ログの相関分析はなぜ重要か――単体アラートでは見えない攻撃の全体像

迎健太

重大度ラベルだけを見ていては見逃す侵害がある。個々には正常に見えるイベントの組み合わせから、攻撃の全体像を捉える相関分析の本質。

深夜2時、3つの「正常」が重なった夜

深夜2時、正規の従業員アカウントでログインが成功する。ログには「認証成功」としか記録されない。数分後、そのアカウントが普段使わないPowerShellコマンドを実行する。管理作業のログとして淡々と記録される。その直後、社外の未知のIPアドレスへ数百MBのデータが送信される。ファイアウォールのログには「アウトバウンド通信」とだけ残る。

この3つのログを個別に見た担当者は、それぞれをこう解釈するだろう。「深夜の残業だろう」「管理者の定常作業だろう」「バックアップの同期だろう」。SIEMやEDRが自動で付与する重大度ラベルも、多くの場合はCriticalやHighではなく、LowかInformationalにとどまる。単体では、どれも異常とは断定できない挙動だからだ。

しかし3つの出来事を時系列でつなぎ、「同一アカウント・同一端末」という軸で束ねて見ると、姿が変わる。認証情報の窃取から不正な権限行使、そしてデータの持ち出しへと至る、一連の侵害の流れが浮かび上がる。個々のイベントの異常度ではなく、イベント同士の「順序」と「組み合わせ」が異常の正体だったということだ。

「重大度ラベルさえ見ていれば安心」という発想の限界

多くの現場では、SIEMやEDRが自動付与する重大度ラベルを優先順位の拠り所にしている。Critical・Highを最優先で確認し、Low・Informationalは後回しにする、あるいは事実上見ない。ラベル自体が異常を判定してくれるのだから、それに従っていれば重大インシデントは取りこぼさない、という考え方である。

だが重大度ラベルが評価しているのは、あくまで「そのイベント単体がどれだけ異常か」である。前述の3つの出来事のように、個々には正常範囲に収まる挙動が、特定の順序・組み合わせで発生したときにだけ異常になるパターンは、この評価軸では本質的に捉えきれない。SIEMの相関ルールは、まさにこの「複数イベントの組み合わせ」を検知するために設計された仕組みであり、単体イベントの重大度判定とは別のレイヤーの機能である。近年広がるUEBA(振る舞いベースのベースライン検知)も、個々のログではなくユーザーや端末の行動パターンの変化を見る点で、同じ発想に立っている。

学術研究の領域でも、Kill Chain State Machinesのような攻撃グラフモデルを用いた研究が、SOCアナリストがアラート疲労によって長期間にわたる攻撃の兆候を見逃す問題を指摘している。ラベルだけを頼りに優先順位をつける運用は、この種の「弱いシグナルの積み重ね」型の侵害に対して構造的な死角を持つ。

数字が示す、見逃しが起こりやすい構造

この死角は、複数の統計からも輪郭が見えてくる。

SOCが1日に処理するアラートは平均で約2,992件にのぼり、そのうち40%は調査すらされないという調査結果がある。さらに、SOCアナリストの61%が「後になって重大だと判明したアラートを、当時は無視した経験がある」と回答している。アラートの絶対量が、個別確認という運用の限界を超えてしまっている実態がうかがえる。

侵害から検知までの期間(dwell time)についても、Mandiantの「M-Trends 2025」によれば、2024年のグローバル中央値は11日である(2023年は10日)。検知の契機別に見ると、攻撃者自らが名乗り出るランサムウェア等のケースでは中央値5日と早い一方、外部機関からの通知を受けて気づくケースでは26日、組織内部での自主検知でも10日を要している。地域差もあり、JAPAC地域は9日と最も早いが、EMEA地域は22日と長い。これらの数字は、相関分析の有無と検知速度の間に直接の因果関係を証明するものではないが、単体イベントの監視だけでは検知が長期化しやすい状況を示唆している。

Verizonの「2025 Data Breach Investigations Report」では、侵害へのサードパーティの関与が前年の15%から30%へと倍増したことが報告されている。またエッジデバイスの脆弱性修復には中央値32日を要する一方、悪用開始までの中央値は0日、つまり公開直後から攻撃が始まっているという非対称性も示されている。攻撃者の初動が速く、かつ関与する経路が複雑化するほど、単一のログソース・単一のイベントだけを見張る運用では追いきれない場面が増えていく。

こうした背景には、世界的なセキュリティ人材不足――約350万人規模とされる――も影響している。人手を増やしてアラート一つひとつを精査する、という解決策には限界がある。

相関分析だけで見逃しがゼロになるわけではない――反論への応答

ここで一つ、誠実に述べておくべきことがある。相関分析を導入すれば見逃しがゼロになる、というのは単純化しすぎである。

ルールベースの相関エンジンは、既知の攻撃パターン(前述のような「ログイン→PowerShell→外部送信」といった定型的な流れ)には強い。しかし攻撃者が手口を変え、未知の組み合わせで侵入してきた場合には、既存ルールでは追従できない。かといってルールを網羅的に作り込みすぎれば誤検知が増え、担当者は結局アラートに埋もれる。逆に緩めれば見逃しが増える。このトレードオフは、単体アラート監視から相関分析に切り替えたところで消えてなくなるわけではない。

実際、Kill Chain攻撃グラフを用いた研究では、364件の脅威アラートに対して誤検知を86%削減し、調査工数を90時間以上削減したという結果が報告されている。これは相関分析、とりわけ攻撃の文脈(コンテキスト)を踏まえた分析が、検知の精度を引き上げ、アナリストの負荷を軽減する方向に働くことを示す一例であって、「相関分析さえあれば侵害を完全に防げる」という結論を導くものではない。重要なのは、相関分析が単体アラート監視の構造的な死角を埋め、見逃しを構造的に減らす手段として機能する、という抑制的な理解である。

専門人材がいない企業は、相関分析をどう実現するか

もっとも、ここで多くの読者が抱く疑問がある。相関ルールを自社の環境――使っているクラウドサービス、業務アプリケーション、ネットワーク構成――に合わせて設計し、継続的にチューニングできる専門人材を、日常的に確保できている企業がどれだけあるだろうか。相関分析の重要性は理解できても、それを実装・運用するリソースがなければ絵に描いた餅になる。

この課題に対する一つの解が、ルール設計を人手に頼らずAIに担わせるアプローチである。ヤグラは、複数のログソースを一元集約するDataLake型のSIEMを自社で保有している。エンドポイント、認証基盤、ネットワーク機器など、企業内に散在するログを一つの基盤に集約したうえで、AIが自動でイベント同士のつながりを調査し、時系列・エンティティ・ログソースを横断した文脈づけを行う。担当者が個別に相関ルールを設計・保守しなくても、目安として10分程度でイベント間の関連性を洗い出す運用を実現している点が特徴だ。専門人材の有無に検知の質が左右されにくい体制を志向している、と言い換えてもよい。

結論――見るべきは「点」ではなく「線」

単体アラートの重大度ラベルは、あくまでイベント一つひとつの異常度を測るものさしにすぎない。実際の侵害の多くは、個々には正常に見える行動が、特定の順序・組み合わせで積み重なったときに初めて異常として姿を現す。この「線」としての異常を捉えるには、同一エンティティを軸に複数ログソースを束ね、時系列に沿って意味を読み替え、種類の異なるログを横断して評価する、ログの相関分析が欠かせない。

相関分析も万能ではなく、既知パターンへの強さと未知パターンへの弱さ、誤検知と見逃しのトレードオフからは逃れられない。しかしそれでもなお、単体アラート監視だけでは原理的に埋められない死角を減らす手段として、相関分析には確かな意味がある。専門人材の不足という制約の中で、その分析をどう継続的に回していくか――そこにこそ、これからのSOC運用の分かれ目がある。