監視システム構築

セキュリティ製品のログを収集・分析する基盤となる監視システム（以下SIEM）の構築を担います。 SIEMとは、端末に導入しているセキュリティ製品やセキュリティ関連のログをまとめた場所を指します。SIEMがなくてもEDRなど1つのセキュリティ製品を使ったセキュリティ監視は可能ですが、SIEM構築を行うことでより包括的にセキュリティ監視を行うことができます。

仕事内容

まずは要件定義を行います。お客様がどのような基準を満たしたいのか、どのようなサイバー攻撃のリスクに備えたいのか、セキュリティ監視の目的やご要望をヒアリングします。

ヒアリングした内容をもとに、どのようなログを収集するか、検知ルールや構成を検討します。使用する製品や検知ルールなどのアウトラインが決まったら、実際にログを取り込む設定を行います。さらに検知ルールを追加したり、SOAR（自動化する仕組み）を取り入れたり、ログをダッシュボードで可視化し誰が見ても分かるような状態にしたりと幅広い機能を活かした構築・実装を行います。

製品ごとに異なりますが、検知ルールを作るクエリ言語を用いて記述していくイメージです。

大切にしていることお客様との対話

SIEMは、お客様の環境にある様々なセキュリティ製品のログを収集し、それをもとに分析するものです。そのため、お客様ごとにカスタマイズした形で実装を行うことになります。

はじめにヒアリングし要件定義をした上で進めていきますが、その過程でもお客様との対話を重ね、提案を交えながら臨機応変に対応し、お客様の状況や体制に沿った適切な構築を行うことを心掛けています。

SIEMはコストがかかるシステムでもあるため、言われたことをそのまま実装するのではなく、その先の運用も見据え、お客様に「良かった」と思っていただけるよう最適なSIEMを構築することを常に大切にしています。

使用しているツール

各種ドキュメント作成には、Excel、Word、Powerpointといったオーソドックスなツールを使っています。

コミュニケーションツールとしては、Teams、Slack、Zoom、メールなどお客様に合わせて異なるツールを使用しています。

得られるキャリア

SIEMは様々なセキュリティ製品の情報を収集するため、多岐にわたるセキュリティ製品について、幅広い知識を身につけることができます。セキュリティ業界でセキュリティエンジニアとしてキャリアを積んでいくにあたって、有効だと感じます。

クラフはベンダーフリーでサービスを提供しているため、ログ収集の手順、検知ルールの設定など特性の異なるSIEＭそれぞれの構築・実装経験を積むことができるのも魅力です。

また、お客様との対話を重ねながらプロジェクトを進めていくため、意図を正確にくみ取ったり、技術的知見を活かして分かりやすく伝えたりとコミュニケーションスキルも向上します。

一日（仕事）の流れ

一日の準備 9:00～9:30: 当日のタスクを確認し、朝会で共有すべきポイントを整理する。
e-learning があれば、この時間に受講しておく。
朝会 9:30～10:00: 各メンバーの作業状況とプロジェクト全体の進捗を確認し、当日のタスクの進め方を決定する。
様々な作業が並行して進むため、毎朝の認識合わせが不可欠。
ログ取り込み作業（準備） 10:00～11:00: SIEM へのログ取り込み手順や動作を開発環境で事前テストし、実装に備える。
手順書やテスト仕様書も準備しておく。
質問対応 11:00～11:30: 「プログラム実行時にエラーが出るので解決してほしい」といった他メンバーからの技術的な質問や、顧客からのSIEMの仕様に関する質問などの問い合わせに対応する。
他メンバーの待ち時間を減らすためにも、迅速な回答を心掛け、必要に応じてショートミーティングなどを設定する。。
自身が行き詰まった場合にも、早めにチームへ共有をする。
ログ取り込み作業（実装） 11:30～12:00: 顧客サーバへのエージェント導入や SIEM 側の取り込み設定を行い、テスト仕様書に沿って結果を確認する。
取り込みに失敗した場合は原因を調査、課題を切り分け、必要に応じてベンダーへエスカレーションを行う。中々うまくいかずに対応が長期化することも。
休憩 12:00～13:00: 同僚と昼食。周辺に飲食店が多いため、その日の気分で店を選ぶ。
顧客ミーティング 13:00～14:00: プロジェクトの進捗・課題を共有し、認識を合わせる。
議事録を作成し、「このイベントを検知することは可能か」などの検知ルールに関する質疑応答を実施する。
検知ルール作成 14:00～16:00: ログを確認しながら要件に応じた検知ルールを作成、想定外のケースがあれば随時メンバーや顧客と相談する。
調査結果や参考資料は後から参照できるようドキュメント化しておく。
社内ミーティング 16:00～17:00: 顧客ミーティングの振り返りを行い、課題を整理・管理する。
各自の作業内容・技術トピックの共有なども行う。
ドキュメント作成 17:00～18:00: 設計書、仕様書、手順書などのドキュメントを作成・更新する。
構築プロジェクトでは作成が必要なドキュメントが多くなりがち。
退社 18:00