履歴データを再解析する（ログ再生）
このガイドは、Log Replay を使用して Google Security Operations の過去のログデータを再解析するセキュリティ エンジニアと検出エンジニアを対象としています。このドキュメントでは、アクティブなパーサー構成を検証する方法と、 Google Cloud サポートを通じてバックエンドのログ再生タスクをリクエストして、最大 180 日間の過去のテレメトリーで更新された統合データモデル（UDM）フィールド マッピングをバックフィルする方法について説明します。この方法を使用すると、新しいマッピング指示が新しく取り込まれたログにのみ適用される場合でも、更新された事前構築済みパーサー、カスタム パーサー、パーサー拡張機能を保存済みの未加工ログに適用できます。正常に完了すると、移行元エンドポイントからログを手動で再取り込みすることなく、過去の脅威ハンティングと検知ルールのカバレッジが向上します。
一般的なユースケース
履歴ログの再解析は、次の運用シナリオに対応します。
遡及的なフィールドの正規化
- 目的: 事前構築済みパーサーの更新、カスタム パーサー、またはパーサー拡張機能を有効にした後、新しくマッピングされた UDM フィールドを過去のログ全体にバックフィルします。
- 価値: ソース エンドポイントからの手動再取り込みを必要とせずに、履歴データとライブデータ全体で一貫した検索可能性を維持します。
ログ エクスプローラでの脅威ハンティング
- 目標: 新しくマッピングされた UDM 属性を使用して履歴ログをクエリし、過去の攻撃者のアクティビティを調査します。
- 価値: 以前は未マッピングだった過去のセキュリティ侵害インジケーター（IOC）を未加工のログテキストで特定することで、インシデント対応を迅速化します。
過去の検出ルールの評価
- 目的: 特定の正規化された UDM フィールドを必要とする過去のログデータに対して YARA-L 検出ルールを評価します。
- 値: 更新された検出ロジックを過去のイベントに対して評価する際に、偽陰性を防ぎます。
主な用語
- ログの再生: 保存された未加工ログをアクティブなパーサー構成で再処理し、更新された UDM レコードを生成する Google SecOps のバックエンド サービス。
- 統合データモデル（UDM）: Google SecOps が検索、ダッシュボード、検出ルールのセキュリティ テレメトリーを正規化するために使用する標準化されたスキーマ。
- 不変の未加工リポジトリ: コンプライアンス、監査、履歴の再解析のために、変更されていない元の未加工ログを保持する基盤となるストレージ レイヤ。
始める前に
ログ再生タスクをリクエストする前に、次の要件を満たしていることを確認してください。
権限: 次の権限が必要です。
- Google SecOps でパーサー構成を表示して管理する（Chronicle API 編集者ロールなど）。
- Google Cloud コンソール（テクニカル サポート編集者のロール
roles/cloudsupport.techSupportEditorなど）でサポートケースを作成します。
環境チェック: Google SecOps の顧客インスタンス ID と関連付けられた Google Cloud プロジェクト ID があることを確認します。
制限事項
ログ再生は、次のサポート範囲内で動作します。
- サポートされている保持期間: 最大 180 日間（6 か月間）の履歴ログデータの履歴再解析をリクエストできます。
- アクティブなパーサーが必要: ログ再生では、アクティブなパーサー バージョンのみが適用されます。下書き、非アクティブ、アーカイブ済みのパーサー構成は使用できません。
- スコープ指定: 再解析は、特定のログタイプと、RFC 3339 UTC 形式で定義された開始タイムスタンプと終了タイムスタンプにスコープ設定されます。
- 不変の未加工ストレージ: Log Replay は正規化された UDM レコードのみを再生成します。元の未加工ログは、変更不可の未加工リポジトリで変更されません。
ログ再生タスクをリクエストする
パーサーを検証してログ再生リクエストを送信する手順は次のとおりです。
アクティブなパーサー構成を検証する
履歴の再解析をリクエストする前に、ターゲット パーサーまたはパーサー拡張機能がアクティブで、ライブ テレメトリーを正規化していることを確認します。
- Google SecOps コンソールで、[SIEM 設定] > [パーサー] に移動します。
ターゲット ログタイプを見つけて、更新された事前構築済みパーサー、カスタム パーサー、またはパーサー拡張機能のステータスが [アクティブ] であり、ライブの受信ログが想定どおりに正規化されていることを確認します。
サポートケースを送信する
必要なスコープ パラメータを含むサポート チケットを送信して、 Google Cloud サポートがバックエンドの再生ジョブを開始できるようにします。
- Google Cloud コンソールを使用してサポートケースを開きます。
サポートケースの説明に、以下の詳細情報を記載します。
- インスタンス ID: Google SecOps の顧客インスタンス ID と関連付けられた Google Cloud プロジェクト ID。
- ログタイプ: 再解析する特定の
log_typeラベル（PAN_FIREWALLや<var>CUSTOM_LOG_TYPE</var>など）。 - ターゲット時間枠: サポートされている 180 日間の制限内の、RFC 3339 UTC 形式の正確な開始タイムスタンプと終了タイムスタンプ（
2026-06-01T00:00:00Zから2026-08-31T23:59:59Zなど）。 - パーサーの詳細: 適用するアクティブなパーサー バージョン、カスタム パーサー名、パーサー拡張機能 ID（ログ再生ではアクティブなバージョンのみが適用されます）。
- ビジネス上の正当な理由: 要件の簡単な概要（フィールドの遡及的な正規化やインシデントの調査など）。
例と参考情報
このセクションのテンプレートを使用して、サポート リクエストを準備します。
サポートケースのリクエスト テンプレート
サポートケースの説明を送信する際は、次のテンプレートをコピーして入力してください。
Request type: Google SecOps Log Replay (historical re-parsing)
Customer instance ID: <YOUR_INSTANCE_ID>
Google Cloud project ID: <YOUR_PROJECT_ID>
Target log_type: <LOG_TYPE_LABEL>
Start timestamp (RFC 3339 UTC): 2026-06-01T00:00:00Z
End timestamp (RFC 3339 UTC): 2026-08-31T23:59:59Z
Active parser or extension ID: <ACTIVE_PARSER_NAME_OR_EXTENSION_ID>
Business justification: Retroactive UDM field normalization for active parser update
トラブルシューティング
このセクションでは、パフォーマンスの期待値の概要と、一般的なログ再生の問題に対するセルフサービスによる修正方法について説明します。
レイテンシと上限
Google Cloud サポートがログ再生タスクを開始すると、プロセスはバックエンドで非同期的に実行されます。処理時間は、指定された時間枠内のログの全体的な量によって異なります。タスクが過去の未加工ログを処理すると、新しく生成された UDM レコードが、その期間の以前の UDM レコードを段階的に置き換えます。再生タスクの実行中に、同じログタイプと時間枠のサポート リクエストを重複して送信しないでください。
エラーの修復
この表を使用して、ログ再生タスクのリクエストまたは検証時の一般的な問題を解決します。
| 問題 | 説明 | 修正 |
|---|---|---|
| パーサーが無効なため、リクエストが拒否されました | リクエストされたカスタム パーサーまたはパーサー拡張機能が [下書き] または [保留中] ステータスである。 | [SIEM 設定] > [パーサー] で、パーサー構成を有効にし、ライブログが想定どおりに解析されることを確認して、サポートケースを再送信します。 |
| 時間枠の制限によりリクエストが拒否されました | リクエストされた開始タイムスタンプが 180 日以上前である。 | サポートケースの説明で、開始タイムスタンプと終了タイムスタンプをサポートされている 180 日間の保持期間内に調整します。 |
| 検索で更新された UDM フィールドが見つからない | 対象期間の UDM 検索結果に、新しいフィールド マッピングがまだ表示されていません。 | 非同期バックエンド再生タスクが全期間の処理を完了するまで待ってから、SIEM 検索でクエリ構文を確認します。 |
検証とテスト
Google Cloud サポートがログ再生タスクの完了を確認したら、環境内の更新された UDM レコードを確認します。
- Google SecOps コンソールで、[調査] > [SIEM 検索] に移動します。
- 再生リクエストの過去の開始タイムスタンプと終了タイムスタンプに合わせて、期間選択ツールを設定します。
log_typeの新しくマッピングされた UDM フィールドを対象とする UDM 検索クエリを実行して、過去のイベントに正規化された属性が表示されることを確認します。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。