SIEM/SOARを、
「入れただけ」で終わらせない
ログ基盤とSOC自動化の設計・構築・運用を、一貫して支援します。
ファイアウォール、EDR、クラウドサービスなどに散らばったログを集約し、検知ルールやプレイブックを整え、実際に運用できる状態まで伴走します。新たにログ基盤を整備したい企業から、SOCを運用するセキュリティ事業者まで、対象製品・範囲はご相談に応じます。
SIEMとSOARの役割
SIEM(Security Information and Event Management)とは、ファイアウォール、EDR、認証基盤、クラウドサービスなど複数の機器・サービスのログを一か所に集約し、相関分析によって不審な挙動を検知・可視化する仕組みです。調査に必要なログを横断的に検索・保管する基盤としても使われます。
SOAR(Security Orchestration, Automation and Response)とは、アラートの受付から情報収集、通知、チケット起票、対応手順の実行までを、あらかじめ定めたプレイブックにもとづいて自動化・連携させる仕組みです。SIEMが「見つける」役割を担うのに対し、SOARは「対応を速く、そろえる」役割を担います。
ログ基盤の課題は、
導入後の運用で表面化する
SIEM/SOARは導入しただけでは機能しません。「集まらない」→「見られていない」→「多すぎる」→「対応がそろわない」という連鎖で、基盤が形骸化していきます。
ログが集まらない
- 機器ごとにログが分散している
- ログの形式がそろわず横断検索できない
- 何を取り込むべきか決まっていない
見られていない
- 導入後、保守・監視されず放置
- 検知ルールが初期設定のまま
- ダッシュボードを誰も確認していない
アラートが多すぎる
- 誤検知を含むアラートが大量に出る
- 重要なアラートが埋もれる
- チューニングする人手がない
対応がそろわない
- 対応手順が担当者に依存している
- 通知・起票・記録が手作業
- 対応の記録が残らない
設計・構築・運用の
3つの領域を支援
必要な領域だけを切り出してのご依頼も可能です。すでに導入済みの基盤の見直しや立て直しにも対応します。
設計
DESIGN- 要件確認・現状把握
- ログ取り込み範囲の決定
- 検知ルールの方針策定
- 構成設計・変更申請の準備
構築
BUILD- ログ収集基盤(コレクター)の構築
- 機器・サービスとのログ連携
- パーサー調整・疎通確認
- 相関ルール・アラート・ダッシュボード作成
- プレイブックの設計・実装
運用
OPERATE- 検知ルールのチューニング
- ルール・連携先の追加
- 設定調整・メンテナンス
- 月次レポートの作成
- アラート対応の支援
↻ 運用で得た知見を設計に戻し、検知と対応の精度を継続的に高めます
散らばったログを、
一つの基盤で検索・分析できる状態へ
SentinelOneのSIEM(AI SIEM)を用いる場合の構成例です。オンプレミス機器のログはコレクター経由で、SaaSのログはAPI経由で取り込みます。
| 構成要素 | 役割 | 当社の支援内容 |
|---|---|---|
| ログ送信元 | ファイアウォール(FortiGate、Palo Alto Networks等)、EDR、認証基盤、クラウドサービス | 取り込み対象の選定、Syslog転送などの設定支援 |
| コレクター | オンプレミス機器のログを受信し、SIEMへ転送する | サーバーへの導入、受信設定、稼働確認 |
| パーサー | 製品ごとに異なるログ形式を、検索できる項目に分解する | 対象機器に合わせたパーサーの適用・調整 |
| SIEM | ログの集約・検索・相関分析、アラートの生成 | カスタムアラート、保存検索、ダッシュボードの作成 |
| SOAR・プレイブック | アラート後の通知・起票・対応手順の自動化 | 対応フローの設計と実装(対象製品はご相談) |
※構成・対応製品は一例です。連携の可否は、製品・契約・バージョン・API仕様によって異なります。SIEMのライセンス費用はログ量や契約内容により異なり、本サービスの構築・運用費用とは別になります。
ログ基盤を整えたい企業にも、
SOCを運用する事業者にも
自社のセキュリティ運用を強化したい企業と、顧客向けにSOCを提供するセキュリティ事業者の双方を支援します。
自社でログ基盤を整備したい企業
- 複数拠点・複数機器のログを一元化したい
- EDRとネットワーク機器のログを突き合わせて調査したい
- 導入済みSIEMを立て直したい
- 構築後は自社で運用できるようにしたい
SOCを運用するセキュリティ事業者
- 顧客環境ごとのログ連携・パーサー調整を任せたい
- 検知ルールやプレイブックを整備したい
- SOC業務の自動化を進めたい
- SIEM/SOARの構築要員が不足している
※セキュリティ事業者向けの人材・運用基盤の提供はSOCラボ、SOC業務・テクニカルサポートのAIによる自動化はSOC・テクサポの自動化もあわせてご覧ください。
ヒアリングから運用移行までの進め方
変更承認などお客様社内の手続きも考慮して工程を組み、段階的に構築します。
要件確認・設計
対象機器・ログ範囲・検知方針を整理し、設計書を作成
基盤構築
コレクター用サーバーの構築とネットワーク設定
ログ連携
機器のログ転送設定、パーサー調整、受信確認
アラート調整・検証
カスタムアラートやプレイブックを作成し動作を確認
運用移行
ドキュメントを整備し、継続運用または内製化へ
組み合わせて検討できる関連サービス
ログ基盤の整備とあわせて、監視・分析・インシデント対応の体制もご相談いただけます。
よくある質問
どのSIEM製品に対応していますか？
導入したものの、使いこなせていないSIEMの立て直しも依頼できますか？
構築にはどのくらいの期間がかかりますか？
お客様側で準備が必要なものはありますか？
構築後は自社で運用できるようになりますか？
MDRサービスやFastTriageとはどう違いますか？
ご留意事項
- SIEM/SOARはすべての攻撃の検知や対応を保証するものではありません。アラートには誤検知を含む場合があります。
- 対象製品・取り込むログの範囲・提供内容は、ヒアリングのうえ個別に設計し、お見積りします。
- SIEM等の製品ライセンス費用は、本サービスの費用とは別になります。必要なライセンスはログ量や契約内容によって異なります。
- ログ転送用サーバー(仮想マシン等)のご用意、機器の設定変更に関する社内承認、運用担当者のご参画など、お客様にご協力いただく事項があります。
- 24時間365日のアラート監視を含めるかどうかは、ご要件に応じて別途ご相談となります。
- 料金は、対象機器数・ログ種別・作業範囲によりお見積りします。詳しくはお問い合わせください。
ログ基盤とSOC自動化の整備を、ご相談ください
「どのログから取り込むべきか」「導入済みのSIEMを立て直したい」「顧客環境の構築を任せたい」など、検討段階のご相談も歓迎です。