リアルタイム脅威分析に生かせるSIEMの条件とは
“役に立たないSIEM”をつかまされないための「3つの選定ポイント」
セキュリティ情報を収集、分析する「SIEM」製品をリアルタイムの脅威分析に十分に生かすには、適切な製品選びが不可欠だ。注視すべき3つの選定ポイントを伝授する。
SIEM製品で脅威をリアルタイムにあぶり出すために必要な条件とは
定期的なセキュリティレポートの作成において、セキュリティ情報イベント管理（SIEM）技術を活用する企業は少なくない。こうしたセキュリティレポートはコンプライアンス（法令順守）を目的に、侵害を検出して調査した後に作成される。ほとんどのSIEM製品は、リアルタイム分析を実行する機能を備える。
大半のSIEM製品は導入後、最新のセキュリティイベントログデータを受信し、最近収集した全てのデータを継続的に監視および分析し、追加のアクションが必要なイベントを特定できるようになる。SIEM製品の機能を使えば、特定のネットワーク接続をより詳細に監視したり、セキュリティ制御センターの職員に対応を促す警告を生成したり、進行中の攻撃を食い止めるために他企業のセキュリティ制御を誘導したりすることも可能だ。
企業はSIEM製品のリアルタイム分析機能を利用して、迅速に攻撃を検出して食い止めることが可能だ。これは深刻なデータ侵害といった被害を軽減するのに役立つ。リアルタイム分析に使用する目的でSIEM製品を評価する際には、以下の3つの項目を参考にすることをお勧めする。
併せて読みたいお薦め記事
「機械学習」「ビッグデータ」が変えるセキュリティ対策
「SIEM」の可能性と課題
選定ポイント1：さまざまな分析手法
状況によって、必要な分析手法やその組み合わせは異なる。例えば署名ベースの手法を使用する攻撃検出は、複雑な処理ではないため他の手段よりも高速だが、攻撃者が回避するのも簡単で、役に立たない場合もある。
異常なイベントやエンドユーザーの振る舞いパターンの変化、統計上の異常など、予期しない活動を探知する手法を実装しているSIEM製品を選定するのが望ましい。
選定ポイント2：イベント相関分析機能
SIEM製品を使用する最大のメリットの1つは、複数のログから関係のある部分を特定してまとめることで、イベントの全体像を把握しやすくする点だ。
例えば不正侵入検知システム（IDS）によってサーバへの攻撃を検知した場合でも、攻撃が成功したかどうか、成功した場合は何が起こったのかを判別するには、サーバのOSやアプリケーションのログへアクセスしなければならない。
SIEM製品は、これら全てのログを自動でまとめて分析できる。起こった事柄に対して、より詳細な具体像を把握することが可能だ。関連する一連のイベント全体を特定できるので、アナリストが攻撃者の行動を追跡しやすくなる。
選定ポイント3：セキュリティインテリジェンスのサポートと使用
セキュリティインテリジェンス（脅威情報）のフィードは、他社への攻撃に使用されたIPアドレスなど、直近で検出された脅威についての情報を提供する。SIEM製品がセキュリティインテリジェンスのフィード情報を使用すれば、攻撃をより迅速かつ正確に検出したり、対応の優先順位を付けるために一層強固な基準を設定したりできるようになる。その結果、SIEM製品のリアルタイム分析機能は大幅に向上する。
SIEM製品の中には、ベンダーが提供するセキュリティインテリジェンスのフィードを使用するものもあれば、サードパーティーのフィードが使用できるものもある。フィード自体の情報の品質が重要なのは間違いない。その品質には、更新頻度、範囲、精度が含まれる。
さらにSIEM製品がセキュリティインテリジェンスをどのように使用するかを考慮することも重要になる。ただし、これはリアルタイム分析に関して考えられる多くの要素の1つにすぎない。バランスを欠いたアプローチでは誤検出や検出漏れが大きく増加し、リアルタイム分析の効果が薄れる恐れがある。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[LRM株式会社] 「標的型攻撃メール」事例・サンプル集 -
製品資料
[LRM株式会社] セキュリティ教育はなぜ「年間計画」を立てる必要があるのか？ -
製品資料
[LRM株式会社] セキュリティの重要性が伝わらない…… 効果がない社員教育から脱却する方法 -
製品資料
[LRM株式会社] 「標的型攻撃メール訓練」導入ガイド 社員の意識を確実に高める仕組みの作り方 -
事例
[株式会社マクニカ] アイカ工業に学ぶ脆弱性対策 情シスが把握できずにいたアセットも正確に把握
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
2
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
3
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
4
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
5
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
6
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
7
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
8
「Windows派」「Linux派」を分ける決定的な違い
-
9
現役エンジニアに聞く「顔認証システム」開発の舞台裏
-
10
生成AIの7割が「別画面・コピペ運用」 “導入”は進んでも定着せず
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
7
PostgreSQLの「機能」「性能」「運用」「拡張性」に関する悩みの解消法
-
8
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
9
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー