ABOUT
AlienVault社のOSSIM(無償版)、USM（有償版）が効果的だと思います。
無償版でも基本的な機能はすべて使えるので、OSSIMで十分だと思います。
SIEMを初めて導入する場合、セキュリティのイベントを可視化できるというデモンストレーション、
とりあえず使ってみて効果と課題を理解するために使ってみてください。
USMはレポートのテンプレート豊富、ログの保全機能がついています。
ログとUSM事態を管理するためのコマンドなどが豊富に実装されています。
それぞれVMアプライアンスとして提供されます。
VMWareが動作する環境さえ用意すれば、コンパイルやインストール作業は不要です。
ダウンロードから初回の起動まで30分ぐらいで終わりました。
DETAIL
セキュリティモニタリングの全体像についてです。
通常以下の5ステップからなります。
1. アセットの検知と登録
2. ログの収集
3. セキュリティ情報の統合
4. レポート、アラート設定
5. イベントの調査とインシデント対応
AlienVaultのフリー版OSSIMでもこれらの機能が利用可能です。
1. アセットの検知と登録
マニュアル登録、ポートスキャンを使った自動検知と登録、収集したシスログから自動登録
2. ログの収集
syslogだけでなく、WMI, sqlなどを使った収集も可能。
OSSIMにlinux,win用のエージェントが付属しているので、それをインストールすればアプリケーションログ、tripwire的にファイルの変更ログなども収集可能。
対応ログは、unix系syslog, network機器、windows event log, McAfeeなどアンチウイルスソフト系、database, web log, IPS, Firewall だいたい必要なものは網羅している。
netflowも受け付けることが可能。
3. セキュリティ情報の統合
ログの分析エンジンで、関連付け、リスクの重み付けを計算可能。
さらに、OTXというセキュリティコミュニティのreputation情報を元にblack list IPからの攻撃はリスク値を上げるなど外部ソースとの連携も可能。
脆弱性スキャナー機能が備わっているので、脆弱性情報をアセットに登録し、攻撃パターンと脆弱性の有無からもリスクの計算が可能。
4. レポート、アラート設定
OSSIMはテンプレートが限定的です。サイバーセキュリティレポート、内部統制レポートのテンプレートは利用可能。
USMではISO27001, PCI-DSS, HIPPA, Malware対策など豊富なテンプレートが利用可能です。
5. イベントの調査とインシデント対応
フリー版だと機能が限定されていますが、収集したログに電子署名を施して保存することが可能。
私も全て使っていますが、驚くほど効果的です。
興味がある方がいらっしゃるでしょうか？
使い方などを解説しようと思いますが、スクリーンショットの採取など手間がかかるのでどうしようか決めかねています。