Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

SOAR アクティビティをモニタリングする

以下でサポートされています。

Google SecOps SOAR

このガイドは、監査とコンプライアンスの目的で Google Security Operations プラットフォームの SOAR 側でユーザーアクティビティをモニタリングする必要があるセキュリティ管理者とセキュリティアナリストを対象としています。さまざまな API バージョンでアクションがどのように記録されるか、また、これらの監査ログをどこで確認できるかについて説明します。これらのログを理解することで、アカウンタビリティを確保し、システム内で実行されたアクションの明確な証跡を提供できます。

始める前に

始める前に、監査ログにアクセスするために必要な権限があることを確認してください。

Google SecOps の SOAR 設定で監査ログを表示するには、Identity and Access Management（IAM）権限グループに SettingsId 権限を含むロールが必要です。
Google Cloud コンソールのログエクスプローラでログを表示するには、roles/logging.viewer など、Cloud Logging にアクセスするための適切な IAM ロールが必要です。

主な用語

監査ログ: アクションの監査証跡を提供する Google SecOps 内のイベントの記録。
以前の SOAR API: Google SecOps で使用されている古い API フレームワークを指します。Swagger を使用してドキュメント化されている場合があります。
Chronicle API: Google Cloud インフラストラクチャ上に構築された最新の API を指します。
Cloud Logging: Google SecOps 監査ログが保存される Google Cloud の一元化されたロギングサービス。これには、 Google Cloud コンソールのログエクスプローラからアクセスできます。

さまざまな API の監査ロギングについて

Google SecOps は、以前の SOAR API または Chronicle API を使用してアクションが実行されたかどうかに基づいて、ユーザーアクティビティを異なる方法でログに記録します。

以前の API の監査ログ

以前の SOAR API を介して実行されたアクションには、特定の監査動作がありました。

監査対象のアクション: 変更またはデータエクスポートを伴うオペレーションのみがログに記録されました。以下が該当します。
- 作成中
- 編集
- 削除中
- データのエクスポート
監査対象外のアクション: レガシー API フレームワークでは、ReadOnly/GET API 呼び出しは監査されません。

これらの以前の監査ログには、Google SecOps プラットフォームの [監査] ページからアクセスできます。

Chronicle API の監査ログ

Google Cloudへの SOAR 移行のステージ 2 の一部として、Cloud IAM への SOAR 権限の移行が完了すると、SOAR 監査ログが Google Cloud で利用可能になります。これには、Google SecOps でのユーザー操作や、最新の Chronicle API への呼び出しが含まれます。2026 年 11 月 30 日までに行われた以前の SOAR API への呼び出しは、Google SecOps プラットフォームの [監査] ページで以前の API 監査ログとして引き続きアクセスできます。

Chronicle API を使用して行われたすべての API 呼び出しは自動的に監査されます。これらの監査ログは、 Google Cloud プロジェクト内の Cloud Logging で確認できます。これらのログの移行とアクセスについて詳しくは、SOAR 監査ログを移行するをご覧ください。

アクセス監査ログ

監査ログにアクセスする方法は、以前の SOAR API のログを探しているか、Chronicle API のログを探しているかによって異なります。

以前の API の監査ログにアクセスする

Google SecOps プラットフォームの [監査] ページで、以前の API を使用して実行されたアクションの監査レコードを表示してフィルタできます。

[監査] ページを開くには、[設定] > [SOAR 設定] > [詳細] > [監査] に移動します。

主なユーザーアクティビティの指標を表示する

[監査] ページには、次の主要なユーザーアクティビティ指標が表示されます。

最も多いアクティビティ
最も多い解像度
最もアクティブなユーザー
最もアクティブなアドレス
最も多いブラウザ

アクティビティリストを表示、フィルタする

[監査] ページでは、ユーザー、カウント、グループでアクティビティリストをフィルタして、特定のアクティビティを見つけることができます。

アクティビティの詳細を表示する手順は次のとおりです。

詳細情報を含む [アクティビティの詳細] サイドドロワーを開くには、任意の行の [詳細を表示] をクリックします。このビューには次の情報が表示されます。
- 時間: アクティビティの時間。
- ユーザー: アクティビティを行ったユーザー。
- Module: 影響を受けるシステムモジュール。
- アクティビティタイプ: 実行されたアクション。
- アドレス: アクティビティが発生した IP アドレス。
- ブラウザ: アクティビティで使用されたブラウザ。
- 画面サイズ: アクティビティで使用される画面解像度。
[新しいアクティビティ値] または [以前のアクティビティ値] の情報を表示するには、必要なアクティビティ値をクリックします。
[新しいアクティビティ値] と [以前のアクティビティ値] を表示するには、関連するアクティビティの行をクリックし、切り替えボタンをオンにします。

JSON ビューアで [新しいアクティビティ値] と [以前のアクティビティ値] を並べて表示すると、より効率的に調査できます。

Cloud Logging で Chronicle API 監査ログにアクセスする

Google Cloud コンソールを開きます。
ナビゲーションメニューで、[ロギング] > [ログエクスプローラ] に移動します。
Google SecOps 監査ログをフィルタするには、クエリビルダーでクエリを使用します。たとえば、resource.type="audited_resource" とサービス名でフィルタできます。Chronicle API 監査ログのクエリの例:
```
resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"
```
クエリを実行して、Chronicle API によって生成された監査ログを表示します。

トラブルシューティング

このセクションでは、ユーザーアクティビティのモニタリングに関する一般的な問題について説明します。

レイテンシと上限

Cloud Logging の監査ログは通常数分以内に利用可能になりますが、レイテンシは変動する可能性があります。

エラーの修復

ログへのアクセスに関する問題が発生した場合は、次の表を参照してください。

問題	説明	修正
アクセスの拒否	ログを表示する権限がないことを示すエラーが表示されます。	管理者に問い合わせて、`roles/logging.viewer` IAM ロールまたは同等のロールがあることを確認します。
ログが見つかりません	想定される監査ログがログエクスプローラに表示されない。	クエリの期間とフィルタを確認します。正しい API タイプ（以前の SOAR API と Chronicle API）のログを探していることを確認します。SOAR 監査ログの移行ガイドで、ログの場所を確認します。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。