SIEMとは？セキュリティ上の導入メリットをわかりやすく紹介

注目の背景は「増加するサイバー犯罪の脅威」と「セキュリティ人材の不足」

サイバー犯罪の脅威は年々増加しており、情報セキュリティ対策強化の必要性は多くの企業において共有されています。しかし、情報セキュリティ人材の不足などの要因により、十分な対策が行えていないと感じている企業も少なくありません。実際にIPA（独立行政法人 情報処理推進機構）が2024年に行った調査によれば、情報セキュリティ対策を進める上で「情報セキュリティ対策を行うための人員が不足している」と回答した事業者は全体の38.6%、「情報セキュリティ対策の知識をもった従業員がいない」は33.3％、「従業員の情報セキュリティに対する意識が低い」は31.9％に達しています。
これまではファイアウォール、プロキシサーバーなどのログを単体で確認していましたが、これらのログを集約して総合的に監視・分析することで、インシデントを迅速かつ詳細に把握することのできるSIEMが注目されているわけです。

参考：IPA「2023年度 SECURITY ACTION宣言事業者における情報セキュリティ対策の実態調査」報告書について

1. ログの収集

第1段階ではログの収集を行います。ただ単に各機器からログファイルを転送するだけではなく、フォーマットを統一して整理したり、一覧表示して可視化したりなどの処理も同時に行います。

2. 収集したデータの分析

第2段階では収集したデータをリアルタイムで分析します。単独のログデータのみでは検出が難しい攻撃の兆候や脅威に対しても、複数機器のログやイベントデータを比較検討することで検出することができます。

3. 脅威の通知

第3段階では、検出した脅威についてセキュリティ管理者への通知を行います。さらに自動的にレポートを作成することで、迅速な対応を支援します。SIEMによっては、進行中のサイバー攻撃を自動で阻止する機能を搭載したものもあります。

エンドポイントに焦点を当てた「EDR」

「EDR（Endpoint Detection and Response）」は、日本語に訳すと「エンドポイントの検出および応答」となります。端末（エンドポイント）を監視し、万一マルウェアなどに感染した場合には自動で該当の端末を隔離するなどの対処を実施するソリューションです。ネットワーク全体を監視するSIEMに対し、EDRはエンドポイントのみを対象範囲としている点が異なります。
エンドポイントに侵入した脅威をより素早く検知し隔離・駆除するEDRと、システム全体を監視するSIEMとは補完的な関係にあるといえます。

脅威の検出と対応の強化に重点を置く「XDR」

「XDR（Extended Detection and Response）」は、日本語に訳すと「拡張された検出および対応」となります。EDRをさらに発展させ、対象範囲をネットワークにまで広げたソリューションで、SIEMが脅威の検知に軸足を置いているのに対し、XDRは検知後の自動対処に軸足を置いているという違いがあります。
SIEMとXDRとを併用することで、SIEMの効果をさらに強化することができます。

インシデントへの効率的な対応を行う「SOAR（ソアー）」

「SOAR（Security Orchestration, Automation and Response）」は、日本語に訳すと「セキュリティの管理・自動化および対応」となります。セキュリティ対策業務を効率化、自動化するソリューションです。
脅威の検出と通知を主目的とするSIEMに対し、SOARはそれらの脅威に対する効率的、自動的な対応を主目的とするという違いがあります。

1. 効率的なセキュリティ対策が行える

SIEMの収集機能により、人手を経ることなく大量のログデータ、イベントデータを収集・分析することができます。そのため、例えば一次防衛ラインをファイアウォールに、二次防衛ラインをIDS/IPSに、三次防衛ラインをアンチウイルスソフトに設定するなど、限られた人的リソースの中で多層防御を実現することができます。
社内のセキュリティを総合的・効率的に管理することで、企業の信頼低下にもつながりかねないコンプライアンス違反などを回避することができます。

2. 脅威の早期発見で、被害を最小化できる

SIEMの分析機能により、リアルタイムでネットワーク全体を監視・分析し、一覧で閲覧することができます。また、脅威や不審なイベントが発生した場合にはリアルタイムで通知されるため、早期発見および迅速な対応も可能です。
脅威には従業員による情報漏えいなども含まれるため、内部不正のリスクにも早期に対応することが可能です。

3. 誤検知が減り、調査・対応コストの削減につながる

単独の機器のログだけを見ると異常と判断されていたような振る舞いでも、SIEMでログを集約し一元的に分析・可視化することで正常な動作だと判断できます。また、各機器のログ単独では検知できない脅威を検知することもできます。
これらSIEMの働きにより、誤検知に対する調査などの対応コストを削減できることはもちろん、真の脅威を見落としにくくなるというメリットがあります。

ネットワーク全体の可視化からセキュリティ対策まで、より幅広い機能を提供

「Prime ConnectONE®」のダッシュボードには、各拠点の状況などネットワーク全体が可視化され一覧表示されます。異常発生時には発生個所を一目で判別可能なほか、インターネットブレイクアウトが可能で、セキュリティ機能の設定の変更もできます。
SIEMと同様に業務基盤を支えるネットワークを一元管理できる上、安全・快適にクラウドアクセス環境にアクセスでき、トラブル発生時には自動切り分け機能を活用して早期に復旧できるなど、より幅広い機能を利用可能です。

AIの活用により、オペレーションの高度化・効率化を実現

「Prime ConnectONE®」の特長の1つとして、AIによるネットワークとセキュリティの運用業務や障害対応の自動化や省力化を実現していることにあります。さらに各種設定の自動化機能と共に、今後故障予知機能なども実装する予定であり、オペレーション業務を強力に支援します。
各拠点や店舗などにIT人材を配置しなくても、AIが代わって障害復旧などへの支援を提供します。

インシデント発生時には、自動隔離で二次被害を防止

万一インシデントが発生した場合には、管理者に検知・通知するだけでなく、トラブルが発生した端末を自動で隔離するなどの対応を実施します。これらの機能により、サイバー攻撃などを受けた場合にも、二次被害を防止するとともに被害を最小化することができます。
また、ネットワーク上の故障個所についても遠隔から特定できるため、復旧にかかる時間を短縮することができます。