SP 800-92はセキュリティログの「収集→正規化→分析→保管」のプロセスを体系化したガイドです。中小企業はまず監査ログとUTMログの有効化・保管から始め、SIEMの導入は段階的に検討しましょう。
SP 800-92とは
NIST SP 800-92「Guide to Computer Security Log Management」（2006年公開）は、セキュリティログの生成・収集・保管・分析のプロセスを体系化したガイドラインです。インシデントの検知・調査、コンプライアンス対応、フォレンジックにおいて、ログは最も重要な証拠です。
ログの種類
| カテゴリ | ログの例 | 収集元 |
|---|---|---|
| OS ログ | ログイン成功/失敗、プロセス起動/停止、ファイルアクセス | Windows イベントログ、syslog |
| アプリケーションログ | Webアクセスログ、DB操作ログ、メール送受信ログ | IIS/Apache、SQL Server、Exchange |
| ネットワークログ | ファイアウォールログ、IDS/IPSアラート、VPN接続ログ | UTM、ルーター、スイッチ |
| セキュリティログ | EDRアラート、DLP違反、MFA認証結果 | EDR、DLP、IdP |
| クラウドログ | Microsoft Purview 監査ログ、AWS CloudTrail、Azure Activity Log | SaaS管理画面、クラウドプロバイダー |
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →ログ管理インフラ
SP 800-92は、分散したログを集中管理するインフラの構築を推奨しています。
- ログ収集：各サーバー・機器からログを集中収集サーバーに転送（syslog、エージェント方式）
- 正規化：異なるフォーマットのログを統一フォーマットに変換
- 相関分析：複数のログソースを横断的に分析し、単独では見つからない異常を検出
- アラート：事前定義したルールに合致するイベント（不正アクセス試行等）をリアルタイム通知
現代ではこれらの機能をSIEM（Security Information and Event Management）が統合的に提供しています。Microsoft Sentinel、Splunk、Elastic Security、Datadog等が代表的な製品です。
ログの保管
| ログ種別 | 推奨保管期間 | 根拠 |
|---|---|---|
| 認証ログ（ログイン/ログアウト） | 1年以上 | 不正アクセスの事後調査に必要 |
| ファイアウォール/IDS ログ | 90日〜1年 | ネットワーク攻撃の痕跡分析 |
| アプリケーションログ | 90日〜1年 | 業務アプリの監査証跡 |
| 監査ログ（Microsoft Purview） | 既定180日（E5は1年） | クラウド環境の操作履歴 |
ログ分析
- 異常検知：通常と異なるログイン時間・場所・パターンを検出
- しきい値ベース：短時間での大量ログイン失敗等をアラート
- 相関ルール：複数ログの組み合わせで攻撃を検出（例：VPN接続 → 大量ファイルダウンロード）
- ベースライン比較：正常時の行動パターンとの乖離を検出（UEBA）
よくある質問
SP 800-92とは何ですか？
NIST SP 800-92「Guide to Computer Security Log Management」（2006年公開）は、セキュリティログの生成・収集・保管・分析のプロセスを体系化したガイドラインです。
どんなログを収集しますか？
OSログ（ログイン成功/失敗、プロセス起動/停止、ファイルアクセス／Windowsイベントログ、syslog）、アプリケーションログ（Webアクセス、DB操作、メール送受信）、セキュリティ機器のログなどです。
ログはどのくらい保管しますか？
認証ログ（ログイン/ログアウト）は不正アクセスの事後調査のため1年以上、ファイアウォール/IDSログは90日〜1年、アプリケーションログは90日〜1年が推奨です。
どう分析しますか？
通常と異なるログイン時間・場所・パターンを検出する異常検知、短時間での大量ログイン失敗などをアラートするしきい値ベース、そして「VPN接続→大量ファイルダウンロード」のように複数ログの組み合わせで攻撃を検出する相関ルールです。
まとめ
SP 800-92はセキュリティログの「収集→正規化→分析→保管」のプロセスを体系化したガイドです。中小企業はまず監査ログとUTMログの有効化・保管から始め、SIEMの導入は段階的に検討しましょう。