海外SIEMは辛い？少人数の情シスが国産SIEM「ALog」とMDRで実現したログ活用【三谷商事様 導入事例】

まず、弊社三谷商事について簡単にご紹介いたします。私ども三谷商事は創業100年を超える商社でございまして、情報システム事業をはじめ、建設、エネルギー、生活関連事業など幅広い事業を展開しております。単体での従業員数は663名、ITユーザーとしては850名程度の規模です。

一方で、社内のITやセキュリティ運用に関しては、大規模な体制を抱えていたり、多数の専任者がいたりするわけではありません。担当者数名で、事業部門やグループ会社に委託・協力をいただきながら社内ITを運用管理しているという状況でございます。今回は、そのような体制の中でSIEMをどのように導入し、活用したかをお話しできればと思います。

私どもがSIEMの導入を検討したきっかけには、大きく2つの課題がございました。

1つ目は、ログがバラバラになっていたことです。Active Directory（AD）やファイルサーバー、Microsoft 365、ネットワーク機器など、それぞれのログは保存していました。しかし、保存場所も保存形式も保存期間も全く統一されておらず、いざという時に横断して調べられる状態ではなかったのです。

2つ目は、ログを分析できないことです。ログ自体は存在していても、いざ調査しようとすると、膨大なログの中から必要な情報を探し出さなければなりません。我々のような少人数体制では、専門知識を前提とした運用を継続することが難しい状況でした。

つまり私たちの課題とは、「ログはあるけれども、いざという時に調べられない。ログを使える状態にできていない」ということだったと考えております。

SIEMを検討する中で、当然ながら海外製品も候補に上がっておりました。実際、機能面では非常に魅力的な製品が多かったと思っています。ただ、私たちが導入にあたって重視したのは、「導入できるかどうか」ではなく、「素早く導入して、運用し続けられるか」という点でした。

海外製のSIEMでは、その本来の力を引き出すために、自社向けの検知ルール設計や継続的なチューニング、高度な分析スキルが求められるケースが多くあります。また、サポートや情報収集の面でも、日本語で迅速に相談できるということを重視しました。何度も申し上げますが、少人数体制の私たちにとっては、高機能であることよりも、継続して運用できるかが重要だったのです。

そこで選定基準を明確に整理し、「高機能かどうか」ではなく「自分たちが確実に運用し続けられるか」を選定の中心に置きました。ここでは特に重視した点を4つご紹介します。

こうした観点で比較をさせていただいた結果、最も当社に適していたのがALogだったと考えております。

特に評価したのは、まず標準のテンプレートで始められることです。私たちがSIEMを導入するにあたっては、早く運用を定着させることが要件の1つにありました。ですので、最初から大規模なルール設計をしなくても使えるという点は、非常に魅力的でした。

また、先ほどの要件にもありましたが、画面が分かりやすく、生ログを延々と追いかける必要がないという点も評価しました。

それから、日本語でサポートを受けられること、さらにMDRサービスも合わせて契約させていただくことで、導入時と運用開始後の両方で専門家に頼れるという点も、「素早く導入したい」「属人化させずに運用したい」という我々の要件を満たしていました。

続いてALogの導入時と運用についてお話しします。

まず導入時は、STEP1「集約」として、ログの集約から始めています。上の図にあるようなActive Directory、ファイルサーバー、ファイアウォール、そしてクラウドにあるMicrosoft 365やEDR（Endpoint Detection and Response）のツールなど、これらのログの状態や設定を棚卸しし、セキュリティ対策として必要なログが確実に出力されるようにしました。その上で、それらのログをALog Cloudに集約していきました。

次に、STEP2「把握」として、ログやレポートを定期的に確認する運用を定着させていきました。これについては、MDRサービスの中で毎月の報告会がありまして、そちらを活用させていただいております。報告会のレポートやMDR担当の方のアドバイスを活用しながら、どのアラートを重視すべきか、どのリスクに優先して対応するかを見極めていく、という進め方をしております。

最初から完璧に基準を決めてから運用開始を目指したわけではなく、まず始めてしまって、その後から改善していく。このSTEP3「見極め」へと進む形で立ち上げられたことが大きかったと思っております。

時系列でいうと、10月に契約→11月末にMicrosoft 365などクラウドサービスのログから部分的に収集を開始、翌年1月に本格的なログ報告会（12月分）を実施いただきました。オンプレミス機器は対象の整理と設定調整を段階的に進め、3月に全対象で定常運用へ移行しました。全体で約5か月、クラウドログの部分運用は約2〜3か月とスピーディに開始できました。

我々のような少人数体制で最も難しいのは、脅威やその兆候を検知するところ、そしてその後の調査という部分にあると思っています。

そこでMDRサービスを活用し、MDR側で監視や脅威度の見極め、分析、影響範囲や原因の調査といったところを担当していただいています。その結果はご連絡や報告書を通じていただき、私たちはそれを踏まえて、対応の判断や業務への影響確認、あるいは現場への状況確認のためのヒアリングといったところに集中する形を取っております。

全てを自社だけで抱え込まないことが、運用を継続するためのポイントだと考えております。

ALogとMDRの導入で得られた成果は、大きく3つあると考えております。

1つ目は、先ほどお話しした通り、短期間でスピーディに導入し、運用を開始できたことです。さまざまなご支援をいただきながら、限られたリソースの中で、契約開始から約2〜3か月で部分的な運用を開始し、SIEMの運用を立ち上げることができました。2つ目は、ログの一元管理です。以前はシステムごとにログを探さなければなりませんでしたが、今はALogにアクセスすれば横断的に確認できますので、調査を開始するまでの時間が大幅に短縮されました。

3つ目は、状況把握の効率化です。MDRからの報告書によって、自社の状況やリスク傾向を少ない工数で把握できるようになりました。

単に、当初想定していた「ログを保管して、いざという時に調査できる」ということだけではなく、定常運用として普段からログを活用する仕組みができたことが、我々にとって最大の成果だと思っております。

最後にお伝えしたいことです。ログは、我々もそうだったのですが、保管しているだけではセキュリティ対策になりません。必要な時に調べられて、日常的に兆候を把握できて、初めて価値が生まれると思っております。

そして、そのために必ずしも大規模なSOC（Security Operation Center）や大人数の専門チームが必須というわけではないと考えています。私たちは小規模であっても、そのような理想の姿に近づくために、導入・運用しやすいこと、そしてMDRと適切に役割分担ができることを重視しました。

もし皆様の組織でも、「ログはあるけれども、いざという時に使えるのか」「ログを日常的に活用できていない」という課題があるようでしたら、私どもの事例が少しでも参考になれば幸いです。ご清聴いただきましてありがとうございました。

お問い合わせ：https://www.amiya.co.jp/alog/