本稿は、2026年3月に開催されたセキュリティカンファレンス「NDC Security 2026」におけるダールスビーン氏のセッション「Learning security monitoring through failure」の内容を基に、セキュリティ監視体制を最適化するための技術的アプローチを解説する。

　ダールスビーン氏は、形式的なセキュリティポリシーよりも、実際の運用を通じたインシデント検出と対処を重要視している。例えば、ウクライナの一部組織が物理的なデータセンターの喪失を受けて急きょクラウドインフラにシステムを移行した事例では、規定の整備よりも運用上の防衛力を優先した結果、実質的なセキュリティ水準が向上したという。監視インフラを構築する上でも、この実践的な運用の思想が通底している。

　しかし、実践的な運用を目指すあまりに生じがちな失敗が、全てのログを単一の高額なストレージに集約してしまうことだ。セキュリティインシデントの全容を把握するためには長期間にわたるログの保持が求められるが、クラウドインフラにおける無制限なログ収集は維持費が膨らみやすい。

　この制約を解消するためのアプローチが、データを「プライマリー」と「セカンダリー」に分離する階層化アーキテクチャの導入だ。リアルタイムでの脅威検出や脅威ハンティングなど、応答遅延が少なくて高度な検索機能が要求されるデータは、プライマリーデータとしてSIEMで処理する。一方、インシデント対処時の事後調査やコンプライアンス要件への適合を目的としたデータは、検索の応答速度が多少遅くても問題ないため、安価なデータレイクやコールドストレージ（アクセス頻度が低いデータを安価に長期保存するシステム）に格納する。

　ネットワークファイアウォールのログなど、量は多いが脅威検出の観点では相対的に価値が低いデータはセカンダリーストレージに送り、特定の分析に必要な部分のみをプライマリーストレージに保管する。この仕組みによって、監視の有効性を維持しつつ、データ保存に関連する費用を大幅に圧縮可能になる。

検出ルールの最適化と逆算型アプローチ

　セキュリティ監視における運用上の課題として挙げられるのが、システムに標準で用意されている検出ルールのテンプレートをそのまま適用してしまう点だ。

　ダールスビーン氏は、Microsoftの「Microsoft Defender XDR」やPalo Alto Networksの「Cortex XDR」などのXDR（Extended Detection and Response）製品を導入する際、数百種類のテンプレートを無調整で有効化することはアラート疲労に直結すると指摘している。企業ごとに利用しているネットワークインフラや、仮想プライベートネットワークである「VPN（Virtual Private Network）」の利用規定などは異なるため、同じテンプレートを適用しても出力される結果に大きな差異が生じやすい。

　この課題を解決するためには、自社のシステム構成に適合した専用のルールを少数でも精緻に作り込むことが必須となる。そのための合理的な手法が、ログ収集のリバースエンジニアリングだ。現場の担当者は、まず「自社のコンテナオーケストレーションツールである『Kubernetes』のクラスタにおいて、最も防ぎたい事態は何か」といった具体的な脅威モデルを定義する。その脅威を検出するためにはどのようなデータベースへのクエリ（検索要求）が必要かを設計し、そのクエリを実行するために必要なデータテーブルを逆算して特定していく。最終的に、そのテーブルを満たすためのログのみを収集対象に据える。この設計思想によって、「取りあえず全てのデータを集める」という従来の手法から脱却し、目的主導での効率的な監視体制を構築できる。

継続的な改善を促す運用体制の構築

　技術的な設計だけではなく、運用プロセスの改善もセキュリティ監視の精度を左右する。監視システムやインフラは導入して終わりではなく、事業の変化に合わせて継続的に見直す必要がある。

　ダールスビーン氏が所属していたSOC（Security Operations Center）のチームでは、監視対象のシステムからITSM（ITサービス管理）におけるチケット発行までの情報の流れを図式化し、文脈（コンテキスト）の欠落や制御のボトルネックが発生している箇所を特定した。その結果、旧来のSIEMシステムが制約の原因であることを見いだし、データ連携の仕組みを改めることでインシデント対処の効率を向上させた。

　運用チーム内で「構築したプロセスは常に変更可能だ」という認識を共有し、日々の業務における不都合な設定や不要なデータを積極的に排除する体制を根付かせることも重要だ。現場の担当者が既存の仕組みに縛られず、常に最適なアプローチを模索できる体制が、運用の硬直化を防ぐ。

今後の展望とコンテキストの共有

　セキュリティ監視は、外部のSOCに運用を委託する場合であっても、自社のシステム構成やビジネスロジックに関する前提情報を正確に共有しなければ機能しない。委託先に対して「何を恐れ、何を守りたいのか」という文脈を伝えることが、的確な検出体制の構築に直結する。

　企業は、自らが守るべき対象と想定される脅威を明確にした上で、ツールの設定やデータの取り扱いを最適化する必要がある。現代はインフラの抽象化が進み、クラウドサービスの管理画面を操作するだけで設定が完了する。だからこそ、その裏側で処理されているデータとルールの構造を正確に理解し、合理的な運用設計をすることが、真のセキュリティ向上につながる。

本稿は、NDC Conferencesが2026年3月24日に公開した動画「Learning security monitoring through failure - Truls Dahlsveen - NDC Security 2026」を基に作成しました。