LabHub

ブログ

AI SOC (セキュリティオペレーションセンター) 2026 完全ガイド - Splunk AI、Microsoft Security Copilot、Devo、LogRhythm、Sumo Logic、Elastic Security、IBM QRadar、Chronicle 徹底解説

2026-05-16 · 30 分で読めます · #ai-soc#siem#soar#splunk#security-copilot#devo#logrhythm#sumo-logic#elastic-security#ibm-qradar#japanese

한국어English日本語

はじめに — 2026年5月、SOCは「アナリスト不足とAIによるtier-1自動化」で再構築中

2020年代初頭、SOC(Security Operations Center)の最大の課題はアラート疲労とアナリストの燃え尽きだった。平均的なエンタープライズSOCは1日に1万件以上のアラートを受け取るが、人間が処理できるのは数百件にすぎなかった。2024年から本格化した生成AI導入は、その差を真正面から狙った。

2026年5月時点で、主要なSIEM・XDR・SOARベンダーはすべて自社のLLMベースアシスタントをGAリリースしている。Splunk AI Assistant、Microsoft Security Copilot、Elastic AI Assistant、CrowdStrike Charlotte AI、SentinelOne Purple AIがその例だ。本稿はマーケティング資料ではなく、「どのツールが2026年のSOCのどの位置に実際に収まっているのか」を率直に整理する。

SOC 2026の風景 — tier-1自動化、tier-2のAI補助、tier-3の人間中心

伝統的にSOCは3 tier構造だ。

2026年の変化ははっきりしている。Tier 1業務の60〜80%がAIとSOARで自動化され、Tier 2はAI補助プラス人間判断のコラボ構造に再編される。Tier 3は依然としてシニア中心のままだ。Gartnerの2025年分析によれば、AI導入の前後でMTTD/MTTRが平均40〜60%短縮されている。

SIEM市場の地形 — Splunk、Microsoft Sentinel、Chronicle、Elastic、IBM QRadarの再編

SIEM(Security Information & Event Management)はSOCの心臓だ。ログ収集、正規化、相関、アラートが一箇所で行われる。2026年5月時点で主要事業者は以下のように再編されている。

Gartner 2025マジッククアドラントのリーダーは、Splunk、Microsoft Sentinel、IBM QRadar(移行中)、Securonix、Exabeamの5社だ。

Splunk Enterprise Security + Splunk AI Assistant — Cisco時代のSIEM1位

Ciscoは2024年3月にSplunkを280億ドルで買収完了した。買収後も製品ラインは維持され、Ciscoのセキュリティデータ(Talos脅威インテリジェンス、Duo、Umbrella)との統合が着実に深まっている。

Splunk AI Assistant for Securityは2024年にGA。2025年のフォロー版で以下の機能が追加された。

典型的なSPLクエリは以下のようになる。

index=windows EventCode=4625
| stats count by user, src_ip
| where count > 10
| eval risk_score=case(count > 50, "high", count > 20, "medium", true(), "low")
| sort -count

AIアシスタントに「過去1時間に同一IPから同一ユーザーへの失敗ログインが10回以上発生した事例」と日本語で問い合わせると、上記に近いSPLが生成される。ただし生成されたSPLは必ずレビューが必要だ。不正確なインデックス名や1つずれた時間ウィンドウは珍しくない。

Microsoft Sentinel + Security Copilot — SCU課金モデルとM365統合

Microsoft SentinelはAzureネイティブのSIEMだ。Log Analyticsの上に載っているため、GB単位の取り込み料金とSentinel分析料金が別建てで課金される。Security Copilotは2024年4月にGAし、SCU(Security Compute Unit)時間単位で課金される。

2026年5月時点のSecurity Copilotの主な機能は以下のとおりだ。

代表的なKQLクエリは以下のようになる。

SigninLogs
| where TimeGenerated > ago(1h)
| where ResultType != 0
| summarize FailedCount = count() by UserPrincipalName, IPAddress
| where FailedCount > 10
| order by FailedCount desc

SentinelはAzure/M365のテレメトリ(Entra ID、Defender for Endpoint、Office 365、Intune)が中心の環境では他の追随を許さない。マルチクラウドやオンプレミスの比重が大きいなら、SplunkまたはChronicleが合理的だ。

Google Chronicle + Gemini in Security Operations — Mandiant買収の果実

Google ChronicleはMandiant(2022年54億ドル買収)統合を完了し、Chronicle Security Operationsとしてリブランドされた。2024年からはGeminiモデルが組み込まれ、Gemini in Security Operationsとして提供されている。

特徴は以下のとおりだ。

YARA-Lルールは以下のような形だ。

rule suspicious_lateral_movement {
  meta:
    author = "soc-team"
    severity = "High"
  events:
    $login.metadata.event_type = "USER_LOGIN"
    $login.principal.user.userid = $user
    $login.principal.ip = $src_ip
    $rdp.metadata.event_type = "NETWORK_CONNECTION"
    $rdp.network.application_protocol = "RDP"
    $rdp.principal.user.userid = $user
    $rdp.principal.ip = $src_ip
    $login.metadata.event_timestamp.seconds < $rdp.metadata.event_timestamp.seconds
  match:
    $user, $src_ip over 1h
  condition:
    $login and $rdp
}

Chronicleの強みは長期保持のコストだ。1年分の検索可能なログを保持するコストはSplunkやSentinelよりも大きく低い。弱点はGCP外のマネージド環境とのデータ統合が相対的に薄いことだ。

IBM QRadarからPalo Alto Cortex XSIAMへ — 2024年売却後の移行

2024年5月、IBMはQRadar SaaS資産をPalo Alto Networksに売却した。発表後、新規顧客はCortex XSIAMへの移行が推奨され、既存QRadar顧客は2027年までサポートが保証される。

Cortex XSIAMはPalo AltoのAIドリブンSOCプラットフォームだ。従来別製品だったCortex XDR(エンドポイント)、SIEM、SOAR、UEBA、ITDR(Identity Threat Detection & Response)を一本に束ねている。

旧QRadar AQLクエリは以下のようなものだ。

SELECT sourceip, destinationip, COUNT(*) AS cnt
FROM events
WHERE category = 8001
AND LOGSOURCETYPENAME(logsourceid) = 'Microsoft Windows Security Event Log'
AND starttime > NOW() - INTERVAL '1' HOUR
GROUP BY sourceip, destinationip
HAVING COUNT(*) > 100
ORDER BY cnt DESC

QRadarからXSIAMへの移行は大規模な作業だ。ルールセット、パーサ、ダッシュボードを作り直す必要がある。Palo Altoは移行ツールを提供しているが、実際の移行には通常6〜12か月かかる。

Elastic Security + Elastic AI Assistant — オープンスタックSIEMの標準

Elastic SecurityはElasticsearch、Kibana、Beatsの上に載せたSIEMだ。Elastic Cloud(マネージド)とセルフホスト両方が選択可能で、コアがOSSベースであることからライセンスコストが相対的に低い。

2025年に導入されたElastic AI Assistant for Securityは以下の機能を提供する。

ES|QLの例は以下のとおりだ。

FROM logs-windows.security-*
| WHERE event.code == "4625"
| STATS count = COUNT(*) BY user.name, source.ip
| WHERE count > 10
| SORT count DESC
| LIMIT 50

Elasticの強みはセルフホスト選択肢と価格の透明性だ。弱点はElasticsearchとKubernetesの運用コストを自社で背負う必要があることだ。

Sumo Logic・Devo・LogRhythm・Securonix — 中堅SIEMラインアップ

リーダーグループの外側でも、中堅市場で意味のあるSIEMは複数ある。

これらはGartnerリーダーではないが、特定の環境(データ保持コスト、クラウド比重、マルチテナントMSSP)で合理的な選択肢だ。

XDR — CrowdStrike Falcon、SentinelOne、Microsoft Defender、Cortexの4強構造

XDR(Extended Detection & Response)はエンドポイント、ネットワーク、クラウド、メール、アイデンティティを一箇所で見る。SIEMと領域が重なるが、事前定義された検出、自動応答、軽量ロギングに最適化されている。

2026年5月の4強構造は以下のとおりだ。

さらにTrend Micro Vision OneとCybereason XDRも意味のあるシェアを持つ。

CrowdStrike Charlotte AI — 自然言語の脅威ハンティング

CrowdStrikeは2023年のRSAでCharlotte AIを発表し、2024年にGAした。名前は1989年に最初に発見されたワークステーションウイルスにちなんでいる。

Falcon Query Language(FQL)の例は以下のとおりだ。

ProcessRollup2
| where FileName == "powershell.exe"
| where CommandLine contains "-EncodedCommand"
| limit 100

CrowdStrikeの強みはシェアとイベントグラフの規模だ。全顧客環境から入る脅威シグナルが1つのグラフに集まる効果で、新興脅威の検出が速い。

SentinelOne Purple AI — 自律SOCのビジョン

SentinelOneのPurple AIはCharlotteと同じ位置を争う。差別化ポイントは自律SOC(Autonomous SOC)のビジョンだ。

SentinelOneは自動応答の積極性に振っている。トレードオフは誤検知時の影響範囲が大きいことで、自動隔離ポリシーは段階的に導入する必要がある。

SOAR市場 — Splunk SOAR、Cortex XSOAR、Tines、Torq、Swimlane

SOAR(Security Orchestration, Automation & Response)はSIEMやXDRからのアラートを受け取り、プレイブックで自動応答する。2026年5月の主要事業者は以下のとおりだ。

Tinesのプレイブック(YAML風のアクション流)は以下のようなものだ。

name: Phishing Triage
trigger:
  type: webhook
  source: email_gateway
actions:
  - name: Extract URLs
    type: regex
    pattern: 'https?://[\\w./-]+'
  - name: VirusTotal Lookup
    type: http_request
    method: GET
    url: 'https://www.virustotal.com/api/v3/urls/$URL_HASH'
    headers:
      x-apikey: '$VT_API_KEY'
  - name: Update Ticket
    type: jira_create
    project: SOC
    summary: 'Phishing alert from $EMAIL_FROM'

SOAR選定基準はデータ出所と運用モデルだ。Splunk/Sentinel中心の環境はSplunk SOARやSentinel Automationで十分で、マルチプラットフォーム環境はTines/Torqのような独立SOARが合理的だ。

脅威インテリジェンス — Recorded Future、Mandiant、Anomali、MISP

脅威インテリジェンスは外部の脅威シグナルをSOCに供給するレイヤーだ。主要事業者は以下のとおりだ。

MISPイベントをSTIX 2.xで表現すると以下のようになる。

{
  "type": "indicator",
  "id": "indicator--abcd1234-...",
  "created": "2026-05-15T12:00:00.000Z",
  "modified": "2026-05-15T12:00:00.000Z",
  "name": "Malicious URL",
  "indicator_types": ["malicious-activity"],
  "pattern": "[url:value = 'http://evil.example.com/payload']",
  "pattern_type": "stix",
  "valid_from": "2026-05-15T12:00:00.000Z"
}

実務では商用1本(Recorded FutureまたはMandiant)+MISPの組み合わせが最も一般的だ。

EDR — エンドポイントの最終防衛線

EDR(Endpoint Detection & Response)はワークステーションやサーバから直接観測する。XDRの中核データソースでもある。

エンタープライズは単一EDR標準化が通常だ。Windows、macOS、Linux、コンテナまでを同一エージェントで扱う圧力が強く、マルチEDRは運用負荷が大きい。

UEBA — Exabeam、Securonix、Splunk UBA、Defender for Identity

UEBA(User and Entity Behavior Analytics)はユーザーやエンティティの平常時の挙動から逸脱した外れ値を検出する。内部脅威、アカウント乗っ取り、特権濫用の検出に強い。

UEBAの肝はベースライン学習だ。平常時の行動モデルを構築し、それからの逸脱を検出する。弱点はセットアップコストと誤検知の多さで、独立したUEBAツールよりもSIEM統合UEBAが現実的選択肢として伸びている。

クラウドネイティブSOC — Panther、Hunters、Anvilogic、Vectra AI

新興のクラウドネイティブセキュリティプラットフォームも急速にシェアを取りつつある。

この4社の共通点はAIファースト、クラウドネイティブ、価格透明性だ。Gartnerリーダーではまだないが、新規SOCをゼロから設計する際に意味のある候補だ。

Pantherの検知ルール(Python)は以下のようになる。

from panther_base_helpers import deep_get

def rule(event):
    return (
        event.get("eventName") == "ConsoleLogin"
        and deep_get(event, "responseElements", "ConsoleLogin") == "Failure"
        and deep_get(event, "additionalEventData", "MFAUsed") == "No"
    )

def title(event):
    user = deep_get(event, "userIdentity", "arn", default="unknown")
    return f"AWS Console login failure without MFA: {user}"

def severity(event):
    return "MEDIUM"

オープンソースSOCスタック — Wazuh、TheHive、MISP、OpenSearch、Suricata

ライセンス予算が厳しい、あるいはフルコントロールが必要な場合、オープンソーススタックは依然として強力だ。

一般的なオープンソース組み合わせは、Wazuh(SIEM/HIDS)、Suricata(NIDS)、TheHive(IR)、MISP(脅威インテリジェンス)、OpenSearch(保管)の5本柱だ。運用要員2〜3名は必要だが、ライセンスコストはほぼゼロになる。

AI活用シナリオ — SOCがLLMを実際にどこに使っているか

マーケティングを取り除いて、2026年5月時点でSOCがLLMやAIを実際に意味あるかたちで使っている領域は次の6つだ。

  1. アラートトリアージと誤検知除去: アラートコンテキストと資産情報を束ねた自動分類。
  2. 自然言語の脅威ハンティング: KQL/SPL/YARA-Lを自然言語から生成。
  3. インシデント要約レポート: 30件のアラート+100件のイベントを人間が読める1ページに圧縮。
  4. プレイブック自動生成: 新規アラート種別への応答ステップを下書き。
  5. フィッシングメール分析: 本文、ヘッダ、添付、URLを束ねた意図評価。
  6. マルウェアのリバースエンジニアリング補助: 逆アセンブルされたコードやスクリプトの自然言語による説明。

最も導入失敗が多いのは自動応答(自動ブロックや自動隔離)だ。LLMの誤検知がそのまま運用影響につながるため、自動応答は段階的かつ保守的に導入するのが定石だ。

MITRE ATT&CKとD3FEND — SOC標準フレームワーク

MITRE ATT&CKは攻撃者の戦術(Tactic)、技法(Technique)、手順(Procedure)の標準カタログだ。2026年5月時点ではv16が最新で、Enterprise/Mobile/ICSマトリクスが存在する。

D3FENDはATT&CKの防御側カウンターパートで、防御技法(Harden、Detect、Isolate、Deceive、Evict)を標準化する。

ほぼすべてのモダンなSIEM/XDR/SOARはアラートをMITRE ATT&CK技法IDで自動ラベリングする。脅威ハンティング、セキュリティ報告、ギャップ分析の共通言語として使われる。

韓国のSOC — AhnLab、SK쉴더스、이글루코퍼레이션、NSHC

韓国のSOC市場は国産事業者とグローバルSIEMの共存が特徴だ。主要事業者は以下のとおりだ。

規制面ではISMS-P(個人情報保護管理体系認証)がSOC運用の事実上の標準だ。公共・金融分野はほぼすべての事業者にISMS-P義務が課される。2024年の個人情報保護法改正以降、侵害事故の72時間報告義務も強化された。

韓国型SOCの実務パターンは、AhnLab MDS+グローバルSIEM(Splunk/Sentinel)+SK쉴더스マネージドの組み合わせが最も一般的だ。

日本のSOC — NRI Secure、NTTコムセキュリティ、LAC、日立、Cybereason Japan

日本のSOC市場も国内事業者の強さとグローバルソリューションの共存というパターンだ。

規制面では個人情報保護法(2022年改正)とNISCサイバーセキュリティ戦略がSOC運用の基準だ。金融分野ではFISC安全対策基準も適用される。

日本型SOCの一般的なパターンは、LAC JSOCまたはNRI Secureマネージド+グローバルSIEM/EDR+CybereasonまたはTrend Micro EDRの組み合わせだ。

コンプライアンス — ISO 27001、SOC 2、NIST CSF 2.0、ISMS-P、個人情報保護法

SOCは単純な検出だけでなくコンプライアンス証跡の生成も担う。2026年5月時点のグローバル標準は以下のとおりだ。

コンプライアンス報告はSOCの主要なアウトプットなので、すべての主要SIEMはISO 27001、PCI DSS、GDPRのダッシュボードを内蔵している。証跡の自動収集とレポート自動生成は、意外にも2026年のAI導入で最も大きな成果が出ている領域の1つだ。

導入ロードマップ — 「どこから着手するか」の率直なガイド

すべてのレイヤーを一度に導入しようとすると90%は失敗する。現実的な導入順は以下のとおりだ。

  1. EDRの単一標準化: CrowdStrike、Microsoft Defender for Endpoint、SentinelOneのいずれか。約1か月。
  2. SIEM 1本を導入: Splunk、Sentinel、Chronicleのいずれか。セルフホスト要件とクラウド比重で選定。約3か月。
  3. 脅威インテリジェンス1本+MISP: Recorded FutureまたはMandiant+MISP。約1か月。
  4. SOAR導入: 最頻出の5種類のアラート種別からプレイブック化。3〜6か月。
  5. AIアシスタント有効化: SIEM内蔵アシスタント(Splunk AI/Security Copilot)、または外部モデルキー接続。約1か月。
  6. MITRE ATT&CKマッピングとギャップ分析: 四半期ごとにレビュー。継続。
  7. 自動応答は最後: 誤検知時の影響が小さい種別(IPブロック、ユーザーロックの時限化)から段階的に。

8本すべてを一気に導入すれば、運用要員の燃え尽きとアラート飽和がほぼ確実に発生する。1レイヤーずつ、安定化してから次へ。

おわりに — 2026年5月、SOCは「AI補助と人間判断」のコラボ構造に落ち着く

本稿の結論は明確だ。AIはSOCのトリアージ自動化と自然言語インターフェースの2つの位置に安定して定着した。自律SOCという表現はマーケティングであり、実際にはTier 1の60〜80%が自動化され、Tier 2と3は人間とAIのコラボとして再編されるという流れだ。

ツール選定の定石は依然としてシンプルだ。データのある場所を追え。M365が中心ならSentinel、マルチクラウドとオンプレが大きいならSplunkまたはChronicle、GCP中心ならChronicle、オープンスタックを志向するならElasticまたはWazuhだ。

そして最も重要なのは人間の運用モデルだ。AIはアナリストを置き換えるのではなく、アナリストの仕事を変える。Tier 1の単純トリアージは減るが、AI出力の検証、プレイブックのキュレーション、ルールセットの管理、脅威ハンティングといったより高付加価値の業務は増える。2026年のSOC採用市場はそれをそのまま反映している。

References

コメント

まだコメントはありません。

ログインするとコメントできます