多くのSaaSを安全に利用するためのSIEM基盤を整備 少数精鋭で運用している企業こそ導入すべきSplunk Cloud

利用するSaaSのログをSIEMに集約、外部のSOCによる監視サービスを活用

現在は、基幹システムが稼働するAWSの各種ログをはじめ、グループウェアとして活用しているG SuiteおよびOffice 365、オンラインストレージのBoxや無線有線含めたネットワーク管理が統合できるCisco Meraki、仮想デスクトップ環境を実現するAmazon WorkSpaces、シングルサインオンのOkta、クラウドセキュリティとしてのNetskope、エンドポイント対策としてのSentinelOneなど、セキュリティに関連したさまざまなログをSplunk Cloudにて取得しています。このSplunk Cloudに収集されたログを外部のSOC サービスを利用して24時間対応で監視、分析しており、何かあればアラートがメールやSlackにて通知される運用です。ログ自体は全て合わせると1日10GBほどのサイズとなっており、ログを保持する期間も用途に応じた形で運用しています。Splunk Cloudに直接流し込めないログは、AWS上にSyslogサーバを設置して運用していますが、今後はSplunkがクラウド上にインスタンスを用意しているInput Data Managerと呼ばれるフォワーダを経由して取得していく計画です。

相関的な分析が可能になり、現場が求めるSaaSの利用拡大も容易になった

Splunk Cloudに多くのログを集約できたことで、SOCサービスが監視するノードが1か所になることでコストを最小限におさえつつ、利用しているSaaSを相関的に分析、判断できるようになり、これまで以上にセキュアな形で運用できるようになったと東原氏は高く評価しています。「利用しているSaaSのログを横串で見ることができるため、インシデントの検知も迅速になるだけでなくSOCサービスからのアラートも相関的な状況からチューニングできるようになったのは大きい」。また、SIEMであるSplunk Cloudにログを集めることで、ログの過不足が判断できるようになったことも評価の1つに挙げています。「当初はAWSのログだけで十分だと考えていましたが、実際にはネットワーク側の問題でアラートになっていたケースが明らかに。そこでCisco MerakiのログもSplunk Cloudに入れるようになるなど、不足したログが明確になったのは大きな効果です」と東原氏。Splunk Cloudがあることで、現場の要望に応える新たなSaaSも安全に展開できるようになったと評価します。「今では、Splunk Cloudでログが取れないSaaSは導入しないというのが判断基準になっています」。

少数精鋭で運用するからこそSplunk Cloudが有効なツールに

Splunkが提供するソリューションについては、安定して利用できるだけでなく、使いやすさについても高く評価しています。「クラウド環境であってもAppsが自分で導入でき、サイジングやバージョンアップに関する心理的な負担もなくなっています」と東原氏。タスクの自動化が可能なSplunk Phantomや機械学習によってスコアリングすることでリスクが軽減できるSplunk UBAなど、Splunkの企業ビジョンにも共感が持てると東原氏は評価します。「SaaSを積極的に利用する我々にとって、SIEMは安全を担保するために欠かせないプラットフォームといっても過言ではありません。AWSをプラットフォームとして選択したような感覚でSplunkを利用しているといえます」。

特にSIEMというソリューションについては、少数精鋭で運用している企業こそ導入すべきだと東原氏は力説します。「DXや働き方改革などがもてはやされていますが、それらを進めるためには安全の担保が必要で、まさにSIEMは欠かせないソリューションの1つ。運用人数が多ければSaaSそれぞれに担当を付けて監視することはできるかもしれませんが、それではとても非効率。我々のような人数規模の企業だからこそ、Splunkの価値は高いものになるはずで、決して高いソリューションではないことがわかるはず」と東原氏。

運用監視などオペレーション系のログも集約していく

今後については、まだログを集約していないWeb会議をはじめ、Microsoft IntuneおよびJamfなどモバイルセキュリティなどについても集約していく予定となっています。また、リアルタイム性が求められる運用監視などのオペレーション系のログは別の仕組みで運用していますが、いずれはSaaS型の監視プラットフォームとしてSplunkが買収したSignalFxへの切り替えも視野に入れていると語ります。

またログについては、取得しすぎてしまうと当然コストに影響するだけでなく、従業員のプライバシー配慮も考慮し、精査していく必要があると指摘します。「情報のマスキングも含め、ログの取得についてはさらに検討が必要だと考えています」と東原氏に語っていただきました。