大企業は大量のデータを生み出す。電子メールや業務文書、ソーシャルメディアのやりとり、オーディオ、ネットワークトラフィック、クリックストリーム、ファイルのアクセスログ、レジストリの更新、さらには開始・終了プロセスの記録などだ。プロセッサやメモリの使用状況といったシステム情報もまた、システム状態の不審な変化を特定するのに役に立つ。大量のデータが処理される中で、特に不正検出など瞬時の判断が必要となるプロセスを考えれば、次世代のSIEM製品の評価で重視されるのは「拡張性」「パワフルな分析ツール」、そして「混成イベントソースへの対応」だ。もう1つのカギは、こうしたデータを可視化および精査し、同時にビジネスの状況に即して直ちに実施可能なインテリジェンスを提供してくれるツールだ。これで、大きなリスクにつながる可能性のある脅威を素早く発見し、優先的に対応することができる。

　こうしたデータの全てを十分に活用し、そこに隠された痕跡を見つけ、検出率を高めるために、SIEMには“適応型インテリジェンス”が求められる。言い換えれば「何が異常であるかを知るために、何が正常であるかを学習する」必要がある。異常なイベントは高度な脅威や不正の明確な兆候になるからだ。

　また、たとえ一定の期間を超えて攻撃が繰り返されたとしても、攻撃パターンを特定できるようになることも必要だ。SIEMルールの定義は反復的なプロセスだが、ルールに従った場合とルールを無視した場合の相関を同時に利用できる製品であれば、初期設定に要する時間を短縮してログインや認証の監視プロセスを自動化し、さらに誤検出の件数を減らすことができる。自己学習アルゴリズムはまだ初期段階にあるが、ファジー理論を用いたリアルタイムのアイデンティティー相関分析、ビヘイビア分析、クラスタリングアルゴリズム、そしてポリシールールは、定義ファイルを必要としない検出を実現できるレベルに近づきつつある。これで、不正なアクセスを防止し、ユーザー、アカウント、リソースの各レベルで異常な動きを検出できるようになる。

クラウドセキュリティにも活用できる

　外部のグローバルなセキュリティコミュニティーから脅威についてのインテリジェンス情報を取り込めば、何が正常か、何が受け入れ可能かをより明確にすることができる。分析が1つの組織で作られるデータだけに限定されないからだ。柔軟性が高く、導入が容易で、既存のセキュリティ監視製品と相性の良い機能や情報を探してみよう。また、構造化、非構造化の両方のデータをリアルタイム分析することも欠かせない。

　クラウドにデータを置いている企業は、オンプレミスのSIEMにデータを提供するサービスプロバイダーを探すべきだ。データ形式は多種多様かもしれないが、プロバイダーのデータをSIEMで扱えるようになれば、クラウドとオンプレミスの両方の環境を同じ視点で見ることができる。

　例えば、PaaS（Platform as a Service）環境に監視エージェントをインストールし、トラフィックとログを社内サーバにプッシュして処理する方法がある。また、幾つかのSIEMツールで特定のSaaS（Software as a Service）のAPIを用いて、パブリッククラウドサービスからログを収集すれば、複数のプラットフォームにまたがるイベントを相互に関連付け、ダッシュボードビューを生成し、社内とクラウドの両方のアプリケーションに関する監査リポートを作成できる。ただし、ネットワークの帯域幅やレイテンシ、データ転送コストによって、不正な動きをタイムリーに防止できない可能性があるので注意が必要だ。

企業の情報セキュリティを大きく改善するSIEM

　収集、分析した情報のダッシュボードビューは、SIEMの中でも重要な機能である。効果的な対応策が示されたアクションリポートを見れば、管理者がどこに最も注意を払わなければならないかを確認できるからだ。また、情報を多様なレベルで取り出せることの重要性を見落としてはいけない。さまざまな利害関係者が求めるのは、それぞれの利益に関係するセキュリティリスクの情報であり、その関連性をそれぞれの関係者に十分理解できる形で提示することが重要だ。そうすることで、議論が容易になり、最適なアクションを素早く取れるようになる。

　意思決定を迅速化するには、SIEMにより多くの情報を送り、その情報を処理してインシデントをより早く特定できるようになるだけでは不十分だ。セキュリティチームも、迅速に反応し、行動できる体制でなければならない。インシデントの緊急対応チームは、SIEMが生成するさまざまな種類の警告やアラートに精通し、チームが取るべき対応策の実行手順を十分訓練しておく必要がある。いざというとき、責任を持つスタッフが適切な行動を取れるようにするだけでなく、一連の処理をスムーズに進行させるためにも重要だ。

　もちろんセキュリティチームには、十分に調整されたSIEMが生成するアラートや警告に即応できるリソースが必要だ。データ資産のインベントリの作成と分類に十分な時間をかけておけば、SIEMは脅威の優先順位をより正確に設定できるようになる。SIEMに資産の管理・プロファイリングツールが含まれていることがあるが、こうしたツールを利用することで、ネットワーク資産の分類に要する時間を短縮できるだけでなく、設定の変更やハード面、ソフト面の変更も迅速に行える。

　優れたセキュリティは、継続的なプロセスである。十分なリソースを割り当てられて構成されたSIEMは、セキュリティの状態、脆弱性、脅威についての認識を常に高め、基本ミッションとビジネス機能の実行を担う情報システムを管理、防御するセキュリティチームをサポートする。このチームに十分なリソースと周到にテストされた手順が用意されていれば、企業の情報セキュリティは大きく改善されるだろう。それこそがいつの時代においても、時間と労力をかける価値のある目標なのである。