解決しようとしている問題は何ですか？
SIEMプロジェクトを開始する理由は組織によって異なります。一元的に状況を可視化する必要がある組織もあれば、調査能力を強化する必要がある組織もあります。分断された環境全体で検知範囲を広げようとしている組織もあれば、レポート作成、データ保持、監査に関する要件をきっかけに導入を進めている組織もあります。
出発点が曖昧であれば、通常、評価も曖昧になります。SIEMは、SOCツールはこうあるべきだという一般的な考えではなく、明確に定義された運用上のニーズに基づいて選定する必要があります。
必要なデータを取り込めますか？
SIEMの有用性は、収集して利用可能な状態にできるテレメトリによって決まります。そのため、エンドポイント、IDソース、クラウドサービス、メール、アプリケーション、ネットワークインフラストラクチャ、その他の重要な制御ポイントなど、自社の環境で特に重要なシステムを検討する必要があります。
対応範囲の広さも重要ですが、関連性はさらに重要です。目標は、あらゆるデータを無差別に取り込むことではありません。セキュリティチームが検知と調査に実際に必要とするデータソースを、プラットフォームで確実に処理できるようにすることです。
効果的に正規化し、相関付けできますか？
一元的に収集するだけでは十分ではありません。SIEMでは、異なるツールやテクノロジーを横断して検索、比較、相関付けを行える程度まで、データの一貫性を確保する必要があります。
デモでは優れているように見えても、実際には使いにくいことが判明するプラットフォームもあります。正規化が不十分で、フィールドマッピングに一貫性がなく、データソースを横断するロジックの維持が困難な場合、SIEMは分析面での価値が限られた大規模なストレージ基盤になりかねません。
実際の調査に対応できますか？
優れたエンタープライズSIEMは、ダッシュボードにアラートを表示するだけでなく、アナリストが効率的に調査できるよう支援する必要があります。
つまり、チームは手作業による回避策に頼ることなく、過去と現在のデータを検索し、ユーザーやシステムを軸に調査を展開し、タイムラインを追跡して関連イベントを確認し、インシデントの影響範囲を把握できる必要があります。
チームは、そのSIEMで検知を作成し、調整できますか？
エンタープライズSIEMの価値は、そこで運用される検知の品質に大きく左右されます。有用なプラットフォームは、効果的なルールの開発、柔軟な相関ロジック、および組織のリスクプロファイルや実際の攻撃パターンに基づく継続的な調整に対応する必要があります。
標準搭載のコンテンツは導入初期には役立ちますが、それだけで十分なことはほとんどありません。より重要な判断基準は、プラットフォームを使用して、チームが自社環境に合わせて検知を調整し、長期にわたって維持できるかどうかです。
運用にはどの程度のコストがかかりますか？
SIEMの実際のコストは、ライセンス料だけではありません。データの取り込み、ストレージ、保持、コンテンツのメンテナンス、パーサーの保守、パフォーマンスの調整に加え、管理に必要な人員のコストも含まれます。
そのため、コストは単なる調達上の問題ではなく、運用モデルの観点から評価する必要があります。購入時には魅力的に見えるプラットフォームでも、高度な専門知識を持つ人材に過度に依存する場合や、データ量の増加に伴う拡張性が低い場合には、結果的に高額になる可能性があります。
混在環境にどの程度適合しますか？
ほとんどの企業は、単一ベンダーのエコシステムだけで運用しているわけではありません。従来から引き継いだツール、クラウドサービス、地域ごとに異なる環境、レガシーシステム、重複するセキュリティ対策を抱えています。SIEMは、こうした現実に対応できなければなりません。
相互運用性が重要です。プラットフォームには、さまざまなソースからデータを集約し、標準で提供される限られた連携機能だけでなく、異種混在環境全体を対象とした調査をチームが行えるようにすることが求められます。
最終候補には何を含めるべきでしょうか？
有力な候補を選ぶには、通常、以下の質問に明確に答えられる必要があります：
- プラットフォームは、自社環境にとって最も重要なソースからデータを取り込めますか？
- 実際の調査を行えるレベルで、データを正規化して相関分析できますか？
- チームは、有用な検知を構築および調整し、長期にわたって維持できますか？
- 自社のSOCが現在使用しているワークフローや、改善したいワークフローをサポートできますか？
- 初期購入費用だけでなく、運用モデル全体のコストも負担できますか？
- 現在使用しているさまざまなツールや環境で機能しますか？
これらの質問は、製品評価を実際の運用成果に結び付けるため、機能数だけを比較するよりも有用です。
組織はどこで判断を誤るのでしょうか？
繰り返し見られる誤りは、次の3つです：
- 調査やワークフローではなく、ダッシュボードや宣伝文句、機能チェックリストを基準に購入すること
- テレメトリの管理やチューニング、検索パフォーマンスの維持に必要な運用負荷を過小評価すること
- 長期的な持続可能性を考慮せず、チームが現実的に適切な運用を継続できないプラットフォームを選ぶこと。
重要なポイント
運用適合性を基準にエンタープライズ向けSIEMを選択してください。最適な選択肢とは、必要なデータを取り込んで適切に正規化し、実際の調査をサポートして有効な検知を可能にするとともに、チームが長期にわたって持続的に運用できるものです。
自社のエンタープライズSOCのニーズに照らしてSIEMを評価する準備はできていますか？
カスペルスキーのSIEMソリューションが、セキュリティデータの一元管理、多様な環境をまたぐアクティビティの相関分析、より効果的な脅威調査にどのように役立つかをご覧ください。
参考資料および関連情報：
