SIEMとは、組織の”あらゆる層”に設置したセキュリティ機器・IT機器（ファイアウォール、IPS/IDS、各種サーバーなど）からログを一元的に収集し、それらの情報を相関的に分析することで、サイバー攻撃などの脅威を検知するセキュリティソリューションです。

SIEMを導入することで

などが可能になることから、近年その必要性が高まっています。

セキュリティ監視ソリューションとして優秀なSIEMですが、導入時の設計・コスト面のハードルが高いという課題もあるため、適切なリソースが確保できるか事前によく検討することが重要です。

本記事ではSIEMの機能やその仕組み、導入した際のメリット・デメリットなどを分かりやすくご説明します。

また「SIEMに興味はあるが、導入にハードルの高さを感じている」というユーザー様におすすめなのが、エムオーテックスの提供するネットワーク監視ソリューション「Darktrace（ダークトレース）」です。

SIEM同様、ネットワークのログを幅広く監視することで脅威を速やかに検知しますが、細やかなルール定義や詳細設定が不要、導入しやすいといったメリットがあります。

Darktraceで解決できる課題・魅力については、以下のページよりご覧ください。

SIEMとは

SIEM（Security Information and Event Management：セキュリティ情報イベント管理)とは、Gartner（ガートナー）社が2005年に提唱したセキュリティ概念・及びソリューションです。

その概要の通り「セキュリティ情報の収集とイベント管理」を組み合わせたセキュリティであり、組織内のあらゆる領域から集約したログやイベントデータを相関分析し、脅威を検知、管理者へアラートで通知します。

▼SIEMのイメージ

通常、アンチウイルスソフトやファイアウォール^※1 等、複数のセキュリティ機器を設置した場合、それぞれで脅威検知を管理する必要があります。しかし複数のレイヤーで断片的にインシデントを管理することは、対応遅れの発生や作業者の業務負担をあげてしまう、といった懸念がありました。

この点SIEMでは、アンチウイルス・ファイアウォール・IDS/IPS^※2 といった複数のIT機器から収集したログを、SIEM1台に集約し分析することが可能です。そのため作業者の管理工数を削減できる上、サイバー攻撃などのインシデントの兆候を、いち早く発見できるという強みがあります。

またSIEMのもつ「相関分析機能」により、単独のログでは発見できなかったパターンを捉え、潜在的な脅威を検知することも可能となります。

「SIEM」はセキュリティソリューションである、「SIM(セキュリティ情報管理)」 と「SEM (セキュリティイベント管理)」の単語を、かけあわせて生まれました。

SIM	複数の機器からログデータを収集し、一元管理する機能
SEM	設定したルールに基づき、収集したデータを分析・管理者へ通知する機能

※1：ファイアウォール：外部インターネットと社内ネットワークの境界に設置し、脅威になりえる通信をブロックするソフトウェア。
※2：IDS/IPS：不正アクセスを検知しアラートを出すシステム。IPSは不正アクセス検知に加え、通信を遮断する機能をもつ。

SIEMの理解に欠かせない「多層防御」とは？

SIEMのメリットを理解するためには、近年のセキュリティ体制構築で欠かせないといわれている「多層防御」の概念を知っておく必要があります。

多層防御とは、組織のシステムに複数のセキュリティ機器を導入し、それぞれのレイヤーで脅威を防御する仕組みです。サイバー攻撃の高度化が進む今、従来の単一レイヤーにおける防御では不十分であり、多層防御で備えることが不可欠と言われています。

多層防御では、例えばネットワークの入り口である一次防衛ラインにファイアウォールやVPN、二次防御ラインにIDS/IPS、三次防御ラインにアンチウイルスソフトを設置する等、複数のレイヤーでそれぞれ脅威をブロックします。

多層防御を採用することで、仮に一次防衛ラインで脅威を検知し損ねた場合も、次の防衛ラインにて対処することができ、強固なセキュリティ体制を構築できます。

しかしながら多層防御の実現には、各レイヤーにてセキュリティ機器を設置しログ管理をする必要があるため、工数が膨らみ運用が困難となるケースが少なくありません。この問題を解消するのが、今回のテーマとなる「SIEM」です。

SIEMでは各セキュリティ機器から収集したデータやログを一元管理し、脅威レベルを優先順位付けして、アラートとして通知する機能を備えています。つまり多層防御を運用するリソースを減らしながらも、現実的なセキュリティ対策として導入することが可能となるのです。

SIEMの国内需要は右肩上がりで増加

SIEM製品の国内需要は増加の一途をたどっています。

コンサルティング会社「ITR」の調査によると、SIEM運用分析サービスの市場は2018年より右肩上がりで増加。2024年には89億円まで市場が拡大すると予測しています。

▼SIEM運用分析サービス市場規模推移および予測（2018～2024年度予測）

出典：ITR Market View｜エンドポイント・セキュリティ対策型／情報漏洩対策型SOCサービス市場2020

利便性の高いSIEMですが、その複雑な操作性から、導入した多くの企業で「ログ収集にとどまっている」「相関分析を行えるスキルのある社員がいない」といった課題が発生しています。

SIEM運用分析サービスでは、SIEM提供元のベンダーが、販売に加え運用まであわせてサポートします。

SIEMの主な5つの機能

SIEMを構成する主な機能は、次の5つです。

ここでは、SIEMの主な5つの機能について説明します。

1. 各レイヤーからの「ログ収集・管理」

各レイヤーに設置したIT機器より、ログデータを収集します。データを1台に集約することで、従来できなかった相関的な分析を可能とします。

2. 収集したデータの「可視化」

従来、ログデータは各機器で保存・管理しており、可視化するフォーマットは機器ごとに異なりました。

SIEMでは、収集したログデータを自動で正規化することで、異なるフォーマットのデータを統一。SIEMのダッシュボードより、収集した全てのログデータを可視化することが可能です。ログデータを可視化することで、インシデントの早期発見や運用方針の決定に役立てることができます。

3. イベントの「相関付け・分析」

システム内のあらゆる機器から収集・統合されたログデータは、アカウント変更やサーバーアクセスといったユーザーイベントと関連付けられ、単一のログデータだけでは不可能な脅威分析を実現します。

例えば「サーバーへの複数回のログイン試行」といった不審なイベントが検知されると、関連機器のログデータと紐づけて分析し、迅速かつ正確に脅威を検知します。

4. 検知した脅威の「アラート通知」

あらゆるログやイベントを分析し、セキュリティインシデントや潜在的なマルウェアといった脅威が検知されると、SIEMはユーザーにアラートで通知します。

ユーザーは通知を受けとることで、ネットワークの遮断や脅威の駆除など、速やかなインシデント対応に取り組むことが可能となります。

5. インシデント管理のための「レポート生成」

検知した脅威に対する中長期的な対策を施すため、脅威の内容を基に自動でレポートを作成します。

レポートには検知時に利用したイベント情報やログデータが記載されており、今後のセキュリティ対策への方針決定にも役立てることが可能です。

SIEMの仕組みと分析の流れ

SIEMの主な仕組みについて、もう少し掘り下げて解説します。

▼SIEMのイメージ

先述の通り、SIEMでは組織内のあらゆるセキュリティ領域よりイベントデータ・ログを収集し、一元的に保存します。

収集するデータの一例としては、ファイアウォールを通過した/拒否された通信のログ、ファイルの編集ログ、サーバーへのアクセスログ、IDS/IPSが監視した通信ログなどがあります。

収集された膨大なログデータは一元管理できるように自動で正規化され、事前に設定されたルールやアルゴリズムに従って分析。異常なアクティビティや攻撃の兆候を検出します。特徴的なのは機器を横断した相関分析が可能な点であり、組織のシステムを包括的に相関分析することで、潜在的な脅威を発見しやすくなります。

また脅威が予見されるイベントやログが検知されたら、速やかに管理者にアラートにて通知されます。SIEMでは外部・内部ネットワークを問わず、あらゆるソース（サーバー、エンドポイント、システム、アプリケーションなど）から、イベントデータがSIEMに送信されます。

例えば「機密データへの不正な編集」や、「機密データが格納されたファイルサーバへ、複数回のログイン試行」といった不審なイベントを検知すれば、関連するログデータとともに速やかに管理者へ通知します。収集されたデータや検知されたイベントなどは長期保管されるので、中長期的な調査や再発防止策の検討に役立てることが可能です。

SIEMの導入メリット

ここまで説明した通り、SIEMの活用は組織のセキュリティレベルを向上するだけでなく、運用者の管理工数の削減・長期的なセキュリティ対策の実現にも効果をもたらします。

SIEM導入における具体的な3つのメリットについて説明します。

1．脅威の早期発見が可能

SIEMでは組織のあらゆるセキュリティ機器やネットワーク機器の膨大なログデータをリアルタイムで収集・分析することで、脅威の早期発見を実現できます。

SIEM製品によっては脅威や不審なイベントを検知しアラートを通知した後、自動でネットワークを遮断する機能を搭載したものもあります。

BlackBerry Japanによれば、日本は世界で4番目にサイバー攻撃の被害が多い国であることが報告されています。日々攻撃者から狙われる組織の情報資産を守り抜く上で、これらの脅威を早期に発見し対応できるSIEMは、非常に心強い存在と言えるでしょう。
出典：グローバル脅威インテリジェンスレポート2023年4月版-BlackBerry

2．内部不正に対策できる

SIEMはサイバー攻撃のような外部脅威だけでなく、「従業員による不正なデータ持ち出し」「情報の改ざんや削除」といった、組織の内部不正にも対策できます。

組織内のあらゆるネットワーク・セキュリティ機器のログデータを収集するため、個人が操作するデバイスやサーバーへのアクセス履歴などを相関分析することも可能であるためです。

昨今では大手企業にて、従業員の内部犯行による情報漏洩事件が多発しています。SIEMを活用することで、従業員の不審な操作やアクセスを素早く検知し、対応することが可能となります。

3．限られたリソースで多層防御を実現できる

「多層防御とは」の章で説明した通り、VPNや公開サーバーの脆弱性を突いて侵入してくる標準型攻撃やサプライチェーン攻撃には、多層防御による脅威の遮断が有効となります。しかしながら多層防御は膨大な管理工数がかかることから、実現が難しい企業も多いのが実態です。

SIEMでは、膨大なログデータを一台で可視化できる上、それらを相関的に分析し脅威アラートを通知します。管理者の「複数のセキュリティ機器からログを収集し、脅威を発見する」作業の手間を大幅に軽減することで、少ないリソースでの多層防御の実現をサポートします。

便利なSIEMだがデメリットも

ここまで説明した通り、セキュリティ監視ソリューションとして優秀なSIEMですが、導入・運用におけるデメリットも存在します。

まず組織にとって大きな課題となるのが、導入時の設計・コスト面のハードルの高さです。

SIEMは組織のシステムを包括的に管理・分析できる便利な機能ですが、これを導入・運用するためには「セキュリティ解析能力」「ログ管理能力」を持つ人材が必要となります。

また設計時には

などをあわせて検討する必要があり、セキュリティ知識のある人材がいなければ困難でしょう。あらゆるレイヤーにて脅威分析をおこなう特性上、アラート通知が増える可能性もあるため、管理者は現実的な運用ができるレベルまで、アラート通知の感度を調整する必要があります。

他にも複数の機器からログを収集するため、ネットワークのトラフィックを圧迫し通信速度に悪影響を及ぼす可能性も生じます。これを避けるためにはSIEMで使用するネットワークの通信量を見積り、対応しうるストレージ容量やハードウェアを準備することが必要となります。

SIEM検討ユーザーに知ってほしい、NDR「Darktrace（ダークトレース）」の魅力

そういったユーザー様に知っていただきたいのが、SIEMと同様にあらゆるセキュリティ領域を網羅的に監視し、異常を速やかに検知するセキュリティソリューション「Darktrace（ダークトレース）」です。

NDR「Darktrace」では、企業・組織のネットワークやクラウドのパケットを収集することで、ネットワーク全体の通信状況の可視化と異常な挙動の検知を行います。

クラウド、テレワーク、Eメール、IoTデバイスとあらゆるデジタル環境を監視し、一元的な分析システムで管理者のインシデント対応を支援します。

NDR「Darktrace」でカバーできる、SIEMのデメリット

先述したとおり、SIEMには以下のような懸念はありました。

その点、ダークトレースであれば

という具合に、SIEMにおける欠点をカバーすることが可能です。

NDR「Darktrace（ダークトレース）」の詳細については、以下の製品ページよりご覧ください。

まとめ

本記事では、脅威を早期発見して迅速に対応できるセキュリティソリューション、SIEMについて、その詳細な機能や導入時のメリット・デメリットについて解説しました。

サイバー攻撃の脅威が年々大きくなっている現代社会では、攻撃を受けた際に迅速かつ正確に対処することで、被害を最小限に抑えるための体制作りが必要不可欠です。

ぜひ自社のニーズやリソースと照らし合わせながら、SIEMをはじめ最適なセキュリティソリューションの導入を検討していきましょう。

本記事で紹介したNDR「Darktrace」の詳細、解決できる課題については、以下のページよりご覧ください。