SIEMとは？セキュリティ情報とイベント管理入門

要約

セキュリティ情報およびイベント管理（SIEM）ソフトウェアは、脅威検知、イベントのログ記録、リアルタイムのアラートを単一のプラットフォームに統合します。SIEMは、ファイアウォール、ウイルス対策ツール、データベース、ユーザー端末と統合することで、ブルートフォース攻撃、認証情報の盗難、マルウェアを、被害が拡大する前に特定するのに役立ちます。SIEMソリューションは強力ですが、多額のコストがかかり、継続的な人的監視も必要です。そのため、大規模な組織や、厳格なコンプライアンス要件がある組織に最も適しています。ベンダーを評価する際には、機械学習機能、統合の深さ、コンプライアンスレポート機能を優先的に検討してください。

SIEMツールは元々、現在のセキュリティシステムを評価し、脅威を発見するために開発されたものです。問題が検知された場合、同じシステムによって、問題が深刻化する前に阻止できます。

SIEMツールとそのメリットについて

SIEMツールは強力であり、一部の業界では必須です。SIEMがなければ、大規模システムの隅々まで見渡すことはほぼ不可能です。また、問題が発生した場合、SIEMから得られるイベントレポートは、あなたの生活を楽にします。

しかし、小規模な企業で少人数のスタッフで運営している場合、適切なSIEMを見つけてインストールするのに費やす時間と労力は、他のことに費やす方が良いかもしれません。

あなたはこのスペクトラムのどこに位置しますか？そして、ソフトウェアパートナーに何を求めるべきでしょうか？以下に詳しくご説明します。

SIEMとは？

Gartner社はSIEMを、セキュリティイベントを検知してブロックすると同時に、リアルタイム分析や履歴分析のために情報をログに記録できるテクノロジーと定義しています。

以下に例を示します。何者かがサーバーから数千ものファイルをコピーしています。SIEMで可能なこと：

• 識別.このプログラムは、通常ファイルのコピーがどのようなものかを認識しているため、この異常な動作はアラームの原因となります。
• ログSIEMは、問題、それがいつ始まったか、そして問題を解決するために次に何をするかを追跡します。
• アラート。システムは、何かが起こっていることを関係者に通知します。
• ダイレクト。システムは、調査が完了するまで、そのユーザーがファイルをコピーすることをブロックできます。

SIEMはSEMとSIMからどのように進化したのですか？

SIEMツールは、セキュリティイベント管理（SEM）ツールとセキュリティ情報管理（SIM）ソリューションを組み合わせて誕生しました。脅威を発見して対処するために2つのソフトウェアを購入するのではなく、両方のタスクを処理できる1つのプログラムを企業は求めるようになりました。PCI DSS（Payment Card Industry Data Security Standard）のように、正確なログを要求する法律が制定されたことで、レポート機能が発展しました。

最新のSIEMツールは、機械学習の能力を活用しています。システムが通常の動作を理解できない場合、プログラマーがデータを提供する必要があり、それには時間がかかります。機械学習を追加することで、プログラムはリアルタイムで学習し、日を追うごとにさらに強力で便利なものになります。

この力には、高額な代償が伴います。SIEMは、購入、プログラム、および維持に費用がかかる場合があります。そのため、大企業や公開企業は、SIEMソリューションの最大の消費者となる傾向があります。

SIEMの仕組み

SIEMはどのようにして探偵であり、執行者でもあるのでしょうか？統合は不可欠です。

お客様のSIEMは、ネットワーク内のあらゆる種類のデバイスに接続します。以下はその例です。

• アンチウイルスソフトウェア
• アプリケーション
• データベース
• ファイアウォール
• ユーザ端末

これらの各ポイントは、データをSIEMに送信します。これらのバイトはすべて、管理コンソールに集約されます。プログラムによっては、人間がすべての情報を精査し、意味を理解する必要があります。

SIEMはどのようにデータを管理し、優先順位を付けますか？

ITプロフェッショナルの80％近くが、すでに自分の仕事にストレスを感じています。何百ものデータポイントが並んだダッシュボードを新たに提供しても、ユーザーは安心できないかもしれません。ただし、SIEMは従来のセキュリティツールとは少し異なります。

SIEMは、特定のトリガーまたはアラートの危険度を評価することもできます。プログラムが重要だと考える問題のみを監視し、他のログは後で分析することもできます。

フルサービスのSIEMソリューションは、これらの特定のタスクを処理できます。

• アラート。SIEMは、問題を検出した正確な瞬間をセキュリティ専門家に伝えます。
• 収集。このプログラムは、複数のソースから情報を収集し、各データポイントを1か所に配置します。
• 比較。SIEMは、現在何が起こっているかを調べて、プログラミング、以前の問題、または通常のアクティビティと比較できます。
• プレゼンテーション。消費可能なダッシュボードにデータポイントを表示します。
• 記録：SIEMはコンプライアンスを目的としてデータを収集します。そして、チームが後で記録を振り返る必要が生じた場合に備えて、データを保存します。

すべてのツールは異なり、ここで言及していない機能を提供するものもあります。この短いリストから、SIEMがどのようなもので、何ができるのかを理解していただけると思います。

SIEMのメリットとデメリットとは何ですか？

新しいセキュリティソリューションへの投資には時間がかかります。ほとんどの企業では、すべての購入決定に複数の人が関与しています。そして、SIEMを検討している場合、選択できるベンダーは多数あります。それだけの価値はありますか？

購入チームが買い物プロセスを開始する前に、これらの長所と短所を理解していることを確認してください。SIEMが自分に適していないと判断する場合もあれば、すぐに開始したいと思う場合もあります。

SIEMで検知できる一般的な攻撃とは、どのようなものですか？

すでに述べたように、SIEMはデータを監視し、通常とは異なる問題のある動作を特定できます。このようなツールは一体何を見つけることができるのでしょうか？

SIEMソリューションは、以下の特定に役立ちます。

• ブルートフォースアタック。ハッカーが数分で何千回もパスワードを推測するのは、単にパスワードを忘れただけではありません。その人物は、強制的に侵入しようとしています。SIEMは、それらの数千回の試行を誤りとして識別できます。
• 盗まれたアイデンティティ。通常とは異なる国や、見慣れないタイムゾーンからログインしているユーザーは、ハッカーである可能性があります。SIEMは、その問題を懸念の原因として特定する可能性があります。
• マルウェア。アンチウイルスソフトウェアと連携すると、SIEMはハッカーが悪意のあるプログラムを展開する瞬間を特定できます。ソフトウェアがそれをすぐに削除しない場合、SIEMが介入する可能性があります。

本質的に、このようなプログラムは、正常な状態がどのようなものかを理解します。そして、何か異常なことが起こると、アラートを出します。結果は驚くべきものになる可能性があります。

SIEMは貴社に適していますか？

SIEMをお探しの場合、選択できるベンダーはたくさんあります。IBM、Intel、Trustwaveなどはすべて、この市場で製品を販売しています。どのようにして正しい選択をすることができますか？

各ベンダーに以下について問い合わせてください。

• 統合。ソフトウェアは、現在使用しているすべてのプログラム、サーバー、およびシステムと連携しますか？
• プログラミング。そのツールは機械学習を使用していますか？それとも、どのような脅威であるかを理解させる必要がありますか？
• レポートとログ。一般的なダッシュボードやレポートはどのようなものですか？システムは、特定のコンプライアンス状況に応じたレポートを出力できますか？

次世代SIEMの登場を待つべきでしょうか？

まだ購入する準備ができていない場合は、次回のSIEMのイテレーションを待つのが賢明かもしれません。専門家は、新しいプログラムには、より多くの自動化、より優れた機械学習機能、より深いコラボレーション、より多くの統合、およびより優れたクラウド機能が付属すると考えています。これらの属性のいずれかがビジネスにとって重要な場合は、待つのが賢明でしょう。

Oktaで重要な支援を得る

直面している脅威と必要なソリューションに関するインサイトを入手できます。Oktaのソリューションは直感的で強力であり、非常に簡単に導入できます。Oktaがどのように脅威の検出を支援できるかをご覧ください。開始方法の詳細については、お問い合わせください。

よくある質問（FAQ）

SIEM、SEM、SIMの違いとは？

セキュリティイベント管理（SEM）とセキュリティ情報管理（SIM）は、もともと別々のツールでした。SEMが脅威検知と対応に重点を置いていたのに対し、SIMは情報管理を担っていました。SIEMは両方の機能を1つのプラットフォームに統合し、2つの個別のソリューションを必要とせずに、組織がセキュリティインシデントを検知、ログ記録、アラート通知、対応できるようにします。

中小企業にとってSIEMは投資に見合う価値があるでしょうか？

人員が限られている小規模な企業の場合、SIEMソリューションの選択、導入、保守に必要な時間とコストが、得られるメリットを上回ってしまう可能性があります。SIEMツールは、複雑なコンプライアンス要件に直面し、広範なネットワークを管理する大企業や公開企業にとって最も価値があります。小規模な企業は、導入を決定する前に、コストと人員要件を慎重に検討する必要があります。

SIEMは、総当たり攻撃や認証情報の盗難といった脅威をどのように検出するのでしょうか？

SIEMは、ネットワーク全体の正常な動作のベースラインを確立します。アクティビティがそのベースラインから逸脱した場合、たとえば、数分間に数千回のログイン試行の失敗（総当たり攻撃）や、通常とは異なる国やタイムゾーンからのユーザーのログイン（アイデンティティ盗難の可能性）などがあった場合、SIEMはそれを不審なアクティビティとしてフラグを立て、セキュリティ担当者に警告し、ユーザーのブロックなどのアクションを自動的に実行できます。

従来のSIEMソリューションが抱える最大の欠点とは何でしょうか？

従来のSIEMプログラムは、購入と維持にコストがかかり、24時間体制での人的監視を必要とし、不必要なアラートを発生させる誤検知を起こしやすいという課題があります。さらに、従来のSIEMの耐用期間はわずか18〜24か月です。つまり、企業は比較的早く新しいソリューションに再投資する必要があるかもしれません。

SIEMベンダーに購入前に確認すべきこととは？

SIEMベンダーを評価する際は、既存のプログラム、サーバー、システムとの統合互換性、ツールが機械学習を使用しているか手動での脅威プログラミングが必要か、どのようなコンプライアンスレポート機能が利用できるかについて確認してください。こうした要素を理解することで、組織固有のセキュリティおよび規制の状況に適したソリューションを確実に導入できます。

次世代のSIEMツールに期待される改善点とは何でしょうか？

専門家は、新しいSIEMプラットフォームでは、自動化の強化、機械学習の高度化、クラウド環境との連携の深化、コラボレーション機能の向上が実現すると予測しています。こうした機能が組織にとって不可欠な場合は、今レガシーなプラットフォームに投資するのではなく、次世代のSIEMソリューションが登場するのを待つ方が賢明かもしれません。

参考文献

セキュリティ情報とイベント管理（SIEM）。 Gartner。 

Machine Learning Log Analysis Platforms—The New Wing Man to SIEM?（2020年2月）。SC Media。

ITの仕事はストレスが増えているのか、それともミレニアル世代の問題か？ （2021年5月、Computerworld. 

規制の洪水に直面する企業、コンプライアンス対応に苦慮。（2019年8月、Forbes. 

次世代SIEM評価ガイド（2019年）SANS Institute