ネットワーク監視とは？セキュリティの監視と違う点と始める範囲を解説

ネットワーク監視とは、ネットワーク機器や通信の状態を継続して見て、異常を見つけることです。目的は2つあり、故障や回線の障害を見つける監視と、攻撃や不審な通信を見つける監視では、見るものも道具も違います。

今日やることは、インターネットの出口にある装置とVPN機器のログが、今どこに何日分残っているかを確かめることです。分からなければ、保守会社に聞きます。監視の製品を比べるのは、その答えが出てからで間に合います。

2つ⁠の監視は何が違うのか？

ひとことで言えば、障害の監視は「動いているか」⁠を見て、セキュリティの監視は「動いているものが不審でないか」⁠を見ます。

障害の監視は、機器の状態を聞く

代表的なのは、応答があるかを確かめる死活確認と、SNMPで機器の状態を取得する方法です。SNMPの枠組みを定めたRFC 3411は、管理用のアプリケーションが、機器の管理情報にアクセスして監視や制御を行う仕組みとして説明しています。通信量の傾向を知るには、IPFIX（RFC 7011）のように通信の流れの情報を送る方式もあります。

これらは「止まっていないか」「詰まっていないか」⁠に答える道具です。

セキュリティの監視は、通信の意味を見る

IPAのサイバーセキュリティお助け隊サービス基準（2.1版）⁠は⁠、ネットワーク監視をUTMなどの装置を使った通信の異常監視と定義し、機能を3つ挙げています。

• 外部からの不審アクセスなどの脅威を検知する
• 内部からの不正通信などを検知する
• 検知した脅威などを防御する（端末監視の防御機能と組み合わせる場合は要件としない）

同じ「ネットワーク監視」という言葉が、IPAのこの基準では攻撃を見つける監視を指しています。製品やサービスの説明を読むときは、どちらの意味で使っているかを最初に確かめます。

障害の監視だけでは足りない理由

攻撃の多くは、機器を止めずに進みます。警察庁の令和8年上半期の報告は、ランサムウェア攻撃の代表的な流れとして、侵入後に内部を探索し、重要データやバックアップを物色してから暗号化すると説明しています。この間、ルーターは元気に動いています。死活確認の画面が緑のままでも、安全とは言えません。

反対に、セキュリティの監視だけでは、回線の混雑や機器の故障は分かりにくいことがあります。両方が要るかは、社内に機器を管理する人がいるかで決まります。

小さな会社はどこから始めるのか？

全部を見ようとすると、見る人がいないまま警告だけが積み上がります。私たちは次の順番で考えています。順番は私たちの整理で、公的な基準ではありません。

1. インターネットの出口とVPN機器

同じ警察庁の報告によると、ランサムウェアの侵入経路はVPN機器が約5割です。外とつながる場所から見るのは、この数字からも筋が通ります。

出口のファイアウォールやUTM、VPN機器について、次のことを確かめます。

2. 外部に公開しているものと、利用中の外部サービス

IPAは2026年10月⁠に公開した速やかに実施すべき対策で、公表事例の傾向から、外部公開アプリケーションやアカウントの侵害が起点になっていると見ています。点検の方法も具体的です。エラーの出力量や平時との差を見て、直近1か月⁠、その後3か月⁠と範囲を広げて確認する。ログの保有期間はサービスごとに違うので、その整理も要る、としています。

自社のウェブサイトの問い合わせフォームや、取引先と共有するファイルのサービスも、この範囲に入ります。通信の監視というより、ログを見る作業が中心になります。

3. 社内のネットワーク

出口を抜けたあとの社内の通信を見るのは、その次です。ここからは製品の選択肢が増え、費用も人の負担も変わります。通信を可視化して不審な動きを見つけるのがNDRで、製品ごとの違いはNDRの製品比較で確かめられます。

誰が警告を見るのかを先に決める

装置は警告を出せますが、判断はしてくれません。見る人を決めないまま製品を入れても、警告が積み上がるだけになります。

兼任の担当者しかいない会社には、選択肢が2つあります。

お助け隊サービスは前者の入口です。基準は、ネットワークを24時間見守り、攻撃を検知・通知する仕組みを求めています。重大なものは即時（60分以内を目標）⁠に通知します。1類の月額の上限は、ネットワーク監視で1万円（税抜き）⁠で⁠す⁠。提供事業者はIPAの監視種別サービス一覧⁠で確かめられます。

SOCの外注を含めて比べるなら、SOCの役割と外注前に確かめること⁠を読んでから、セキュリティ運用代行・顧問サービスの比較を見ると、質問の項目がそろいます。

ログの保存は、外注しても自社の問題

監視を任せていても、事故のあとに調べる材料が残っていなければ、影響の範囲を説明できません。警察庁の令和7年の報告は、ログを侵害範囲の特定に不可欠なものとしています。米国NISTのログ管理の指針（SP 800-92・2006年⁠）も、十分な詳しさのログを適切な期間残す必要性を説いています。

機器ごとにばらばらなら、1か所に集める方法があります。製品は統合ログ管理ツールの比較で確かめられます。何日分残すかは、事故に気づくまでの時間を考えて決めます。事故が起きたときの動きはインシデント対応の手順⁠に書きました。

工場のネットワークはどう考えるか？

製造業では、事務所と工場を同じに扱えません。経産省の工場システムのセキュリティ対策ガイドライン（Ver1.1）⁠は⁠、ネットワークの対策例を段階に分けて示しています。通信監視では通信状況の可視化と監視（NDR）や異常検知（IDS）⁠があり、上の段階に異常通信の遮断（IPS）⁠があります。

同じ表のログ取得の欄には、機器内のログ取得について「処理負荷への影響を考慮」⁠とあります。工場の機器では、ログを取る負荷にも配慮が要ると読めます。ガイドラインは、これらは例であり、環境は個社ごとに違うとしています。

たとえば、射出成形機をネットワークにつないで生産データを集めている工場を考えます。この場合、まず確かめるのは工場と事務所の間の境目です。どこで分かれているのか、どの通信が行き来しているのかを図にします。機器のベンダーが保守でリモート接続しているなら、その経路も図に入れます。

図ができれば、境目の1か所で通信を見るという小さな始め方が選べます。機器そのものに手を入れるより、影響を読みやすいからです。設備の保守会社には、監視を入れる前に相談します。工場向けの製品はOTセキュリティの比較で確かめられます。

NISTのサイバーセキュリティフレームワーク2.0も、継続的な監視の項目で、ネットワークとネットワークサービスを監視して有害な事象の可能性を見つけることを挙げています。ただし、範囲や手段までは決めていません。自社で何から見るかは、自社で決めることです。

監視や運用の全体像は、監視・運用・社内体制のカテゴリ⁠にまとめています。