フローログ【flow log】

概要

フローログとは、ネットワーク上を流れる通信の情報を、個々のデータ内容ではなく通信の属性ごとに記録したログ。送信元や送信先のIPアドレス、ポート番号、通信量などを一定の単位ごとに集約して残す仕組みで、ネットワークの監視やセキュリティ対策の基礎データとして利用される。

ネットワークにおける「フロー」（flow）とは、送信元と送信先のIPアドレスやポート番号、プロトコルなどの組み合わせが同じ一連の通信をひとまとまりとして扱う単位である。フローログはこのフロー単位で情報をまとめて記録するため、通信が発生する度にすべてを個別に記録するパケットキャプチャなどに比べ、データ量を抑えながら通信の履歴を残せる。

記録される項目には、通信が行われた日時や送信元・送信先のIPアドレスとポート番号、使用されたプロトコル、転送されたデータ量やパケット数、通信が許可されたか拒否されたかといった結果などがある。通信の中身であるペイロードは含まれず、あくまで通信の属性や統計情報のみが対象となる。

フローログはルータやネットワークスイッチ、ファイアウォールといったネットワーク機器のほか、クラウドサービスの仮想ネットワークでも生成される。クラウド環境では仮想ネットワーク単位でフローログを取得する機能が標準的に提供されており、オンプレミス環境と同様に通信状況の可視化や監査に利用できるようになっている。

主な用途として、特定の機器と異常に多く通信している端末の発見や、不審な宛先への接続履歴の確認、通信量の傾向分析、アクセス制御の結果確認などがある。通信内容そのものを復元することはできないが、いつどの機器がどこへ通信したかを把握できるため、障害発生時の原因調査やセキュリティインシデントの調査にも役立てられる。収集したフローログを分析基盤やSIEM（Security Information and Event Management）に取り込み、他のログと組み合わせて異常検知を行う運用も行われている。

フローログの出力には、記録から実際に利用可能になるまで数分程度のタイムラグが生じることが多く、通信の状態をその場でリアルタイムに監視するというより、事後の分析や監査を目的とした用途に向いている。記録される項目や出力形式、集計の方法は製品やサービスによって異なるため、利用時には取得できる情報の範囲をあらかじめ確認しておく必要がある。

(2026.7.3更新)