SIEMログ管理:ログ管理これからのSOC

SIEMとは何か？

SIEMソフトウェア・ソリューションは、アプリケーションやネットワーク・ハードウェアなどの複数のソースからログ・データを収集し、一元化されたプラットフォームに集約します。SIEMソフトウェア・ソリューションは、ログイン試行の失敗などの侵害の指標（IoC）をチームに警告するための相関とリアルタイム分析を実行し、進行中の攻撃により迅速かつ効果的に対応できるようにします。

SIEMツールは、セキュリティ・イベント管理（SEM）、セキュリティ情報管理（SIM）、セキュリティ・イベント相関（SEC）の機能を1つのソリューションに統合したものです。

ログ管理とは？

ログ管理とは、チームがIT環境のさまざまなアプリケーションによって生成されたログを処理するプロセス全体を指す。

ログ管理は、一連の独立したサブプロセスに分けることができる。通常、データソースからログデータを収集することから始まる。その後、ログは分析可能な中央の場所に集約される。場合によっては、ログデータを変換する必要もある。これは、組織で使用されるフォーマット標準に適合するように、あるいは解析しやすくするために、ログデータを再編成または分解しなければならないことを意味する。その後、ログを一元的に分析したり、可視化したりすることができる。

エキスパートからのアドバイス

スティーブ・ムーアは、Exabeamのバイスプレジデント兼チーフ・セキュリティ・ストラテジストで、脅威検知のためのソリューションの推進を支援し、セキュリティ・プログラムの推進や侵害対応について顧客にアドバイスを行っています。The New CISO Podcast」のホストであり、Forbes Tech Councilのメンバー、ExabeamのTEN18の共同創設者でもあります。

私の経験から、SIEMとログ管理の可能性を最大限に引き出し、強固なセキュリティと運用に関する洞察を確実に提供するためのヒントをご紹介します：

異常検知のための動的ベースラインの活用
SIEMで動的ベースラインを使用して、変動するビジネス活動に適応させます。例えば、ピーク時のログイン動作を時間外の動作とは別にベースライン化することで、誤検知を減らすことができます。

ソースでのログデータエンリッチメントに焦点を当てる
ログがSIEMに到達する前に、資産の重要性、ビジネスへの影響、既知の脆弱性などの重要なコンテキストを追加します。ログをエンリッチ化することで、SIEMはより意味のあるアラートを提供し、レスポンスの優先順位を効果的に設定できるようになります。

重要度に基づいてログ保存の階層を設定する
すべてのログを同じ期間保存する必要はありません。規制上のニーズ、ビジネス要件、脅威の検出やフォレンジック分析におけるログの価値に基づいて、保存ポリシーを定義します。このアプローチは、コンプライアンスを維持しながらコストを削減します。

リアルタイムのログ検証メカニズムの導入
取り込まれたログデータの完全性と正確性を検証するためのチェックを設定します。ログの欠落や不正形を自動警告することで、盲点を防ぎ、信頼性の高いセキュリティ監視を実現できる。

相関ルールにモジュラー・アプローチを採用する
相関ルールを再利用可能なモジュール型コンポーネントとして設計します。これにより、新たな脅威が出現した場合でも、既存のワークフローを見直すことなく、効率的にルールを更新できます。

SIEM vs.ログ管理: 類似点と相違点

SIEMとログ管理には多くの共通点がある。どちらも複数のシステムからのログを処理し、それらを使ってIT環境で何が起きているかを可視化する。どちらも、環境内の問題を発見して修正したり、過去の問題を監査して調査したりするために使用できます。

しかし、いくつかの重要な違いがある：

目的

• ログ管理システムは、主にログデータを（データの場所や性質に関係なく）一箇所に集めるために使用される。セキュリティのために一般的なログ管理システムを使用することもできますが、データの処理や分析が複雑になる可能性があります。
• SIEMシステムはセキュリティに特化している。セキュリティ・ツールからのデータを含め、大規模で多様なITエコシステムからセキュリティ関連データを取得し、セキュリティ・チームが利用できるように自動的にパッケージ化することができる。

オートメーション

• ログ管理は通常、完全には自動化されておらず、リアルタイムの脅威分析は実行されない。さらに、収集する情報、ログの保存方法、保存場所を明示的に設定する必要がある。
• 最新のSIEMは、リアルタイムの脅威検知と分析を行うことができる。SIEMは、ログ管理のライフサイクルを自動的に処理し、関連情報を特定し、自動的に処理し、保存することができます。

中央データ管理

• ログ管理は、システム・イベントやログからデータを収集するが、データを1つの標準化されたデータ・ストアに整理するには、それなりの努力が必要である。
• SIEMはデータの一元化を容易にします。SIEMは何百もの組織システムからログとイベントを収集します。通常、各デバイスはイベントを生成し、フラットなログファイルやデータベースに収集します。SIEMシステムは、データを（オンプレミス、クラウド、またはその両方で）保存し、標準化されたフォーマットに変換し、効率的な分析と探索のためにインデックスを付けることができます。

コンプライアンス能力

• ログ管理ツールには、コンプライアンス機能が組み込まれていません。データセキュリティとプライバシー基準には特定の要件があり、すぐに使えるログ管理システムでそれを満たすのは難しい。
• 最新のSIEMシステムには、コンプライアンス・レポート機能がある。これらのシステムには、コンプライアンス基準で要求される特定の形式のレポートが組み込まれています。このため、SIEM は組織のコンプライアンス戦略にとって不可欠なものとなっている。

脅威の検出

• ログ管理ツールには、イベントをインテリジェントに分析して複雑なサイバー脅威を特定する機能はない。複数のログイン再試行など、明らかな脅威パターンに関する通知を定義することで、単純なセキュリティ問題を特定することは可能である。
• SIEMツールは、複数のITシステムにまたがる高度な脅威や、痕跡を隠すために回避戦術を使用するサイバー脅威も特定して警告することができます。複数のセキュリティ・イベントを既知の悪意のある行動パターンと相関させることで、SIEM は企業ネットワーク上の多くの種類のセキュリティ・イベントを特定できます。また、最新のSIEMは、既知のパターンに一致しない異常な行動を特定するために、機械学習に基づく行動分析も提供します。

4 SIEMログ管理ベストプラクティス

ログ管理は、セキュリティ・オペレーション・センター（SOC）の中核機能である。SOCの可視性の深さと範囲を定義することが含まれます。効果的なログ管理は、迅速な検知と対応を可能にし、規制要件へのコンプライアンスを確保するために不可欠です。また、監査やセキュリティ・インシデントのフォレンジック分析も容易になります。

ペースの速い現代のビジネス環境では、ログの量も種類も膨大になる可能性があります。SOCはすぐに大量のログを蓄積しますが、すべてのログがサイバーセキュリティにとってそれほど重要であるとは限りません。ログ管理は、優先すべきログとソースを定義するのに役立ちます。また、ログ収集インフラの維持にも役立ちます。

多くの企業が、スタンドアロンのログ管理プラットフォームよりもSIEMプラットフォームを好んで利用している。相関ルールで高度な脅威を検出し、多様なテクノロジーやネットワークに対する可視性を高め、高度なデータ分析を可能にし、ログの範囲をPCI-DSS、NIST、MITRE ATT&CKフレームワークにマッピングする。

正しいログソースの選択

SIEMエンジニアは3種類のソースからログデータを収集できる：

• セキュリティ制御システム-例として、侵入検知防御システム（IPS）、次世代ファイアウォール（NGFW）、ウェブアプリケーションファイアウォール（WAF）、セキュリティゲートウェイ、エンドポイント保護プラットフォーム（EPP）、ウェブセキュリティ制御などがある。
• ネットワークインフラ -DNSサーバー、DHCPサーバー、ルーター、無線インフラ、パブリッククラウドへのアクセスやアプリケーションなどが例として挙げられる。
• エンドユーザーアプリケーションとシステム-例として、セキュリティイベントログ（Windows）、オペレーティングシステムログ、PowerShell、sysmon、カスタムアプリケーションログがある。

SOCチームは、使用パターン、脅威検知への影響、対象範囲、監査要件、組織のログ管理プラットフォームへの適応性に基づいてログソースを選択する。

脅威検知、必要条件を特定する。ログ管理

ログ管理にSIEMを使用する際に最も重要なステップは、自社のニーズを知ることです。動的な脅威の状況を調査し、敵がどのように新しい攻撃ベクトルやテクニックを活用してセキュリティの脆弱性を悪用するかを特定する。

まず、組織の攻撃対象領域、セキュリティの優先順位、関連する脅威の種類、および脅威ハンティングを可能にするための過去の相関関係の要件を定義する。次に、組織に適用されるプライバシーおよびセキュリティ規制をリストアップし、コンプライアンスを確保する。準備リストを使用して、保存および管理するログの量を決定することができます。MITRE ATT&CK フレームワークを活用して、サイバーセキュリティ戦略を立案しましょう。

SIEMとログソースの統合とログレベルの最適化

SIEMソリューションの中には、セキュリティ・ログ管理を最大限に活用するために、多大な配慮が必要なものもあります。脅威の検知にはログの可視性が不可欠であるため、ソリューションを選択する際には死角をなくすことを第一に考える必要があります。ログ管理に関する将来の問題を最小限に抑えるために、SIEM ソリューションを統合することから始めましょう。

統合テスト中に確立された要件に基づいて、ログソースの優先順位付けと統合を行い、ロ グイベントを最適化する。また、ログ障害アラートのルールを定義することも重要であり、重要なソースのログ収集頻度を定義する。

ログ可視性の継続的改善脅威インテリジェンス

効果的なログの可視性を確保するには、脅威の状況を知ることが重要ですが、現代のサイバーセキュリティの状況は常に変化しています。そのため、ログの失敗、盲点、新たな脅威などの可視性の問題に直面しても、SIEM を監視および管理するための継続的なプロセスを持つことが重要です。

やみくもにログ管理を行うことは、遅延や偽陰性を招く可能性があります。重要なベスト・プラクティスは、ログ管理プラットフォームを十分な情報に基づいて評価し、データに基づいてセキュリティ実装を決定することです。自動および手動のレッドチーム・アプローチを使用してログの可視性を継続的に評価し、新たなセキュリティ・ギャップを特定して緩和する。

Security Log Managementエクサビームと

Exabeam Security Log Managementは、クラウド・ネイティブ・データレイク、超高速クエリ・パフォーマンス、複数年データにわたるダッシュボード機能により、大規模なログ・データの取り込み、解析、保存、検索を可能にします。その基盤には、クラウドスケールの可視性、包括的なログ収集、高速で直感的な検索、自動化された調査エクスペリエンスという4つの主要機能があります。

クラウドスケールの可視性

Exabeam Security Log Managementは、業界で最も先進的なクラウドネイティブ・ソリューションです。強力なユーザー・インターフェースにより、オンプレミスまたはクラウドデータの取り込み、パーサーの構築と監視、データの消費量とExabeamサービスの健全性の可視化が可能です。データソースのカバレッジと構成を理解することで、重要なギャップを埋めるために必要なセキュリティの成果を促進します。組織のニーズに適応した推奨情報、イベント・ストリーム、パーシング設定を確認することで、セキュリティ態勢を改善するために何をすべきかを正確に知ることができます。

包括的なログ収集

この製品は、ログを安全に取り込み、解析し、保存し、新しい共通情報モデル（CIM）、脅威インテリジェンスを使用したデータエンリッチメント、およびその他のコンテキストを使用して、名前付きフィールドを識別するセキュリティイベントを作成し、分析を加速し、セキュリティコンテキストを追加するためにそれらを正規化するのに役立ちます。ウィザードにより、新規またはテンプレート化されたログ・ソースからカスタム・パーサーを作成できるため、エラーのないパーサーの開発、導入、管理が容易になります。

• 200以上のオンプレミス製品をサポート
• 複数の転送方法：API、エージェント、syslog、SIEMデータレイク
• クラウド型セキュリティ製品34
• 11 SaaS生産性アプリケーション
• 21 クラウドインフラ製品
• 8,000以上の構築済みログ・パーサー

高速で直感的な検索機能

Exabeam Security Log Managementの重要な機能のひとつに検索があります。単一のインターフェイスで、ホットデータ、ウォームデータ、コールドデータ、フリーズデータを同じスピードで検索することができます。通常、調査には複数のクエリーが必要であり、目的の結果を得るために何度も繰り返しながら検索条件を絞り込む必要があるため、この時間短縮は貴重です。また、リアルタイムまたは過去のデータを横断して検索することも、もはや障壁ではありません。SOCチームは、過去のデータをインポートして、復元・処理されるのを待つ必要がない。また、学習曲線もありません。アナリストは独自のクエリ言語を習得する必要はありません。解析されたログデータから強力な視覚化データをすばやく作成できます。ダッシュボードは、14種類のあらかじめ作成されたチャートタイプから数分で作成できます。また、検索クエリや相関ルールから生成することもできます。

自動調査の経験

ワンクリックで検索を強力な脅威ハンティングルールに変えます。適切に設計された相関ルールにより、企業はさまざまな異常な動作やイベントを表面化させることができます。これらの異常を特定するには、受信イベントとエンティティ間の事前定義された関係を比較して、トリガーとして機能する条件を定義します。最も重要なビジネス エンティティと資産のカスタム相関ルールを作成、テスト、公開、監視します (Threat Intelligence Service (脅威インテリジェンスサービス)ソースのアクティビティに対応するものに対してより高い重要度を定義するなど)。複数の商用およびオープンソースの脅威インテリジェンスフィードからのイベントにコンテキストエンリッチメントを追加し、独自の機械学習アルゴリズムを使用して、それらを集約、スクラブ、ランク付けし、高精度で最新のIoCストリームを生成します。