Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

SOAR アクティビティをモニタリングする

以下でサポートされています。

Google SecOps SOAR

このガイドは、監査とコンプライアンスを目的として、Google Security Operations プラットフォームの SOAR 側でユーザーアクティビティをモニタリングする必要があるセキュリティ管理者とセキュリティアナリストを対象としています。また、さまざまな API バージョンでアクションがどのようにログに記録されるか、およびこれらの監査ログの場所についても説明します。これらのログを理解することで、説明責任を確保し、システム内で行われたアクションの明確な追跡が可能になります。

始める前に

始める前に、監査ログにアクセスするために必要な権限があることを確認してください。

Google SecOps の [SOAR 設定] で監査ログを表示するには、Identity and Access Management（IAM）権限グループに SettingsId 権限を含むロールが必要です。
Google Cloud コンソールのログエクスプローラでログを表示するには、Cloud Logging にアクセスするための適切な IAM ロール（roles/logging.viewer など）が必要です。

主な用語

監査ログ: アクションの監査証跡を提供する Google SecOps 内のイベントの記録。
レガシー SOAR API: Google SecOps で使用されている古い API フレームワークを指します。Swagger を使用してドキュメント化されていることもあります。
Chronicle API: Google Cloud インフラストラクチャ上に構築された最新の API を指します。
Cloud Logging: Google SecOps 監査ログが保存される Google Cloud の一元的なロギングサービス。これには、 Google Cloud コンソールのログエクスプローラからアクセスできます。

さまざまな API の監査ロギングについて

Google SecOps では、以前の SOAR API または Chronicle API を使用してアクションが実行されたかどうかに基づいて、ユーザーアクティビティが異なる方法でログに記録されます。

以前の API の監査ログ

以前の SOAR API を介して実行されたアクションには、特定の監査動作がありました。

監査対象のアクション: 変更またはデータのエクスポートに関連するオペレーションのみがログに記録されていました。以下が該当します。
- 作成中
- 編集
- 削除中
- データのエクスポート
監査対象外のアクション: ReadOnly/GET API 呼び出しは、以前の API フレームワークでは監査されません。

これらの以前の監査ログには、Google SecOps プラットフォームの [監査] ページからアクセスできます。

Chronicle API の監査ログ

SOAR 監査ログは、 Google Cloudへの SOAR 移行のステージ 2 の一環として、Cloud IAM への SOAR 権限の移行を完了すると、 Google Cloud で利用可能になります。これには、Google SecOps でのユーザー操作や、最新の Chronicle API への呼び出しが含まれます。2027 年 3 月 31 日までに従来の SOAR API に対して行われた呼び出しは、Google SecOps プラットフォームの [監査] ページで従来の API 監査ログとして引き続きアクセスできます。

Chronicle API を使用して行われたすべての API 呼び出しは、自動的に監査されます。これらの監査ログは、 Google Cloud プロジェクト内の Cloud Logging で確認できます。これらのログの移行とアクセスに関する詳細については、SOAR 監査ログを移行するをご覧ください。

アクセス監査ログ

監査ログにアクセスする方法は、以前の SOAR API または Chronicle API のログを検索するかどうかによって異なります。

以前の API 監査ログにアクセスする

以前の API を使用して実行されたアクションの監査レコードは、Google SecOps プラットフォームの [監査] ページで表示およびフィルタできます。

[Audit] ページを開くには、[Settings] > [SOAR Settings] > [Advanced] > [Audit] に移動します。

主なユーザーアクティビティの指標を表示する

[監査] ページには、ユーザーアクティビティに関する次の主要な指標が表示されます。

最も多いアクティビティ
最も多い解像度
最もアクティブなユーザー
最もアクティブなアドレス
最も多いブラウザ

アクティビティリストを表示、フィルタする

[監査] ページでは、ユーザー、数、グループでアクティビティリストをフィルタして、特定のアクティビティを見つけることができます。

アクティビティの詳細を表示する手順は次のとおりです。

詳細情報が記載された [アクティビティの詳細] サイドドロワーを開くには、任意の行で [詳細を表示] をクリックします。このビューには、次の情報が含まれています。
- 時間: アクティビティの時間。
- ユーザー: アクティビティを実行したユーザー。
- モジュール: 影響を受けるシステムモジュール。
- アクティビティタイプ: 実行されたアクション。
- アドレス: アクティビティの発生元である IP アドレス。
- ブラウザ: アクティビティに使用されたブラウザ。
- 画面サイズ: アクティビティで使用された画面解像度。
[新しいアクティビティの値] または [以前のアクティビティの値] の情報を表示するには、必要なアクティビティの値をクリックします。
[新しいアクティビティ値] と [以前のアクティビティ値] を表示するには、該当するアクティビティ行をクリックし、切り替えボタンをオンにします。

JSON ビューアで新しいアクティビティ値と以前のアクティビティ値を並べて表示すると、より効率的に調査できます。

Cloud Logging で Chronicle API 監査ログにアクセスする

Google Cloud コンソールを開きます。
ナビゲーションメニューで、[ロギング] > [ログエクスプローラ] に移動します。
Google SecOps 監査ログをフィルタするには、クエリビルダーでクエリを使用します。たとえば、resource.type="audited_resource" とサービス名でフィルタできます。Chronicle API 監査ログのクエリの例:
```
resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"
```
クエリを実行して、Chronicle API によって生成された監査ログを表示します。

トラブルシューティング

このセクションでは、ユーザーアクティビティのモニタリングに関する一般的な問題について説明します。

レイテンシと上限

Cloud Logging の監査ログは通常、数分以内に利用可能になりますが、レイテンシは異なる場合があります。

エラーの修正

ログへのアクセスで問題が発生した場合は、次の表をご覧ください。

問題	説明	修正
アクセスの拒否	ログを表示する権限がないことを示すエラーが表示される。	管理者に問い合わせて、`roles/logging.viewer` IAM ロールまたは同等のロールがあることを確認してください。
ログが見つからない	想定される監査ログがログエクスプローラに表示されない。	クエリの期間とフィルタを確認します。正しい API タイプ（以前の SOAR API と Chronicle API）のログを探していることを確認します。ログの場所を確認するには、SOAR 監査ログの移行ガイドをご覧ください。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。