リアルタイム脅威検知の解説：「リアルタイム」とはどの程度の速さを指すのか、そしてなぜレイテンシがセキュリティ侵害の成否を左右するようになったのか

リアルタイム脅威検知は、スピードが鍵となる脅威検知の一側面です。その基礎概念については、「柱」のセクションをご覧ください。このページでは、競合他社が明確に答えられていない一つの疑問に焦点を当てます。それは、「リアルタイム」とは、実際にはどれほどの速さを指すのか、ということです。 リアルタイム脅威検知とは、継続的なデータストリーム上で脅威が発生した瞬間にそれを特定し、防御担当者が数日ではなく数秒以内に対応できるようにする手法です。これは、イベントが発生した瞬間に作動するものであり、定期的なバッチ処理でも、事後対応でもありません。 このガイドでは、「real-time」と「real time」の両方の表記を、脅威検知に関して互換的に使用しています。「どれほど速いか」という問いに対する答えは、実際にはスペクトル状のものであり、そのスペクトルのどこに位置するかが、侵入が情報漏洩に発展するかどうかをますます決定づけるようになります。攻撃者の速度が、継続的な監視の「ニアリアルタイム」の端へと迫るにつれ、レイテンシは「あれば望ましい」要素から、差別化要因へと変化していきます。

リアルタイム脅威検知とは何ですか？

リアルタイムの脅威検知は、速度が鍵となる脅威検知の一側面です。シグネチャ、行動分析、分析手法にわたる検知の仕組みに関する基礎的な概念については、「基礎」のセクションをご覧ください。このページでは、レイテンシという側面、すなわち検知がどれほど速く作動するか、そしてその速度がなぜ重要なのかについてのみ解説します。

リアルタイムの脅威検知とは、ライブデータストリーム上で脅威が発生したその瞬間に継続的に特定することであり、これにより防御担当者は数日ではなく、数秒以内に対応することが可能になります。これは、蓄積されたログをスキャンする定期ジョブを待つのではなく、ログイン、プロセスの起動、ネットワークフローといったイベントが到着したその瞬間に評価を行うものです。この違いこそが、すべてを左右する鍵なのです。

実際には、「リアルタイム」とは、定期的なバッチ処理や事後処理ではなく、イベントが発生するたびに連続的なストリームに対してトリガーされる検知を指します。 15分ごとに実行されるバッチジョブでは、脅威を発見できるのは常に15分遅れてしまいます。一方、各イベントが到着するたびに評価を行うストリームプロセッサであれば、同じ脅威を数秒で検知することができます。選択するアーキテクチャによって、実現可能な処理速度の下限が決まります。この点については、「ストリーミング対バッチ」のセクションで改めて取り上げます。

この継続的な評価は、継続的な監視という基盤の上に成り立っています。この分野における権威ある基準はNIST SP 800-137 であり、同規格では、情報セキュリティの継続的監視を、観察、検知、対応を行う「リアルタイムまたはニアリアルタイム」の継続的なプロセスと定義しています。リアルタイムでの検知こそが、その基盤によって可能となるものです。つまり、テレメトリのストリームをタイムリーなシグナルへと変換する、瞬間ごとの綿密な監視です。

このガイドが解き明かす核心的な問いは、一見単純に見えますが――「リアルタイム」とは、いったいどの程度の速さを指すのでしょうか？ ベンダー各社はこの言葉を曖昧に用いています。あるベンダーは、1秒未満のインラインブロッキングを指す場合もあれば、別のベンダーは、ライブデータから1～2分遅れて実行される分析を指す場合もあります。さらに、数分ごとに更新されるダッシュボードにこの用語を適用するベンダーさえいます。これらは本質的に異なる速度であり、それぞれが本質的に異なる脅威に対応するものです。これらを混同すると、期待値の不一致やアーキテクチャの不整合を招くことになります。

したがって、ツールを選ぶ前に、各判断において「リアルタイム」が何を意味するのかを明確に定義してください。ラインレートでの予防制御も、事後的な脅威ハンティングクエリも、それぞれ存在意義がありますが、これらはレイテンシのスペクトルの両極端に位置しています。次のセクションでは、具体的な時間閾値を用いてそのスペクトルを定量化します。これが本ガイド全体の骨格であり、このページの残りの部分で展開される議論の枠組みとなります。 読み進めるにあたり、1つのことを念頭に置いてください。リアルタイム検出の本質は、単に「検知範囲」だけでなく、「レイテンシ」にあるのです。

「リアルタイム」とはどの程度の速さか？ レイテンシの範囲

「リアルタイム」とは単一の速度を指すものではなく、1秒未満のインライン検出から、わずかな遅延を伴う準リアルタイム分析、さらには数時間から数日単位で行われる事後再分析に至るまでの幅広い範囲を指します。各段階は異なる種類の脅威に適しており、あらゆる場面で可能な限り低い数値を追求するよりも、脅威に応じて適切な段階を選択することが重要です。

この権威ある定義は、特定のベンダーではなく、標準化団体によって定められたものです。NIST SP 800-137では、継続的監視を「リアルタイムまたはニアリアルタイム」のプロセスとして定義しており、「リアルタイム」を単一の絶対的な概念として扱うのではなく、これら2つを同じ連続体上の隣り合う概念として明確に位置づけています。この表現こそが、以下のスペクトルの基盤となっています。

高速な側には、真のリアルタイム検出があります。これは、イベント発生から1秒未満から数秒以内に作動するインライン処理です。一方、低速な側には、事後検出があります。これは、更新された脅威インテリジェンスを用いて履歴データを再分析し、リアルタイム検出で見逃した脅威を捕捉するものです。 その中間に位置するのが「準リアルタイム」であり、ここでは1～2分程度の短い遅延で分析が実行されます。この「準リアルタイム」という数値はあくまで一例であり、特定の製品に限定されたものではありません。公表されたベンチマーク値ではなく、おおよそのオーダーとして捉えてください。また、NISTの数値として解釈しないでください。学術研究では、この範囲の1秒未満での検知が実証されていますが、これは方向性を示すデータポイントであり、導入時の保証ではありません。

以下の表は、そのスペクトルを具体的に示しています。

表：インラインリアルタイムから事後再分析に至るまでの検出遅延の分布。

横軸のタイムラインも役立ちます。左から右にかけてレイテンシが、1秒未満から数秒、さらにおよそ1～2分、そして数時間から数日へと増加していく様子を、各段階を明確にラベル付けしてイメージしてみてください。

遡及的な検知は、チームが最も見落としがちな点であるため、特に強調すべきです。 「レトロスペクティブ検知」（RetroHuntとも呼ばれる）は、過去のテレメトリデータを最新のインジケーターや更新された脅威インテリジェンスに照らし合わせて再分析するものです。これにより、リアルタイム検知ではフラグが立てられなかった、ゆっくりとしたステルス的な侵入を捕捉することができます。なぜなら、その時点ではその挙動は無害に見えたからです。ストリーミング検知とレトロスペクティブな再分析は、競合するものではなく、互いに補完し合うものです。一方は進行中の高速な攻撃を捕捉し、もう一方は事後にじっくりと進行する攻撃を捕捉するのです。

リアルタイム層の下位に位置するネットワーク層のストリーミングメカニズム――パケットの移動に伴い、フロー分析がどのように異常を検知するか――については、「ネットワーク異常検知」を参照してください。ここで重要なのは、その範囲そのものです。リアルタイムには、1秒未満のインライン処理、約1～2分のニアリアルタイム処理、そして数時間から数日単位の事後分析が含まれ、各層はそれぞれ異なる脅威に対してその役割を果たしています。

なぜ今、検知の遅延が重要なのか

レイテンシーが重要となるのは、攻撃側のペースと防御側のペースに乖離が生じているためです。現在、攻撃者は初期アクセスを中央値で22秒で引き継いでいますが（2022年の8時間以上から大幅に短縮）、侵害の平均所要時間は依然として開始から終了まで241日かかります。攻撃が数秒単位で進行し、防御が数ヶ月単位で対応する場合、侵害の成否は検知のタイミングにかかっています。

攻撃者の行動速度に関するデータは衝撃的だ。マンディアント社の『M-Trends 2026』でまとめられた脅威インテリジェンスレポートによると、初期アクセスからハンドオフまでの時間の中央値は、2025年には22秒にまで短縮された（Help Net Security）。 別の業界レポートでは、過去最速となる27秒でのブレイクアウトと、eCrimeの平均ブレイクアウト時間が29分（前年比65％短縮）を記録しており、検知事例の82％はmalwareものであった（CyberScoop）。 独立した第三者による裏付けとして、Unit 42の調査結果がある。750件以上のインシデントを分析した結果、最速の攻撃ではデータ流出に至るまでの時間が約72分となり、前年に記録された約5時間から大幅に短縮されたことが確認された（TechHQ）。 また、Unit 42の「2026年グローバルインシデント対応レポート」では、1時間以内にデータ流出に至る攻撃の割合が19％から22％に上昇し、データ流出までの時間の中央値は約2日であったとさらに指摘している。

さて、防御側の時間軸についてです。ポネモン研究所の「データ侵害のコスト」に関する調査によると、データ侵害の平均ライフサイクルは241日（発見までに158日、封じ込めに83日）であり、これは9年ぶりの低水準となっています（Network World）。同調査では、データ侵害による平均コストは444万ドルで、前年比9％減となっています（Morgan Lewis）。確かに進歩はあります。 しかし、241日間という期間に対し、22秒という引き継ぎ時間は、壊滅的な不均衡である。

ここには、データから読み取れる微妙なニュアンス――「滞留期間のパラドックス」が存在します。攻撃の開始は早まっているにもかかわらず、2025年の世界全体の滞留期間の中央値は、11日から14日に実際に上昇しました。この2つの事実は、同時に成り立っているのです。 ステルス性の高いサイバースパイ活動が中央値を押し上げている。こうしたキャンペーンの中央値は122日であり、BRICKSTORMで最も長期化した事例の平均期間はおよそ393～400日だった。したがって、状況は単に「すべてが速くなっている」というわけではない。迅速なeCrimeの発生と、根気強いスパイ活動が共存しており、リアルタイム戦略ではその両方を考慮に入れなければならない。

「だから何だ」という点は明白です。攻撃者が22秒で役割を引き継ぎ、29分で脱出してしまう場合、日単位で測定される検知期間では対応しきれない――介入すべきは、横方向の移動によって侵入が最初のシステムを越えて広がる前の、早い段階なのです。カバレッジだけでなく、レイテンシーこそが差別化要因なのです。

リアルタイム検出の仕組み：ストリーミングとバッチ処理の比較

検知の遅延を左右する最大の要因は、アーキテクチャ上の違い、すなわち「ストリーミング処理」と「バッチ処理」の区別にあります。ストリーミング処理では、テレメトリデータが到着するたびに継続的に処理されるため、イベントの発生と同時に即座に検知が可能です。一方、バッチ処理では、一定の間隔でデータを蓄積してから一括して処理するため、本質的に遅延が大きく、事後的な処理となります。バッチジョブは、チューニングを行ってもリアルタイム化することはできません。モデルそのものが下限を決定づけているからです。

成熟したパイプラインの多くは、どちらか一方だけを排他的に選択することはありません。文書化されているハイブリッドなアプローチが「ラムダ・アーキテクチャ」です。これは、即時性を重視するリアルタイム・ストリーミング・パスと、完全性および再分析を重視するバッチ・パスを併せ持つものです。ストリーミング・パスは進行中の脅威を即座に可視化し、バッチ・パスは完全な履歴記録を照合し、事後的な脅威ハンティングを可能にします。 査読済みの研究によると、低遅延のワークロードにおいて、ストリーム処理はマイクロバッチ処理に比べて最大15倍高速であることが報告されています。これは2022年のアーキテクチャに関する知見であり、時間的制約のあるベンチマーク結果ではなく、これら2つのモデル間の根強いトレードオフを反映したものです（Wiley）。

スピードだけでは不十分です。迅速なアラートは、実行可能なものでなければなりません。つまり、データ取り込みの段階でテレメトリを充実させる必要があります。つまり、イベントがストリーミングで流入する際に、資産のコンテキスト、地理位置情報、ID、脅威インテリジェンス、MITRE ATT&CK タグ付けするのです。 優先度の高いシグナルは即座の対応へと導かれ、リスクの低いデータは事後分析へと流れます。この情報強化こそが、「高速だが役に立たないアラート」と「高速かつ決定的なアラート」を分ける鍵となります。行動分析は、このパイプラインへの複数の入力の一つとして機能します。行動ベースライン設定がどのように機能するかについては、「行動ベースの脅威検出」を参照してください。

概念レベルの図解を考えてみましょう。 T1059.001,MITRE ATT&CKのPowerShell コマンドおよびスクリプトインタプリタ 技法 (T1059, TA0002 実行、フレームワーク v17)は、『Red Report 2026』において最も多く確認された手法の一つであり、分析対象となった110malware 27%に確認された（Picus). ストリーミング型検出器は、プロセス作成イベントとスクリプトブロックのログ記録イベントが発生した時点でそれらを相関させ、不審な実行が進行中にそれを捕捉します。対照的に、バッチ処理によるログの確認では、その間隔が終了して初めて同じ活動を発見できますが、その時点ではスクリプトはすでに実行済みとなっています。このタイムラグこそが、進行中の実行を検知する上で、ストリーミング方式がバッチ処理方式に勝る理由なのです。

以下の表は、アーキテクチャ上のトレードオフをまとめたものです。

表：ストリーミング検出アーキテクチャとバッチ検出アーキテクチャの比較。

検知ツールには、SIEM、EDR、ネットワーク検知・対応（NDR）、XDRといったさまざまなカテゴリがあり、テレメトリデータをストリーミング処理するかバッチ処理するかによって、それぞれ異なるレイテンシの要因となります。このページでは、これらのカテゴリをあくまでレイテンシの要因として扱っており、購入候補のリストとして提示しているわけではありません。製品の比較については、「脅威検知ソフトウェア」をご覧ください。その基盤となるストリーミングネットワークの仕組みについては、「ネットワーク異常検知」をご覧ください。

インライン検出とアウトオブバンド検出

ストリーミング方式とバッチ処理方式に続いて、レイテンシに関する2つ目の設計上の判断は、展開方法、すなわちインライン方式とアウトオブバンド方式の選択です。典型的な参考例としては、侵入検知システム（IDS：検知用）と侵入防止システム（IPS：防止用）が挙げられ、この区別は検知レイテンシに直接反映されます。

IPS型モデルにおけるインライン検出は、トラフィックの経路上に直接配置されます。その利点は決定的なものであり、悪意のあるフローを即座に遮断できる点にあります。その制約も同様に決定的であり、すべてのパケットをラインレートで処理しなければ、ボトルネックとなり、正当なトラフィックに遅延を生じさせ、潜在的な単一障害点を作り出してしまうからです。防止能力を得るには、ラインレートでの処理という負担を伴います。

IDS型モデルにおけるアウト・オブ・バンド検出は、ネットワークTAPまたはSPANポートからのパッシブなフィードを利用します。トラフィックのコピーを検査するため、ライブパスへの遅延はゼロであり、スループットにも影響を与えません。そのトレードオフは、まさにその逆です。つまり、検知やアラート発信は可能ですが、単独でブロックすることはできません。遅延ゼロの可視性は、直接的なブロック機能の犠牲の上に成り立っているのです。

以下の表は、その選択肢を整理したものです。

表：インライン検出とアウトオブバンド検出、およびそれらが遅延に及ぼす影響。

成熟したアーキテクチャにおいて、この2つのモデルは互いに排他的ではなく、アウト・オブ・バンド方式には特筆すべき強みがあります。エージェントレスなフローおよびログ分析により、通信経路上に配置することなく、ミリ秒単位であらゆるフローを効果的に検査することができ、横方向の移動の前兆をほぼリアルタイムの速度で、かつインライン遅延ゼロで検知できます。これにより、アウト・オブ・バンド検知は、インライン防止機能を補完する強力かつ低遅延な手段となります。つまり、あらゆる場所での可視性を確保しつつ、必要な場所でのみブロックを行うことが可能になるのです。

速度と精度のトレードオフ

「速い」ことが必ずしも「良い」とは限りません。リアルタイム検出における厳しい現実として、処理速度を上げれば上げるほど、誤検知1件あたりのコストが高くなります。重要なのは、あらゆる場面で遅延を最小限に抑えることではなく、各判断において適切な遅延を確保することです。誤ったアラートは煩わしいものですが、ラインレートでの誤ったブロックは、正当なトラフィックを遮断し、システムへの信頼を損なうなど、実際の運用上のコストをもたらします。

また、検出ロジックそのものにも、精度とレイテンシの真のトレードオフが存在します。 一般的な傾向として、最も精度の高い分析手法はレイテンシも最も高くなる傾向があり、一方、最速の手法は速度を優先するためにある程度の精度を犠牲にしています。これは対処すべき概念的なジレンマであり、単一の手法で解決できる問題ではありません。また、その基盤となる機械学習の手法は、別の分野に属するものです。AIモデルが実際にどのように検知を推進しているかについては、「AIによる脅威検知」を参照してください。ここでは、AIは速度を向上させる手段であり、主役ではありません。

実務担当者は、いくつかの実用的な手段を用いて、このトレードオフを管理しています：

• どこでも一律に静的な閾値を適用するのではなく、状況に応じて感度を調整する動的閾値処理。
• 信頼度の高い信号のみを自動ブロック処理に振り分け、信頼度の低い検知結果は人間による確認に回す、という選択的な自動化。
• 高速なストリーミング検出と、より時間をかけた再分析を組み合わせた遡及的なペアリングにより、速度と徹底性が互いの死角を補い合う。

アラート疲労との関連性は直接的かつ容赦のないものです。チューニングを行わずに処理速度を上げたとしても、シグナルが増えるわけではなく、ノイズが増えるだけです。誤検知率が同じまま、より早く、より多くのアラートを発信するパイプラインは、アナリストをますます圧倒するだけです。スピードは精度と結びついて初めて価値を持つものであり、だからこそ「どこでも即時」という目標は誤りなのです。正しい目標は、適切に調整されたレイテンシです。迅速な判断が安全な場面では迅速に、精度がより重要な場面では慎重に判断を下すことです。

指標、滞在時間、およびリアルタイム検出の実践

リアルタイム検知の性能を定量化する指標として、3つのレイテンシ指標があります。MTTD（平均検知時間）は、システムが侵害されてから検知されるまでの平均時間を測定します。MTTR（平均対応時間）は、検知から封じ込めまでの平均時間を測定します。ドウェルタイムは、攻撃者による最初のアクセスから検知されるまでの期間を測定するもので、実環境における検知レイテンシを示す最も明確な指標です。

2025年の世界的な平均滞留時間のベンチマークは14日間であり、前年の11日間から増加している（Mandiant M-Trends 2026）。 前述の通り、この上昇は逆説的である。eCrimeが加速する一方で、ステルス的なスパイ活動が中央値を押し上げているのだ。MTTRは検知段階ではなく対応段階に属する。これをレイテンシ指標として参照することはできるが、対応の仕組みについては、インシデント対応およびより広範な脅威の検知・調査・対応（TDIR）ライフサイクルを参照のこと。

表：レイテンシ指標と2026年のベンチマーク。

これらの指標は、具体的なユースケースにおいてその真価を発揮します。ランサムウェアによる業務中断の防止においては、リアルタイム検出により、偵察、横方向の移動、準備段階といった初期の前兆を検知し、大規模な暗号化ペイロードが実行される前にチームが対応できるようになります。アカウント乗っ取りの防御においては、ログイン速度、デバイスIDの不一致、地理的位置情報がログイン時に評価され、不審なログインに対してはMFAによる自動認証要求が行われます。 エージェントレスなラインレートネットワーク検知では、アウトオブバンドのフロー分析により、インラインでの遅延を生じさせることなく、横方向の移動の前兆を捕捉します。規制が厳しく、資産価値の高い金融サービス業界——この点が最も重要となる分野——では、脅威インテリジェンスツールから得られた情報を基に、リアルタイムのIDシグナル評価を行うことで、セッションが確立される前に認証情報の悪用を阻止します。

最後に、ストリーミング検知と事後再分析を組み合わせます。BRICKSTORMによるスパイ活動の事例の中で最も長期化したものは、平均して約393～400日間も潜伏していたことが判明しており、これは標準的な90日間のログ保持期間をはるかに超えるものです（SecurityWeek）。ログの保持とRetroHuntがなければ、脅威が判明する前に証拠は消えてしまいます。

リアルタイム脅威検知に対する最新のアプローチ

業界では、ネットワーク、アイデンティティ、クラウドのテレメトリにわたる「ストリーミング優先型」の検知へと移行が進んでおり、AIと自動化が少人数のチームにとっての戦力増強要因となっています。その方向性は明確です。テレメトリデータは到着次第処理し、処理中に情報を充実させ、完全性の確保や再分析のためにバッチ処理は後回しにするというものです。

AIは、この変革を加速させる原動力です。AIと自動化を幅広く活用した組織では、情報漏洩のライフサイクルを約80日短縮し、平均で約190万ドルのコスト削減を実現しました（Ponemon Instituteの「データ漏洩のコスト」調査、Network Worldによる報道）。これこそが自動化の真の価値であり、誇張された「高速化」という主張とは一線を画しています。AIが実際にどのように検知を行うかについては、「AIによる脅威検知」を参照してください。その手法については、本稿の範疇外となります。

レイテンシは、単なる効率性の指標にとどまらず、コンプライアンス上の制約としてますます重要視されるようになっています。NISTサイバーセキュリティ・フレームワーク2.0の「DETECT」機能（カテゴリーDE.CM（継続的モニタリング）およびDE.AE（有害事象分析））では、タイムリーな検知を中核的な能力として位置付けており、NIST SP 800-137では「リアルタイムまたはニアリアルタイム」という基準が示されています。 規制により、その時間的制約はさらに厳しくなっています。EUのNIS2指令第23条では24時間以内の早期警告義務が課されており、英国の「サイバーセキュリティ・レジリエンス法案」では、これと同等の24時間以内の早期警告に加え、72時間以内の詳細報告というモデルが提案されています。ただし、同法案は2026年6月23日時点で委員会審議の段階にとどまっており、可決には至っていません（英国下院図書館）。 法律で1日以内の報告が義務付けられる場合、検知の遅延は法的リスクとなり、リアルタイム検知が依存するネットワークセキュリティ体制全体の重要性がさらに高まる。

Vectra AIがリアルタイムの脅威検知をどのように捉えているか

Vectra AIは、リアルタイム検知を「信号対雑音」の問題として捉えています。Attack Signal Intelligence™は、単にアラートをより速く、より多く発信するのではなく、攻撃の兆候の速度に合わせて、実際に重要な攻撃者の行動を抽出します。これにより、少人数のチームでも、価値の低いアラートの選別作業に何日も費やすことなく、明確で優先順位付けされたシグナルに基づいて数秒以内に対応することが可能になります。その目的は、単に速度を最大化することではなく、侵入がセキュリティ侵害に発展する前に、迅速かつ的確なシグナルに基づいて行動を起こせるようにすることにあります。

結論

「リアルタイムとはどの程度の速さか」という問いには、唯一の答えはありません。そして、そこが重要な点なのです。 リアルタイムの脅威検知は、1秒未満のインラインブロックから、1～2分の遅延を伴う準リアルタイム分析、さらには数時間から数日単位の事後再分析に至るまで、幅広い範囲に及ぶ。ストリーミングかバッチかというアーキテクチャの選択が、実現可能な速度の下限を決定し、インラインかアウトオブバンドかという導入モデルが、ブロック能力と追加遅延とのトレードオフを決定する。 攻撃者が22秒でアクセス権を譲渡する一方で、根気強いスパイ活動は1年以上も潜伏し続けるため、この分野ではあらゆる場面で最小のレイテンシを追求するのではなく、各脅威に適したレイテンシレベルを割り当て、高速なストリーミング検知と事後的なハンティングを組み合わせ、速度によってノイズではなく有用なシグナルが得られるよう精度を調整することが求められます。 現在、差別化要因となっているのは、単にカバレッジだけでなく、レイテンシです。ネットワーク層における低レイテンシのストリーミング検出がどのように機能するかを確認するには、ネットワーク異常検知について詳しくご覧ください。