サービス詳細・技術情報
BBSACのアーキテクチャ、相関分析シナリオ、対応ベンダー、フルSIEMとの比較、SCS評価制度への対応について技術的に詳しく解説します。
対応ベンダーと収集ログの詳細
BBSACはEDR（エンドポイント検知・対応）・IDaaS（クラウドID管理）・SASE（セキュアアクセスサービスエッジ）・ファイアウォール/UTM の主要ベンダーに対応しています。各ベンダーのAPIからログを自動収集します。なお CrowdStrike・Zscaler は対応予定です。
| ベンダー | カテゴリ | 収集するログ | 収集方法 |
|---|---|---|---|
| Microsoft Defender | EDR | Detection / Incident | Microsoft Graph API |
| Microsoft Entra ID | IDaaS | サインインログ / 監査ログ | Microsoft Graph API を直接ポーリング（5分毎） |
| Okta | IDaaS | 認証イベント（System Log API） | Okta API |
| Google Identity | IDaaS | ログイン / 管理者アクティビティ | Google Admin SDK |
| Cloudflare Zero Trust | SASE | Gateway HTTP / Gateway Network / Gateway DNS | GraphQL Analytics API（5分毎） |
| FortiGate | FW/UTM | Traffic / WebFilter / IPS / Virus / DNS | FortiGate Cloud API（5分毎） |
/auditLogs/signIns が 403 を返し、「誰がいつログインしたか」を取得できません（監査ログ＝誰が何を変更したかは無料枠でも取得できますが、サインインはそれとは別のログです）。このため Entra 無料枠のままでは、ID を軸とした相関シナリオ（ブルートフォース突破・Impossible Travel・時間外ログイン・異常ロケーション）が機能しません。P1 は Microsoft 365 Business Premium に同梱されているため、同ライセンスをご利用の場合は追加購入は不要です。
データパイプライン（Bronze → Silver → Gold → Platinum）
収集したログは以下の4層で処理されます。各層の役割が明確に分離されており、個人情報（PII）の保護とAI分析の両立を実現しています。
| レイヤー | 役割 | 処理内容 | 保存先 |
|---|---|---|---|
| Bronze | 収集 | 各ベンダーから元ログをそのまま保存。フォーマット変換なし。以降の処理を一切加えない原本として保管。 | お客様AWS S3 |
| Silver | 正規化・PII保護 | ベンダー固有の表記を共通形式に統一。ユーザー名・メール・IP・ホスト名をハッシュ化（SHA-256系）。相関分析の土台。 | お客様AWS S3 |
| Gold | 復元辞書 | ハッシュ値 → 実名のマッピングを暗号化して保管。通知時のみ参照。BonaBaseはアクセス不可。 | お客様AWS S3 |
| Platinum | AI要約 | Claude Haiku（Amazon Bedrock）が重大度・影響範囲・推奨対応を日本語で生成。ダッシュボードと通知に表示。 | お客様AWS S3 |
実名を含むデータは、お客様自身が所有するAWSアカウント内に保管され、当社の環境へ複製することはありません。ただし導入・更新のため、お客様が発行するデプロイ用IAMロールを当社がAssumeRoleします。このロールにデータを読む権限は与えていませんが、データを読む権限を持つLambdaのコードを更新できるため、その形でなら到達し得ます。当社の操作はお客様のCloudTrailに記録され、ロールはお客様側でいつでも失効できます。削除しても監視は止まりません（停止するのは当社からの更新のみです）。
相関分析シナリオ
BBSACは単一ベンダーのアラートだけでなく、複数ベンダーの情報を横断した相関分析を実施します。以下のシナリオを実装しています。
| シナリオ | 検知内容 | 重大度 | 必要ベンダー |
|---|---|---|---|
| Impossible Travel | 国内と海外から180分以内にログイン成功。物理的に不可能な移動 → アカウント乗っ取りの疑い | Critical | IDaaS（Entra ID / Okta） |
| ブルートフォース突破 | 短時間の多数認証失敗の後にログイン成功 → パスワード攻撃が成功した可能性 | Critical | IDaaS |
| マルウェア × C2通信 | EDRでマルウェア検知後、SASEで外部C2サーバーへの通信 → 感染端末が外部と通信している | Critical | EDR + SASE |
| フィッシング経由侵入 | URLフィルタリングのブロック後にIDaaS認証が成功 → フィッシングサイトで認証情報を入力した可能性 | High | SASE + IDaaS |
| 時間外ログイン | 過去30日の行動パターンから逸脱した時間帯（深夜・休日等）のログイン | High | IDaaS |
| 異常ロケーション | 普段と異なる国・地域からのログイン（Impossible Travelの前段階として検知） | Warning | IDaaS |
| 隔離バイパス | EDRで端末が隔離されたにも関わらず、その後にネットワーク通信が発生 | Critical | EDR + SASE |
| 端末脅威の集中 | 同一端末に短期間で複数のEDR脅威検知が集中 → 単体では中程度の検知でも、パターンとして重大度を引き上げる | High | EDR のみ（SASE不要） |
相関分析はAthena SQL による決定論的な事実抽出で実施します。Claude Haikuは抽出した事実を受け取り日本語で分析・要約しますが、SQLの判定ロジックはコードで管理されているため、AIの「幻覚」による誤検知が起きにくい設計です。
フルSIEMとの比較
BBSACはSIEMの代替ではなく、「SIEMが重すぎる中小企業」向けの軽量な補完サービスです。導入コスト・運用負荷・機能カバレッジを項目ごとに並べた比較表は、専用ページにまとめています。
AWSアーキテクチャの概要
BBSACは、親アカウント（BonaBase）と子アカウント（エンド顧客）の2層構成で動作します。
ログ収集・分析・保管
- 各ベンダーからのログ収集（Lambda）
- Bronze / Silver / Gold / Platinumの4層保管（S3）
- PII識別・ハッシュ化（Sanitizer Lambda）
- Claude Haiku（Amazon Bedrock）でAI分析
- 相関分析（Athena SQL）
- アラート通知（EventBridge → Notifier Lambda）
ダッシュボード・認証
- ダッシュボード表示（React + CloudFront）
- 認証・テナント分離（Amazon Cognito）
- 週次・月次レポート生成
- APIレスポンス（アカウントロック・パスワードリセット）の中継
APIレスポンス機能（半自動対応）
ダッシュボードから、IDaaS（Microsoft Entra ID / Okta）への対応操作を実行できます。完全自動ではなく、人間が確認してから実行する半自動設計です。
| アクション | 対象 | 説明 |
|---|---|---|
| LOCKDOWN | Entra ID / Okta | 対象ユーザーのアカウントをロック。全セッションを即時無効化。 |
| RESET | Entra ID / Okta | 対象ユーザーのパスワードをリセット。次回ログイン時に変更を強制。 |
認証はKMS秘密鍵で署名したclient_assertion方式を採用しており、Okta（DPoP必須）とEntra ID（Bearer）の両方に対応しています。