米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、連邦政府機関に対し、ロギング戦略をある一つの問いを軸に(再)構築するよう求めています。それは「攻撃を受けた際、収集したログを実際に活用して検知し、事後に何が起きたかを再構築できるか」という問いです。
2026年8月に公開された「Logging Reference Architecture(LRA)」は、米連邦文民機関がOMB Memorandum M-26-14のロギング要件を満たすための支援を目的としていますが、CISAは重要インフラ事業者やその他の政府機関に対しても、自組織のロギング・監視計画のベンチマークとしてこの文書を活用するよう明確に呼びかけています。
このガイドラインにはいくつかの付録が含まれており、そのうち2つは実質的に無料のアセスメントツールとして機能します。一つはロギング計画に関連する設計判断が十分に検討されているかを確認するもの、もう一つはその計画が実際に機能するかを確認するもの(ログは使えるか、データは適時か、イベントの忠実度は十分か、保護機能は機能しているか、ロギング機能が劣化した際に検知できるか)です。
LRAは政府文書ではあるものの、民間セクターのセキュリティチームも同じチェックリストを使って自組織のロギングプログラムを検証できます。
監視、フォレンジック、そして「すべてを保存するコスト」
LRAのフレームワークは、すべてを2つの運用目標を軸に整理しています。
- 継続的イベント監視(CEM):不審な活動をほぼリアルタイムで検知・対応
- 脅威ハンティング、調査、対応、フォレンジック(THIRF):侵害発生後に何が起きたかを再構築
テレメトリ、保持期間、アーキテクチャに関するあらゆる判断は、インシデント発生時に業務上答える必要がある具体的な問いにさかのぼれるようにすべきだとされています。
ログを収集することと、それを実際に活用できることは別物だと、同サイバーセキュリティ機関は指摘しています。
あるログソースが完全に接続されていても、データの到着が遅すぎたり、重要な詳細が欠落していたり、タイムスタンプの信頼性が低かったり、アナリストが調査を始めた途端に破綻してしまうような要約に圧縮されていたりすれば、実際のインシデントでは役に立ちません。
LRAは、検索可能なデータ、取得可能なデータ、改ざん不能なデータの区別を最も重要なストレージ判断の一つと位置づけており、これは予算にも直結します。
すべてのテレメトリを高価で低遅延なストレージに置く必要はありません。重要なのは、監視やハンティングのために即座に検索可能な状態を維持すべきデータは何か、再構築のために取得可能性を保ちつつより安価な階層に移せるデータは何か、改ざん不能な証拠としての取り扱いが必要なデータは何かを見極める規律です。(連邦のベースラインである「6か月間は積極的に検索可能、1年間は取得可能」は有用な参考基準となります。)
同文書はまた、SIEMを記録の中心システムにしてしまうことにも警鐘を鳴らしています。すべてを一つの分析プラットフォームに取り込むという一般的なパターンは、データ量が増えるにつれてコストがかさみ脆弱になっていくとCISAは述べており、取り込み時の処理がイベントの唯一の永続的なコピーになってしまうと、データの忠実性を損なう可能性もあるとしています。
CISAが推奨するモデルは、各ソースに適した収集を行い、それらを共通の下流処理に流し込む方式です。そして、ロギングインフラそのものは「侵害されれば検知を無力化し、証拠を汚染し、共有を妨げ、下流の意思決定への信頼を損なう可能性がある、セキュリティ上重要な機能」として扱うべきだとしています。
LRAはさらに、ログの集中管理の弱点についても言及しています。「集中管理は一貫性と可視性を向上させ得るが、それはデータが適時性、信頼性、利用可能性を保っている場合に限られる。コンテキストを失わせたり、大きな遅延を生んだり、脆弱なボトルネックを作り出したりするような集中型ストレージ設計は、強力な共通ガバナンスと共有の運用体制を備えた、より連邦的な設計よりも劣る」としています。
パイプラインにおけるAIのガバナンス
同文書は、検知、アラートの優先順位付け、トリアージ、調査へのAI・機械学習(ML)の活用についても取り上げており、同様のツールを導入するあらゆる組織にとって重要な境界線を示しています。
LRAはAIの出力を、権威あるイベント記録ではなく派生データとして扱うべきだとし、業務上・法律上・プライバシー上重大な結果を伴う行動については、引き続き人間によるレビューの対象とすべきだとしています。
「機関は、元の記録と派生した出力との関係を保持し、結果のレビュー、再現、異議申し立てを可能にするだけの十分なメタデータを記録すべきである」とLRAは述べています。SOCにおけるAI導入の実績を示すよう求められているリーダーにとって、これはガードレールをどこに置くべきかを端的に示す指針と言えます。
連邦政府機関の今後
M-26-14メモランダムの対象となる機関は、LRA公表から90日以内に、行政管理予算局(OMB)とCISAに「機関ロギング計画」を提出する必要があります。
この計画には、各機関がベースライン要件をどう満たすか、またベースラインを超えてどこまでロギングを行う必要があるかを記載すべきとされています。その後、各機関は成熟度モデルに沿って取り組みを進め、(理論上は)320日以内に「Advanced」レベルへの到達を目指します。
CISAには少なくとも年1回、LRAをレビューし更新することが義務付けられているため、脅威や技術の変化に応じて今後もこの指針は進化していくとみられます。
翻訳元: https://www.helpnetsecurity.com/2026/08/24/cybersecurity-logging-guidelines-strategy/
