SIEMの意味

SIEMはSecurity Information and Event Managementの略称で、組織内のさまざまな機器やアプリケーションからログとセキュリティイベントを収集し、時系列、送信元、利用者、資産、脅威情報などを組み合わせて分析する基盤です。NIST SP 800-92では、SIEMツールが情報システムの構成要素からセキュリティデータを集め、単一の画面で行動可能な情報として提示する用途を扱っています。SIEMは認証失敗、権限変更、マルウェア検知、異常な通信などを相関させ、アラート、ダッシュボード、検索、長期保管、監査に利用します。導入時はログの完全性、時刻同期、収集漏れ、保持期間、検索コスト、ルールの品質、誤検知、個人情報の扱いを確認します。SIEMはログを集めるだけの保管庫ではなく、検知と調査を支える運用基盤ですが、対応そのものはSOCやインシデント対応プロセスと連携します。読み方は一般に「シーム」です。

SIEMは認証失敗、権限変更、マルウェア検知、異常通信などを相関させ、個別ログでは見えにくい兆候をアラートや検索結果にまとめます。収集漏れ、時刻同期、保持期間、誤検知、検索コストを管理する必要があります。

現在は、SOCの監視、脅威検知、インシデント調査、監査ログの保管で使われます。ログを集めるだけの保管庫ではなく、検知ルール、ダッシュボード、調査、SOCや対応プロセスとの連携まで含めて設計します。