SOARとSIEMの主な違い

SIEMとは?

SIEMツールは、組織の IT 環境全体のさまざまなソースからログ データを継続的に収集、分析、相関させることで機能します。SIEM ソリューションは、この情報を一元管理することで、疑わしいアクティビティをリアルタイムで検出し、潜在的な脅威が発生したときにアラートを発行します。

これらのツールは、事前定義されたルール、機械学習、AI 駆動型分析を使用して、次のことを示す可能性のあるパターンを識別します。

• から保護
• 内部脅威
• ポリシー違反

また、SIEM ソリューションはワークフローを自動化することでインシデント対応を強化します。

SIEMとSOARの4つの違い

両者の違いを明らかにするために、SIEM と SOAR を次の線で区分して考えてみましょう。

1: データソース

SIEM は、個々のネットワーク デバイス、エンドポイント、アプリケーションによって生成されるログ ファイルの収集、相関、分析に重点を置いています。

これを実現するために、SIEM は大量の生の非構造化ログ データを収集して処理します。

SOAR は、他のセキュリティ ソフトウェアによってすでに特定されているインシデントを活用し、それを組織のセキュリティ スタックの他の領域のデータ ポイントと比較します。これは、セキュリティアラート、脅威インテリジェンス、プレイブック実行結果などの構造化データと、アプリケーションやユーザーの行動などの非構造化データの両方で機能します。

＃2：インシデント検出

SIEM は事前定義されたルールを使用してアラートを生成します。相関ルール (ファクト ルールとも呼ばれます) は、定義されたイベントが発生したときに特定のアクションをトリガーする論理条件です。たとえば、 「コンピュータにウイルスが感染している場合は、ユーザーに警告します。」これらのルールは、イベント履歴を評価せずに独立して動作し、現在の状況にのみ対応します。

ルールが実行されるたびに、過去の発生を考慮せずに指定されたデータ セットのみが評価されます。各ルールは手動で導入し、時間をかけて改良する必要があるため、SIEM はかなりのリソースを必要とします。

SOAR は、さまざまな非構造化データに基づいてセキュリティ インシデントを検出します。たとえば、過去の行動データを追加すると、セキュリティアラートの精度が向上します。これにより、以前のネットワークおよびデバイスの動作が SOAR に集約されます。

あらゆる逸脱はファイアウォールとデバイスのアクティビティ全体でリアルタイムに比較できるため、アラートの忠実度が向上します。

3: インシデント対応プロセス

SIEM はデータの収集、正規化、相関を自動化します。その結果、インシデント対応の余地がほとんどなくなります。SIEM プロセスでは、インシデントの調査と対応を人間のアナリストが行うため、人間のアナリストが重要な役割を果たします。

たとえば、ユーザーが悪意のあるダウンロード リンクをクリックした場合、アラートを確認して適切に対応するのはアナリストの責任です。

SOAR は、プレイブックを通じて広範な自動化を提供します。プレイブックは、SOAR プラットフォームが特定のイベントに基づいて事前定義されたアクションとワークフローを実行できるようにする方法です。

たとえば、疑わしい電子メールが報告またはフラグ付けされると、プレイブックは次のようになります。

• 送信者の詳細やリンクなどの主要な指標を抽出します
• 仮想インテリジェンスのソースと相互参照します。

フィッシングであると識別された場合、電子メールは自動的に隔離され、送信者はブロックされ、影響を受ける受信トレイから同様のメッセージが削除されます。

#4: 統合

SIEM はログ ファイルからすべてのデータを取得します。これらのデータは、ログ ファイルが生成された時刻と、ログ ファイルが生成されたシステムとともに SIEM に直接送信できます。

Syslog は、このすべてのログ データを企業ネットワーク経由で送信するための一般的なプロトコルです。

SOAR は幅広いセキュリティ ツールとの統合を可能にするためです。これは、ネットワーク、サーバー、またはデータベース上に配置され、関連するすべてのデータを SOAR に送信するパッシブ データ コレクターであるセンサーによって可能になります。