※「SIEM/“リアルタイム”で分析!サイバー攻撃対策ツール「SIEM」」の記事を一部ご紹介します。会員登録を行い、ログインすると、「SIEM/“リアルタイム”で分析!サイバー攻撃対策ツール「SIEM」」の記事全文がお読みいただけます。Management)を組み合わせた言葉(ガートナー社による)。SIMはいわゆる「統合ログ管理」のうちセキュリティ領域のログを対象とした仕組みのことを言い、様々なネットワーク機器やホストシステムが出力するセキュリティイベントログ、及びシステムユーザの利用ログなどを集め、蓄積し、様々な視点から検索・分析を行う。SEMは、同様に様々な機器からのログを収集・蓄積することは同じだが、分析をリアルタイムに行う点が異なる。SIEMツールは、セキュリティに関する統合ログ管理ツールの機能を持ちながら、常時・リアルタイムに高速な分析を行って、異常を検知した際にはアラートを発し、レポート機能により異常状況を分かりやすく視覚化することができるものだ。ログ管理に特化したツール同様、長期間のログをコンパクトに、安全に保管する用途に利用できるかどうかは製品によって、また用意できるストレージ容量によって決まる。長期間のログをじっくり分析して不正をあぶり出すフォレンジック用途には、統合ログ管理専用のツールのほうが向いている場合がある。1-1「SIEMツール」ってそもそも何ができる?ではSIEMツールでは、何ができるのかを見ていこう。セキュリティイベントログの収集SIEMツールの最初の仕事は「セキュリティイベント」と見なせるログデータを、システム内の適切な部分から集めることだ(図1)。ファイアウォール、IPS/IDS、WAF、URLフィルタリングツール、アンチウイルスなどのセキュリティ機器、ディレクトリサーバやプロキシサーバ、業務サーバ、PC、ネットワーク機器、データベース、クラウド、更にアプリケーション個々にまで対象範囲は広げられる。対象を増やしすぎると後段の集約・正規化処理や分析に支障をきたすこともあるので、リスクが高いログを優先する必要があり、その選定にはノウハウが要る。収集したデータは即座に重複を排除し、同じようなセキュリティイベントは1つにまとめる処理(集約)がいる。ひと口にログといっても、テキスト形式もあればバイナリ形式もあり、項目も違えば順番も違う。同一ジャンルの機器でもベンダが違えばログフォーマットが異なり、同一ベンダの製品でも、例えばスイッチとルータでは異なる。表現が異なっていても同じ意味の項目をまとめ(カテゴライズ)、フォーマットを整える「正規化」プロセスも必須だ。これが分析を高速化する基礎になる。各種SIEM製品の個性の1側面が見えるのはこの部分で、対象とする機器などのログを正規化するアダプタがどれだけ用意されているかが1つの大事なポイントだ。アダプタがなくても、付属するマッピングツールなどで正規化設定ができるが、その手間をかけずに済むほうが導入の期間とコストが抑えられる。ログデータの相関分析そしてSIEMの最大の特長である複数イベントの「相関分析」が行われる。相関分析とは、1つだけなら正当と考えられるイベントでも、他のイベントと組み合わせて分析し、リスキーなインシデントに結びつくようなものを見つけ出すことだ(図2)。セキュリティインシデントの集中管理システムのセキュリティ状態を画面や印刷レポートにより統計データとして可視化できるのもSIEMの利点だ。ログイン失敗が異常に多いユーザ、特定システムへのアクセス頻度が通常と極端に違うユーザや部門などを、管理者がグラフィカルな画面で見分けることができ、その人の行動をトレースして不正の可能性を探ることが可能だ。システム全体のセキュリティ状態を知ることで、セキュリティ運用の改善点を検討することもできる。アクセス権があるデータベースへのアクセスは何の問題もないが、アクセスの直後に特定の外部サーバに接続していることが重なると、情報漏洩の可能性が疑われる。様々なシステムにアクセスしようとしてログインに失敗することが短時間に何度も繰り返されていれば、マルウェアが活動しているのかもしれない。管理者が退社した後に管理者権限でのログインがなされたら、やはり怪しい。セキュリティ機器やエンドポイント、時には入退室管理システムのログなど、様々な種類のログを照らし合わせなければこうした「怪しい」行動は発見できない。SIEMは、人手による分析は事実上不可能な多種多量のログから疑わしいものを自動的に、そして迅速に探し出せる。■シナリオ該当する怪しいイベントにアラート/自動対応あらかじめどのような組合せがリスキーなのか、いわば不正のシナリオ(検知ロジックまたはルール)を作っておき、シナリオに該当するイベントが発生したときにアラートを上げたり、セキュリティ機器やネットワーク機器、あるいはアプリケーションに対する自動アクション(スクリプトを用意しておく)を起動して、通信遮断やアクセス拒否などの対応を自動化することができる。運用管理者が常時システムを監視していなくても自動アラート、自動対応が可能になって、セキュリティレベルを上げながら人的運用負荷を減らせる。この部分がSIEMの真骨頂であり、綿密なシナリオ作成をどれだけ簡単にできるか、またそのシナリオに沿った処理を効率よく実行できるかなどに製品個別の特徴が表れる。...この記事の続きは、会員限定です。続きを読むには...会員登録いただくと自動的にこの記事に戻り、続きが読めます。関連キーワード統合ログ管理ネットワーク機器ストレージフォレンジックファイアウォールIPSIDSWAFアンチウイルスPC入退室管理システム「SIEM/“リアルタイム”で分析!サイバー攻撃対策ツール「SIEM」」関連の情報を、チョイスしてお届けします※キーマンズネット内の「SIEM」関連情報をランダムに表示しています。【ギガ+他】アンチウイルスIDS統合ログ管理PC、モバイル、サーバーなどのエンドポイントを幅広く保護し、アプリケーション、デバイス、Web使用を適切に制限するコントロール機能で強固なセキュリティ環境を実現。従来の分析ソースであるログ情報に加えパケット情報と脅威インテリジェンスを統合し、従来は発見困難だった脅威も迅速な検出を可能にする脅威検出/分析プラットフォーム。製品レポート一覧IPS(42)WAF(30)ファイアウォール(43)検疫(33)IDS(23)セキュリティ診断(19)UTM(51)その他ネットワークセキュリティ関連(47)会員登録(無料)・ログインはこちらから「SIEM/“リアルタイム”で分析!サイバー攻撃対策ツール「SIEM」」の記事を一部ご紹介しました。会員登録を行い、ログインすると、「SIEM/“リアルタイム”で分析!サイバー攻撃対策ツール「SIEM」」の記事の続きがお読みいただけます。この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。【図研ネットウエイブ】...ハードウェアキーマンズネットITに関する製品や企業の情報総合サイト「キーマンズネット」キーマンズネットは企業・法人のIT選定・導入をサポートする総合情報サイトです。IT初心者から上級者まで、みなさまの様々なニーズにお応えします。IT製品導入時の情報収集に使える製品レポートや、スキルアップに役立つITセミナー情報の他、多岐にわたる特集記事を掲載しています。Reserved.プライバシーポリシー|会員規約|キーマンズネットへのお問い合わせ|広告掲載についてアイティメディア株式会社サイトへ郵便番号検索API。