MS_LogAnalytics

Log Analytics

• 戻る
  • Azure Virtual Data Center
  • Azureの監視と管理

概要

• シンプル
• パワフル
• フル・パイピング言語
• フィールド抽出
• 高度なクエリ
• スマート分析
• 整合性と統合

補足（用語の整理）: 「Log Analytics」という語は、文脈によって 3 つのものを指す。
混乱しやすいので、最初に整理しておく。

語	指すもの
Log Analytics ワークスペース	ログの保管先リソース（課金・保持期間・アクセス制御の単位）
Log Analytics（画面）	ポータル上のクエリ実行 UI（KQL を書くところ）
Log Analytics エージェント	旧世代の収集エージェント（廃止済。AMA に置換）

本ページが述べているのは主に前 2 者、
つまり「Azure Monitor の Logs ストアとその分析機能」である。

詳細

• 各サーバのログを改ざん不可能なクラウドに収集

• 収集した監視データとログを保管し、横断検索・分析する。

• 機械学習を活用した不正なふるまい検知

  • セキュリティ攻撃が疑われるふるまいを検知
  • マイクロソフトが受けた攻撃を学習した人工知能を活用

• 不正な IP アドレスとの通信検知
  サイバー犯罪で利用されている IP アドレスを検知しアラートを発行

• アップデート適用状況を可視化

  • Windows / Linux のアップデート状況を可視化
  • パッチ適用の実行指示も可能

• セキュリティ ベースラインの評価

  • マイクロソフトのベスト・プラクティスと比較
  • 改善すべき設定項目を提示

移行メモ（機能の帰属について）: 本文の後半 4 項目は、
現在ではワークスペースそのものの機能ではなく、
その上に載る別サービスの機能として整理されている。

本文の記述	現在の担当
不正なふるまい検知 / AI	Microsoft Sentinel、Defender for Cloud
不正 IP との通信検知	Defender for Cloud（脅威インテリジェンス）
アップデート適用状況の可視化・適用	Azure Update Manager（旧 Update Management）
セキュリティ ベースライン評価	Defender for Cloud（セキュア スコア）

原文執筆時点では「Log Analytics（旧 OMS）」がこれらを包含する
ブランドだったため、まとめて記載されている。
ワークスペースは共通の受け皿であり、機能は上位サービスが提供する
という現在の構造で読み替えるとよい。

補足（保持期間と課金）: 実務で最初に決めるべきはここである。

層	用途	特徴
分析ログ（Analytics）	通常のクエリ・アラート対象	既定 30 日（無償枠）、以降は保持期間に応じて課金
基本ログ / 補助ログ	大量・低頻度参照のログ	取り込みが安価だがクエリ機能が制限され、都度課金
アーカイブ	長期保管（監査要件）	最長 12 年。参照時は復元（Search ジョブ）が必要

「監査で 7 年保持」といった要件をすべて分析ログで満たすと極めて高額になるため、
層を分ける設計が前提になる。

参考

KQL (Kusto Query Language)

Microsoft Learn

• Log Analytics ワークスペースの概要
  https://learn.microsoft.com/ja-jp/azure/azure-monitor/logs/log-analytics-workspace-overview

---

Tags: 移行, インフラストラクチャ, クラウド, セキュリティ, Azure