連載【サイバー防御実務入門】第11回
今回のゴール
- 組織がログを「見張る」仕組みの全体像をつかむ
- SOC・SIEM・EDRが、それぞれ何をするものかを説明できる
- 「誤検知」と「見逃し」のジレンマを理解する
- 家庭のパソコンでも「気づく」守りを確認できる
はじめに：日記を読むのは誰か
前回の第10回では、パソコンやサービスが残す「ログ」を、イベントビューアーで実際に読んでみました。私もやってみて、まず驚いたのは記録の多さでした。パソコン1台でも、1日に何百、何千という記録が残っています。
では、何百台ものパソコンやサーバー、ネットワーク機器を抱える組織では、誰がどうやってその膨大なログを読んでいるのでしょうか。答えは、「人だけでは読まない。仕組みで見張り、人が判断する」です。
今回は、組織の「気づく」仕組みでよく出てくる3つの言葉、SOC（ソック）、SIEM（シーム）、EDR（イーディーアール）を中心に整理します。アルファベットの略語ばかりで身構えてしまいますが、役割はシンプルです。
1. 全体像：見張りの「チーム」と「道具」
まず全体像をつかむために、大きな商業施設の警備にたとえてみます。
| 名前 | 正体 | 警備にたとえると |
|---|---|---|
| SOC | 人の組織（監視チーム） | 防犯モニターがずらりと並んだ警備室と、そこに詰める警備員 |
| SIEM | 道具（ログを集めて分析する仕組み） | 館内中の防犯カメラやセンサーの映像を、1か所に集めて見比べるモニター |
| EDR | 道具（パソコンごとの見張り役） | 各店舗に置かれた、不審な動きを記録・通報する見張り装置 |
↓ ログを送る
SIEM（集めて分析）
↓ 怪しいものを通知（アラート）
SOC（人が判断・対応）
つまり、EDRや各機器が「記録して通報」し、SIEMが「集めて照らし合わせ」、SOCの人が「判断して動く」という役割分担です。順番に見ていきます。
2. SIEM：点を「線」にする仕組み
SIEMは「Security Information and Event Management（セキュリティ情報・イベント管理）」の略です。名前は難しいですが、やることは大きく2つです。
- 集める：パソコン、サーバー、ファイアウォール、クラウドのサービスなど、ばらばらの場所にあるログを1か所に集めて保管します。第10回で書いた「攻撃者に消されないよう、別の場所に保管する」役目も果たします。
- 照らし合わせる：集めたログを突き合わせて、一つひとつは普通に見えるのに、組み合わせると怪しい出来事を見つけます。これを「相関分析」と言います。
相関分析の例
たとえば、ある社員のアカウントで、次のようなログが別々の機器に残っていたとします。
2:58VPN機器：海外のIPアドレスから、ログインの失敗が30回
3:04VPN機器：同じIPアドレスから、ログインに成功
3:10社内のサーバー：そのアカウントで、管理者の権限を使ったログオン
3:25ファイアウォール：社内から外部のクラウドへ、大量のデータ送信
1つずつ見れば、「ログインの失敗」も「データの送信」も、毎日のようにある出来事です。でも、深夜に、同じ流れで、短時間に続いていると並べてみると、第3回で見たランサムウェア攻撃の流れ（侵入→権限の奪取→データの持ち出し）とそっくりです。SIEMは、こうした「点」を「線」にして、警報（アラート）を出します。
第3回で「名前だけでも覚えておく価値がある」と紹介したMITRE ATT&CKは、こうした検知のルールを作るときの共通言語として使われています。「このアラートは、ATT&CKの『権限昇格』に当たる」といった形で、攻撃のどの段階なのかを整理するのです。
前回、組織では「すべての機器の時刻をそろえる」ことが大事だと書きました。その理由がここにあります。時計がずれていたら、このタイムラインは正しく並びません。
3. EDR：パソコン1台ごとの見張り役
EDRは「Endpoint Detection and Response（エンドポイントでの検知と対応）」の略です。「エンドポイント」とは、パソコンやサーバーなど、ネットワークの「端」にある機器のことです。
従来のウイルス対策ソフトとの違いを整理すると、次のようになります。
| 項目 | 従来のウイルス対策ソフト | EDR |
|---|---|---|
| 主な考え方 | 侵入を入口で止める | 侵入されることを前提に、中の動きを見張る |
| 見つけ方 | 知られている不正なプログラムの「特徴」と照合する | プログラムの振る舞い（何をしようとしているか）を記録・分析する |
| 見つけた後 | 削除・隔離する | 何が起きたかをさかのぼって調べ、パソコンをネットから切り離すなどの対応もできる |
第3回のキルチェーンで言えば、ウイルス対策ソフトは主に「配送」や「インストール」の段階で止める守り、EDRはその先の「遠隔操作」や「目的の実行」の段階でも気づくための守りです。第3回で学んだ多層防御の考え方が、ここでも生きています。
最近の攻撃者は、目立つ不正なプログラムをなるべく使わず、Windowsにもともと入っている正規の管理ツールを使って活動することがあると言われています。正規のツールなので、「不正なプログラムの特徴」と照合するだけでは引っかかりません。攻撃者は「普段の業務の動きに紛れ込む」ことを狙っているのです。だからこそ、「何のプログラムか」ではなく「普段と違う使われ方をしていないか」を見張るEDRや、前回学んだ「平常時を知っておくこと」が大切になります。
ちなみに、EDRの考え方をパソコン以外のメールやクラウド、ネットワークにまで広げたものをXDR、こうした監視を外部の専門会社に任せるサービスをMDRと呼ぶこともあります。名前を見かけたときの参考に覚えておけば十分です。
4. SOC：判断して動く「人」のチーム
SOCは「Security Operation Center（セキュリティ・オペレーション・センター）」の略で、セキュリティの監視と初動対応を行うチームのことです。大きな組織では自社内に置き、そうでない組織では外部の専門会社に任せることも多いようです。
SOCの主な仕事は、次のように整理できます。
- アラートを確認する：SIEMやEDRが出した警報が、本当に危ないものかどうかを見極めます。
- 調査する：関係するログをさかのぼり、何が起きたのか、どこまで広がっているのかを調べます。
- 初動対応する：必要なら、パソコンをネットから切り離す、アカウントを止めるなどの対応を行い、担当部署に報告します。
- 検知のルールを改善する：見逃しや、不要なアラートを減らすために、仕組みの設定を見直します。
本格的な事故対応になった場合は、次々回の第13回で取り上げる「インシデント対応」のチームに引き継がれます。
5. 監視の永遠の悩み：「誤検知」と「見逃し」
監視の仕組みを調べていて、一番考えさせられたのがこの話です。
| 種類 | 何が起きているか | 身近な例 |
|---|---|---|
| 誤検知 | 問題ないものを「怪しい」と判定する | 大事なメールが迷惑メールフォルダに入ってしまう |
| 見逃し | 本当に怪しいものを「問題なし」と判定する | フィッシングメールが受信トレイに届いてしまう |
見逃しを減らそうと判定を厳しくすると、誤検知が増えます。誤検知を減らそうと甘くすると、見逃しが増えます。どちらかをゼロにすることはできないのです。第2回で学んだ「機密性と可用性のバランス」と、よく似た関係だと感じました。
そして、誤検知が多すぎると、別の問題が起きます。毎日何百件ものアラートが鳴り続けると、担当者は慣れてしまい、本物の危険を見落とすようになるのです。これを「アラート疲れ」と言います。「オオカミ少年」の話そのものですね。SOCの仕事の多くは、この誤検知と見逃しのバランスを、少しずつ調整し続けることだそうです。
最近は、大量のアラートの仕分けや、調査の下準備にAIを使う動きも広がっています。人が読み切れない量のログを相手にする監視の世界は、AIと相性がよい分野だと言われます。ただし、第1回で見たように攻撃者もAIを使っていることや、IPAの10大脅威で「AIの利用をめぐるサイバーリスク」が3位に入ったことも忘れてはいけません。最後に判断するのは人という点は、変わらないのだと思います。
6. やってみた：家庭の「気づく」守りを確認する
家庭にSOCやSIEMはありませんが、「気づく」ための小さな仕組みは、すでに身の回りにあります。今回はそれを確認してみました。
① Windows セキュリティの「保護の履歴」を見る
- スタートメニューから「Windows セキュリティ」を開きます。
- 「ウイルスと脅威の防止」を開き、「保護の履歴」をクリックします。
- これまでにMicrosoft Defenderが見つけたものや、ブロックしたものの記録が表示されます。
何も表示されなければ、少なくともDefenderが反応するような出来事はなかったということです。何か表示されていたら、いつ、何が、どう処理されたかを読んでみましょう。第10回で学んだ「ログを読む」の実践になります。
② 迷惑メールフォルダで「誤検知」を探す
迷惑メールフォルダは、メールサービスによる自動の検知の結果です。中を見て、本当は必要だったメールが紛れ込んでいないか（誤検知）を探してみましょう。逆に、受信トレイに届いた怪しいメール（見逃し）は「迷惑メールとして報告」すると、検知の精度向上に役立ちます。
迷惑メールフォルダを確認するときも、第3回と同じくリンクや添付ファイルは開かないでください。必要なメールかどうかは、差出人と件名、本文を読むだけで判断しましょう。
③ 「通知」という小さなSOC
第3回と第5回で設定をおすすめしたログイン通知や利用通知は、いわば「自分専用の小さなSOC」です。通知が来たら「自分の操作か？」と確認する。この習慣が、家庭での監視と検知の基本だと思います。
用語メモ
- SOC（セキュリティ・オペレーション・センター）
- セキュリティの監視と初動対応を行う人のチーム。
- SIEM（セキュリティ情報・イベント管理）
- さまざまな機器のログを集めて保管し、照らし合わせて怪しい出来事を見つける仕組み。
- EDR（エンドポイントでの検知と対応）
- パソコンやサーバーの中の動きを記録・分析し、侵入後の不審な振る舞いに気づいて対応する仕組み。
- 相関分析
- 別々のログを突き合わせ、組み合わせると怪しい出来事を見つけること。
- アラート
- 監視の仕組みが、怪しい出来事を見つけたときに出す警報。
- 誤検知／見逃し
- 問題ないものを怪しいと判定すること／怪しいものを問題なしと判定すること。
- アラート疲れ
- 大量の警報に慣れてしまい、本物の危険を見落としやすくなる状態。
まとめと、今日からできること
- 組織の監視は、EDRや機器が記録し、SIEMが照らし合わせ、SOCの人が判断するという役割分担。
- SIEMは、一つひとつは普通に見えるログを「点から線」にして異常を見つける。
- EDRは、侵入を前提にパソコンの中の振る舞いを見張る。正規のツールに紛れる攻撃にも気づくため。
- 監視には誤検知と見逃しのジレンマがあり、アラート疲れが本物の危険を見落とさせる。
- 家庭でも、保護の履歴、迷惑メールフォルダ、ログイン通知が「気づく」守りになる。
- Windows セキュリティの「保護の履歴」を開いてみる：何か記録が残っていないか確認しましょう。
- 迷惑メールフォルダを1度のぞく：必要なメールが紛れていないか、誤検知を探してみましょう。
- 通知が来たら「自分の操作か？」と考える習慣をつける：家庭でできる一番身近な監視です。
毎月のように発表される脆弱性。組織はそのすべてにどう向き合い、何から先に直しているのか。脆弱性の深刻度を表す「CVSS」や、実際に悪用されている脆弱性の一覧など、更新の優先順位をつける考え方を学びます。
参考資料
- NIST「The NIST Cybersecurity Framework (CSF) 2.0」
https://www.nist.gov/cyberframework - MITRE ATT&CK
https://attack.mitre.org/ - IPA「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html - 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
※本記事は2026年11月時点の情報をもとに作成しています。
