ログ相関.

ログ相関は SIEM のルールエンジンや検知パイプラインが担い、ホスト・ユーザー・ネットワークセンサーをまたぐ関連イベントを結合します。ルールはユーザー名、送信元 IP、ホスト名、プロセスハッシュなどのキーで結合し、時間制約(例: 10 分以内に 5 回のログイン失敗の後に成功が 1 回)を適用します。ステートフルエンジンはセッションを追跡し、回数をカウントし、パターン一致時にアラートを発します。良い相関は単一イベント検知より誤検知を減らし、キルチェーンの進行を浮かび上がらせます。実務上はスキーマ正規化、時刻のずれ、高カーディナリティのキー、汎用化できるルール設計が課題になります。