セキュリティログの長期保管と「SIEM」「SOAR」のコスト最適化

背景と概要

インシデント発生時の原因調査、法的報告（個人情報保護委員会等）への対応、さらには高度な潜伏攻撃（APT）を検出するためには、各種システム（EDR、ファイアウォール、IdP、クラウド、プロキシ等）から出力される「セキュリティログ」を収集し、長期間保管・分析することが不可欠です。

ログ統合・解析基盤として「SIEM（Security Information and Event Management）」や自動対応ツール「SOAR（Security Orchestration, Automation and Response）」が活用されていますが、近年、システム規模の拡大に伴い「ログのデータ量が爆発的に増大し、SIEMのライセンス費用やストレージコストが跳ね上がる」という切実なコスト課題が多くの企業を悩ませています。

ログ管理における実務上の葛藤

コスト削減とセキュリティ視点（可視性）の間でバランスをとる必要があります。

1. ログの削減による「調査の死角」の発生

SIEMの費用を抑えるために、特定の機器のログ取得をオフにしたり、ログの保管期間を短く（例: 1ヶ月等）設定してしまうと、攻撃者の平均潜伏期間（数ヶ月単位）に対応できず、事故が発生した際に「ログが残っておらず侵入経路が特定できない」という致命的な状況に陥ります。

2. 無差別なログ収集によるノイズとコスト高圧

逆に、すべての詳細ログ（デバッグログや正常なアクセスログ等）を区別なく高機能なSIEMへインジェスト（読み込み）させると、インジェスト量に応じたライセンス費用が莫大になる上、分析のノイズが増加します。

SIEM / SOARの「コスト最適化（Log Pipeline）」アプローチ

ログをSIEMへ読み込ませる「前段」でデータを処理する「データパイプライン（Cribl等）」技術や、ストレージの階層化が推奨されます。

1. データパイプラインによる「ログの削減・フィルタリング」

ログがSIEMに届く前の段階で、不要な重複データや不必要なヘッダー情報を除去・圧縮（フィルタリング）し、データ量を20〜50%削減した上でSIEMへ転送します。

2. ログの階層化ストレージ（Hot / Warm / Cold）設計

Hotデータ（SIEM）： リアルタイムの相関分析やアラート検知に必要な過去30〜90日分の重要ログのみを高機能・高速なSIEMに保持する。

Coldデータ（データレイク / 安価なクラウドストレージ）： 長期保管（1年〜数年）や有事のフォレンジック用ログは、AWS S3 Glacierなどの極めて安価なオブジェクトストレージへ圧縮保管しておく。

3. SOARによるアラート一次対応の自動化

SIEMで検出されたアラートの初期調査（IPアドレスの評判確認、端末所有者の特定等）をSOARで自動化し、アナリストが手動で行う分析時間を削減することで運用コスト（人件費）を削減します。