SIEM（セキュリティ情報・イベント管理）とは

SIEMとは

SIEM（セキュリティ情報・イベント管理の略称）ソリューションは、セキュリティ情報管理（SIM）とセキュリティイベント管理（SEM）を1つの包括的なセキュリティソリューションに統合し、脅威を検知してコンプライアンスを確保するものです。SIEMソリューションは、大量のデータ、特にユーザーアクティビティやファイアウォール、サーバー、その他のネットワークデバイスからのログを収集し、分析します。

SIEMソリューションではこのセキュリティインシデントの兆候である可能性のある異常データを一元化することで、セキュリティチームが異常を特定しやすくします。そのため、SIEMソリューションは脅威の検出、調査、対応に大いに貢献します。

SIEMテクノロジーの仕組み

SIEM技術は、組織のホスト・システムやアプリケーションからログイン認証情報、アクセスしたファイル、アクセスしたWebサイトなどのデータ（またはログ）を収集し、すべてのログをまとめます。

一部のSIEMソリューションには、収集したデータを脅威インテリジェンスフィードを取り込み、データ内の侵害の兆候（IoC）の特定に活用するものもあります。

セキュリティチームはSIEMに収集されたデータを手動で分析することもできますが、SIEMソリューション自体も機械学習やAIを活用して、パターンや不審な変化を自動的に特定し、セキュリティチームにアラートを送信する機能が備わっています。また、セキュリティチームがデータやアラートを追跡・調査できるダッシュボードも提供します。

さらに、SIEMは、誤検知アラートを防ぐこともできます。例えば、ユーザーが何度もパスワードをリセットしている場合、SIEMはその挙動を検知して攻撃と見極めることができます。つまり、SIEMソリューションは最も注意を払う必要のあるインシデントからのノイズを分離できます。

SIEMソリューションの主な構成要素

クラウドベースのSIEMセキュリティシステムは、複数の構成要素からなっています。主に、次のようになります。

1. クラウドストレージ、データ収集、取り込み：デジタル環境に関するデータが収集され、分析のために一貫性のある形式に正規化された上で保存されます。
2. 分析と検出：SIEMソリューションはイベントを相関させて、攻撃や侵害を特定します。SIEMソリューション内のAnalytics Engineは、データを確認し、ユーザーとエンティティの行動分析（UEBA）と組み合わせて、疑わしいパターンを特定します。
3. ダッシュボード、アラート、レポート：クラウドベースのSIEMソリューションでは、ダッシュボードにAnalytics Engineが検出した内容が表示されます。セキュリティチームは、不審な点が検出されるとアラートと通知を受け取ります。
4. インシデント対応：一部のSIEMソリューションには、脅威の封じ込めや軽減対策を実行できるインシデント対応ツールが備わっています。

SIEMソリューションは規制コンプライアンスにどのように役立つか？

多くの種類の個人データや機密データは、EUの一般データ保護規則（GDPR）や、米国の医療保険の相互運用性と説明責任に関する法律（HIPAA）のような業界特有の規制を含む、データコンプライアンスのフレームワークによって規制されています。これらの規制に違反した場合、さまざまな法的および金銭的な罰則が科される可能性があります。

一部のSIEMソリューションには、これらの規制への準拠状況を確認できるレポート作成機能が備わっています。このレポートは、セキュリティチームが個人データを侵害する漏えいを検出し、防止するのにも役立ちます。

SIEM統合の長所と短所

SIEMソリューションを使用することは、サードパーティツールと連携し、すべてのログをそのツールに転送することを意味します。これにはいくつかの利点があります。

• 脅威を早期にキャッチし、リアルタイムで即時アラートを受信することで、セキュリティ体制を改善できる
• 規制要件の遵守と詳細な監査証跡を保持できる
• 不審なインシデントを1つのダッシュボードに集約しての可視性できる
• インシデント後のフォレンジック分析を簡素化できる

SIEMソリューションを使用する場合の短所には、以下のようなものがあります：

• SIEMソリューションはさまざまな社内システムと統合する必要があるため、セットアップが複雑
• ログデータの手動検索が困難
• 膨大な量のログデータの転送および保存に高額な費用がかかる
• コンテキストの不足により攻撃の軽減が複雑

SIEMソリューションとLog Explorerの比較

Cloudflare Log Explorerは、Cloudflareのダッシュボード場で直接利用できるオブザーバビリティとフォレンジックのツールです。Log Explorerは、ログをCloudflareネットワークに保存します。これにより、セキュリティチームは、サードパーティツールを設定することなく、フルコンテキストで必要なログを見つけることができます。

Log Explorerの詳細はこちら。

よくある質問

セキュリティ情報およびイベント管理（SIEM）ソリューションとは？

SIEMは、組織のネットワーク全体からデータを収集・調査し、潜在的な脅威を特定したり、組織が様々な規制基準に対応していることを確認するのに役立つセキュリティツールです。

SIEMの技術的な仕組みは？

SIEMは、まず、アプリケーション、サーバー、ユーザー資格情報など、さまざまな情報源からデータを収集します。次に、この情報を分析して、異常なパターンや侵害の痕跡を探し、不審な点を見つけると、ダッシュボードを通してセキュリティチームに警告します。

SIEMはコンプライアンスにどのように役立つのか？

SIEMは、ネットワークアクティビティの詳細な監査証跡を維持するため、これが「データ保護に関するコンプライアンス」維持に繋がります。また、さまざまな枠組みに準拠していることを証明するために必要なレポートの自動生成機能も備えています。

SIEMを採用する主な利点は？

すべてのセキュリティイベントを1つの画面に表示したり、リアルタイムアラート機能で脅威を早期に知ることができるようになります。また、インシデント発生後のフォレンジック分析も容易になります。

CloudflareはSIEMと同様の機能を持つツールを提供していますか？

Cloudflareは、Cloudflareダッシュボードに直接組み込まれたLog Explorerというツールを提供しています。セキュリティチームは、Cloudflareネットワーク上でフォレンジックを実行し、イベントをネイティブに監視できるようになり、サードパーティのSIEMソリューションにデータを構成して送信するという複雑さを増すことなく、調査に必要なコンテキストを提供できます。