モダンなサイバーセキュリティ監視・インシデント対応システムの設計 Wazuh・SOAR・脅威インテリジェンスを用いた実践的アーキテクチャ
なぜ多くのセキュリティプロジェクトは最初から失敗するのか
多くの日本企業が「セキュリティを強化したい」と考えていますが、実際には次のような状況に陥りがちです。
- アラートは大量に出るが、誰も対応しない
- 高価な製品を導入したが、現場で使いこなせない
- 見た目の良いダッシュボードはあるが、実害を防げない
- 特定の担当者に依存し、その人が不在になると運用が止まる
本当の問題はツールそのものではありません。
問題はシステム設計（System Design）です。
本記事では、私たちが実際の現場で採用している 実運用に耐えるサイバーセキュリティ監視・対応システム の設計思想とアーキテクチャを、日本企業の運用・監査・ガバナンスを前提として解説します。
本当に達成すべき目的（マーケティング用語ではない）
このシステムの目的は、単に「SIEMを導入する」「AIを使う」ことではありません。
本当に重要なのは次の点です。
- ノイズではなく 実際にリスクのある脅威を検知すること
- 誰が・いつ対応すべきか を明確にすること
- 被害が拡大する前に 迅速に対応できること
- 内部監査・ISO 27001・コンプライアンス に耐えうる証跡を残すこと
- 特定ベンダーに依存しない 柔軟で拡張可能な構成 にすること
これは製品選定の問題ではなく、システム工学の問題です。
アーキテクチャ設計の考え方
私たちは、役割を明確に分離します。
Detection ≠ Automation ≠ Escalation ≠ Investigationそれぞれが責務を明確に持ち、疎結合で連携する構成が、長期運用では最も安定します。
採用しているコアスタック（理由とともに）
システム全体アーキテクチャ
graph TD
A["Endpoints / Servers / Cloud"] --> B["Wazuh Agent"]
B --> C["Wazuh Manager (SIEM/XDR)"]
C --> D["Shuffle SOAR"]
D -->|Create / Update Incident| E["DFIRTrack"]
D -->|SEV-1 / SEV-2| F["PagerDuty"]
D -->|Automated Response| G["Firewall / DNS / IAM / EDR"]
F --> H["On-call Engineer"]この図は、検知・判断・通知・調査が明確に分離され、かつ統合されていることを示しています。
1. 検知レイヤー — Wazuh
Wazuhは組織全体の セキュリティセンサー基盤 として機能します。
-
収集対象ログ:
- Firewall
- DNS
- IDS / IPS
- VPN
- サーバー / エンドポイント
- ログの正規化
- 相関ルールによる検知
Wazuhが答える問い：
「何が起きたのか？」
私たちは、Wazuhに過度な業務ロジックを持たせません。役割は検知に限定します。
2. 自動化・判断レイヤー — SOAR（Shuffle）
検知後、次に必要なのは判断です。
- 深刻度はどの程度か
- 既知の脅威（IOC）かどうか
- ブロックすべきか、通知のみか
Shuffleは明示的なプレイブックとしてこれらを制御します。
- 脅威インテリジェンスの付加
- Severity計算
- 条件付きレスポンス
- 他システムとの連携
Shuffleが答える問い：
「次に何をすべきか？」
ここが、システムインテグレーションの経験が最も重要になる部分です。
3. 人による対応を保証する — PagerDuty
自動化が進んでも、最終的な責任は人間が持つ必要があります。
PagerDutyは次を保証します。
- 正しい担当者への通知
- 未対応時のエスカレーション
- 応答時間（SLA）の可視化
PagerDutyが答える問い：
「今、誰が責任を持つのか？」
これは単なるアラートと、責任ある対応の違いです。
4. 調査・監査証跡 — DFIRTrack
重大な事象はすべて インシデント として管理します。
- 証拠
- タイムライン
- 判断の記録
- 対応内容
DFIRTrackは以下の目的で利用します。
- インシデント管理
- 資産との紐付け
- 監査対応・事後レビュー
DFIRTrackが答える問い：
「何が起き、どのように対応したのか？」
これは日本企業において非常に重要なポイントです。
日本企業で実際に有効なユースケース
1. DNSによるマルウェア通信の検知
- C2サーバーへの通信を早期検知
- 情報漏洩前にブロック可能
2. IDS / IPSによる悪性IP通信の検知
- 過剰なシグネチャアラートを抑制
- 重要資産にフォーカスした対応
3. 海外からのVPNログイン成功
- 認証情報漏洩の早期発見
- リモートワーク環境に適合
なぜ脅威インテリジェンスは常に最新である必要があるのか
攻撃者は常に以下を変更します。
- IPアドレス
- ドメイン
- インフラ構成
そのため私たちは、
- 定期的なIOC更新
- 信頼度スコアリング
- 自動失効
を前提とした設計を行います。
なぜこの構成は日本企業に適しているのか
- オープンソース中心でコストを制御可能
- 既存環境に合わせた柔軟なカスタマイズ
- 監査・ガバナンス対応が容易
- 将来的なMDR展開も可能
中堅企業から大企業まで対応できます。
私たちが選ばれる理由
私たちは、
- ツールを導入して終わりにはしません
- ダッシュボードだけを売りません
- 現場で運用できる設計を行います
セキュリティはツールの問題ではなく、
判断・時間・責任の問題です。
同様のシステムを検討されている方へ
もし次のようにお考えであれば、
- 実際のリスクを可視化したい
- インシデントに確実に対応できる体制を作りたい
- 自社で理解・管理できる仕組みが欲しい
このアーキテクチャは現実的で堅牢な出発点になります。
要件整理から設計、構築、運用まで、
エンジニアとして一緒に考え、実装します。
Final thought
良いセキュリティシステムは、
人を疲弊させません。
静かに、確実に、制御されている状態を生み出します。
Get in Touch with us
Chat with Us on LINE
iiitum1984
Related Posts
- ERPプロジェクトが失敗する理由と成功のための実践的アプローチ
- Payment APIにおけるIdempotencyとは何か
- Agentic AI × SOCワークフロー：プレイブックを超えた自律防御【2026年版ガイド】
- SOCをゼロから構築する：Wazuh + IRIS-web 現場レポート
- ECと基幹システムの二重入力をなくす：受注から仕訳までの自動化アーキテクチャ
- SIerのブラックボックスから脱却する：オープンソースで構築する中小企業向けSOCアーキテクチャ
- リサイクル工場管理システム：日本のリサイクル事業者が見えないところで損をしている理由
- エネルギー管理ソフトウェアのROI：電気代を15〜40%削減できる理由
- Wazuh + オープンソースで構築する軽量SOC：実践ガイド（2026年版）
- ECサイトとERPを正しく連携する方法：実践ガイド（2026年版）
- AI コーディングアシスタントが実際に使うツールとは？（Claude Code・Codex CLI・Aider）
- 燃費を本気で改善する：高負荷・低回転走行の物理学
- タイ産ドリアン・青果物デポ向け倉庫管理システム（WMS）— ERP連携・輸出書類自動化
- 現代のドリアン集荷場：手書き台帳をやめて、システムでビジネスを掌握する
- AI System Reverse Engineering：AIでレガシーソフトウェアシステムを理解する（Architecture・Code・Data）
- 人間の優位性：AIが代替できないソフトウェア開発サービス
- ゼロからOCPPへ：ホワイトラベルEV充電プラットフォームの構築
- Wazuh Decoders & Rules: 欠けていたメンタルモデル
- 製造現場向けリアルタイムOEE管理システムの構築
- 古い価格や在庫を表示しないECサイトのキャッシュ戦略
