セキュリティ情報およびイベント管理（SIEM）

SIEM（セキュリティ情報およびイベント管理）とは？

SIEM（Security Information and Event Management）とは、さまざまなデバイスやソフトウェアが生成するログを一元的に収集、保存、管理し、リアルタイムで分析してセキュリティ脅威を検知し、異常なイベントの発生時にアラートを発するシステムです。また、SIEMという用語は、この目的で使用されるソフトウェアも指します。

SIEMの主な機能は次のとおりです。

イベントログの収集と保存：
SIEMシステムは、ファイアウォール、WAF、ウイルス対策ソフトウェア、プロキシサーバー、オペレーティングシステム、アプリケーションなど、さまざまなソースからセキュリティ関連のイベントログを収集して保存します。ただし、ログを収集しすぎると運用負荷が増大し、正規化などの処理が複雑になる可能性があります。そのため、優先順位を付けてログソースを慎重に選定することが重要です。
ログデータの正規化：
収集したデータは、重複を排除しながら、形式と解釈を統一する必要があります。このプロセスを正規化と呼びます。
ログデータ間の相関分析：
特定のセキュリティ脅威は、単一のログエントリだけでは検出できません。SIEMシステムは複数のログエントリをまとめて分析し、個々のログからは把握できないパターンや脅威を特定します。たとえば、パスワードリスト攻撃はブルートフォース攻撃に比べてログイン試行回数がはるかに少ないため、一般的なユーザーの入力ミスと区別できません。SIEMは、送信元IPアドレスに基づいてログを集約し、同じIPアドレスから異なるIDを使用した複数回のログイン試行を検出することで、パスワードリスト攻撃を特定できます。
アラートとレポート：
SIEMは、セキュリティ脅威の兆候を示すイベントを特定すると、管理者にアラートを送信します。さらに、これらのイベントを視覚的に示すレポートを生成し、セキュリティ防御の管理改善と最適化を可能にします。

F5のBIG-IPは、セキュリティに関する広範なデータを記録し、さまざまなSIEMツールと連携できます。包括的なデータ分析と脅威検知を通じて、セキュリティ対策をさらに強化します。