組織はなぜSIEMを利用するのか？
企業のセキュリティデータは、エンドポイント、サーバー、IDシステム、クラウドプラットフォーム、アプリケーション、メールシステム、ネットワークデバイスなど、さまざまな場所から同時にもたらされます。個々のソースから得られるのは、全体像の一部にすぎません。SIEMは、こうした分散した記録を、アナリストが検索、比較、活用できる一貫した全体像へとまとめます。
ほとんどの企業に不足しているのは、セキュリティデータではなく、状況を明確に把握する手段です。あるツールが不審なログインを検知し、別のツールが権限の変更を記録し、さらに別のツールが通常とは異なるアウトバウンドトラフィックを示すことがあります。これらの兆候を個別に調べても、緊急性が高いようには見えないかもしれません。しかし、まとめて調べると、実際の侵入を示している可能性があります。
これが、SIEMが今なお重要である基本的な理由です。SIEMは、セキュリティチームが組織のIT環境全体にわたるセキュリティ関連のアクティビティを一元的に収集、整理、分析できる基盤を提供します。SIEMにより、SOCは個別のアラートにとどまらず、何がどこで発生し、次に何に注目すべきかをより広い視点から把握できるようになります。
SIEM の仕組み
実際には、SIEMは大きく次の4つの段階で機能します：
- 複数のシステムからデータを収集
SIEMは、エンドポイントツール、オペレーティングシステム、ディレクトリ、クラウドサービス、ファイアウォール、DNSログ、メールゲートウェイ、ビジネスアプリケーションからテレメトリデータを取り込みます。SIEMの有用性は、参照できるデータの品質と関連性に大きく左右されます。 - データを正規化
テクノロジーごとに、フィールド名、イベント構造、重大度、タイムスタンプが異なります。SIEMはこれらを一貫性のある形式に変換し、システムを横断してイベントを検索、比較できるようにします。 - 関連するアクティビティを相関付け
これはSIEMの最も重要な機能の1つです。SIEMは、時間、ユーザー、コンピューター、システムをまたいでイベントを接続し、個別に見ているだけでは見落としやすいパターンを明らかにします。各アラートを個別の問題として扱うのではなく、複数のシグナルが同じインシデントの一部であるかどうかをアナリストが把握できるようにします。 - 検知と調査を支援
アナリストは、アラートの確認、履歴データの検索、タイムラインの調査、関連する資産やユーザーを切り口とした調査の展開を行い、不審なアクティビティがどこまで広がっている可能性があるかを評価できます。多くの組織では、SIEMはレポート作成、脅威のルールに基づくハンティング、インシデント後の分析にも利用されます。
エンタープライズ環境でSIEMが有用な理由
SIEMは、セキュリティチームがオンプレミスシステム、クラウドサービス、リモートユーザー、サードパーティ製ツール、地域ごとの複雑性に対処する必要があるエンタープライズ規模の環境で特に役立ちます。
このような環境では、攻撃者が技術スタックの単一のレイヤー内だけで活動することはほとんどありません。侵害されたアカウントを起点として、不審なエンドポイントの動作、通常とは異なるSaaSへのアクセス、クラウド権限の変更、外部への接続が発生する可能性があり、これらをまとめて見ることで初めて全体像を把握できます。
そのため、SIEMでは個々のアラートそのものよりも、コンテキストが重視されることがよくあります。SIEMは、アナリストがイベント、システム、ユーザー間の関係を理解できるようにします。また、SIEMは履歴調査にも対応しています。これは、侵入がいつから続いているのか、ほかに何が影響を受けている可能性があるのか、組織のIT環境内の別の場所でも同様の動作が発生していたかを追跡する必要がある場合に重要です。
SIEMではないものとは？
SIEMは、堅牢なログ収集と保持を基盤としていますが、単なるログの圧縮ファイルではありません。また、自動対応と同じものでもありません。一部のプラットフォームには自動化機能が搭載されているほか、対応ツールと統合されているものもありますが、SIEMの主な目的は可視性の確保、分析、調査です。
この違いは重要です。組織がSIEMだけでSOCのあらゆる課題を解決できると期待してしまうことがあるためです。実際には、SIEMの価値は、データの品質、検知の妥当性、セキュリティチームによる実際の活用方法によって決まります。
SIEMにはどのような課題がありますか？
通常、最大の課題はデータを収集することではなく、収集したデータを有用なものにすることです。テレメトリが不完全、一貫性に欠ける、または適切に正規化されていない場合、SIEMで信頼性の高い検知や有用な調査を行うことは困難になります。ユースケースが適切に設計されていない場合、状況を明確に把握できないまま、プラットフォームから大量のアラートが生成される可能性があります。
運用上の課題もあります。SIEMは、一度導入すれば終わりというものではありません。チューニング、パーサーのメンテナンス、検索の最適化、コンテンツの開発に加え、実際に取り込む価値のあるデータを定期的に見直す必要があります。つまり、SIEMの購入は出発点にすぎません。SIEMの価値は、どれだけ適切に運用できるかによって決まります。
SIEMが依然として重要なのはなぜですか？
企業に対するサイバー攻撃のほとんどは、1か所だけで展開されるわけではありません。攻撃は、アイデンティティ、エンドポイント、クラウドサービス、ネットワーク制御、アプリケーションを横断して展開されます。そのため、防御側には、複数のソースから得られる証拠を集約し、イベントをそのコンテキストに沿って調査する手段が必要です。
EDR、XDR、自動化、マネージドサービスが進化する中でも、SIEMは、複雑な環境全体を一元的に可視化し、詳細な調査と長期的な検索を可能にするうえで、依然として重要な役割を果たしています。
重要なポイント
SIEMは、セキュリティ運用の分析基盤です。SIEMは、チームが適切なデータを収集して利用可能な状態にし、関連するアクティビティを接続して、インシデントをより効果的に調査できるよう支援します。
SIEMは、セキュリティチームに明確な情報とコンテキストを提供し、複雑な環境全体で脅威を迅速に調査できるようにすることで、最大の効果を発揮します。
カスペルスキーのSIEMソリューションが、セキュリティデータの一元管理、疑わしいアクティビティの検知、企業全体での調査の迅速化にどのように役立つかをご覧ください。
参考資料と関連文献：
