SIEMとは（Security Information and Event Management）
SIEM（Security Information and Event Management）とは、エンドポイント、ネットワーク、クラウド、アイデンティティなどインフラ全体からセキュリティログとイベントを収集・正規化・相関分析し、ルールと分析によって不審な活動を検知するプラットフォームです。SOC（セキュリティオペレーションセンター）の技術的な中核であり、一元的な可視性をもたらす一方で、大量のアラートを生み出します。それを解釈するチームと、ノイズを減らす質の高い脅威インテリジェンスが必要です。
SOCの技術的な中核
SIEMは、ファイアウォール、エンドポイント、サーバー、クラウド、アイデンティティなど、企業全体のログが集まる場所です。ログを正規化して相関分析し、攻撃の兆候となるパターンを探します。SIEMがなければシグナルは分断されたままになり、適切に運用されていないSIEMではシグナルがノイズに埋もれてしまいます。
可視性は検知ではない
ログを集めることは容易ですが、それを有効な検知に変えることは容易ではありません。MITRE ATT&CKに対応付けたルール、継続的なチューニング、そして文脈を与える脅威インテリジェンスが必要です。この取り組みこそが、単に「稼働しているだけ」のSIEMと、組織を守るSIEMとの違いを生みます。
SIEMだけでは不十分
SIEMが発するアラートは、24時間365日、誰かが解釈しなければなりません。そのためSIEMはSOCの中で機能します。相関分析の結果を判断へとつなげる人とプロセスです。サービスについてはFortgaleのマネージドSOCをご覧ください。
SIEM・SOAR・XDRの比較
| SIEM | SOAR | XDR | |
|---|---|---|---|
| 役割 | ログの収集と相関分析 | 対応のオーケストレーションと自動化 | 複数領域をまたぐ検知の相関分析 |
| 重点 | 可視性と検知 | プレイブックの自動化 | 検知と対応の統合 |
| データ | あらゆるログ | アクションとワークフロー | エージェントベースのテレメトリ |
Operation Storming Tideでは、シグナルを相関分析することで多段階の攻撃チェーンを再構成し、封じ込めることができました。一見無関係なイベントをつなぐ糸を見つけることこそ、SIEMの役割です。
分析を読む（英語） →よくある質問
SIEMとSOCは同じものですか？
いいえ。SIEMは技術プラットフォームであり、SOCはそれを使ってインシデントを検知し対応する体制（人とプロセス）です。詳しくはSOCとはをご覧ください。
SIEMとXDRの違いは何ですか？
SIEMはあらゆるログを取り込んで相関分析し、最大限の可視性をもたらします。XDRはエンドポイント、アイデンティティ、クラウドにまたがるエージェントベースのテレメトリを相関分析し、統合された領域でより深い検知を行います。両者は併用されることが多くあります。
SOARとは何ですか？
SOAR（Security Orchestration, Automation and Response）は、プレイブックによって対応のワークフローを自動化し、手作業を減らす仕組みです。SIEMの後段で機能し、封じ込めを迅速にします。
FortgaleはどのSIEMを運用していますか？
Fortgaleは、Splunk Enterprise Security、Microsoft Sentinel、Elastic Security、Sumo Logic Cloud SIEMなどの主要なSIEM上で、MDRとマネージドSOCを提供しています。特定の技術に依存せず、お客様の既存の環境で運用します。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：FortgaleのマネージドSOC
関連リソース： SOCとは · MDR・EDR・XDRの違い
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。