SIEMは2000年後半ごろに誕生した製品だ。当時、SIEM製品は実装、構成、管理が非常に難しいことで知られていた。そのため、多くの企業ではSIEM導入プロジェクトが完了する前に、プロジェクトが頓挫していた。

　近年のSIEM製品は改良されている。だがロッチフォード氏のクライアントのSIEM製品導入は、その20～30％が失敗に終わっていると同氏は見積もる。事前に設定した目標を達成できないことはおろか、多くの企業はSIEM製品を使用することにすら耐えられないという。

　失敗に終わった導入の多くは、企業がSIEM製品の調査と自社環境の分析の双方をしていれば防げたかもしれないと、ロッチフォード氏は説明する。企業がSIEM製品の運用管理に必要なリソースを低く見積もっていることが、SIEM製品導入に失敗する主な理由だと同氏は言う。

　SIEM製品を有効にするとすぐに、セキュリティインシデントとして対処しなければならない何千件ものイベントが発生する。平均的な企業が、リアルタイムの監視プログラムの要としてSIEM製品を使用する場合には、最低でも8人のSIEM専任スタッフが必要になる。自動化を駆使すれば、多少人数を減らしても対処可能だろう。だがこのスタッフの数は、アカウントの管理、従業員の退職や休暇を考慮したものではない。

　「多くの企業は、コンポーネントを監視するためだけに、これだけの人数のスタッフを用意することはできない。必要なスタッフ数の多さだけで、中小企業にとってSIEMは手の届かない製品となっている。SIEM製品を購入しても、必要なリソースがないため使用できないのだ」（ロッチフォード氏）

　SIEM製品の管理に必要な予算とスタッフを確保できたとしても、計画性の欠如による問題は依然として生じる。多くの企業は、あらゆるログデータをSIEM製品へフィードしていると、ロッチフォード氏は指摘する。だがフォールスポジティブ（正常なはずのイベントを危険だと誤検知すること）の警告が大量に押し寄せることに対する準備ができている企業は少ない。その結果、“狼少年”のような状況が発生している。フォールスポジティブが多すぎて、6～12カ月後には、ほとんどの従業員が警告を無視するようになる。

　企業はSIEM製品に重要なデータソースをフィードすることに失敗していると、ロッチフォード氏は指摘する。例えば、認証エラーを監視する場合、米Microsoftの「Active Directory」とデータ連係をしなければ、SIEM製品は適切な警告を生成できない。

　現実問題として、企業が監視できるSIEM製品の出力リポート量は限られている。そのため、事前に脅威検出の優先順位を理解することは不可欠だとロッチフォード氏は言う。SIEM製品の一般的な用途は、悪意のあるアクティビティのネットワーク発信接続の監視だ。例えば、マルウェア感染に利用されるコマンド＆コントロールサーバ（攻撃用サーバ）への接続が監視対象となる。

SIEM製品導入のベストプラクティス

　SIEM製品導入に関連する多くの問題を回避する手段として、ロッチフォード氏は、購入前にSIEMの計画を立てるための形式化されたアプローチの採用を推奨する。これにはプロジェクトチームの編成が要件となる。チームには、セキュリティチーム以外の関係者も含める必要がある。

　監視する目的と、最初に想定する監視範囲の定義も必要だ。各企業が適切なベンダーを選定するには、監視対象をきちんと理解しなければならない。例えば、ファイアウォールなどの境界セキュリティ製品で保護するミッションクリティカルなデータベースサーバを監視したいのかどうか、などを見極める必要がある。

　SIEM製品購入から6カ月以内に、5～7つの使用事例に的を絞ってSIEM製品を実装すべきだとロッチフォード氏は話す。この実装プロセスには、範囲の定義、必要な結果を生成するためにSIEM製品にフィードすべきデータソースの特定、リポートのダッシュボード構成といった作業を含める必要がある。SIEM製品の範囲は拡張可能だが、全ての作業を一度に完了させることはできない。

　「取りあえずSIEM製品を設定し、無数のデータソースのデータをフィードすると、専門家でも調整と最適化が困難になる」とロッチフォード氏は説明する。

　脅威は進化し続ける。そのため、適切に計画してSIEM製品を導入した場合でも、継続的にメンテナンスが必要になる。セキュリティチームは、SIEM製品にフィードするデータソースを継続的に再評価しなければならない。

　SIEM製品の導入には、多くの落とし穴が潜んでいる。十分な資金のあるセキュリティチームでも状況は同じだ。そのため、Gartnerでは、SIEM製品の管理にサードパーティーのサービスプロバイダーを利用している。

　企業がSIEM製品を管理するには8人以上のスタッフが必要になる。だがサービスプロバイダーは、25～30人のセキュリティ専門家で構成されたチームで150～200社のSIEM製品導入を管理できるとロッチフォード氏は言う。サービスプロバイダーは、企業に不足している脅威に関する専門サービスも提供できる可能性がある。

　ロッチフォード氏はこう説明する。「SIEM製品と無縁な企業は多い。SIEM製品は他の全てのものがよくまとまっていることが条件となるテクノロジーだ。セグメント化されたネットワーク、ファイアウォール、ウイルス対策ソフトウェアが整備されていることが前提となる。つまり、セキュリティ対策が十分に成熟していることが条件として課される。また、SIEM製品を運用するのに適切な予算も確保しなければならない」