Sentinelを起動したら自分のSIEM感が再定義された件」を再編集したものです。Firewallを構成する』です。Analystとして10月に入社しました。Sentinelについて筆を執ります。Security等とのログ連携について書いてまいります。ソリューション」です。掴みづらい表現だと思いますので、一旦は「セキュリティインシデントが起こってないか半自動で確認・対処してくれる」サービスとイメージしていただければと思います。以下でSIEMとSOARについてそれぞれ説明してまいります。何?SIEMという言葉を検索してみると、様々な説明がでてきます。賛否あるかと思いますが、私のブログではSIEMを「セキュリティ情報イベント管理」という直訳の定義に加え、以下機能を持ったサービスや仕組みとして話を進めます。ログを受信している機器単体の、あるいは、相関的なイベント分析の手助けをする(ログ検索、Dashboard画面、整形されたログの出力)SIEMをフル活用することにより、単純なセキュリティアラート以外に以下を見つけることができます。・ガバナンスの崩壊(社内ルールで禁止されているアプリケーション利用やグレーなデータの持ち出しを示すプロキシーログ)・機器のメンテナンスやアップデートのミス(過剰に検知されているIPSログ、メンテナンス日にログの増加が無いこと)・運用の不備(一般的には許可すべきでない通信が許可さているファイアウォールログ)・脆弱性への対応不備(脆弱性の存在をしめす応答やヘッダを含むログ)セキュリティ/ネットワーク機器単体でも上記を見ることができますが、SIEMのDashboard画面などの活用で相関的・効率的に上記を見ることができます。SIEMは私たちにサイバーの世界で起こっている事象を美しくリアルタイムに見せてくれます。持つものと定義します。必要になりますが、その流れを自動的に行ってくれる機能を持つものがSOARです。「特定のイベントを検知した場合にSlackで詳細をまとめて通知する」や「AとBのセキュリティイベントが同じ送信元IPアドレスから同時に起こった場合、送信元のIPアドレスからの通信をファイアウォールで遮断する」などがSOARの基本的な利用例として考えられます。何だか人間に楽をさせてくれそうなSOAR機能ですが、Sentinelではプレイブックと呼ばれる手順の集まりがその機能を持っています(次回の記事で詳しくご紹介予定です)。Sentinelの起動についてその流れをご紹介します。Sentinelを起動しました。Sentinelをクリックします。Analyticsをクリックします。Sentinel”というポップアップが上がります。Sentinelが起動します。※利用イメージがわきやすいようログ取込み後の画面です。Sentinel画面の左側「データコネクタ」タブをクリックします。その後、接続したいコネクタ(サービス)をクリックし、右下の「コネクタページを開く」ボタンをクリックします。Securityを選択しています。「前提条件」に問題がないか確認し、各「接続」ボタンを押していきます。「接続」ボタンが「切断」ボタンに変わると接続完了です。Directoryの接続も45とほぼ同様で、その接続時間も20分に含まれています)。Sentinelの起動とログの連携が終わりました。自分の中のSIEM観が再定義された一般的にSIEMをオンプレミスなどで導入するケースを考えると、ネットワークの構築やログの整形(パーシング)などに多大なコストがかかります。こちらの情報処理推進機構の調査報告書を読むと、SIEM導入の大変さがわかるかと思います。ログ量や接続サービス数にもよりますが、調査報告書のP.75を参照するとSIEM導入の概算費用は700万円と記載があり、決して安くないことが分かります。365などのログを、わずか数十分で連携できました。その間の操作は、数十文字の入力、数十回のクリックだけでした。SentinelとMicrosoft社提供のサービスの連携という条件下ではありますが、仮にオンプレミスで同様の連携をしようとした場合、数百倍以上の時間がかかっていたと思います。365のデータ取り込み料金が無料だったこともあり、導入に際しその費用総額は数百円でした。費用はデータ量やその他のサービス利用状況により異なりますSIEMの導入には多大なコストがかかるとの認識でした。Sentinel起動/連携の経験をとおし、私の中のSIEM要素として新たに「手軽さ」が加わることで、私のSIEM観の再定義が行われました。SIEM」と説明していますが、その表現に異論はありません。Directoryの連携で、オフィス環境におけるアカウントの不正利用、ウイルス感染などを検知するための材料が十二分にそろったと考えます。Sentinelのログ検索、プレイブック、ハンティングなどの各機能の紹介をできればと思いつつ、一旦、筆を置きます。スマホお気に入り一覧マイページ。