クラウドのログ収集はどこまでできるか — 「クラウド型のログ管理」と「クラウドからのログ収集」を分けて考える
「クラウド型のログ管理」と「クラウドサービスからのログ収集」は別物です。zcrLogの料金・容量・対応範囲を実際のデモ画面から確認していきます。
クラウドのログ収集はどこまでできるか — 「クラウド型のログ管理」と「クラウドからのログ収集」を分けて考える
「クラウド型のログ収集システムはありますか」と聞かれたとき、まず確かめたいのは、どちらの意味で聞かれているのか、という点です。この言葉は中身のまったく違う2つの意味で使われていて、最初の時点で認識がずれていると、いざ導入という段階で期待とのギャップが出てきます。
1つ目の意味は、ログ収集システムそのものがクラウド上で動くというものです。機器を買う必要も、ラックの空きを探す必要もありません。月額で払い、ログを送るだけです。
2つ目の意味は、組織がすでに使っているクラウドサービス（Microsoft 365、Google Workspace、AWSなど）からログを取り出すというものです。
この2つは別の話です。クラウド上で動くシステムが他社クラウドのログをまったく取れないこともありますし、社内に設置したシステムがクラウドのログを問題なく取れることもあります。以下、それぞれ分けて答えます。
パターン1 — システム自体がクラウドにある
zcrLogにはクラウド上で動く形態があり、自前のハードウェアは要りません。
| プラン | 料金 | 1日あたりのログ量 | EPS | 対応機器数 | 保存期間 |
|---|
| zcrLog-Cloud1 | 4,000バーツ/月 | 1 GB | データ量に準拠 | 無制限 | 90日 |
| zcrLog-Cloud2 | 10,000バーツ/月 | 3 GB | データ量に準拠 | 無制限 | 90日 |
| zcrLog-Cloud3 | 14,800バーツ/月 | 5 GB | データ量に準拠 | 無制限 | 90日 |
| zcrLog-Cloud4 | 26,800バーツ/月 | 10 GB | データ量に準拠 | 無制限 | 90日 |
注目していただきたいのは、4プランとも機能はまったく同じという点です。違うのは容量だけです。Cloud1から始める小規模な組織でも、MITRE ATT&CKマッピング、エグゼクティブサマリーレポート、アラート、マルチテナントはCloud4と同じように使えます。機能の一覧はzcrLogのクラウド型ログ管理のページに載せてあるので、どこまでが標準で付いてくるのかはそちらで確かめてください。
プランを分けている軸は、1日あたりのログ量です（1、3、5、10 GBのいずれか）。EPSと対応機器数は課金の上限ではなく参考値です。ログ量が読めない段階なら、先にご相談いただくのが早いです。
見落とされやすいのが、最後の列の90日です。この数字には根拠があります。タイのコンピュータ関連犯罪法が、サービス提供者に対して通信トラフィックデータを90日以上保存するよう定めているためです。複数のクラウド事業者を価格で比べているなら、提示された金額に90日分の保存が含まれているのか、それとも後から別料金になるのかを必ず確認してください。費用が一番膨らみやすいのがここです。監査に提出する資料まで必要な場合は、コンピュータ関連犯罪法のログ保存要件を詳しく書いた記事があります。
パターン2 — クラウドサービスからログを取り出す
ここはベンダーの説明があいまいになりがちなところなので、ぼかさずに書きます。
zcrLogがクラウドサービスから取り出せるログの、現在の対応状況は次のとおりです(製品ページで最新の一覧を確認できます)。
| クラウド側のログソース | 状態 | 取得できるもの |
|---|
| Microsoft Entra ID（Azure AD） | ✅ 利用可能 | Sign-in Logs、Audit Logs、Directory Sync、マルチテナント |
| Microsoft 365（Exchange、SharePoint、Teams） | ✅ 利用可能 | Office 365 Management API経由の監査ログ |
| SentinelOne（EDR） | ✅ 利用可能 | API Ingestion、Real-time Alerts、Threat Detection、Endpoint Monitoring |
| AWS CloudTrail | ✅ 利用可能 | CloudTrailのイベント |
| Google Cloud | ✅ 利用可能 | Cloud Audit Logs |
| CrowdStrike Falcon（EDR） | ✅ 利用可能 | EDRのログ |
| Google Workspace | ⏳ Coming Soon | — |
| Okta | ⏳ Coming Soon | — |
短くまとめると、Microsoft側は、ID基盤（Entra ID）もMicrosoft 365もすでに接続できます。AWS CloudTrail、Google Cloud、CrowdStrikeも利用可能で、まだなのはGoogle WorkspaceとOktaです。
この表はzcrLogのものです。別製品のzcrSIEMも独自の連携カタログを持っており、同じクラウドソースを収集できます。具体的には、AWS CloudTrail（S3とSQS経由でmanagementイベントとdataイベントを取得）、CrowdStrike Falcon、Pub/Sub経由のGoogle Cloud監査ログです。2つの製品はそれぞれ単独で導入でき、どちらかを先に入れておく必要はありません。
ひとつ紛らわしい点があります。Google CloudとGoogle Workspaceは別物です。Google Cloudについては、zcrLogもzcrSIEMもGCPのCloud Audit Logsを収集します。zcrSIEMの連携が読むのは、管理者の操作、データアクセス、ポリシー拒否のイベントです。GmailやDriveの監査ログは別の製品で、現時点ではどちらのプラットフォームでも収集していません。
各プランの料金と容量を見る →
このEntra IDの接続範囲は、思っているより広い範囲をカバーします。Microsoftクラウド全体のID基盤がここに集まっているからです。誰がどこからMicrosoft 365にログインしたのか、MFAが通ったのか失敗したのか、誰に管理者権限が渡ったのか、誰が新しいアプリ登録を作ったのか。こうしたイベントはすべてEntra IDに記録されます。ファイアウォールやEDRのログと同じタイムラインに並べて追いかけられます。
ただし、Entra IDはM365のアプリ内部の操作までは記録しません。Exchange、SharePoint、Teamsでの操作はUnified Audit Logという別の仕組みに記録され、Microsoft Purviewから管理されています。ログが流れる経路そのものが違います。zcrLogはこちらの経路にも対応しており、Office 365 Management API経由でExchange、SharePoint、Teamsの監査ログを収集します。別製品のzcrSIEMにもMicrosoft 365の連携があり、Office 365 Management API経由でExchange、SharePoint、Teams、DLPの監査アクティビティを収集します。この点はEntra IDのログ収集範囲として別記事にまとめました。Entra IDのレポート保持期間はFreeで7日、P1・P2でも30日しかなく、サービス提供者にタイの法令が求める最低90日に届きません。Microsoft自身がログを持っているのにわざわざ外部へ書き出す理由は、そちらで詳しく説明しています。
Google Workspaceが今すぐ必要な場合
AWS CloudTrailは、上の表のとおりzcrLogですでに収集できます。残る課題はGoogle Workspaceです。zcrLogはまだ直接の接続を提供しておらず、現時点ではzcrSIEMでも収集していません。今すぐ必要な要件であれば、zcrLogの対応を待つのはおすすめしません。
その間に使える現実的な方法はsyslog経由です。ただし、Google Workspaceは標準でsyslogを吐いてくれるわけではありません。ログを取り出してsyslogに変換し、転送する仕組みは自社側で用意する必要があります。すでに社内でログフォワーダーを運用しているなら、その出力先にzcrLogを追加する形になります。マッピングは自前で管理することになりますし、組み込みの連携ほどスマートでもありません。それでも実運用には十分使えます。
もう一つは、優先順位から判断する方法です。セキュリティ上意味のあるログは、多くの場合、ファイアウォール、Active Directory、エンドポイントから来ます。Google Workspaceのログは、リアルタイムで見張るより、インシデント後の調査で引き出すことのほうが多いものです。自社の環境もそうであれば、今つながるものから始めて、残りの連携を待つという判断にも、十分な理由があります。
クラウドか、自社設置か
迷ったときは、「ログを社内ネットワークの外に出せるか」から確認してください。ここが決まれば、残りはほぼ自動的に絞れます。
クラウドが向くのは、システムを常時見るチームがまだいない場合、初期に大きな投資をしたくない場合、ログ量が読みきれず増減に合わせて調整したい場合です。
自社設置が向くのは、ログを社内ネットワークの外へ出せないという要件がある場合です。官公庁や金融機関ではよく見かけます。ログ量が多く、月額を払い続けるよりアプライアンスを買い切りで導入したほうが安くつく場合も同じです（専有クラウド型も月額課金です）。zcrLogには専有クラウド型（ICTC1-3）とオンプレミスアプライアンス（ICT1-3）があり、どの形態でも機能は同じです。違うのは設置場所と容量だけです。
ログ管理とSIEMがどう違うのか、自社はどこから手をつけるべきかがまだ整理できていなければ、ログ管理とSIEM、SOCの比較を先に読んでみてください。
まずは実物を触ってみてください
zcrLogのデモは、問い合わせ不要で、デモ用のログイン（demo / demo）だけで開けます。Log ViewerのMicrosoft Entra IDタブは、Audit LogsとSign-in Logsに分かれています。表示期間を1時間・24時間・7日・30日で切り替えたり、Sync Nowで取り込みを走らせたりも、その場で試せます。
自社のログ量ならどのプランから始めるのがよいか、といったご相談はこちらへどうぞ。
