SIEM と SOAR
SIEM と SOAR は最新の SOC 運用に不可欠なテクノロジーであり、 一元的な可視性とインシデント対応の自動化を提供します。
SIEM とは？
Security Information and Event Management（SIEM）は、複数のソースからログを 収集・集約・分析し、脅威やコンプライアンス違反を特定します。
コアコンポーネント
- Log Collection: インフラ全体からログを集約
- Normalization: 異なるフォーマットを標準化
- Correlation: イベントをまたいでパターンを特定
- Alerting: 重大なイベントを通知
- Dashboards: リアルタイムのセキュリティ可視化
- Reporting: コンプライアンスとフォレンジック分析
SIEM のデータソース
- Network: Firewalls、IDS/IPS、ルーター、スイッチ
- Endpoints: ワークステーション、サーバー、モバイルデバイス
- Applications: Web サーバー、データベース、業務アプリ
- Security Tools: EDR、メールセキュリティ、DLP
- Cloud: AWS CloudTrail、Azure AD logs、GCP logs
- Identity: AD、LDAP、SSO プラットフォーム
相関ルール
複数のイベントをまたいで疑わしいパターンを特定するルールです。
ルールの例
- 複数回のログイン失敗の後に成功
- 地理的に不可能な場所からのログイン
- 権限昇格の後にラテラルムーブメント
- 時間外のデータ持ち出し
- 異常なプロセス実行パターン
相関のタイプ
- Time-based: 時間枠内のイベント
- Count-based: イベントのしきい値
- Pattern-based: 特定のイベントシーケンス
- Statistical: ベースラインからの逸脱
SIEM のユースケース
脅威検知
- マルウェア感染
- ブルートフォース攻撃
- データ持ち出し
- 内部脅威
- 高度標的型攻撃（APTs）
コンプライアンス
- PCI-DSS: アクセスのロギングとモニタリング
- HIPAA: PHI アクセスの監査証跡
- LGPD/GDPR: 個人データへのアクセスのロギング
- SOX: 財務システムの変更
フォレンジックと調査
- タイムラインの再構築
- 根本原因分析
- ユーザーアクティビティ分析
- 証拠保全
主要な SIEM ソリューション
エンタープライズ SIEM
- Splunk: 市場のリーダー、強力なサーチ
- IBM QRadar: AI を活用したアナリティクス
- Microsoft Sentinel: クラウドネイティブ SIEM
- LogRhythm: オールインワンの SIEM と SOAR
- Elastic Security: オープンソースベース
クラウド SIEM
- Sumo Logic: クラウドネイティブなアナリティクス
- Exabeam: UEBA を統合
- Rapid7 InsightIDR: 検知と対応
SOAR とは？
Security Orchestration, Automation, and Response（SOAR）は、インシデント対応の プロセスを自動化し、セキュリティツールをオーケストレーションします。
コア機能
- Orchestration: 多様なツールを統合
- Automation: playbooks を自動的に実行
- Case Management: 調査をトラッキング
- Collaboration: チーム間のワークフロー
- Threat Intelligence: 自動化されたエンリッチメント
SOAR の Playbooks
インシデントのタイプに応じた対応を自動化する、事前定義されたワークフローです。
例: フィッシング対応 Playbook
- フィッシングメールのアラートを受信
- IOCs（URLs、IPs、hashes）を抽出
- threat intelligence feeds に問い合わせ
- 他のユーザーが受信したかを確認
- メールゲートウェイで IOCs をブロック
- 類似のメールを隔離
- クリックしたユーザーの認証情報をリセット
- インシデント対応チケットを生成
- ユーザーに注意喚起メールを送信
例: マルウェア検知 Playbook
- EDR がマルウェアを検知
- エンドポイントをネットワークから隔離
- フォレンジックデータを収集
- hash を VirusTotal に送信
- 他の影響を受けたエンドポイントを SIEM に問い合わせ
- EDR policy で hash をブロック
- エンドポイントの reimaging を開始
- threat intelligence プラットフォームを更新
主要な SOAR プラットフォーム
- Palo Alto Cortex XSOAR: 市場のリーダー
- Splunk Phantom: Splunk と統合
- IBM Resilient: インシデント対応に特化
- Swimlane: ローコード自動化
- Tines: ノーコード自動化
- Siemplify (Google): セキュリティオーケストレーション
一般的なインテグレーション
SOAR は API を介して数百のツールと連携します:
- SIEM: Splunk、QRadar、Sentinel
- EDR: CrowdStrike、SentinelOne、Carbon Black
- Firewalls: Palo Alto、Fortinet、Cisco
- Threat Intel: VirusTotal、MISP、ThreatConnect
- Ticketing: ServiceNow、Jira
- Email: Office 365、Gmail、Proofpoint
- Cloud: AWS、Azure、GCP
SOAR のメリット
- スピード: 数秒での自動対応
- 一貫性: 常に同じ対応
- 効率: アナリストを複雑な業務に解放
- スケーラビリティ: 人員を増やさずに多くのアラートを処理
- ドキュメント: 自動化された監査証跡
- MTTR の削減: Mean Time To Respond
SOC 運用
ティア構造
- Tier 1: アラートの初期トリアージ
- Tier 2: 詳細な調査
- Tier 3: threat hunting と高度な分析
- SOC Manager: 調整とメトリクス
典型的なワークフロー
- SIEM/EDR/など によりアラートが生成される
- Tier 1 が真陽性（true positive）かどうかを検証
- 真であれば Tier 2 にエスカレーション
- Tier 2 が詳細に調査
- インシデントと確認されれば IR プロセスを起動
- Tier 3 が検出結果に基づいて threat hunting を実施
SOC のメトリクス
- MTTD: Mean Time To Detect
- MTTA: Mean Time To Acknowledge
- MTTC: Mean Time To Contain
- MTTR: Mean Time To Resolve
- Alert Volume: 1 日/週あたり
- False Positive Rate: パーセンテージ
- Dwell Time: 攻撃者がネットワークに滞在する時間
UEBA インテグレーション
User and Entity Behavior Analytics（UEBA）は機械学習を用いて 振る舞いの異常を検知します。
ユースケース
- 内部脅威の検知
- 侵害されたアカウントの特定
- 権限の悪用
- ラテラルムーブメントの検知
課題
アラート疲れ
- 過剰なアラート量
- 高い誤検知率
- 継続的なチューニングが必要
スキルギャップ
- 有資格なアナリストの不足
- 急峻な学習曲線
- 人材の定着が困難
コスト
- データ量に基づくライセンス
- インフラコスト
- 24/7 運用の人員配置
ベストプラクティス
- 優先度の高いユースケースから始める
- 相関ルールの継続的なチューニング
- 反復的な対応を SOAR で自動化する
- threat intelligence を統合する
- playbooks と手順を文書化する
- tabletop exercises を実施する
- メトリクスを測定し最適化する
- チームのトレーニングに投資する
SIEM と SOAR は最新の SOC の柱です。SIEM は一元的な可視性と 脅威検知を提供し、SOAR は対応を自動化してツールをオーケストレーションします。 両者を組み合わせることで、スケーラブルで効率的なセキュリティ運用が可能になります。アラートの量が 増え続ける中、SOAR による自動化は望ましいだけでなく、効果的なセキュリティを 維持するために必要不可欠なものとなっています。