Google SecOps のアーキテクチャとデータフロー
最新のセキュリティ環境では、クラウドネイティブ インフラストラクチャ、マイクロサービス、分散エンドポイント全体で大量のテレメトリーが生成されます。従来のセキュリティ情報イベント管理（SIEM）アーキテクチャでは、このようなデータ量に対応したスケーリングが困難なことが多く、クエリの速度が低下したり、可視性が断片化したりします。
Google Security Operations プラットフォームは、統合された高性能なセキュリティ分析レイヤを提供します。Google のコア グローバル サービスを支えるものと同じインフラストラクチャ上に構築されており、ホットデータとコールドデータの階層を区別することなく、ペタバイト規模のセキュリティ テレメトリーを取り込んでクエリを実行し、サブセカンドのレイテンシを実現します。
このドキュメントでは、Google SecOps のアーキテクチャとデータフローについて説明します。取り込み、UDM の正規化、YARA-L による脅威検出、自動対応について解説します。
インテリジェンス、分析、対応の統合
Google SecOps は、これまで別々だったセキュリティ運用機能を統合します。SIEM 分析とセキュリティ オーケストレーション、自動化、対応（SOAR）を緊密に連携したプラットフォームに統合します。さらに、Google Threat Intelligence と VirusTotal の脅威インテリジェンスと、Gemini を活用した生成 AI 機能を、調査と検出のワークフローに直接組み込みます。
プラットフォーム アーキテクチャの概要
Google SecOps は、コア Google Cloud インフラストラクチャ上に構築された、クラウドネイティブな特別なセキュリティ プレーンとして動作します。Spanner や Colossus など、基盤となる Google サービスの拡張性、耐久性、パフォーマンスの特性を継承しています。
システム コンテキスト
Google SecOps は、セキュリティ環境の中央オペレーション プレーンとして機能し、次の 3 つの主要なステージでデータを管理します。
- 入力: オンプレミス コレクタ（BindPlane エージェントなど）、クラウド プロバイダ API、サードパーティの Software-as-a-Service（SaaS）コネクタなど、ハイブリッド環境からテレメトリーを取り込みます。
- 処理コア: 未加工のテレメトリーを構造化された UDM スキーマに正規化し、YARA-L 検出エンジンを使用してイベントを評価し、SOAR ケース管理エンジンを使用してワークフローをオーケストレートします。
- 出力: アナリストに実用的なセキュリティ インテリジェンスと AI トリアージ インサイトを提供すると同時に、API とリモート エージェントを介して自動封じ込めコマンドをターゲット環境に送信します。
次の図は、システム コンテキストとデータフローを示しています。
インフラストラクチャの利点
Google SecOps のアーキテクチャ上の大きな利点は、統合されたホット ストレージ モデルです。従来のアーキテクチャでは、古いテレメトリーをコールド ストレージに移動するため、クエリの速度が低下したり、手動で再ハイドレーションが必要になったりします。一方、Google SecOps では、取り込んだすべてのテレメトリーをアクティブなインデックス検索可能なホット状態のまま最大 12 か月間保持します。この設計により、過去 1 年間の履歴データに対して、過去 1 時間のクエリと同じパフォーマンスでクエリを実行できます。
データの収集と正規化のパイプライン
Google SecOps は、未加工の非構造化ログを構造化された統合データモデル（UDM）に変換する、高スループットの取り込みパイプラインを使用します。正規化中に、パイプラインはエンティティ コンテキスト グラフのコンテキスト メタデータで各イベントを拡充します。
収集アーキテクチャ
データの取り込みは、次の 3 つの主要なベクトルで行われます。
- コレクタ: ローカル ネットワーク内にデプロイされ、syslog とパケットデータを集約するエージェント ベースのコレクタ（BindPlane エージェントや OpenTelemetry エージェントなど）。コレクタは、転送レイヤ（TLS）でテレメトリーをバッファリング、圧縮、暗号化してから、Google SecOps に転送します。
- 取り込み API: クラウド サービス、カスタム アプリケーション、サーバーレス パイプラインから構造化されたテレメトリーと非構造化テレメトリーを取り込む直接 REST API エンドポイント。
- サードパーティ統合: 外部の SaaS プラットフォームとクラウド API（Microsoft 365 や Microsoft Entra ID など）からログ、アラート、ディレクトリ データを直接取得する、組み込みのプルベース コネクタ。
データの収集と準備のパイプライン フロー
次の図は、未加工データから UDM 形式への具体的な変換ステップを示しています。
統合データモデル スキーマの概要
統合データモデル（UDM）は、異なるベンダーのログを単一の構造化スキーマに正規化します。この標準表現により、同等のエンティティ（IP アドレス、ユーザー名、ファイル ハッシュなど）がすべてのログソースで一貫したフィールド パスを共有するため、分析と検索が簡素化されます。
UDM スキーマ アーキテクチャ
UDM は、厳密に型指定された階層型スキーマを使用して、セキュリティ イベントとエンティティを表します。データは、次のコア論理構造に整理されます。
- メタデータ: ログイベント自体のコンテキスト。イベントのタイムスタンプ、取り込み時間、ベンダーのプロダクト名、イベントタイプなど。
- プリンシパル: アクティビティを開始した主体となるエンティティ（元のユーザー、ホスト、IP アドレス、プロセスなど）。
- ターゲット: アクティビティによって直接影響を受けるエンティティ（ターゲット ファイル、宛先ホスト、ユーザー アカウントなど）。
- ソース、仲介、オブザーバー: トランザクションに関与するセカンダリ ネットワーク参加者（転送プロキシ、ファイアウォール、ルーティング ホップなど）。
- ネットワーク: ネットワーク プロトコルの属性とトランザクション アーティファクト（アプリケーション プロトコル、DNS クエリ、HTTP リクエストの詳細など）。
- セキュリティ結果: セキュリティ デバイスによって報告されたアクションまたは重大度（
ALLOWED、BLOCKED、QUARANTINEDなど）。 - 拡張機能: 標準コア スキーマの範囲外にあるベンダー固有のカスタム フィールドと Key-Value ペア。マッピング定義とパーサー開発の詳細については、カスタム パーサーを構成すると重要な UDM フィールドをご覧ください。
UDM クラス図
次の図は、UDM の構造設計図を示しています。
検索アーキテクチャ
Google SecOps は、さまざまな調査ワークフローに合わせて調整された強力な検索メカニズムを提供します。ホット ストレージ全体で正規化されたテレメトリーのクエリ、解析されていない未加工ログに対するパターン マッチング、構造化されたケースデータの検索を行うことができます。最適化のガイダンスについては、UDM 検索のベスト プラクティスをご覧ください。
次の表に、プラットフォーム全体で使用できる主な検索機能の概要を示します。
| 検索タイプ | アーキテクチャ機能 |
|---|---|
| UDM 検索 | 12 か月のホット ウィンドウ全体で正規化されたインデックス付き UDM イベントをクエリする、主要な構造化検索エンジン。異なるログソース間で、複数フィールドのフィルタリング、集計、相関関係を可能にします。 |
| 未加工ログスキャン | 取り込まれたログの元の解析されていないテキスト文字列をスキャンします。この機能は、特定の UDM 構文にマッピングされていないアーティファクトとカスタム パラメータの正規表現（`regex`）と部分文字列検索をサポートしています。 |
| 自然言語検索 | Gemini AI を使用して、自然言語の質問を正式な UDM 検索構文に直接変換し、クエリの作成と調査ワークフローを迅速化します。 |
| ケース検索 | レスポンス レイヤ内の特別な検索エンジン。SOAR データベース内の調査ケース、アラート、ハンドブック、アノテーション付きエンティティ メタデータをクエリします。 |
脅威の検出と対応のループ
Google SecOps アーキテクチャは、検出分析と自動対応の間に継続的なフィードバック ループを作成します。検出ルールは、対応ワークフローをトリガーする忠実度の高いアラートを生成します。一方、調査結果は、今後の検出ロジックの改善と調整に使用されるフィードバックを提供します。
検出ファネル アーキテクチャ
検出エンジンは、マルチステージ ファネル アプローチを使用して、大量の未加工セキュリティ テレメトリーを忠実度の高いアラートに絞り込みます。
- 取り込みと正規化: 未加工ログは継続的に取り込まれ、標準の UDM イベント構造にフォーマットされます。
- 拡充: イベントは、エイリアス マッピング、コンテキスト アセットデータ、Google Threat Intelligence などのソースからのグローバルな脅威インテリジェンスで動的に拡充されます。
- 検出評価: ステートフル YARA-L 2.0 エンジンは、拡張された時間枠で動作ルールと脅威ルールに対して拡充されたイベントを評価します。ルール最適化のガイドラインについては、YARA-L のベスト プラクティスをご覧ください。
- 優先順位付けとグループ化: 一致した検出結果はアラートに集約され、動的なリスクスコアが割り当てられ、統合されたケースにグループ化されます。
このファネル戦略では、コンテキスト アセットデータと脅威インテリジェンスを組み合わせることで、無害な異常をフィルタで除外（誤検知を減らす）し、真の脅威をハイライト（誤検出を減らす）して、セキュリティ チームが対応可能なインシデントに集中できるようにします。
自動修復とフィードバック ループ
検出と対応のパイプラインは、ステートフル ルール評価と自動トリアージおよび封じ込めを組み合わせます。
- 継続評価: ステートフル YARA-L 2.0 検出エンジンを介して拡充された UDM テレメトリー ストリーム。
- ケースの作成と AI トリアージ: ルール条件が満たされると、Google SecOps はアラートを生成してケースを開きます。AI を活用した トリアージと調査エージェント は、動的検索と脅威インテリジェンスのルックアップを実行して検出結果を評価します。
- 自動ハンドブックの実行: AI トリアージで真陽性が確認された場合、プラットフォームは自動対応ハンドブック（リモート エージェントを介したエンドポイントの隔離やユーザー アカウントの停止など）をトリガーします。偽陽性として分類された場合、ケースは自動的にクローズされます。
- 継続的なチューニング: 修復結果とアナリストのトリアージ判定がループバックされ、検出のしきい値が調整され、今後の誤検知が削減されます。
脅威検出レイヤ
YARA-L 2.0 エンジンは、マルチステージ ストリーミング パイプラインを使用して、受信した UDM テレメトリーを評価し、拡張された時間枠で動作の異常とマルチイベント攻撃パターンを検出します。Gemini を使用して YARA-L ルールを生成して調整することもできます。
各 YARA-L ルールの処理ライフサイクルは、次の 5 つの異なる評価ステージで構成されます。
- 取り込み（
Ingest）: 拡充された UDM イベントは、検出評価パイプラインにリアルタイムで入力されます。 - フィルタリング（
Filter）: 受信したイベントは、ルールのイベント条件（eventsセクション）に対して評価されます。一致しないイベントは破棄され、一致するイベントはステートフル評価に渡されます。 - マッチ ウィンドウ処理（
Window）: 一致するイベントは、定義された時間枠（秒から 12 か月）で指定された相関キーでグループ化されます。イベントが蓄積されると、エンジンは複数の同時ステートフル タイマー（TimerStartからTimerEnd）を追跡します。 - 条件評価（
Condition）: マッチ ウィンドウが閉じられるかトリガーされると、エンジンはルールのconditionセクションで定義されたしきい値要件と数式（イベント数、個別のしきい値、クロスデータ結合など）を評価します。 - トリガー（
Trigger）: 条件がTrueと評価された場合、エンジンは検出を生成し、アラートをトリガーして、レスポンス レイヤでケースを開くか更新します。Falseの場合、アラートをトリガーせずに状態がクリアされます。
ルール実行ステート マシン
次の図は、ルール実行のライフサイクルを示しています。
レスポンス アーキテクチャとリモート実行
Google SecOps SOAR は、プラットフォームのレスポンス ピラーを表します。分析レイヤ上のオーケストレーション エンジンとして動作し、アラートの取り込み、ケースのトリアージ、自動対応ワークフローの実行を行います。
オーケストレーション、自動化、調査
レスポンス レイヤには、調査、ケース管理、ハンドブックの自動化にわたってセキュリティ オペレーション センター（SOC）のワークフローを効率化するように設計された特別なツールが含まれています。
- ケース管理: 関連するアラートを統合されたケースにグループ化し、インシデント キューを並べ替えとフィルタリングを行い、タスクを割り当て、完全な監査追跡で調査を共同で行います。
- ハンドブック デザイナー: 事前構築された統合アクションを使用して、ビジュアルなノーコードのドラッグ＆ドロップ キャンバスで自動対応ハンドブックを作成します。
- 統合開発環境（IDE）: 組み込みのコードベース IDE を使用して、カスタム Python スクリプトを作成し、既存のアクション統合を変更し、複雑な自動化ワークフローをデバッグします。
- 調査ビューとグラフ調査ツール: グラフベースの調査ビューを使用して、攻撃経路とエンティティの関係を可視化します。専用のエンティティの概要（アセット、IP アドレス、ハッシュ、ドメイン、ユーザーのビューなど）には、関連するタイムライン イベントがすぐに表示されます。
- ダッシュボードとレポート: すぐに使えるダッシュボードまたはカスタム レポート ウィジェットを使用して、SOC の運用指標、アナリストのワークロード、平均対応時間（MTTR）を追跡します。
SOAR コンポーネント アーキテクチャ
次の図は、受信したアラートがケース管理エンジンにどのように流れ込み、ビジュアル ハンドブックとカスタム IDE 統合全体で自動修復ワークフローをトリガーするかを示しています。
リモート エージェント アーキテクチャ
プライベート ネットワーク（オンプレミス データセンターや仮想プライベート クラウドなど）内で修復アクションを実行するために、Google SecOps は安全なアウトバウンド専用のリモート エージェント アーキテクチャに依存しています。
このモデルでは、Google SecOps プラットフォームがプライベート環境へのインバウンド接続を開始することはありません。
- タスクの開始: ハンドブック アクションでローカル実行が必要な場合、Google SecOps は Google Cloudでホストされている安全なパブリッシャー キューに命令を公開します。
- 非同期ポーリング: プライベート環境内にデプロイされたリモート エージェントは、アウトバウンドの TLS 暗号化接続を介してパブリッシャー キューを継続的にポーリングします。
- ローカル実行: タスクの指示が取得されると、リモート エージェントは、内部セキュリティ ツールまたはネットワーク エンドポイントに対して必要なアクションをローカルで実行します（アカウントの無効化やファイアウォール ポートのブロックなど）。
- ステータス レポート: 完了すると、リモート エージェントはアクション ステータスと実行ログを TLS を介してパブリッシャー キューに返します。SOAR ケースビューで取得して表示されます。
セキュリティ、コンプライアンス、責任の共有
クラウドネイティブ プラットフォームとして、Google SecOps は責任の共有モデルで動作します。Google はプラットフォームのセキュリティ に責任を負い、お客様はプラットフォーム内のセキュリティ に責任を負います。
責任の共有モデル
Google SecOps は、 Google Cloud インフラストラクチャのコア セキュリティ設計、コンピューティング機能、ストレージ アーキテクチャを継承します。このモデルでは、次のようになります。
- Google が管理する: 物理データセンターのセキュリティ、基盤となるクラウド インフラストラクチャ、プラットフォームの可用性、保存データと転送中データのデフォルトの暗号化。
- お客様が管理する: データガバナンス、Identity and Access Management（IAM）で構成されたアクセス制御とデータ RBAC、カスタム検出ルール、テナントのコンプライアンス設定。
すべてのコンプライアンス要件、データ所在地ルール、アクセス ポリシーは、組織階層からフォルダとプロジェクトを経て、コンプライアンス管理されたテナントに継承され、適用されます。
コンプライアンスとエンタープライズ対応
厳格な規制要件と組織のガバナンス要件を満たすために、Google SecOps はコンプライアンス管理されたテナントを提供します。これらのテナントは、Assured Workloads を介して厳格なセキュリティ基準を適用し、規制遵守フレームワークと技術的なデータ保護パッケージの両方をサポートします。
サポートされている規制遵守フレームワーク:
- FedRAMP: Moderate と High の影響レベル（
FEDRAMP_MODERATE、FEDRAMP_HIGH） - DoD 影響レベル: IL4 と IL5（
IL4_AND_IL5） - 医療と金融: HIPAA と PCI DSS（
HIPAA、PCI_DSS）
コンプライアンス管理されたテナントをデプロイするには、Google SecOps インスタンスを、必要なコントロール パッケージ用に構成された Assured Workloads フォルダ内の Google Cloud プロジェクトにリンクします。
データ所在地とアクセスの透明性
Google SecOps は、厳格な論理テナント分離を適用し、アクセスの透明性をサポートして、管理データへのアクセスに対する検証可能な制御と監査の可視性を提供します。
サポートされているデータ セキュリティと所在地パッケージ:
- 顧客管理の暗号鍵（CMEK）: 保存データの暗号化に使用する鍵を制御、管理します（
CMEK_V1）。 - 高度なデータ所在地: リージョン データ所在地の境界と管理アクセス制御を適用します（
DRZ_ADVANCED）。 - VPC Service Controls: VPC Service Controls（
VPC-SC）を使用して、クラウド セキュリティ リソースの周囲に安全なカスタマイズされた境界を確立します。
プラットフォームのセキュリティ アーキテクチャは、4 レイヤの継承モデルに依存しています。管理セキュリティ制御は、Google コア インフラストラクチャの強化された基盤上に構築されます。
4 レイヤのセキュリティ スタック:
- 顧客セキュリティ制御レイヤ: Identity and Access Management（IAM）で管理されるロールベース アクセス制御（RBAC）、顧客管理の暗号鍵（CMEK）、リージョン データ所在地ポリシーなど、最上位の管理制御。
- プラットフォーム セキュリティ レイヤ: 論理テナント分離、保存データと転送中データのデフォルトの暗号化（TLS）、アクセスの透明性監査ロギング。
- Google インフラストラクチャ レイヤ: Borg クラスタ管理、Colossus 分散ストレージ、Spanner グローバル データベースなど、コア コンピューティングとストレージのインフラストラクチャ。
- 物理セキュリティ レイヤ: Google エンタープライズ データセンター、多要素生体認証制御、カスタム Titan セキュリティ チップ（
roots of trust）でサポートされる基盤となるセキュリティ。
たとえば、アクセスの透明性が有効になっている場合、Google のサポートまたはエンジニアリングのスペシャリストがサポート チケットを解決するためにテナントデータにアクセスするには、有効な暗号アクセス正当化を送信する必要があります。このアクセス リクエストは安全に記録され、ほぼリアルタイムで監査ログに表示されます。
さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。