こんにちは！クラウドインフラの守りを固める毎日に、少しお疲れではありませんか？
「夜中に突然アラートが鳴り響いて、ログの海を何時間も彷徨った……」
「AWSの設定を変えた途端に、意図せずセキュリティホールが開いていないか不安……」
そんなシニアエンジニアや、これからインフラの守護神を目指すあなたへ。今回は、世界中のエンジニアから絶大な信頼を集めるオブザーバビリティプラットフォーム「Datadog」を使った、Security Monitoring（セキュリティ監視）の実践と自動化について、魂を込めて解説します。
これをマスターすれば、クラウドの脅威検知は「勘と経験」の属人化された世界から、「コード化された美しい自動防御」へと生まれ変わります。毎日の夜間対応に怯える日々から解放されますよ。さあ、一緒に扉を開けましょう！
—
1. なぜ、いま「Datadog Security Monitoring」なのか？
私たちが構築するクラウド環境（AWS、GCP、Azureなど）は、驚異的なスピードで変化しています。開発者が数行のTerraformコードを書くだけで、世界中に公開されたS3バケットが生まれ、IAMロールがアタッチされます。
このスピード感に、人間の目によるチェックや、従来の「夜間バッチでのログ解析」はもう追いつきません。
従来の監視の限界 vs Datadogの思想
- 従来の監視: 「何かが起きた後」にログを探し、パッチを当てる（リアクティブ）。アラートのノイズが多く、本当に重要なインシデントが埋もれる。
- Datadog Security Monitoring: インフラストラクチャのメトリクスやAPM（アプリケーションパフォーマンス）を監視している「同じパイプライン」上で、セキュリティログをリアルタイムに解析する（プロアクティブ）。
Datadogの真骨頂は、「オブザーバビリティ（可観測性）とセキュリティが完全に統合されている点」にあります。パフォーマンス低下の原因がバグなのか、それともDDoS攻撃や不正マイニングスクールによるものなのかを、同じ画面、同じ文脈でシームレスに追えるのです。
—
2. 基礎セットアップ：クラウドの「耳」と「目」を開く
まずは、AWS環境からログを収集し、Datadogに送り込むための基礎セットアップを行います。今回はAWSの王道である CloudTrail（監査ログ） と GuardDuty（脅威検知） をDatadogに連携させましょう。
Step 1: Datadog Forwarderのデプロイ（AWS CloudFormation）
Datadogへログを安全に転送するためには、AWSのServerless Application Repository（SAR）で提供されている公式の Datadog Forwarder を使うのが最もエレガントです。
1. AWSコンソールで CloudFormation を開き、「アプリケーションの作成」から Datadog-Forwarder を検索します。
2. 以下の主要パラメーターを設定します：
- `DdApiKey`: DatadogのAPIキー（Secrets Manager経由を強く推奨）
- `FunctionName`: `datadog-forwarder`（任意の名前）
これで、S3バケットに保存されるCloudTrailログや、CloudWatch Logsに流れるイベントを、リアルタイムでDatadogへプッシュするパイプラインが完成します。
Step 2: AWS GuardDuty連携の有効化
AWS GuardDutyは、AWS環境の「番犬」です。怪しいIPからのアクセスや、不審なAPIコールを検知してくれます。これをDatadogに統合しましょう。
1. AWS EventBridge（旧CloudWatch Events）の設定を開きます。
2. ルールを作成し、イベントパターンにGuardDutyの検知結果を指定します。
3. ターゲットに、先ほどデプロイした Datadog ForwarderのLambda関数 を指定します。
これで、AWSのセキュリティ機構がキャッチした脅威が、一瞬でDatadogのダッシュボードへ流し込まれるようになります。
—
3. HelloWorld的動作確認：不正アクセスを意図的に検知してみよう
「本当に正しく検知できるのか？」
それを確かめるために、あえて安全な検証環境で「怪しい挙動」をシミュレートし、Datadogがそれを捉えるかテストしてみましょう。
検証シナリオ：コンソールへの「ルートアカウント」ログイン
セキュリティの基本中の基本。絶対に使ってはいけない「Rootアカウント」でAWSマネジメントコンソールにログインした瞬間を捉えます。
1. AWSのRootアカウントでログイン（またはテスト用の特定アクションを実行）。
2. CloudTrail経由でそのログがDatadogに到達するのを待ちます（通常数秒〜数十秒）。
Datadogでの検出ルール（Signal）の確認
Datadogのサイドメニューから Security > Signals を開いてみてください。
次のようなルールをあらかじめ用意（またはデフォルトで有効化）しておきます。
// Datadog Security Ruleの概念的クエリ例
source:cloudtrail @evt.name:ConsoleLogin @userIdentiquity.type:Root
画面上に、赤くハイライトされた「Security Signal（セキュリティシグナル）」がぽっと浮かび上がれば成功です！
これがDatadogにおける「HelloWorld」です。単なるログの羅列ではなく、「これはインシデントの可能性がある」とシステムが文脈を理解して警告してくれた瞬間です。
—
4. 実戦投入：クラウド設定ミスを許さない「ガードレール」の自動化
検知するだけでは、プロのインフラエンジニアとしては物足りませんよね。「検知した瞬間にSlackへ飛ばす」、さらには「自動で修復する（ガードレール）」ところまで踏み込みましょう。
脅威検知ルール（Detection Rule）のカスタマイズ
例えば、「公開してはいけないS3バケットがパブリック公開された瞬間」を検知するルールをコード（Terraform）で管理します。Datadogはリソースの構成管理をコード化（IaC）できるため、監視ルールもコードで管理するのがベストプラクティスです。
TerraformによるDatadog Security Monitoringルールの定義例
resource “datadog_security_monitoring_rule” “s3_public_access” {
name “Detect Public S3 Bucket Creation”
type “log_detection”
message “警告: S3バケット {{@data.requestParameters.bucketName}} がパブリックアクセス可能に設定されました！直ちに確認してください。”
enabled = true
severity = “high”
query {
name = “query1”
query = “source:cloudtrail @evt.name:PutBucketAcl @data.requestParameters.accessControlPolicy.grants.grant.permission:READ_ACP”
aggregation = “count”
metric = “”
}
case {
status = “high”
condition = “query1 > 0”
}
options {
evaluation_window = 300 # 5分間のウィンドウ
keep_alive = 3600
max_signal_duration = 86400
}
tags = [“env:production”, “security”, “aws”, “s3”]
}
このTerraformコードを अप्लाई（apply）するだけで、Datadog上に堅牢なガードレールが敷かれます。手動でポチポチ設定する必要はもうありません。
SlackやPagerDutyとの連携で「秒速対応」
検知したシグナルは、適切なチャネルにルーティングしてこそ意味があります。
Datadogの Webhooks や Slackインテグレーション を使い、次のようにルーティングを分けましょう。
- Severity: Low / Medium
👉 開発チームのSlackチャンネル（`#dev-sec-notice`）へ通知し、自発的な修正を促す。
- Severity: High / Critical
👉 運用・セキュリティチームのPagerDutyを鳴らし、夜間であっても即座に電話・プッシュ通知で叩き起こす。
このメリハリをつけることで、アラート疲れ（Alert Fatigue）を防ぎつつ、本当の脅威を取りこぼさない美しい監視体制が構築できます。
—
5. 先輩からのエール：セキュリティ監視は「育てる」もの
お疲れ様でした！ここまでで、Datadog Security Monitoringの基本セットアップから、脅威のリアルタイム検知、そしてコードによるガードレールの敷設までの一連の流れを体験しました。
最初にすべての完璧なルールを作ろうとする必要はありません。最初はノイズが出ることもあります。大切なのは、「アラートが出たらルールをチューニングし、コードを育てる」というサイクルを回すことです。
これをマスターしたあなたなら、明日からのクラウドインフラ運用に圧倒的な安心感を持てるはずです。
さあ、今すぐDatadogを開いて、あなたのクラウドの守りを次のステージへ引き上げましょう！