セキュリティ情報・イベント管理（SIEM）は、ITおよびサイバーセキュリティシステムからデータを収集し、脅威を評価してリスクを管理する、重要なエンタープライズ向けテクノロジーです。SIEMは、リアルタイム監視、コンプライアンス順守、異常なアクティビティの特定を可能にします。ニーズに最適なSIEMツールを選べるよう、市場をリードするSIEMソリューション、その主な機能と制約を評価しました。
検討すべきSIEMツール＆ソフトウェアのベスト6は以下のとおりです。
トップSIEMソフトウェア＆ツールの比較
Exabeam Fusion SIEMのクラウドネイティブプラットフォームは、SIEM、UEBA、SOAR、自動化されたTDIRを単一のソリューションに統合します。優れた行動分析とSmart Timelinesにより、侵害されたアカウント、インサイダー脅威、異常なアクティビティを高い精度で検出しつつ、手作業による調査作業を削減します。このプラットフォームは、New-Scale Fusionアーキテクチャによる高いスケーラビリティ、長期検索可能なログ保存、豊富なインテグレーションと事前構築済み検知ライブラリによる迅速なオンボーディングを提供します。
Exabeam Fusionは強力な分析機能と自動ワークフローを提供しますが、既存のSIEMを補完するか、完全に置き換えるかによって価格が変動する場合があります。高度な検知、自動調査、エンジニアリング負荷の少ない効率的なレスポンスを求めるチームにとって、Exabeam Fusionは最も有力なクラウドネイティブSIEMの一つです。
価格
ベンダー価格: Exabeamに問い合わせ
モデル: 既存のSIEMの上に載せて拡張することも、完全に置き換えることもできる柔軟な「augment or replace」アプローチ
無料トライアル: 通常、リクエストに応じて利用可能
長所と短所
| 長所 | 短所 |
| ✔️ 深いアイデンティティおよび行動分析を備えた最高水準のUEBA | ❌ 選択したデプロイモデルによっては価格が不透明になり得る |
| ✔️ SIEM、UEBA、SOARを1つのプラットフォームに統合した真の統合TDIRワークフロー | ❌ 高度な機能は、ごく小規模なチームには過剰な場合がある |
| ✔️ クラウドネイティブなNew-Scale Fusionによる高いスケーラビリティ | ❌ クラウド採用が前提で、オンプレミス用途には制約がある |
主な機能
行動分析: ネイティブUEBAがユーザーおよびエンティティのアクティビティをベースライン化し、インサイダー脅威、侵害されたアカウント、ルールベースのシステムでは見逃しがちな異常行動を検出します。
Smart Timelines: ユーザーやアセットをまたいでイベントを相関させ、攻撃のストーリーラインを自動生成することで、手作業の調査ステップを削減し、インシデントの把握性を高めます。
統合TDIRワークフロー: SIEM、UEBA、レスポンス自動化を単一プラットフォームに統合し、ツールを切り替えることなく脅威検知、調査、対応を効率化します。
弾力的なクラウドアーキテクチャ: New-Scale Fusionは、高負荷または変動の大きいイベントボリュームに動的に対応し、クラウドファーストや急成長環境で高いパフォーマンスを発揮します。
事前構築コンテンツ＆インテグレーション: 数百の検知ルール、ダッシュボード、プレイブックと800以上のインテグレーションにより、導入を加速し、カバレッジを向上させ、価値創出までの時間を短縮します。
LogRhythm SIEM Platformは、ログ管理、脅威検知、レスポンス機能で知られる注目すべきオンプレミスSIEMソリューションです。オンプレミスでのデプロイにより、データ所有権とコンプライアンスを確保し、特定のセキュリティ要件に合わせたスケーラブルなソリューションを提供します。
SIEMにとどまらず、LogRhythmは強力なSOAR、UEBA、NDR機能も提供しており、セキュリティインフラを完全に自社管理したい組織向けに、オンプレミスのハードウェアおよびソフトウェアとして提供されます。LogRhythmはオンプレミスSIEMソリューションとして優れています。
価格
ベンダー価格: LogRhythmの営業チームに問い合わせ
無料トライアル: なし
長所と短所
| 長所 | 短所 |
| ✔️ オンプレミスSIEMの老舗かつ実績あるプロバイダー | ❌ クラウドネイティブまたはSaaSファースト環境には不向き |
| ✔️ 強力なMSPおよびリセラーパートナーのネットワーク | ❌ クラウドネイティブSIEMと比べるとAPIやインテグレーションの柔軟性が限定的 |
| ✔️ 使いやすい製品インターフェースと管理機能 | ❌ オンプレミスのリリースサイクルに合わせた従来型のアップデート頻度 |
主な機能
高度な分析: コンプライアンスおよびセキュリティのコンテキストでパターンを評価し、悪意ある活動を検出することで、プロアクティブな脅威検知を強化します。
事前構築プレイブック: アラートのトリアージ、脅威コンテキスト、ケース分類を含み、あらかじめ定義された効率的なワークフローでインシデントレスポンスを合理化します。
検知の高速化: 自動化されたワークフローにより、脅威検知とレスポンスを最適化し、迅速な修復で効果的なインシデント解決を実現します。
脅威インテリジェンス: LogRhythm Labsが有用なインサイトを提供し、最新かつ包括的な脅威インテリジェンスへのアクセスを通じてプロアクティブな防御を支援します。
データアクセス: 950以上のサードパーティデータソースと1,100の事前構成済み相関ルールセットへの広範なアクセスを提供し、より豊かで効率的な脅威分析を可能にします。
Splunk Enterprise Securityのアナリティクス重視のソリューションは、オンプレミスおよびマルチクラウド環境にスケール可能で、強力な脅威検知機能を備えています。特筆すべきは、強力なSIEM機能を提供しつつ、数千のアプリをホストし、データとワークフローをシームレスに接続できるプラットフォームによってスケーラビリティを実現している点です。
IT可観測性で知られるSplunkは、ITランドスケープを包括的に把握したい場合の最有力候補の一つです。
価格
ベンダー価格: Splunkに問い合わせ
無料トライアル: Splunk Enterprise経由で60日間利用可能
長所と短所
| 長所 | 短所 |
| ✔️ 包括的なSIEMおよびセキュリティアプローチ | ❌ 小規模チームにはリソース面での負担が大きい |
| ✔️ 柔軟なインフラとデプロイメント | ❌ 複雑で高コストになり得る料金体系 |
| ✔️ 幅広いデバイスインテグレーション | ❌ 国や地域によってサポートの充実度に差がある可能性 |
主な機能
リスク分類: ユーザーおよびシステムが各種セキュリティフレームワークにどの程度準拠しているかに基づいてリスクを分類し、確立された標準に従います。
スケーラブルなインジェスチョン: 構造化・非構造化データの両方の取り込みにスケーラビリティを提供し、多様な種類と量のデータを効率的に処理します。
組み込みの脅威インテリジェンス: 脅威インテリジェンス管理ツールを組み込み、進化するサイバー脅威を効果的に分析・対応する能力を高めます。
多様なデプロイ: クラウド、IaaS、ソフトウェア、ハードウェアアプライアンス、ハイブリッド構成など、幅広いニーズに対応できる柔軟なデプロイが可能です。
700以上の検知: MITRE、NIST、Kill Chain、CIS 20などのフレームワークに準拠した700以上の検知にアクセスでき、包括的な脅威特定と緩和を実現します。
IBM Security QRadar SIEMは、SIEM市場の進化とともに成長してきたエンタープライズに人気の製品です。IBMは、脅威検知、調査とレスポンス、SOAR、SIEM、EDR、XDRを、ハイブリッドクラウドユーザー向けの1つのプラットフォームサービスとしてより効果的に統合するため、IBM Security QRadar Suiteを立ち上げました。
グローバルなプレゼンスにより、地域ごとのサポート、各地域の規制に関する専門知識、広範なチャネルを提供し、世界各地で信頼できる選択肢となっています。
価格
無料版: QRadar Community Editionを通じて利用可能だが機能は限定的
カスタムプラン: 見積もりはIBMに問い合わせ
無料トライアル: 一部のMSSP経由で利用可能
長所と短所
| 長所 | 短所 |
| ✔️ ユーザー行動分析とネットワークフローインサイトを備えたAI駆動 | ❌ 導入と実装が難しい |
| ✔️ 広範なグローバルセキュリティポートフォリオと専門知識 | ❌ 古く複雑なユーザーインターフェース |
| ✔️ 幅広いセキュリティエコシステムとシームレスなQRadar SIEM統合 | ❌ 製品サポートやプラットフォーム開発に対する懸念 |
主な機能
継続的モニタリング: オンプレミスおよびクラウド環境全体を継続的に監視し、キルチェーン全体の可視性を提供します。
脅威インテリジェンス: IBMのSecurity X-ForceおよびSTIX/TAXIIフィードによって強化され、セキュリティ対策を強化する包括的な脅威情報を提供します。
コンプライアンスリソース: HIPAA、SOX、ISO、PCI、NIST、GLBA、GDPR、CCPA向けの資料を含む包括的なコンプライアンス支援を提供します。
多様なデプロイ: ハードウェアアプライアンス、ソフトウェア、SaaS、仮想マシンなどのオプションを提供し、オンプレミスおよびIaaS環境に対応します。
インテグレーションアクセス: 450以上のインターフェース、API、SDKへのアクセスを提供し、複数のセキュリティエコシステムとのシームレスな統合を可能にします。
革新的なアプローチで知られるSecuronixは、SOAR統合機能でも際立っています。Unified Defense SIEMは、SIEM、脅威検知、調査、レスポンスとシームレスに統合されます。
脅威検知のためのAutonomous Threat Sweeperは、Snowflake Data Cloudを活用してデータ検索性を高めています。Threat Coverage Analyzerは、MITRE ATT&CKやUS-CERTなどの業界標準に沿ってセキュリティギャップを評価します。
価格
ベンダー価格: Securonix Security Operations and Analytics Platformに問い合わせ
無料トライアル: SaaSオファリングで利用可能
長所と短所
| 長所 | 短所 |
| ✔️ 統合SOARによりインシデントレスポンスを加速 | ❌ ロールベースアクセス制御（RBAC）が限定的 |
| ✔️ プレイブックとワークフローガイドによりレスポンス時間を短縮 | ❌ プラットフォームの学習曲線が急 |
| ✔️ 追加コストなしの組み込み脅威インテリジェンス | ❌ ベーシックなSIEMサブスクリプションでも他社より高価 |
主な機能
マルチ環境インジェスチョン: クラウド、オンプレミス、ハイブリッド環境向けの集中インジェスチョンを備え、統一コンソールでデータ収集を効率化します。
長期検索: 包括的な履歴データ検索機能を提供し、長期にわたって進行する脅威の検出と管理を可能にします。
クラウドネイティブプラットフォーム: オンデマンドスケーリングを前提に設計され、SaaSサブスクリプションモデルにより、クラウドベースのセキュリティ運用に柔軟性と効率性をもたらします。
豊富なクラウドコネクタ: 350以上のコネクタとAPIベースのインターフェースにより、さまざまなクラウドソースからの広範なデータ収集を可能にします。
ユースケースコンテンツ: 調査用ワークベンチを用いて、業界の事例に基づくケースを構築でき、実践的な適用と分析を強化します。
Rapid7は、フラッグシップであるSIEM-XDRハイブリッドソリューションInsightIDRを通じて、包括的なSIEMプラットフォームを提供しています。エンドポイントへの過度な依存や、限られたイベントソースのみを使用するという課題を解決します。
ハニーポット、ハニーユーザー、ハニー認証情報、ハニーファイルを含むディセプションスイートにより、攻撃チェーン全体での脅威検知を強化します。これらのトラップは継続的な攻撃者リサーチを活用し、侵害に対する効果的な防御のためにリアルタイムかつファイルレベルの可視性を提供します。
価格
カスタムプラン: 見積もりはRapid7に問い合わせ
無料トライアル: 30日間利用可能
長所と短所
| 長所 | 短所 |
| ✔️ 比較的インストールが容易 | ❌ 自動化が限定的 |
| ✔️ デフォルトで13か月分の検索可能なデータ保持 | ❌ 誤検知が多い |
| ✔️ 事前構築されたコンプライアンスコンテンツを搭載 | ❌ 帯域幅を多く消費するシステムスキャン |
主な機能
ネットワークトラフィック分析: 厳選された侵入検知システム（IDS）が実際の脅威にフォーカスします。追加のネットワークメタデータを表示して、アクティビティの規模を把握できます。
UEBA: ネットワークアクティビティを特定の個人やエンティティに自動的に相関付けます。
組み込み脅威インテリジェンス: 検知ライブラリは、機械学習、強化された攻撃面マッピング、オープンソースコミュニティからの脅威インテリジェンスを組み合わせています。
MITRE ATT&CKとの整合性: MITREフレームワークを用いて攻撃者およびUEBA検知をマッピングし、脅威アクターが最も多用する戦術・手法・手順を明らかにします。
ディセプションテクノロジー: 4種類の侵入者トラップを提供し、エンドポイントに偽のハニー認証情報を注入してハッカーを欺きます。
SIEMツールは、多くの場合、他のネットワークセキュリティツールの優れた要素、たとえば高度な脅威検知、エンドポイント／拡張検知・レスポンス（EDR/XDR）統合、MITRE ATT&CKマッピングとサポート、UEBAなどを取り込み、脆弱性と脅威を徹底的に検出します。
SIEMツールを選定する際は、以下の主な機能と能力を検討してください。
高度な脅威検知: 高度なアルゴリズムと分析手法を用いて、複雑かつ進化するサイバー脅威を検出・無力化します。
EDR/XDR統合: エンドポイントや複数環境にわたるリアルタイム監視、検知、レスポンスの機能を統合します。
柔軟なインフラとデプロイ性: 複数の環境での柔軟なデプロイをサポートし、企業が個々のニーズや好みに応じてオンプレミス、クラウド、ハイブリッド、仮想構成を選択できるようにします。
脅威インテリジェンスプラットフォームとの統合: ERP（基幹業務システム）、ビッグデータ、ID・アクセス管理（IAM）、脅威インテリジェンスプラットフォームを統合し、全体的なセキュリティインテリジェンスとコンテキストを向上させます。
MITRE ATT&CKマッピングとサポート: MITRE ATT&CKフレームワークに準拠し、敵対者の戦術・技術・手順を標準化された形でマッピングすることで、脅威インテリジェンス分析を容易にし、検知能力を高めます。
統合管理、アセットディスカバリ、コンプライアンスレポート: セキュリティプロセスを合理化し、規制遵守を確保するための統合プラットフォームを提供します。
ユーザー・エンティティ行動分析（UEBA）: ユーザーおよびエンティティのアクティビティパターンを追跡・分析し、通常の行動からの逸脱に基づいて潜在的なインサイダー脅威や不正アクセスを特定します。
ベストSIEMツールの評価方法
eSecurityPlanetの体系的な評価では、評価項目をコア機能、コスト、高度な機能、使いやすさとセットアップ、カスタマーサポートの5つのカテゴリに分類し、それぞれにサブ基準を設けました。公平な評価を行うため、各サブ基準に対して1〜5の評価スコアを割り当てました。
コア機能 – 25%
これには、脅威ハンティング、効率的なデジタルフォレンジクス、効果的なインシデントレスポンス、統合管理、コンプライアンスレポート、EDR/XDR統合、高度な脅威検知、UEBA、包括的な整合性モニタリングなど、SIEMの主要なセキュリティ態勢機能が含まれます。
この基準の受賞者: 複数の製品
コスト – 20%
コストでは、無料トライアルの有無、透明でアクセスしやすい料金体系、ワークステーションやサーバー単位のスケーラビリティを考慮したコスト、プランの柔軟性などの要素を検証しました。
この基準の受賞者:Rapid7 InsightIDR
高度な機能 – 20%
脆弱性モニタリング、SOAR統合、すぐに使えるコンテンツの有無、多様なプラットフォームとのシームレスな統合など、追加ではあるものの価値の高い機能を考慮しました。
この基準の受賞者:Exabeam Fusion
使いやすさ＆セットアップ – 20%
ここでは、高度な自動化、充実したナレッジリソース、最小限の技術的セットアップ要件、ダッシュボードの直感性、G2、Capterra、TrustRadiusなどのプラットフォームにおけるユーザー体験を評価しました。
この基準の受賞者: 複数の製品
カスタマーサポート – 15%
カスタマーサービスチャネルのアクセス性と有効性を反映し、ライブチャットの利用しやすさ、メール対応の迅速さ、ドキュメント、デモ、トレーニング資料の質を評価しました。また、G2やCapterraなどのプラットフォームにおけるユーザー体験も反映しています。
この基準の受賞者:Exabeam Fusion
SIEMプラットフォームがエンタープライズセキュリティにとってどれほど重要かを理解するには、セキュリティインシデントと関係するデータの規模を考えてみてください。大企業では、1秒あたり25,000件以上のイベントを生成し、50TB以上のデータストレージを必要とする場合があります。SIEMの効率的なデータフィルタリングは、重要なセキュリティ問題を優先順位付けし、管理性を高めます。自社のデジタルオペレーションを保護するために適切なツールを選択し、本格導入前に無料トライアルやデモを活用して試用しましょう。
SIEMシステムは多様なセキュリティメカニズムからのデータに依存することが多いため、一般的なネットワークセキュリティ保護を理解しておくと、これらのイベントをより効果的に解釈し、優先順位を付けるのに役立ちます。
翻訳元: https://www.esecurityplanet.com/products/siem-tools/
