リアルタイム脅威分析に生かせるSIEMの条件とは

“役に立たないSIEM”をつかまされないための「3つの選定ポイント」

セキュリティ情報を収集、分析する「SIEM」製品をリアルタイムの脅威分析に十分に生かすには、適切な製品選びが不可欠だ。注視すべき3つの選定ポイントを伝授する。

公開 2016年10月04日 12時00分

更新 2017年04月12日 19時59分

著者

Karen Scarfone

[TechTarget]

印刷する

SIEM製品で脅威をリアルタイムにあぶり出すために必要な条件とは

　定期的なセキュリティレポートの作成において、セキュリティ情報イベント管理（SIEM）技術を活用する企業は少なくない。こうしたセキュリティレポートはコンプライアンス（法令順守）を目的に、侵害を検出して調査した後に作成される。ほとんどのSIEM製品は、リアルタイム分析を実行する機能を備える。

　大半のSIEM製品は導入後、最新のセキュリティイベントログデータを受信し、最近収集した全てのデータを継続的に監視および分析し、追加のアクションが必要なイベントを特定できるようになる。SIEM製品の機能を使えば、特定のネットワーク接続をより詳細に監視したり、セキュリティ制御センターの職員に対応を促す警告を生成したり、進行中の攻撃を食い止めるために他企業のセキュリティ制御を誘導したりすることも可能だ。

　企業はSIEM製品のリアルタイム分析機能を利用して、迅速に攻撃を検出して食い止めることが可能だ。これは深刻なデータ侵害といった被害を軽減するのに役立つ。リアルタイム分析に使用する目的でSIEM製品を評価する際には、以下の3つの項目を参考にすることをお勧めする。

併せて読みたいお薦め記事

「機械学習」「ビッグデータ」が変えるセキュリティ対策

「SIEM」の可能性と課題

選定ポイント1：さまざまな分析手法

　状況によって、必要な分析手法やその組み合わせは異なる。例えば署名ベースの手法を使用する攻撃検出は、複雑な処理ではないため他の手段よりも高速だが、攻撃者が回避するのも簡単で、役に立たない場合もある。

　異常なイベントやエンドユーザーの振る舞いパターンの変化、統計上の異常など、予期しない活動を探知する手法を実装しているSIEM製品を選定するのが望ましい。

選定ポイント2：イベント相関分析機能

　SIEM製品を使用する最大のメリットの1つは、複数のログから関係のある部分を特定してまとめることで、イベントの全体像を把握しやすくする点だ。

　例えば不正侵入検知システム（IDS）によってサーバへの攻撃を検知した場合でも、攻撃が成功したかどうか、成功した場合は何が起こったのかを判別するには、サーバのOSやアプリケーションのログへアクセスしなければならない。

　SIEM製品は、これら全てのログを自動でまとめて分析できる。起こった事柄に対して、より詳細な具体像を把握することが可能だ。関連する一連のイベント全体を特定できるので、アナリストが攻撃者の行動を追跡しやすくなる。

選定ポイント3：セキュリティインテリジェンスのサポートと使用

　セキュリティインテリジェンス（脅威情報）のフィードは、他社への攻撃に使用されたIPアドレスなど、直近で検出された脅威についての情報を提供する。SIEM製品がセキュリティインテリジェンスのフィード情報を使用すれば、攻撃をより迅速かつ正確に検出したり、対応の優先順位を付けるために一層強固な基準を設定したりできるようになる。その結果、SIEM製品のリアルタイム分析機能は大幅に向上する。

　SIEM製品の中には、ベンダーが提供するセキュリティインテリジェンスのフィードを使用するものもあれば、サードパーティーのフィードが使用できるものもある。フィード自体の情報の品質が重要なのは間違いない。その品質には、更新頻度、範囲、精度が含まれる。

　さらにSIEM製品がセキュリティインテリジェンスをどのように使用するかを考慮することも重要になる。ただし、これはリアルタイム分析に関して考えられる多くの要素の1つにすぎない。バランスを欠いたアプローチでは誤検出や検出漏れが大きく増加し、リアルタイム分析の効果が薄れる恐れがある。

印刷する