'%3e%3crect%20x='-10'%20y='-10'%20width='120'%20height='140'%20fill='%231C1917'/%3e%3crect%20x='-10'%20y='38'%20width='120'%20height='16'%20fill='%23EA580C'/%3e%3crect%20x='-10'%20y='70'%20width='120'%20height='16'%20fill='%23EA580C'/%3e%3cpath%20d='M50%200Q30%2017.5%200.8%2018.7C-1.5%2080%2022%2097%2050%20118C78%2097%20101.5%2080%2099.2%2018.7Q70%2017.5%2050%200Z'%20fill='none'%20stroke='%23FFFFFF'%20stroke-width='18.0'/%3e%3c/g%3e%3cpath%20d='M50%200Q30%2017.5%200.8%2018.7C-1.5%2080%2022%2097%2050%20118C78%2097%20101.5%2080%2099.2%2018.7Q70%2017.5%2050%200Z'%20fill='none'%20stroke='%231C1917'%20stroke-width='7'/%3e%3c/svg%3e){kind=small}
Anomaly Detection
誰がどのような異常行動をしたかを見つけ出し、申告まで受け付けます
3つの経路の監査記録を人単位で集め、検知ルールと照合します。一致した行為は人ごとのレビュー件になり、本人の申告とレビュー担当者のレビュー結果を経て、月次点検レポートに残ります。
異常行動検知とは
異常行動検知は、監査記録からポリシーに違反した行為や普段と異なる行為を見つけて人ごとにまとめ、レビュー担当者が結論を出せるようにする機能です。
Management が監査ストアを10秒ごとに読み取り、有効な検知ルールと照合します。DAC の SQL 文とクエリ結果、Server Gateway のコマンドとファイル転送、AI Gateway のプロンプトがすべて同じ人の名前で残っているため、1人が3つの経路で行ったことをまとめて確認できます。
検知だけで終わらず、本人に理由を尋ねる申告、レビュー担当者のレビュー結果、通常業務と確認した行為の例外、1か月の点検をまとめた月次点検レポートまでつながります。別の分析製品を連携する必要はありません。
流れ
記録からレビュー結果まで
検知ルールに一致した記録は、同じルール、同じ人、同じ接続先、同じ日の単位でレビュー件にまとめられ、レビューを待ちます。
検知ルール
9つのプリセットから始めます
ルールはプリセットをコピーして作成し、範囲（接続先、人、グループ）、回数、重要度、自動申告依頼を設定します。すべての値を一覧から選択するため、1文字の入力ミスでルールが気付かないうちに機能しなくなることはありません。
| 検知ルール | 製品 | 既定の条件 | 重要度 |
|---|---|---|---|
| ブロックされた SQL の実行試行 | DAC | 1件ごと | 中 |
| 制限されたサーバーコマンドの実行試行 | Server Gateway | 1件ごと | 中 |
| AI への機密情報の送信試行 | AI Gateway | 1件ごと | 高 |
| 許可されていない接続の試行 | DACAI GatewayServer Gateway | 60分以内に3件以上 | 中 |
| ゲートウェイでブロックされた接続の試行 | 共通 | 60分以内に3件以上 | 中 |
| 機密情報の頻繁な照会 | DAC | 60分以内に100件以上 | 中 |
| 機密情報の大量照会 | DAC | 60分以内に1,000行以上 | 高 |
| 業務時間外のアクセス | DACServer Gateway | 1件ごと | 中 |
| 新しい IP 範囲からの接続 | DACServer Gateway | 1件ごと（人ごとに14日間の学習後） | 中 |
どのプリセットも、レビュー件が作成されると本人に申告を自動で依頼します。ルールは有効にした後に発生した記録にのみ適用されます。業務時間と祝日、送信元の学習期間は検知設定で指定します。
レビューと申告
検知した行為ごとに結論を記録します
レビュー担当者は検出一覧で1人の記録を選択し、申告を依頼するか、直接レビューします。すべての変更は履歴に残り、チェーンで封印されます。
レビュー件
同じルール、同じ人、同じ接続先、同じ日の検知記録を1件にまとめます。監査記録の原文（SQL、プロンプト）はコピーせず、要約だけを保持します。
申告依頼
本人に、その行為をなぜ行ったのかを尋ねます。本人には「異常行動」という言葉ではなく、「申告依頼」として表示されます。
申告
本人はデスクトップエージェントで自分が実行した文を確認し、分類（業務の遂行、テストまたは開発、誤って実行、指示または承認を受けた、自分ではない など）と説明を記入して回答します。
申告承認
使用するように設定すると、本人の申告承認者がエージェントで申告を確認します。確認はレビューの根拠となり、結論はレビュー担当者が出します。
レビュー結果
違反、通常業務、誤検知（ルールの問題）、誤検知（データの問題）、判断不可から選択し、コメントを記入します。違反の場合は、実施した措置もあわせて記録します。
例外
通常業務と確認した行為は、範囲と有効期限を決め、その日まで再び検知しないようにします。
月次点検レポート
毎月1日に、前月の検知、レビュー、申告、例外をまとめたレポートを作成します。韓国の「個人情報の安全性確保措置基準」第8条第2項が求める月1回以上のアクセスログ点検を行った根拠として残します。作成したレポートは変更されず、再度作成すると新しいレポートが作成されます。
- 検知: レビュー件数、人数、ルール別と重要度別の件数
- レビュー: 結果別の件数と、違反とレビューした件の措置
- 申告: 依頼、提出、期限後の提出、本人による否認、未提出
- 例外: 新しく作成したもの、解除したもの、適用中のもの
- 点検できなかった区間: 検証できなかった監査記録とチェーンの途切れ
kim.dev@corp
- 行為
- 機密情報の大量照会
- 条件
- 60分以内に1,000行以上
- 接続先
- orders-db (PostgreSQL)
- 時刻
- 22:14、業務時間外
- 返却行数
- 1,240行
説明のための例です。人の名前と数値は実際の記録ではありません。
連携して動作するもの
2026年10月時点
- 読み取る記録
- DAC、AI Gateway、Server Gateway の監査記録（OpenSearch、Elasticsearch、リレーショナル DB）
- 申告の回答
- デスクトップエージェント（macOS、Windows）
- SIEM 転送
- レビュー件の作成、申告の提出、申告承認、レビュー結果、再オープン（syslog、Splunk HEC）
- 履歴
- ルール、レビュー、申告、例外のすべての変更をチェーンで封印し、1日1回検証します
- 通知
- 本人が「自分ではない」と回答すると、レビュー担当者にすぐメールを送信します
既知の制約
- ルールは有効にした後に発生した記録にのみ適用されます。過去の記録をさかのぼって検知することはありません。
- 元の値の照会記録をオフにしたサービスでは、マスキングされずに行われた機密フィールドの照会が記録されないため、検知されません。
- 業務時間外のアクセスと新しい IP からの接続は、アカウントがある人の記録だけを確認します。
- エージェントを使わずに接続した記録（発行アドレス、仮想キー）には、申告を自動で依頼しません。レビュー担当者が直接依頼することはできます。
- 申告は、直近90日以内にデスクトップエージェントにログインした人にのみ依頼できます。
お客様の環境で BeeHind をお確かめください
保護したい DB、サーバー、AI サービスとネットワーク構成をお知らせいただければ、環境に合った構成と導入の進め方をご案内します。サーバー1台から始められます。