「機械学習」「ビッグデータ」が変えるセキュリティ対策【第3回】

「役に立たないSIEM」という“壮大な勘違い”はなぜ起こるのか（2/3 ページ）

公開 2016年05月25日 09時01分

更新 2017年04月12日 20時01分

著者

矢崎誠二

[Splunk Services Japan]

印刷する連載新着通知を受け取る

2種類のSIEM

　SIEM製品／サービスは、大きく分けて2つに大別される。ニーズとのミスマッチが起きると、「SIEMはいらなかったのではないか」「導入は失敗だった」と認識されてしまいかねないので、選定には注意が必要になる。

フレームワーク系SIEM
ビルドアップ済みSIEM

フレームワーク系SIEM

　現在販売されている一般的なSIEMが、フレームワーク系SIEMだ。ログ収集や相関分析といった基本的な機能を提供し、ユーザー企業が利用したいアイデアや相関分析したいデータなどを設計段階で決めてから実装を始める。設計段階の決定事柄を正しく実装できるので、ユーザー企業の豊富なアイデアを実現するにはフレームワーク系SIEMが向いている。

　難点は実装までの期間の長さ、そして運用の難しさにある。コンサルティング企業やシステムインテグレーター（SIer）に実装を依頼する際、過去事例の参照やアイデア出し、相関分析ルールの作成、収集対象ログの追加など必要な作業が多く、完了までにある程度の期間を要する。運用フェーズになると、新たなログの追加や要件の変更、相関分析ルールの変更といった、さらに困難なチューニング作業が発生する。

ビルドアップ済みSIEM

　SIEMは登場してしばらくたっており、既にさまざまな企業で活用されている。相関分析ルールをはじめとするアイデアにも、ベストプラクティスといえるものが存在するはずだ。これらをあらかじめ製品に組み込んで提供するのが、ビルドアップ済みSIEMである。標準的な相関分析ルールに加え、各種法制度に準拠したレポート作成機能を組み込んでいる。ユーザー企業は相関分析ルールの作成やコンサルティングといった設計時の工数を極小化し、設計から運用までのスピードを迅速化できる。

　一方、ユーザー企業が相関分析ルールの作成やレポートについて明確な方針を持っている場合は、ビルドアップ済みSIEMはメニューが多過ぎたり、必要以上の機能があり過ぎたりして、無駄が多くなる可能性がある。逆に用途を絞ったビルドアップ済みSIEMの場合は、必要な機能がないと感じるユーザー企業もあるはずだ。

　両者に優劣があるのではなく、どのような用途を想定しているのか、どのような情報と情報を突合しようとしているのか、どのようなレポートを想定しているのかなどを、あらかじめじっくり吟味してから製品タイプを選定する必要がある。用途と手段とのミスマッチは時間の浪費につながるだけでなく、SIEMの正当な評価を妨げ、結果として目的の達成を難しくしてしまう。

　双方の良いとこ取りをするハイブリッド型での運用も可能である。それぞれのベストプラクティスを採用しつつ、過去の事例を参考にして独自ルールを作成することもできるだろう。

次ページへ推奨する「エンドポイント」のログ取得