視点

フェデレーテッドSOC

フェデレーテッド（分散連携型）のセキュリティオペレーションセンターを導入した組織が、なぜこれを「この10年でセキュリティ運用に起きた最良の変化」と評価するのか。そして、その投資対効果の議論がなぜたいていSIEMの請求書から始まるのかを解説します。

はじめての方は、やさしい解説版からどうぞ。

1. フェデレーテッドSOCとは

従来のSOCは、「すべてを一か所に集め、そこで分析する」という考え方の上に成り立っています。あらゆる国のあらゆるシステムから、すべてのログが単一の中央SIEMに送られ、単一の中央チームがそれを監視します。

フェデレーテッドSOCはこれを逆転させます。データを分析の場所へ運ぶのではなく、分析をデータのある場所へ運ぶのです。セキュリティテレメトリは、それが生成された場所、つまり地域、事業部門、クラウドアカウント、あるいは子会社にとどまります。検知ロジック、標準、ガバナンスは中央で一度だけ定義され、すべての拠点に展開されます。中央のハブに戻ってくるのは、アラート、エンリッチ済みの検知結果、価値の高いイベントといった、本当に重要なものだけです。ハブはそれらを相関分析、ケース管理、全体監督に用います。

フェデレーテッドSOCは、単に複数のSOCを別々に持つこととは違います。独立したSOCは次第にばらばらになります。ツールもルールもインシデントの定義も異なり、共通の全体像がありません。フェデレーションでは、スキーマ、検知コンテンツ、重大度モデル、プレイブック、レポーティングといった共通レイヤーを維持しつつ、重い処理を各拠点で行います。

2. 解決する課題

集中型モデルが理にかなっていたのは、ログ量がそれほど多くなく、ほとんどのシステムが一つか二つのデータセンターにあった時代です。今はどちらも当てはまりません。アジア太平洋で事業を展開する組織は、通常、次の課題すべてに同時に直面しています。

• 予算を上回るペースで増え続けるテレメトリ量。クラウドの監査ログ、エンドポイントのテレメトリ、ID関連イベント、SaaSのアクティビティ、ネットワークフロー、DNSのいずれもが何倍にも増えています。セキュリティデータは、どのセキュリティ予算も追いつけない速度で毎年増加するのが一般的です。
• 取り込み量に基づく課金。ほとんどのSIEMプラットフォームは、直接的または間接的に、取り込んだデータ量またはその処理に使うコンピュート量に応じて課金されます。1ギガバイト増えるごとに、それが検知に役立つかどうかに関係なく費用が発生します。
• 強いられるトレードオフ。その請求額を前に、チームはデータソースを削ったり保存期間を短くしたりし始めます。予算内に収めるために可視性を犠牲にするという、本末転倒の状態です。
• データ移動のコスト。生ログを地域間やクラウドの外へ送るとネットワークのエグレス料金が発生し、構築・維持が必要なインフラも増えます。
• データレジデンシーとプライバシー規制。セキュリティの生ログには、ユーザー名、メールアドレス、IPアドレス、デバイス識別子、場合によってはメッセージ内容など、個人情報が大量に含まれます。これを国境を越えて移すと、国ごとに異なる法的義務が生じます。
• 買収・地域ごとにばらばらなツール群。子会社や買収企業は独自のツールとチームを持って加わります。すべてを一つの中央プラットフォームに統合させるのは、時間も費用もかかり、社内調整も困難です。
• 単一障害点。中央のパイプラインやプラットフォームに問題が起きると、組織全体が一斉に「見えなく」なります。

フェデレーテッドSOCは、ひとつのアーキテクチャ変更でこれらすべてに対処します。

3. 仕組み

ノード

ノードとは、テレメトリを生成場所の近くで収集・保存・分析する拠点です。国ごとの事業拠点、クラウド環境、事業部門、あるいは既存のセキュリティ基盤を維持したままの買収企業などがノードになり得ます。各ノードは次のことを行います。

• 生のテレメトリをローカルに保存します。通常はSIEMの高価なストレージではなく、低コストのオブジェクトストレージやデータレイクを使います。
• 取り込んだイベントを、組織共通のスキーマに正規化します。
• 中央で管理された検知ルールを、自らのデータに対してほぼリアルタイムで実行します。
• ハブからの検索クエリに応じて、生データではなく結果を返します。
• アラート、エンリッチ済みの検知結果、および一部の高価値イベントをハブに転送します。

ハブ

ハブはSOCの頭脳です。全体を見渡す視点が本当に必要な業務を担います。

• ノード横断の相関分析：同じ攻撃者、認証情報、攻撃手法を、国や事業部門をまたいで発見します。
• ケース管理とインシデント指揮：一つのキュー、一つの重大度モデル、すべてのインシデントの一元的な記録。
• 検知エンジニアリング：検知コンテンツをコードとして作成・テスト・バージョン管理し、全ノードに展開します。
• 脅威インテリジェンス：侵害の痕跡（IoC）やハンティングの仮説を、全ノードへ一斉に配信します。
• ガバナンスとレポーティング：カバレッジ、パフォーマンス、リスクの指標を、経営層や規制当局に向けて組織全体で一貫した形で提供します。

フェデレーテッドサーチ

フェデレーションを実用的にする鍵となる機能が、フェデレーテッドサーチです。ハブのアナリストが一つの問いを投げると、その問いは該当するすべてのノードに送られ、各ノードがローカルのデータに対して実行し、結果が一つの回答として統合されて返ってきます。アナリストにとっては一つの調査であり、データを移動させる必要は一切ありません。

ルーティングレイヤー

データソースと送信先の間には、テレメトリパイプラインが置かれ、イベントごとに送り先を判断します。高価値のセキュリティイベントはSIEMへ、大量のテレメトリは低コストのローカルストレージへ、ノイズはフィルタリングまたは集約し、機微な項目は国境を越える前にマスキングします。コスト管理の大部分はこのレイヤーで行われ、データソース側に手を入れずに変更できます。

4. コスト削減の源泉

予算責任者が最も注目するのがこの部分です。削減効果は一つの仕掛けから生まれるのではなく、互いに独立した複数の要因が積み重なって生まれます。

4.1 SIEMの取り込みとライセンス

多くの環境では、テレメトリ量の大部分を、量は多いがシグナルの少ないデータが占めています。ファイアウォールやネットワークフローの記録、DNSクエリ、詳細なエンドポイントのプロセスイベント、ロードバランサーやプロキシのログ、デバッグレベルのクラウドログなどです。これらは調査やハンティングには欠かせませんが、単独で検知を発報することはほとんどありません。

集中型モデルでは、これらすべてにSIEMの価格を払うことになります。フェデレーテッドモデルでは、これらはノードでストレージの価格で保存・検索され、検知に寄与するイベントだけがSIEMに送られます。SIEMのコストは取り込み量に連動するため、SIEMの取り込み量を減らせば、SIEMのコストもほぼ比例して下がります。

4.2 ストレージの階層化と保存期間

SIEMの高価なストレージは、保存1ギガバイトあたりのコストが高くつきます。ノードのオブジェクトストレージは、そのごく一部の費用で済みます。フェデレーションにより、直近の高価値データは高速なホットストレージに置き、それ以外は検索可能なまま安価なストレージに移すことができます。1年以上の保存要件が、予算上の危機ではなくなります。

4.3 ネットワークのエグレスと転送

地域の外に出ないデータには、地域間転送やクラウドのエグレス料金がかからず、規模設計・運用・パッチ適用が必要な中央の収集インフラも要りません。複数の地域でクラウドを多用する組織では、エグレスの削減だけでも大きな効果になり得ます。

4.4 全面的な入れ替えの回避

子会社や買収企業がすでに機能するセキュリティ基盤を持っている場合、フェデレーションならそれをノードとして参加させられます。中央プラットフォームへの移行という代替案は、通常、新たなライセンス、数か月のエンジニアリング作業、そして切り替え期間中の可視性低下を伴います。フェデレーションは、移行プロジェクトを統合プロジェクトに変えます。

4.5 重複するツールとチームの削減

いつの間にか複数の独立したSOCを抱えるようになった組織は、プラットフォーム、検知エンジニアリング、脅威インテリジェンスに重複して費用を払っています。フェデレーションでは、高度で専門的な業務をハブに集約し、一度作ったものを全拠点で使い、各拠点の運用は少人数に保ちます。

4.6 人員配置の効率化

アジア太平洋の複数のタイムゾーンにまたがるフェデレーテッドSOCでは、アナリストが現地の日中に勤務するフォロー・ザ・サン体制を組めます。夜勤への依存と、それに伴う手当、疲労、離職を減らせます。また、精度の高いアラートに取り組むことで、アナリストの生産性も上がります（第6章参照）。

4.7 コンプライアンス対応の負担

生の個人データが設計上国内にとどまれば、それを国外へ移すために必要な法務作業、移転評価、契約上の手当ては大幅に減ります。国境を越えるのは、最小化され、多くの場合仮名化された検知結果だけであり、その正当性の説明や文書化ははるかに容易です。

5. コストモデルの試算例

以下の数値は、明示した前提に基づく試算例であり、ベンチマークではありません。実際の数値は組織ごとに異なります。重要なのは、結果の「形」です。

前提条件。アジア太平洋の5か国で事業を展開する組織が、1日あたり2,000 GBのセキュリティテレメトリを生成しているとします。分析の結果、その量の30%が検知に寄与する高価値データ（ID、エンドポイントのアラート、特権アクティビティ、重要なクラウドのコントロールプレーンイベント、セキュリティツールのアラート）でした。残りの70%は、調査とハンティングに必要な大量のテレメトリです。ホットストレージでの90日保存と、1年間の検索可能な保存が求められています。

この前提では、エグレスの削減、移行の回避、人員面の効果を数える前の段階で、予算のSIEM項目がおよそ3分の2減ります。削減分の一部はノードのストレージとルーティングレイヤーに再投資されますが、それらのコストは置き換えるSIEM容量のごく一部です。

より重要な成果は、表の下2行にあります。組織は支出を減らしているだけでなく、より多くを見られるようになり、規制上のリスクを一つの類型ごと取り除いています。

実際には、高価値データの比率が30%を下回る組織も多く、その場合の削減幅はさらに大きくなります。実際の比率は、データソースの棚卸し（第10章参照）によって数週間で把握できます。

6. SIEMの価値はむしろ高まる

よくある最初の反応は、「フェデレーションはSIEMを脇に追いやるのではないか」というものです。実際はその逆です。フェデレーションにより、SIEMは本来得意なことに専念でき、非常に高価なログ保管庫として使われることがなくなります。

ノイズではなくシグナルを

SIEMがすべてのデータではなく、厳選され正規化された高価値データを受け取るようになると、相関ルールはよりクリーンな入力に対して実行されます。誤検知が減り、アラートの文脈が豊かになり、アナリストは本物の脅威に時間を使えます。おそらく最も重要な指標である「有用なアラート1件あたりのコスト」が大幅に下がります。

より良い検知を、一度だけ書く

ハブでのディテクション・アズ・コードにより、すべてのルールはバージョン管理され、レビューを受け、サンプルデータでテストされ、全ノードに同時に展開されます。ある国のインシデントを受けて書かれた新しい検知ルールが、その日のうちにすべての国を守ります。

妥協のないカバレッジ

大量データの必要性をSIEMの価格で正当化する必要がなくなるため、これまで削られていたデータソースを再び有効にし、ノードに保存できます。可視性のギャップが埋まり、脅威ハンターは2週間分ではなく1年以上の履歴を検索できるようになります。

より速い調査

フェデレーテッドサーチにより、アナリストはSIEMのアラートから該当ノードの生テレメトリ全体へと、一つのワークフローの中で直接たどれます。データの再取り込みを待ったり、地域チームにデータを依頼したりする必要はありません。

事業とともに拡張できるプラットフォーム

新しい国、新しいクラウドアカウント、新しい買収企業は、ノードとして加わります。SIEMのコストは環境全体の規模ではなく、高価値データの量に応じて増えます。セキュリティ運用が事業拡大のボトルネックではなくなります。

レジリエンス

ハブとの接続が途切れても、各ノードはローカルで検知と保存を続け、接続が回復すると蓄積した検知結果を転送します。一本のパイプラインの障害で組織全体が見えなくなる、ということがなくなります。

7. 日本・アジア太平洋に特に適している理由

フェデレーションはどこでも有用ですが、アジア太平洋には、それを特に魅力的にする特性があります。

国ごとに異なるプライバシー・データ規制

日本の個人情報の保護に関する法律（個人情報保護法）は、外国にある第三者への個人データの提供に条件を設けています。中国の個人情報保護法とデータセキュリティ関連の規則は、多くの場合にデータの国内保存や安全評価を求めます。シンガポールの個人データ保護法、オーストラリアのプライバシー法、韓国の個人情報保護法、インドのデジタル個人データ保護法も、それぞれ独自の要件を加えています。集中型SOCは、移動させるすべての生ログについてこれらすべてを満たさなければなりません。フェデレーテッドSOCは生データをその場にとどめ、最小化された検知結果だけを移すため、どの法域においてもはるかに説明しやすい立場に立てます。

距離とタイムゾーン

この地域はインドからニュージーランドまで広がっています。その距離をまたいだ中央収集は、遅延と転送コストを増やします。単一の中央チームでは扱いにくいタイムゾーンの広がりも、フェデレーテッドなチームにとってはフォロー・ザ・サン体制を自然に組める条件になります。

言語と現地の文脈

フィッシングの手口、不正のパターン、業務プロセス、規制当局は、いずれも国ごとに異なります。ノードやその近くにいるアナリストは、それらを現地の言語と文脈で理解しています。フェデレーションは、こうした現地の知見を活かしながら、グローバルなツールと支援を提供します。

グループ構造と子会社

この地域の多くの組織は、実質的な運営上の独立性を持つグループ会社、合弁会社、買収した事業を通じて事業を行っています。フェデレーションは、その独立性を尊重しながら、グループ全体の可視性と一貫した標準を実現します。

8. 人と組織の側面

フェデレーテッドSOCは、セキュリティチームの働き方を変えます。その変化の多くは良い方向のものです。

• ハブの役割は、検知エンジニアリング、脅威インテリジェンス、インシデント指揮、プラットフォームエンジニアリング、メトリクスといった、専門性が高く波及効果の大きい業務に集中します。
• ノードの役割は、トリアージ、現地での調査、現地のIT部門・事業部門との連携、現地の規制当局への報告に集中します。
• キャリアパスがノードとハブの間に生まれ、希少な人材の定着につながります。
• 明確な責任分担を簡潔な責任分担表（RACI）で定め、重大度レベルごとに、誰が検知し、誰がトリアージし、誰が対応し、誰が報告するかを明確にします。

9. 成功のための条件

効果は本物ですが、それを実現するための条件もまた現実的なものです。フェデレーションに成功する組織は、いくつかの基盤に最初に投資しています。

• 共通スキーマ。すべてのノードが、同じベンダー中立のデータモデルにイベントを正規化しなければなりません。そうでなければ、フェデレーテッドサーチも共通の検知ルールも成り立ちません。
• ディテクション・アズ・コードの規律。ルールはテストと自動展開を伴うバージョン管理の中に置きます。個々のノードでルールを手作業で編集すると、仕組みの意味が失われます。
• 意図的なルーティング判断。「SIEMに送る」か「ノードにとどめる」かは、検知上の価値に基づいてデータソースごとに決め、脅威の変化に応じて見直す必要があります。
• クエリ性能に対する現実的な期待。ノードの大量データの検索は、SIEMのホットストレージの検索より遅くなることがあります。時間的に重要な高価値データがハブにあれば、ハンティングや調査の用途としては許容範囲です。
• 強固なガバナンス。共通のプレイブック、単一の重大度モデル、ノードの健全性・カバレッジ・検知性能の定期的なレビューによって、フェデレーションが別々のSOCへと崩れていくのを防ぎます。

10. 実践的なロードマップ

1. 棚卸しと分類（第1〜6週）。すべてのデータソースを、量、検知上の価値、保存要件、レジデンシー上の制約ごとに一覧化します。このステップだけで、たいていの場合、機会の大きさが見えてきます。
2. 共通レイヤーの定義（第4〜10週）。スキーマ、重大度モデル、プレイブック、責任分担表、ディテクション・アズ・コードのワークフローを合意します。
3. 1ノードでのパイロット（2〜4か月目）。データ量が多く、レジデンシー要件が明確な地域またはクラウド環境を選びます。ローカルストレージ、ルーティングレイヤー、フェデレーテッドサーチを構築し、ハブと接続します。
4. ルーティングの変更と測定（3〜6か月目）。パイロットノードの大量テレメトリをSIEMから切り離します。取り込み量、アラートの質、調査時間を変更前後で比較します。
5. ノード単位での拡大（6〜18か月目）。削減効果とリスクの大きい順に、地域、クラウド、子会社を追加します。回を重ねるごとに速くなります。
6. 継続的な最適化。ルーティングの判断を四半期ごとに見直し、使われていないデータを廃止し、棚卸しで見つかったギャップに検知カバレッジを追加します。

11. 成果の測り方

12. よくあるご質問

フェデレーションとは、今のSIEMを入れ替えるということですか？

いいえ。多くの場合、既存のSIEMがハブ、またはハブの一部になります。変わるのは、SIEMが取り込むデータです。

非常に大きな組織だけが対象ですか？

削減効果はデータ量と地理的な広がりに比例するため、複数の国やクラウドで事業を行う組織で最も効果が大きくなります。クラウドのテレメトリが多い、あるいはレジデンシー要件が厳しい中堅組織にも、効果があることが多くあります。

ノードにとどまるデータのリアルタイム検知はどうなりますか？

各ノードはローカルでほぼリアルタイムに検知を実行します。データをローカルに置くことは、監視しないことを意味しません。

規制当局に受け入れられますか？

生の個人データを発生国にとどめ、最小化された検知結果だけを移転する方式は、すべてを中央に移すよりも、アジア太平洋のプライバシー規制のもとで一般に正当化しやすいものです。具体的な義務については、各法域の法律専門家にご確認ください。

削減効果はいつ頃から現れますか？

最初のノードの大量テレメトリをSIEMから切り離した時点で削減が始まります。通常は最初の数か月以内です。