SIEM

何を守るのか

SIEM（Security Information and Event Management、シーム）は、さまざまな機器やシステムが出すログを一か所に集め、相関分析して脅威やインシデントの兆候を検知・可視化する仕組みです。個々のログでは見えない攻撃の流れを、全体を突き合わせて浮かび上がらせます。

単体の防御製品というより、組織全体のセキュリティ状況を見渡す「監視の中枢」にあたります。

仕組み・位置づけ

SIEM は次のような流れで動きます。

• 収集：サーバ、ネットワーク機器、認証基盤、各種セキュリティ製品などからログを集約する。
• 相関分析：複数のログを関連づけ、単独では無害に見える事象の組み合わせから異常を見つける。
• 可視化・通知：ダッシュボードで状況を示し、疑わしい事象をアラートとして上げる。

これにより、攻撃の予兆や進行中のインシデントに気づきやすくなります。

SOC の中核と SOAR との連携

SIEM は、セキュリティ監視を担う組織 SOC（Security Operation Center）の中核ツールです。SOC の担当者は SIEM の画面とアラートを起点に、調査や対応を進めます。

検知の先にある「対応」を自動化するのが SOAR（Security Orchestration, Automation and Response）です。SIEM が見つけ、SOAR が定型的な初動を自動で回す、という組み合わせで運用負荷を下げます。

似た仕組みとの違い

• EDR：端末に絞って深く監視する。SIEM はその EDR を含む多様なログを横断して見る、より広い視点。
• 単なるログ管理：保管・検索が中心。SIEM は「相関分析して脅威を見つける」点が異なる。

SIEM はログを集めて終わりではなく、関連づけて意味を読み取るところに価値があります。

導入・運用のポイント

SIEM は導入・チューニング・運用が重いツールとして知られます。

• どのログをどう関連づけるか、検知ルールの設計と調整が継続的に必要。
• 調整が甘いとアラートが過多になり、本当に重要な兆候が埋もれる。
• 取り込むログ量が増えるほどコストもかさむ。

そのため「集められるだけ集める」のではなく、何を監視したいかを定め、ルールと対応体制をセットで育てていく姿勢が欠かせません。