Cloud SIEM

ログを集めている基盤で、脅威検出もまとめて回す

Cloud SIEM は、Datadog に取り込んだログを解析して脅威を検出し、調査と対応までをセキュリティ運用チームが 1 か所で進めるための製品です。取り込みは Datadog Agent と API ベースのインテグレーションが担い、クラウドとオンプレミスの両方のテレメトリが対象になります (2026 年 9 月時点・出典: Cloud SIEM)。SIEM (Security Information and Event Management) は、各所のログを集めて相関分析し、不審な事象を見つける仕組みの総称です。監視のために既にログを集めているなら、同じログを別の SIEM 製品へ二重に転送して保管する手間と費用が要らなくなる点が最初の効き目です。公式ドキュメントも、DevOps とセキュリティの両チームが同じ基盤に乗ることで協働しやすくなると位置付けています。ログの収集経路や 2 段課金の中身は ログ管理の解説に委ね、本記事では SIEM が足す部分だけを追います。

検出ルールに当たったログがセキュリティシグナルになる

検出ルールは、取り込まれた全てのログとクラウド設定に適用される条件式です。ルールに定義した条件のいずれかが一定期間内に成立すると、セキュリティシグナルが 1 件生成され、Signals Explorer に並びます (2026 年 9 月時点・出典: Detection Rules)。Datadog が用意する既製ルールについて、料金ページは 800 本以上と記載し、公開された新しいルールは各アカウントへ自動で取り込まれます (2026 年 9 月時点・出典: Datadog Pricing)。既製ルールで足りない条件は、既製ルールを複製して書き換えるか、ゼロから作るかの 2 通りで足せます。複製の例として公式が挙げるのは、しきい値型 (Threshold) のログ検出ルールを異常検知型 (Anomaly) に変えて、同じクエリで別の観点を足す使い方です。版の履歴と差分が残り、JSON や Terraform へ書き出せるので、検出ロジックをコードとして管理する運用にも乗せられます。

シグナルを開いた後は何をするか - トリアージからケースと Workflow へ

Signals Explorer で重大度や検出ルール、MITRE ATT&CK の戦術によってシグナルを絞り込み、側面パネルで状態を変えます。トリアージの状態は既定が OPEN で、調査中は Under Review、解消したら Archived へ移して理由を残せます (2026 年 9 月時点・出典: Investigate Security Signals)。1 件で判断できないときはケースを作って複数のシグナルを束ねて調べます。ケースを作るとトリアージ状態は自動で Under Review になり、重大な事象なら同じパネルからインシデント宣言にも進めます。自動対応は Workflow Automation の領分で、シグナルのタグと最も一致する Workflow が上位 3 件まで Suggested Workflows として提案されます。生成 AI による調査 (Bits AI Security Analyst) は Bits AI の解説に委ねます。

Cloud SIEM Overview ページで最初に見る 7 つの区画

Cloud SIEM を有効化すると、Overview ページが運用の起点になります。ここには 7 つの区画が並び、Customize Page から並べ替えや非表示ができます (2026 年 9 月時点・出典: Cloud SIEM)。読み方の要点は、上から順に「取り込みが健全か」「今すぐ見るべきシグナルは何か」「どのエンティティが危ないか」「どこから来ているか」を確かめ、最後に「検出そのものの性能」を振り返る流れです。とりわけ Detection rules performance の区画は、シグナルを Cloud SIEM 上でトリアージしているほど意味を持ち、ルールごとの誤検知率や、前週と比べてシグナルが増えたルールが読めます。誤検知率の高いルールから順に条件を締めるだけで、翌週の当番の負荷が目に見えて変わります。

MITRE ATT&CK マップは足りないルールを探す道具

MITRE ATT&CK は攻撃者の振る舞いを整理した枠組みで、公式ドキュメントは戦術 (Tactics) を攻撃の目的、技術 (Techniques) を目的を達成する具体的な手段と説明しています。検出ルールはこの戦術と技術に対応付けられ、SIEM または Workload Protection の検出ルール画面から MITRE ATT&CK マップを開くと、どの技術に何本のルールがあるかを一覧できます (2026 年 9 月時点・出典: Detection Rules)。公式が挙げる使い方は、覆われていない技術の把握、薄い技術へのルール追加の優先付け、ルールの整理の 3 つです。Overview ページの MITRE ATT&CK coverage 区画には、ルール密度が高い / 中 / 低 / ゼロの技術数が KPI として並びます。実務で効くのはゼロの技術で、該当ログを取り込んでいるのにルールが 1 本も無い箇所が、ルール追加の優先順位が最も高い場所です。

Content Pack を有効にすると何が付いてくるか

セキュリティチーム向けに選ばれたインテグレーションの束が Content Pack です。各 Content Pack には設定手順のほか、検出ルール、既製のダッシュボード、パーサー、SOAR Workflow が含まれると公式ドキュメントは説明しています (2026 年 9 月時点・出典: Cloud SIEM)。始め方は 3 段で、Cloud SIEM の画面を開き、Enable Cloud SIEM を押し、オンボーディングの手順に従います。効いてくるのは「そのログを既に Datadog に送っているか」で、送っているなら Content Pack を有効にするだけで既製ルールが動き出し、追加で乗る単価は Cloud SIEM の分析 GB が主です。パーサーも同梱されるので、ログを検出ルールが読める形に整えるパイプラインの整備を自分で始めなくて済みます。Content Pack の有無が「すぐ動くか、整備から始めるか」の分岐点です。

分析 GB の課金はログのインデックス課金と重なるのか

Cloud SIEM の単価は分析した GB で数えます。料金ページのプランは 12 か月の分析と保持を含み、分析 GB あたりの月額を年契約・月契約・オンデマンドの 3 つの契約形態で示しており、この順に単価が上がります (出典: Datadog Pricing)。一方でログの保存にかかる費用は Log Management 側の選択で決まり、公式ドキュメントは、頻繁に検索するログには標準インデックス、長期保持しつつ急ぎで検索することもあるログには Flex Logs、ほとんど検索しないログには Log Archives を使い分けられると説明しています (出典: Cloud SIEM)。見積もりでは「SIEM が分析する GB」と「ログ側の取り込みとインデックス」という 2 つの数え方が並び、後者は保存先の選び方で変えられます。料金の全体像は料金の読み解きで扱っています。

本記事は課金の仕組みを解説するものです。具体的な単価や料金は Datadog 公式の料金ページで確認してください。

Datadog に届いていないログはどう入れるか

公式ドキュメントは取り込み経路として Datadog Agent と API ベースのインテグレーションを挙げ、クラウドだけでなくオンプレミスのシステムも対象に含めています (2026 年 9 月時点・出典: Cloud SIEM)。Agent を置いていないサーバーや社内機器のログを足すときは、該当するインテグレーションの有無を確かめ、無ければ Agent のログ収集で取り込みます。送る前に不要な行を落とし宛先を振り分ける前処理は Observability Pipelines の役割で、SIEM に回す量を取り込みの手前で整えられます。Datadog 自身の操作記録は Audit Trail の領分です。別の SIEM 製品からの移行で費目を比べるなら Splunk との比較記事に委ねます。導入の順番は、届いているログの Content Pack を有効化し、数週間トリアージして誤検知率の高いルールを締めてから、足りないログ源を増やす、が手戻りを最小にします。