「機械学習」「ビッグデータ」が変えるセキュリティ対策【第3回】

「役に立たないSIEM」という“壮大な勘違い”はなぜ起こるのか（1/3 ページ）

歴史の浅さや宣伝の曖昧さから、実力を正しく評価されない傾向がある「SIEM」。過大評価や過小評価に陥らないために、SIEMの現状をあらためて把握しよう。

公開 2016年05月25日 09時01分

更新 2017年04月12日 20時01分

著者

矢崎誠二

[Splunk Services Japan]

印刷する連載新着通知を受け取る

　大量のデータを投入することで脅威を見つけ出す「SIEM」。その効果を正しく理解できている企業は、実はそれほど多くない。その責任の一端はベンダー側にもある。実際、耳に聞こえのいい営業トークが世間を賑わしているのも事実ではなかろうか。

　SIEMに関して次のような説明を受けた企業もあるだろう。「今まで見つけることができなかった脅威が見つかる」「たくさんのデータを投入すれば自動的に相関分析し、あらゆるサイバー攻撃を検出する」「どこからどこへ不正な通信が流され、マルウェアがどのデータに接触し、データがどれくらい搾取されたかをレポートしてくれる」――。

　これらは確かに表面的には事実ではあるが、思わぬ誤解を招く可能性は否定できない。

併せて読みたいお勧め記事

「機械学習」「ビッグデータ」が変えるセキュリティ対策

「SIEM」「ログ管理」の可能性

SIEMにまつわる「期待」と「現実」

　人が考える脅威と、SIEMの相関分析エンジンが見つけ出す脅威は、常にイコールというわけではない。SIEMの導入を検討しているユーザー企業は、SIEMに対して以下のような疑問を抱くことがある。

マルウェアは本当に見つかるのか
標的型攻撃を発見できるのか
データの転送を防いでくれるのか

　これらの問いに対する答えはイエスでもあり、ノーでもある。

　SIEMはセキュリティ製品をはじめとする複数システムのログを集約して相関分析し、マルウェアを検出する。ただし全てのマルウェアを検知できるわけではない。少なくともネットワーク機器やエンドポイントのログに何の兆候もない、つまり低危険度に該当するイベントさえも存在しない場合は厄介な話になる。閉ざされたネットワーク内での攻撃で、ログの中にグローバルIPが存在しない場合も同様だ。

　これらのログに何の兆候もない場合でも、例えばWebブラウザの種類を示すユーザーエージェント（UA）やDNS（ドメインネームシステム）のログを分析すれば、SIEMで攻撃が見つかるケースも多数報告されている。だが攻撃者が正規の通信に割り込んで通信内容を盗聴／改ざんする「中間者攻撃」（MITM／MITB攻撃）など、Webブラウザを経由しない攻撃も少なくない。

SIEMを生かす分析項目

　UAの分析は、長期的に監視していればいるほど効果を発揮する。端末のIPアドレスが同じなのにもかかわらずUAがいつもと違っていたり、普段とは異なるマイナーなWebブラウザを使っていたり、といった異常を検知しやすくなるからだ。同じHTTPの80番ポートへのアクセスであっても、UAがいつもと違う場合は振る舞いも異なり、疑わしい通信の可能性が高くなる。

　DNSログに関してはドメイン名の分析が有効だ。ランダムに生成されたようなドメイン名をDNSで分析し、疑わしいDNSとの通信を特定できる場合もある。またDNSは近年、情報を不正に取得するための“バックドア”としても悪用されるようになり、監視対象として重要なシステムの1つだといえる。

　データ転送に関してはトラフィックの収集が求められる。ファイアウォールのログ取得機能の他、ネットワークに流れるデータをモニターできるようにする「NetFlow」のような技術の活用も有効である。

　ユーザー企業は、SIEMを導入しさえすればマルウェアや標的型攻撃を見つけられると考えがちだ。だがSIEMは「この箱を入れたら終わり、全て大丈夫だ」といえる製品ではなく、ログの内容から分析方法まで含めた設計が必要になる。とはいえ現実的には、それほど複雑な手順を経てSIEM実装に至るケースは少ない。SIEMによる意思決定のためには、「複雑なものをシンプルに」する考え方が重要になる。

次ページへ SIEMは大きく2種類