SIEMとEDRとは ― ログの分析と端末の監視の違い

社内のPCが1台マルウェアに感染したとします。ネットワーク全体で何が起きたかを追うのがSIEMで、その端末の中で何が起きたかを追うのがEDRです。SIEMは、さまざまな機器のログを1か所に集めて組み合わせます。EDRは、PCやサーバの中の動きを記録して見張ります。

SIEMが集めるログには、IDSやIPSの記録も入ります。EDRは、定義ファイルと照らし合わせるウイルス対策ソフトでは気づけない動きにも目を向けます。怪しければ、端末を切り離すなどの対応をします。見る範囲が違うので、2つは組み合わせて使えます。

SIEMはSecurity Information and Event Managementの略です。EDRはEndpoint Detection and Responseの略です。エンドポイントは、PCやサーバなどの端末を指します。

組織の中では、多くの機器がそれぞれログを書き出しています。ファイアウォールは通信を、VPN装置は接続を、認証サーバはログインの成功と失敗を記録します。ただし、書き方も置き場所も機器ごとにばらばらです。

SIEMは、まずこのログを自分のサーバに集めます。集め方には、機器がログを送る形と、SIEMのサーバが取りに行く形があります。機器にプログラムを入れて、そのプログラムに送らせる形もあります。

次に、ばらばらの書き方を同じ形にそろえます。たとえば、ある機器では12番目の欄が送信元IPアドレスだと分かったとします。すると、ほかの機器の送信元IPアドレスと並べて比べられます。アメリカの国立標準技術研究所（NIST）の手引きSP 800-92は、この処理を正規化と呼んでいます。

形をそろえるときに難しいのが、時刻です。機器の時計がずれていると、どのログが先に起きたかを正しく並べられません。このため、SP 800-92はNTPで機器の時計を合わせるよう勧めています。

機器からログを送る方法の1つが、Syslogです。SP 800-92によれば、SIEMが受け取れるログは数十種類あります。OSやセキュリティのソフトウェア、Webサーバのほか、入退室のカードの読み取り機のログも扱えます。

SIEMの中心になる処理が、相関分析です。相関分析は、2つ以上のログの間の関係を見つける処理です。SP 800-92では、event correlationと呼んでいます。

最もよく使われるのは、規則に基づいて組み合わせる方法です。時刻やIPアドレス、事象の種類などの値が共通するログを、規則に当てはめて結び付けます。規則に当たると、SIEMは結び付けた結果を1件の記録にまとめ、必要なら警報を出します。

たとえば、ログインの失敗は1件だけなら打ち間違いでも起きます。しかし、同じ送信元から数秒おきに別々のIDで失敗し、その後に成功していれば話は変わります。他人のパスワードを順に試し、どれかが当たった疑いがあります。

こうした並びは、機器ごとのログを1件ずつ目で追っても見落としがちです。SP 800-92も、複数のログにまたがるパターンは人が見つけにくく、SIEMのような道具が役立つとしています。

次の図で、ログの並びと見方を選べます。どの並びも、1件ずつ見ると、ふだんの業務でも起きるログです。

夜の大量の送信の並びでは、VPN装置のログとファイアウォールのログを、割り当てたIPアドレスで結び付けています。機器が違っても、共通する値があれば同じ利用者の動きとしてつなげられます。図の規則と秒数は説明のための例で、実際の規則は組織や製品ごとに決めます。

EDRは、PCやサーバに入れたプログラムで、端末の中で起きたことを記録し続けます。アメリカのサイバーセキュリティ機関CISAの要件集は、EDRが集める記録の例を挙げています。動いているプログラムやファイルの作成と変更の時刻、ネットワークへの接続、ログインなどです。記録はEDRの管理用のサーバに集められ、怪しい振る舞いがないか調べられます。

アメリカの行政管理予算局は、2021年の通達M-22-01でEDRを説明しています。EDRは、端末のデータを常に集めて監視する働きと、規則に基づいて自動で対応し分析する働きを組み合わせたものです。同じ通達は、従来の対策より見える範囲が広いとしています。形を変えるマルウェアや標的型攻撃への対応にも役立つとしています。

怪しい端末をネットワークから切り離す

EDRの代表的な対応が、端末をネットワークから切り離すことです。感染した端末からほかの機器へ、被害が広がるのを防ぎます。ケーブルを抜かなくても、管理用のサーバからの指示で切り離せます。

切り離すときは、動いているプログラムを止めたり、調査のための記録を取ったりすることがあります。CISAの資料に書かれている例です。条件に当たったら自動で切り離すように設定することもできます。ただし、重要な端末を切り離すと業務が止まることがあります。そのためCISAは、影響を考えて判断するよう求めています。

記録をたどって何が起きたかを調べる

EDRの記録は、攻撃を見つけた後の調査にも使います。端末の中でいつ何が起きたかを、順にたどれるからです。IPAも、イベントの記録を基にタイムラインを整理することが重要だとしています。

SIEMとEDRの違いは、見る範囲の広さと深さです。SIEMは、いくつもの機器のログを横に並べて見比べます。EDRは、1台の端末の中で起きたことを細かく見ます。

対応の速さも違います。SIEMの警報は、ふつうは担当者が調べて判断してから対応につなげます。SP 800-92は、必要なら事象への対応を始められるSIEMもあるとしています。

EDRは、規則に当たった端末をその場で自動で切り離せます。2つは、どちらかを選ぶものではありません。EDRが見つけた事象をSIEMに送れば、ほかの機器のログと組み合わせて調べられます。

ウイルス対策ソフトは、主に端末の中のファイルを調べてマルウェアを見つけます。代表的な方法は、既知のマルウェアの特徴と照らし合わせるパターンマッチング法です。ほかの検出の方法はマルウェアの検出方法の記事で比べています。

EDRは、入り込まれた後に端末の中で起きることを見張ります。定義ファイルに特徴の無いマルウェアでも、端末の中で起きたことの記録から気づける場合があります。

IDSとIPSは、主にネットワークを流れる通信を見て攻撃の兆候を探します。SIEMは、IDSやIPSの記録も、ほかの機器のログと一緒に集めて組み合わせます。SP 800-92は、IDSとファイアウォールのログを組み合わせる例を挙げています。IDSが記録した攻撃の送信元を手がかりに、ファイアウォールのログで同じ送信元の接続を探します。

SIEMやEDRは、警報を自動で出します。その警報が本当の攻撃かどうかを調べるのは人です。この監視と検知を受け持つ組織をSOC（Security Operation Center）と呼びます。

NISTの手引きSP 800-61 Rev.3も、SIEMなどの道具の働きを挙げています。警報を作って、SOCやインシデントの対応者に渡すことです。同じ手引きは、SOCを外部の事業者に委託する形にも触れています。SOCが調べた結果、対応が要ると判断されれば、組織のCSIRTが対応を統括します。

SOCとCSIRTの分担は、CSIRTの記事で説明しています。SP 800-61 Rev.3は、SIEMと並ぶ道具としてSOARも挙げています。SOARはSecurity Orchestration, Automation, and Responseの略です。名前のとおり、対応の作業の自動化を受け持ちます。

• NIST SP 800-92「Guide to Computer Security Log Management」（SIEMの仕組み、ログの集め方、正規化、相関分析）
• NIST SP 800-61 Rev.3「Incident Response Recommendations and Considerations for Cyber Risk Management」（SIEM・SOARでの監視、SOCへの警報）
• 米国行政管理予算局 M-22-01（EDRの定義）
• CISA「CDM Program Technical Capabilities Volume Two: Requirements Catalog」Version 2.5（EDRが集める記録）
• CISA「Isolate Endpoints from Network」（端末の切り離しと業務への影響）
• IPA 令和4年度秋期 情報処理安全確保支援士試験 午後Ⅱ 採点講評（EDRの記録を基にした調査）