しーむ
Security Information and Event Managementの略。ファイアウォール、サーバ、EDR、クラウドのサービス、認証の基盤などのログを1か所に集めて形式と時刻をそろえ、複数の出来事を組み合わせたルール(相関分析)で攻撃の疑いを検知し、警告として示す仕組み。調査のためのログの検索や、規則で求められるログの長期の保存にも使われる。SOC(セキュリティオペレーションセンター)の分析者が監視に使う、中心的な道具の1つである。
「SIEM(セキュリティ情報イベント管理)」は、1分野の2問の練習問題に出てきます(サイバー攻撃と防御の実務など)。
この用語の分野: サイバー攻撃と防御の実務
1つのログだけでは判断できない出来事も、組み合わせると攻撃の疑いが強まります。例えば「同じアカウントで短時間に多数のログインの失敗があり、その直後にふだんと違う国からのログインが成功し、続いて大量のファイルがダウンロードされた」といった流れを、1つの警告にまとめます。
検知と調査の質は、集めるログの質で決まります。必要なログを漏れなく集め、すべての機器の時計をNTPで合わせ、改ざんされにくい形で一定の期間(規則や契約で求められる期間など)保存しておくことが前提です。ログの量が増えるほど費用もかかるので、何を集めるかを目的に応じて決めます。
ルールが広すぎると誤検知が大量に出て、分析者が本物の攻撃を見落とす原因になります(アラート疲れ)。環境に合わせてルールを調整し、SOARで定型の確認を自動にすることで、分析者が重要な警告に集中できるようにします。
正解：C. SIEMは多くの機器のログを集めて相関分析する仕組み、SOARは対応の手順(プレイブック)を自動で実行する仕組み、SOCはそれらを使って監視する組織である
SIEM(Security Information and Event Management)は、ファイアウォール、サーバ、EDR、クラウドなどのログを1か所に集めて時刻をそろえ、複数の出来事を組み合わせたルール(相関分析)で、攻撃の疑いを警告として示します。SOAR(Security Orchestration, Automation and Response)は、警告に対して、情報の収集、端末の隔離、アカウントの停止といった決まった手順をプレイブックとして自動で実行し、分析者の手間を減らします。SOC(セキュリティオペレーションセンター)は、これらの仕組みを使って監視、警告の分析、インシデントかどうかの判定と報告を行う組織で、24時間の体制をとることも多くあります。SOCが判定したインシデントへの対応は、CSIRTが中心になって進めることが多くあります。
正解：B. 3人
分析者が確認する警告は 1440 × (1 − 0.75) = 360件/日で、1時間あたり 360 ÷ 24 = 15件です。1人の分析者は1時間に 60 ÷ 10 = 6件を処理できるので、必要な人数は 15 ÷ 6 = 2.5人となり、切り上げて3人です。SOARの自動処理がなければ1時間に60件となり、60 ÷ 6 = 10人が必要になります。実際には休憩やほかの業務があり、警告の件数も時間帯によって変わるので、稼働率に余裕を持たせて人数を決めます。
SIEMは、ログを集めて分析し、攻撃の疑いを見つける仕組みです。SOARは、見つかった警告に対して、情報の収集や端末の隔離などの決まった手順(プレイブック)を自動で実行する仕組みです。両方の機能を合わせて提供する製品もあります。
SIEM自体は主に検知と調査のための仕組みで、通信を遮断したりはしません。攻撃を止めるのは、SOARによる自動の対応や、EDR、ファイアウォールなどの機器、そして判断する人の役割です。
SIEM(Security Information and Event Management)は、ファイアウォール、サーバ、EDR、クラウドなどのログを1か所に集めて時刻をそろえ、複数の出来事を組み合わせたルール(相関分析)で、攻撃の疑いを警告として示します。
セキュリティの監視の体制で使われるSIEM、SOAR、SOCの役割の組み合わせとして、正しいものはどれか。Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。
EDR(Endpoint Detection and Response) セキュリティオペレーションセンター IoC(侵害の痕跡) インシデントレスポンス SBOM(ソフトウェア部品表) サイバーキルチェーン サプライチェーン攻撃 侵入検知システム(IDS) ゼロトラスト デジタルフォレンジック