変更要約: 初版
4.1セキュリティイベントの発生源マッピング
目の前のアラートやログがIDS/IPS・ファイアウォール・NAC・プロキシ・アンチウイルス・NetFlowのどのセンサから来たのかを、イベントの形（署名ID・許可/拒否・認証/ポスチャ・URLカテゴリ・検体名・フロー統計）から即断する技能を、SOCの相関分析の起点として学びます。
SOCには毎日、種類の違う無数のイベントが流れ込みます。相関分析（1つの事象を複数ソースで裏取りする作業）の第一歩は、「このアラートはそもそもどの技術が出したものか」を形から見抜くことです。署名IDが付いていればIDS/IPS、5タプルに対する許可/拒否ならファイアウォール、URLのカテゴリ判定ならプロキシ——といったように、イベントの体裁は発生源を強く物語ります。発生源を取り違えると、可視範囲（ペイロードまで見えるのか、フロー統計だけか）を誤解し、次の一手を誤ります。この節では代表的なセンサが何を見て、どんなイベントを吐くかを、実物の断片から逆引きできるように整理します。
4.1.1境界とネットワークのセンサ
- IDS/IPS＝トラフィックを署名（シグネチャ）や異常検知にかけ、一致した攻撃をイベント化する。ログには署名ID（Snort/Firepowerの
SID）・分類・action（alert か drop/block）が載る。IDSは経路外で検知/通知のみ、IPSはインラインで遮断まで行う点が、同じ署名イベントでもactionの違いに現れる。 - ファイアウォール＝5タプル（送信元/宛先IP・ポート・プロトコル）に対しポリシで許可/拒否を判定し接続をログ化する。Cisco ASAなら
%ASA-6-302013（Built connection）や%ASA-4-106023（Deny ... by access-group）のように、接続の生成/破棄・deny理由が中心で、ペイロードの中身は通常含まれない。 - NAC（ネットワークアクセス制御・例 Cisco ISE）＝「誰の・どの端末がネットワークに入ろうとしたか」を扱う。イベントは802.1X認証の成否・認可（割当VLAN/権限）・ポスチャ判定（パッチ/AVの遵守状態）で、トラフィック内容ではなく接続主体と端末の健全性が主題になる。
4.1.2アプリ層と端末のセンサ
- プロキシ（Web/セキュアWebゲートウェイ）＝ユーザのHTTP/HTTPS要求を仲介し、URL・ドメイン・カテゴリ・ユーザ名・許可/ブロックをログ化する。
GET http://bad.example/xに対しcategory=malware, action=blocked, user=jdoeのように、アプリ層のWebアクセスが可視化される。暗号化されたトラフィックでもプロキシ位置なら宛先やSNIを把握しやすい。 - アンチウイルス/アンチマルウェア（AV）＝エンドポイント上のファイルを署名やヒューリスティックで検査し、検体名・ハッシュ・隔離/駆除の結果をイベント化する。
Detected: Trojan.GenericKD, file=invoice.exe, action=quarantinedのように、ネットワークではなくホスト上の実行/ファイルが主語になる。
4.1.3フローとメタデータ
- NetFlow＝各フローの5タプル＋バイト/パケット数・開始終了時刻を要約したレコードを出す。ペイロードは持たない（誰が誰とどれだけ通信したかの会話メタデータ）。
10.1.1.5:49321 -> 203.0.113.9:443, 6, 4.2MB, 300sのような統計で、ビーコン的通信や大量送信（外部への持ち出し）の兆候を面で捉えるのに向く。 - 発生源を見分ける近道は「そのイベントに何が写っているか」を問うこと：署名IDとaction→IDS/IPS、5タプルの許可/拒否→FW、認証/ポスチャ→NAC、URLとカテゴリ→プロキシ、検体名/ハッシュ→AV、バイト数だけの統計→NetFlow。ここを取り違えると「NetFlowでペイロードを見よう」といった存在しない可視性を前提にした誤った次手を打ってしまう。
「署名ID＋action＝IDS/IPS（IPSは遮断まで）」「5タプルの許可/拒否＝ファイアウォール」「認証/認可/ポスチャ＝NAC」「URL・カテゴリ・ユーザ＝プロキシ」「検体名/ハッシュ＝AV」「5タプル＋バイト数のみ・ペイロード無し＝NetFlow」の対応が頻出です。イベントの体裁から発生源を逆引きし、各源の可視範囲（ペイロードの有無・レイヤ）まで即答できるように練習しましょう。
あなたはSOCの一次トリアージ担当で、1件のインシデント候補に対し複数のログが並んでいます。まず %ASA-4-106023: Deny tcp src inside:10.1.1.5/49780 dst outside:198.51.100.7/4444 by access-group を見て、これはファイアウォールが5タプルに対しポリシで拒否した記録だと判別します。ポート4444宛の外向き接続が拒否された——攻撃の実行より前の兆候かもしれません。次に SID 1:2013028 "ET TROJAN Possible Metasploit ... " action=alert があり、これはIDS（actionがalertなので遮断していない経路外センサ）の署名一致だと分かります。IDSは検知のみなので、この通信自体は止まっていない可能性を念頭に置く必要があります。さらにプロキシのログに user=jdoe GET https://cdn.bad.example/payload category=malware action=blocked があれば、プロキシがアプリ層でWebアクセスを遮断した記録で、被疑ユーザと宛先ドメインという貴重なアーティファクトが得られます。最後にNetFlowに 10.1.1.5 -> 198.51.100.7:4444, 6, 1.1MB, 12min の長時間・一定サイズの通信があれば、NetFlowの統計からC2ビーコンやデータ持ち出しの疑いを面で裏取りできます——ただしNetFlowにはペイロードが無いので、中身の確証には別途フルパケットが要ります。ここで大切なのは、各ログの発生源を正しく同定できて初めて、可視範囲を踏まえた相関（同じ10.1.1.5・同じ4444番が複数ソースで一致）が成立し、FWが拒否したのにIDSは止めていない、という抜けの評価まで進めるという点です。発生源の取り違えは、この相関の土台そのものを崩します。
| 発生源 | 主に見るもの | 典型的なイベント | 可視範囲の限界 |
|---|---|---|---|
| IDS/IPS | 署名一致・異常検知 | SID＋分類＋action（alert/drop） | IDSは遮断せず検知のみ |
| ファイアウォール | 5タプルとポリシ | 接続の許可/拒否・生成/破棄 | 通常ペイロード内容は無い |
| NAC（ISE） | 接続主体と端末健全性 | 認証/認可・ポスチャ判定 | トラフィック内容は見ない |
| プロキシ | HTTP/HTTPS要求 | URL・カテゴリ・ユーザ・許可/ブロック | Web以外の可視性は限定的 |
| アンチウイルス | ホスト上のファイル | 検体名・ハッシュ・隔離結果 | ネットワーク経路は見ない |
| NetFlow | フロー統計（5タプル＋量） | 会話メタデータ・バイト/パケット数 | ペイロードを持たない |
ひっかけ： 「IDSがアラートを出したのだから、その攻撃通信はもう遮断されている」は誤りです——IDSは経路外で検知/通知のみで、遮断するのはインラインのIPSやファイアウォールです（actionがalertなら止まっていない可能性を疑う）。また「NetFlowのレコードでマルウェアのペイロードを解析しよう」も誤り＝NetFlowは5タプルと統計だけでペイロードを含みません。中身の確証にはフルパケットキャプチャが要ります。
4.1.4この節のまとめ
- イベントの形が発生源を語る：署名ID＋action＝IDS/IPS、5タプルの許可/拒否＝FW、認証/ポスチャ＝NAC、URL/カテゴリ＝プロキシ、検体名/ハッシュ＝AV、統計のみ＝NetFlow
- IDSは検知のみ・IPSは遮断まで。actionがalertなら通信は止まっていない可能性を評価する
- 相関の前提は発生源の正しい同定と各源の可視範囲（ペイロードの有無・レイヤ）。NetFlowにペイロードは無く、中身確認にはフルパケットが要る
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. SOCに `%ASA-4-106023: Deny tcp src inside:10.1.1.5/50912 dst outside:198.51.100.7/4444 by access-group "outbound"` というログが届いた。このイベントの発生源として最も適切なものはどれか。
Q2. ある通信について「宛先IPと宛先ポート、送受信バイト数、継続時間は分かるが、やり取りされたファイルやコマンドの中身は一切記録されていない」データがある。この可視性を持つデータの発生源はどれか。
Q3. IDSのコンソールに `SID 1:2013028 ... action=alert` という署名一致イベントが表示された。このイベントを受けたトリアージ担当の判断として最も適切なものはどれか。