SIEMシステムを優先度の高いエンタープライズリソースとして扱う

　セキュリティ業務の観点から見れば、SIEMシステムはインフラの中枢をなす存在であると同時に、管理された企業環境内の多数のシステムの1つであると認識することが必要だ。こうした理由から、SIEMについて定期的にチェックし、確実に運用され、フルに機能していることを確認しなければならない。SIEM導入計画の一環として、SIEMシステムを会社にとって重要なシステムと位置付け、それを運用するためのハードウェアとソフトウェアは高リスク分野として設定、管理する必要がある。

　SIEMシステムの耐性を考慮することも必要だ。将来的なSIEMシステム設計では、セキュリティイベント配信用の1つのパスが使えなくなった場合に別のパスでフォローする「アダプティブルーティング」や、代替の通信チャネルが利用できる中央ノードへの「帯域外周波信号方式」といった機能に重点が置かれるだろう。

SIEMシステムの現実的なセキュリティ対策

　SIEMを守るためのこうした次世代防御機能は、今後のSIEM製品に搭載される見通しだ。ただし、現在でもSIEMのセキュリティ対策としてできることは多数ある。一般的なセキュリティ検証のアプローチをSIEMシステムにも応用すれば、セキュリティイベント収集プロセスの効果的な実装が可能だ。

アクセス管理

　認証やアクセス管理の観点から、SIEMシステムへのアクセスは慎重に設定し、管理する必要がある。1つの方法として、社内のLDAPディレクトリサービスと統合すれば、SIEMが孤立したシステムではなく、管理された環境の一部として確実に位置付けられるだろう。システムへのアクセスは制限すべきであり、権限に基づくアクセスは特に念入りにコントロールしなければならない。これには特定の個人や管理者が単独で行動できないようにする「職務分離」型のアプローチなどが利用できる。

セキュリティ情報の管理

　セキュリティ情報の機密性と完全性も考慮する必要がある。具体的には、情報が収集場所と中央管理ノードとの間でどうやりとりされるかを念頭に置かなければならない。情報が保存されている場所（例えば中央ノードのデータベースなど）では機密性を考慮する必要がある。セキュリティイベントが使われる場所や方法によっては、プライバシーも考慮すべき問題になるかもしれない。

イベントの匿名化

　場合によっては、一般的な傾向を把握する目的で、特に社外や複数のクライアント間で発生するセキュリティイベントに匿名化が施されることもある。これをリバースして実際のイベントを復元するのは、組織のコントロールとポリシーに基づく限られた範囲のみとなる。

否認防止

　利用者が認証を受けているかどうかを問わず、特定の行動に関するイベントの証拠を否認できないようにするために、否認防止を検討すべきかもしれない。中央と発信元のシステムの両方において、SIEMイベントが保存される方法を検討し、十分な証拠が収集されることを保証しなければならない。

システム可用性

　最後に、システムの可用性はセキュリティ問題だと見なされており、これはSIEMシステムについても同様だ。アーキテクチャの観点からみると、SIEM製品にはいずれ自己修復機能が搭載される見通しである。それまでは企業のDR（災害復旧）の側面から、SIEMシステムが可用性の高いインフラで運用されていることが必要だ。また、他のミッションクリティカルなシステムの復旧と同様、優先的に秩序正しく監視されていることを確認する必要もある。障害や災害の原因によっては、まずセキュリティシステムを実行することが最も重要になるかもしれない。これによって想定外のパターンやアラート、イベント、インシデントが見つかるかどうかを確認し、調査して対策を取ることができる。

　慎重に導入すれば、SIEMシステムのセキュリティは強化できる。SIEM製品の耐性を高めるアーキテクチャの構築には時間がかかるだろうが、全体的な管理展望の中で可用性が高く重要なシステムとして扱うことは、すぐにでもできるはずだ。