この記事の要点
- 脅威の検知とは、操作の記録や通信の記録を見張り、不正な利用の兆しを知らせる仕組みです。設定の状態を点検する CSPM とは役割が違います。
- 3つのクラウドとも、事業者が検知の仕組みを用意しています。どの記録を見るか、どの段階で使えるかは仕組みごとに違います。
- 知らせは重要度で仕分け、夜間・休日を含めて誰が受け、どこまで対応するかを先に決めておきます。
クラウドの不正利用に気づくには、操作の記録や通信の記録を見張り、いつもと違う動きを知らせる「脅威の検知」の仕組みを有効にし、知らせを受けたら誰が何をするかを決めておきます。仕組みを入れるだけでは足りず、知らせを受けて動く人と手順がそろって、初めて役に立ちます。
設定の点検と、脅威の検知の違い
脅威の検知とは、すでに起きている不正な動きに気づくための仕組みです。設定に誤りがないかを点検する CSPM とは、見ているものが違います。
| 仕組み | 見ているもの | 気づけることの例 |
|---|---|---|
| 設定の点検（CSPM） | 資源の設定の状態 | 保存場所が外に公開されている、管理者に多要素認証がかかっていない |
| 脅威の検知 | 操作の記録、通信の記録 | 盗まれた認証情報での操作、見覚えのない場所からのログイン、暗号資産の採掘の通信 |
設定に誤りがなくても、正しい権限の認証情報を盗まれれば、不正な操作はできてしまいます。反対に、脅威の検知だけでは、まだ使われていない設定の誤りには気づけません。両方を組み合わせます。設定の点検は、クラウドの設定の診断（CSPM）とはで説明しています。
3つのクラウドの仕組み
AWS・Microsoft Azure・Google Cloud は、いずれも事業者が脅威の検知の仕組みを用意しています。2026年11月時点の公式の説明では、次のとおりです。
- AWS：Amazon GuardDuty は、AWS CloudTrail の管理の操作の記録、VPC フローログ、DNS の記録を、悪意のある IP アドレスやドメインの一覧、機械学習のモデルなどを使って見張ります。有効にすると、これらの基本の記録の取り込みが自動で始まり、ほかに何かを有効にする必要はないと説明されています。気づける例として、EC2 やコンテナでの無断の暗号資産の採掘や、盗まれて持ち出された AWS の認証情報を挙げています
- Microsoft Azure：Microsoft Defender for Cloud のセキュリティの警告は、資源の種類ごとに Defender のプランを有効にすると働く検知から出ます。関連する警告をまとめた「インシデント」として見せ、攻撃の流れを1つの画面で追えるようにしています
- Google Cloud：Security Command Center の Event Threat Detection は、Premium の段階に含まれる仕組みで、Cloud Logging に流れる操作の記録、主に Cloud Audit Logs を見張ります。例として、既知の採掘の IP アドレスへの通信や、組織の外の利用者への権限の付与、データの組織の外への持ち出しを挙げています
出典：What is Amazon GuardDuty?（AWS）
出典：Security alerts and incidents（Microsoft Learn）
出典：Event Threat Detection overview（Google Cloud）
検知の仕組みは、記録がなければ働きません。どの記録を見ているか、自社で有効にする必要がある記録はどれかを、仕組みごとに確かめます。記録の残し方は、ログの取り方と見方。何を、どのくらい残すかで説明しています。複数のクラウドや社内の仕組みの記録をまとめて見たい場合は、SIEMに集める方法もあります。
知らせの重要度を読む
検知の仕組みが出す知らせは、重要度で仕分けて扱います。すべてを同じ急ぎ方で見ていると、本当に急ぐ知らせを見落とします。
Microsoft は、Defender for Cloud の警告の重要度を次のように説明しています。高は資源が乗っ取られている見込みが高くすぐに調べるべきもの、中は乗っ取りを示すかもしれない怪しい動き、低は問題のない動きか止められた攻撃かもしれないもの、情報はそれだけでは情報にすぎないが、ほかの警告と合わせると調べる価値があるものです。たとえば、記録の消去は低に分類され、多くはふだんの管理の作業だとしています。
出典：Security alerts and incidents（Microsoft Learn）
警告の重要度の読み方（Microsoft Defender for Cloud の説明）
- 高乗っ取られている見込みが高い。すぐに調べる
- 中乗っ取りを示すかもしれない怪しい動き
- 低問題のない動きか、止められた攻撃かもしれない（例：記録の消去。多くは普段の管理の作業）
- 情報それだけでは情報にすぎないが、ほかの警告と合わせると調べる価値がある
重要度が低い知らせも、捨てずに記録しておきます。ほかの知らせと合わせて見ると、攻撃の流れの一部だったと分かることがあるためです。
知らせを受けてから、動くまで
検知の仕組みを入れる前に、知らせを誰が受け、どこまで対応するかを決めておきます。知らせは夜間や休日にも届くため、営業時間だけを前提にすると、朝まで誰も気づかないことになります。
決めておくことは、次のとおりです。
- 受ける人：営業時間と、夜間・休日のそれぞれで、知らせを受ける人と連絡の手段を決める
- 最初の確かめ方：知らせの種類ごとに、本当に不正かを確かめる手順を手順書にする
- すぐにしてよいこと：認証情報を無効にする、怪しいサーバーを切り離すなど、確かめを待たずにしてよい操作と、その判断をしてよい人を決める
- 報告と調べ：原因の調べ、再発の防止、関係する人への報告を誰が受け持つかを決める
夜間や休日の受け付けを外部の会社に頼む場合は、手順書にもとづいて、どこまでを任せるかを決めます。監視と一次対応の分け方は、クラウドの監視は何を見るのか。死活・リソース・アプリと障害が起きたときの一次対応。連絡の流れと手順書で説明しています。セキュリティの事故のときの動き方は、セキュリティ事故に備える、初動の手順書のつくり方にまとめています。個人データの漏えいが疑われるときは、法令にもとづく報告が要ることがあるため、個別の判断は弁護士などの専門家にご確認ください。
当社のご支援
アメリア・テクノロジーのクラウドの構築と運用管理では、脅威の検知の仕組みの設定、知らせの仕分けの決まり、知らせの種類ごとの手順書づくりをお手伝いしています。監視の仕組みは24時間自動で動かし、夜間・休日の受け付けと一次対応は当社の手順書にもとづいて外部の専門の会社が担い、原因の調べと再発の防止は当社が営業時間内に受け持つ形で、ご相談に応じています。セキュリティの事故への備え全体は、セキュリティ診断と対策のチームと連携します。
- 脅威の検知
- クラウド
- ログ
- セキュリティ
この記事に出てくる用語
このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。