検知（攻撃や侵害を見つけること）
システムやネットワークで起きていることを見張り、攻撃や侵害の兆しを見つけて分析し、インシデント（事案）かどうかを判断する活動です（英語では detection）。CISSP では
CISSPドメイン7 セキュリティ運用で、ログの取得と監視、検知と予防の仕組みの運用として扱います。検知した後の活動が
対応で、見張る仕組みの代表に
ids/ips、見張る拠点に
SOC（セキュリティの監視の拠点）があります。
定義
NIST のサイバーセキュリティフレームワーク（CSF 2.0）の6つの機能の一つ「検知（DE）」は、SP 800-61 Rev. 3（インシデント対応の推奨事項、2025年4月）の説明では、ありうる攻撃や侵害を見つけて分析することです。SP 800-61 Rev. 3 は、検知を、対応・復旧と並ぶインシデント対応の中心の活動としています。
侵入の検知について、NIST SP 800-94（侵入の検知と防止の仕組みの手引き、2007年2月）は、侵入検知を「コンピュータのシステムやネットワークで起きる事象を見張り、インシデントになりうるものの兆しを分析する過程」とし、侵入防止を「侵入検知を行い、見つけたインシデントになりうるものを止めようとする過程」としています。
何を見張り、どう判断するか
SP 800-61 Rev. 3 は、CSF 2.0 の検知の区分ごとに、次のような推奨を挙げています（要約）。
| 区分 |
内容 |
| 継続的な監視（DE.CM） |
ネットワークとそのサービス、ハードウェアとソフトウェア、物理的な環境、人の活動と技術の使い方、外部のサービスの提供者の活動を、常に見張って、許可のない活動、期待と違う活動、セキュリティの状態の変化を見つける |
| 悪い事象の分析（DE.AE。ここは DE.AE-02 の推奨） |
SIEM（ログを集めて相関を分析する仕組み）や SOAR（複数の道具の連携と、対応の自動化の仕組み）などの道具で、既知の悪い活動や疑わしい活動を見張る。最新の脅威の情報を使って精度を上げる。道具で十分に見張れない技術のログは、定期的に人が確認する |
| インシデントの宣言（DE.AE-08） |
分析した活動が、決めておいたインシデントの基準に当たるときに、インシデントと宣言する。既知の誤検知も考えに入れる |
検知の方式
SP 800-94 は、侵入の検知と防止の仕組みの方式を、主に次の3つに分けています。多くの製品は、より広く正確に検知するために、複数の方式を組み合わせて使うとしています。
| 方式 |
内容 |
得意 |
不得意 |
| シグネチャ型 |
既知の攻撃の特徴（シグネチャ）と、観察した事象を照らし合わせる |
既知の脅威の検知に非常に有効 |
未知の脅威、回避の手法で見た目を変えた脅威、既知の脅威の多くの変種には、ほとんど効かない |
| アノマリ型（異常検知） |
利用者・ホスト・ネットワークの接続・アプリケーションなどの普段の振る舞いの定義（一定の期間の典型的な活動を見張って作る）と、観察した事象を比べ、大きな外れを見つける |
これまで知られていない脅威の検知に、非常に有効になりうる |
普段と大きく違うだけの正当な活動で、誤検知が多くなりがち（特に変化の多い環境で）。普段の振る舞いを作るときに、悪い活動を取り込んでしまうことがよくある |
| プロトコルの状態の分析 |
プロトコルの状態ごとに、一般に認められた正常な使い方の定義（製品の開発元が作った汎用の定義。この点がアノマリ型と違う）と比べ、外れを見つける |
同じ命令の繰り返しや、前提の命令を飛ばした命令など、予想外の命令の順序を見つけられる |
状態を追うために資源を多く使う。正常な使い方の範囲に収まる攻撃（短い時間に正当な操作を大量に行うサービス妨害など）は見つけられない |
違い・誤解しやすい点
- 「誤検知をゼロにすればよい」：SP 800-94 は、誤検知（悪くない活動を悪いと判断する）と見逃し（悪い活動を見つけられない）を両方無くすことはできず、多くの場合、一方を減らすと他方が増えるとしています。多くの組織は、見逃しを減らす代わりに誤検知が増えることを選び、そのぶん分析の手間がかかるとしています。検知の精度を上げるために設定を調整することを、チューニングと呼びます
- 「事象はすべてインシデント」：事象のうち、決めた基準に当たるものだけをインシデントと宣言します（SP 800-61 Rev. 3 の DE.AE-08）。基準を前もって決めておくことが要ります（対応）
- 「道具を入れれば見張れる」：SP 800-61 Rev. 3 は、道具で十分に見張れない技術のログは、定期的に人が確認するよう勧めています（ログ管理）
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:19
