SIEM とは？

組織の色々なシステム（ファイアウォール・サーバ・認証システムなど）から出てくるログを全部集めて、「何か怪しいことが起きていないか」を監視するプラットフォームだよ。バラバラなログを一か所に集めて分析するんだ。

SIEMの強みは「相関分析」にあるんだよ。例えばIDSでは気づかないけど「深夜に認証失敗が増えて、その後に別のサーバに大量アクセス」というパターンを組み合わせて検知できる。個別システムだけだと「点」しか見えないけど、SIEMは「点と点をつないで線にする」んだ。

大量なんだよ。大企業だと1日に何億件ものログが発生することもある。SIEMはそれを正規化（バラバラな形式を統一する）・集約・インデックス化して検索・分析できるようにするんだ。ストレージとパフォーマンスの確保が大きな課題だよ。

SIEMの運用で最もよく聞く課題が「アラートの洪水（Alert Fatigue）」だよ。設定したルールで大量のアラートが発生しすぎて、担当者が全部確認できなくなってしまう。だから継続的なルールのチューニングと、優先度付けの仕組みが重要なんだ。

SOC（Security Operations Center）はSIEMを使って監視・分析・対応を行う「人と体制」のことだよ。SIEMがツール・プラットフォームなら、SOCはそれを運用するチームや組織体制を指す。近年はAIを使ってアラートの優先度付けや自動対応（SOAR：Security Orchestration, Automation and Response）を組み合わせて、少人数でも効率的に運用できるようにする取り組みが進んでいるよ。