セキュリティ分析とは、セキュリティテレメトリを収集、充実化、分析し、チームが攻撃者の行動を検知し、その背景を踏まえて調査を行い、適切に対応できるようにする取り組みのことです。これは単なるログの保管場所やダッシュボード、あるいは製品カテゴリーではなく、運用上の規律です。
その必要性は運用上のものです。マンディアント社の「2026年 M-Trends」レポートによると、同社が調査した侵入事件における世界的な滞在期間の中央値は、2025年に11日から14日へと増加しました。この調査結果はすべての侵入事件を網羅しているわけではありませんが、攻撃者が攻撃を進行させる前に、チームが分散した証拠を根拠のある判断へと結びつける必要がある理由を示しています。
セキュリティ分析では、セキュリティデータ、検知手法、コンテキスト、およびアナリストのワークフローを組み合わせ、以下の4つの問いに答えます：
ログはイベントを記録します。アナリティクスは、重要な関連性を見出します。ログインの成功は日常的な出来事かもしれません。しかし、初めて確認されたログインに続いて、特権ロールの変更、異常なクラウドAPIのアクティビティ、そしてデータの移動が発生した場合は、別の分析課題となります。その価値は、イベントの量ではなく、関連性、文脈、そして説明にあるのです。
ハイブリッド企業では、オンプレミスシステム、クラウドサービス、IDプロバイダー、SaaSアプリケーション、エンドポイント、およびオペレーショナルテクノロジーが混在しています。攻撃者はこれらの境界を越えて侵入してきます。ある制御手段によって初期の兆候が明らかになる一方で、別の情報源から、攻撃の意図や範囲を確認するための証拠が得られることもあります。
セキュリティ分析は、チームが断片的なアラートから、調査に直結する一貫性のあるストーリーへと移行するのを支援します。これは、NISTサイバーセキュリティフレームワーク2.0における「検知」および「対応」の成果を支える一方で、ガバナンス、資産の把握、データ処理、および対応権限にも依存しています。NISTが定める「ガバナンス」、「識別」、「保護」、「検知」、「対応」、「復旧」という6つの機能は、単なる直線的なツールチェックリストではなく、相互に関連し合っています。
目標は、アラートの件数やデータ取り込み量を最大化することではありません。重要な影響を及ぼす行動の検知範囲を拡大し、対応不要な作業を削減し、確認された脅威を適切な対策によって封じ込めることです。
このプロセスはフィードバックループです。確認されたインシデントからは、欠落しているデータソース、不十分なエンリッチメント項目、不適切なしきい値、あるいは不明確な対応責任者が明らかになることがあります。成熟したプログラムでは、こうした知見を単にアラートの数を増やすためではなく、ワークフローの改善に活用しています。
すべてのイベントを無差別に取り込むよう一律に指示するのではなく、まず質問から始めましょう。NISTのログ管理ガイダンスでは、計画、保護、およびログの有効活用が重視されています。チームが検証すべき挙動や、プライバシー、コスト、保存期間に関する制約に基づいて、テレメトリを選択してください。
データの質は、データの量と同じくらい重要です。時刻の同期、識別子の解決、フィールドの完全性、情報源の特定、および証拠の保存が、アナリストが一連の経緯を再構築できるかどうかを決定づけます。
攻撃者の行動は予測可能な単一のパターンには従わないため、セキュリティ分析では複数の手法を組み合わせています。
検知結果を MITRE ATT&CK ことで、カバレッジやテストに関する議論が充実します。ただし、それだけでは、検出結果に十分なシグナルがあることや、調査ワークフローが機能していることを証明するものではありません。代表的なシナリオに対して検出結果を検証し、アナリストからのフィードバックを参考にして品質を判断してください。
重要なのは、組織がすべてのカテゴリーを網羅しているかどうかではありません。重要なのは、不審なID関連の事象を、クラウド上の動作、ネットワーク上の活動、エンドポイントの証拠、そして責任の所在が明確な対応プロセスと結びつけることができるかどうかです。
セキュリティ分析は、その親となる分野です。クラウド分析、ネットワーク分析、行動分析は、それぞれが異なる調査上の疑問に答えるものであるため、相互に関連し合う重要なサブトピックとなっています。
クラウドセキュリティ分析では、IDやトークンに関するイベント、コントロールプレーンの監査ログ、API呼び出し、ワークロードのアクティビティなど、クラウドネイティブな証拠に対して分析手法を適用します。これにより、侵害されたIDや承認済みのトークンを用いて実行された一連の操作など、技術的には有効であるものの運用上は異常なアクティビティの調査が可能になります。
ネットワークセキュリティ分析では、トラフィックやメタデータを活用して、エンドポイントやクラウドのログだけでは完全には説明できないような活動を明らかにします。これにより、偵察、横方向の移動、コマンド＆コントロール、あるいは異常なデータ転送の証拠を特定することができます。
行動分析は、ユーザー、デバイス、ワークロード、その他の対象について基準値を確立し、そこから著しい逸脱を特定します。これは、特に攻撃者が正当な認証情報、ツール、またはプロトコルを使用している場合に、シグネチャやルールを補完する役割を果たします。
すべてのユースケースについて、必要なテレメトリ、検知ロジック、調査手順、対応責任者、および成功の指標を文書化してください。欠落している項目は、是正すべき対応範囲のギャップとなります。
1日目から30日目：決定事項と根拠を明確にする
影響の大きい攻撃者の行動を3～5つ選定してください。それぞれについて、影響を受ける業務プロセス、必要なデータソース、証拠保存要件、プライバシー上の制約、および対応権限を特定してください。調査に直ちに対応可能なアラートにはどのような情報が含まれるかを定義してください。
31日目から60日目：ワークフローの構築とテスト
必須フィールドを正規化し、身元情報や資産のコンテキストを特定し、検知精度を高め、代表的なデータを用いてアナリストの作業プロセスを検証します。アナリストが中核となる証拠を入手するためにワークフローから離脱しなければならない頻度を測定します。閾値は、恣意的なアラート件数の目標ではなく、調査結果に基づいて調整します。
61日目から90日目：運用化と改善
プレイブックを文書化し、自動化によって調査が充実するか、あるいは制限されるかを定義し、最初に完了した調査事例を検証します。データの品質、検知範囲、およびインシデント対応チーム、ITチーム、クラウドチーム、ID管理チームとの連携を改善してから、次のユースケースへと拡大してください。
セキュリティ分析機能を評価する方法
機能のチェックリストではなく、シナリオを評価してください。初期のシグナルからアナリストの判断に至るまでの、現実的な調査事例の提示を求めてください。
AIは、要約、情報の充実、相関分析、および日常的なワークフローの各ステップを支援することができます。しかし、AIがアナリストの判断に取って代わるものだと想定すべきではありません。チームには、依然として、証拠の検証、ビジネスへの影響の把握、そして抜本的な措置の承認を行う人材が必要です。
改善が示される指標
指標は文脈を考慮して解釈しましょう。早期に解決されたとしても、それが早期の却下を反映している場合は改善とは言えません。また、検証済みの検出機能が有用なカバレッジを追加している場合、アラートの件数が増加しても必ずしもマイナスとは限りません。
Vectra AIは、ネットワーク、ID、クラウド、SaaS、AI環境にわたる攻撃者の行動の相関関係を分析することで、セキュリティ分析にアプローチしています。クロスドメインのワークフローを評価するチームは、脅威の検知、調査、対応について検討することができます。検討段階における次のステップについては、脅威の検知と対応を最適化するユースケースをご覧ください。
セキュリティ分析は、優先度の高い攻撃者の行動、調査に直ちに活用できる証拠、およびガバナンスに基づいた対応を軸に構築されることで、分散されたテレメトリデータを、より適切なセキュリティ上の意思決定へと転換します。クラウド分析、ネットワーク分析、行動分析はそれぞれ重要な証拠を提供しますが、チームがこれらを1つの説得力のあるストーリーとして結びつけ、それに基づいて行動を起こすことで、その価値はさらに高まります。
いいえ。SIEMは通常、イベントの収集、保存、検索、および相関分析機能を提供します。セキュリティ分析とは、セキュリティデータに対してコンテキスト、検知手法、調査ワークフロー、および対応のフィードバックを適用するという、より広範な取り組みのことです。
いいえ。署名、ルール、相関分析、統計分析、行動のベースライン、脅威インテリジェンス、そしてアナリストによる調査には、それぞれ重要な役割があります。AIはトリアージや分析を支援することはできますが、チームは証拠の質、説明可能性、ガバナンス、そして結果を評価する必要があります。
まずは、影響の大きい行動を少数選び、そこから始めましょう。それぞれについて、対象範囲を拡大する前に、必要なテレメトリ、検知ロジック、調査のコンテキスト、対応責任者、および成功の指標を確認してください。
脅威インテリジェンスは、既知の攻撃者、インフラ、脆弱性、および攻撃手法に関する背景情報を提供します。セキュリティ分析では、その背景情報に加え、ローカルのテレメトリデータや行動の証拠を組み合わせて、脅威が現在活動中であるかどうか、また次にどのような対応を取るべきかを判断します。
これは、証拠の収集、継続的なモニタリング、調査記録、および管理の改善を支援することができます。ただし、それ自体がコンプライアンスを確立するものではありません。各チームは、自社の事業分野や規制上の義務に合わせて、このプログラムを適用する必要があります。
