SOARサイバー攻撃への対策というと、ウイルス対策ソフトやEDR、UTM、ファイアウォールなど、「攻撃を防ぐための仕組み」を思い浮かべる方が多いかもしれません。
しかし、現在のサイバー攻撃を完全に防ぐことは困難です。
もし攻撃者に侵入されたとしても、その後の不審な動きに早く気づくことができれば、情報漏えいやランサムウェアなどの大きな被害に発展する前に対応できる可能性があります。
そこで重要になるのが「ログ監視」です。
さらに近年では、単に決められた条件に当てはまる動きを探すだけではなく、ユーザーや端末の「普段の行動」と比較して異常を見つけるUEBA（User and Entity Behavior Analytics；ユー・イー・ビー・エー）という考え方も活用されています。
「UEBA」という言葉は聞き慣れないかもしれませんが、考え方自体はそれほど難しくありません。
本コラムでは、ログ監視とは何か、UEBAは何をしているのか、そして中小企業ではどのように考えればよいのかを分かりやすく解説します。
「ログ（Log）」とは、サーバー、パソコン、ネットワーク機器、クラウドサービス、各種業務システムなどに記録される「誰が・いつ・どの端末から・何をしたか」という操作や通信の履歴のことです。
セキュリティの観点では、主に以下のようなログが記録されています。
| 認証ログ | ログインの成功・失敗、アカウントの変更履歴など |
| 操作ログ | ファイルの閲覧・編集・削除・印刷・USBへのコピーなど |
| ネットワークログ | どのWebサイトにアクセスしたか、外部とどのような通信を行ったか |
| システムログ | OSやアプリケーションの起動・終了、設定変更、エラーの記録 |
これらのログは、万が一インシデント（セキュリティ事故）が発生した際に「被害範囲はどこまでか」「どのように侵入されたのか」の原因を追究するための重要な証拠となります。
例えば、会社でGoogle WorkspaceやMicrosoft 365などを利用している場合、
といった情報が記録されることがあります。
パソコンやサーバーにも、ソフトウェアの起動、システムへのアクセス、エラーの発生など、さまざまなログが残ります。
ファイアウォールやVPN、EDRなどのセキュリティ製品にも、それぞれ通信や端末の動作に関する記録があります。
つまりログは、会社のIT環境で起きていることを後から確認するための「足跡」のようなものです。
IPAも、システムが出力するログについて、不正アクセスの検知や被害状況の把握などに必要となる重要な記録であり、取得する目的や項目、保管・確認方法などをあらかじめ整備することが必要だとしています。
「うちのシステムもログは残っています」
という企業は少なくありません。
しかし、ログが保存されていることと、ログを監視できていることは別です。
仮に不正アクセスの記録が残っていたとしても、誰も確認しなければ、異常には気づけません。
例えば、
「あるアカウントで短時間に何十回もログインに失敗している」
「普段利用していない時間帯に管理者アカウントが使われている」
「ある端末から大量のデータが外部へ送信されている」
といった記録が残っていても、数週間後に事故が起きてからログを確認したのでは、早期発見にはつながりません。
そこで必要になるのがログ監視です。
ログ監視では、収集したログを確認・分析し、不正アクセスやマルウェア感染などにつながる可能性のある動きを探します。
ただし、企業内には膨大なログが発生します。
人が一つひとつ目で確認することは現実的ではないため、実際にはSIEMなどの仕組みを利用してログを集約し、あらかじめ設定したルールに基づいて異常を検知する方法が使われています。
従来のログ監視では、例えば、
「ログインに10回失敗したらアラート」
「特定の不正な通信先へのアクセスを検知したらアラート」
「禁止されている操作が行われたらアラート」
といったように、一定の条件やルールを設定して異常を検知する方法が多く使われています。
こうした監視は現在でも非常に重要です。しかし、これらは「あらかじめ設定したルール」しか検知できません。
問題になるのが、一見すると正規の利用に見える攻撃です。
例えば、攻撃者が社員のIDとパスワードを盗み、その社員になりすましてクラウドサービスへログインしたとします。
IDもパスワードも正しいため、システムから見れば「正常にログインしたユーザー」です。
それだけでは不正アクセスと判断できない場合があります。
さらに、退職予定の従業員や不満を抱えた関係者が機密情報を持ち出す「内部不正」、それによる情報漏洩という場合もあります。
これらの「一見正規の利用」に見えるログインが、
「普段は午前9時から午後6時ごろしか利用しない社員が、深夜3時にログインした」
「普段利用していない端末からログインした」
「普段ほとんど見ない大量のファイルにアクセスした」
「短時間に通常とは異なる操作を繰り返した」
といった情報を組み合わせると、どうでしょうか。
一つひとつの操作は禁止されていなくても、「この人にしては何かおかしい」と考えることができます。
こうした「普段との違い」に注目するのがUEBAです。
UEBAとは、
User and Entity Behavior Analytics
の略で、日本語では「ユーザーおよびエンティティの行動分析」などと訳されます。
難しそうに見えますが、一言で表すなら、
「その人や端末などの普段の行動を把握し、いつもと違う動きを見つける仕組み」
です。
Userは「ユーザー」、つまり社員などの利用者です。
一方、Entity（エンティティ）とは、人以外の監視対象を指し、例えば、
などが対象になります。
以前は人の行動を中心に分析する「UBA（User Behavior Analytics）」という考え方がありましたが、対象がユーザー以外の端末やシステムなどにも広がったものがUEBAです。IBMも、UEBAについて、ユーザーだけでなくサーバー、ルーター、IoTデバイスなどの異常な行動を監視する仕組みとして説明しています。
UEBAでは、ログイン履歴や端末、ネットワークなど過去の膨大なログデータを分析し、ユーザーや機器ごとに「通常はどのような行動をしているか」という基準（ベースライン）を作ります。
そして、現在の行動がその基準から大きく外れた場合に、リスクのある行動として検知します。
ログデータは英数字や記号が羅列された専門的な形式で記録されていることが多く、そこから「これが単なるシステムエラーなのか、サイバー攻撃の兆候なのか」を読み解くには高度な知識が必要です。「ログはあるけれど不審な動きを見抜けず、見逃してしまう」という問題を解決するために登場したのがUEBAです。
言い換えるならば、「AI（機械学習）を活用して、人や機器の『普段と違う怪しい動き』を検知する賢いセキュリティ監視ツール」です。
「人」に加えて「端末やサーバー（エンティティ）」の動きも多角的に監視・分析するため、「人が直接操作していないバックグラウンドでのマルウェアの不審な通信」なども見逃さずに捕捉できるわけです。
例えば、ある営業担当者について、普段は次のような利用状況だったとします。
「平日の8時～20時ごろに利用する」
「日本国内からアクセスすることが多い」
「営業資料や顧客関連ファイルを中心に利用する」
「一度に大量のデータをダウンロードすることはほとんどない」
ところが、ある日突然、
「深夜にログインする」
「普段と異なる端末からアクセスする」
「短時間に大量のファイルへアクセスする」
「普段利用しないシステムへアクセスする」
「大量のデータをダウンロードする」
といった行動が重なったとします。
それぞれの操作だけを見れば、必ずしも攻撃とは限りません。
残業していたのかもしれませんし、新しいパソコンを使っているだけかもしれません。
しかし、複数の「普段と違う行動」が重なれば、
「このアカウントは誰かに乗っ取られているのではないか」
と疑うきっかけになります。
UEBAは、こうした行動の変化を分析し、不審なアカウント利用、認証情報の悪用、内部不正、ネットワーク内部での横展開、データの持ち出しなどを発見するために利用されます。
特に、盗まれた正規アカウントを使う攻撃は、単純な「許可／禁止」のルールだけでは見つけにくいため、行動を見るという考え方が重要になります。
ここまで読むと、
「SIEMやSOC、SOARとは何が違うの？」
と思う方もいるかもしれません。
これらは競合するものではなく、それぞれ役割が異なります。
| ログ | パソコン、サーバー、クラウド、ネットワークなどで起きたことの「記録」です。 |
| SIEM | さまざまな機器やサービスのログを一か所に集め、相関分析してセキュリティ上の異常を見つけやすくする仕組みです。 |
| UEBA |
ログなどのデータからユーザーや端末の普段の行動を把握し、「いつもと違う行動」を見つけるための分析技術・考え方です。 UEBAは異常な行動を見つけると、その危険度に応じて「リスクスコア」という点数を付与します。不審な行動が重なると、リスクスコアが一気に跳ね上がります。 これにより、運用担当者は「スコアが高い、本当に危険な事象」だけに集中して対処できるようになり、アラート疲れを大幅に軽減できるのです。 UEBAは単独の製品としてだけ存在するわけではなく、現在ではSIEMやEDR、XDRなどのセキュリティ製品・サービスに機能として組み込まれることもあります。 |
| SOC |
SIEMやEDRなどから得られるアラートやログを監視・分析し、サイバー攻撃の兆候を発見・対応する「体制」です。 |
| SOAR |
異常を検知した後の確認、通知、端末隔離など、一定の対応手順を自動化・効率化する仕組みです。 |
つまり、かなり単純化すると、
| ログで「記録する」 ↓ SIEMなどで「集めて分析する」 ↓ UEBAで「普段との違いを見る」 ↓ SOCなどで「人が確認・判断する」 ↓ SOARなどで「対応を効率化・自動化する」 |
という関係で考えると分かりやすいでしょう。
UEBAは非常に強力な「検知・分析ツール」ですが、ツール単体でセキュリティ対策が完結するわけではありません。検知された不審な行動に対して「人間がどう判断し、どう対処するか」という全体像が必要です。
「UEBAの高度なAI検知能力」＋「SOCなどによる専門的な分析」＋「SOARによる自動化された初動対応」という組み合わせが、限られたリソースで自社を守らなければならない中小企業にとって非常に強力なソリューションとなるのです。
「ログ監視やUEBAの重要性は分かったけれど、予算も専任の担当者もない自社でどうやって導入すればいいのか？」と不安に思われる中小企業の方も多いでしょう。
最初から高額なエンタープライズ向けのUEBAシステムを導入する必要はありません。
まず重要なのは、
「自社で何が起きているかを確認できる状態を作ること」
です。
例えば、
といった基本的なところから始めることができます。
そして、ログが増え、人だけでは確認しきれなくなってきた場合には、SIEMやSOC・MDR（SOCの「外注パッケージ」）などを利用して監視を効率化する方法があります。
さらに、高度なSIEMやXDR、SOCサービスなどでは、UEBAに近い行動分析機能が提供されている場合もあります。
自社のPCやクラウドサービス（Microsoft 365やGoogle Workspaceなど）と連携できるクラウド型セキュリティツールを選択すれば、初期費用を抑えつつ、すぐに高度なログ監視と行動分析を始めることも可能です。
そのため中小企業では、
「UEBAという製品を導入するか」ではなく、「自社では不審な行動をどうやって発見するのか」
という視点で考えることが大切です。
セキュリティ対策というと、どうしても「侵入させない」「ウイルスに感染させない」という防御に目が向きがちです。
もちろん、防御は重要です。
しかし、どれだけ対策しても、サイバー攻撃を100％防ぐことはできません。
そこで重要になるのが、
「侵入されたとしても、不審な行動に早く気づけるか」
という視点です。
ログは、システムで何が起きたのかを知るための記録です。
ログ監視は、その記録から異常を見つける取り組みです。
そしてUEBAは、さらに一歩進んで、ユーザーや端末の「普段の行動」と比較することで、これまでのルールだけでは見つけにくかった異常を発見する考え方です。
重要なのは、最初から高度な監視システムをすべて導入することではありません。
まずは、
✅どのシステムのログが取得できているのか。
✅誰がそのログやアラートを確認するのか。
✅異常を発見したら誰に連絡するのか。
✅どのような行動を「おかしい」と判断するのか。
こうした基本を整理することから始めましょう。
サイバー攻撃を完全に防ぐことだけを目指すのではなく、「何か起きても、できるだけ早く気づける会社」にすること。
それが、これからの中小企業のセキュリティ対策において重要な考え方です。
「自社のセキュリティ状態がどうなっているか分からない」「ログは取っているけれど監視できていない」というお悩みをお持ちの中小企業経営者様・ご担当者様は、まずは自社のIT環境の現状把握から始めてみてはいかがでしょうか。
LYSTでは、中小企業の実情に合わせたセキュリティ診断から、ログ監視・EDR/MDRの導入、インシデント対応体制の構築まで幅広くサポートしています。ぜひお気軽にご相談ください。