Zeek NSMとAI SOCの連携｜取得データ・活用方法
NDR・OT · 連携対応
Zeek NSMNDR・OT · ログ取り込み · 連携対応
記載したデータ・連携方式に対応しています。必要な契約・権限と、お客様環境での接続条件は導入時に確認します。
Zeek NSMとAI SOCを連携する目的
Zeekの接続・DNS・HTTP・TLSなどの通信ログを収集し、ネットワーク上の動きと検知の背景を調べます。
ヤグラ SIEMに取り込んだ対象ログを、AI SOCの調査時に検索・参照します。利用するログと調査範囲は、接続設定に合わせて決めます。
取り込む・参照する情報
接続ログ (conn.log)
接続ごとの通信サマリー（バイト数・状態・プロトコル）。内外判定には Zeek 側の設定が必要。
DHCP ログ (dhcp.log)
DHCP トランザクション（アドレス割当・リース）ごとの記録。
DNS ログ (dns.log)
DNS クエリと応答（rcode・応答・TTL）。
HTTP ログ (http.log)
HTTP トランザクション（メソッド・ホスト・URI・ステータス）。
SSL/TLS ログ (ssl.log)
TLS ハンドシェイクとサーバー証明書の検証結果。
DCE/RPC ログ (dce_rpc.log)
DCE/RPC の呼び出し（エンドポイント・操作名）。
X.509 証明書ログ (x509.log)
証明書のメタデータ（発行者・有効期限・鍵情報等）。
SMTP ログ (smtp.log)
SMTP メッセージの送受信記録（送信元/宛先・件名等）。
調査での活用例：検知につながった通信を調べる
以下は連携を使う際の運用例です。
Zeek NSMの対象データから、確認したいイベント・指標を特定します。
アラートや接続情報を起点に、関係する送信元・宛先・プロトコルの記録を時系列で確認します。
ヤグラ SIEMに取り込んだ対象ログを、AI SOCの調査時に検索・参照します。利用するログと調査範囲は、接続設定に合わせて決めます。
確認できた情報と不足している情報を整理し、担当者が次に取る対応を判断します。
ログを集めただけでは、すべてのイベントが自動でアラートになるわけではありません。必要な検知ルールと調査に使うログを、運用目的に合わせて設定します。
接続方式と導入前の確認事項
連携方式：エージェントによる収集。
対象製品のエディション・契約と、取得するデータの範囲を確認します。
読み取り権限、ログ出力、通信経路を必要な範囲に設定します。
代表的なイベントで、取得した時刻・ユーザー・端末などの情報が元の記録と一致することを確認します。
対応範囲と提供状況
OT・SCADA向けログの追加対応は開発中です。Zeekに必要な解析器とログ出力を準備します。ICCPは対象外です。
よくある質問
Zeek NSMを入れ替える必要はありますか？
既存製品の記録を活用する構成です。現在の設定と取得できるデータを確認し、必要な連携を追加します。
どの情報を相談時に用意すればよいですか？
製品名・エディション、調査したい事象、対象のログやアラートの種類をお知らせください。データ量・保持期間・通知先も分かる範囲で共有いただくと、構成を具体化できます。
Zeek NSMのAI SOC連携を相談する
連携について問い合わせる · ヤグラ AI SOCを見る · ヤグラ SIEMを見る
関連する連携製品
更新：2026年9月12日
