SIEMツール：SIEMプラットフォームのトップ5、機能、ユースケース、TCO

セキュリティ情報・イベント管理システム（SIEM）は、最新のセキュリティ・オペレーション・センター（SOC）の基盤です。企業全体のセキュリティ・ツールとITシステムからログとイベントを収集し、データを解析して、脅威インテリジェンス、ルール、分析を使用してセキュリティ・インシデントを特定します。

---

ガートナー社のトップSIEMソリューションとは？

ガートナー社の2024 Gartner® Magic Quadrant™ for SIEMで、5つのソリューションがリーダーズ・クアドラントに選ばれました：

1. Exabeam-Exabeam Fusion SIEMは、以前は SaaS Cloud として知られていましたが、SaaS としてハイブリッドおよびローカルの共同展開が可能です。このソリューションには、Advanced Analytics、Exabeam Data Lake、Threat Hunter、Case Manager、Incident Responder、Entity Analytics、Exabeam Cloud Connector、Cloud Archiveなどのコンポーネントが含まれています。これらの機能は、既存のSIEM製品を強化するために個別に入手することも、バンドルすることも可能です。
2. IBM-QRadar SIEMソリューションのほか、Guardium、X-Force脅威インテリジェンス、Trusteer、Cloud Pak for Security、Privileged Identity Manager、Access Verification、WinCollect、QRadar Vulnerability Manager、QRadar Network Insightsなどのセキュリティ・オプションを提供しています。
3. Microsoft Sentinelは、Azure経由で提供されるSaaS型のSIEMで、データ量とMicrosoft 365のサブスクリプションに応じた価格設定となっている。マイクロソフトの広範なセキュリティツール（CASB、アイデンティティ、エンドポイント、OTセキュリティ、UEBA、SOAR）とネイティブに統合され、カスタマイズ可能なMLベースの脅威検知と強力なカバレッジ（MITRE ATT&CK）を提供します。SentinelはSaaSのみで、オンプレミスのオプションはなく、全機能をAzureサービスに依存しています。
4. Securonix-次世代SIEM、UEBA、セキュリティデータレイク、SOAR、脅威インテリジェンス、NDR、敵対行動分析を提供しています。SAPやヘルスケア環境の保護など、ユースケースに特化した機能も提供しています。
5. Splunk-Splunk SIEM は、Splunk Enterprise、Enterprise Security、Splunk Cloud、Mission Control などの製品を提供している。高品質の SOAR および UEBA 機能も利用可能ですが、他の製品とローカルに統合することはできない。Splunk 製品はソフトウェアとして、または Splunk Cloud を通じて導入できます。

---

最新のSIEMシステムの主な特徴

​GartnerのCritical Capabilities for SIEMreportによると、最新のSIEMは、従来のログ管理、統計分析、アラート、レポート機能に加えて、さらなるテクノロジーを組み込む必要があります。新しいSIEMには、次のような機能が求められます：

User Event行動分析(UEBA)- ユーザー、エンドポイント、ネットワークデバイスの標準的な動作をモデル化し、高度な分析と機械学習技術によってベースラインを確立し、インテリジェントに異常を特定する技術。

セキュリティ・オーケストレーション、自動化、レスポンス（SOAR）- セキュリティ・データを収集し、インシデントに優先順位を付け、インシデント・レスポンスをデジタル・ワークフロー形式でコード化し、一部またはすべてのインシデント・レスポンス段階の自動化を可能にする技術。

最新のSIEMの主な機能は以下の通り：

• 脅威インテリジェンス– 内部データと、脅威と脆弱性に関するサードパーティの脅威インテリジェンスを組み合わせます。
• データ集約- セキュリティシステムやネットワーク機器からデータを収集・集計します。
• 検索、データ探索、レポート作成 -生データを確認することなく、またデータサイエンスの専門知識がなくても、膨大な量のセキュリティデータを検索できます。データをアクティブに探索してパターンを発見し、脅威を探索します。
• Advanced Analytics- 統計モデルと機械学習を使用して、異常を識別し、高度な脅威を検出し、未知の脅威を検出し、ネットワーク内の横方向の動きを検出し、セキュリティアラートのコンテキストを充実させて、とらえどころのない脅威の調査と検出を容易にします。
• ダッシュボード -スタッフがイベントデータを確認し、パターンや異常を特定できるように可視化します。
• 相関、セキュリティ監視、アラート -イベントと関連データをセキュリティ・インシデント、脅威、フォレンジック調査結果にリンクし、イベントを分析してアラートを送信し、セキュリティ担当者に緊急の問題を通知します。
• フォレンジック分析 -ログとイベントデータを調査してセキュリティ・インシデントの詳細を発見し、状況タイムラインに整理された追加証拠を自動的に添付することができます。
• 保持-コンプライアンスやフォレンジック調査に有用な長期履歴データを保存。データレイク技術により、無制限、低コストで長期保存が可能です。
• コンプライアンス-HIPAA、PCI/DSS、HITECH、SOX、GDPRなどの標準のログデータを収集し、コンプライアンス・レポートを作成します。保護されたデータのセキュリティ状況について警告するなど、コンプライアンスやセキュリティ規制の要件を満たすのに役立ちます。
• 脅威ハンティング -セキュリティスタッフがログやイベントデータに対してクエリを実行し、データを自由に探索することで、脅威をプロアクティブに発見することができます。脅威が発見されると、調査のために関連する証拠を自動的に取り込みます。
• 脅威インテリジェンス– 内部データと、脅威と脆弱性に関するサードパーティの脅威インテリジェンスフィードを組み合わせます。
• データ集約- セキュリティシステムやネットワーク機器からデータを収集・集計します。
• 検索、データ探索、レポート作成 -生データを確認することなく、またデータサイエンスの専門知識がなくても、膨大な量のセキュリティデータを検索できます。データをアクティブに探索してパターンを発見し、脅威を探索します。
• Advanced Analytics- 統計モデルと機械学習を使用して、異常を識別し、高度な脅威を検出し、未知の脅威を検出し、ネットワーク内の横方向の動きを検出し、セキュリティアラートのコンテキストを充実させて、とらえどころのない脅威の調査と検出を容易にします。
• ダッシュボード -スタッフがイベントデータを確認し、パターンや異常を特定できるように可視化します。
• 相関、セキュリティ・モニタリング、アラート- イベントと関連データをセキュリティ・インシデント、脅威、フォレンジック発見にリンクし、イベントを分析してアラートを送信し、セキュリティ・スタッフに緊急の問題を通知します。
• フォレンジック分析 -ログとイベントデータを調査してセキュリティ・インシデントの詳細を発見し、状況タイムラインに整理された追加証拠を自動的に添付することができます。
• 保持-コンプライアンスやフォレンジック調査に有用な長期履歴データを保存。データレイク技術により、無制限、低コストで長期保存が可能です。
• コンプライアンス-HIPAA、PCI/DSS、HITECH、SOX、GDPRなどの標準のログデータを収集し、コンプライアンス・レポートを作成します。保護されたデータのセキュリティ状況について警告するなど、コンプライアンスやセキュリティ規制の要件を満たすのに役立ちます。
• 脅威ハンティング -セキュリティスタッフがログやイベントデータに対してクエリを実行し、データを自由に探索することで、脅威をプロアクティブに発見することができます。脅威が発見されると、調査のために関連する証拠を自動的に取り込みます。
• インシデント対応サポート -セキュリティ・チームがセキュリティ・インシデントを特定し、自動的に対応できるよう支援し、すべての関連データを迅速に取り込んで意思決定をサポートします。
• SOCの自動化 -セキュリティ・オーケストレーション＆レスポンス（SOAR）と呼ばれるセキュリティ・システムの自動化とオーケストレーションによって、インシデントに自動的に対応します。

---

SOCの痛みと必要なSIEM機能

SIEMは、20年以上にわたってセキュリティ・オペレーション・センター（SOC）の基本インフラである。しかし、SOC のアナリストは、従来の SIEM では解決できないいくつかの痛みを経験しています。以下では、次世代 SIEM テクノロジーがこれらの問題をどのように解決できるかを紹介します。

セキュリティ・オペレーション・センターの悩み	次世代SIEMはどのように役立つか
アラート疲労 - レビューすべきアラートと調査すべきインシデントが多すぎる。	次世代 SIEM は、セキュリティアナリストがレビューするアラートの生成量を削減します。 また、リスクの理由、インシデントの種類、優先度に基づいてインシデントを分類できるため、アナリストはリスクスコアとビジネスインパクトに基づいてフィルタリングし、優先順位を付けることができます。
雑務によるアナリストの疲労	次世代SIEMは、プレイブックを介してセキュリティの自動化を提供します。ITシステムやセキュリティ・ツールと統合することで、インシデントに多くの証拠を自動的に添付し、調査員がインシデントを迅速に解決できるようにします。
事故調査に時間がかかりすぎる	次世代SIEMは、複数のユーザーと組織システムにわたって、特定のインシデントに関連するすべての証拠をまとめたタイムラインを作成します。これにより、アナリストはインシデントの全範囲とその潜在的なリスクを一元的に見ることができます。
熟練アナリストの不足 - 新しいスタッフを迅速にトレーニングし、登用する必要がある。	次世代 SIEM は使いやすく、インシデントを解釈しやすいように付帯情報と一緒にパッケージ化して提供します。また、アナリストがSQLの専門家やデータサイエンティストにならなくても、簡単にクエリを実行してセキュリティデータを探索できます。これにより、若手のアナリストでもリスクを評価し、インシデントに優先順位を付け、確認されたインシデントを次の層のアナリストにプッシュできるようになります。

---

ユースケースと必要なSIEM機能

SIEMテクノロジーは、いくつかのユースケースで採用することができます。それぞれのユースケースで活用される SIEM の機能は異なります。以下の表は、SIEMツールが組織のユースケースに適しているかどうかを理解するのに役立ちます。

ユーザー監視

脅威検知

セキュリティ分析

インシデント管理

コンプライアンスとセキュリティ・レポート

---

SIEMの総所有コストの評価

SIEMの調達にはいくつかの異なるコストがかかり、そのうちのいくつかは資本支出であり、いくつかは運用支出です。

SIEMのコスト計算モデル

ハードウェアのコストとサイジング

オンプレミスでSIEMを採用する組織は、SIEMを実行するためのハードウェアをプロビジョニングする必要があります。どれだけのハードウェアが必要かを判断するには、まず SIEM が処理する必要のあるイベント数を見積もる必要があります。

必要なサーバーの数とタイプは、イベント量、ストレージ形式、データをローカルに保存するかクラウドに保存するかの決定、ログ圧縮の比率、暗号化の要件、短期的なデータの量と長期的なデータ保持の量によって決まります。

ストレージのコストとサイジング

1日あたりのイベント数を同じように計算することで、SIEMのストレージ要件を決定することができます。ストレージのコストは、SIEM の導入モデルによって異なります：

社内アナリスト数

SIEMは、そのアラートを受信して対処できるセキュリティ・アナリストがいなければ、価値を発揮しません。セキュリティアナリストが必要とされるのは

• アラートをレビューし、どれが実際のセキュリティインシデントかを判断する
• 関連情報をまとめてインシデントを調査し、上位層のアナリストにエスカレーションして対策を講じる。

アナリストは熟練した訓練を受けなければならず、できれば関連するセキュリティ認定を取得していることが望ましい。

• マネージド・セキュリティ・サービス・プロバイダー（MSSP）を利用する場合、アナリストはサービス・プロバイダーが外注するか、社内のスタッフと外部のサプライヤーが分業することになる。
• AIや機械学習機能を備えたSIEMを使用する場合、ツールのインテリジェンスは人間のアナリストの代わりにはなりません。アナリストが必要であることに変わりはありませんが、AIによるセキュリティ・データの効果的な処理によって、誤検知を大幅に減らし、セキュリティ・アナリストが必要なデータを迅速に入手できるようにし、アナリストの労力を大幅に削減することができる。

コンプライアンスとセキュリティ

SIEMを購入する際には、組織全体としてどのような標準や規制に準拠する必要があるかを検討すること（SIEMは組織横断的なインフラであるため、全部門にわたって）。

考慮すべき重要なこと

• 標準を見直し、SIEM 機能に関連する可能性のあるセクションをマッピングする。
• SIEMの導入とカスタマイズによって、これらの要件を簡単に満たせるようにする。
• SIEMが自動生成できるコンプライアンス・レポートや監査レポートを提出する必要があるか、また、選択したSIEMソリューションがそれらを生成できるかどうかを確認する。
• 例えば、GDPRに従ってどのデータを保存できるのかなど。
• SIEMをどのように保護するか - オンプレミス、クラウド、MSSPなど、導入モデルによって異なる。

---

オープンソースSIEMと構築と購入

SIEMプラットフォームの調達には、主に3つの選択肢がある。以下はその長所と短所である。

オープンソースSIEMの構築

OSSIM、OSSEC、Apache Metronのようなオープンソースツールは、イベント収集、処理、相関、アラートを含む多くのSIEM機能を提供することができます。オープンソースのソリューションの中には、侵入検知システム（IDS）の機能を提供するものもあります。

商用SIEMツールの活用

HPE、IBM、McAfee（現在はIntel Security）といった企業が提供する従来のSIEMツールは、セキュリティ活動とインシデント対応を一元化するためにSOCを構築する大企業の一般的な選択肢でした。

近年、強力で安価、かつ実装が非常に速い、新しい軽量SIEMソリューションが登場しています。これらのソリューションのうち3つがGartner SIEMMagic Quadrant 2018で紹介されています：Exabeam、Rapid7、Securonix。

SIEMプラットフォームの自社構築

ELKスタック - ElasticSearch、Logstash、Kibana - は、独自のSIEMソリューションを構築するための素晴らしい出発点です。実際、SIEM市場の新規参入企業のほとんどはこのスタックをベースにしている。カスタマイズされた機能を必要とし、脅威インテリジェンス、モニタリング、アナリティクスへのこれまでの投資と統合したい、非常に大規模な組織に適しています。

インハウスSIEMとマネージドSIEM

マネージド・セキュリティ・サービス・プロバイダー（MSSP）が提供・管理するSIEMは、増加傾向にある。マネージドSIEMによって、フルタイムのセキュリティ・スタッフを十分に抱えていない小規模な組織でもSIEMに参入することが可能になりつつある。一般的なSIEMのホスティングモデルには4種類あります：

• セルフ・ホスティング、セルフ・マネージド -SIEMを購入または構築し、ローカルのデータセンターでホスティングし、専任のセキュリティ・スタッフが運用する。
• 自己ホスト型、ハイブリッド管理型-SIEMは社内に配備され、通常はレガシーな投資を行い、現地のセキュリティ・スタッフとMSSPの専門家が共同で運用する。
• 自己ホスト型、ハイブリッド管理型-SIEMは社内に配備され、通常はレガシーな投資を行い、現地のセキュリティ・スタッフとMSSPの専門家が共同で運用する。
• SIEM as a Service -SIEMはデータ・ストレージも含めてクラウド上で稼働し、ローカルのセキュリティ・スタッフがSIEMのデータを活用してセキュリティ・プロセスを管理する。

---

Exabeam Fusion SIEM- 無制限ストレージ、 および自動インシデントレスポンス付きAdvanced Analytics

Exabeam Fusine SIEMは、エンドツーエンドのデータ収集、分析、監視、脅威検知、自動応答を単一のプラットフォームに統合した最新のSIEMです。

Exabeam Fusion SIEM能力

Exabeam Fusion SIEMは、ガートナーのモデルで定義された次世代SIEMの機能をすべて提供する最新のSIEMプラットフォームです：

• 一元化された拡張性の高いデータストレージ-エコシステム全体を包括的に可視化し、イベントやアクティビティを見逃しません。
• ガイド付き検索と強化された結果-検索フィールドは、入力中に自動入力され、強化されたビューは、迅速なレビューのために重要な情報を強調表示します。
• 迅速な検索 -ログの取り込み時点で完全なインデックスを作成することで、クエリはより迅速に結果を返します。潜在的なデータ侵害や攻撃を示す情報を待つ必要がなくなるため、アナリストの生産性と効率が大幅に向上します。
• 監査とコンプライアンス・レポーティング-何百ものすぐに使えるコンプライアンス・レポートとダッシュボードにより、監査人の訪問時に扱いにくいスプレッドシートが不要になります。
• 柔軟な統合 -あらかじめ構築されたコネクタが、脅威の検出、調査、対応のために500を超える一般的なセキュリティおよびITツールを緊密に統合します。
• 行動ベースの検知-市場をリードする行動分析（UEBA）は、他のツールでは見逃してしまうクレデンシャルベースの攻撃、インサイダー脅威、ランサムウェアなどの高度な脅威を発見します。
• 処方的で脅威中心のユースケース-処方的でエンド・ツー・エンドのワークフローとセキュリティ・コンテンツにより、SOCは価値実現までの時間を短縮し、TDIRを成功に導くことができます。
• 自動化された調査-機械によって構築されたスマートタイムライン、自動的に証拠を収集し、生産性を高め、抜け漏れがないように、まとまりのあるインシデント・タイムラインに組み立てます。
• レスポンスと修復 -ガイド付きチェックリストと自動化されたレスポンス・アクションおよびプレイブックは、レスポンス時間を短縮し、一貫した反復可能なワークフローを可能にします。
• クラウドベースの導入 -クラウドベースの提供により、別のセキュリティプログラムを導入・維持するための運用上のオーバーヘッドがなくなり、アナリストはセキュリティに専念できます。

SOCのペインポイントへの対応

Exabeam Fusion SIEM次世代機能は、現代のSOCで最も一般的なペインポイントを解決するのに役立ちます：

• アラートの疲労-Fusion SIEMはUEBAテクノロジーを活用することで疲労を軽減します。ユーザーやネットワーク・エンティティの行動ベースラインと比較して、異常を示すアラートにアナリストを集中させ、組織のコンテキストに基づいてインシデントの優先順位付けを支援します。
• 平凡なタスクによるアナリストの疲労 -Exabeamはセキュリティ・ツールと統合し、特定のタイプのセキュリティ・インシデントが発生した場合に自動化されたセキュリティ・プレイブックを実行します。
• インシデントの調査に時間がかかりすぎる -Exabeamは、セキュリティ・インシデントに関連するすべての証拠を自動的に収集し、インシデント・タイムライン上に表示します。これにより、複数のITシステム、ユーザー、クレデンシャルにまたがるインシデントを即座に確認することができます。
• 熟練アナリストの不足- Exabeamは、行動分析によってインシデントに自動的に優先順位を付けます。また、データサイエンスやSQLの専門知識がなくても、ドラッグ＆ドロップの簡単なインターフェイスを使って、セキュリティデータに対する複雑なクエリを作成することができます。これにより、若手のアナリストでも重要なインシデントを特定し、詳細な調査を行うことができます。

Exabeam Fusion SIEM総所有コスト