セキュリティ情報とイベント管理

セキュリティ情報およびイベント管理 (SIEM) は、コンピュータセキュリティの分野であり、セキュリティ情報管理(SIM) とセキュリティイベント管理(SEM)を組み合わせて、アプリケーションとネットワークハードウェアによって生成されたセキュリティアラートのリアルタイム分析を可能にします。^{[1] [2] SIEM システムは}セキュリティオペレーションセンター(SOC)の中心であり、セキュリティインシデントの検出、調査、および対応に使用されます。^[3] SIEM テクノロジーは、さまざまなシステムからデータを収集して集約し、組織が脅威から保護しながらコンプライアンス要件を満たすことを可能にします。

SIEMツールは、ソフトウェア、ハードウェア、またはマネージドサービスとして実装できます。^[4] SIEMシステムは、セキュリティイベントを記録し、医療保険の携行性と責任に関する法律（HIPAA）やペイメントカード業界データセキュリティ基準（PCI DSS）などの規制フレームワークを満たすレポートを生成します。SIEM内でSIMとSEMを統合することで、組織はセキュリティイベントを監視し、脅威にリアルタイムで対応するための集中型アプローチを実現できます。

SIEM という用語は、2005 年にGartner のアナリストである Mark Nicolett 氏と Amrit Williams 氏によって初めて導入されましたが、脅威インテリジェンスや行動分析などの高度な機能を組み込むように進化し、SIEM ソリューションによってゼロデイ脆弱性やポリモーフィック マルウェアなどの複雑なサイバーセキュリティの脅威を管理できるようになりました。

近年、SIEM は国家のサイバーセキュリティの取り組みにますます組み込まれるようになっています。たとえば、2021 年にジョセフ・バイデン米国大統領が署名した大統領令 14028 では、連邦システムにおけるインシデントの検出と報告を改善するために SIEM 技術の使用が義務付けられています。これらの義務への準拠は、コンピューター セキュリティ ログを管理するためのベスト プラクティスを概説した NIST SP 800-92 などのフレームワークによってさらに強化されています。^[2]

当初、システム ログは主にトラブルシューティングとデバッグに使用されていました。しかし、オペレーティング システムとネットワークが複雑になるにつれて、システム ログの生成も増加しました。高度なサイバー攻撃の増加と、リスク管理フレームワーク(RMF)内でのセキュリティ制御のログ記録を義務付ける規制フレームワークへの準拠の必要性により、システムログの監視もますます一般的になっています。

1970年代後半から、ワーキンググループは監査と監視プログラムの管理基準を確立し始め、内部脅威の検出やインシデント対応などの現代のサイバーセキュリティ実践の基礎を築きました。この時期の重要な出版物は、NISTの特別出版物500-19でした。^[5]

2005 年、ガートナー社のアナリストであるマーク・ニコレット氏とアムリット・ウィリアムズ氏によって「SIEM」（セキュリティ情報およびイベント管理）という用語が発表されました。SIEM システムは、情報システムからセキュリティ データを収集し、それを実用的なインテリジェンスとして提示するための単一のインターフェイスを提供します。^[6]米国国立標準技術研究所は、 SIEM を次のように定義しています。「情報システム コンポーネントからセキュリティ データを収集し、そのデータを単一のインターフェイスを介して実用的な情報として提示する機能を提供するアプリケーション」^[2] さらに、NIST は連邦政府が義務付けた RMF を設計および実装しました。

RMF が世界規模で導入され、監査と監視が情報保証とセキュリティの中心になりました。サイバーセキュリティの専門家は現在、これらのプロセスを分析タスクに組み込むガバナンス モデルに基づいて、ログ データを利用してリアルタイムのセキュリティ機能を実行しています。1990 年代後半から 2000 年代にかけて情報保証が成熟するにつれて、システム ログを一元管理する必要性が生じました。ログ管理を一元化することで、ネットワーク システム全体の監視と調整が容易になります。

2021年5月17日、ジョセフ・バイデン米大統領は大統領令14028号「国家のサイバーセキュリティの向上」に署名し、監査ログやエンドポイント保護などのさらなるログ記録要件を確立し、インシデント対応能力を強化した。^{[7]この命令は、重要なインフラを標的とした}ランサムウェア攻撃の増加に対応したものである。この命令は、RMF内の情報保証管理を強化することで、コンプライアンスを推進し、サイバーセキュリティイニシアチブの資金を確保することを目的としていた。

2006 年 9 月に発行された NIST SP 800-92 コンピュータ セキュリティ ログ管理ガイドは、NIST リスク管理フレームワーク内で、監査対象をガイドする重要なドキュメントとして機能します。「SIEM」という用語がないことからもわかるように、このドキュメントは SIEM テクノロジが広く採用される前にリリースされました。^{[8] [9]}発行以来テクノロジが急速に変化したため、このガイドは網羅的ではありませんが、業界の成長を予測することで関連性を保ちます。NIST は、監査と監視の規制メカニズムに関するガイダンスの唯一のソースではなく、多くの組織は、ホストベースのチェックだけに頼るのではなく、SIEM ソリューションを採用するよう奨励されています。

NISTのログ記録ガイダンスを参照している規制や標準は数多くあり、その中には連邦情報セキュリティマネジメント法（FISMA）^[10] 、グラム・リーチ・ブライリー法（GLBA）^[11]、医療保険の携行性と責任に関する法律（HIPAA）^[12]、2002年のサーベンス・オクスリー法（SOX）^[13] 、ペイメントカード業界データセキュリティ基準（PCI DSS）^[14]、ISO 27001 ^[15]などがあります。公的機関や民間組織は、セキュリティポリシーの中でNISTの文書を頻繁に参照しています。

NIST SP 800-53 AU-2 イベント監視は、システム監査をサポートし、情報保証とサイバーセキュリティ運用の継続的な監視を保証する重要なセキュリティ制御です。SIEM ソリューションは通常、これらの取り組みの中心的なツールとして採用されています。機密性、整合性、可用性 (CIA) への影響に基づいて分類された連邦システムには、満たさなければならない 5 つの特定のログ要件 (AU-2 ae) があります。^[16]すべてのアクションをログに記録することは可能ですが、ログの量と実用的なセキュリティ データの必要性から、通常は推奨されません。AU-2 は、組織が他の制御と一致するログ記録戦略を構築するための基盤を提供します。

NIST SP 800-53 SI-4 システム監視は、不正アクセスの検出、異常、マルウェア、潜在的な攻撃の追跡など、システム監視の要件を概説しています。このセキュリティ制御では、疑わしいアクティビティを検出するためのハードウェアとソフトウェアの両方の要件が指定されています。^[17]同様に、リビジョン5で追加されたNIST SP 800-53 RA-10 脅威ハンティングは、従来の制御を回避する脅威を特定することで、プロアクティブなネットワーク防御を強調しています。SIEMソリューションは、脅威ハンティングチームのセキュリティ情報を集約する上で重要な役割を果たします。^[18]

AU-2、SI-4、RA-10は、NISTコントロールが包括的なセキュリティ戦略にどのように統合されるかを示しています。SIEMソリューションによってサポートされるこれらのコントロールは、連邦および民間ネットワーク全体にわたる継続的な監視、リスク評価、および徹底した防御メカニズムを確保するのに役立ちます。^[18]

SEM、SIM、SIEMの頭字語は互換的に使用されることもありますが^[19]、一般的には製品の主な焦点が異なることを指します。

• ログ管理：ログメッセージと監査証跡の単純な収集と保存に重点を置きます。 ^[8]
• セキュリティ情報管理（SIM）：ログデータの長期保存、分析、報告。^[20]
• セキュリティ イベント マネージャー( SEM ): リアルタイム監視、イベントの相関、通知、コンソール ビュー。
• セキュリティ情報およびイベント管理（SIEM）：SIMとSEMを組み合わせ、ネットワークハードウェアとアプリケーションによって生成されたセキュリティアラートのリアルタイム分析を提供します。^{[4] [引用が必要]}
• マネージド セキュリティ サービス: ( MSS ) またはマネージド セキュリティ サービス プロバイダー: (MSSP): 最も一般的なマネージド サービスは、接続性と帯域幅、ネットワーク監視、セキュリティ、仮想化、および災害復旧を中心に展開されているようです。
• サービスとしてのセキュリティ ( SECaaS ) : これらのセキュリティ サービスには、認証、ウイルス対策、マルウェア/スパイウェア対策、侵入検知、侵入テスト、セキュリティ イベント管理などが含まれることがよくあります。

実際には、この分野の多くの製品にはこれらの機能が混在しているため、重複する部分が多く、また多くの商用ベンダーも独自の用語を使用しています。^[21]多くの場合、商用ベンダーはこれらの機能のさまざまな組み合わせを提供しており、SIEM 全体が改善される傾向があります。ログ管理だけではネットワーク セキュリティに関するリアルタイムの洞察は得られず、SEM だけでは詳細な脅威分析に必要な完全なデータは得られません。SEM とログ管理を組み合わせると、SIEM が監視できる情報が増えます。

主な焦点は、ユーザーとサービスの権限、ディレクトリサービス、その他の^{[説明が必要]}システム構成の変更を監視し、管理を支援すること、およびログの監査とレビュー、インシデント対応を提供することです。^[20]

• データ集約: ログ管理は、ネットワーク、セキュリティ、サーバー、データベース、アプリケーションなど、さまざまなソースからデータを集約し、監視対象データを統合して重要なイベントを見逃さないようにする機能を提供します。
• 相関:共通の属性を探し、イベントを意味のあるバンドルにリンクします。このテクノロジーは、さまざまな相関技術を実行してさまざまなソースを統合し、データを有用な情報に変換する機能を提供します。相関は通常、完全なSIEMソリューションのセキュリティイベント管理部分の機能です。^[22]
• アラート:相関イベントの自動分析。
• ダッシュボード:ツールはイベント データを取得して情報チャートに変換し、パターンの確認や標準パターンを形成していないアクティビティの識別に役立ちます。
• コンプライアンス：アプリケーションを使用してコンプライアンスデータの収集を自動化し、既存のセキュリティ、ガバナンス、監査プロセスに適応したレポートを作成することができます。^[23]
• 保持:履歴データの長期保存により、時間の経過に伴うデータの相関関係を容易にし、コンプライアンス要件に必要な保持を提供します。ネットワーク侵害が侵害発生時に発見される可能性は低いため、ログデータの長期保存はフォレンジック調査において重要です。^[24]
• フォレンジック分析：特定の基準に基づいて、異なるノードや期間のログを検索する機能。これにより、頭の中でログ情報を集約したり、何千ものログを検索したりする必要性が軽減されます。^[23]

SIEMのアーキテクチャはベンダーによって異なる場合がありますが、一般的にはSIEMエンジンを構成する必須コンポーネントで構成されています。SIEMの必須コンポーネントは次のとおりです。^[25]

• データコレクターは、ホストから選択された監査ログを転送します（エージェントベースまたはホストベースのログストリーミングをインデックスと集約ポイントに転送します）^{[26] [27]}
• 解析、相関、データ正規化のための取り込みおよびインデックスポイント集約ポイント^[28]
• 視覚化、クエリ、レポート、アラートに使用される検索ノード（分析は検索ノード上で行われる）^[29]

基本的な SIEM インフラストラクチャを右の図に示します。

コンピュータセキュリティ研究者のクリス・クベッカは、ハッキングカンファレンス28C3（カオスコミュニケーションコングレス）で発表したSIEMのユースケースを次のように特定しました。^[30]

• SIEM の可視性と異常検出は、ゼロデイやポリモーフィック コードの検出に役立ちます。主な理由は、急速に変化するこの種のマルウェアに対するウイルス対策の検出率が低いためです。
• ログを送信できる限り、コンピューターやネットワーク デバイスの種類に関係なく、解析、ログの正規化、分類が自動的に行われます。
• セキュリティ イベントとログ障害を使用した SIEM による視覚化は、パターン検出に役立ちます。
• 誤った構成やセキュリティの問題を示す可能性のあるプロトコルの異常は、パターン検出、アラート、ベースライン、ダッシュボードを使用する SIEM で特定できます。
• SIEMS は、秘密の悪意のある通信や暗号化されたチャネルを検出できます。
• SIEM によってサイバー戦争を正確に検出し、攻撃者と被害者の両方を発見できます。

SIEM システムには、数百から数千の相関ルールがあります。これらの中には単純なものもあれば、複雑なものもあります。相関ルールがトリガーされると、システムはサイバー攻撃を軽減するための適切な手順を実行できます。通常、これにはユーザーへの通知の送信、システムの制限、場合によってはシャットダウンが含まれます。

ブルート フォースの検出は比較的簡単です。ブルート フォースは、継続的に変数を推測しようとすることに関連しています。最も一般的には、手動またはツールを使用して、誰かが継続的にパスワードを推測しようとすることを指します。ただし、システム上の URL や重要なファイルの場所を推測しようとすることを指す場合もあります。

1 分間に 60 回パスワードを入力することは不可能なので、自動化されたブルート フォース攻撃は簡単に検出できます。

ユーザーがシステムにログインすると、一般的にはイベントのタイムスタンプが作成されます。時間とともに、システムは、使用されたデバイス、物理的な場所、IP アドレス、不正なログイン試行など、他の有用な情報を記録することがよくあります。収集されるデータが多いほど、そこから得られる情報も増えます。あり得ない移動の場合、システムは現在のログイン日時と最後のログイン日時、および記録された距離の差を確認します。1 分以内に数百マイル移動するなど、これが発生する可能性がないと判断された場合は、警告が発せられます。

現在、多くの従業員やユーザーが物理的な場所を隠してしまう可能性のある VPN サービスを使用しています。このようなルールを設定するときは、この点を考慮する必要があります。

平均的なユーザーは、通常、システム上のファイルを繰り返しコピーしたり移動したりすることはありません。したがって、システム上で過度なファイル コピーが行われると、組織に危害を加えようとする攻撃者によるものと考えられます。残念ながら、誰かがネットワークに不正にアクセスして機密情報を盗もうとしているという単純な話ではありません。会社の情報を売りたい従業員や、週末にファイルを持ち帰りたいだけの従業員である可能性もあります。

DDoS (分散型サービス拒否) 攻撃は、企業や組織に重大な損害を与える可能性があります。DDoS 攻撃は、Web サイトをオフラインにするだけでなく、システムを弱体化させる可能性もあります。適切な相関ルールが設定されていれば、SIEM は攻撃の開始時にアラートをトリガーし、企業が重要なシステムを保護するために必要な予防措置を講じられるようにする必要があります。

ファイル整合性および変更監視 (FIM) は、システム上のファイルを監視するプロセスです。システム ファイルに予期しない変更があると、サイバー攻撃の兆候である可能性があるため、アラートがトリガーされます。

イベント条件を警告するカスタマイズされたルールの例としては、ユーザー認証ルール、検出された攻撃、検出された感染などがあります。^[31]

• コンピュータセキュリティインシデント管理
• サイバーセキュリティ投資のためのゴードン・ローブモデル
• ITリスク
• ログ管理
• ネットワーク検出と応答
• セキュリティオーケストレーション、自動化、対応

• コンプライアンスのための重要な SIEM 相関ルール。