていて、どこが盲点か」を可視化し、優先順位をつけて検知ルールを整備できます。「なんとなく色々ログを見る」から「攻撃者のこの手口を、この検知で捉える」へと、検知を体系化できるのです。

🛡️ セキュリティの視点 — 検知は「攻撃者はこう動くはず」という仮説から設計する

良い検知ルールは、ログを眺めていて偶然生まれるものではありません。「攻撃者が権限昇格するなら、こういうコマンドを打つはず」「横展開するなら、この時間帯に普段使わない共有へアクセスするはず」という仮説(攻撃者の行動モデル)を先に立て、それを捉えるログとルールを設計します。ATT&CKはその仮説の共通言語です。防御者が攻撃者の思考をトレースできて初めて、意味のある検知が組み立てられます。

7.5 検知ルールの設計

シグネチャ型と異常検知型

	シグネチャ型	異常検知型(アノマリ)
考え方	既知の「悪い」パターンに一致したら検知	普段の「正常」から外れたら検知
強み	既知の攻撃を確実に・低誤検知で捉える	未知・新種の攻撃を捉えられる可能性
弱み	パターンにない未知の攻撃は見逃す	誤検知が多くなりやすい

両者は排他ではなく、組み合わせて使います。既知の脅威はシグネチャで確実に、変化する脅威は異常検知で補完します。

誤検知(false positive)との戦い

検知ルールを厳しくしすぎると、正常な通信まで警告する誤検知(false positive)が増えます。逆に緩めると、本物の攻撃を見逃す見逃し(false negative)が増えます。このトレードオフの調整(チューニング)が、検知エンジニアリングの中心的な仕事です。

アラート疲れ(alert fatigue)

誤検知だらけのアラートが1日に何千件も鳴ると、担当者は麻痺し、やがて本物のアラートまで見過ごします。これがアラート疲れです。「たくさん検知する」ことは目的ではありません。本当に対応すべきアラートに絞り込み、それを確実に拾える状態を作ることが目的です。ルールのチューニング、重大度の分類、相関による集約が、アラート疲れへの処方箋です。

⚠️ 「とりあえず全部アラートに」は検知を殺す

安心のために閾値を下げてアラートを増やすと、かえって重要な兆候が雑音に埋もれます。検知の質は件数ではなく、対応可能な精度で測ります。鳴りっぱなしのアラートは、誰も見なくなった瞬間に価値がゼロになります。

7.6 実践 — ログから侵害の兆候を見つける

入門コース第13章で扱ったログ解析を、攻撃者のTTPと結びつけて一段深めます。次のような兆候を、正規化したログから探します。

ブルートフォースの兆候

同一IP(または同一アカウント)からの短時間の認証失敗の集中、その後の突然の成功。ATT&CKでは「認証情報アクセス」に相当します。

Failed password for admin from 203.0.113.9 port 51002
Failed password for admin from 203.0.113.9 port 51004
Failed password for admin from 203.0.113.9 port 51007
... (数十〜数百回) ...
Accepted password for admin from 203.0.113.9 port 51190   <- 成功に転じた

検知の考え方: 「同一送信元からのN分間の認証失敗がしきい値を超え、かつその後成功がある」を相関ルールにします。単純な失敗回数だけでなく、失敗の後に成功が続いた点が侵害の兆候です。

横展開の兆候

あるアカウントが、普段アクセスしないホストや共有フォルダに、通常と違う時間帯に接続し始める。リモート実行やリモートデスクトップの多用も要注意です。ATT&CKの「横展開」に相当します。

権限昇格の兆候

一般ユーザーが管理者グループに追加された、通常は使わない管理者権限のコマンドが実行された、といったイベント。ATT&CKの「権限昇格」に相当します。

✅ 単発イベントより「並び」を見る

1件のログだけでは正常か攻撃か判断がつかないことが多いものです。「認証失敗の集中 → ログイン成功 → 権限昇格 → 普段と違う共有へアクセス」という時系列の並び(ストーリー)として見ると、攻撃の輪郭が浮かびます。これが相関(correlation)であり、SIEMが力を発揮する場面です。時系列の再構築はタイムライン分析(第8章)へつながります。

まとめ

検知の目的は滞留時間(dwell time)を縮め、攻撃者が目的を達成する前に対応を始めること
ログは「取得点の選定・改ざん防止・時刻同期・正規化」を設計して初めて検知の材料になる
SIEMは仕組み、SOCは人、EDR/XDRは端末や横断を見る目。運用する人がいて機能する
MITRE ATT&CKは攻撃を戦術と技術で整理し、検知カバレッジの地図として使える
検知は「攻撃者はこう動くはず」という仮説から設計し、誤検知とアラート疲れを制御する

練習問題

問題 7-1

ある組織は「ログはすべて各サーバーのローカルに保存している」と言います。インシデント対応の観点で、この方針にどんな問題があるか指摘してください。

解答を見る

ログを侵害対象と同じサーバーのローカルにしか置かないと、攻撃者が侵入後にログを改ざん・削除でき、証拠が失われます。攻撃者にとってログ消去は痕跡隠蔽の常套手段です。また、複数サーバーを横断した相関分析もしづらくなります。対策として、ログは速やかに独立した集約サーバー(SIEM等)へ転送し、追記専用・アクセス制限・改ざん検知を施して保全します。加えて全機器のNTP時刻同期を行い、突き合わせに耐える状態にしておくことが重要です。

問題 7-2

「検知ルールをできるだけ多く、感度も高くすれば安全になる」という主張の落とし穴を、誤検知とアラート疲れの観点から説明してください。

解答を見る

感度を上げてルールを増やすと誤検知(正常な通信を攻撃と判定する)が急増します。1日に大量のアラートが鳴ると担当者は麻痺し、やがて本物のアラートも見過ごすアラート疲れに陥ります。結果として「たくさん検知しているのに、重要な兆候に対応できない」状態になり、かえって危険です。検知の質は件数ではなく、対応可能な精度で測るべきです。ルールのチューニング、重大度分類、相関による集約で、本当に対応すべきアラートに絞り込むことが正しい方向です。

問題 7-3

MITRE ATT&CKを「検知カバレッジの地図」として使うとはどういうことか、具体的に説明してください。

解答を見る

ATT&CKは攻撃者の戦術(目的)と技術(手口)を体系化したものです。これを地図として使うとは、「自分たちの検知は、どの戦術・技術をカバーできていて、どこが盲点か」をマッピングすることです。たとえば「初期アクセスや実行の検知はあるが、権限昇格や横展開の検知が薄い」と可視化できれば、優先的に強化すべき領域が分かります。「なんとなくログを見る」のではなく、攻撃者の各手口に対応する検知を計画的に整備できる——これがカバレッジの地図としての価値です。あわせて、攻撃者の行動仮説を立てる共通言語としても機能します。