SIEMで実現するセキュリティシステム

サイバー攻撃対策、とりわけ標的型攻撃等が話題になっている昨今、様々な脅威から企業を守る堅牢なセキュリティシステムはどのように構築すればよいのでしょうか？

近年多くの企業でセキュリティシステムを改善する方策として、SIEM(Security Information and Event Management)に注目しております。

SIEM とは、セキュリティに関連する機器やソフトウェア、あるいは様々な アプリケーション のログを基に、異常時の通知や、その対策の分析や対策をするための情報提供をする仕組みで、情報管理のSIMと、セキュリティイベント管理のSEMを統合しているソフトウェア群やサービスを指す言葉です。 SIEM では、

１.	可能な限り多くのSecurity Informationを収集する
２．	収集したSIによって、セキュリティポリシーの遵守性をモニタリングする
３．	SIからSEを抽出するナレッジを蓄積する
４．	SEの中でセキュリティインシデントかどうかを判定するナレッジを蓄積する
５．	セキュリティインシデント対策を講じる（予兆保全） ※併せて、ログ原本を適切に保管し、アクシデント発生時の早急な原因追跡を可能にする

というサイクルが重要です。

まず最初に、システムの運用状況により出力された様々なログを基に、可能な限り多くのSI（Security Information:セキュリティインフォメーション）を収集します。
その収集したSIによって、企業あるいは組織内で定めたセキュリティポリシーが、厳格に遵守されているかどうかを監視します。
集められたSIから、イベントログ等のSE（Security Event:セキュリティイベント）を抜き出します。この際に、SIからSEを抽出する際のノウハウや手法などを記録し、ナレッジデータベースとして 蓄積します。
抽出されたSEの中から、セキュリティインシデントかどうか判定するためのナレッジも蓄積していきます。これにより、インシデントを通知する仕組みや、迅速な対処を行なう仕組作りを可能にします。
この一連の作業の中でも、集めたログはWORM（改ざん防止)ストレージや暗号化などにより原本保証できる形で適切に保管し、アクシデントが発生した時に速やかに原因究明できることが重要になります。
こうした仕組みのもと、各企業が独自に予兆保全を可能にするセキュリティインシデント対策を講じることが期待されます。

Index
・SIEMによるセキュリティ	・セキュリティシステムイメージ
・SIEMで目指すセキュリティ	・第一段階 SIMによるポリシー順守・実現性チェック
・SIMによる統合ログ管理	・第二段階 SEMによるインシデント予兆保全
・SEMによるインシデント分析	・SIEMによるセキュリティ
・SIEM導入のポイント	・SIEMの特徴
・SIEM導入後のログの活用	・SIEMに求められる機能
・SIEM構築のためのステップ

SIEMによるセキュリティ

セキュリティポリシーを決め、その対策を適応する通常の運用に加え、 SIEM によりチェックを強化するというPDCAサイクルを繰り返し、常に最適なセキュリティシステムを構築します。

Planで、セキュリティポリシーを作成します。
Doでは、セキュリティーポリシーに従い、セキュリティに関し企業が行なうべき対策や監視、管理を実行します。
Checkで、実行したセキュリティ対策の結果や、運用状況のログを基に、セキュリティポリシーの監視（ SIM ）や、セキュリティインシデント管理（ SEM )を実施します。つまり、 SIEM はこの部分が関わってきます。
Actで、蓄積されたナレッジをもとに実情にあったセキュリティポリシーを見直し、セキュリティシステムの改善を行ないます。

セキュリティシステムイメージ

第一段階は、セキュリティインフォメーションを管理する SIM です。 SIM の重要な目的は、セキュリティポリシーの適合性監査です。
そのために、インベントリ情報や、セキュリティ対策によって出力された多種多様なログを可能な限り収集します。ログは、改ざんできない形で保管され、その中でセキュリティに関するものを抽出し相関分析等が行える形で統合します。
つまりは、ログの統合管理が第一段階の柱となります。

第二段階は、 SIM で統合されたセキュリティに関するログについて、インシデントに関係しそうなイベントログ等の抜出しを行い、それを分析し、アクシデント対策に役立てます。
如何に必要なインシデント情報を多く集め、高速に分析し、アクシデントを引き起こさないよう予兆保全できる仕組みが理想です。
この時、アクシデント対策や、セキュリティインシデント分析のためにおこなうログを抽出する時のナレッジを蓄積し活用することが重要です。

SIEMで目指すセキュリティ

企業はセキュリティに関し、セキュリティポリシーが策定され、それに基づいて対策が講じられ、その運用がポリシーに適合しているかを常にチェックするシステムが最低限必要です。
つまり SIM を構築しポリシーの適合性チェックを定期的または適宜行う仕組みを作ることが、第一段階として企業に必要なセキュリティシステムです。
更によりよいセキュリティシステムの実現には、第二想段階として想定外の事象を早期に発見し、問題発生時に原因追跡と対策が迅速に実施できる SEM を構築することがポイントになります。
理想的なセキュリティシステムの構築には、この第一段階の SIM と第二段階の SEM を実現する SIEM が企業に求められます。

第一段階 SIMによるポリシー順守・実現性チェック

まず第一段階は、 SIM （security information management）でログを収集し、抽出したログを分析し、セキュリティポリシー通りにシステムが運用されているかどうか定期的に適切性監査を行います。 アプリケーション や、ネットワークなど様々な機器やソフトウェアから、貴重な情報がログとして出力されています。ただし、多くの企業でこのログが活用しきれていないのが実情のようです。
セキュリティ対策を施す上で、このログ活用は重要なポイントです。 SIM でのログ活用の目的は、定められたセキュリティポリシーが遵守されているのかどうかを、このログを使ってチェックします。 そのために、第一段階でセキュリティシステムに必要なのがログの統合管理です。
SIM では、インベントリ収集されたデータや、セキュリティ対策実施にともない出力されたソフトウェアや、ハードウェアの多種多様なログを収集、抽出して、分析し、ポリシーの適合性チェックを行います。この時のナレッジは蓄積しておきます。
また並行してログを集中管理できるよう改ざんされず原本保証できる形で保管します。
この適合性チェックは、１度行えばそれで終わりというわけではありません。システム環境に追加屋や変更があった時はもちろん、新種のマルウェアへの対処など時代の変化にも対応が必要なため、定期的にかつ自動的にチェックができる仕組みが必要です。

SIMによる統合ログ管理

SIM は、様々なログを集めログを統合して、相関分析をはじめ多くの情報からチャートや、グラフを含むレポートを生成し、最適なセキュリティの情報管理を行ないます。 管理すべきログは、 syslog はもちろん、 認証ログ や 操作ログ 、様々な アプリケーション のログ、監視カメラのログや入退出記録、 アンチウイルス ソフトのログなど多岐多彩に存在します。
会社規模や、システム環境により取得すべきログの重要度は違い、また変化に対応するため取得すべきログは日々多くなる傾向にあります。

第二段階 SEMによるインシデント予兆保全

第二段階の SEM （security event management）で集められたイベントログは、可能な限りリアルタイムに収集され、インシデントに関わる情報は即時通知を行ないます。 SEM では、第一段階の SIM で統合されたログの中からセキュリティイベントに関するものを抽出します。
これにより、セキュリティリスクとなりうるインシデントを分析し、対策につなげます。セキュリティインシデント分析により、問題の発生を未然に防ぐことができるよう予兆保全を目指します。
また、セキュリティアクシデント発生を迅速に察知し、対処する仕組みが必要です。アクシデントの発生を迅速に検知し、決められた時間内に自動的に通知する仕組みを作ることがポイントです。

SEMによるインシデント分析

SEM のイベント管理により、セキュリティインシデントに関し、リアルタイムに監視し、管理者へ通知します。問題発生時の原因究明、対応策の決定のためには、関連する機器や アプリケーション のログを迅速に分析処理します。 単一ログからではわからなかった未知の脅威や、潜在的なセキュリティリスクを見つけるために、第一段階で行ったログ統合により、フォーマット統一できたログのうち、エベントログなどインシデントに関連しそうなログを 抜出、下記のような様々な分析を行うことで、リスク回避やリスク対策に役立てます。


分析には出来る限り多くの情報が必要ですが、リスクに対応するためには高速処理しリアルタイムに分析し通知できることが望まれます。 どのような関連付けを行ない分析するか、あるいはどのような想定で分析するか、それをリスク対応に生かすことによりナレッジとして蓄積されます。
どこまでの分析で満足すべきか、当然組織や希望規模によって異なりますが、日々変化に対応し改善していくことが重要で、その結果予防保全を実現してリスクを最小限にすることを目指します。

SIEMによるセキュリティ

第一段階として位置付けた SIM と、第二段階の SEM を統合した SIEM （Security Information and Event Management）を導入することにより、より高度で効率的なセキュリティシステムを構築できます。

SIEM導入のポイント

SIEM でのセキュリティシステムの構築には、下記の3点が重要ポイントとなります。 セキュリティのリスク分析結果を基に対策を講じたり、ポリシーの見直しを行なうには、信憑性の確保が必須です。そのためには、関係するより多くのログから、より多くの情報が必要です。
少ない情報では、リスクの見落としや、判断に間違いが起こる可能性が高くなってしまいます。どれだけ多くのログを集め処理できるかが、 SIEM 導入の効果に大きく影響します。
システム環境も外的要因のセキュリティ脅威も日々変化していきます。その企業にとって最適のセキュリティシステムを求めるならば、継続的情報分析が不可欠で、そこで重要なのが分析に関する ナレッジの蓄積です。統合管理のためのログの抽出方法や、独自のログ分析の方法などナレッジの蓄積と活用が SIEM 構築において、重要なポイントです。
ログを活用する上で、忘れてならないのが、ログの原本保証です。改ざん可能なログは、信用できないため、折角得られた分析結果も正しいのかどうか判断できなくなります。たとえば悪意を持った 内部犯行や標的型攻撃であれば、ログを改ざんし、問題の発見を遅らせることも想定できます。よって、改ざんできない方式で、法やポリシーで定められた期間安全な場所にログを保管することは とても重要になります。

SIEMの特徴

SIEM は、従来の手法に対して次のような特徴があります.

SIEM導入後のログの活用

従来、ログはインシデントの発見や、原因分析、対応方法の決定のために使用されてきました。また、監査やレギュレーションに対応するためにもログが必要でした。
しかしながら、 SIEM ではログをもっと有効に活用し、予兆保全の実現を目指したり、業務の改善や、ビジネス拡大のためにログを活用することが期待できます。

SIEMに求められる機能

SIEM に求められる一般的な機能には、ログの収集、分析、通知、保管管理、コンソールやレポーティングなどがありますが、システム規模や置かれた状況によっても必要とすべき機能が異なります。
当然、選ぶ SIEM のソフトウェアによっても機能は異なますが、ログを活用しポリシーの適合監査でき、迅速にインシデントの兆候や、アクシデントの発生を把握し対処できる仕組みを作るための機能が必要になります。

SIEM構築のためのステップ

SIEM は、セキュリティ情報管理（ SIM ）と、セキュリティイベント管理（ SEM ）ができるソフトウェア群によって構成可能です。 SIEM は、現在のセキュリティシステムの環境に合わせ、ステップを踏んで進めることが重要です。
特に、第一段階を必須とし、第二段階まで目指すシステム構築が理想的です。
SIEM を構築するためには、高額な SIEM ソフトウェアも存在しますが、現在のシステムですでに導入されているセキュリティソフトのログや、これから強化したい分野のセキュリティツールを有効利用しながら構築ができます。

シーイーシーカスタマサービスでは、 統合ログ管理 を支援するツールや、ログの抽出、分析をするツールなど、お客様の環境にあった SIEM 構築にお役に立てるプロダクトを多彩におり揃えております。

SIEM のご相談、ご提案依頼等がございましたら、弊社の担当が誠実に対応いたします。お気軽にお申し付け下さい。

（注：SIEMの解説は、シーイーシーカスタマサービス独自の解釈に基づくものが多くSIEMの概念を保証するものではございません。）