SIEM on Amazon OpenSearch Serviceとは？SaaS型SIEMをAWSで代替できるのか

1. SIEMとは何か、なぜ今あらためて注目されるのか

1-1. SIEMの基本概念

SIEMは単なる「ログ管理ツール」ではありません。機能を分解すると、以下の3層構造になります。

① ログの収集（Collection）

• 外部ネットワークと内部ネットワークの境界に置かれるファイアウォール
• PCやサーバーなどの端末セキュリティのEDR
• アカウントを管理するID基盤
• AWS等のパブリッククラウドやSaaSなどのクラウドサービス
• ネットワークセキュリティなどのSASE

これらからのログを一元的に集約します。

② 相関分析（Correlation）

単体ログでは意味を持たないイベントを組み合わせます。例えば以下のようなイベントが考えられます。

• 国内で勤務しているユーザーのアカウントを利用し、海外のIPアドレスからログインがあった
• ユーザーが短時間で大量のデータダウンロードがあった

これらを相関させ、「異常」として検知します。

③ 可視化（Visualization）

• 管理者や説明しやすいようなダッシュボード表示
• 緊急時の通知をするアラート通知
• 報告しやすいレポート出力

経営層向け、SOC向け、監査向けなど用途別に表示を変えます。

1-2. なぜ今、SIEMが注目されているのか

1-2-1. クラウド利用拡大によるログ増大

AWSだけでも、

• CloudTrail
• VPC Flow Logs
• GuardDuty
• WAFログ
• LBログ
• アプリケーションログ

が存在します。さらにSaaS側にもログがあります。ログはAWSや各SaaSなど“分散”して存在しています。

1-2-2. 攻撃の高度化

現在の攻撃は、1つの異常イベントでは検知できません。静かに侵入し、権限を横断し、横移動し、長期間潜伏します。単発アラートでは見抜けないため、相関分析が必須になります。

1-2-3. ガバナンス要求の強化

内部統制、ISMS、SOC2、監査対応など、「ログを保存している」ではなく、「ログを分析し、改善していること」が求められています。

1-3. SaaS型SIEMの課題

SIEMには、SaaS型やAWSなどパブリッククラウドで運用する方法などが存在します。SaaS型には、SaaSならではの課金体系のわかりやすさや、自分たちで設計しないために、選択肢が少なくて済むなどのメリットがある一方で、SaaS型には大きく分けて3つの課題があります。

高コスト

• サブスクリプションモデルのSaaSだと、使わない機能も付帯してきたりと、初期費用が高額になる可能性
• 自社での運用が難しいため、委託先への費用が発生

高運用負荷

• 自社での運用をする場合、専門エンジニアが必要
• チューニングが難しく、管理者で対応できない
• 誤検知が多く、不要な対応が多い

ベンダーロックイン

• SaaSごとにデータ形式が異なる
• SaaSからSaaS、SaaSからAWSへの移行が困難
• SaaSの仕様によるカスタマイズ制限

この背景から、「もっと柔軟に構成できないか」という発想が生まれます。そこで今回はAWSでの実装を深堀していきます。

AWSの導入・移行・運用に関するご相談はこちらからお問い合わせください。

2. AWSにおいてSIEMを構成するという発想

2-1. なぜAWSでSIEMを構成するのか

SaaS型SIEMは完成品であり、カスタマイズできる選択肢が少ないです。一方、AWSで構成するSIEMは自社の要件に合わせて柔軟に設定できます。

つまり、

• 何を集めるか
• どれだけ保存するか
• どのように分析するか
• どのレイヤーまで可視化するか

これを自分たちで決めることが可能です。

2-2. Amazon OpenSearch Serviceがなぜ適しているのか

Amazon OpenSearch Serviceは、

• 分散型検索エンジン
• 高速インデックス
• 柔軟なクエリ
• ダッシュボード機能

を備えています。

ログ分析において最も重要なのは「検索速度」です。数億件のログから瞬時に絞り込める性能は、SIEM用途と非常に相性が良い設計です。

2-3. SaaS型SIEMとの本質的な違い

① 責任範囲

SaaS型：ベンダーが検知ロジックを提供

OpenSearch型：自社で設計

② 柔軟性

SaaS型：テンプレート中心

OpenSearch型：自由設計

③ コスト構造

SaaS型：ログ量依存課金

OpenSearch型：インフラ設計依存

④ 長期保存

SaaS型：高コスト

OpenSearch型：S3連携で低コスト化可能

2-4. どんな企業に向いているのか

AWSでSIEMを運用する場合、向いている企業はどんな企業でしょうか。向いている企業としては、

• AWSネイティブ環境がある
• DevOps文化がある
• 情報セキュリティ内製志向、もしくはカスタマイズ製が必要
• コスト最適化を重視

があります。逆に、

• SOCを外部委託している
• 内製リソースがない

場合はSaaS型の方が適することもあります。とはいえ、AWSとSaaSでは特徴が一長一短であるため、どちらも検討することをおすすめします。自社のログ量がどれくらいあるか、どれほどの量が日々増えているかもコストに関わりますので、今後の費用を試算したうえで導入することが望ましいです。

AWSの導入・移行・運用に関するご相談はこちらからお問い合わせください。

3. 実際に画面を触ってみた

構築部分については、今回省略いたします。興味がある方は弊社にお問合せください。

公式ワークショップを参考に実施しております

構成としては以下になります。

はじめは下記のような画面が出てきます。

Amazon OpenSearch ServiceにS3ログを読み込めるように設定すると、利用可能になります。

よく使うが画面が下記の「Discover」、「Dashboards」、「Visualize」になります。一つずつ見ていきます。

3-1. Amazon OpenSearch ServiceのDiscover

Discoverは取り込んだログデータをリアルタイムに検索・抽出し、イベントを一つ一つ並ばせます。フィルタ条件やクエリを用いて、特定ユーザーやIP、イベント種別などを横断的に絞り込み、個別ログの中身まで深掘りできます。

今回はタイムスタンプ、ソースと宛先の国、アクセス先のURLを指定しました。

SearchやShow datesなどで条件や期間指定することもできます。SIEMとして利用する場合、不審な挙動が検知された際に、対象ユーザーの行動履歴やアクセス元IP、操作内容を時系列で追跡する初動調査に活用できます。インシデントの事実確認や影響範囲特定の中核となる機能です。

3-2. Amazon OpenSearch ServiceのDashboards

Dashboadsは複数の可視化パネルを組み合わせ、ログの状況をリアルタイムで調査できる統合表示画面になります。グラフや集計結果を一画面に集約し、システム全体の状態や傾向を直感的に把握できます。

今回はやり取りが行われているファイルのタイプ別グラフや、ファイルタイプ別の通信料やアクセス数、宛先の国に関するヒートマップ、ソースと宛先の国を可視化しました。

SIEMとして利用する場合、異常ログの発生状況や、ログイン失敗率、通信量の急増などを常時監視するSOC向けモニタリング画面として利用できます。さまざまなログを見やすく表示可能なため、経営層向けレポートのベース画面としても活用可能です。

3-3. Amazon OpenSearch ServiceのVisualize

Visualizeはログデータを集計・加工し、グラフや地図などで可視化する設計機能です。集計条件や期間、フィールドを柔軟に設定し、独自の分析指標を作成できます。

SIEMとして利用する場合、ログイン失敗回数の推移や海外IP比率、特権操作の発生頻度などを定量化し、検知ロジック設計や傾向分析に活用できます。自社環境に合わせた監視指標を構築する基盤となります。

こちらは、アクセス元の国を可視化した地図になります。赤の濃淡や円の大きさによる可視化も実施されています。

こちらは、別のデータでのアクセス元の国のグラフになります。データの内容や見せたい相手に合わせて地図やグラフなど、適切な表示が可能です。

Amazon Open Search ServiceはIP制限を実施したり、ログインIDやPWの変更も可能です。社内の情報セキュリティポリシーに沿ったセキュリティ設定を実施できることも、AWSのSIEM運用のメリットです。

AWSの導入・移行・運用に関するご相談はこちらからお問い合わせください。

4. まとめ

タイトルにある通り、SaaS型SIEMをAWSで代替できるのかをお話しすると、Amazon OpenSearch ServiceによるSIEM構成は、SaaS型の“コピー”ではありません。どちらも特徴があり、自社の使い方にあった選択を取る必要があります。2章で述べたようにコストの観点、SIEM専門エンジニアを雇う必要がある運用の観点、移行やカスタマイズが困難であるベンダー依存の観点などがネックになり、導入できない場合はAWSでのSIEM運用が適切でしょう。また、AWSは社内のインフラとして、ログが集まる基盤でもあるため、ログ分析をするSIEMとも相性が良いと言えるでしょう。

AWSの導入・移行・運用に関するご相談はこちらからお問い合わせください。

• Amazon Web Services（AWS）およびその他のAWS 商標は、米国その他の諸国における、Amazon.com, Inc.またはその関連会社の商標です。