「SIEM レス」セキュリティは本当に言葉通りのものなのか？

SIEM は多目的ツールです。サイバーセキュリティと物理セキュリティのユースケースを統合し、TDIR (脅威の検知、調査、対応) を推進し、ガバナンス/規制/コンプライアンスの要件を満たす記録システムとして機能し、レジリエンスやサービス低下に関連する可観測性のユースケースをサポートします。その役割は多岐にわたります。

要するに、SIEM は「組織が望むものになる」のです。そこに強みと弱みの両方が存在します。

SIEM のパラドックス

SIEM は、一元管理を可能にする、強力な「単一の管理画面」になり得ます。しかし、その強みには「運用上の複雑さ」と「データ取り込みコスト」という 2 つの根深い課題が伴います。

データが増えれば、成果は向上するのか?

SIEM は膨大な量のデータを保存します。攻撃対象領域が拡大するにつれ、組織はデータソースを追加し続けます。しかし、すべてのデータが同じ目的を果たすわけではありません。

• 検知と防御には、特定のデータセットが必要です。

• 調査には、何が起きたかを説明するためのコンテキストデータが必要です。

• 監査とコンプライアンスには、報告やレビューのために保持された証拠が不可欠です。

将来何が必要になるかを常に予測できるわけではないため、デフォルトでは「万が一に備えて」すべてを取り込むことになりがちです。そしてここから、問題が複雑化し始めます。

まず複雑さが生じる

最初の兆候は運用面に見られます。各チームは、どのデータが有用か、なぜ重要なのか、そして特定の状況下でそのデータをどのように適用すべきかを判断しなければなりません。次に、そのデータを見つけ出し、レポートを作成し、いざという時に実用的な情報に変換できる必要があります。

そして届く請求書

運用上の負担が確定すると、その後に財務的な影響が発生します。多くの場合、それはデータ取り込みコストの急増という形で現れます。

SIEM はどのようにして SOC の中心的存在となったのか

時間の経過とともに、SIEM はかつて独立していたテクノロジー、例えば脅威インテリジェンスプラットフォーム、ユーザー/エンティティ動作分析 (UEBA)、SOAR なども取り込んできました。テクノロジーが追加されるたびに、より優れたコンテキストの理解、より強力な検知、あるいはより緊密な対応ループが約束されました。

SOC は瞬く間に SIEM を中心に構築されるようになり、SIEM は SOC プロセスに固定化され、ベンダーはこの「ロックイン」の環境を活用しました。こうして SIEM 脱構築の時代が到来し、それに伴って「SIEM レス」化がもたらすとされたメリットが注目されるようになりました。

SIEM の脱構築

データ取り込みベースの料金体系によってコストが増大していませんか？心配いりません。保存する前に不要なデータを除外する、スマートな取り込みパイプラインを追加してください。そのついでに、パイプライン内で検知を実行しましょう。これでストレージコストを削減し、同時に検知機能も獲得できます。

データをその場で検索する必要がありますか？各データソース向けにクエリを変換することで、複数のソースを検索できる別のコンポーネントを追加してください。これらすべての「検知結果」をトリアージして調査し、どれを追跡すべきかを判断する必要がありますか？それなら、すべてを自動化してくれるエージェント型 SOC を追加してください。

そうこうしているうちに、この集合体は「セキュリティ情報およびイベント管理」、すなわち SIEM と酷似したものになっていきます。違いは、コストが個々のコンポーネントに分散されている点です。これは、ある場所でのコスト削減が別の場所でのコンピュートコストや妥協を生み出す、アンバンドル型の価格構造になっていきます。

真のコスト要因: コンピュート

重要なのは、データ取り込みコストとストレージコストを混同しないことです。上流のユースケース向けにデータを処理するにはコンピュートリソースが必要です。そして、保持するデータの量と期間を決定するにはストレージが必要です。今日のストレージ価格であっても、コンピュートコストはストレージコストをはるかに上回ります。

コンピュートこそが真のコスト要因です。データがフィルタリングされる時、高速検索のためにインデックスが作成される時、クエリが実行される時、あるいはレポート生成に使用される時に消費されます。また、データをリハイドレートする (分析のためにコールドストレージからホットストレージに移動させる) 必要がある場合、より多くのコンピュートリソースが必要になります。これらのコストの一部またはすべてが、最終的に購入者に転嫁される可能性があります。

脱構築されたアーキテクチャであっても、基本のタスクや「遂行すべき業務」がなくなるわけではありません。それらは依然として存在しており、従来の SIEM とは異なる方法で実行されているだけです。

SIEM レスは悪いアイデアなのか？

実際のところ、悪いアイデアではありません。そのようなシステムを構築・維持するための専門知識とリソースを持つ組織にとっては、正しい選択となり得ます。こうした新しいアプローチによって経済性は再構築されており、従来のベンダーは市場参入戦略の見直しを迫られています。

しかし、結局 SIEM とは、1 つのアーキテクチャに組み込まれた一連の機能に過ぎません。SIEM レスというコンセプトを部分的に提供するベンダーはこれからも、隣接する機能を徐々に追加していくでしょう。その結果、SIEM のようなものが出来上がります。

したがって、SIEM を必要とする組織は、DIY (自作) の道を選ぶか、コスト効率が適切な完全統合型システムに投資するか、という選択を迫られます。結局のところ、その選択が重要になります。

では、こうした状況の中で XDR はどのような位置づけになるのでしょうか？その詳細については、次回のブログでお伝えします。