概要
Google Security Operations（Google SecOps）は、SIEM、SOAR、UEBA、脅威インテリジェンスを1つにまとめたクラウドネイティブのセキュリティ運用プラットフォームです。ログを集める、脅威を検知する、調査する、対応する。この一連の流れを、別々の製品をつなぎ合わせるのではなく同じ画面の中で完結させられます。
従来のSIEMでよく問題になるのは、データ量が増えるほど費用と検索性能の両方が苦しくなる点でした。Google SecOps はGoogleのコアサービスと同じ基盤上で動作し、12か月分のホットデータ保持を追加費用なしで含みます。1年前のログをアーカイブから戻すことなくそのまま検索できます。侵入から発見までの滞留時間が長期化している現状では、この保持期間の差がそのまま調査の可否を分けます。
12か月はあくまで標準の期間で、それを超える保持期間は追加で購入できます。課金はデータ量と月数に応じた従量制です。長期の保存義務がある業種や、より長期間さかのぼれる状態にしておきたい場合は、必要な年数に合わせて設計できます。
データを保存するリージョンも選択でき、日本国内リージョンでの利用が可能です。データの国内保管が要件になる案件でも検討いただけます。
よくある誤解として、Google Cloud を使っていないと導入できないと思われることがありますが、そうではありません。オンプレミス環境、主要なクラウド、SaaSを含め、環境を問わずテレメトリを取り込めます。
Google SecOps の構成
プラットフォームの下に、生成AI、脅威インテリジェンス、ハイパースケール基盤の3層が敷かれている構造です。脅威インテリジェンスもAIも、あとから足すオプションではなく、最初から検知と調査の中に組み込まれています。
この脅威インテリジェンスの中身が Google Threat Intelligence です。Mandiantがインシデント対応の現場で得た情報、VirusTotalのクラウドソース型データ、そしてGoogle自身がChrome、Gmail、Androidといった世界規模のサービスから観測しているデータが束ねられています。これらが取り込み時にすべてのテレメトリと自動照合されるため、脅威インテリジェンスを別途購入して自分で検知ルールに落とし込む、という作業が発生しません。Google SecOps を選ぶ理由として、SIEMとしての性能よりもこちらが決め手になることが少なくありません。
なお Google SecOps は、2025年の Gartner Magic Quadrant for SIEM でリーダーに位置づけられています。
詳細が気になる方は、以下よりご相談いただけます。
Chronicle SOARの利点
ハンドブックの自動化、ケース管理、コラボレーションにより、脅威に対する効果的な対応を推進する最新のSOARソリューションです。
Threat Intelligenceの利点
Google Cloud の Threat Intelligence と VirusTotal を使用して、高度な攻撃を検出し、脅威インテリジェンスでコンテキストアウェアな調査を促進します。
導入のご相談は、下記よりお気軽にお問い合わせください。
主な機能
検知
Googleの脅威リサーチャーが開発し、継続的に更新している検出ルール（Curated Detections）が標準で用意されています。自社でルールを一から書き起こさなくても、導入した時点である程度の検知が効き始めます。検出結果は MITRE ATT&CK のフレームワークに自動的にマッピングされます。
Curated Detections は、有効化のときにPrecise（高精度）とBroad（広範囲）を選べます。前者は誤検知が少なく、後者は異常を拾いやすい代わりに誤検知が増えます。運用の立ち上げ期はPreciseから始めて、慣れてきたら範囲を広げるという進め方ができます。
独自の検出を作る場合はYARA-Lという専用の言語を使います。Geminiに自然言語で指示して検出ルールを生成させることもできるため、記述に習熟していないメンバーでも着手できます。
なお、Googleが管理するYARA-LのサンプルルールがGitHubで公開されており、こちらはどのパッケージでも無償で利用できます。Curated Detections はEnterprise以上が必要ですが、まず手を動かしてみる分にはこのサンプルから始められます。
取り込むデータそのものを整える機能も備えています。ルーティング、フィルタリング、秘匿化、変換といった処理をパイプライン側で行えるため、不要なログを取り込んで費用を膨らませたり、個人情報をそのまま保存したりする事態を避けられます。700以上のパーサーが用意されており、主要な製品のログはそのまま正規化されます。
調査
アラートを1件ずつ追う形ではなく、関連するアラートを脅威中心のケースにまとめて扱います。ケースの中では、関係するエンティティ（端末、アカウント、IPアドレスなど）が自動的に紐づけられ、グラフとして可視化されます。「このアラートとあのアラートは同じ攻撃か」を人手で突き合わせる作業が減ります。
検索はペタバイト規模のデータに対して秒単位で返ります。調査の途中で「ついでにこれも確認したい」と思ったときに、待たされて思考が途切れることがありません。
対応
SOARの機能を完全に内蔵しています。よくある対応をプレイブックとして自動化でき、EDR、ID管理、ネットワークセキュリティなど300以上のツールと連携して操作できます。プレイブックはドラッグ＆ドロップで作成でき、コーディングは不要です。
対応の経緯はケースに自動で記録されます。セキュリティ担当者だけでなく、法務、広報、人事といった関係者も同じ画面でインシデント対応に参加できるため、報告のために別途情報をまとめ直す手間が減ります。アナリストの生産性やMTTR（平均対応時間）といった指標も計測でき、運用改善の効果を数字で示せます。
組み込み型の脅威インテリジェンス
脅威インテリジェンスを「別途購入して、自分で検知ルールに落とし込むもの」と捉えている場合、ここが最も分かりにくい部分だと思います。Google SecOps では、脅威インテリジェンスがデータの取り込み時にすべてのテレメトリと自動で照合されます。設計や調整を自前で行う必要がありません。
照合に使われるのは、Google自身の観測データ、Mandiantがインシデント対応の現場で得た情報、VirusTotalのデータです。単にIoCが一致したかどうかを見るだけでなく、お客様の環境を考慮した機械学習による優先順位づけが行われ、対応中の侵害調査に基づく重要度の高い脅威が上位に押し出されます。
この機能の範囲はパッケージによって変わります。詳細は後述のパッケージと選び方をご覧ください。
Geminiと Agentic SOC
Geminiは、検知・調査・対応のそれぞれで働きます。自然言語での検索（クエリはGeminiが生成します）、ケース全体の要約、対応策の提示、検出ルールとプレイブックの作成。いずれも画面の中から呼び出せます。
さらにGoogleは、SOARによる自動化の先にある Agentic SOC を提供しています。従来の自動化があらかじめ書かれた手順に従うのに対し、AIエージェントは状況を評価し、分散したデータからパターンを結びつけ、調査の進め方をその場で判断します。
現在提供されているトリアージと調査のエージェントは、アラートを受け取ると関連するイベントやエンティティを自動的に調べ、次の3点を返します。
- 判定：実際の脅威か、誤検知か
- 確信度：その判定にどの程度の自信があるか（高・中・低）
- 要約：判定に至った根拠と、推奨される次のアクション
この結果はプレイブックに組み込めます。たとえば「誤検知かつ確信度が高い」ならケースを自動でクローズし、「脅威」と判定されればホストの隔離へ進み、「誤検知だが確信度が低い」ならアナリストに回す。こうした振り分けが可能です。アナリストの仕事が、一からの調査からAIの調査結果のレビューに変わります。確度の高い誤検知を自動で落とせるかどうかは、ノイズに追われている組織にとって大きな違いになります。
なお、エージェントの利用にはセキュリティトークンが必要です。付与量と追加購入の考え方については個別にご説明します。
ここまでの機能は多岐にわたりますが、すべてを一度に使いこなす必要はありません。セキュリティ運用におけるAIの使い方は、おおよそ次の4段階で整理できます。
| 段階 | 状態 |
|---|---|
| 手作業 | アナリストが調査から判断、対応までを一つずつ手で進める。多くの組織がここにいます。 |
| AIが補助する | 要約や推奨をAIが出し、判断と実行は人が行う。作業は速くなりますが、負荷の構造は変わりません。 |
| AIが主導する | 定型的な調査と一次判断をAIが担い、手に負えないものだけを人に渡す。人の仕事がレビューと例外対応に移ります。 |
| 自律 | 検知から対応までをAIが完結させる。現時点では到達点ではなく方向性です。 |
Geminiは2段階目、AIエージェントは3段階目にあたります。現実的な目標は、いま1段階目にいる運用を3段階目まで持っていくことです。どの作業をAIに渡し、どの判断を人が握り続けるか。この線引きを設計するところが、導入で最も時間をかける価値のある部分になります。
ログの取り込み方法
取り込みの経路は4つ用意されており、対象に応じて使い分けます。
| 方法 | 用途 |
|---|---|
| Bindplane | サーバーに導入する収集エージェントです。Syslogに対応しないWindowsなどにも直接入れられます。単なる転送だけでなく、収集時の正規化やフィルタリングも行えるテレメトリパイプラインとして機能します。 |
| Feeds | クラウドストレージや他社APIから自動でログを取得します。GCS、AWS S3 / SQS、Azure Blob Storage、各種SaaS API、HTTPSなど。 |
| Direct Ingestion | Google Cloud のログソースを1クリックで取り込みます。Cloud Audit ログ、Cloud DNS、Google Workspace が対象です。 |
| Ingestion API | API経由でUDM形式または非構造化形式のデータを送信します。独自システムのログを入れたい場合に使います。 |
従来はForwarderという純正エージェントが使われていましたが、現在は非推奨です。これから導入する場合はBindplaneを選択します。BindplaneはGoogleエディションが無償で利用でき、Enterprise Plus をご契約の場合は上位版の Bindplane Enterprise も無償で使えます。大規模環境での取り込みや、個人情報の秘匿化を行いたい場合は上位版が推奨されます。
取り込んだログはUDM（統合データモデル）に正規化されます。ベンダーAがsrc、ベンダーBがsrcipと書いている送信元IPが、いずれも同じフィールドに揃えられるため、製品ごとのログ形式を意識せずに横断検索できます。IPアドレスが重複する環境（クラウドとオンプレで同じプライベートIPを使っている場合など）では、Namespaceという識別子を付けて論理的に別のアセットとして扱えます。
運用面で見落とされがちなのが、ログが来なくなったことに気づけるかという点です。取り込み状況はCloud Monitoringの指標として取得できるため、「一定時間ログが届かない」という状態をアラートにできます。転送エージェントの停止や設定変更で、知らないうちに監視の穴が空くことを防げます。
従来型SIEMとの違い
| Google SecOps | 従来型SIEM | |
|---|---|---|
| データの取り込み | 関連するすべてのセキュリティデータを取り込み、長期間保存できる | 性能と網羅性が両立せず、可視性が制限される |
| 脅威の検知 | Googleが維持するCurated Detectionにより、最新の脅威が最初から検知対象になる | 検知ルールの作成と維持に、高いスキルと継続的な調査が必要 |
| 調査 | 自動での情報補完と高速検索により、答えに辿り着くまでの時間が短い | 検索結果を待つ時間が長く、情報が欠落したまま結論を出しがち |
| 対応 | SOARが統合されており、300以上の連携で一般的なタスクを自動化できる | SOARが別製品または限定的で、自動化の範囲が狭い |
| 費用 | データ取り込み量に応じたシンプルな価格設定 | ログソース、アラート量、保持期間などが絡み、費用が読みにくい |
もうひとつ、混同されやすいのが Security Command Center（SCC）との関係です。SCCは Google Cloud 環境の設定ミスや脆弱性を可視化する製品で、SecOpsとは役割が異なります。SCCのEnterpriseティアにはSecOpsの機能が拡張として含まれますが、ログの保持期間が3か月に制限されるなど、通常のSecOpsとは各所に上限が設けられています。SCC EnterpriseがあるからSecOpsは不要、とはならない点にご注意ください。SCCで検知した内容をSecOpsに取り込んで、その後の対応を自動化するという組み合わせが本来の形です。
パッケージと選び方
ライセンスはStandard、Enterprise、Enterprise Plus の3つで、費用はいずれもデータの取り込み量に応じて決まります。上位のパッケージは下位の内容をすべて含みます。
| Standard | Enterprise | Enterprise Plus | |
|---|---|---|---|
| 想定 | まずSIEMとSOARを1つにまとめたい | アラート量が中程度で、環境が複雑 | 大量のアラートと複数環境を扱う |
| 検出ルール数 （単一／複数イベント） |
1,000／75 | 2,000／125 | 3,500／200 |
| Curated Detections | 一部のみ |
無制限 | 無制限＋新興脅威・進行中の侵害調査に基づく検出、EDRアラートの優先順位づけ |
| 脅威インテリジェンス | 自社のフィードを持ち込み | 強化されたOSINTのキュレーション | Google Threat Intelligence（Mandiant・VirusTotal）のプレミアム情報源 |
| UEBA | |||
| Gemini in Security Operations | |||
| SOARの環境数 | 1 （リモートエージェント付き） |
無制限（MSSP対応） | 無制限（MSSP対応） |
| BigQuery UDMストレージ | 保持期間分を無償 |
選び分けの分岐点は2つです。ひとつはGeminiとUEBAを使うかどうかで、ここがStandardとEnterpriseの境目になります。人手が足りない、あるいは内部不正やアカウント乗っ取りを見たい場合はEnterprise以上が必要です。
もうひとつは脅威インテリジェンスをどこまで効かせるかで、これがEnterpriseと Enterprise Plus の境目です。Enterprise Plus ではMandiantとVirusTotalのデータが検知と調査に自動で適用され、進行中の侵害調査から得られた情報まで含まれます。Google Threat Intelligence を単体で契約するのと比べてどちらが有利かは、ご利用の想定によって変わります。ご相談ください。
他社SIEMからの移行では、並行稼働の期間をどう確保するかが論点になります。Enterprise Plus には、移行期間中に他システムへログをルーティングする機能が12か月分含まれます。
価格は取り込み量によって変わるため、個別のお見積となります。現在のログ量と保持要件をお知らせいただければ、試算をご提示します。
Mandiantのサービスとの組み合わせ
運用そのものを任せる場合は、Mandiant Threat Defense があります。Mandiantのアナリストが、Google SecOps に集約されたデータを対象に、脅威の検出、継続的なハンティング、調査、対応までを担当するマネージドサービスです。冒頭の図でプラットフォームの隣に置いているとおり、製品の機能ではなく人が動くサービスで、Google SecOps の利用が前提となります。
自社での運用を立ち上げる場合は、Mandiantの専門家による導入と最適化の支援を受けられます。検知のチューニング、プレイブックの設計、体制づくりまでを含めた形での相談が可能です。
Mandiantが提供するサービスの全体像は、Mandiantサービスのページをご覧ください。
参考情報
- Google Security Operations（Google Cloud）
- Google Security Operations のドキュメント
- Google SecOps パッケージの概要
- Google Security Operations によるエージェント型防御
- Professional Security Operations Engineer：Google SecOps を対象とした Google Cloud の認定資格
関連製品Google Threat IntelligenceMandiant・VirusTotal・Googleの観測データを統合した脅威インテリジェンスのプラットフォームです。
弊社アンカーテクノロジーズは、Google Cloud のセキュリティ製品・サービスの正式販売パートナーである Google Cloud SecOpsパートナーです。ライセンスの調達から導入、活用支援までを一貫してご支援します。
導入のご相談は、下記よりお気軽にお問い合わせください。