SIEM（Security Information and Event Management）は、さまざまな情報源からセキュリティデータを収集、分析、関連付け、潜在的な脅威を即時に検出、調査、対応するサイバーセキュリティ対策です。
目次
SIEMとは？
セキュリティオペレーションセンター（SOC）は、サイバーセキュリティにおいてますます重要な役割を果たしています。SOCは、組織内のセキュリティインシデントに対応する集中管理組織です。包括的なサイバーセキュリティ戦略において不可欠な要素であり、サイバー脅威を即時に監視、検知、対応、そして軽減するように設計されています。サイバー攻撃の規模と巧妙化により、デジタル資産を保護し、強固なセキュリティ体制を維持しようとする組織にとって、SOCは不可欠な存在となっています。
SIEMのセキュリティ機能
SIEMは、ログデータを収集・集約し、相関分析を行って異常を特定し、セキュリティ担当部門向けに実用的なアラートを生成することで機能します。また、コンプライアンスと監査の要件を満たすための詳細なレポートも提供します。現代のSOCの基盤として、SIEMは生のログデータを実用的な情報に変換することで、脅威の検出、セキュリティインシデントへの対応、そしてセキュリティ体制全体を強化し、組織が危険性を事前に軽減できるようにします。
ログ収集
SIEMは、ファイアウォール、サーバ、エンドポイント、データベース、クラウドサービスなど、IT基盤全体の様々な機器やソフトウェアからログとアラートデータを収集します。この集約により、セキュリティに関連するすべての情報が一元的に保存され、状況の把握が効率化され、情報の分断が解消されます。ログには、ユーザの操作、システムの不具合、アクセス試行、ソフトウェア固有の記録などが含まれます。多様な情報源からデータを取り込むことができるため、SIEMは組織のセキュリティ状況を包括的に把握できます。
セキュリティ記録の相関関係
セキュリティ記録の相関分析には、複数のログ間の傾向と関係性を分析して、潜在的な脅威や不審な行動を特定することが含まれます。例えば、1回のログイン失敗では懸念材料にはならないかもしれませんが、複数回のログイン失敗の後に通常とは違う場所からのログインが成功した場合は、総当たり攻撃の兆候である可能性があります。SIEMは、事前に定義された規則、機械学習の仕組み、状況に応じた分析を適用することで、これらの傾向を特定し、潜在的なセキュリティインシデントを優先順位付けして調査します。
アラートと通知
異常な動作や潜在的なセキュリティインシデントが検知されると、SIEMは事前に定義されたしきい値と規則に基づいてアラートを生成します。これらのアラートは、管理画面、メール、または統合された対応の仕組みを通じてセキュリティ担当部門に送信されます。例えば、重要なデータベースへの不正アクセスや、DoS攻撃を示唆する異常な通信量の急増などが発生した場合にアラートが発動されます。アラートは優先順位付けされるため、セキュリティ担当者は最も重要なインシデントに集中でき、対応効率が向上します。
レポートの生成
SIEMは、セキュリティ関連の出来事、動向、インシデント対応をまとめた包括的なレポートを生成します。これらのレポートは、組織のセキュリティ状況を時系列で把握し、法令遵守の要件を満たし、将来の防御策を改善するための実用的な知見を提供するために不可欠です。また、インシデント管理の作業手順も組み込むことができ、侵害発生後の封じ込め、根絶、復旧のための手順を段階的に詳細に記述します。レポートは、内部での確認や外部監査における重要な資料として役立つことがよくあります。
SIEMの仕組み
SIEMは、組織の端末から大量のデータを即時に収集・分析し、セキュリティ担当部門と連携してサイバー脅威を検知・遮断します。セキュリティ担当部門を支援するための規則を定義し、アラートを生成する必要があります。
SIEMは次のことにも役立ちます。
- 多数の情報源からのデータを統合するのに役立つ、出来事の記録
- さまざまなログや情報源からの出来事の関連性から取得された生データに、有用な情報を追加
- セキュリティアラートの自動化（ほとんどのSIEMの仕組みでは、直接通知の設定が可能）
SIEMとSOARの仕組みは、セキュリティ関連の出来事のデータの一元管理と対応作業の手順の自動化に大きく貢献してきました。しかし、その有用性に対して、大きな課題があります。
- データの過負荷：SIEMの仕組みは過剰なアラートを生成することが多く、SOC部門に負担をかけ、アラート疲れにつながります。
- 連携の複雑さ：SOARはさまざまな仕組みとの円滑な連携に大きく依存しており、これは複雑で時間がかかる場合があります。
- 運用の分断：どちらの技術も、データを関連付けて対応を調整するのに多大な手作業が必要であり、インシデント対応にあたり非効率的です。
これらの仕組みは依然として優秀ですが、検出と対応に対する断片的な手法により、XDRがより統合された解決策を提供する機会が生まれました。
XDRとSIEMについて
XDRは、セキュリティレベルと効率を向上させる仕組みであるという点でSIEMに似ています。SIEMとXDRの違いは次のとおりです。
データを収集する対象と状況の把握
- SIEM：ネットワークまたはシステム内で生成された出来事とログを収集、管理、分析します。主にログデータに対して分析を行い、異常な動作や攻撃の兆候を検出します。
- XDR：端末、ネットワーク、クラウドなど、複数の情報源から稼働情報を収集・分析します。セキュリティ関連の出来事だけでなく、端末のファイルや処理の情報、ネットワーク通信情報なども収集します。
分析と検出
- SIEM：収集したデータを事前に定義された規則と手順に従って分析します。異常な動作や攻撃の兆候を検知し、適切なアラートを生成します。一部の製品には、機械的なログ間の相関分析機能が搭載されています。しかし、出来事がサイバー攻撃の可能性があるかどうかの判断は、運用担当者の「人間の直感」に頼っています。
- XDR：XDRを提供するサイバーセキュリティ企業が保有する脅威インテリジェンス（不正プログラム、悪性サイト、悪性メール、サイバー攻撃者が使用する攻撃手法など）に基づき、収集した稼働情報に対してサイバー攻撃の兆候を判定します。
インシデント対応と自動化
- SIEM：セキュリティインシデントに関する基本情報と手順を提供し、インシデント対応を支援します。SIEMは主にアラートの生成と監視に重点を置いていますが、実際の対応手順には他の製品が必要になる場合があります。
- XDR：セキュリティインシデントへの迅速な対応を支援する自動化および連携機能を提供します。検出された脅威は分析され、対応の手引きが即時に提供されます。
情報源への依存
- SIEMの有効性は、情報を取得する情報源に直接関係しています。情報源の網羅性に欠落がある場合、その発見が遅れたり、全く気づかなかったりすることがよくあります。
- したがって、SIEMとXDRを比較する場合、どちらか一方を選択する必要はないことを指摘しておく必要があります。SIEMは検知と対応のログから最大の価値を引き出すため、XDRとSIEMのどちらかを選択する場合が多いのです。
- SIEMの仕組みは外部の提供元によって生成される情報の品質に依存するため、両方の方法が並行して使用され、XDRの仕組みが事前に関連付けられたデータをSIEMに渡すことがよくあります。
SIEMのメリット
ログを一元管理できる
SIEMを導入することで、ログを一元管理できます。これにより、機器ごとにログを管理する必要がなくなり、管理ミスや管理漏れを削減できます。さらに、SIEMは収集したログを整形する機能を備えており、IT環境全体を把握することで、効率的かつ包括的な管理が可能になります。
セキュリティインシデントと脅威の早期検出
SIEMはログを一元管理し、即時に相関分析を行うことで、インシデントや脅威の早期検知を可能にします。脅威の兆候やインシデントを発見した場合、迅速な対応と被害の拡大を最小限に抑えることができます。
内部不正の防止
セキュリティインシデントは、外部からのサイバー攻撃によってのみ発生するものではありません。組織内の従業員による不正行為の防止も、組織にとって重要なセキュリティ対策です。SIEMを導入することで、従業員の不審な行動や不正アクセスを検知できます。また、SIEMは内部不正の防止にも効果的です。
セキュリティ担当者不足の解消
SIEMを活用することで、セキュリティ運用を効率化できます。ログの集約、整形、分析といった一連の作業を自動化することで、組織のセキュリティ対策に必要な資源を削減できます。SIEMの運用には一定のセキュリティ知識が必要ですが、導入することで、従来よりも効率的なセキュリティ対策を実施できるようになります。
SOCにおけるSIEMの役割
SIEMは、組織内のセキュリティを監視し、サイバー攻撃やインシデントの発生状況を把握するセキュリティオペレーションセンター（SOC）で主に活用されています。SIEMは、セキュリティ専門家にとって、以下の点で効率的なセキュリティ運用を支援する重要な仕組みです。
統合ログ管理によるアラート通知
SIEMは、様々なログを統合的に管理し、異常な動作や攻撃の兆候を検知してセキュリティ担当者にアラートを発します。例えば、不正プログラムなどの不正な動作を検知するだけでなく、重要情報が保存されているサーバへの複数回のログイン試行や、社内で許可されていないクラウドサービスの利用など、不審な出来事を検知した場合にもアラートを発します。
インシデントの調査と対応
SIEMは、不正な出来事や不審な出来事に基づき、それがサイバー攻撃であるかどうかを調査します（通常の動作、アクセスエラーなど）。サイバー攻撃と判定された場合、外部からのサイバー攻撃か内部からのサイバー攻撃かを含め、攻撃経路や範囲を追跡することで、インシデント対応の手がかりを得ることができます。
レポート機能
中長期的な視点で、自社のセキュリティ方針への違反状況やサイバー攻撃の影響を把握できるようにし、レポートを作成します。1ヵ月、3ヵ月、6ヵ月、1年など、期間ごとにどのようなサイバー攻撃を受けているかを把握することで、次にどのようなセキュリティ対策を講じるべきかを検討できます。
SIEMの主な使用例は上記に挙げていますが、セキュリティ担当者にとっての最大の利点は、複数の違う製品からの出来事やログ情報を迅速に目で見てわかるようにし、次の行動に結び付けることができることです。
SIEMの課題
SIEMはSOCやその他の組織に利点をもたらしますが、次のような課題も生じます。
複雑な導入と設定
SIEMは複雑な仕組みであり、導入と設定には時間と専門知識が必要です。セキュリティ専門家は、機器のログと情報源を統合し、規則を設定し、アラートを調整するために、継続的に作業を行う必要があります。
大量のログデータの処理
大量のログデータを処理・分析する必要があります。大量のデータを処理するには、適切な機器と記憶容量が必要です。また、ログデータの保存期間やデータの圧縮・削減についても管理が必要です。
誤検知とアラート過多への継続的な対応
SIEMは事前に定義された規則と傾向に基づいてアラートを生成しますが、誤検知や誤検出が発生する可能性があります。設定によっては大量のアラートが受信される可能性があり、ユーザ側でアラートの継続的な調整や規則の改善が必要になります。
インシデント検知後の対応
即時に出来事が検知された場合、実際のインシデントであるかを確認し、対応する必要があります。セキュリティ担当者が事前にアラートの調整を行っていない場合、大小様々なアラートへの対応が必要となり、運用効率が低下する可能性があります。
技術と資源の要件
SIEMを適切に導入・運用するには、セキュリティ分析とログ管理の技術が必要です。また、適切な資源（人員、機器、ソフトウェア）も必要です。
SIEMに関するサポートはどこで受けられますか?
ご存知のとおり、SIEMは単独で実施すべきものではありません。Trend Vision One™ Security Operations（SecOps）は、エンドポイント、サーバ、メール、ID、携帯端末、データ、クラウド上の作業、OT、ネットワーク、世界規模の脅威情報の提供にわたる出来事を関連付け、XDR、エージェント型SIEM、SOARを統合することで包括的な状況把握を可能にします。
SecOpsは、最優先事項の特定、実用的なアラートの取得、複雑な対応行動の自動化を支援します。担当者は、退屈で反復的な作業に費やす時間を減らし、脅威の探索や検知技術の構築といった価値の高い、先を見越したセキュリティ業務に多くの時間を費やすことができます。
Joe Leeはトレンドマイクロのプロダクトマネジメント担当バイスプレジデントとして、エンタープライズ向けEメールおよびネットワークセキュリティソリューションのグローバル戦略と製品開発を統括しています。
よくあるご質問（FAQ）
SIEMは何を行いますか?
SIEM（Security Information and Event Management）は、組織の IT システム全体からセキュリティデータを収集・分析・関連付けすることで、脅威を検出し、事故対応を支援し、法令遵守を確実にします。
SIEMの3つの主な役割は何ですか?
SIEMの3つの主な役割は、セキュリティデータを収集して一元管理すること、潜在的な脅威を検出してアラートを発行すること、事故対応と法令遵守の報告を支援することです。
SIEMの相関ルールの目的は何ですか?
SIEMの相関規則の目的は、他の脅威検出方法では見逃される可能性のある複雑なサイバーセキュリティの脅威を検出することです。
SIMとSEMの違いは何ですか?
SIM（Security Information Management）は、法令遵守とレポート作成のために長期的なログデータを収集・分析します。SEM（Security Event Management）は、脅威を迅速に検出し、対応することを目的としています。
SIEMツールの例は何ですか?
SIEMで一般的に使用される機能の例には、データ収集機能、検索機能、索引および集約機能、セキュリティアラートなどがあります。
SIEMの3タイプとは何ですか?
SIEMには、自社運用SIEM、クラウド型SIEM、混合型SIEMの3つの主な形態があります。
SIEMとは何ですか?
SIEMは、ログを分析して潜在的なサイバーセキュリティ事案を検出し、対応するサイバーセキュリティサービスまたは対策です。
ファイアウォールとSIEMの違いは何ですか?
ファイアウォールは、ITシステムへの悪意のある攻撃の侵入を防ぎます。SIEMは、システム内のサイバー脅威を検出する、より包括的な対策です。
SIEMソフトウェアとは何ですか?
SIEMソフトウェアは、ログからのデータを分析してサイバー脅威を検出し、対応するサイバーセキュリティの仕組みです。
SIEMとSOCの違いは何ですか?
SOC（セキュリティオペレーションセンター）は、サイバーセキュリティの専門家で構成されるチームです。SIEMは、SOCがサイバー攻撃を検知・防御するために使用する仕組みです。