Security Center:ログ管理

ログ管理サービスの有効化

ログ管理サービスは、サブスクリプションまたは従量課金のいずれかの課金方法で有効にできます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、レスポンス検出 > ログ管理 を選択します。コンソールの左上で、アセットが配置されているリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。

   Agentic SOC のログ収集トラフィックをサブスクリプションベースで購入した場合、または Agentic SOC の従量課金方法を有効にした場合、左側のナビゲーションウィンドウのエントリは 脅威の分析と応答 > [ログ管理] に変わります。

3. ログ管理 ページで、Activate Subscription または Activate Pay-as-you-go をクリックします。

   説明

   Agentic SOC 機能のログ収集トラフィックをサブスクリプションベースで購入した場合、またはこの機能の従量課金方法を有効にした場合は、ページの右上隅にある Enable Pay-as-you-go for Log Management をクリックするか、サービスをアップグレードして Agentic SOC 機能のログストレージ容量を購入する必要があります。詳細については、「スペックアップとスペックダウン」をご参照ください。

   • サブスクリプション：購入ページで、Agentic SOC の 購入するかどうか を [はい] に設定し、必要なログストレージ容量を選択して Order Now をクリックし、支払いを完了します。

     必要に応じて、Security Center の他の機能を購入できます。詳細については、「Security Center の購入」をご参照ください。

   • 従量課金：表示されるダイアログボックスで、課金ルールを読み、ストレージリージョンを選択し、Activate and Authorize をクリックします。

ログ管理サービスの無効化

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、脅威の分析と応答 > [ログ管理] を選択します。コンソールの左上で、アセットが配置されているリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。

3. ログ管理 ページで、Log Usage が 0 GB であることを確認します。

   ログ使用量が 0 でない場合は、ページの右上隅にある クリア をクリックし、ログがクリアされるのを待ってから次のステップに進みます。

4. ログ管理サービスは、次のいずれかの方法で無効にできます：

   • サブスクリプション

     • 方法 1：スペックダウン

       1. 概要 ページで、設定の変更 > Downgrade をクリックします。

       2. Order Downgrade タブで、Agentic SOC セクションの Log Storage Capacity を [0 GB] に設定します。

       3. Security Center サービス規約を読み、同意して、Order Now をクリックします。

     • 方法 2：購入した Security Center インスタンスのサブスクリプションを解約する

       サブスクリプションの解約に関する詳細については、チケットを起票してください。

   • 従量課金：Security Center コンソールの 概要 ページの Pay-as-you-go セクションで、ログ管理 スイッチをオフにします。

     重要

     ログ管理スイッチをオフにすると、ログ配信は自動的に無効になり、対応する Logstore は削除されます。削除されたログデータは回復できません。操作には十分ご注意ください。

Agentic SOC 機能のログ収集トラフィックのみを購入した場合、または従量課金方法を有効にした場合の説明

Agentic SOC のログ収集トラフィックをサブスクリプションベースで購入した場合、または Agentic SOC の従量課金方法を有効にし、ログストレージ容量を購入していない場合、ログ管理 ページで一部の標準化ログをクエリできます。Standardization Method が Scan Query に設定されているアクセスポリシーに関連するログを表示できます。

このシナリオでは、Security Center ログの配信や表示はできず、Standardization Method が Real-time Consumption に設定されているアクセスポリシーによって生成された標準化ログも配信できません。異なる課金項目でサポートされる機能の詳細については、「Agentic SOC 機能の購入と有効化」をご参照ください。

ログ配信の有効化

ログストレージ容量を購入すると、Agentic SOC 機能はデフォルトですべてのタイプの Security Center ログを配信します。アプリケーション保護や悪意のあるファイル検出など、対応する Security Center の付加価値サービスを購入していない場合、対応するログタイプの配信スイッチは無効のままです。

ログ管理 ページで、[ログ設定] をクリックして、各ログタイプの配信ステータスを表示および設定できます。

クエリログ

1. 左側のナビゲーションウィンドウで、脅威の分析と応答 > [ログ管理] を選択します。コンソールの左上で、アセットが配置されているリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。

2. ログ管理 ページの左上で、Security Center Logs をクリックし、表示したいログタイプを選択します。

   

3. クエリの時間範囲を指定し、検索文を使用してログを取得し、ログ分析統計を表示します。

   ログ管理機能でのログのクエリ方法は、Security Center のログ分析機能と同じです。詳細については、「カスタムログのクエリと分析」をご参照ください。

配信の説明

標準化ログは、Agentic SOC 機能が取り込んだログを処理・分析した後に生成される、カテゴリと構造が標準化されたログです。標準化ログの配信は手動で有効または無効にすることはできません。標準化ログの配信は、次のシナリオで有効になります：

• アクセスポリシーの Standardization Method が Real-time Consumption に設定されている場合、Agentic SOC は標準化されたカテゴリに基づいて、標準化ログを対応する Logstore にデフォルトで配信します。アクセスポリシーを作成すると、同時にログ配信タスクが作成されます。

• カスタムルールを作成した後、カスタムルールによって生成される標準化アラートログ (エンドポイント検出・応答アラートログやファイアウォールアラートログなど)。

ログ管理 ページで、ログ設定 をクリックします。ログ設定 パネルの Standardized Log タブで、標準化構造の参照数を確認できます。この数は、対応する標準化カテゴリと構造のアクセスポリシーのうち、Standardization Method が Real-time Consumption であるものの数量を表します。

ログのクエリ

Agentic SOC 機能では、標準化されたログ構造でログを検索し、データセット (StoreView) を使用して複数の Logstore のデータをクエリできます。Logstore のクエリと分析の詳細については、「一般的なクエリ/分析結果の例」をご参照ください。

ログ保存期間の変更

配信されたログのデフォルトの保存期間は 180 日です。必要に応じてログの保存期間を変更できます。

1. 左側のナビゲーションウィンドウで、脅威の分析と応答 > [ログ管理] を選択します。コンソールの左上で、アセットが配置されているリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。

2. ログ管理 ページの右上隅で、ログ設定 をクリックします。

3. ログ設定 パネルの Security Center Logs タブまたは Standardized Log タブで、[ログ保存期間] 列の アイコンをクリックして、ログの保存期間を変更します。

ストレージ容量の追加またはクリア

脅威の分析と応答 > [ログ管理] ページで、現在のログ使用量と合計容量を確認できます。必要に応じて、ログストレージ容量を追加したり、保存されているログをクリアしたりできます。

• スケールアウト をクリックして、より多くのログストレージ容量を購入します。

  十分なログストレージ容量を確保してください。容量が不足している場合、新しいログは保存できません。

• クリア をクリックして、保存されているすべてのログを削除します。削除プロセスには約 0～24 時間かかります。

  警告

  クリアされたログは復元できません。操作には十分ご注意ください。ログをクリアする前に、ログをエクスポートしてバックアップすることを推奨します。

ログ管理の従量課金方法を有効にできないのはなぜですか？

ログ管理の従量課金方法を有効にできない理由は、次のいずれかである可能性があります：

• 理由 1：Agentic SOC 機能のログストレージ容量またはログ分析をサブスクリプションベースで購入している。

  ソリューション：

  1. サブスクリプションベースで購入した Agentic SOC 機能のログストレージ容量またはログ分析のサブスクリプションを解約します。

  2. ログ管理の従量課金方法を有効にします。

• 理由 2：ご利用の Agentic SOC 機能が 1.0 アーキテクチャを使用している。

  

  ソリューション：

  1. Agentic SOC 機能のアーキテクチャを 1.0 から 2.0 にアップグレードします。

  2. ログ管理の従量課金方法を有効にします。

  説明

  Agentic SOC 機能の 2.0 アーキテクチャへのアップグレードを行わず、ログ管理機能を使用する必要がある場合は、サブスクリプションベースで Agentic SOC 機能のログストレージ容量を購入できます。

• 理由 3：2024 年 4 月 26 日以前に、関連機能を使用するためにサブスクリプションベースで Agentic SOC 機能のログストレージ容量を購入した。

  Agentic SOC 機能の 2.0 アーキテクチャにアップグレードした後も、元々購入したのと同じ量のログストレージ容量をサブスクリプションベースで保持し、ログ管理機能を通常どおり使用できます。サブスクリプション課金方法から従量課金方法に切り替えたい場合は、理由 1 のソリューションをご参照ください。Agentic SOC 機能のアーキテクチャアップグレードの詳細については、「[お知らせ] Agentic SOC 機能のアップグレード」をご参照ください。

Security Center のログ分析機能とログ管理機能の違いは何ですか？

ログ分析機能とログ管理機能はどちらも、Security Center でセキュリティログのクエリおよび分析機能を提供します。ログ分析機能と比較して、ログ管理機能は、脆弱性、セキュリティアラート、クライアントイベントなど、さまざまな Security Center モジュールからのログの配信と分析を可能にするだけでなく、Agentic SOC 機能によって標準化されたログの配信と保存もサポートします。等級保護コンプライアンスの要件がある場合や、他のセキュリティログの保存および分析機能が必要な場合は、ログ管理機能の使用を推奨します。

次の表に、2 つの機能の違いを示します：