SIEMかSOARか【後編】
導入すべきはSIEMかSOARか――企業の性質によって異なる判断基準
必ずしもSIEMとSOAR両方を導入しなければならないわけではない。企業の性質によって必要なツールは異なる。自社に必要なのはSIEMなのかSOARなのか。
前編（SIEMとSOAR――何がどう違うのか、何ができるのか）では、SIEMとSOARの目的や機能、メリットなどの違いを基礎から解説した。後編では、SIEMを導入すべき企業、SOARを選択すべき企業の判断基準を紹介する。
デプロイする時機
SOARは1／10／60チャレンジの答えなのだろうか。
アプリケーションやネットワークの資産に限りのある企業や報告を受けることを主な目的とする企業は恐らくSIEMだけで十分だ。そう話すのはTurnkey Consultingのトム・バナブルズ氏（アプリケーションおよびサイバーセキュリティディレクター）だ。
検知したイベントに基づく自動アクションを実装する必要がある企業、毎回同じ方法で実行しなければならない対応のプレイブックが求められる企業にとってはSOARの重要性が高まっているとバナブルズ氏は考える。あるPCが思いもしない場所にあるサーバ（通常のパターンとは異なるサーバ）との通信を突然開始した場合、SOARツールがあればその脅威の性質に応じてそのPCをシステムから分離したり、特定ポートでの通信を無効化したりできると同氏は言う。
あまり規模が大きくないSOCもある。だが自動化すれば、SOCの規模を問わずインシデントの修復に専念したり詳細に分析したりできる。全てのアラートを一つずつ監視してサービスレベル内でアクションを実行する時間的余裕がチームになければ、インシデントにタイムリーに対応できない恐れがあるとバナブルズ氏は指摘する。
iStock.com/3D_generator
「SOARツールを正しく実装すれば、複数のセキュリティプラットフォームやツールから情報を引き出し、脅威インテリジェンスプラットフォーム、SIEM、UEBA（User and Entity Behavior Analytics）を統合してIoC（Indicators of Compromise）を自動的に特定できる。SOARツールがなければ、SOCのアナリストが何時間もかけてIoCを特定することになる」（バナブルズ氏）
セキュリティ情報を取得すれば、疑わしい行動や悪意のある行動に人間が気付く前に対応し、阻止することが可能になる。「自動化のレベルによっては、分析や応答から大量の誤検知を取り除き、アナリストの貴重な時間を節約できる」（バナブルズ氏）
SOARが提供する自動化に大きなメリットがあるとしても、まだSIEMには利用価値があるとバナブルズ氏は言う。「SOARへの入力情報として、必要なイベントとログの取り込みだけでなく大量のデータを簡単に処理するSIEMツールは、サービスデスクのチケット発行の指標や予測、リアルタイムのKPI（主要業績指標）ダッシュボード、クロスプラットフォームのコンプライアンスとリスクのレポートなど、他のビジネス分野にもツールをデプロイできることを意味する」
サービスデスクの担当者が、ログに記録された全てのチケットをトリアージして問題の根本原因や指標を特定するのは難しい。だが「強力なSIEMツールなら、素早く傾向を把握して他のデータソースとの相関関係を調べ、さらに注意が必要なことについての明確な証拠を提供できる」と同氏は話す。
投資の決定
自社の規模と確立済みのセキュリティプロセスに基づいて投資を決めることをバナブルズ氏は勧める。ベンチマークの業界標準として導入が急速に進んでいるNIST（米国立標準技術研究所）のサイバーセキュリティフレームワークは、サイバーセキュリティ保護を「特定」「保護」「検知」「対応」「回復」の5つに分割している。
「この分類に基づくと、SIEMは『特定』と『保護』の領域の効果と効率の測定に適している。『検知』と『対応』に対応するのはSOARだ」（バナブルズ氏）
バナブルズ氏の経験によれば、追加のサポートを必要とするかどうかを評価する際のもう一つの有益な指標は、SOCのアクティビティーとワークロードだという。SIEMツールが取り込んだアラートの調査や対応にチームの時間の大半が費やされているなら、SOARツールを検討すべきだとバナブルズ氏は推奨する。
「意味のあるイベントを捉えるのに悪戦苦闘している場合、処理するデータが膨大にある場合、ツールが膨大な誤検知を生成する場合、インシデント管理プロセスをまだ定めていない場合は、SIEMとそのログ収集、イベント管理のプロセスを強化するのが賢明な投資だ」と同氏は話す。
SOARに関するマーケットガイドを書いたGartnerの執筆者は、SOARツール導入の主な障害はセキュリティ運用チームのプロセスと手続きの欠如、またはその成熟度の低さにあると警告する。
重要な構成
フランシス氏が指摘するように、SOARツールでは構成が必要になる。「デフォルトの構成が出発点になる。だがSOARではプレイブックや定義済みのワークフローが生成されないので、自動化に向けてこれらを微調整しなければならない」
「SOARツールで対応するには、ファイアウォール、DNSサーバ、プロキシを再構成する方法や自社の環境でホストを分離する方法をツールが把握しなければならない。ただし、SOARの運用期間が長くなるほど多くのことをアナリストの介在なしで迅速に実行できるようになる」
セキュリティツールの購入が成功するかどうかは、自社の現状分析と脅威とリスクの状況把握によって決まる。自動処理と手動処理の長所と短所を対比し、それぞれの価値を判断することをバナブルズ氏は促す。
「特定の要件を理解すれば、不要な機能への出費を防ぐことができる。『最適な』システムを個別に選択することも可能だ。そうすれば、単一サプライヤーモデルを選んで機能不足に陥ることなく、各分野で高度なソリューションを得ることができる」（バナブルズ氏）
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly日本語版
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣 -
製品資料
[サイボウズ株式会社] AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
4
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
5
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
6
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
7
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
8
BMWも導入 78兆円市場に化ける「フィジカルAI」の衝撃
-
9
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
10
「AI活用を前提とした業務PCへの移行」に関するアンケート
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー