皆さん、こんにちは！日々の開発やインフラの管理、本当にお疲れ様です。
いきなりですが、皆さんのご自宅の防犯対策ってどうされていますか？「玄関の鍵をちゃんと閉める」「ピッキングされにくいディンプルキーに変える」「最近はスマートロックを導入したよ」なんて声が聞こえてきそうですね。
実は、企業やWebサービスを守る「SOC（セキュリティ・オペレーション・センター）」の仕事も、これとまったく同じなんです。家全体を見渡せる「防犯カメラのモニター」や「異常を知らせる警報装置」をいかに上手に配置するか。それが、今回お話しする「ダッシュボード設計と可視化」の核心になります。
「セキュリティの専門知識がまだ浅いから、ダッシュボードなんて言われても難しそう……」なんて思っていませんか？ 大丈夫です！一歩ずつ、身近な例えを交えながら優しく紐解いていきますので、一緒に学んでいきましょう！
—
1. なぜ「ダッシュボード」が必要なの？（防犯カメラの例え）
夜中に泥棒が窓ガラスを割って侵入しようとしたとき、家の中の人が「今、どこでガラスが割られたか」を一目で知る方法がなければ、対応が遅れてしまいますよね。
セキュリティの世界でも同じです。日々、サーバーには何万件ものアクセス（正当なアクセスも、怪しいアクセスも）が押し寄せています。これらをただテキストのログとして眺めているだけでは、まるで「真っ暗闇の中で懐中電灯だけを頼りに怪しい足音を探す」ようなもの。圧倒的に見落としが増えてしまいます。
だからこそ、「今、うちのシステムはどこから狙われているのか？」「泥棒（攻撃者）はどこまで侵入しているのか？」をパッと一目で把握するための「司令室のモニター（＝ダッシュボード）」が必要になるんです。
—
2. 誰が見るかでダッシュボードを使い分ける！
泥棒が入ってきたとき、家主が取るべき行動と、警察（あるいは警備会社）が取るべき行動は違いますよね。同じように、セキュリティのダッシュボードも「誰が見るか」によってデザインを変える必要があります。
SOCの世界では、大きく分けて以下の3つの視点で作るのが鉄則です。
1. 経営層向け（おうちのオーナー視点）
- 「今月は泥棒に何か盗まれた？」「セキュリティ対策にお金かける価値はある？」といった、大局的なリスクとコストを知りたい人向け。
2. 運用担当者向け（おうちの警備員視点）
- 「いま、変なやつがうろついていないか？」「どの窓の鍵が閉まっていないか？」といった、リアルタイムな異変に気づきたい人向け。
3. インシデント対応者向け（駆けつけ警備・鑑識視点）
- 「泥棒がどこから侵入し、何を物色して、どこへ逃げたのか？」を徹底的に調査したい人向け。
今回はこの中でも、特に現場で命綱となる「運用担当者向け・インシデント対応者向け」の可視化のコツと、その評価指標である MTTD / MTTR について詳しく見ていきましょう！
—
3. 現場の命運を分ける2大KPI：MTTD と MTTR ってなに？
セキュリティの現場では、よく「MTTD」と「MTTR」という言葉が出てきます。なんだか難しそうな英語の頭文字ですが、要は「泥棒への対応スピードを測る成績表」です。
- MTTD (Mean Time to Detect) : 平均検出時間
- 攻撃が始まってから、「あれ？なんか変だぞ？」と気づくまでの平均時間。
- （例：泥棒が窓を破ってから、警報が鳴るまでの時間）
- MTTR (Mean Time to Respond / Remediate) : 平均対応・復旧時間
- 異常に気づいてから、それを遮断し、システムを元通りにするまでの平均時間。
- （例：警報に気づいてから、泥棒を追い出して窓を直すまでの時間）
優秀なSOCダッシュボードは、この「MTTD（気づくまでの時間）」と「MTTR（退治するまでの時間）」を短縮するためのヒントを、これでもかと分かりやすく表示してくれるものになります。
—
4. 実践！ダッシュボードに何をどう並べる？（設定例の紹介）
では実際に、セキュリティ監視ツール（代表的なものに Elastic Stack や Splunk などがあります）で、どのようなデータを可視化すればよいのか、具体的な設定のアイデアを見てみましょう。
今回は、Webアプリケーションを保護する際によく使われる「ダッシュボードの裏側のクエリ（データの抽出条件）」をイメージした設定例をご紹介します。
① MTTDを縮めるための「不審なアクセス急増アラート」の可視化
まずは、「普段と違うおかしな動き」をいち早く察知するためのパネルです。例えば、短時間に何度もログインに失敗しているログや、怪しい文字列（<script>タグなどを使った攻撃の痕跡）が含まれるアクセスをカウントします。
{
"panel_title": "直近1時間の怪しいログイン試行と攻撃検知",
"query": "status:401 OR http_user_agent:*sqlmap* OR request_uri:*<script>*",
"visualization_type": "line_chart",
"time_range": "now-1h",
"refresh_interval": "30s",
"description": "自動化された攻撃ツール（sqlmap等）や、クロスサイトスクリプティングの兆候を検知します。"
}【ここがポイント！】
refresh_interval: "30s"と設定し、30秒ごとに自動で画面が更新されるようにしています。これにより、現場の担当者が「今まさに起きている攻撃」を取りこぼさなくなります。
② MTTRを縮めるための「攻撃元IPアドレスと影響範囲」の可視化
次に、攻撃に気づいた後、「どこを塞げばいいか」を瞬時に判断するためのパネルです。攻撃者のIPアドレスや、最も狙われているWebページをランキング形式で表示します。
{
"panel_title": "攻撃元IPアドレスのTOP 5（直近24時間）",
"query": "threat_level:high",
"group_by": "client_ip",
"visualization_type": "top_n_table",
"action_button": "ワンクリックでこのIPをファイアウォールでブロック",
"description": "最も執拗にアタックしてきている犯人のIPアドレスを特定し、即座に遮断するためのパネルです。"
}【ここがポイント！】
- ただ数字を並べるだけでなく、現場の担当者が「その場でワンクリックして防御アクションに移れる（MTTRを短縮できる）」ようなUIやリンクを仕込んでおくことが、優れたダッシュボード設計の秘訣です。
—
5. まとめ：今日からできる一歩
いかがでしたでしょうか？
SOCのダッシュボード設計・可視化といっても、やっていることは「自分たちの家を守る防犯カメラの配置やモニターの調整」と本質はまったく同じです。
- 誰がその情報を見るのか（オーナー？警備員？）
- どうすれば早く異変に気づけるか（MTTDの短縮）
- どうすれば迅速に撃退できるか（MTTRの短縮）
この3つの視点を意識するだけで、作られるダッシュボードの質は見違えるほど変わります。最初から完璧なものを作ろうとせず、「まずは怪しいアクセス数をグラフにするだけ」といったスモールスタートでも全然大丈夫です。
一歩ずつ、安全で強いシステム環境を一緒に作っていきましょう！
コメント