Google Security Operations（Google SecOps）には、セキュリティログの検索や脅威インテリジェンス、異常行動の分析など、SOC運用を支援するさまざまな機能が用意されています。
本記事では、UDM検索と未加工ログスキャン、Applied Threat Intelligence（ATI）、UEBA、リスク分析について、それぞれの特徴や使い分けを解説します。
これらの機能は実際のセキュリティ運用だけでなく、Professional Security Operations Engineer認定試験でも重要なテーマです。単に機能を暗記するのではなく、「どのような場面で、どの機能を利用するのか」を理解することで、試験対策と実務の両方に役立つ知識を身につけることができます。
是非、最後までご覧いただけると嬉しいです。
UDM検索と未加工ログスキャンを徹底比較
Google Security Operations (Google SecOps) で脅威の調査や分析を行う際、アナリストは「UDM 検索」と「未加工ログスキャン」という 2 つの強力な検索機能を利用できます。これらはデータの処理状態や検索の仕組みが異なるため、目的に応じて適切に使い分けることが、迅速なインシデント対応の鍵となります。
1. UDM 検索：高速かつ構造化された調査
UDM 検索は、Google SecOps インスタンス内に取り込まれ、統合データモデル (UDM) 形式に構造化・正規化されたイベントやアラートを対象とする検索手法です。
- 特徴：インデックス付きデータベースを検索するため、結果の取得が非常に高速です。
- 用途
- 正規化されたフィールド（IP アドレス、ユーザー名、ホスト名など）に基づく標準的な調査。
- 共通の検索キーワードを使用した、個別の UDM イベントまたはイベントグループの検索。
- YARA-L 2.0 を使用した統計クエリや集計の実行（クリティカルな指標の追跡や異常行動の検出など）。
- メリット: 異なるログソースを横断して「同じ意味のフィールド」で相関分析できる点にあります。
2. 未加工ログスキャン：広範かつ詳細な深掘り
未加工ログスキャンは、パーサーによって解析（パース）される前の、生の状態（未加工）のログを直接スキャンする手法です。
- 特徴
Google SecOpsのUEBAとリスク分析は、ユーザーやアセットの行動を分析し、単一のアラートだけでは発見しにくい異常や内部脅威を検出するための重要な機能です。機械学習による行動分析やエンティティリスクスコア、YARA-Lの指標関数を活用することで、通常の行動から逸脱したリスクを効果的に可視化できます。
さらに、ENTITY_RISK_CHANGEを利用したリスクベースのアラートにより、リスクスコアの変化を起点とした迅速な検知も可能です。Google Workspaceとの連携では、ファイルの大量持ち出しや共有設定の変更など、インサイダーリスクの検出にも活用できます。
UEBAとリスク分析は、Professional Security Operations Engineer認定試験でも重要なテーマとなるため、それぞれの仕組みと活用方法を理解しておきましょう。解析されていないログ全体を対象とするため、UDM 検索よりも広範な検索が可能ですが、インデックスを使用しないため取得に時間がかかります。 - 用途
- UDM フィールドにマッピングされていない特定の文字列や詳細情報の検索。
- 正規表現（Regex）を使用した、複雑なパターンの抽出。
- 大文字と小文字を区別した厳密な文字列の特定。
- メリット：パーサーの構成ミスなどで解析に失敗したログの調査や、未知の攻撃パターンの特定に有効です。
3. 使い分けの判断基準
| 項目 | UDM 検索 | 未加工ログスキャン |
|---|---|---|
| 対象データ | UDM に正規化済みのデータ | 解析前の生ログ |
| 検索速度 | 高速（インデックスあり） | 低速（インデックスなし） |
| 柔軟性 | 構造化されたフィールド指定 | 正規表現による自由な検索 |
| 推奨シナリオ | 迅速な状況把握、共通項での検索 | 解析漏れの調査、未知のパターンの特定 |
4. アクセス制御と運用の注意点
検索機能の利用には、ユーザーの権限設定（データ RBAC）が関わります。
- データアクセス範囲：検索結果には、ユーザーに割り当てられたデータアクセス・スコープに一致するデータのみが表示されます。
- 未加工ログへの制限：データ RBAC が有効になっている環境では、解析されていない未加工ログにアクセスできるのは、原則としてグローバル スコープを持つユーザーのみに制限されます。これには
chronicle.globalDataAccessScopes.permit権限が必要です。
日常的な調査では UDM 検索 をメインに活用してスピードを重視し、UDM 検索ではヒットしない詳細な証拠が必要になった場合に 未加工ログスキャン へ切り替えることで、効率的かつ漏れのないセキュリティ運用を実現できます。
UDM検索と未加工ログスキャンを徹底比較のまとめ
Google SecOpsでは、UDM検索と未加工ログスキャンを目的に応じて使い分けることが、効率的なセキュリティ調査につながります。UDM検索は、正規化されたデータを高速に検索できるため、日常的なインシデント調査や脅威ハンティングに適しています。
一方、未加工ログスキャンは、生ログを直接検索できるため、UDMにマッピングされていない情報や未知のパターンの調査に有効です。また、データRBACが有効な環境では、未加工ログへのアクセスにグローバルスコープなどの権限が必要となる点にも注意が必要です。
Professional Security Operations Engineer認定試験でも重要なテーマとなるため、それぞれの特徴と使い分けをしっかり理解しておきましょう。
ATI（Applied Threat Intelligence）を徹底解説
Google Security Operations (Google SecOps) の強力な機能の一つである Applied Threat Intelligence (ATI) は、Google が保有する世界最高峰の脅威インテリジェンスを、顧客のセキュリティ運用に直接かつ自動的に適用する仕組みです,。これにより、アナリストは膨大なデータの中から、Mandiant や VirusTotal といった専門的な知見に基づいた「真に警戒すべき脅威」を即座に特定できるようになります,。
1. ATI を支える 3 つの柱
ATI は、単なるブラックリストの照合にとどまらず、以下の 3 つの要素を通じて高度な検知と分析を実現します。
- イベントレベルの拡充 (Enrichment)：取り込まれたすべてのテレメトリに対し、Google Threat Intelligence (Mandiant と VirusTotal の統合) のコンテキストが自動的に付与されます。これには、関連する攻撃キャンペーンや攻撃グループ（アクター）の情報が含まれます。
- 高度なインジケーター照合：顧客固有の環境コンテキストを考慮したノイズ除去ロジックと、優先順位付けアルゴリズムを駆使して、高い精度で侵害インジケーター (IoC) を照合します。
- アクティブな侵害のアラート：Mandiant のインシデント対応チームが現場で得た最新の知見を活用し、現在進行形で起きている可能性のある侵害を早期に警告します。
2. インテリジェンスの動的な適用
ATI は、日々進化する攻撃手法に対応するために継続的にアップデートされています。
- GTI スコアによる優先順位付け：従来の IC スコアに代わり、現在は Google Threat Intelligence (GTI) スコア が採用されています。これは IoC に対して統一された判定を提供し、膨大な脅威データを集約して優先順位を決定します。
- 多様なインジケーターのサポート：ファイルハッシュや IP アドレスに加え、URL インジケーター も照合対象として利用可能です。
- コモディティマルウェアへの対応：「Medium Priority」ルールセットの導入により、高度な標的型攻撃だけでなく、一般的なコモディティマルウェアの検知・優先順位付けも強化されています。
3. 調査を加速させる専用ビュー
ATI は検知するだけでなく、アナリストが迅速に判断を下せるよう、調査とトリアージに特化したキュレートされたビューを提供します。この画面では、インジケーターと攻撃者、キャンペーン、マルウェアとの関連性や、顧客環境内での観測統計などの貴重な情報が一目で確認でき、SOC ワークフローの効率を大幅に向上させます。
4. パッケージと利用要件
ATI は、Google SecOps のパッケージに応じて提供される機能が異なります。
- Enterprise パッケージ：強化された脅威インテリジェンス機能が含まれます。
- Enterprise Plus パッケージ：Mandiant と VirusTotal の脅威インテリジェンスの全機能が利用可能であり、顧客環境に基づいた IoC の自動優先順位付けなど、最も包括的な ATI 機能を提供します,。
運用の注意点：データ RBAC (ロールベースのアクセス制御) が有効な環境では、顧客ログから派生した ATI データや IoC の一致を表示するために、ユーザーにはグローバル スコープの権限が必要となります。
Applied Threat Intelligence を活用することで、組織は Google の最前線の研究成果を自社の防御体制に組み込み、複雑化する脅威に対して確信を持って対応することが可能になります。
ATI（Applied Threat Intelligence）を徹底解説のまとめ
Applied Threat Intelligence（ATI）は、Googleが保有する脅威インテリジェンスをGoogle SecOpsのセキュリティ運用へ自動的に適用する重要な機能です。
MandiantやVirusTotalの知見を活用し、IoCの照合やイベントの拡充、現在進行中の侵害の検知などを実現します。
また、GTIスコアによる優先順位付けや専用ビューによって、アナリストは重要な脅威を迅速に特定・調査できます。
EnterpriseとEnterprise Plusでは利用できるATI機能に違いがあるため、パッケージごとの機能差も理解しておくことが重要です。
ATIはGoogle SecOpsの脅威インテリジェンスを理解する上で重要な機能であり、Professional Security Operations Engineer認定試験でも押さえておきたいポイントです。
UEBAとリスク分析を徹底解説
Google Security Operations（Google SecOps）の高度な分析レイヤにおいて、中心的な役割を担うのがリスク分析とUEBA（ユーザーとエンティティの行動分析）です。これらは、単一のアラートでは見逃されがちな、時間の経過とともに進行する巧妙な攻撃や、組織内部に潜むリスクを特定するために設計されています。
1. UEBAによる異常行動の自動特定
UEBAは、機械学習を用いてユーザーやエンティティ（アセットなど）の行動パターンを継続的に分析します。
- 脅威のあぶり出し：認証情報の漏洩や内部の脅威を示す可能性のある異常な行動を自動的に特定します。
- ベースラインの構築：通常の行動からの逸脱を検知することで、従来の手法では発見が困難な「静かなる侵害」を可視化します。
2. リスク分析の強力な機能群
リスク分析機能は、Googleが提供する知見と柔軟なカスタマイズ性を両立しています。
- キュレートされた検出：Google Cloud 脅威インテリジェンス（GCTI）チームが作成した、UEBAカテゴリの事前構築済みルールセットを利用できます。
- YARA-L 指標関数：カスタムルールを作成する際、統計的な指標（平均、標準偏差など）を算出する関数を使用して、挙動の異常を定量的に判断できます。
- エンティティ リスクスコア：アセットやユーザーごとに計算されたリスクスコアを定義・管理し、組織全体のセキュリティ状況を優先順位付けして把握できます。
3. リスクベースのアラート（RBA）
最新の機能アップデートにより、特定のイベントに依存せず、エンティティのリスクスコアの変化そのものをトリガーにアラートを生成できるようになりました。
- 独立した検知：
ENTITY_RISK_CHANGEという UDM イベントタイプを使用することで、取り込まれたログとは独立して、リスクレベルの変動を監視する YARA-L ルールを記述できます。 - 迅速な対応：リスクが閾値を超えた際に即座に通知を行うことで、調査の開始を大幅に早めることが可能です。
4. Google Workspace との連携によるインサイダーリスク対策
Google SecOps は、Google Workspace と直接接続して、環境内のインサイダーリスク（内部不正リスク）を検出する専用の構成を提供しています。これにより、ドキュメントの大量持ち出しや不審な共有設定の変更など、クラウドコラボレーションツール上でのリスクの高い行動を横断的に監視できます。
5. 利用要件と運用の注意点
リスク分析とUEBAは、プラットフォームの高度な機能として以下の条件が適用されます。
- ライセンス：これらの機能は Enterprise および Enterprise Plus パッケージを契約しているお客様が利用可能です。
- データアクセス制御：現在の仕様では、UEBAカテゴリのリスク分析やキュレートされた検出結果にアクセスするには、グローバル スコープ（
roles/chronicle.adminなど）の権限が必要であり、データ RBAC による制限下にあるユーザーは表示できません。
リスク分析とUEBAを適切に活用することで、SOCチームは押し寄せるログの山から解放され、組織の安全を真に脅かす「異常な兆候」へとフォーカスできるようになります。
UEBAとリスク分析を徹底解説のまとめ
Google SecOpsのUEBAとリスク分析は、ユーザーやアセットの行動を分析し、単一のアラートだけでは発見しにくい異常や内部脅威を検出するための重要な機能です。機械学習による行動分析やエンティティリスクスコア、YARA-Lの指標関数を活用することで、通常の行動から逸脱したリスクを効果的に可視化できます。
さらに、ENTITY_RISK_CHANGE を利用したリスクベースのアラートにより、リスクスコアの変化を起点とした迅速な検知も可能です。Google Workspaceとの連携では、ファイルの大量持ち出しや共有設定の変更など、インサイダーリスクの検出にも活用できます。
UEBAとリスク分析は、Professional Security Operations Engineer認定試験でも重要なテーマとなるため、それぞれの仕組みと活用方法を理解しておきましょう。
まとめ
今回は、下記３点について説明しました。
- UDM検索と未加工ログスキャンを徹底比較
- ATI（Applied Threat Intelligence）を徹底解説
- UEBAとリスク分析を徹底解説
Google SecOpsには、ログ検索から脅威インテリジェンス、ユーザー行動分析まで、SOC運用を効率化するさまざまな機能が用意されています。
UDM検索と未加工ログスキャンは調査の目的に応じて使い分け、ATIではGoogleの脅威インテリジェンスを活用できます。また、UEBAとリスク分析では、ユーザーやアセットの異常な行動を分析し、単純なアラートだけでは発見しにくい脅威を検出できます。
これらの機能を個別に覚えるだけでなく、それぞれが「検索」「脅威インテリジェンス」「リスク分析」のどの役割を担っているのかを理解することが重要です。Professional Security Operations Engineer認定試験に向けて、各機能の特徴と利用シーンを整理しておきましょう。
これからも、Macのシステムエンジニアとして、日々、習得した知識や経験を発信していきますので、是非、ブックマーク登録してくれると嬉しいです！
それでは、次回のブログで！
