「機械学習」「ビッグデータ」が変えるセキュリティ対策【第3回】

「役に立たないSIEM」という“壮大な勘違い”はなぜ起こるのか（3/3 ページ）

公開 2016年05月25日 09時01分

更新 2017年04月12日 20時01分

著者

矢崎誠二

[Splunk Services Japan]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

エンドポイントのログも重要に

　「わが社で不正アクセスが発生したらどうするのか」「攻撃を受けたらどう分析するのか」といった問いが出るような企業は、そもそもの現状認識に問題がある。「もし攻撃を受けていたらどうするか」ではなく、「既に受けている攻撃に、どう対処するか」を考えることが、今日のサイバーセキュリティの現実だ。仮定ではなく、現在進行形の課題なのである。

　FireEyeの調査「M-Trends: セキュリティ侵害の最新動向2014」によると、67％の組織体は自ら問題を見つけているのではなく、第三者によって問題を指摘されることで事実が表面化しているという。既に問題は起きているのに、それに気付くことなく安心しているわけにはいかない。“パンドラの箱”のように触れたくない内容があるかもしれないが、正面から向き合わなければならないのがログなのだ。

　強く推奨するのが、クライアントPCやサーバといったエンドポイントのログの収集である。今日のセキュリティ問題の発生場所は、その大半がエンドポイントだからだ。もちろんファイアウォールやプロキシサーバでも、エンドポイントから流れる通信ログを採取することでフォレンジックの一端を担うことに間違いはない。だがマルウェアの生成に伴い、どのようなプロセスがどのファイルにアクセスしたか、どのプロセスが通信していたかなどは、エンドポイントのログでしか判断できない。

　幸いなことに、Microsoftは「Sysmon」という無償のエンドポイント監視ツールを提供している。マルウェアが隠蔽（いんぺい）した動作ログをはじめ、通常のイベントログでは採取できないようなログも収集できる。これはトラブルシューティングの定番ツール群「Windows Sysinternals」の1ツールであり、なじみやすいユーザーも多いのではなかろうか。

SIEMの正当な社内評価を勝ち取るには

　SIEMの価値を最大限に引き出すには、得られた情報をどう可視化し、共有するかが重要になる。特に組織の上位層に示すレポートにどのような内容を盛り込むかは、上位層がSIEMに下す評価を左右するといっても過言ではない。

　ある企業は、約60種類にわたるデータソースからのログをSIEMで収集・管理している。既にSIEM運用に5年以上を費やしており、導入当初は基盤ログの統合管理を進め、新たなサービスを増設するたびに、関連するマシンデータをSIEMで管理するようにしてきた。

　ログの統合管理を進める中で同社は、ミドルウェア単位、セキュリティ製品単位、攻撃単位、OS単位、アプリケーション単位とそれぞれの観点から分析できるダッシュボードを作成。「技術的な視野から、このシステムとこのシステムのログを突合する」といった具合に、適時必要なレポートを出力している。

　同社が作成しているレポートの中には「ファイアウォールログ、不正アクセスログから得られる攻撃と攻撃の連鎖性」といったタイトルのレポートがある。確かに攻撃に関する情報は大事であり、こうしたレポートを出力すること自体は間違っていない。だが組織の上位層が知りたい情報は、攻撃そのものの情報ではない。彼らは攻撃の結果として、どの情報がどのように扱われたのかが知りたいのだ。

　上位層のニーズに沿った情報を提供するには、ログや攻撃の種類は補足事項とし、「機密データ」「ユーザーID（社員情報）」といった重要情報がどのように悪用されたかに焦点を当ててレポートを作成する必要がある。実際、人事情報といった重要情報にまでログの収集範囲を拡大し、異なるログの間を埋める重み付けデータを採用するなどで、あるべき相関分析ルールの作成を実現した事例もある。

　SIEMを正しく理解し、正当に評価することが、SIEMのメリットを享受する近道となる。

執筆者紹介

矢崎誠二（やざき・せいじ）　Splunk Services Japan

1999年からインターネットセキュリティに特化した事業、サービスに専任で携わる。セキュリティ黎明期から、脆弱性と不正侵入検知の分野を中心としたセキュリティコンサルティングサービス事業に参画する。セキュリティ監査およびペネトレーションテストを日本のさまざまな企業に提供するとともに、IDアクセス管理、アプリケーションセキュリティ、SIEMを含めセキュリティフレームワーク全体のソフトウェアに関する技術支援を遂行する。近年はビッグデータにおけるセキュリティ分析に従事する。

印刷する

「機械学習」「ビッグデータ」が変えるセキュリティ対策

「ビッグデータ」「機械学習」といった技術の活用で、セキュリティ対策の在り方はどう変わるのか。技術や製品分野の変遷を振り返りながら、その実像を探る。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

矢崎誠二

「役に立たないSIEM」という“壮大な勘違い”はなぜ起こるのか（3/3 ページ）

エンドポイントのログも重要に

SIEMの正当な社内評価を勝ち取るには

執筆者紹介

矢崎誠二（やざき・せいじ）　Splunk Services Japan

「機械学習」「ビッグデータ」が変えるセキュリティ対策

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「役に立たないSIEM」という“壮大な勘違い”はなぜ起こるのか（3/3 ページ）

エンドポイントのログも重要に

SIEMの正当な社内評価を勝ち取るには

執筆者紹介

矢崎誠二（やざき・せいじ） Splunk Services Japan

「機械学習」「ビッグデータ」が変えるセキュリティ対策

この記事の著者

関連記事

「ビッグデータ」を制する者がセキュリティを制する時代へ

データ駆動型セキュリティの鍵、「SIEM」を見極める3つのポイント

セキュリティの新常識「SIEM」の食わず嫌いはもったいない

犯罪の兆候をあぶり出す「SIEM」を攻撃者から守る5つの対策

標的型攻撃の被害を防ぐ“特効薬”は「ログ管理」

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

矢崎誠二（やざき・せいじ）　Splunk Services Japan