SIEMは、組織全体からログを収集し、正規化してイベントを関連付け、脅威を検出します。ファイアウォール、サーバー、エンドポイント、アプリケーション、クラウドサービスなど、あらゆるものがログを生成します。SIEMはこれらのログを1か所に集約し、データを解析してルールを適用し、パターンを検出します。ログイン失敗は単なるノイズですが、1,000回のログイン失敗の後に1回の成功が発生すれば、それはアラートとなります。SIEMはこの相関関係を明らかにします。

Splunk、Microsoft Sentinel、IBM QRadarなどのSIEMプラットフォームは強力ですが、設定に手間がかかります。調整が必要で、そのままではアラートや誤検知が多すぎて、アナリストは対応に追われてしまいます。その真価は、慎重なルール開発と脅威インテリジェンスの統合によって発揮されます。SIEMはコンプライアンスもサポートします。監査担当者は、ログが収集、保持、レビューされていることを確認したがります。SIEMはその証拠を提供します。最新のSIEMは、静的ルールでは見逃してしまう異常を検出するために、ユーザー行動分析と機械学習機能を追加しています。中には、自動応答のためにSOARプラットフォームと統合しているものもあります。SIEMは、セキュリティオペレーションセンターの中枢神経系です。SIEMがなければ、アナリストは手探りで作業することになります。SIEMがあっても、アナリストは依然として懸命に作業する必要があります。

SIEMの機能

• ログ収集 — さまざまなソースからデータを収集する
• 正規化 — フォーマットを共通のスキーマに変換する
• 相関関係 — 複数の情報源から得られた事象を関連付ける
• アラート — 不審なアクティビティをアナリストに通知する
• 保存 — 法令遵守および調査のためにログを保存する

SIEMの性能は、受信するログの質と実行するルールによって決まります。入力が不適切であれば、出力もノイズになります。