「SIEM」「SOAR」「XDR」は何が違う？ 自社に合うツールを選ぶ10ステップ：SIEM、SOAR、XDRの違い【後編】
セキュリティ対策の中核を担う「SIEM」「SOAR」「XDR」は、それぞれの機能や役割が異なる。これらの違いはどこにあり、自社に合うツールはどうすれば見つけることができるのか。
企業にとってセキュリティ対策の強化は、システムの保護だけではなく事業継続の観点からも急務になっている。その対策の中核を担うのが、セキュリティインシデントの検出から対処までを実施する「SIEM」「SOAR」「XDR」といったツールだ。これらは共通点もあるが、それぞれに異なる得意分野を持つ。3つのツールの違いと、これらの中から自社の状況に合うものを適切に選択し、正しく導入するための方法を解説する。
SIEM、SOAR、XDRの主な違い
併せて読みたいお薦め記事
連載：SIEM、SOAR、XDRの違い
セキュリティ体制構築のヒント
SIEM、SOAR、XDRは、いずれもセキュリティインシデントの検出と解決に貢献する。それぞれの役割は異なるが、適切に組み合わせることで相互に補完し合うことが可能だ。
実際の運用では、SIEMとSOARは相互に補完する関係にある。SIEMが収集、分析したイベントデータはインシデント対処の質を高め、SOARがインシデント対処を自動化する際の基礎情報となる。この2つを連携させることによって、セキュリティ侵害に対処するための強固な体制を構築可能だ。
一方のXDRは単体で機能する製品として位置付けられることが一般的で、セキュリティイベントの一元的な管理を支援する。ただし3つのツールを連携させることも可能だ。インシデント対処の自動化では、XDRはSIEMが収集したデータを活用することがある。XDRは社内のエンドポイントだけではなく、遠隔地の拠点にあるシステム、クラウドサービス、Webアプリケーション、ネットワークといった広範な領域で発生する問題に対処できるため、SOC（Security Operations Center）にとって非常に重要な選択肢となる。
近年はどのツールもAI（人工知能）技術によってその有用性を飛躍的に高めており、今後もAI技術がセキュリティ分野をけん引していくことが期待される。各ツールがAI機能を搭載することによって、さらに高度なインシデント管理プロセスの自動化が実現し、セキュリティ部門やSOCの効率と生産性の向上を後押しする。
セキュリティツールを選定するための10のステップ
SIEMとSOARは補完的な関係にあるため、組み合わせて使うことが一般的だ。XDRは単体でも機能するが、3つのツールの機能を組み合わせて使う選択肢もある。どのツールを導入すべきかを選ぶ際は、以下のステップを踏んで検討するとよい。
ステップ1．セキュリティ要件を再定義する
運用中のセキュリティ管理体制やSOCが、常に変化する事業上のニーズや最新の脅威動向に適合しているとは限らない。そのため、まずは現状を分析し、現在の自社に必要なセキュリティ要件を見直すことから始める。
ステップ2．現行のセキュリティシステムを評価する
ここまでで紹介した3つのツールを含め、何らかのセキュリティツールを導入済みの場合、それらが現在および将来のニーズを満たせるかどうかを評価する。
ステップ3．経営層の承認と予算を確保する
セキュリティツールの刷新計画について経営層に説明し、具体的な用例やROI（投資対効果）を提示して承認を得る。
ステップ4．セキュリティ戦略を見直し、更新する
既存のセキュリティ戦略が現状に即しているかどうかを確認する。同時に、セキュリティ担当者に求められるスキルを再定義し、必要であれば拡充計画を立てる。確保できる予算規模を明確にし、戦略全体の実現可能性を判断することも欠かせない。
ステップ5．セキュリティツールを調査する
SIEM、SOAR、XDRなどの導入を検討する際は、性能はもちろん、AI機能の有無、管理画面の操作性、拡張性、既存システムとの連携性にも着目する。3つのツールのうち複数を組み合わせることも視野に入れる。ベンダーの技術力やサポート体制を確認することも重要だ。
ステップ6．プロジェクトチームを編成し、計画を策定する
プロジェクトを円滑に進められるセキュリティ担当者でチームを構成し、ツール導入の各段階について計画を立てる。現行のセキュリティ運用に関するポリシーや手順を精査し、可能であればリスクアセスメント（企業の情報資産に存在するリスクの特定、分析）も実施する。
ステップ7．段階的な導入とテストを実施する
ツールを段階的に導入し、それぞれの段階でテストと検証を実施して問題を修正する。セキュリティ部門とSOCによる受け入れテスト（導入するツールが実運用で問題なく動作するかどうかのテスト）も実施する。
ステップ8．運用体制を整え、関係者に情報を提供する
セキュリティ部門のメンバーを対象にトレーニングを実施し、教材となるドキュメントが実用レベルに整備されているかどうかを確認する。さまざまなインシデントシナリオを試行し、新しいツールの動作を検証する。従業員にはツールの刷新に関する情報を速やかに通知し、経営層には進展状況を定期的に報告する。
ステップ9．保守およびサポート体制を構築する
新ツールが本番稼働したら、初期性能評価をして稼働状況を把握する。必要に応じて、セキュリティに関するポリシーや手順を更新する。
ステップ10．継続的な監視と改善を開始する
定期的なレビューを通じて、導入したツールのパフォーマンスを評価する。発生したインシデントを分析し、プレイブック（インシデント対処に関する手順や要領を整備したチェックリスト）を更新して、セキュリティ運用体制全体を継続的に改善する。
TechTarget.AIとは
TechTarget.AIは、TechTargetジャパンの記事の一部で生成AIを補助的に活用し、米国Informa TechTargetの記事を翻訳・編集して国内向けにお届けします。編集部による内容の確認を徹底しています。
Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。