it-service@brocent.com
SOCログ管理
2026年8月の対象期間における、ログソースの網羅性、取り込み量、検知とトリアージの実績、インシデントの結果、保持期間の状況。
当期のセキュリティインシデントはゼロ。ログの網羅性に2つの死角が残る
プラットフォームは14のログソースから41.2 GBを取り込み、63件のアラートを生成しました。うち11件をアナリスト調査へエスカレーションしています。11件はすべて問題なし、または想定内の管理操作として解決し、セキュリティインシデントの宣言もクライアントへのエスカレーションもありませんでした。平均検知時間は7分、平均トリアージ時間は34分で、いずれも目標内です。
ログソース2件が依然として未連携です。syslogの送信先が設定されていないアクセススイッチ2台と、エージェントが現行のログスキーマより古いmacOS端末3台です。これにより深圳のアクセス層とリサーチ端末の一部が検知の対象外となっています。保持期間はホット90日・コールド12か月で現行要件は満たしますが、環境内の他の業務記録に適用されている7年より短い状態です。
当期の監視状況
アラート件数が減りつつエスカレーション率が横ばいなのは、監視を緩めた結果ではなくチューニングの成果です。7月比18件の減少は、2期にわたり無害と確認した既知パターン3件を抑制したことによるものです。
対応が必要な4件
根拠。 いずれのアクセススイッチにもsyslogの送信先が設定されていません。1台はファームウェアが1世代前、もう1台はベンダーサポートが終了しており、構成管理レポートで交換を提案しているのも同じ機器です。
影響。 これらのスイッチにおけるポート単位の変更、認証失敗、構成の編集は、どこにも記録が残りません。深圳のアクセス層に物理的または管理上のアクセスを得た攻撃者は、痕跡を残さないことになります。
推奨対応。 サポート対象のスイッチには今月中にsyslog転送を設定し、サポート切れ機器の交換にあたってはログ転送を受入条件に含めます。
根拠。 リサーチ用Mac 3台はエンドポイント保護の状態こそ報告しますが、プロセス・認証・ファイルアクセスのイベントを転送しません。エージェントの更新には再起動が必要で、利用者が延期を続けています。構成管理レポートで指摘したものと同じ端末です。
影響。 これらの端末での検知は保護製品自身が報告する内容に限られ、プロセスと認証のテレメトリに基づく振る舞い検知は適用されません。
推奨対応。 パッチの延期上限に合わせて設定した9月の再起動枠でエージェントを更新し、その後3日連続でイベントの流入を確認します。
根拠。 セキュリティログは検索可能な状態で90日、コールドストレージで12か月保持されています。一方でメールボックスと文書の記録は7年保持です。必要なログ保持期間についての文書化された規定はありません。
影響。 12か月より前の活動を調査する場合 — 規制当局からの照会や退職者との係争ではあり得る時間軸です — 参照できるログの証跡が存在しません。
推奨対応。 セキュリティログの保持期間を文書として定めます。BCSとしては、ホット90日・コールド24か月を妥当な水準として推奨し、ストレージ費用の差額を提示します。
根拠。 2026-08-22の計画再起動中、ファイアウォールのログ送出が11分間停止しました。無音アラームのしきい値が15分であるため、当時は検知されず、事後のレビューで判明しています。
推奨対応。 境界系のソースについては無音しきい値を5分へ引き下げ、スリープするノートPCによるノイズを避けるためエンドポイントは15分のまま維持します。
Entra IDのサインインおよび監査ログを2026-08-05に連携し、7月の指摘をクローズしました。当期のリスクありサインイン3件をすべて特定したのは、この連携で追加された検知です。無害なアラートを繰り返し生成していた3ルール — バックアップサービスの認証、スキャナーのSMBアクセス、夜間パッチの再起動 — を記録の残る形で抑制設定し、網羅性を落とさずにアラート量を22%削減しました。
5項目のサービスレベルすべて達成
| 約定サービスレベル | 目標 | 実績 | 判定 | 備考 |
|---|---|---|---|---|
| 重大アラートの受付 | 15分以内 | 最大6分 | MET | 当期の重大アラート2件 |
| 高アラートのトリアージ | 1時間以内 | 平均34分 | MET | エスカレーション11件 |
| インシデント時のクライアント通知 | 30分以内 | 該当なし | MET | インシデントの宣言なし |
| ログ取り込みの可用性 | 99.5%以上 | 99.97% | MET | 11分の断が1件 |
| 月次レポート発行 | 第5営業日まで | 第3営業日 | MET | 2026-09-03発行 |
3期間の推移
| 指標 | 2026年6月 | 2026年7月 | 2026年8月 | 推移の方向 |
|---|---|---|---|---|
| 連携済みログソース | 12/16 | 13/16 | 14/16 | 改善傾向。残る2件はアクセススイッチ。 |
| 取り込み量 | 34.6 GB | 38.1 GB | 41.2 GB | 増加はノイズではなく新規ソースによるもの。 |
| 生成アラート | 74 | 81 | 63 | ルールチューニング後に減少。エスカレーション率は安定。 |
| 真陽性率 | 9% | 12% | 17% | シグナル品質が向上 — 少なく、質の高いアラートへ。 |
| 平均検知時間 | 12分 | 9分 | 7分 | ID系検知の稼働に伴い改善。 |
| 平均トリアージ時間 | 58分 | 45分 | 34分 | 改善傾向。プレイブックが上位5種のアラートを網羅。 |
バーは最大カテゴリ（24件）を基準にスケールしています。IDが最多なのは、クラウド前提の環境ではサインインのテレメトリが最も情報量の多いソースであること — そして当期に稼働を開始したばかりであることによります。
ログソースの網羅状況
| ソース | 種別 | 容量 | イベント | 状態 | 遅延 | 備考 |
|---|---|---|---|---|---|---|
| Entra ID サインイン | ID | 6.4 GB | 190万 | 正常 | < 2分 | 2026-08-05に連携 |
| Entra ID 監査 | ID | 1.1 GB | 30万 | 正常 | < 2分 | 2026-08-05に連携 |
| エンドポイント保護 | エンドポイント | 9.3 GB | 420万 | 一部 | < 5分 | 35台中32台 |
| Windowsセキュリティログ | エンドポイント | 7.2 GB | 310万 | 正常 | < 5分 | Windows 30台すべて |
| ファイアウォールHA構成 | 境界 | 8.9 GB | 670万 | 正常 | < 1分 | 08-22に11分の断が1件 |
| コアスイッチ | ネットワーク | 1.4 GB | 80万 | 正常 | < 1分 | コアスイッチ2台とも |
| アクセススイッチ | ネットワーク | — | 0 | 未連携 | — | syslog送信先が未設定 |
| 無線コントローラー | ネットワーク | 0.9 GB | 50万 | 正常 | < 2分 | アクセスポイント6台すべて |
| Exchange Online | メール | 2.6 GB | 110万 | 正常 | < 10分 | メッセージ追跡と監査 |
| SharePoint／OneDrive | 共同作業 | 1.3 GB | 60万 | 正常 | < 10分 | ファイルと共有のイベント |
| ファイルサーバー | サーバー | 0.8 GB | 40万 | 正常 | < 5分 | オブジェクトアクセス監査を有効化 |
| アプリサーバー | サーバー | 0.4 GB | 20万 | 正常 | < 5分 | セキュリティログのみ |
| クラウドインフラ | クラウド | 0.3 GB | 10万 | 正常 | < 5分 | コントロールプレーンの監査 |
| バックアップ基盤 | プラットフォーム | 0.1 GB | 5万 | 正常 | < 5分 | ジョブと削除のイベント |
| NAS | ストレージ | — | 0 | 未連携 | — | syslog対応済み。実施を予定 |
| VPNゲートウェイ | 境界 | 0.5 GB | 20万 | 正常 | < 1分 | 認証とセッション |
16ソース中14件が連携済みです。未連携はアクセススイッチとNASで、NASはsyslogに対応しており9月に実施予定です。これによりスイッチ交換前に網羅は16件中15件になります。
エスカレーションしたアラートと結果
| 番号 | 日付 | 検知内容 | 深刻度 | トリアージ | 結果 |
|---|---|---|---|---|---|
| AL-2211 | 2026-08-03 | 不可能な移動のサインイン | HIGH | 21分 | 問題なし — 従業員のシンガポール出張。本人に確認済み。 |
| AL-2218 | 2026-08-07 | 単一ASNからのパスワードスプレー | CRITICAL | 6分 | レガシー認証ポリシーでブロック。影響アカウントなし。送信元レンジを遮断。 |
| AL-2224 | 2026-08-11 | 共有への大量ファイルアクセス | HIGH | 33分 | 問題なし — 深圳チームによる予定済みのリサーチデータ移行。 |
| AL-2231 | 2026-08-14 | 不審なPowerShellの連鎖実行 | HIGH | 28分 | 問題なし — BCSのパッチスクリプト。署名を許可リストへ追加。 |
| AL-2237 | 2026-08-17 | 受信トレイ転送規則の新規作成 | HIGH | 17分 | 問題なし — 社内同僚宛の規則。利用者が意図を確認。 |
| AL-2242 | 2026-08-19 | 特権ロールの有効化 | MEDIUM | 44分 | 想定内 — アカウントレビューの変更記録と一致。 |
| AL-2249 | 2026-08-22 | ログソースの無音 | MEDIUM | 事後レビュー | ファイアウォール再起動。11分の断はしきい値未満 — 指摘事項を参照。 |
| AL-2253 | 2026-08-24 | 不可能な移動のサインイン | HIGH | 19分 | 問題なし — VPN出口ノードの変更。端末テレメトリで裏づけ。 |
| AL-2258 | 2026-08-26 | 資格情報詐取リンクのクリック | CRITICAL | 5分 | クリック時点でリンクをブロック。資格情報の入力なし。利用者に説明し、当該メールをテナント全体から削除。 |
| AL-2263 | 2026-08-28 | USB大容量ストレージの接続 | MEDIUM | 51分 | 古いUSB例外の対象であるリサーチ用Mac — 構成管理レポートを参照。 |
| AL-2269 | 2026-08-31 | 単一ユーザーのMFA連続失敗 | HIGH | 26分 | 問題なし — 端末の買い替え。認証アプリへ再登録済み。 |
期をまたいで繰り越される未解決項目
| 番号 | リスク | 深刻度 | 担当 | 期限 | 状況 | 次のアクション |
|---|---|---|---|---|---|---|
| SOC-R01 | ネットワークのアクセス層が未監視 — スイッチ2台がログを送出しない | HIGH | BCS Support Center | 2026-09-30 | 対応中 | サポート対象機にsyslogを設定。交換機の要件にも含める。 |
| SOC-R02 | 端末3台に振る舞いテレメトリがない — エージェントがスキーマより古い | MEDIUM | BCS Support Center | 2026-09-30 | 対応中 | 9月の再起動枠で更新し、3日分のイベントを検証。 |
| SOC-R03 | ログ保持要件が文書化されていない — 12か月に対し記録は7年 | MEDIUM | クライアントCOO | 2026-10-31 | 未着手 | 保持期間を合意。BCSが24か月コールドの見積を提示。 |
| SOC-R04 | NASがログを転送していない — ストレージへのアクセスが未監視 | MEDIUM | BCS Support Center | 2026-09-30 | 未着手 | syslog転送を有効化し、共有アクセスの検知を作成。 |
| SOC-R05 | ログ無音のしきい値が緩い — 15分未満の断に気づけない | LOW | BCS Support Center | 2026-09-30 | 未着手 | 境界系ソースは5分へ引き下げ。 |
| SOC-R06 | 12か月間インシデント対応訓練を実施していない — プレイブックをクライアントと未検証 | MEDIUM | クライアントCOO + BCS | 2026-12-31 | 未着手 | 第4四半期の災害復旧テストと併せて机上訓練を実施。 |
次期のコミットメント
| BCS Support Center の対応 | クライアントへのお願い |
|---|---|
| NASとサポート対象のアクセススイッチを連携し、網羅を16件中15件にする。 | セキュリティログの保持期間を確定する。 |
| macOSエージェント3台を更新し、振る舞いイベントの流入を確認する。 | リサーチ用Macの9月の再起動枠を承認する。 |
| 境界系のログ無音しきい値を5分へ引き下げる。 | 第4四半期のインシデント対応机上訓練の参加者を指名する。 |
| 毎期、アラートカテゴリ別の真陽性率とトリアージ時間を報告する。 | 時間外のエスカレーション連絡先一覧が最新であることを確認する。 |
本レポートの作成方法
| データソース | 抽出日時 | レコード数 | 用途 |
|---|---|---|---|
| SIEM取り込みメトリクス | 2026-09-01 01:00 HKT | ソース16件 | ソース別の容量、イベント数、遅延、無音の断。 |
| アラート・ケース記録 | 2026-09-01 01:20 HKT | アラート63件 | 深刻度、検知カテゴリ、トリアージ時間、結果。 |
| 検知ルール一覧 | 2026-09-01 | ルール96件 | チューニング変更、抑制設定、カテゴリ別の網羅。 |
| 保持設定 | 2026-09-01 | 2階層 | ホット・コールド保持期間の検証。 |
| サービスデスクのエスカレーション | 2026-08-31 | ケース11件 | クライアントへの連絡とクローズの証跡。 |
手法と定義
平均検知時間は ソース上のイベントのタイムスタンプから、プラットフォームでのアラート生成までで測定するため、取り込み遅延を含みます。アナリストがケースを開いた時点からは測定しません。それでは数字が実態よりよく見えるためです。
真陽性率は 対応または判断を要する、実際の想定外の活動を示したアラートの割合です。想定内の管理操作と確認されたアラートは、検知が正しく機能していても誤検知として数えます。クライアントの視点ではノイズだからです。
インシデントは セキュリティ起因の不正アクセス、データ損失、サービス停止が確認された時点で宣言します。当期の宣言はありません。重大アラート2件は影響が生じる前にブロックされており、インシデントではなくアラートとして報告しています。
対象外。 脆弱性とパッチの状況はパッチ管理レポートで、エンドポイントの構成は構成管理レポートで報告します。会計システムとマーケットデータシステム内部のアプリケーション監査ログは転送されておらず、監視の対象外です。
本書は説明用に匿名化したサンプルです。顧客名、ホスト名、ユーザー識別子、アラート番号、送信元ネットワークアドレスは架空または一般的な値に置き換えています。容量、比率、日付、指摘事項は代表的な監視対象環境を反映したものです。実際の顧客データは一切含まれていません。
BCS Support Center · it-service@brocent.com
本レポートについて、よくいただくご質問
すべてのログソースの網羅状況（容量と遅延を含む）、すべてのアラートの深刻度と結果、そしてソース側のイベントのタイムスタンプから測定した平均検知時間とトリアージ時間です。アナリストがケースを開いた時点からは測定しません。それでは数字が実態よりよく見えるためです。
死角そのものが指摘事項だからです。サンプルレポートでは、未監視のアクセススイッチ2台と振る舞いテレメトリのない端末3台を、担当者と期限とともに明記しています。網羅を完全であるかのように見せることはしません。
既定では検索可能な状態で90日、コールドストレージで12か月です。企業の記録方針がより長い場合は、より長いコールド階層を推奨・見積し、決定されるまでその差を報告し続けます。
御社のSOCログ管理レポートに何が書かれるかを見る
無料ITヘルスチェックでは、御社の実環境に対して本レポートの初版を作成します。費用も、その後の契約義務もありません。期間は約1週間、御社チームのお時間は数時間程度です。