第4章 · ネットワーク侵入分析·v1.0.0·更新 2026/7/20·読了目安 約16分
変更要約: 初版
4.1セキュリティイベントの発生源マッピング
この節の要点
目の前のアラートやログがIDS/IPS・ファイアウォール・NAC・プロキシ・アンチウイルス・NetFlowのどのセンサから来たのかを、イベントの形（署名ID・許可/拒否・認証/ポスチャ・URLカテゴリ・検体名・フロー統計）から即断する技能を、SOCの相関分析の起点として学びます。
SOCには毎日、種類の違う無数のイベントが流れ込みます。相関分析（1つの事象を複数ソースで裏取りする作業）の第一歩は、「このアラートはそもそもどの技術が出したものか」を形から見抜くことです。署名IDが付いていればIDS/IPS、5タプルに対する許可/拒否ならファイアウォール、URLのカテゴリ判定ならプロキシ——といったように、イベントの体裁は発生源を強く物語ります。発生源を取り違えると、可視範囲（ペイロードまで見えるのか、フロー統計だけか）を誤解し、次の一手を誤ります。この節では代表的なセンサが何を見て、どんなイベントを吐くかを、実物の断片から逆引きできるように整理します。
4.1.1境界とネットワークのセンサ
- IDS/IPS＝トラフィックを署名（シグネチャ）や異常検知にかけ、一致した攻撃をイベント化する。ログには署名ID（Snort/Firepowerの
SID）・分類・action（alert か drop/block）が載る。IDSは経路外で検知/通知のみ、IPSはインラインで遮断まで行う点が、同じ署名イベントでもactionの違いに現れる。 - ファイアウォール＝5タプル（送信元/宛先IP・ポート・プロトコル）に対しポリシで許可/拒否を判定し接続をログ化する。Cisco ASAなら
%ASA-6-302013（Built connection）や%ASA-4-106023（Deny ... by access-group）のように、接続の生成/破棄・deny理由が中心で、ペイロードの中身は通常含まれない。 - NAC（ネットワークアクセス制御・例 Cisco ISE）＝「誰の・どの端末がネットワークに入ろうとしたか」を扱う。イベントは802.1X認証の成否・認可（割当VLAN/権限）・ポスチャ判定（パッチ/AVの遵守状態）で、トラフィック内容ではなく接続主体と端末の健全性が主題になる。