防御・対策

SIEM

Security Information and Event Management

定義

SIEM（Security Information and Event Management）は組織内の複数のセキュリティ製品・サーバー・ネットワーク機器からログを一元収集し、リアルタイム分析・相関分析・アラート生成を行うセキュリティプラットフォームです。単一機器のログでは見えない「複数機器にまたがる攻撃パターン」を相関ルールで検知できます（例：多数のログイン失敗→成功→機密ファイルへのアクセスを一連の攻撃として関連付ける）。Splunk・Microsoft Sentinel・Google SecOps（Chronicle）・IBM QRadarが代表的な製品で、クラウドネイティブSIEMはAIによる異常検知とXDR統合が進んでいます。有効活用にはMITRE ATT&CKにマッピングした検知ルールの整備・ログの正規化・アラートのチューニング（ノイズ削減）・SOAR（セキュリティオーケストレーション自動対応）との統合が鍵です。SIEMはSOCの中核インフラとして、脅威の検知から対応まで一元的に支援します。

詳細解説

SIEMは大量のログデータをリアルタイムで相関分析することで、個別ログでは見えない攻撃パターンを検知します。クラウドネイティブなSIEM（Microsoft Sentinel・Google SecOps）はXDR（Extended Detection and Response）との統合が進んでいます。アラートの多さによる「アラート疲れ」が課題で、AIによるノイズ削減が重要テーマです。