SIEM チェックリスト: SIEM を評価するための具体的な指標

SIEM 脅威分析の核心はルールにあります。各ルールの核心は、特定の期間内に特定の回数発生する特定のイベントを定義することです。課題は、特定の環境における正常なトラフィックと異常なトラフィックを区別するためにこれらのしきい値を設定することです。このプロセスでは、システムを数週間実行してトラフィック パターンを分析し、ネットワーク ベースラインを確立する必要があります。驚くべきことに、多くの組織は独自の環境に合わせて SIEM を微調整していません。調整しないと、SIEM ツールはセキュリティ チームに無用なアラートを無限に送りつけ、圧倒する恐れがあります。資産の優先順位付けは応答時間の効率を高めるのに役立ちますが、ルールのカスタマイズにより、チームはそもそも誤検知を減らすことができます。

さらに詳しく見てみると、2 種類のルールが存在します。相関ルールは上記のルールで、生のイベント データを取得して実用的な脅威情報に変換します。他の資産検出ルールも重要ですが、SIEM ツールは、すべてのログに関連する OS、アプリケーション、およびデバイス情報を特定することで、より多くのコンテキストを追加できます。これらは、SIEM ツールが SQL 攻撃が進行中に優先度の高いアラートを送信するだけでなく、攻撃がそもそも成功する可能性があるかどうかを判断する必要があるため、非常に重要です。

たとえば、フィード内の IP 範囲が既知のハッカー グループのものである場合、システムは関連するイベントの重要度を上げることができます。地理位置情報データも役割を果たし、ネットワーク トラフィックの発信元または送信先に基づいて重要度を調整するのに役立ちます。ただし、低品質の脅威フィードは誤検知を大幅に増加させる可能性があるため、信頼性が高く定期的に更新されるフィードを選択することが重要です。

誤検知は、単なる小さな不便ではありません。特に早朝にすぐに対応する必要があるアラートにつながる場合は、大きな混乱を招く可能性があります。これらの不要なアラートは睡眠を妨げるだけでなく、セキュリティ担当者のアラート疲れにもつながり、応答時間が遅くなったり、真の脅威を見逃したりする可能性があります。SIEM システムが構成管理データにアクセスできる場合、ネットワークとそのコンポーネントの通常の動作状態に関する洞察が得られます。これには、スケジュールされた更新、メンテナンス アクティビティ、およびその他の定期的な変更に関する知識が含まれます。これらは、そうでなければ疑わしいアクティビティと誤解される可能性があります。変更管理データを SIEM ソリューションに統合することは、その精度と有効性を高めるために不可欠です。これにより、システムは通常のアクティビティと異常なアクティビティをより効果的に識別できるようになります。

ルールの強固な基盤があれば、SIEM ソリューションが脆弱性の検出という役割を果たせるようになります。