SIEM(Security Information and Event Management)
SIEM(Security Information and Event Management)とは
SIEM（Security Information and Event Management）とは、サイバーセキュリティの監視・検出・調査を行うためのソリューションです。SIEMはネットワークやシステムにおいて発生するイベントログを収集し、管理・分析をすることで、セキュリティインシデントの早期発見や、迅速な対応に寄与します。
SIEMの概要
SIEMで提供される機能は以下の通りです。
SIEMの機能
- ログの収集：様々なデバイスやアプリケーションからのアラート・ログデータを収集します。
- セキュリティイベントの相関づけ：複数のイベントやログを関連付けることで異常なパターンや攻撃の兆候を検出します。
- アラートと通知：事前に設定されたルールに基づいて異常なアクティビティやセキュリティインシデントを検出してアラートを通知します。
- レポートの生成：セキュリティインシデントに対して迅速な対応を行うための情報や手順を提供し、インシデント管理のためのワークフローやレポートを生成します。
SOCにおけるSIEMのユースケース
SIEMは、主に組織内のセキュリティ監視、サイバー攻撃やインシデントの発生を把握する組織であるSOC（Security Operations Center）において使用されます。SOCはSIEMを活用してセキュリティイベントの監視、脅威検知、インシデント対応、コンプライアンス遵守状況の把握などを行います。SIEMは、セキュリティ担当者にとって重要なツールであり、下記のような形で効率的なセキュリティ運用を支援します。
1. ログの統合管理によるアラート通知：さまざまなログを統合管理するとともに、異常なアクティビティや攻撃の兆候を検知し、セキュリティ担当者にアラートを通知します。例えば、マルウェアの検出など不正な挙動に加えて、重要な情報が保存されているサーバへの複数回のログイン試行や、自社が認めていないクラウドサービスの利用など、不審なイベントが検知されると、SIEMはアラートを出します。
2. インシデント調査と対応：不正や不審なイベントをもとに、サイバー攻撃か否か（通常の挙動、アクセスミスなど）の調査を行います。サイバー攻撃と断定した場合、外部からのサイバー攻撃か内部犯行かなど含め、攻撃の経路や影響範囲を追跡し、インシデント対応の手がかりを得ることができます。以下のような措置を行います。
- 外部からのサイバー攻撃と断定：アクセス元のIP遮断、セキュリティ製品でブロックする閾値の変更など。
- 従業員による挙動の場合：自社が設定しているポリシーに違反している場合（クラウドストレージの使用を禁止しているのにアクセスがあるなど）は従業員に注意を行うなど
3. レポート作成：中長期的な視点で、自社のセキュリティポリシーの違反状況やサイバー攻撃による影響などを可視化し、レポートを作成します。どのようなサイバー攻撃を受けているのか、1か月、3カ月、半年、1年などの期間で可視化し、自社が次に行うべきセキュリティ対策を検討できます。
SIEMの主なユースケースを上記に挙げましたが、SIEMのメリットとしては、複数の異なる製品のイベントやログ情報を迅速に可視化でき、次のアクションに繋げられることが、セキュリティ担当者の最大のメリットと言えるでしょう。
SIEMの課題
SIEMはSOCをはじめ組織のセキュリティ向上と業務効率化にメリットをもたらす一方で、下記のような課題があります。
SIEMの課題
複雑な導入と設定：SIEMは複雑なシステムであり、導入と設定には時間と専門知識が必要です。セキュリティ担当者はデバイスのログやデータソースの統合、ルールの設定、アラートのチューニングなどに継続的に取り組む必要があります。
- 大量のログデータの処理：多数のログデータを処理し、分析する必要があります。大量のデータを処理するためには適切なハードウェアやストレージリソースが必要です。また、ログデータの保持期間やデータの圧縮・削減などの管理も必要です。
- 誤検知とアラート過多への継続的な対応：SIEMはあらかじめ設定したルールやパターンに基づいてアラートを生成します。しかし、偽陽性（false positive ：正当なアクティビティを誤って悪意のあるものとして検知すること）や検知漏れ（false negative ：悪意のあるアクティビティを見落とすこと）が発生する可能性があります。また、設定の状況によっては、大量のアラートが寄せられる可能性もあり、ユーザ側でアラートのチューニングやルールの改善が継続的に必要です。
- インシデント検知後の対応：リアルタイムでイベント検知した際に、実際のインシデントの確認や対応が求められます。セキュリティ担当者は先のアラートのチューニングがなされていないと、大小様々なアラートに対応することになり、返って業務効率を下げることにもなりかねません。
- スキルとリソースの要求：SIEMの適切な導入と運用にはセキュリティ分析やログ管理のスキルが必要です。また、適切なリソース（人員、ハードウェア、ソフトウェア）を確保することも求められます。
SIEMとXDRの違い
セキュリティレベルと効率を向上させるためのツールとして、SIEMと類似したものにXDR（Extended Detection and Response）があります。SIEMとXDRの違いは下記の通りです。
1. データ収集対象とコンテキスト化
- SIEM：ネットワークやシステム内で生成されるイベントやログを収集し、管理・分析します。主にログデータを中心に分析を行い、異常なアクティビティや攻撃の兆候を検出します。
- XDR：エンドポイント、ネットワーク、クラウドなど、複数のデータソースからテレメトリデータを収集し、分析します。セキュリティイベントだけでなく、エンドポイントのファイルやプロセスの情報、ネットワークのトラフィックデータなども収集します。
2. 分析と検出
- SIEM：収集したデータを基に事前に設定されたルールやアルゴリズムに従って分析を行います。異常なアクティビティや攻撃の兆候を検出し、適切なアラートや警告を生成します。機械的なログ同士の相関分析機能を持つ製品もあります。ただ、サイバー攻撃の可能性があるイベントかどうかの判断は基本的に運用者の「人間の勘」に頼る部分が大きいです。
- XDR：XDRを提供するサイバーセキュリティ会社が持つスレットインテリジェンス（マルウェア、不正サイト、不正メール、サイバー攻撃者が用いる攻撃手法など）に基づいて、収集したテレメトリに対してサイバー攻撃の兆候を判断します。例えば、マイクロソフトが提供する正規ツールであるPsExecや、Cobalt Strike、Mimikatzといった正規ツールはサイバー攻撃に悪用されることが多々あるため、こういった正規ツールの使用などもリスク度が高いものとして判定します。
3. インシデント対応と自動化
- SIEM：セキュリティインシデントに対する基本的な情報や手順を提供し、インシデント対応を支援します。SIEMは、主にアラートの生成と監視に特化しており、実際の対応手順については別の製品が求められることもあります。
- XDR：自動化とオーケストレーションの機能を備えており、セキュリティインシデントの迅速な対応を支援します。検出した脅威の分析、リアルタイムで対応ガイダンスが提示されます。
図：「Trend Vision One」のXDR機能における脅威への対応自動化の画面例（Playbook）
ウェビナーによる解説
SIEMについての関連情報
サイバーセキュリティの原点回帰：EPP・EDR・XDRの違いを理解する
サイバー攻撃のインシデント調査で、攻撃を可視化し、根本原因を分析する役割を果たすEDR・XDR。本記事では、混同される傾向があるEPP、EDR、XDRの役割や違いを改めて解説します。