ログ管理・SIEM10製品の地図 被害のあとにログを出せる形で残るか

標準の保存日数を公式に書いている5製品のうち、SIEMに集めたログが標準のまま1年残るのは3つ、90日が2つでした。ほかの5製品は、日数を自社で決めます。

政府が11月6日に決めたサイバーセキュリティ緊急対策パッケージには、警察、内閣官房、所管省庁が連携し、被害企業からログなどの証拠の提供を得られるよう要請するという施策が入りました。パッケージの全体は11月7日の国の情報ダイジェストで確認できます。

求められた日に、何か月前のログを、どんな形で渡せるか。その答えは事故の日ではなく、SIEMを契約して設定した日に、ほぼ決まります。

端末の外のログを受け持つ10製品

端末の中の動きは、EDRが記録します。EDRの生ログが何日残るかはEDR・XDRの製品地図で、PCの操作ログはIT資産管理ツール8製品の地図で確認できます。地図の10製品が受け持つのは、その外側です。サーバー、ファイアウォールやVPN装置、AWSやAzureの管理操作、Microsoft 365などのSaaSの記録を、1か所に集めて残す製品です。

顔ぶれは、海外の会社の6製品と、日本の会社が開発や販売をする4製品です。市場の全製品ではありませんし、載っていない製品が劣るという意味もありません。位置は料金の数え方と置き場所の違いで、順位ではないことにご注意ください。

標準のまま1年残るのは3製品

Google Security Operations、Datadog Cloud SIEM、ALogのクラウド版の3つは、延長を足さなくても1年前後のログを持てます。ALogは「1年間ログ保管料」を0円とし、もう1年延ばす料金も価格表にあります。

Microsoft 365を使う会社は、ここで逆転に気づくはずです。Sentinelが無料で保持するのは90日ですが、Microsoft 365の監査ログはPurviewの監査（Standard）でも180日残ります。Microsoft 365のログをSentinelに集めても、無料の範囲のままなら、SIEMのほうが先に消える計算です。Sentinelで延ばすと、分析層で最大2年、データレイクまで含めると最大12年になり、どちらも保持の料金がかかります。

契約が切れたときの扱いも、製品で違います。LogStare Collectorの有償版は保管期間を自由に決められますが、ライセンスが切れると保管期間は10日に戻り、超えたログは削除されます。暗号化して保管していたログは、検索もできません。Splunk Cloud Platformでは、契約が終わる前にログを自社に移す作業はプロフェッショナルサービスの扱いで、費用がかかる場合もあります。

同じ「1日10GB」でも中身が違う

Microsoftの額は、Azureの小売価格APIにある東日本リージョンの値です。実際の価格は、契約の種類や購入日、為替で変わることがあります。

1日10GBを30日続けた場合を、公式の額で計算すると次のとおりです。

• ALogのクラウド版は月20万円。基本の10万円に、5GBごとの5万円が2つ付き、1年の保管も含みます。契約は年単位（自動更新）です
• Microsoft Sentinelの東日本の従量課金は、月約29.6万円。期間の縛りのない従量課金で、Office 365の監査ログなど無料で取り込めるログが入れば、その分は減ります。無料で残るのは90日までです
• Datadog Cloud SIEMは、最小価格で計算すると月1,875米ドル（年払い）
• EventLog Analyzerは量ではなく台数で数えます。Windowsサーバー20台とSyslogの機器10台なら年29.1万円（税別）で、ログが増えても額は変わりません。サーバーとディスクは自社で用意します

ただ、この額を並べて安い順と読むのは危ういでしょう。ALogの製品ページには「収集したログデータも圧縮後のデータで課金する」とあり、価格表も、翻訳変換に対応するOSのログは「翻訳変換後のログデータ容量で課金します」としています。一方、Microsoftが数えるのは取り込んだデータの量で、1GBは10の9乗バイトです。同じログでも、10GBの中身は製品ごとに違うと考えたほうが安全です。

数えない、あるいは軽く数える例外もあります。SentinelはAzureのアクティビティログと、SharePointやTeamsを含むOffice 365の監査ログを無料で取り込めます。ただし、Microsoft Entra IDなどの一部の生ログは有料です。Splunkは対象のシスコ製品のテレメトリーを0.5倍で数え、Sumo LogicのFlexは取り込みを0ドルにして、検索で読んだ量に課金します。

ログが契約を超えた月の扱いも、そろっていません。ALogでは、取得したログの月平均が契約の上限を2か月続けて超えると、ログの収集が止まります。クラウド版で検索やレポートに使える量も契約容量の1,000倍までで、超えるとサービス停止を知らせる警告メールが届きます。Splunk Cloud Platformは超えた分も保存を自動で広げますが、1日の取り込みの上限を超えてよいのは暦月で5回までです。

攻撃を受けた月は、ログも調べものも増えます。いちばんログが要る月に、収集が止まる契約もありえます。

監視の代行は3社、夜も受けるのは2社

10製品のうち、メーカー自身が監視の代行を公式に案内しているのは3社でした。夜間も受けるのは、そのうちMicrosoftとGoogleの2社です。

Microsoftの代行は、Defender Experts MDRのプラン2です。Sentinelに集めたMicrosoft以外のログにも、24時間体制の調査を広げます。ただしプラン2は最低1,500席のライセンスが前提で、前提の文書には「現在、このサービスは英語でのみ利用できます」とあります。Googleは、Mandiant Managed Defenseで24時間365日の検知と対応を案内しています。

ALog MDRは国内の会社のサービスで、祝日と年末年始を除く平日9時から17時のリモート対応です。時間外のアラートは、翌営業日の扱いでした。料金はActive Directoryのアカウント数で数え、Basicは1,000アカウントで月20万円です。ここだけは、ログの量ではなく人数で数える形です。

残る7製品は、メーカーの代行を前提にできません。Sumo LogicのEnterprise Suiteにある「24/7」は製品のサポートの窓口で、ログを監視するサービスではありません。

SIEMを入れただけでは、夜のアラートは誰にも見られないまま朝を迎えます。だから製品を選ぶ前に決めておきたいのは、深夜にアラートが鳴ったとき最初に受ける人です。社内の当番に回すか、販売店やセキュリティ会社のSOCを別に頼むか。Microsoftの代行は1,500席からで英語のみなので、それより小さい会社は、社内の当番か販売店やセキュリティ会社のSOCを前提に考えることになるでしょう。

警察に渡すのは、製品の外に出したログ

パッケージは、ログを集める要請と合わせて、事案発生時のログの保全などの初動を担う「ファスト・フォレンジック・フォース（FFF）（仮称）」を、警察庁と管区警察局などに立ち上げるとしています。どの形式でログを出せばよいかまでは、書かれていません。

令和4年に警察庁へ報告されたランサムウェアの被害は230件でした。警察庁の資料によると、そのうちログの保存状況が分かった117件で、すべて残っていたのは24件です。68件は一部が、25件はすべてが使えなくなっていました。

使えなくなった89件の要因は、暗号化が42件、犯人による削除が21件、保存期間の経過が18件でした。7割は攻撃者の手によるもので、5件に1件は日数切れです。残す日数を決めることと、製品の外に写しを置くことは、どちらか一方では足りないと読めます。警察庁は、攻撃者の削除や暗号化を防ぐため、ログをオフラインで保存するよう呼びかけています。

SIEMにログを送れば、サーバーの外に写しが1つできます。それでも、製品の中に置いたままでは足りない場面がありそうです。Microsoftは、取り込んだあとのログは変更できない一方で、消去（パージ）はできると書き、改ざんを防ぐなら不変ポリシーを付けたストレージへ書き出すよう案内しています。管理者のアカウントを乗っ取られれば、SIEMの中のログも消されうると読めます。自社設置型なら、ログのサーバーが同じネットワークにあり、ほかのサーバーと一緒に暗号化されるおそれもあります。

書き出しの形は、そろっていません。GoogleのData Export APIで出せるのは未加工のログだけで、正規化したUDMのイベントは別の方法になります。フォルダーはUTCの日時で区切られるため、日本時間で起きた出来事と照らすときは9時間のずれを頭に置く必要があります。Datadogの手順は逆です。AzureとGoogle Cloudの保管先には、不変や保持のポリシーを設定しないでください、とあります。まれに最後のデータを書き換える必要があるためで、改ざんへの備えは別の方法で考えることになります。

改ざんの有無を示す仕組みまで書いていたのは、ハッシュ値を管理するLogstorageと、アーカイブに電子署名を付けるEventLog Analyzerでした。GoogleとLogStareが書くのは暗号化で、中身を読ませないための守りです。改ざんの検出とは別のものと考えておくのが無難でしょう。

確認した公式のページに記載がなかったのは、次の点です。資料請求の先の資料や見積もりで分かることもあるはずです。

• Googleの監視の代行が対応する言語
• Microsoft、Google、ALogのほかの7製品での、メーカーによる監視の代行
• Google、Splunk、Sumo Logic、Logstorage、LogStareの額
• ALogのログの書き出し先
• ALog、Elastic、Splunk、Sumo Logicの改ざんへの備え

受け取る側の形式が示されていない以上、元のログのまま、時刻の基準と、ファイルごとのハッシュ値を添えて渡せる状態にしておく。編集部は、これがいま取れるいちばん確かな準備だと考えます。

うちの会社が最初に見る型

どの行も、最初に資料を取り寄せる順の目安です。夜間の監視と書き出しの形は、どの型を選んでも、別に決めるしかありません。

1日分のログを取り出してみる手順

製品を決める前でも、今あるログで試せることがあります。

1. 端末の外のログの出どころを書き出し、それぞれ1日の量を測ります。VPN装置、ファイアウォール、ドメインコントローラー、Microsoft 365の監査ログ、AWSのCloudTrailあたりが最初の候補です。量で数える製品は、この数字で月額が決まります。
2. 出どころごとに、今どこに何日残っているかを調べます。Microsoft 365なら、監査（Standard）で180日、監査（Premium）ではEntra ID、Exchange、OneDrive、SharePointの記録が既定で1年です。
3. 残したい期間を決めます。取引先との契約や業界の基準に定めがないかは、法務や営業に聞いておきます。決まりがなければ、警察庁の資料が例に挙げるPCI DSSの12か月が、1つの目安です。
4. 試用の環境か今のログサーバーで、VPN装置のログを1日分、自社の保管先へ書き出します。ファイルを開き、時刻が日本時間かUTCか、元の行がそのまま残っているかを見てください。ハッシュ値を取って書き出した日時と一緒に記録しておくと、渡すときの説明が楽になります。
5. 深夜に重大なアラートが出たとき、最初に受ける人を決めます。メーカーの代行がない製品なら、社内の当番か、販売店やセキュリティ会社のSOCです。
6. 見積もりでは、上限を超えた月の扱いと、ライセンスが切れたあとや解約のあとにログがどうなるかを、製品ごとに聞きます。

国の施策は、所管企業などから「通報や証拠の提供が得られるよう、必要な要請を行う」という段階で、義務ではありません。それでもパッケージは、全国の警察による合同捜査の体制を作り、FFFも速やかに立ち上げるとしています。1日分を書き出して開いてみると、自社のSIEMが求められた日に何を渡せるかが、比較表よりずっとはっきり見えてくるはずです。

確認日はすべて2026年11月11日で、料金と保存期間は変わることがあります。