SIEM

概要 †

• 「SOAR」と「SIEM」の違いとは？　セキュリティ業務を効率化する2大手段
• SIEMかSOARか【前編】 SIEMとSOAR――何がどう違うのか、何ができるのか
• SIEMかSOARか【後編】 導入すべきはSIEMかSOARか――企業の性質によって異なる判断基準

SIEM（Security Information and Event Management） †

• 他のセキュリティ製品やサーバ、ネットワーク機器、アプリケーション、データベースなどのデータソースから、ログやイベントに関するデータを一元的に収集する
• 収集可能なデータソースの一般的な例としては以下がある
  • ファイアウォール
    • 侵入防止システム（IPS） ... トラフィックを監視し、不正侵入を検出するシステム
  • マルウェア対策製品
  • データ損失防止（DLP）製品 ... データを解析し、機密情報が流出することを防止する
  • セキュアWebゲートウェイ（SWG) ... URLフィルタリング、プロキシサーバなどの機能を備えた統合的なWebセキュリティ製品
• 収集したデータをSIEM製品でリアルタイムに分析することにより、潜在的なセキュリティ問題の検出が可能
• 複数のソースから得たデータを相互に関連付けて脅威を特定し、各SIEM製品に備わるインテリジェンス（情報源）を参照し、その深刻度を基準にイベントをランク付けする
• セキュリティ管理者は、さまざまなイベントをふるいに掛けて、そこに潜む脅威の原因を見つけ出し、それを修正しなければならない。あるいは脅威があることを認識した上で、そのイベントに害がないことを明らかにし、分析エンジンを調整することが必要だ。
• これにより、SIEM製品が「真の脅威」と「疑わしいだけのイベント」の違いを学習できるようになる。

SOAR(Security Orchestration, Automation and Response) †

• SOAR製品は、世間で新たに登場した脅威に関するインテリジェンス、エンドポイントセキュリティ製品などのソースからデータを収集する。これによって、LAN内外のセキュリティ情勢の全容をより的確に把握することが可能だ。
• SOAR製品は、従うべき調査方針を警告に基づいて作成することで、分析のレベルを高める仕組みを持つ。

統合ログ管理との違い †

• 統合ログ管理とは？ SIEMとの違いや機能、製品の選び方について解説

製品・サービス †

Sumo Logic †

• 価格
• はじめに
• Sumo Logic vs. Splunk
• Installed Collector の要件

• Sumo Logicの記事一覧 - クラスメソッド
  • クラウドネイティブのログ管理分析SaaS「Sumo Logic」
  • Sumo LogicのNew Dashboardでフィルターを作ってみる
  • [小ネタ] Sumo Logic のデータ収集について 1 枚絵にまとめた #sumologic
  • SumoLogicへログを送るパターンをまとめてみた
  • Sumo LogicにVPCフローログのアウトバウンド通信ログだけを取り込んでみた
  • SIEMクエリ変換ツール「Sigma」を使ってみた

• 【動画】AWSマルチ環境一元管理〜ログ分析から始める効率化

• Sumo Logic、「オブザーバビリティスイート」最新版を発表

• Slack アプリケーションのログの収集

• SaaS型
• 海外の会社だが、相撲が好きな社長が設立したそうで、読み方は「すーも」でなく「すもー」らしい

Collector †

• sumologic-collector-chef-cookbook
• Tutorial: Collecting Linux Logs

Processing Rules †

• Sumo LogicにVPCフローログのアウトバウンド通信ログだけを取り込んでみた

• 特定の条件に合致するログだけを取り込む
• セキュリティインサイトを高めるために必要なログを把握した上で、コストを抑えるため不要なログを絞っていくことはSIEM運用にとって重要な課題となってくる

ビルトインApp †

• Sumo Logic セキュリティApp紹介 vol.1
• Sumo Logic セキュリティApp紹介 vol.2

事例：勤怠管理 †

• UEBA行動監視
• Sumo Logic's log visualization and trend analysis helps NTT Data detect signs of accidents and improves security.

事例：Windowsイベントログ †

• ADサーバのイベントログをSumo Logicで分析してみた

Splunk †

• SIEMとは？ SIEMの意味・メリットをわかりやすく解説

Azure Sentinel †

• Azure Sentinel の価格

• Azure Sentinelとは？企業のセキュリティを総合的に高めるインテリジェントな方法を解説

LogPoint †

• LogPoint vs. Splunk

• LogPoint- ジュピターテクノロジー　... 日本初認定パートナー
• ジュピターテクノロジー、次世代SIEMソリューション「LogPoint」最新版を販売
• ジュピターテクノロジー、業界最高レベルの安全性(EAL3+)認定の 次世代SIEM製品を販売開始　～オールインワンアプライアンス・ モジュールパッケージ・フラットなライセンスモデルで SIEMソリューションの導入・運用負荷を大幅に削減～

• サーバインストール型

Datadog †

LogRythm †

AWS S3 Bucket †

IBM QRadar †

Azure Log Analytics †

Syslog Push †

オープンソース †

• 7つのオープンソースSIEM：機能と制約