T1685 「防御機能の障害」の項の下。セキュリティテレメトリとは、エンドポイント、ネットワーク、クラウドサービス、ID、アプリケーションから、セキュリティに関連するデータ（ログ、イベント、メトリクス、トレース、フロー、メタデータ）を、それらを分析するシステムに向けて継続的かつ自動的に収集・送信するプロセスです。これは、あらゆる検知、ハンティング、調査、およびフォレンジック再構築の基盤となる素材です。
このデータ層は、最優先の設計課題となっています。データ量は増え続け、攻撃者は意図的にその隙間を標的にしており、規制当局は収集・保存すべきデータの範囲を見直しています。本ガイドでは、セキュリティテレメトリの種類と情報源、収集と正規化の仕組み、死角が生じる原因、データ保存にかかるコスト、MITRE ATT&CK M-26-14に至るフレームワークが要件にどのような影響を与えるかについて解説します。
セキュリティテレメトリは、製品というよりはむしろ「出力」です。つまり、エンドポイント、ネットワークセンサー、クラウドプラットフォーム、IDプロバイダー、アプリケーションなどが稼働中に発信するシグナルの流れのことです。収集・相関分析されたこのデータストリームは、脅威検知のための証拠基盤となり、下流のすべてのプロセスを支える基盤となります。なぜなら、収集されなかったデータは決してクエリの対象にはなり得ないからです。このデータレイヤーの上で実行されるクエリや調査の手法（セキュリティオブザーバビリティを含む）については、それぞれのページで詳しく解説しています。
現代の侵入攻撃はドメインをまたがって行われるため、証拠が1か所に集中することはめったにありません。攻撃者は、1回のインシデントの中で、フィッシングによってIDを盗み出し、ネットワーク内を移動し、クラウドサービスにデータを隠匿することさえ可能です。単一ドメインのテレメトリでは、こうした現実に対応するには構造的に不十分であり、統計データからも、マルチドメインのケースが今や標準となっていることが示されています。
最も有力な証拠となるのは、2024年11月1日から2025年10月31日までの間に発生したインシデントを網羅した、ベライゾンの「2026年データ侵害調査報告書（DBIR）」である。 第19版は2026年5月19日に公表され（2026年DBIRプレスリリース）、145カ国にわたる3万1,000件以上のインシデントと2万2,000件以上の確認済み情報漏洩事例を分析対象としています（2026年DBIRエグゼクティブサマリー）。
そのデータセットにおいて、多段階の「システム侵入」パターンは侵害事例の61％で確認され、これは過去2回の報告書における53％および36％から増加した。また、ランサムウェアは侵害事例の48％に達し、44％から増加した（2026年DBIRエグゼクティブサマリー）。 複数のドメインに及ぶ攻撃は、複数のテレメトリ・ストリームに痕跡を残すか、あるいはどこにも痕跡を残さないかのどちらかである。これが、テレメトリを単一のフィードではなくポートフォリオとして扱うべきであるという主な根拠である。
まず、実務家の間で真に議論の分かれている点から始めましょう。一部の情報源では、テレメトリをリアルタイムのストリームとして扱い、ロギングを事後の記録保持としており、これらは関連してはいるものの別個の概念であると見なしています。一方、他の情報源では、ログを数あるテレメトリの形態の一つとして扱っています。この分野では、後者の「上位集合」としての解釈が主流になりつつあります。すなわち、テレメトリはメトリクス、イベント、ログ、トレースを網羅する概念であり、ロギングはそれらの形態の一つを生み出す実践であるという見方です。このページでは、この「上位集合」としての解釈に従い、重要な点については議論の経緯も併せて記載しています。
モニタリングとオブザーバビリティは、データそのものの内部ではなく、その上位に位置します。セキュリティモニタリングとは、既知の攻撃や障害の状態を示す既知のシグナルを継続的に監視する取り組みであり、サイバーセキュリティモニタリングは、その取り組みを環境全体に拡大したものです。オブザーバビリティとは、チームがデータ層を用いて何ができるかを指します。つまり、新たに計測機能を導入することなく、新たな問いを投げかけることができるということです。テレメトリは、これら3つすべてが利用する「原材料」であり、その概要は以下の表にまとめられています。
テレメトリはデータ層であり、ロギングはその一形態であり、モニタリングとオブザーバビリティは、その上に構築された実践手法です。
セキュリティテレメトリには4つの一般的な形態があり、少なくとも5つの領域から収集されます。単一の形態や領域だけでは攻撃の全容を把握することはできないため、カバレッジ計画は、各情報源が何を示すことができ、何を示せないかを整理したマップの作成から始まります。
テレメトリの形態を表す業界用語は「MELT」であり、これはメトリクス、イベント、ログ、トレースを指します。
アラートや検査データが全体像を補完する。ファイアウォールや侵入検知・防止システムは、独自の判定や検知結果を出力しており、行動を再構築するのではなく観察するに留まるものの、依然としてネットワークセキュリティの主要な情報源となっている。
ある側面はまさに新たなものです。2026年のDBIRによると、社用端末でAIを定期的に利用している従業員は45％に上り、前年の15％から増加しています（2026年DBIRエグゼクティブサマリー）。その結果、ブラウザやAIツールの利用状況に関するテレメトリデータが、主要な情報源となりつつあります。というのも、許可されていないAIの利用は、従来のエージェントが最も監視を怠りがちな場所に集中しているからです。
5つのテレメトリ領域、それぞれが独自に明らかにすること、そして単独で使用した場合に生じるデータの網羅性の不足。
生信号は、収集、送信、正規化、ルーティング、保存、分析という一連の処理を経て、実用的なテレメトリデータとなります。各段階は設計上の判断を要するものであり、いくつかの段階はそれ自体が攻撃対象となります。
データの収集は、ホスト上のエージェント、ネットワークタップやミラーポート上のセンサー、クラウドおよびSaaSプラットフォームに対するAPIポーリング、そして最新ソフトウェアに組み込まれたストリーミングエクスポーターを通じて行われます。タップベースの収集が注目される理由は、それが受動的である点にあります。ミラーポートを監視するセンサーは、エンドポイントに何もインストールする必要がないため、防御側には、攻撃者が侵害されたホストから容易に到達できないチャネルが確保されます。その後、データはバッチ処理、バッファリング、バックプレッシャーを経て分析システムへと送信され、トラフィックの急増によってイベントが気付かれずに失われることを防ぎます。
全体を通して、その流れは次のようになります：
正規化によって、異なるプロバイダーからのテレメトリデータを結合可能にします。Open Cybersecurity Schema Framework（OCSF）は、セキュリティイベントにベンダー中立の共通構造を提供します。OpenTelemetryは、ソフトウェアの計測方法や、メトリクス、ログ、トレースのエクスポート方法を標準化しており、このプロジェクトでは、コレクターコンポーネントのセキュリティ強化に向けた専用のガイダンスも提供しています。 Elastic Common Schema（ECS）とCommon Information Model（CIM）は、それぞれのエコシステム内で同じ目標を追求しています。これら4つはすべて、正規化された後のデータの形式に関するものであり、分析ツールではありません。
そこからデータは分析層に到達します。SIEMは、正規化されたテレメトリデータをルールや行動モデルと照合してアラートを生成しますが、このページはその入り口で終わります。同じデータ層上で実行される自由形式のクエリや調査の取り組みは、オブザーバビリティの分野に属しており、その作業は同分野が担当しています。
テレメトリそのものを測定することで、パイプラインの健全性を確保できます。主に4つの指標が重要となります。それは、カバレッジ（ソースがどの検出フレームワークの手法を証明できるか）、取り込み量とそのコスト、イベント発生から分析までのレイテンシ、そして完全性（ストリームに欠落やサイレントドロップがないこと）です。これら4つの指標のいずれかで数値が低ければ、後々盲点として表面化します。これらを全体的な平均値としてではなく、ソースごとに追跡してください。
13年間にわたる3つの事例は、「テレメトリが存在すること」、「テレメトリが完全であること」、そして「テレメトリに基づいて行動がとられること」の違いを示しています。また、それぞれの事例は、アナリストがテレメトリを証拠として扱う理由も示しています。つまり、テレメトリは存在し、適切な範囲を網羅し、行動を起こす誰かまたは何かに届く必要があるのです。
ドウェルタイムは成果を測る指標ですが、その傾向は好ましくない方向に進んでいます。2025年暦年の50万時間以上に及ぶインシデント対応データを網羅した『M-Trends 2026』によると、世界のドウェルタイムの中央値は11日から14日に上昇し、サイバー諜報活動や北朝鮮のIT従事者によるインシデントでは、中央値が122日に達しました（『M-Trends 2026』）。 2024年暦年を対象とした前版『M-Trends 2025』が、この11日という基準値の出典となっている。この差を縮めるには、生データの量を増やすことよりも、アラート発生後の脅威ハンティングを支えるカバレッジの拡充や、ドウェル時間が長期化する前にシグナルをインシデント対応へと転換するトリアージの徹底が重要である。
記録されていないものは検出できません。死角には、イベントがそもそも生成されない「カバレッジの欠落」と、イベントは生成されたもののその後隠蔽される「改ざん」という、根本的に異なる2つの失敗モードがあります。これらはいずれもアラートの過剰発生を助長します。SOCチームはトリアージしきれないほど多くのアラートに対応せざるを得ず、アラート疲労により、ごく少数の攻撃者の兆候が、通常の運用を示すはるかに膨大な量のデータに埋もれてしまいます。 2026年版DBIRは、対応の遅れがもたらすコストを明らかにしている。完全な解決に至るまでの時間の中央値は43日に達し、CISAの「既知の悪用済み脆弱性リスト」に掲載された重大な脆弱性のうち、完全に修正されたのはわずか26％にとどまり、これは38％から減少している（2026年版DBIRエグゼクティブサマリー）。
管理対象外、エッジ、IoT、およびオペレーショナル・テクノロジー（OT）デバイスはエージェントを実行していないため、これらからのホストテレメトリは存在しません。2025年10月までのインシデントを網羅した2026年版DBIRによると、脆弱性の悪用による侵害が全侵害の31％を占め、最も一般的な初期アクセスベクトルとなっていることが判明しました（2026年版DBIRエグゼクティブサマリー）。 2025年版DBIRでは、すでに脆弱性悪用攻撃の22％がエッジデバイスおよびVPNに起因すると指摘されていた（2025年版DBIR）。プロバイダー側でのフィルタリングやサンプリングにより、クラウドログにも同様の欠落が生じている。
IDテレメトリも同様に、何の前触れもなく失敗することがあります。2026年7月に公表されたベンダーの脅威調査では、Entra ID環境におけるOAuthクライアントIDのなりすましについて報告されています。なりすまされたクライアントIDでは「アプリケーション名」フィールドが空白となるため、特定のアプリケーション名に設定された検知ルールでは、そのアクティビティを完全に見逃してしまう可能性があります（Help Net Security）。 2025年12月から追跡されているあるキャンペーンでは、370万件以上の偽装されたアプリケーションIDが200万件以上のユーザーアカウントに対して使用され、「ログイン成功イベントを生成することなく」認証情報の有効性を試されていた（The Hacker News）。この挙動を網羅するATT&CKテクニックIDは存在しない。これは、そもそも記述されたことがなかったため、改ざんではなく、カバレッジのギャップである。
テレメトリが生成される場所では、攻撃者はそれを遮断する。MITRE ATT&CK 、これを次のように分類している。 T1685 ツールの無効化または変更 「防御機能の侵害」戦術（TA0112）の下では、攻撃者がEDRツール、IDS、ウイルス対策ソフト、ロギングエージェントおよびセンサーなど、防御用ソフトウェアそのものを無効化または改変する行為が、以下で取り上げられている「軍拡競争」の対象となる。 EDR回避. これら6つのサブテクニックはすべて、記録そのもの、あるいはアナリストによるその記録の認識を対象としています。具体的には、Windowsイベントログ、クラウドログ、またはLinuxの監査システムログを無効化または改ざんすること、ツールのUIを改ざんまたは偽装すること、そしてWindowsイベントログやLinuxおよびMacのシステムログを消去することです。
そのプレッシャーは現実のものだ。2025年を対象とした業界の脅威レポートによると、検知された事例の約82％malware、記録された最速の侵入時間は約27秒だった。正当な認証情報やツールを使ってこれほど高速に動き回る侵入者にとって、ホストのテレメトリ機能を無効化することには十分な動機がある。
収集レイヤーもソフトウェアの一部です。2026年に発見されたOpenTelemetryの2つの脆弱性、 CVE-2026-40182、.NETの実装に見られる、メモリを枯渇させる可能性のある無制限のレスポンス（NIST CVSS 5.9）、および CVE-2026-45287、OpenTelemetry-Goにおけるファイルディスクリプタのリークは、サービス拒否（DoS）を引き起こす可能性があり、可用性の問題であると同時にリソース枯渇の問題でもあります。 コレクターがクラッシュすると、下流のすべての処理が停止してしまいます。2つ目のスコアからも、単一スコアによるトリアージがいかに脆弱であるかがわかります。NISTはCVSS 3.1に基づいて5.5と評価したのに対し、CVE番号付与機関はCVSS 4.0に基づいて2.1と評価しており、情報源によって同じバグの評価が全く異なって見えるのです。
以下の表に記載されているすべての補完的な情報源には、侵害されたホストから独立しているという共通の特徴があります。エージェントが存在しない、無効化されている、あるいは虚偽の情報を提供している場合でも、タップやミラーからのネットワークテレメトリは、侵入者が隠蔽できない記録であり、これがネットワーク可視化およびネットワーク検知・対応の核心的な根拠となっています。
テレメトリにおける5つの一般的な死角、それぞれの背後にある故障モード、および可視性を回復させるための対策。
テレメトリデータの増加は、今やセキュリティ上の影響を伴う予算項目となっています。Criblの「テレメトリ動向レポート」によると、2024年4月から2025年4月までの期間において、主要な入力データ（syslog、TCP、TCP JSON）はいずれも前年比で60％以上増加していることが明らかになりました（Cribl Telemetry Trends）。 アナリティクス層の料金体系は通常、取り込みデータ量（ギガバイト単位）に基づいて算出されるため、データ量の増加はSOCの運用予算に直接影響します。その結果、コスト圧力は「隠れたセキュリティ問題」となります。コスト削減のためにデータソースをまとめて削除してしまうチームは、節約ではなく、むしろセキュリティ上の死角を生み出していることになるのです。
テレメトリ・パイプライン・レイヤーが、その新たな解決策として台頭しています。2025年9月2日に発行されたガートナーの『テレメトリ・パイプラインに関するマーケットガイド』では、「2027年までに、すべてのログ・テレメトリの40％がテレメトリ・パイプライン製品を通じて処理されるようになると予測されており、これは2024年の20％未満から増加する見込みである」と述べられています（『ガートナー テレメトリ・パイプラインに関するマーケットガイド』）。 パイプラインは、プロデューサーとデスティネーションの間に位置し、データの取り込み、処理、ルーティングを行います。具体的には、ノイズのフィルタリング、レコードのエンリッチメント、スキーマの再構築、各ストリームの階層化を行い、分析層にデータが到達する前にこれらの処理を完了させます。
その分析層は通常SIEMであり、パイプラインが存在する目的は、SIEMへの1ギガバイトあたりのデータ取り込み量を保護することにある。市場動向の参考として、シンジケート型アグリゲーターであるMordorIntelligenceのSIEM市場分析によると、2026年の市場規模は120億6000万米ドル、2031年には207億8000万米ドルに達し、年平均成長率（CAGR）は11.50％となる見込みである。 同分析では、独立した一次データ源に依らず独自の判断に基づき、従業員数10,000人以上の組織では、1日あたり10テラバイト以上のログデータを取り込んでいると主張している。これらはいずれも、正確な測定値というよりは、大まかな傾向を示す指標として捉えるべきである。
保存期間の階層化は、コスト管理のもう一つの重要な要素です。リアルタイム検知データは「ホット」、調査データは「ウォーム」、コンプライアンスデータは「コールド」として管理し、ストレージと分析エンジンを分離することで、履歴データも「ホット」階層の料金体系を適用されることなく、引き続きクエリを実行できるようにします。
階層型リテンションでは、各テレメトリの使用状況に応じてストレージクラスが割り当てられるため、すべてのデータにホットティアの料金を適用することなく、カバレッジを維持できます。
これらを統合する戦略は、「目的意識を持ったロギング」です。まず検知目標を定義し、それらを検知に必要なテレメトリに紐付け、残りの要素は優先度を下げるか、あるいは除外します。Security Blue Teamのテレメトリ戦略ガイドなどの実務者向けガイダンスも、同様の指針を示しています。つまり、データ収集に関するあらゆる決定は、単なる習慣ではなく、検知や調査の目的に基づいて行われるべきであるということです。
フレームワークや規制当局からのテレメトリ要件がますます増えており、2026年には2つの重要な基準点が再設定される。
内部のテレメトリマッピング MITRE ATT&CK 6か月間で2回変更されました。2025年10月28日にリリースされたバージョン18では、従来の「データソース」コンポーネントが非推奨となり、代わりに「検出戦略（DET）」および「分析（AN）」が採用されました（MITRE ATT&CK 2025年MITRE ATT&CK リリースノート). 2026年4月28日にリリースされたバージョン19では、「防御回避」が「ステルス（TA0005）」と「防御低下（TA0112）」に分割された（MITRE ATT&CK 2026年MITRE ATT&CK リリースノート). 以下のようなレガシーデータソースID DS0029, DS0038そして DS0002 実務者の間で依然として出回っていますが、これらは廃止されたモデルに基づく過去の識別子であり、現在の指針ではありません。例えば、 検知工学 各チームにおいて、カバレッジマッピングは現在、「検出戦略」およびその下位にある分析機能から開始され、それぞれが必要なテレメトリを指定しています。
2026年5月22日付のOMB覚書M-26-14には、「直ちに、OMB覚書M-21-31は廃止される」と記載されている。リスクに基づく優先順位付けが「すべてを保存する」ログ記録に取って代わり、これは「継続的イベント監視（CEM）」および「脅威ハンティング、調査、対応、フォレンジック（THIRF）」という2つの目標を中心に構成されている。 成熟度モデルは、レベル0（非効果的）からレベル4（最適）までの5段階で構成されており、本覚書自体においてレベル1の呼称に一貫性が見られない。すなわち、コンプライアンス期限表では「基本（Basic）」と表記されているのに対し、付録Cでは「初期（Initial）」と表記されている。適用範囲は米国の連邦民間システムを対象とし、IoTおよびOTを明示的に含める一方、国家安全保障、国防総省、および情報機関のシステムは除外される。
この覚書では、CISAに対し、2026年7月20日時点で未公開の「ロギング参照アーキテクチャ（LRA）」の策定を指示している。CISAのリソースページは2026年5月26日付けの仮ページであり、LRAが完成し、90日間の期限が2026年8月20日頃に満了した時点で更新されると記載されている。
ログ管理の基礎となるガイドラインであるNIST SP 800-92は2006年9月に策定されたものであり、その改訂版1の草案は2023年11月29日にパブリックコメントの受付を終了したものの、最終版には至らなかったため、2006年のオリジナル版が引き続き基準として採用されている。NIST CSF 2.0では、テレメトリは「DE.CM 継続的モニタリング」カテゴリに属する「検出（Detect）」機能の基盤となっている。OWASPは、A09:2021「セキュリティログおよびモニタリングの障害」をA09:2025「セキュリティログおよびアラートの障害」に改称しましたが、順位は9番のまま維持しています。CISAZero Trust モデルでは、「可視性と分析」を横断的能力の一つとして挙げています。
保存義務は、より広範な枠組みに由来しています。PCI DSS、GDPR、NIS2、HIPAA、SOC 2はいずれも、テレメトリデータの保存期間を規定しており、コンプライアンス報告のためにアーカイブ階層の容量が消費されます。これは、M-26-14が米国連邦政府の方針である一方で、こうした要因が世界的に影響を及ぼしていることを改めて認識させる有用な指摘です。
主要なフレームワークや規制において、セキュリティテレメトリがどのように言及されているか、および2026年7月時点での各々のバージョンや状況について。
今後の方向性は、より広範なカバレッジから、より少ないが質の高いシグナルを得ることにある。現代的なアプローチを定義する4つの取り組みとは、分析層の前にフィルタリングとルーティングを行う「パイプラインファースト」アーキテクチャ、データの結合性と移植性を維持するオープンな正規化スキーマ、履歴データを低コストで保持する分離型ストレージ、そして新たなアラートストリームを追加するのではなく、テレメトリ自体を処理するAI支援型トリアージである。SOC運用チームにとって、これらはいずれも、生のシグナルから確信を持って下せる意思決定に至るまでの距離が短縮されるかどうかが、その有効性を測る試金石となる。
テレメトリの新たな対象は、AIそのものです。2026年版DBIRでは、データ損失防止（DLP）データセットにおいて、シャドウAIの利用が、悪意のない内部関係者による行動の中で3番目に多いものとランク付けされました（2026年版DBIRエグゼクティブサマリー）。また、AIエージェントやその他の非人間的なアイデンティティは、テレメトリの主要な生成元および消費元となりつつあります。人間ユーザーや管理対象ホストのみを対象とする対策プランは、すでに時代遅れとなっています。
Vectra AIは、「すでに侵害されている」という前提に立っています。つまり、手腕のある攻撃者は侵入してくるものであり、重要なのは、その行動がデータにどれほど早く表れるかという点です。キャンパス、データセンター、クラウド、ID管理にまたがる現代のネットワーク全体にわたるテレメトリの広範さは必要ですが、それだけでは不十分です。重要なのは、その広範なデータを、アナリストが確信を持って対応できる少数の高精度な攻撃シグナルに変換することです。
ログは、テレメトリの対極にあるものではなく、その一形態にすぎません。テレメトリをリアルタイムのストリームとして捉え、ログを事後的な記録として捉える見方もありますが、実際にはどちらの見方も見られます。この分野では、テレメトリがメトリクス、イベント、ログ、トレース（MELT）を包括する概念であるという、より広範な解釈が主流になりつつあり、ロギングとは、その形態の一つを生み出す実践であると言えます。
テレメトリとは、環境から継続的に発信される信号といったデータそのものを指します。オブザーバビリティとは、そのデータに基づいて構築された分野であり、誰も予期しなかった状況を解明するためのデータクエリなども含まれます。このページではデータ層そのものを扱いますが、別途取り上げる「セキュリティ・オブザーバビリティ」という分野では、そのデータを活用する調査および分析のワークフローを扱います。
Match 、以下の3つの期間区分Match 。すなわち、検出期間（ホット：数日から数週間）、調査期間（ウォーム：数週間から数ヶ月）、およびコンプライアンス義務期間（コールド：PCI DSSやHIPAAなどの規制に基づき、通常1年から7年）Match 。米国連邦政府機関については、2026年5月にOMB M-26-14が施行され、すべてのデータを保持するという義務が、リスクに基づく優先順位付けに置き換えられました。
OpenTelemetryは、ソフトウェアに計測機能を組み込み、そこから生成されるメトリクス、ログ、トレースをエクスポートするためのオープンスタンダードです。セキュリティチームにとって、これは分析機能というよりは、データの形式に関する正規化および転送の規約として重要な役割を果たします。そのコレクターコンポーネントは独立したソフトウェアであり、他のインフラと同様にパッチ適用や健全性監視が必要です。
攻撃者は、2つの異なる失敗モードを悪用します。カバレッジのギャップとは、管理対象外のデバイスや、サインイン記録を一切書き込まない偽装されたOAuthクライアントIDの場合のように、イベントがまったく生成されないことを意味します。改ざんとは、データは存在していたものの、意図的に隠蔽されたことを意味し、MITRE ATT&CK 分類されています。 T1685 「防御機能の低下」の項に記載されています。ネットワーク由来のテレメトリなどの独立したチャネルは、これら両方の影響を補います。
成熟度プログラムでは、各情報源について以下の4つの指標を追跡します。すなわち、カバレッジ（その情報源がどの検知フレームワークの手法を実証できるか）、取り込み量とそのコスト、イベント発生から分析までのレイテンシ、そして完全性（ストリームに欠落やサイレントドロップがないこと）です。これらを総合することで、インシデントが発生して明らかになる前に、可視性が不十分な箇所を特定することができます。