「SIEMレス」は幻想か:セキュリティチームにSIEMの機能が今も必要な理由

SIEMは多目的なツールです。サイバーセキュリティと物理セキュリティのユースケースを一つにまとめ、脅威の検知・調査・対応(TDIR)を推進します。ガバナンスや規制、コンプライアンスに対応するための記録システムとしても機能し、レジリエンスやサービス低下に関わる可観測性(オブザーバビリティ)のユースケースも支えます。用途はまだまだあります。

つまりSIEMは、組織が求める姿に応じて役割を変える存在です。そこに強みと弱みの両方があります。

SIEMのパラドックス

SIEMは強力な「シングルペイン・オブ・グラス(単一の管理画面)」になり得ます。しかし、その強みには2つの根強い課題が伴います。運用の複雑さと、データ取り込みコストです。

データが増えれば成果も上がるのか

SIEMには膨大なデータが蓄積されます。攻撃対象領域が広がるにつれ、組織はデータソースを増やし続けています。ただし、すべてのデータが同じ目的に使えるわけではありません。

• 検知と防御には、ある種類のデータが必要です。
• 調査には、何が起きたのかを説明するためのコンテキストデータが必要です。
• 監査とコンプライアンスは、報告や審査のために保管された証跡に依存します。

将来何が必要になるかを常に予測できるわけではないため、「念のため」にすべてを取り込むのが既定の運用になりがちです。ここから問題が積み重なっていきます。

まず表れるのは複雑さ

最初に表れる症状は運用面に現れます。チームは、どのデータが有用なのか、なぜ重要なのか、特定の状況でどう活用すべきなのかを見極めなければなりません。そのうえで、必要な場面でデータを見つけ、検索し、レポートにまとめ、対処可能な情報に変えられなければなりません。

そして請求書が届く

運用面の負担が定着すると、次は財務面への影響が続きます。多くの場合、取り込みコストの増大という形で表れます。

SIEMはどのようにSOCの中心になったのか

時を経て、SIEMは、かつて独立していたテクノロジーも取り込んでいきました。脅威インテリジェンスプラットフォーム、ユーザーおよびエンティティの行動分析(UEBA)、セキュリティのオーケストレーション・自動化・対応(SOAR)などです。追加のたびに、より優れたコンテキスト、より強力な検知、より緊密な対応ループが約束されました。

やがてSOCはSIEMを中心に構築されるようになり、SIEMはSOCのプロセスに固定化されました。ベンダーはこの「ロックイン」を利用しました。そこから、SIEMを分解する時代が始まり、「SIEMレス」に移行すれば得られるとされる利点が語られるようになりました。

SIEMの分解

取り込み量に応じた課金体系で、コストに圧迫されていませんか。ご心配なく。保存前に不要なデータを除外するスマートな取り込みパイプラインを追加すればよいのです。ついでに、パイプライン内で検知も実行します。これでストレージコストが下がり、検知機能も手に入ります。

データをその場で検索したい場合は、別のコンポーネントを追加します。各データソース向けにクエリを変換し、横断的に検索できるものです。それらの「検知」をトリアージして調査し、追うべきものを見極める作業が必要な場合は、すべてを自動化すると謳うエージェント型SOCを追加します。

すぐに、この構成はセキュリティ情報イベント管理、つまりSIEMそのものに聞こえてきます。違いは、コストが個々のコンポーネントに分散している点です。いわばアンバンドル型の価格体系のようなもので、ある部分での節約が、別の部分でのコンピュートコストや妥協を生みます。

本当のコスト要因はコンピュート

データ取り込みコストとストレージコストを混同しないことが重要です。上流のユースケース向けにデータを処理するにはコンピュートが必要です。一方、どれだけのデータをどのくらいの期間保持するかを決めるのはストレージの問題です。現在のストレージ価格をもってしても、コンピュートコストはストレージコストをはるかに上回ります。

本当のコスト要因はコンピュートです。データのフィルタリング、高速検索のためのインデックス作成、クエリ、レポート生成のたびに消費されます。データの再展開(リハイドレーション)、つまり分析のためにコールドストレージからホットストレージへ戻す場合には、さらに多くのコンピュートが必要です。これらのコストは、いずれも最終的に購入者に転嫁される可能性があります。

分解型のアーキテクチャにしても、根本的なタスクや「果たすべき仕事(ジョブ)」がなくなるわけではありません。それらは残り続け、従来のSIEMとは異なる方法で実行されるだけです。

SIEMレスは悪い考えなのか

実のところ、そうではありません。こうしたシステムを構築・維持できる専門知識とリソースを持つ組織にとっては、正しい選択になり得ます。これらの新しいアプローチは経済性を塗り替え、従来のベンダーに市場投入戦略の見直しを迫っています。

しかし、SIEMとは結局のところ、アーキテクチャとして組み上げられた機能の集合体です。時間がたてば、「SIEMレス」構想の一部を担うベンダーはいずれも、周辺機能を追加していきます。その結果、提供製品はやがて、ご想像のとおりSIEMのような姿になっていきます。

したがって、SIEMが必要な組織は現実的な選択を迫られます。自前で構築するか、適切な経済性を備えた完全統合型のシステムに投資するかです。最終的に、この選択は重要な意味を持ちます。

では、XDRはこの中でどこに位置づけられるのでしょうか。それについては、次回のブログで取り上げます。