防御・対策

SIEM

Security Information and Event Management

定義

SIEM（Security Information and Event Management）は組織内の複数のセキュリティ製品・サーバー・ネットワーク機器からログを一元収集し、リアルタイム分析・相関分析・アラート生成を行うセキュリティプラットフォームです。単一機器のログでは見えない「複数機器にまたがる攻撃パターン」を相関ルールで検知できます（例：多数のログイン失敗→成功→機密ファイルへのアクセスを一連の攻撃として関連付ける）。Splunk・Microsoft Sentinel・Google SecOps（Chronicle）・IBM QRadarが代表的な製品で、クラウドネイティブSIEMはAIによる異常検知とXDR統合が進んでいます。有効活用にはMITRE ATT&CKにマッピングした検知ルールの整備・ログの正規化・アラートのチューニング（ノイズ削減）・SOAR（セキュリティオーケストレーション自動対応）との統合が鍵です。SIEMはSOCの中核インフラとして、脅威の検知から対応まで一元的に支援します。

詳細解説

SIEMは大量のログデータをリアルタイムで相関分析することで、個別ログでは見えない攻撃パターンを検知します。クラウドネイティブなSIEM（Microsoft Sentinel・Google SecOps）はXDR（Extended Detection and Response）との統合が進んでいます。アラートの多さによる「アラート疲れ」が課題で、AIによるノイズ削減が重要テーマです。

ポイント

ログソース：ファイアウォール・IDS/IPS・EDR・ADなど複数ソースを集約する
相関ルール：複数ログイベントを組み合わせて攻撃パターンを検知する
SOAR（セキュリティオーケストレーション）と組み合わせてアラートを自動対応
MITRE ATT&CKマッピングでTTPベースの検知ルールを体系的に構築できる

SIEMが登場する記事・比較

よくある質問

SIEMとは？

複数のセキュリティ製品からログを集約し、リアルタイム分析・相関分析・アラート生成を行うプラットフォーム。Splunk・Microsoft Sentinelなどが代表的。SOCの中核システム。

SIEMについて詳しく知るには？

SIEMのポイントは？

ログソース：ファイアウォール・IDS/IPS・EDR・ADなど複数ソースを集約する相関ルール：複数ログイベントを組み合わせて攻撃パターンを検知する SOAR（セキュリティオーケストレーション）と組み合わせてアラートを自動対応 MITRE ATT&CKマッピングでTTPベースの検知ルールを体系的に構築できる