みなさん、こんにちは！ クラウドの海原へ飛び出したはいいものの、「セキュリティって何だか難しそう…」「ログって毎日集めているけれど、正直どこを見ればいいの？」と途方に暮れていませんか？
大丈夫です。今回は、新人のIT担当者や開発者のみなさんに向けて、クラウドネイティブ環境（AWSやGCP、Kubernetesなどの最先端インフラ）における「ログ収集」と「SIEM（シエム）統合」の秘訣を、身近な防犯に例えて優しく紐解いていきます。
小難しいセキュリティ用語が出てきても、「一歩ずつ対策を学んでいきましょう！」の精神で伴走しますので、ぜひリラックスして読み進めてくださいね。
—
1. 家の鍵だけじゃダメ？ クラウド時代の「防犯カメラ」の考え方
想像してみてください。あなたは今、新しく建てた一戸建て（＝クラウド環境）に住んでいます。
玄関の鍵（＝パスワードや多要素認証）をしっかり閉めるのは当然ですが、それだけで「絶対に泥棒に入られない」と言い切れるでしょうか？
現実には、ピッキングの達人や、勝手口の鍵をこじ開けようとする不審者が現れるかもしれません。もし侵入されてしまったとき、「いつ、どこから、どうやって入ってきたのか」の足あとが残っていなければ、犯人を捕まえることも、被害を最小限に抑えることもできませんよね。
この「家じゅうの足あとや出来事を記録するノート」がログであり、そのノートを一部屋ごとに回収して、一ヶ所の警備室で一括監視する仕組みがSIEM（Security Information and Event Management）になります。
なぜクラウドだとログがバラバラになるの？
昔のシステムは、一つの大きなサーバー（一軒家）の中にすべての記録がまとまっていました。しかし、今のクラウドネイティブ環境は、機能ごとにコンテナ（マンションの個室）がいくつも立ち並び、目まぐるしく生まれ変わる「巨大な団地」のようなものです。
あっちの部屋でエラーが起き、こっちの部屋で怪しいアクセスがあり……と、ログがそこら中に散らばってしまいます。これらを人間の手で全部追いかけるのは、夜のジャングルを懐中電灯一本で歩くようなもの。だからこそ、自動でログを集めて分析する仕組みが不可欠なんです。
—
2. ログを中央に集める！ SIEM連携の基本と仕組み
散らばったログを集めるためには、各サーバーやコンテナから「こんなことがありました」という報告書（イベントログ）を、中央の警備室（SIEM）にリアルタイムで送るパイプラインを作ります。
例えば、AWSの世界では、CloudTrail（操作ログ）やVPC Flow Logs（ネットワークの通信ログ）といった重要なログが出力されます。これらを放置するのではなく、次のような設定で一元管理用のストレージやSIEMに集約します。
ここで、実務でよく使われるログ転送設定のイメージを、設定ファイル（Fluent BitやLogstashなどのログ転送エージェントのイメージ）で見てみましょう。
# ログ転送エージェントの設定例（インフラ担当者の第一歩！）
[SERVICE]
Flush 1
Log_Level info
Daemon off
# クラウド上のアプリケーションログをキャッチする設定
[INPUT]
Name tail
Path /var/log/app/*.log
Tag cloud.app.access
Parser json
# 中央のSIEM（セキュリティ分析基盤）へデータを安全に送り出す設定
[OUTPUT]
Name http
Match cloud.app.access
Host siem-collector.company-internal.local
Port 443
Tls on
Format json
# 認証用のトークンをヘッダーに付与して不正な送信を防止します
Header Authorization Bearer secret_token_xyz123このように、アプリケーションが吐き出すただのテキスト（*.log）を、構造化されたデータ（JSON形式）に変換し、安全な暗号化通信（TLS）に乗せてSIEMへ送り届ける。これがクラウドネイティブなログ基盤の第一歩です。
—
3. 「あれ、おかしいぞ？」を自動で察知する相関分析
ログを集めるだけでは、実は半分しか防犯になっていません。警備員が24時間ずっとモニターの文字を睨みつけているわけにはいきませんよね。
ここで登場するのが、SIEMの「相関分析（ソウカンブンセキ）」というスーパー機能です。
これは、単発では何でもない些細な出来事を組み合わせることで、「あ、これ攻撃だ！」と見抜く仕組みです。
身近な例え：コンビニ強盗の予兆
- 夜中の2時に、店の裏口をガタガタ触っている人がいる（単体では「酔っ払いかな？」程度）
- その直後に、レジの暗証番号を5回連続で間違えている（「うっかりミスかな？」程度）
これを別々に見ていると見逃してしまいますが、SIEMは「同じIPアドレスから、深夜に連続して不審なアクセスがあり、その直後に認証エラーが頻発している」という時間のつながり（相関）を見つけて、警備員（セキュリティ担当者）のスマホにアラートを飛ばしてくれます。
—
4. ログをどこまで残す？ 悩ましい保持ポリシーの策定
「じゃあ、すべてのログを永遠に保存しておけば完璧ですね！」と言いたくなりますが、ここで現実的な問題（コストと法律）が立ちはだかります。
クラウドのログストレージは、最初は安く見えても、数年分を溜め込むと恐ろしいほどの金額になります。また、個人情報が含まれるログを無期限に持ち続けることは、プライバシー保護の観点（GDPRや個人情報保護法など）からもリスクになります。
ここで必要になるのが「ログ保持ポリシー（Retention Policy）」の策定です。現場では次のようなメリハリをつけた設計が基本になります。
1. ホットストレージ（直近30日〜90日）
- 用途: 日々のリアルタイム監視、インシデント発生時の即座の調査。
- 特徴: コストは高いが、すぐに検索できる。
2. コールドストレージ（90日〜1年以上）
- 用途: 監査対応（「半年前の不正アクセスの有無を証明してほしい」と言われたとき用）。
- 特徴: 検索には時間がかかるが、保存コストが非常に安い（例：AWS S3 Glacierなど）。
「何でもかんでも残す」のではなく、「いつまで、何のために、どの粒度で残すか」をチームで決めておくことが、大人のセキュリティ管理の腕の見せ所です。
—
5. まとめ：一歩ずつ、確実な防犯の仕組みを作ろう
クラウドネイティブ環境におけるログ収集とSIEM統合は、決して一朝一夕で完成するものではありません。
最初は「とりあえずアプリのエラーログを集めてみる」からでも大丈夫です。
1. ログの出力先を揃え、
2. 安全なパイプラインで集約し、
3. 怪しい動きを検知するルールを作り、
4. 適切な期間だけ保存する。
このサイクルを少しずつ回していくことで、あなたのシステムは確実に「破られにくい、堅牢な城」へと進化していきます。
セキュリティの道は一歩の積み重ねです。焦らず、楽しく、一緒に学んでいきましょう！
コメント