全2回　セキュリティ運用自動化のススメ——「SIEM」「SOAR」入門 《連載:第1回》 サイバー攻撃・内部不正を自動で検知・分析する「SIEM」とは？

IT・デジタルを活用した業務プロセスの自動化がさまざまな分野で進む中、企業をセキュリティインシデントから守るセキュリティ運用にも自動化の視点が求められるようになっています。とりわけ人材不足に悩む企業にとって、インシデントの早期検知や迅速な初動対応を省人化する仕組みは、もはや不可欠と言って良いでしょう。

今回は、複雑なセキュリティ運用の自動化を支える2つの代表的なソリューション「SIEM」「SOAR」について、基礎からわかりやすく解説していきます。

セキュリティ運用が抱える深刻な課題

近年、企業のセキュリティ運用の現場の多くが慢性的な疲弊状態にあります。その主な要因は、量と質の両面におけるセキュリティ専門人材の不足です。さらに、ITインフラの高度化に加え、クラウドやモバイル、IoTといった技術の普及により、監視すべき対象が急増し、限られた人員で複雑な環境をカバーせざるを得ない状況が生まれています。

加えて厄介なのが、サイバー攻撃の増加と手口の巧妙化です。ランサムウェアや標的型攻撃をはじめ、新たな脅威が次々と登場するなか、人手に依存した運用ではアラートの見落としや初動対応の遅れといったリスクが避けられません。こうした背景から、セキュリティ運用の自動化は喫緊の課題となっているのです。

セキュリティ運用自動化のメリットは、単なる業務効率化だけにとどまりません。他にも、主に次の３つのメリットが期待できます。

・対応速度の向上と被害の最小化

インシデント発生時の対応を自動化することで、脅威検知から初期対応までの時間を大幅に短縮。被害の拡大を抑え、ビジネスへの影響も軽減できます。

・運用業務の標準化による属人化の解消

担当者個々のスキルや経験に左右されない標準化された運用が可能となり、人的ミスの削減にもつながります。

・担当者の負担軽減と重要業務への集中

定型的な監視や対応業務を自動化することで、担当者はより高度な分析や中長期的なセキュリティ戦略に注力できるようになります。

そして、このような自動化を実現するソリューションの1つとして活用されているのが「SIEM」です。

SIEMの特徴と進化

SIEM（Security Information and Event Management：セキュリティ情報イベント管理）は、サイバー攻撃や内部不正といった社内外の脅威をいち早く検知し、リスクを最小限に抑えるためのソリューションです。

先述の通り、攻撃手法の高度化・巧妙化が進む中、すべてを未然に防ぐことは現実的ではありません。SIEMはネットワーク内の状況を常時監視し、異常の兆候を早期に察知・分析することで、迅速な対応につなげる役割を担います。

SIEMの主な機能は次の通りです。

・ログ情報の一元管理、常時監視

社内のPCやサーバー、ネットワーク機器、ソフトウェア、ファイアウォール（不正な通信やアクセスを監視・制限するシステム）など、さまざまな機器・システムから発生する大量のログを自動で収集・統合し、リアルタイムで監視します。

・ログの正規化、相関分析による脅威の検出

収集したログデータを検知・分析に適したフォーマットに統一します。さらに、複数の情報源のデータを組み合わせて分析する「相関分析」をおこなうことで、単独のログだけでは見過ごされるインシデントの兆候や、複数のイベントが関連することで明らかになる脅威を検出します。

・アラート通知、レポート機能

分析により脅威が検出されたり、従業員PCから不審な動きや通信を検知したりした際は、担当者やSOC（セキュリティ・オペレーション・センター）に自動でアラート通知します。リアルタイムのセキュリティ状況をグラフなどで可視化するダッシュボード機能やレポーティング機能も備えています。

SIEMの全体像（イメージ）

SIEMが登場したのは2000年代中頃で、決して新しい技術ではありません。しかし近年は、最新技術の活用により、さらなる進化を遂げています。その一例がクラウド型SIEMです。従来のオンプレミス型に比べて導入が容易で、柔軟性や拡張性に優れている点が特長です。

また、AI技術や機械学習を活用し、従来のSIEMよりも高度な脅威を検知できるツールや、予測分析によって将来の潜在的な脅威を予測するツールも登場しています。さらに、機械学習を用いて、平常時のユーザーの振る舞いやシステム利用傾向から逸脱した行為を検知する「UEBA」（User and Entity Behavior Analytics：ユーザーとエンティティの行動分析）機能を備えるSIEMも増えています。

このようにSIEMは、膨大なログデータを収集・分析し、脅威を検出する上で非常に強力な手法です。しかし、SIEMだけでは、検出された脅威に対するその後の対応までを効率化できるわけではありません。また、大量のログを収集する特性上、発報されるアラートの中には誤検知や優先度の低いものが多く含まれるケースもあり、その精査や分類がセキュリティ担当者の負荷を増大させる要因となることもあります。

次回の記事では、SIEMが抱えるこうした課題を解決する、もう一つのセキュリティ運用自動化ソリューション「SOAR」を紹介します。