SIEM連携

概要

SIEM（セキュリティ情報イベント管理）ソリューションは、複数のシステムからセキュリティ関連のログやイベントを収集、相関分析し、脅威の検知、コンプライアンス遵守、インシデント調査の迅速化を支援します。

Applications Managerは、標準のSyslogプロトコルを用いた外部SIEMプラットフォームへのログ転送（監査ログ、アクセスログ、アラート生成時のSyslogメッセージ）に対応しています。これにより、監視アクティビティや設定変更、セキュリティイベントの一元管理が可能になります。

対応SIEM連携

Applications Managerは、以下のSIEM連携オプションをサポートしています。

  • Splunk（標準連携）
    UDP/Syslogを使用してSplunkに直接ログを転送するためのネイティブサポートを提供します。
  • カスタムSIEM連携（UDP/Syslog経由）
    Applications Managerを、ManageEngine Log360、Microsoft Sentinel、その他のサードパーティ製SIEMソリューションなど、SyslogをサポートするあらゆるSIEM製品と連携させることができます。
SIEM連携タブ

SIEM連携の設定手順

SIEM連携は、［設定］→［製品設定］→［連携（アドオン設定）］→［SIEM］に移動して設定できます。

カスタムSIEM連携の設定（Log360、Microsoft Sentinelなど）

カスタムSIEMオプションを使用して、Applications ManagerをSyslogをサポートするSIEMプラットフォームと連携します。

カスタムSIEM
  1. ［SIEMアプリケーション名］フィールドに分かりやすい名前を入力します。
  2. ［プロトコル］として［UDP］を選択します。
  3. SIEMサーバーの［ホスト名/IPアドレス］を入力します。
  4. Syslogデータを受信するように設定された［ポート番号］を指定します。
  5. ［Syslogフォーマット］が［RFC-5424］に設定されていることを確認します。
  6. 必要に応じて、［アクセスログを送信］を有効にします。
  7. 関連する［監査モジュール］を選択します。
  8. プライバシーポリシーに同意します。
  9. ［保存］をクリックします。

保存されると、Applications Managerは設定されたSIEMサーバーへの監査ログおよびアクセスログの転送を開始します。

SplunkのSIEM連携設定（標準）

Applications Managerは、UDP/Syslogを使用したSplunk連携のネイティブサポートを提供します。

plunk SIEM連携設定ページ
  1. SIEM連携オプションとして［Splunk］を選択します。
  2. ［プロトコル］として［UDP］を選択します。
  3. Splunkサーバーの［ホスト名/IPアドレス］を入力します。
  4. UDP入力用に設定された［ポート番号］を指定します。
  5. ［Syslogフォーマット］が［RFC-5424］であることを確認します。
  6. 必要に応じて、［アクセスログを送信］を有効にします。
  7. 必要な［監査モジュール］を選択します。
  8. Splunkのプライバシーポリシーに同意します。
  9. ［保存］をクリックします。
メモ：Applications ManagerとSIEMサーバー間のUDPトラフィックがネットワーク接続とファイアウォールルールで許可されていることを確認してください。

連携後の設定

SIEMまたはSplunk連携を設定した後、対応するアクションを作成し、監視の属性に関連付ける必要があります。この手順により、Applications ManagerはアラートがトリガーされたときにSyslogメッセージを送信できるようになります。

  1. ［設定］→［アクション］に移動します。
  2. 設定した連携に基づいて、［SIEMアクション］または［Splunkアクション］の作成をクリックします。
  3. ［表示名］に名前を入力します。
  4. ［宛先ホスト］と［宛先ポート番号］を確認します。
  5. 必要な［Syslogフォーマット］（RFC-3164またはRFC-5424）を選択します。
  6. 適切な［重要度］と［ファシリティ］の値を選択します。
  7. （任意）構造化されたSyslogデータが必要な場合は、［構造化メッセージ］を有効にします。
  8. ［説明］フィールドに、SIEMサーバーに送信するメッセージテンプレートを入力します。
  9. ［保存］をクリックしてアクションを作成します。

SIEM連携の管理

設定されたSIEM連携は、連携（アドオン設定）ページから管理できます。

  • 編集：サーバーの詳細、ポート、または監査モジュールの選択を更新します。
  • 削除：不要になったSIEM連携を削除します。

これらの管理オプションは、監視およびセキュリティ要件の変化に応じて、SIEM連携を維持および適応させるのに役立ちます。