SIEMとは？メリットや選び方からおすすめの製品まで徹底解説
企業のセキュリティ対策において、サイバー攻撃の高度化に対応するためには、早期の脅威検知と迅速な対応が求められます。 本記事では、企業のセキュリティにおいて重要な役割を果たす「SIEM（Security Information and Event Management）」について解説し、その選び方のポイントや当社が取り扱うDevo Security Data Platform（以下Devo）の特長についてご紹介します。SIEM導入を検討中の方は、ぜひ参考にしてください。
- SIEMとは？
- SIEMのメリットとデメリット
- SIEMの選び方
- Devoについて
SIEMとは？
ピンチアウトで拡大
SIEMは企業のIT環境で発生するログデータを統合的に収集・管理し、リアルタイムに分析することで、セキュリティ脅威を迅速に検出・対応するためのシステムです。主な機能は以下の通りです。
各種IT機器からのログを集約し、一元的に管理します。
ログデータをリアルタイムで相関分析し、異常な行動や脅威を迅速に検出します。
脅威が検出された時にアラートを発信し、セキュリティチームに迅速な対応を促します。
SIEMは、サイバー攻撃の高度化に対応し、セキュリティインシデントを早期に発見し、被害の最小化を図るために不可欠なツールです。
SIEMのメリットとデメリット
ピンチアウトで拡大
SIEMは巧妙なサイバー攻撃を早期に発見し対応する役割を担っていますが、メリットだけでなくデメリットも存在します。以下にSIEMの利点と課題を考察します。
SIEMのメリット
SIEMは各種IT機器のログを一元的に管理します。これにより手動でのログ管理に伴う手間やミスを減らすことができ、収集したログの解析によって環境全体を可視化し、効率的かつ網羅的な管理が可能です。
SIEMはリアルタイムの相関分析を通じて、セキュリティインシデントや脅威を早期に発見し、迅速な対応を可能にします。これにより、被害の拡大を防ぐことができます。最新のSIEMの中には、セキュリティインシデント発生時の対応を自動化できるSOAR (Security Orchestration, Automation and Response)が搭載された製品もあります。この機能を利用する事でインシデント発生時のエンジニアへの負担を軽減し、より迅速な対応が実現できます。
SIEM製品に搭載されているユーザー/エンティティ行動分析 (UEBA)機能を利用することで、従業員による不正行為の検出が可能となり、内部からの脅威に対する対策としても有効です。
SIEMを用いてログ収集や分析の自動化を行う事で、セキュリティ対策にかかる労力を削減し、人的リソースの効率化を実現出来ます。
SIEMのデメリット（懸念点）
SIEMの導入に伴い、ログ収集がネットワークトラフィックを増加させることがあります。従来型のオンプレミスベースのSIEMでは通常の通信に影響を与えないようにネットワークを分割して設計する必要があります。
SIEMの導入には、初期設定や運用管理にコストと労力がかかる場合があります。製品によっては標準のログ保存期間が限られており、期間の延長には追加費用が発生することがあります。また、SOARやUEBA機能の使用には別料金が必要となる場合もあります。オンプレミスベースのSIEMではインフラの準備が必要で直ぐに利用できない場合があります。
ログの取り込みから分析に至るまでのインデックス処理（Indexing）の過程で時間がかかる場合があります。加えて拡張性の低いシステムでは、ログ容量の増加により高負荷がかかり、検索速度に影響を与えることがあります。将来のニーズを見据えた拡張性の高いアーキテクチャを持つSIEM製品の選定が重要です。
SIEMの選び方
ピンチアウトで拡大
SIEMを選ぶ際には、以下の3つのポイントに注意することが重要です。
SIEMの価格は保存するログの日数、取り込むログ容量がベースとしてあり、製品によってはSOARやUEBAの機能を使うには追加で別ライセンスと言うのもあります。必要な機能を追加して行って予想外に高価となる事が無いようシンプルかつ明瞭なライセンス体系であるかが重要です。そしてオンプレベースのSIEM製品では実行環境を用意する必要があります。SaaS製品であれば契約して即利用する事が可能です。更にSIEM運用したい環境が複数あればそれを容易に実現出来るマルチテナント機能がある製品がこれからは求められます。
操作が簡単で、運用管理に高度かつ独自の専門知識を極力必要としない製品を選ぶことが重要です。ユーザーフレンドリーなGUIや自動化機能が備わっているかを確認しましょう。独自言語が不要で、GUIベースのノーコードで運用できるソリューションは、属人化を避けるうえで望ましいと言えます。
検索速度には様々な観点が考えられます。標準で何日間のログをホットデータとして取り扱うか、ログを取り込む際のインデックス処理（Indexing）でボトルネックになっている事が無いか、先々のログの増加に対応できるシステムの拡張性が柔軟にあるかなどを見極めることが必要です。
Devoについて
Devo社が提供するDevo Security Data Platformは従来のSIEMの課題を克服し、次世代のセキュリティ管理を実現する革新的なSIEMソリューションです。以下にDevoの主な特長を示します。
Devoはリアルタイムにログデータを処理・分析し、脅威を迅速に検出・対応します。セキュリティインシデントに即座に対応し、被害の拡大を防ぎます。標準で400日分のデータをホットデータとして保持するため、過去を遡っても同様に実現します。
Devoは大規模データセットの処理に優れ、SaaS提供によりログ容量の増加に応じて柔軟にスケールアップが可能です。多様なデータソースからのログ収集にも対応し、柔軟な運用を実現します。
従来のオンプレベースのSIEM製品と比較してDevoはSaaSとしての提供形態の為、ご契約後に直ぐ利用する事が可能です。UEBAやSOARと言った機能は標準装備されており、コストの予測と管理が容易です。SaaSでの提供の為にSIEMの実行環境をお客様にご用意頂く必要が無いので導入・運用コストを低く抑えられます。
Devoは視認性の高いダッシュボードを提供し、複雑な設定や操作を簡素化しています。これによりセキュリティチームはより迅速にインシデント対応を行うことができます。
製品の詳細についてはこちらに説明がございますので合わせてご覧下さい。
Devoの導入により、企業は効果的かつコスト効率の高いセキュリティ対策を実現できます。高度化するサイバー脅威に対処する為の強力なパートナーとしてDevoを是非ご検討下さい。詳細・不明点等は東京エレクトロンデバイスまでお気軽にお問い合わせ下さい。