あらゆるソースからログデータを取得し、分析できる性能がSIEM製品には求められる。ソースとして考えられるのは企業が一般的に利用しているセキュリティ管理のためのツール、例えばファイアウォール、仮想プライベートネットワーク（VPN）、侵入防止システム（IPS）、メールセキュリティゲートウェイ、Webセキュリティゲートウェイ、マルウェア対策ツールなどだ。

　これらが生成するログデータを収集し、さらに分析する機能を備えていることがSIEM製品に期待される。分析ができなければセキュリティ管理において十分な役割を果たしているとはいえない。

　OSが生成するログデータについてもSIEM製品は標準機能として収集、分析できる必要がある。ただし、ログデータを生成する機能を備えていないことが珍しくないモバイルOSは例外とする。主要なデータベース製品や、機密データを扱うアプリケーションのログデータの収集、分析についてもSIEM製品の標準機能としてあるとよい。

　以上で挙げた項目以外のソフトウェアについてもSIEM製品がサポートしているとよいが、必須機能ではない。

　SIEM製品が標準機能としてサポートしていないソフトウェアやアプリケーションのログを扱う場合は、開発を伴うカスタマイズによって必要な機能を実装するか、そのソースのデータは対象外にしてSIEM製品を利用するかのどちらかを判断することになる。

2. 既存のログ機能を補うことは可能か

　企業が利用しているアプリケーションやソフトウェアの中には、充実したログ機能を備えているとはいえないものが存在する。SIEM製品の中には、そうしたソフトウェアやアプリケーションの不足機能を補う機能を備えた製品もある。

　標準的なSIEM製品が備える機能はログデータの収集、分析、レポート作成に利用するためのものだ。しかしこの枠を超えて、十分なログ機能が備わっていないソフトウェアやアプリケーションのログデータを生成する拡張機能を備えたSIEM製品もある。

3. 脅威インテリジェンスを効果的に活用できるか

　大抵のSIEM製品は脅威インテリジェンスのフィードを取り込むことができる。これらのフィードには世界中で観測された脅威に関する最新情報が格納されている。これらの情報には、攻撃を仕掛けるために使用されているホスト名や、その攻撃の特徴などが含まれる。こうしたフィードを使用する価値は次のような点にある。まず、SIEM製品がより正確に攻撃を特定できるようになる。そして阻止する必要がある攻撃や、攻撃を防ぐための最適な手法についてSIEM製品が幅広い情報を基に的確に判断を下せるようになる。

　脅威インテリジェンスの品質はベンダーによって異なる。脅威インテリジェンスを評価する際は、脅威インテリジェンスの更新頻度、脅威インテリジェンスのベンダーが各脅威の悪質性への評価をどのように示しているかなどを考慮に入れるべきだ。

4. どのようなフォレンジック機能を提供できるか

　フォレンジック（異常の原因特定につながる情報を見つけ出す）はSIEM製品の機能としてはまだ進化途上にある。従来のSIEM製品が採取するのはログソース側から提供されるデータのみだった。

　しかし最近はさまざまなフォレンジック機能が追加され、疑わしいアクティビティーについて独自にデータ収集する機能を備えたSIEM製品も出ている。例えば、悪意のあるアクティビティーに関連付けられたネットワーク接続の全パケットを採取する機能がある。そうしたSIEM製品が採取したパケットが暗号化されていなければ、それをアナリストが分析し、そのパケットに関する深い洞察が得られる。

　フォレンジック機能では特定のホストに関するアクティビティーを監視することも可能だ。特定のホストのアクティビティーを常時監視しておくこともできるし、怪しいアクティビティーの検知を起点にしてログ監視を開始することもできる。

5. ログ分析の正確性を確保するために必要な機能

　SIEM製品がインシデントの検出や処理に使用される場合、SIEM製品のユーザー自身がログデータを確認し、分析できる機能が必要だ。高性能なSIEM製品でもイベントログを誤って検出、解釈してしまう場合があるためだ。SIEM製品自体を監視しておくアラート機能もあるとよい。SIEM製品が誤ってイベントログを検出した場合は、ユーザーが手作業で結果を検証しなければならない。

　セキュリティ分析の業務に携わるユーザーは、調査を円滑に進めるためのインタフェースを必要としている。検索機能やデータを視覚化する機能などがそれに当たる。

6. 自動応答機能がタイムリーかつ安全で、効果的か

　自動応答機能もSIEM製品の評価基準になる。この自動応答機能については、SIEM製品を利用する組織特有の要件に従って、その必要性を判断しなければならない。自動応答機能はネットワークのセキュリティ制御など、企業個別のセキュリティ管理に左右される要素が少なくない。

　SIEM製品の中には、ファイアウォールなどネットワークのセキュリティを制御している機能に対して指示を送信し、悪意のある接続を終了させることができないものもある。

　そのため自社で利用しているセキュリティを制御する機能に、SIEM製品からの要求を伝達できるかどうかを確認する必要がある。また次の点を考慮に入れることも重要だ。

• SIEM製品が攻撃を検出し、その攻撃を阻止するよう指示を出すまでに要する時間
• SIEM製品とその他のセキュリティ制御の機能間における通信の保護方法
• SIEM製品に期待できる攻撃を阻止する性能

1. 自社のコンプライアンス戦略を支えるレポート機能

　ほぼ全てのSIEM製品が詳細にカスタマイズできるレポート機能を備えており、これは企業のコンプライアンス戦略を推進することに役立つ。製品選定の際は、自社のコンプライアンス戦略に必要な要素を洗い出し、できる限り幅広くそれらの要素に関するレポートを生成することができるSIEM製品を選ぶといいだろう。

　SIEM製品の標準機能として生成できないレポートがある場合は、カスタマイズで利用できるようになるかどうかを確かめておく必要がある。

下調べと評価

　SIEM製品の利用には、企業内で利用しているあらゆるソフトウェアやアプリケーションとの連携が必要になる。そのプロセスは複雑であるため、自社にとってどのようなSIEM製品が最適なのか、評価基準を設定しておくことが肝心だ。全ての企業の環境に完全に適合するSIEM製品は存在しない。各企業におけるITシステムの環境やセキュリティ保護の要件はそれぞれ独自のものだ。

　SIEM製品を必要とする理由さえ、企業ごとに大きく異なるだろう。コンプライアンスに関するレポートの作成、インシデントの検出と対処など、活用方法はさまざまだ。だからこそSIEM製品を購入する前に、独自の評価項目を設定することが重要だ。

　本稿では、企業が取り入れるべきSIEM製品の評価基準を紹介した。ただし、ここで紹介した評価基準が全てではない。これらを基礎としてカスタマイズを加えることで、独自のSIEM製品の評価基準項目が完成するだろう。