SIEM.

Security Information and Event Management(SIEM)は、SOC の中核となるログ分析基盤です。ファイアウォール、エンドポイント、ID プロバイダ、クラウド API、アプリケーション、ネットワークセンサーからログとテレメトリを取り込み、正規化して保存したうえで、相関ルール、統計的ベースライン、機械学習モデルによって優先度付きアラートを生成します。最新の SIEM(Splunk、Microsoft Sentinel、Elastic、Chronicle、QRadar など)は、Detection as Code、UEBA、脅威インテリジェンスによるエンリッチメント、SOAR との連携による自動対応にも対応します。SIEM はインシデント調査、コンプライアンス報告、長期的なフォレンジック保管における正本となるシステムです。

SIEM がイベントを処理する流れ

flowchart LR
  A[ソース: FW、EDR、IdP、クラウド、アプリ] --> B[コレクタ / フォワーダ]
  B --> C[パースしてスキーマへ正規化]
  C --> D[エンリッチ: 脅威情報、資産、地理、ID]
  D --> E[インデックスと保存]
  E --> F{相関ルールと UEBA ベースライン}
  F -->|一致| G[優先度付きアラート]
  F -->|不一致| H[ハンティングと監査用に保管]
  G --> I[SOAR プレイブック / アナリスト分析]

収集より「チューニング」が重要な理由

SIEM は、明らかにした事象に誰かが対応して初めて役立ちます。2013 年の Target 侵害では、同社の FireEye と監視スタックは 11 月 30 日と 12 月 2 日に実際にマルウェアのアラートを生成し、バンガロールの監視チームがミネアポリスへエスカレーションしましたが、誰も調査せず、自動隔離機能も無効化されていました。侵害を最終的に発見したのは外部の決済処理業者であり、Target 自身のツールではありませんでした。教訓は、収集は安価だが有用なシグナルの抽出は難しいということです。アラート疲れ、所有者不在のユースケース、未調整のルールは、SIEM を高価なログ倉庫に変えてしまいます。優れたプログラムでは、検知を MITRE ATT&CK に沿ってバージョン管理されたコードとして扱い、平均検知時間(MTTD)を測定し、ノイズの多いルールを整理し、OCSF などのオープンスキーマに対してテレメトリを正規化してベンダー間で移植可能にします。保管は、セキュリティログの保存期間とその完全性の保護方法を定める規制(PCI DSS、HIPAA、SOX)も満たす必要があります。