現代の脅威環境におけるSIEMの10の使用例

SIEMがPCIコンプライアンスに役立つ5つの方法：

1. 周辺セキュリティ不正なネットワーク接続を検出し、変更管理と関連付け、安全でないプロトコルやサービスを検索し、DMZを通過するトラフィックの流れをチェックする。
2. ユーザーIDユーザー認証情報の変更につながるあらゆるイベント、および終了したユーザーによるアクティビティを監視する。
3. リアルタイム脅威検知-アンチウイルスのログを監視し、安全でないポートやサービスを監視し、脅威インテリジェンスと関連付ける。
4. 生産およびデータシステム本番システムのdev/testまたはデフォルトの認証情報、レプリカなどを検索する。
5. 監査と報告特定の PCI ログ要件を含むシステムおよびセキュリティ・ログの収集、PCI レポートに適した形式での監査、コンプライアンス・レポートの作成。

SIEMがGDPRコンプライアンスに役立つ5つの方法

1. デザインによるデータ保護ユーザーデータが適切に処理されたことを示すために、セキュリティ管理を検証および監査すること。
2. ログデータの可視性ログ情報への構造化されたアクセスを提供し、個々のデータ所有者への報告を可能にする。
3. GDPRのロギングと監査認証情報、セキュリティグループなどへの重要な変更を監視し、PIIを保存するデータベースやサーバーを監査し、機密データを保存する資産を自動的に追跡する。
4. 違反通知データ漏えいを検知し、セキュリティスタッフに警告を発し、インシデントを分析して影響を完全に明らかにし、GDPRが要求する詳細なレポートを迅速に作成する。
5. データ処理-個人データに関連するイベントを特定し、データへの変更を監査し、GDPRの要求に従ってレポートを作成します。

​SIEMがHIPAAコンプライアンスに役立つ9つの方法

1. Security Managementプロセス新たなIT資産の発見、リスクのあるシステムの特定、システムファイルへのアクセス、重要なシステムにおけるユーザーアクティビティと権限の監視
2. 従業員アクセス重要なファイルやデータへのアクセスを監視し、ログインの試行や終了したユーザーからのログインをキャプチャします。
3. 情報アクセス管理ログオンの成功と失敗、権限の昇格、ユーザーアカウントの変更を特定する。
4. セキュリティ教育脆弱性やマルウェアの検出、アンチウイルスのないシステムの検出、セキュリティ機器や重要システムへのログオンの監視。
5. セキュリティ事件脅威を自動的に検出し、アラートを生成して優先順位を付け、脅威の調査を可能にし、インシデントへの自動応答を編成する。
6. アクセス・コントロール認証情報と権限の変更、セッションのタイムアウト、暗号化設定の変更を監視する。
7. 監査統制ポリシーの変更、データ漏洩Protection (DLP) イベント、ファイルの整合性、保護されたデータのログ分析を監視します。
8. データ整合性-健康情報の変更およびデータポリシーの変更を監視する。
9. トランスミッション・セキュリティー健康情報を含むアプリケーションやストレージに対する不正な通信や変更の試みを特定する。

SIEMがSOXコンプライアンスと監査に役立つ5つの方法

1. セキュリティ方針と基準情報セキュリティポリシー（例えば、電子メールセキュリティポリシー）や標準（例えば、Windowsデスクトップマシンのセキュリティの標準的な方法）を追跡する。SIEMは、どのITシステムがポリシーや標準に準拠しているかを特定し、違反についてリアルタイムで警告することができる。
2. アクセスと認証アカウントの作成、変更要求、および解雇された従業員による活動の監視。
3. ネットワーク・セキュリティファイアウォールやその他のエッジ・セキュリティ・デバイスからのアラートを監視し、ネットワーク・トラフィックにおける既知の攻撃パターンを特定する。
4. ログ監視セキュリティイベントを集約し、無効なログイン試行、ポートスキャン、権限昇格などのアラートを出す。
5. 職務分掌 -SOX法では、一人の担当者が最初から最後までデータプロセス全体を管理しないことを求めている。SIEMは、例えば、データ入力担当者が作成中のデータにのみアクセスし、他のデータを閲覧したり修正したりしないようにすることができます。

SIEMがインサイダーの脅威を阻止する6つの方法

1. 危殆化したユーザ資格情報の検出 - SIEM は行動分析を使用して、危殆化を示すユーザの異常な行動を検出できる。例えば、通常とは異なる時間帯や頻度でのログイン、通常とは異なるデータやシステムへのアクセスなどです。
2. Anomalous権限昇格-SIEMは、重要なシステムの権限を変更したり、エスカレートしたりするユーザーを検出することができる。
3. コマンド・アンド・コントロール通信 -SIEMは、ネットワーク・トラフィックと脅威インテリジェンスを相関させ、外部の攻撃者と通信しているマルウェアを発見することができます。これは侵害されたユーザー・アカウントの兆候です。
4. データ流出 - SIEMは行動分析を使って、USBメモリーの挿入、個人的な電子メールサービスの使用、不正なクラウドストレージ、過剰な印刷など、一見無関係に見える事象を組み合わせて分析することができる。
5. 迅速な暗号化 - SIEMは大量のデータの暗号化を検知し、停止させることができる。これは、しばしば侵害された内部関係者から発生するランサムウェア攻撃を示している可能性があります。
6. 横方向の動き攻撃を行うインサイダーは、ターゲットに向かう途中でアカウント、マシン、IPアドレスを切り替えようとする可能性がある。SIEMは複数のITシステムを幅広く把握しているため、このような挙動を検知できる。

SIEMが特権アクセスの不正使用を阻止する5つの方法

1. 不要な活動機密データへの不審なアクセスを監視し、報告する。
2. 第三者による違反組織のシステムにアクセスできる外部のベンダーやパートナーによる活動を監視し、異常な行動や権限の昇格を特定する。
3. 退社した従業員終了したユーザーアカウントによる活動や、通常は非アクティブであるアカウントでの予期せぬ活動を警告する。
4. ヒューマンエラー大量のデータの削除など、人為的なミスによる災害の可能性がある異常なアクティビティに対して警告を発する。
5. 露出過多通常の利用プロファイルに含まれないシステムやデータにアクセスしているユーザーに関するレポート。

SIEMが信頼されたエンティティの侵害の検出と阻止に役立つ4つの方法

1. ユーザーアカウント異常なアクティビティを特定し、それについて警告を発し、特権ユーザーアカウントが侵害されたかどうかを理解するために必要なデータを調査官に提供する。
2. サーバーサーバ活動の信頼できるベースラインを作成し、このベースラインからの逸脱を検出してセキュリティ担当者に警告する。
3. ネットワーク機器トラフィックを長期にわたって監視し、異常なスパイク、信頼できない通信ソース、安全でないプロトコル、その他の悪意のある動作の兆候を検出する。
4. アンチウイルスの監視 - マルウェアはホスト侵害の一般的な入口です。SIEMはアンチウイルスのデプロイメントを幅広く監視し、保護機能の無効化、アンチウイルスの削除、脅威アップデートのステータスなどのイベントをレポートします。

SIEMが脅威ハンティングに役立つ7つの方法

1. セキュリティ・システムからの警告潜在的なインシデントの調査に役立つコンテキストとデータを提供する実用的なアラートを配信します。
2. 環境の異常相関分析と行動分析を使ってITシステムの異常を特定する
3. 新たな脆弱性新たな脆弱性をめぐるデータの整理-タイムライン、影響を受けるシステム、データ、ユーザー。
4. 同業者やメディアからの情報既知の攻撃に類似した攻撃パターンやシグネチャを過去のデータから検索する。
5. 脅威インテリジェンス–脅威インテリジェンスとセキュリティデータを組み合わせて、ITシステムへの攻撃をインテリジェントに検出します。
6. 既知のリスクに基づく仮説アナリストが仮説を立て、SIEMのセキュリティデータを調査して検証するのを支援する。
7. 類似事件以前にもこのようなことがあったかどうか」を確認する-現在または過去のセキュリティインシデントに類似したパターンがないか、セキュリティデータを検索する。

SIEMがデータ流出の防止に役立つ6つの方法

1. バックドア、ルートキット、ボットネットコマンド・コントロール・センターへのネットワーク・トラフィックを検出し、不正な関係者にデータを送信している感染したシステムを特定する。
2. FTPとクラウドストレージ大容量のデータ転送を容易にするプロトコルでネットワーク・トラフィックを監視し、異常な量やファイル・タイプが転送されている場合、またはターゲットが不明な場合や悪意のある場合に警告を発する。
3. ウェブアプリケーション部外者による組織のウェブ・アプリケーションの使用、または機密データへのダウンロードやブラウザ・アクセスを伴う可能性のある外部ウェブ・アプリケーションの内部使用を監視する。
4. 電子メールの転送指定された受信者以外のエンティティに転送または送信された電子メールを検出する。
5. 横方向への移動 - データ流出には通常、攻撃者が特権の昇格を試みたり、他のITシステムにアクセスしたりして、有利なターゲットに向かうことが含まれます。SIEMは、複数のITシステムからのデータを相関させることで、横方向の動きを検出することができます。
6. モバイル・データ・セキュリティ -SIEMは、モバイル従業員からのデータを監視し、モバイル・デバイス経由の情報漏洩を示す可能性のある異常を特定することができる。

SIEMがIoT脅威の軽減に役立つ6つの方法

1. サービス拒否（DoS）攻撃-。組織が所有するIoTデバイスからの異常なトラフィックを特定し、攻撃者が攻撃を実行するために活用する可能性がある。
2. IoT脆弱性管理IoTデバイス上の古いOS、パッチ未適用の脆弱性、安全でないプロトコルを検出する。
3. アクセス・コントロール誰がIoTデバイスにアクセスしているのか、どこに接続しているのかを監視し、接続元や接続先が不明または疑わしい場合に警告を発する。
4. データフローの監視 - 多くのIoT デバイスは暗号化されていないプロトコルで通信しており、機密データを転送する手段として使用される可能性があります。SIEMは、IoTデバイスとの間の異常なデータフローを監視し、セキュリティ担当者に警告することができます。
5. 危険にさらされている機器セキュリティの脆弱性、機密データへのアクセス、または重要な機能により危険にさらされているデバイスを特定する。
6. 侵害されたデバイスIoTデバイスの異常な動作や不審な動作を特定し、デバイスまたはデバイス群が侵害されたことをセキュリティスタッフに警告する。