SIEMとは？

01SIEMでできること・できないこと

SIEM（シーム）は、いろいろな機器やサービスの記録（ログ）を1か所に集め、まとめて分析して、怪しい動きを見つける道具です。マイクロソフトの説明では、主に3つの働きがあります。

• ログを集める：サーバー、ネットワーク機器、ファイアウォール、クラウドのアプリなどの記録を集めます。
• つなげて見る：別々の機器の出来事を結びつけます。たとえば「あるアカウントに怪しいログインがあった」と「その直後に大量の通信が外へ出た」を、同じ攻撃の流れとして捉えます。
• 見張って知らせる：決めたルールに合う動きがあれば、担当者に警告を出します。自動で対応する機能を持つ製品もあります。

1台の機器の記録だけでは気づけない攻撃の流れが見えるのが、SIEMの強みです。

できないこともあります。SIEMは道具で、警告を見て判断し、動くのは人です。マイクロソフトも、SIEMはSOCが使う技術だと説明しています。集めるログが多くなるほど、保管の費用と、見る人の手間が増えます。ルールを作り込まないと、警告が多すぎて大事なものが埋もれます。

02どんな会社・人に必要か

• 機器やクラウドサービスが多く、それぞれの記録を別々に見ていては追いつかない会社
• 取引先や監査で、ログを一定期間保管し、見られる状態にすることを求められている会社
• 社内SOCを持つ会社、または外部のSOCサービスに監視を任せる会社

パソコン数十台ほどで、セキュリティの担当者がいない会社が自分でSIEMを動かすのは負担が大きくなります。その場合は、SIEMを含めて監視を任せられるSOCやMDRのサービスを選ぶ方が現実的です。

03選ぶとき・導入するときに見ること

マイクロソフトは、導入の要点として次の点を挙げています。

• 何のために使うかを先に決める（取引先への報告、攻撃の発見、事故の調査など）。
• どの機器のログを集めるか、優先順位をつける。
• ログを何日・何年残すかを決める。
• 警告が出たときの手順と、自動で対応する範囲を決める。
• ルール、警告、画面を定期的に見直す。

費用は、集めるログの量で決まる製品が多いので、見積もりの前に1日あたりのログの量を確かめておきます。サービスはSOC・MDR・SIEMで比べられます。