FIM と SIEM ソリューションの統合

企業のオーナーまたはマネージャーとして、重要なファイルやその他の IT 資産を保護するために、優れたセキュリティ ソフトウェアに投資する必要があります。事前の脆弱性管理とリアルタイムの脅威監視により、高額な データ侵害 とダウンタイムのリスクを最小限に抑えることができます。適切に作り込まれた 監査ポリシー は、たとえば Payment Card Industry Data Security Standard（PCI DSS）や、Health Insurance Portability and Accountability Act（HIPAA）といった要件への準拠に役立ちます。

包括的なセキュリティ戦略は、file integrity monitoring（FIM）と security information and event management（SIEM）の両方のソリューションから大きな恩恵を受けることができます。場合によっては、FIM と SIEM のソリューションを統合することで、さらに強力な保護を提供できます。

このガイドでは、FIM、SIEM、それらの違いを探ります。SIEM だけを使うべきか、FIM だけを使うべきか、あるいは統合すべきかを議論し、Netwrix がどのように IT システムと機密データの防御を支援できるかを説明します。

FIMとは何ですか？

ファイル改ざん監視（File integrity monitoring、FIM）とは、追加、削除、移動などを含む重要なファイルへの変更を追跡し、誰が特定の変更を行ったのか、またどの属性が変更されたのかといった詳細を提供するプロセスです。ファイルの完全性を確保するために、FIM では脅威インテリジェンスサービスとともにハッシュやチェックサムの技術がよく用いられます。

FIM は、次の理由により不可欠なセキュリティ対策です。

• 不正な変更を検出 — 多態性マルウェア、ゼロデイの脅威、insider attack などに対して見落としがちであるファイアウォールやアンチウイルスツールとは異なり、FIMは 侵害検知 を実現します。持続的な脅威を示唆し得る、潜在的に危険なシステムファイルの変更を継続的に監視することで、侵害の兆候を把握できます。最適な FIM ソリューションは組織の変更管理プロセスと統合されているため、計画されていない危険な変更に対してのみ通知できます。
• データ損失を防止 — FIM は、重要なファイルが削除・リネーム・改変されたときに通知できます。安全な設定からのズレ（ドリフト）のような問題を速やかに修正することで、脅威アクターが IT システムやデータにアクセスするリスクを最小限に抑えられます。
• コンプライアンスを促進 — PCI DSS Requirement 11.5 は、企業に対して、設定ファイル、重要なシステムファイル、コンテンツファイルについて少なくとも週1回ファイル整合性モニタリングを実施し、また不正な変更について適切な担当者に通知することを求めています。
• マルウェアを検出 — FIM は、重要なファイルを改変したマルウェアを検出できるため、すぐに駆除してさらなる被害を防止できます。
• 履歴の記録を提供 — FIM は重要ファイルへの変更をログに記録し、セキュリティ調査、トラブルシューティング、コンプライアンス、フォレンジックを支援します。

SIEMとは？

セキュリティ情報およびイベント管理 ソフトウェアは、IT 環境における進行中の脅威を見つけ出すことを目的としています。SIEM ソリューションは単なるログ管理ツール以上のものであり、多種多様なアプリケーションやデバイスからログデータを集約し、相関付けし、分析します。そのデータを分析して潜在的に危険な活動を特定し、さらにセキュリティチームへアラートを通知します。データソースには、ファイアウォール、アンチウイルス（AV）ソフトウェア、侵入検知システム（IDS）および侵入防止システム（IPS）が含まれることがあり、エージェントの使用が伴う場合もあります。

SIEM ソリューションは 3 つの重要な要素を組み合わせます：

• セキュリティイベントの相関分析（SEC）— さまざまなソースからのイベントを集約し、正規化し、優先順位付けして、セキュリティ活動の全体像を把握するためのプロセス
• セキュリティイベント管理（SEM） — ソフトウェアまたはシステムにおけるセキュリティ関連イベントを識別し、収集し、監視し、報告するためのプロセス。
• セキュリティ情報管理（SIM）— コンピュータログやその他のデータソースから、セキュリティ関連データを収集・監視・分析する実践

SIEM vs. FIM

SIEM と FIM が何であるかを理解したところで、主な違いを見ていきましょう：

SIEM を FIM の目的で使用する

SIEM プラットフォーム は、ファイル整合性監視の基本レベルを提供できます。たとえば、トロイの木馬やその他のマルウェアを示唆するシステム／設定ファイルの変更を確認できます。しかし、このような戦略では誤検知（ファルスアラート）があまりに多くなり、セキュリティチームが本物の脅威に集中できないことがよくあります。

一方で、スタンドアロンのエンタープライズ FIM は、単純な変更を報告するだけではなく、システムのセキュリティ構成を包括的に把握できます。ファイルの変更を文脈に基づいて評価します。たとえば、Group Policy setting の変更がセキュリティを弱めるかどうかを考慮します。エンタープライズ FIM は、各変更が「計画されたもの」か「計画外のもの」か、また「加固されたビルド基準」に準拠しているかどうかといった、重要な詳細情報も提供します。さらに、データベース、サーバー、ワークステーション、ファイアウォールなど、重要なシステムのセキュリティ構成のスナップショットも示します。

FIM を SIEM と統合するメリット

FIM と SIEM の combination of FIM and SIEM は、システムの監視と保護に向けて、より包括的なアプローチを提供できます。benefits of integrating FIM with SIEM は次のとおりです。

• より優れた脅威の検知と対応 — FIM と SIEM を統合することで、被害を最小限に抑えるために脅威をタイムリーに検知して対応できるようになります。
• 変更の周辺状況（コンテキスト）をより深く理解 — SIEM 統合により、サイバーセキュリティ担当者は FIM が検知した変更のコンテキストを把握できるため、調査を促進します。
• ゼロデイマルウェア検知 — FIM と SIM を組み合わせることで、AV、IDS、IPS のログにおける変更を見つけ、他のイベントと相関付けることで、ゼロデイマルウェアの検知が可能になります。
• ノイズの削減 — FIM と SIEM を組み合わせることで、本当の脅威により正確に絞り込み、誤検知（false positives）の数を減らせます。これにより、アラート疲れのリスクを最小化し、調査中に数百〜数千件のイベントを手作業で確認する負担をなくします。
• コンプライアンス要件の達成 — FIM は多くのコンプライアンス規制における重要な要件ですが、SIEM ソリューションは通常、コンプライアンス監査向けの事前定義テンプレートを提供します。その結果、SIEM と FIM ソリューションを組み合わせることで、あらゆる範囲をカバーする完全なコンプライアンス対応を促進できます。
• レジリエンスの向上 — FIM と SIEM を組み合わせることで、脆弱性を先手で低減し、脅威の初期段階で発見して対応できるようになります。これにより、ビジネス継続性をより確実に守れます。
• より強力なビジネス・インテリジェンス — 最後に、 FIM と SIEM を組み合わせることで 行動分析やその他のビジネス・インテリジェンスを導き出せます。この情報を活用して、戦略の策定やテクノロジー投資の指針づくりに役立てられます。

Netwrix がどのようにお手伝いできるか

Netwrix Change Tracker は、次の機能を備えた高度な FIM ソリューションです:

• インフラを強化する際の推測をなくし、システムが安全であることに自信を持てるようにします。
• 誤検知（false positives）で通知が溢れることなく、IT システムに対する不適切な変更をすべて知らせることで、効果的な脅威検知を実現します
• 何がどのように変更されたのか、そして誰が変更したのかを含む詳細なフォレンジック情報により、迅速な調査を促進します
• コンプライアンス監査を通過するために必要な情報を提供します
• クラウド基盤と Windows、macOS、Linux、Unix のデバイスをサポートします

今すぐ無料トライアルを開始 ご自身で Netwrix Change Tracker が、組織のサイバーセキュリティとサイバー・レジリエンスの目標達成をどのように支援できるか確認してみてください。