SIEMベンダーの選び方｜オンプレ・クラウド・運用委託型の違いと国内サポート・導入支援で比較

SIEM（セキュリティ情報・イベント管理）の導入を検討する際、どの製品を選ぶかと同じくらい重要になるのが、どのベンダーに、どこまでの運用を任せるかという判断です。自社で構築・運用するのか、クラウドで手早く始めるのか、24時間の監視まで外部に委ねるのかによって、候補となる提供元も社内に必要な体制も変わってきます。

製品の機能や価格は各社が公開していますが、国内でのサポート体制や導入支援、運用の代行可否といった「提供元の体制」は横並びで見えにくいものです。この見えにくさが、ログ監視を立ち上げたい情報システム・セキュリティ担当者にとって、ベンダー選びを難しくしています。

そこでこの記事では、SIEMの提供形態を自社構築オンプレミス型・クラウド型・運用委託マネージド型の3つに分けて整理し、主要な製品・ベンダーを提供形態・運用委託の可否・国内サポート・導入支援・料金で比較します。あわせて、自社に合う提供元を絞り込むための選び方の観点も解説します。

すぐに比較したい方に向けて、「主要SIEM製品・ベンダーの比較表」や、最短で自社に合う提供形態がわかる「30秒で終わる選定診断ツール」も用意しています。ぜひこちらもご活用ください。

SIEMベンダーとは？製品を出す提供元と、運用を任せるパートナー

SIEM（Security Information and Event Management：セキュリティ情報・イベント管理）とは、サーバーやネットワーク機器、各種アプリケーションが出力するログを一箇所に集め、相関分析によって脅威の兆候を検知するための仕組みです。

SIEMベンダーという言葉には、この製品そのものを開発・提供する事業者と、導入設計から日々の監視・運用までを請け負うパートナー事業者の、2つの立場が含まれます。

製品を選ぶだけなら機能と価格の比較で足りますが、SIEMは導入して終わりではなく、検知ルールの調整や日々のアラート対応といった運用が前提になります。そのため「どの製品か」と「誰が運用するか」を切り離さずに考えることが、提供元選びの出発点になります。

SIEMでできること（ログ収集・相関分析・振る舞い検知）

SIEMの中心的な役割は、分散したログの集約と、複数のログを突き合わせる相関分析です。単体では異常に見えないログでも、時系列や機器をまたいで関連づけることで、不正アクセスやマルウェア感染の兆候を浮かび上がらせます。

近年の製品は、利用者やデバイスの普段の振る舞いから逸脱を検知するユーザー行動分析（UEBA）や、検知後の対応を自動化するセキュリティ運用の自動化（SOAR）との連携を備えるものが増えています。どこまでの機能を自前で使いこなすか、運用を外部に委ねるかは、後述する提供形態の選択とつながります。

出典・参考資料（2件）

• 参考資料：Security Information and Event Management (SIEM)｜NIST Computer Security Resource Center（https://csrc.nist.gov/glossary/term/security_information_and_event_management）
• 参考資料：Log Management｜NIST SP 800-92（https://csrc.nist.gov/pubs/sp/800/92/final）

提供・運用形態の3タイプで選ぶ

SIEMのベンダー・サービスは、どこまでを自社で担い、どこからを提供元に任せるかで、大きく3つの形態に分けられます。「自社でシステムを構築・運用できるか」「監視まで任せたいか」という観点で、自社がどの形態に向くかを見極めることが、提供元を絞り込む第一歩です。

3つの形態を、どこまでを自社で担い、どこからを提供元に任せるかで整理すると、次のようになります。

自社で構築・運用するオンプレミス型SIEM

自社のデータセンターやサーバーにSIEMを構築し、運用まで自社で担う形態です。ログを社外に出さずに保管できるため、データの管理を自社の統制下に置きたい企業や、閉域ネットワーク・制御システム（OT）環境を持つ企業に適しています。

一方で、サーバーの用意や検知ルールの設計、バージョン更新までを自社で引き受けるため、運用を担えるセキュリティ人材が社内にいることが前提になります。向いているのは、ログの管理方針を自社で握りたい、監視・運用の体制を社内に持てる企業です。

クラウド型（SaaS）SIEM

提供元がクラウド上で用意したSIEMを、サービスとして利用する形態です。総務省のガイドラインでは、SaaS（サービスとしてのソフトウェア）を、利用者が自らハードウェアやソフトウェアを用意せずネットワーク経由で機能を使う形態と整理しています。SIEMをこの形で使えば、サーバーの調達や構築を省いて短期間で監視を始められ、ログ量の増減にも合わせやすくなります。

基盤の維持やバージョン更新は提供元が担いますが、検知ルールの調整やアラートへの対応は利用者側に残るのが一般的です。向いているのは、構築の負荷を抑えて早く始めたい、利用規模を柔軟に変えたい企業です。

出典・参考資料（1件）

• 参考資料：クラウドサービス利用・提供における適切な設定のためのガイドライン｜総務省（https://www.soumu.go.jp/main_content/000815290.pdf）

運用も任せるマネージド型SIEM（MSS／MDR・SOC委託）

SIEMの運用や監視そのものを、提供元のセキュリティ専門チームに委ねる形態です。運用を代行するマネージドセキュリティサービス（MSS）や、検知から対応までを担うマネージド検知・対応（MDR）として提供され、提供元の監視拠点（SOC）が24時間体制でログを見張ります。

自社では監視要員の採用・育成が難しい場合でも、検知と初動対応を任せられるため、夜間や休日の監視の穴を埋めやすくなります。向いているのは、24時間の監視を担う人員が社内に足りない、検知後の対応まで含めて任せたい企業です。

出典・参考資料（1件）

• 参考資料：マネージド検出and対応 (MDR) とは｜Microsoft Security 101（https://www.microsoft.com/ja-jp/security/business/security-101/what-is-mdr-managed-detection-and-response）

自社がどの提供形態に向くか、監視・運用をどこまで任せたいかに迷う場合に向けて、「30秒で終わる選定診断ツール」を用意しています。いくつかの質問に答えると、合う提供形態と候補サービスを確認できます。

主要SIEM製品・ベンダーを提供形態・国内サポート・料金で比較

ここからは、自社の運用体制や要件に合わせて見比べられるよう、主要なSIEM製品・ベンダーを提供形態・運用委託の可否・国内サポート・導入支援・料金で整理します。機能だけでなく「誰に・どこまで任せられるか」の観点を軸に並べています。

※運用委託（MDR・SOC）欄の記号は、◎＝提供元や自社SOCによる監視〜対応までのマネージドが中核／●＝国内パートナー・ベンダーのMDR・SOCで運用を委託できる／×＝導入支援は受けられるが運用委託（MDR・SOC）は本調査で確認できず、を表します。

※国内サポート・導入支援欄は、製品提供元の直接対応か国内代理店・パートナー経由かの違いを示しています。上記は各社公式情報に基づく一般的な傾向で、提供形態（標準・オプション等）や料金は各社の最新情報をご確認ください。

主要SIEMベンダー・サービスの個別紹介

比較表で挙げた製品・ベンダーを、提供形態ごとに個別に紹介します。自社がどの形態に向くかを踏まえながら、候補となる提供元の特徴を確認してください。

自社で構築・運用するオンプレミス型SIEM

ログを自社の統制下に置き、検知ルールまで自社で作り込みたい企業に向く製品群です。ここで取り上げる製品の多くはクラウド構成も選べますが、自社で構築・運用する使い方を主眼に分類しています。

1. Splunk Enterprise Security（Splunk）

大量のログやイベントを取り込むデータ基盤の上に構築されたSIEMで、収集したデータを横断して相関分析し、脅威の検知から調査・対応までを担います。2024年にCiscoが買収し、現在はCisco傘下で提供されています。

機械学習でユーザーやデバイスの異常な振る舞いを捉えるUEBA、対応を自動化するSOAR、脅威インテリジェンスを統合して運用できる点が特徴です。クラウド版（Splunk Cloud）と自己管理・オンプレミスの構成を選べます。

料金は取り込むデータ量に応じたサブスクリプション型で、公式に定価は公開されていません。国内ではSCSKセキュリティなどのパートナーが構築・チューニングからSOC運用までを支援し、費用はパートナー見積もりとなります。

2. IBM QRadar SIEM（日本アイ・ビー・エム株式会社）

日本アイ・ビー・エム株式会社の「IBM Security QRadar SIEM」は、サーバーやネットワーク機器、アプリケーション、クラウドが出力するログに加え、ネットワークフロー情報やふるまいまで含めて相関分析するSIEM製品です。多数のプリセットルールを備え、導入初期から脅威の検知と優先順位付けを立ち上げやすくしています。

QRadar SuiteのうちクラウドやSaaS版、Log Insightsは2026年に提供を終了しており、2026年10月時点で新規に検討できるのはオンプレミス版です。オンプレミス版はIBMが継続して開発し、2026年6月にバージョン7.6.0を提供しています。ログを自社で管理したい企業にとっては、実績あるルールと分析基盤を引き続き選べる選択肢です。

ライセンスは秒間イベント数（EPS）やフロー数（FPM）を基準とする従量的な体系で、公式に定価は公開されていません。国内では日本アイ・ビー・エムやSCSKセキュリティなどのパートナーが構築・運用を支援し、費用はエンタープライズ向けの個別見積もりになります。

3. LogRhythm SIEM（LogRhythm）

米国発のサイバーセキュリティ企業LogRhythmが提供するSIEMで、現在はExabeamと経営統合しています。サーバーやネットワーク機器、エンドポイント、クラウドのログを収集・統合し、リアルタイムに脅威を検知・分析します。

ログ取り込みルールやダッシュボード、相関分析ルールがあらかじめ用意されており、運用の立ち上げ負荷を抑えられる点を訴求しています。AIエンジンによる柔軟な相関ルールの記述にも対応します。

提供形態はオンプレミスとSaaS型（Axon等）があり、国内では東京エレクトロン デバイスが販売代理店として導入・構築・検証支援からヘルプデスクまでを担います。料金は構成やデータ量で変わるため代理店見積もりとなります。

4. FortiSIEM（Fortinet, Inc.）

ネットワークセキュリティ製品で知られるFortinetが提供するSIEMで、オフィスなどのIT環境と工場・制御系などのOT環境の双方に対応します。2,800種類以上のIT/OT相関ルールを備え、制御系まで含めた監視を想定しています。

構成管理データベース（CMDB）を内蔵して資産情報と連動した検知を行い、セキュリティ監視（SOC）とネットワーク運用（NOC）を同一基盤で扱える点が特徴です。FortiGateなど自社製品群との連携もしやすくなっています。

クラウド・SaaS・オンプレミスの柔軟な構成に対応し、ログ取り込み量や保存要件がライセンスやノード数に影響する設計です。公式に定価の記載はなく、国内ではSCSKセキュリティなどが導入支援を提供します。費用は要問い合わせです。

5. Logstorage（ログストレージ）（インフォサイエンス株式会社）

インフォサイエンス株式会社が2002年から提供する国産のSIEM・統合ログ管理製品です。契約数は5,800以上、金融機関での採用は100件を超えると公表しています。

400種以上のログ収集実績を持ち、AWSやAzure、Microsoft 365などは連携パック形式で対応します。収集したログは最大90%の圧縮、暗号化、ハッシュ値による改ざん検知を行って保管できます。

オンプレミスや仮想環境での導入に対応し、最小構成から分散構成まで段階的に拡張できます。ライセンスは1日あたりのログ収集量で区分され、料金は非公開のため問い合わせが必要です。約1ヶ月の試用版が用意されています。

6. ALog（株式会社網屋）

株式会社網屋が開発・提供する国産のログ管理・SIEM製品です。Windowsサーバーやファイルサーバー、Active Directory、Microsoft 365などのログを自動収集し、独自の変換技術で「誰が・いつ・何をしたか」が分かる形に整えて一元管理します。

2026年7月提供開始の新バージョン「ALog V2」では、平常時のログ傾向を学習し、件数・値・新規出現の変化から異常を検知するAIアラート機能を搭載しました。しきい値を人手で設計せずに運用できる点を訴求しています。

クラウド版とオンプレミス版があり、料金は1日あたりの収集ログ量に応じた体系です。年額の基本料はクラウド版が10万円、オンプレミス版が7万円で、いずれも5GB/日ごとのログ容量が5万円加算されます。30日間の無料トライアルも用意されています。

運用まで任せたい場合は、網屋によるマネージド検知・対応のメニュー（ALog MDR）を別契約で利用でき、検知と対応の運用を委ねられます。

出典・参考資料（1件）

• 参考資料：ALog製品・料金情報｜株式会社網屋（https://www.amiya.co.jp/solutions/alog/）

7. ManageEngine Log360（Zoho Corporation）

ManageEngineブランドでZoho Corporationが提供する統合ログ管理・SIEMです。統合ログ管理のEventLog Analyzer、Active Directory監査のADAudit Plus、Microsoft 365監査、UEBAを1つのコンソールにまとめています。

複数のモジュールを1台のサーバーで運用できるため、製品ごとにサーバーを用意する場合よりサーバーコストを抑えられるとしています。リアルタイムの脅威検知やコンプライアンス報告も標準で備えます。

提供形態はオンプレミス版のLog360と、2024年7月提供開始のクラウド版Log360 Cloudから選べます。日本円での定価は公式に確認できず、正確な見積もりはゾーホージャパンへの問い合わせが必要です。

8. Elastic Security（Elasticsearch B.V.）

検索・分析基盤のElasticsearchを土台に、SIEM・XDR・エンドポイントセキュリティを同一プラットフォームへ統合した製品です。Elasticsearchの全文検索と集計を生かし、大規模なログを高速に検索・分析できます。

基盤がオープンソース由来で、セルフマネージド（オンプレミスや自前クラウド）とマネージドのElastic Cloudを選べます。基本機能はオープンソースとして無償で利用でき、検知の自動化や機械学習による異常検知、ケース管理を備えます。

商用の料金はデータ量に基づく従量制で、公式に円建ての定価は示されていません。エンドポイント単位の課金やデータ復元時の料金を設けないことを公式は差別化として挙げていますが、契約条件は見積もり時の確認が必要です。

クラウド型（SaaS）SIEM

サーバーの構築を省いて短期間で監視を始めたい、利用規模を柔軟に変えたい企業に向くサービス群です。

9. Microsoft Sentinel（日本マイクロソフト株式会社）

Microsoft Sentinelは、Azure上で動くクラウドネイティブのSIEMです。ログの収集・相関分析に加え、対応を自動化するSOAR、利用者やデバイスの行動分析（UEBA）、脅威インテリジェンスを一つのサービスに組み込んでいます。利用にはAzureのサブスクリプションが前提となります。

同社のMicrosoft 365やDefender XDRとネイティブに連携するため、これらをすでに使う企業では導入や運用を進めやすい構成です。生成AIのSecurity Copilotを、インシデントの要約やクエリの作成に利用することもできます。

料金は取り込み・保存したデータ量に応じた従量課金で、ログの取り込み量が増えるほど費用も積み上がる構造です。利用規模に合わせて、割引が利くコミットメントレベルを選ぶこともできます。

国内のパートナー各社がMicrosoft Sentinelの運用を代行するマネージドサービス（MSS）を提供しており、監視・運用を委ねることもできます。

10. Google Security Operations（SecOps）（Google LLC）

旧Chronicleを源流とする、Google Cloudが提供するクラウドネイティブなSIEM/SOAR製品です。Googleの検索・インフラ技術を基盤に、ペタバイト規模のログ取り込みと、大量ログの長期保持・高速検索を前提に設計されています。

検知は事前定義のルールや、独自の記述言語YARA-Lで作成した検知ルールで行い、取り込んだデータは独自のデータモデル（UDM）で正規化します。Google傘下のMandiantやVirusTotalの脅威インテリジェンス、生成AIのGeminiによる調査支援も統合しています。

公式の定価表は公開されておらず、料金は Google Cloudや国内パートナーへの見積もりで確認する形です。国内ではパートナー経由での導入が中心となります。

11. Sumo Logic Cloud SIEM（Sumo Logic, Inc.）

クラウド上のログ分析・オブザーバビリティ基盤を源流に、その上で提供されるクラウド型のSIEMです。ログやイベントを統合管理し、自動の相関分析でインシデントを検出したうえで、深刻度を判定するトリアージまで行います。

運用監視とセキュリティ監視を同じ基盤で扱える点が特徴で、MITRE ATT&CKのカバレッジ表示やUEBA向けのルール群も備えます。2021年には東京リージョンでCloud SIEMの提供を開始しており、国内にデータを置く選択肢があります。

料金は 1日あたりの平均取り込みデータ量と保存期間を基準とし、SIEM向けのログ取り込みはパッケージのオプションとして提供されます。ログの保存期間は最大365日です。

12. Rapid7 InsightIDR（ラピッドセブン・ジャパン株式会社）

Rapid7が次世代SIEMと位置づける、クラウド型のSIEM製品です。一元化したログ管理と検知ルール、調査・ケース管理のワークフロー、UEBA、Rapid7のエージェントが集めるエンドポイントの情報を組み合わせ、検知から調査までを支えます。

課金は取り込むデータ量ではなく 監視対象の資産（アセット）数を基準とし、Essential・Advanced・Ultimateの段階的なサブスクリプションが用意されています。データ量の増減に左右されにくく、費用を見積もりやすい設計です。

国内では日本法人のラピッドセブン・ジャパンやパートナーが提供し、検知から対応までを委託できる「Rapid7 MDR」の検知中核としても使われます。運用の代行まで含めて検討できる製品です。

13. Exabeam New-Scale SIEM（Exabeam Japan株式会社）

ユーザーやデバイスの行動分析（UEBA）を源流とするベンダーが提供する、クラウドネイティブのSIEMです。基盤はGoogle Cloud上に構築され、高速な検索・相関分析とAIによる調査支援を統合した、脅威の検知・調査・対応のワークベンチと位置づけられています。

AIエージェント「Exabeam Nova」が背景情報の収集や優先順位付けを支援し、アラートやケースを一元管理するThreat Centerを備えます。テラバイト規模のデータを数秒で検索できる処理性能を訴求しています。

2024年7月にLogRhythmと統合し、クラウド型のNew-Scale製品群に加え、オンプレミスで動く自己ホスト型のLogRhythm製品も選べます。料金は公開されておらず、国内は代理店経由での販売で、見積もりでの確認となります。

運用も任せるマネージド型SIEM（MSS／MDR・SOC委託）

監視・運用を担う人員が社内に足りず、検知から対応まで提供元に委ねたい企業に向くサービス群です。

14. 三菱電機 セキュリティログ分析サービス（三菱電機デジタルイノベーション株式会社）

SIEMソフトウェアにSplunk Cloudを用い、その導入から日々の運用監視までを三菱電機デジタルイノベーション株式会社がまとめて引き受けるマネージド型のSIEMサービスです。2025年10月1日に提供を開始しました。自社にSplunkを扱う専任人材がいなくても、高機能なSIEMを運用に乗せられます。

同社のSOC（セキュリティ監視拠点）が24時間365日体制でログを監視し、脅威を検知した際のインシデント対応まで支援します。契約したログ量の上限を超えそうな場合は利用者へ連絡する仕組みを備え、既存の「標的型攻撃対策サービス」と連携してプロキシやファイアウォール、IDSのログも分析できます。

オプションの中間サーバー（Splunk Heavy Forwarder）でログをフィルタリング・変換し、取り込むログ量を抑えてSplunkの利用料を軽減する調整にも対応します。料金はSplunk Cloudのライセンスと運用監視を組み合わせた個別見積もりで、公式に定価は公開されていません。

15. LogFilter（株式会社Colorkrew）

株式会社Colorkrewが提供する、SIEMの監視・運用をカスタマイズして請け負うサービスです。ログを収集・保管する製品そのものではなく、すでに導入したSIEMの上で有人監視の層を担う点が位置づけの中心になります。

24時間365日の有人監視に加え、自社環境に合わせた分析ロジックの追加・修正や、アラートのカスタマイズに対応します。アラートは件数による抑制や時間帯による除外といった細かな条件で調整でき、監視の状況は月次レポートで可視化されます。

導入後の問い合わせ対応は1カ月あたり10回までを目安としています。料金は公式に公開されていないため、監視対象や運用範囲に合わせてColorkrewへ見積もりを依頼する形になります。

SIEMベンダーの選び方

提供形態の当たりが付いたら、同じ形態の中からどの提供元を選ぶかを絞り込みます。「誰に・どこまで任せるか」を外さないために、次の観点で見比べると判断しやすくなります。

国内サポート・導入支援は自社の体制に見合うか

海外発の製品は機能が豊富な一方、日本語での問い合わせ対応や導入支援を国内の窓口で受けられるかは製品ごとに差があります。自社にSIEMの構築経験が乏しい場合は、導入設計や初期のルール作成を支援してもらえるか、日本語で運用相談ができるかを確認するとよいでしょう。

とくにオンプレミス型を自社で立ち上げる場合、導入時のつまずきが運用開始の遅れに直結します。国内に導入支援のパートナーがいる製品を選ぶと、設計段階での手戻りを抑えられます。

運用代行（MDR/SOC）の範囲はどこまでか

運用を委ねたい場合は、監視だけを代行するのか、検知後の初動対応や原因調査まで含むのかを確認することが重要です。アラートの通知までが契約範囲で、対応は自社に残る場合と、隔離や封じ込めの指示まで担う場合とでは、社内に必要な体制が変わります。

24時間365日の監視が必要かどうかも、委託範囲を決める分岐点です。自社の稼働時間だけ監視できれば足りるのか、夜間・休日も含めて見張る必要があるのかを整理したうえで、代行範囲を選ぶのが有効です。

運用代行を軸に委託先を絞り込みたい場合は、代行範囲や課金単位、24時間監視の中身でMDRサービスを横並びに比較した次の記事も、どこまで任せられるかを見極める参考になります。

誤検知・アラートチューニングの運用負荷に耐えられるか

SIEMは導入直後、環境に合わない検知ルールのために誤検知（過検知）が多く出がちです。これを放置すると、担当者がアラートを見なくなり、監視が形だけになってしまいます。検知ルールの調整（チューニング）を誰が、どのくらいの頻度で行うかを、導入前に決めておく必要があります。

自社でチューニングを続ける体制が取りにくい場合は、ルールの調整まで提供元が面倒を見るマネージド型や、チューニング支援を含む導入メニューを持つ製品が候補になります。

提供形態別の料金・費用感はどう違うか

SIEMの料金は、取り込むログの量や監視対象の数で決まる課金が多く、提供形態によって費用のかかり方が異なります。オンプレミス型はサーバーやライセンスの初期費用が中心で、運用の人件費は自社持ちになります。クラウド型は初期費用を抑えやすい一方、ログ量に応じた月額が継続的にかかります。

マネージド型は製品の利用料に監視・運用の委託費が上乗せされますが、監視要員を自社で抱える人件費と比べて判断します。多くの製品が要問い合わせの個別見積もりのため、取り込むログ量と監視対象を整理したうえで、各社から見積もりを取って比較するのが確実です。

SIEM単体では埋めきれない領域を補う選択肢（NDR・XDRとの組み合わせ）

SIEMはログを起点に脅威を検知しますが、ログに残らない通信の中身や、端末内部での不審な挙動までは捉えきれないことがあります。この領域を補う選択肢として、ネットワークの通信を解析するNDR（ネットワーク検知・対応）や、端末からクラウドまで横断して検知するXDR（拡張検知・対応）があります。

Microsoftは、XDRがSIEMを置き換えるものではなく、SIEMと組み合わせて補完する関係にあると説明しています。SIEMで全社のログを俯瞰しつつ、NDRやXDRで通信や端末の可視化を足すことで、検知の死角を減らせます。ここでは、SIEMと連携して使える補完的なサービスを紹介します。

出典・参考資料（1件）

• 参考資料：XDRとは｜Microsoft Security 101（https://www.microsoft.com/ja-jp/security/business/security-101/what-is-xdr）

SIEMと組み合わせる補完ソリューション（NDR・XDR）

16. Network Blackbox（株式会社クワッドマイナージャパン）

Network Blackboxは、ネットワークを流れる通信を全パケット単位で収集し、脅威の検知・分析・対応を行うNDR（ネットワーク検知・対応）製品です。イベントのログではなく通信そのものを保存するため、SIEMが集めるログには残らない通信の中身まで遡って調べられます。

検知にはシグネチャによる既知攻撃の照合に加え、ユーザー行為を記録して異常を見つけるBAD（Behavior Anomaly Detection）やコンテンツ分析を併用します。他ツールとはSyslog・REST APIで連携でき、EDRやSIEMへ遮断・削除の指示を渡せるため、SIEMを置き換えるのではなくネットワーク側の検知を足す補完として組み合わせられます。

導入はネットワーク上の通信を複製して取り込むミラーリング方式で、監視対象の端末にエージェントを入れる必要はありません。国内では東証グロース上場のフーバーブレインが総代理店として販売し、2024年には同社が資本参加しています。料金は要お問い合わせです。

17. Microsoft Defender XDR（日本マイクロソフト株式会社）

ID・エンドポイント・メール・クラウドアプリにまたがる脅威の検知・調査・対応を、Microsoft Defenderポータル上で一元化するのがMicrosoft Defender XDRです。単独で購入する製品ではなく、複数のDefender製品を組み合わせることで有効になる統合レイヤーという位置づけです。

各製品から集まるシグナルを突き合わせて1件のインシデントとして追跡し、ランサムウェアの横展開を検知した際には侵害した端末をネットワークから自動的に切り離す自動デバイス隔離を備え、被害が広がる前に封じ込めます。

全社のログを集めるSIEMと組み合わせる場合は、同社のSIEM「Microsoft Sentinel」を介して連携し、Defenderポータル上でSIEMとXDRを一つの画面で運用できます。XDR機能は単独では購入できず、Microsoft 365 E5（年払いで月額8,995円／ユーザー、Teams込み）などのライセンスに含まれる形で有効になります。

出典・参考資料（1件）

• 参考資料：Microsoft Defenderの価格｜日本マイクロソフト（https://www.microsoft.com/ja-jp/security/microsoft-defender-pricing）

18. Palo Alto Cortex XDR（パロアルトネットワークス株式会社）

マルウェア対策などの予防機能（EPP）と、侵入後の検知・対応機能（EDR）を1つのエージェントに統合したのが、パロアルトネットワークスのXDR製品「Cortex XDR」です。エンドポイントに加えてクラウド・ネットワーク・アイデンティティのデータを相関させ、脅威を調べます。

ランサムウェア対策では、おとりのファイル（デコイファイル）への書き込みや暗号化の試みを検知してプロセスを遮断する専用モジュールを備え、暗号化が実行される前の段階で止めることに主眼を置いています。

SIEMがログからは捉えにくい端末内部の挙動をXDR側で検知して対応に回すことで、ログ監視の死角を補う使い方ができます。自社での運用が難しい場合は、ソフトバンクやNRIセキュアなど国内のSIer・販社がCortex XDRを使ったマネージドサービスを提供しています。料金はPrevent・Proの2プランとも要お問い合わせです。

ここで触れたXDRをさらに詳しく比べたい場合は、EDRとの違いや監視できる範囲、他社製品との連携でXDR製品を比較した次の記事が参考になります。SIEMと組み合わせる前提で、どのXDRが自社の守りたい範囲に合うかを見極められます。

まとめ

SIEMベンダーを選ぶときは、製品の機能だけでなく「自社で構築・運用するのか、クラウドで手早く始めるのか、監視まで委ねるのか」という提供形態から入ると、候補を絞り込みやすくなります。そのうえで、国内サポート・導入支援の手厚さ、運用代行の範囲、チューニングの負荷、提供形態別の費用感を見比べると、自社の体制に見合う提供元が見えてきます。

自社で運用できる体制があるならオンプレミス型やクラウド型、監視の手が足りないならマネージド型といったように、まずは形態の当たりを付けてから個別の製品を比べるのが近道です。具体的な製品名での比較は、本記事の比較表と選定診断ツールをご活用ください。

各製品の機能や料金そのものをさらに詳しく比べたい場合は、主要なSIEM製品を機能・料金の観点で比較した以下の記事もご覧ください。

よくある質問（FAQ）

Q. SIEMベンダーとは何ですか？

A. SIEMベンダーとは、ログを集めて相関分析し脅威を検知するSIEMを提供する事業者の総称で、製品そのものを開発・提供する事業者と、導入設計から監視・運用までを請け負うパートナー事業者の両方を含みます。

製品を選ぶだけなら機能と価格の比較で足りますが、SIEMは検知ルールの調整やアラート対応といった運用が前提になるため、「どの製品か」と「誰が運用するか」を合わせて見ることが、提供元選びの出発点になります。

Q. SIEMと統合ログ管理ツールは何が違うのですか？

A. SIEMと統合ログ管理ツールの違いは、統合ログ管理が各種ログの収集・保管・検索を主目的とするのに対し、SIEMは集めたログを横断して突き合わせる相関分析とリアルタイムの脅威検知まで担う点にあります。実際には「統合ログ管理・SIEM」と両方の役割を備える製品も多く、ログを貯めて後から調べたいのか、集めたログから異常をリアルタイムに見つけたいのかで、必要な機能の重心が変わります。

Q. SIEMとXDR・SOC・SOARはどう違うのですか？

A. SIEMはログを横断して脅威を検知する仕組み、XDRは端末からクラウドまでを横断して検知・対応する仕組み、SOARは検知後の対応を自動化する機能、SOCはそれらを使って監視・対応を担う組織（チーム）を指します。

マイクロソフトは、XDRはSIEMを置き換えるものではなく組み合わせて補完する関係にあると説明しています。SIEMで全社のログを俯瞰しつつ、XDRやSOARで検知・対応を厚くし、SOC（自社または委託先）が運用する、という役割分担で捉えると整理しやすくなります。

Q. SIEMの導入費用の目安はどのくらいですか？

A. SIEMの費用は、取り込むログ量や監視対象数、提供形態によって大きく変わり、多くの製品が定価を公開せず個別見積もりとしているのが実情です。料金を公開している製品もありますが、多くは要問い合わせのため、具体的な費用は比較表や各製品の紹介をご確認ください。

費用を比べるときは、取り込むログ量と監視対象を整理したうえで、同じ条件で複数社から見積もりを取るのが確実です。

Q. SIEMは契約から本番稼働までどのくらいかかりますか？

A. SIEMが本番稼働するまでの期間は提供形態で大きく変わり、クラウド型は構築を省けるため短期間で監視を始めやすい一方、オンプレミス型はサーバーの用意や検知ルールの設計・調整に時間がかかります。稼働後も環境に合わせた検知ルールのチューニングが続くため、「導入したらすぐ完成」ではなく、立ち上げ後の調整期間まで見込んでスケジュールを組むと無理がありません。

Q. SIEM導入前にPoC（試用）はした方がよいですか？

A. 自社のログが想定どおり取り込めるか、アラートの量や精度が運用に耐えるかは環境ごとに差が出るため、可能であれば本契約の前にPoCや試用で確かめることをおすすめします。製品によっては試用版や無料トライアルが用意されているため、候補を絞ったら実環境で試すのが有効です。実際の運用負荷や使い勝手を確かめてから本番に進めると、導入後のミスマッチを減らせます。

Q. SIEMベンダーは何社くらいに相談して比較すべきですか？

A. 相談先の数に決まりはありませんが、提供形態（自社構築・クラウド・運用委託）の候補をまたいで複数社に声をかけ、同じ条件で見積もり・提案を比べるのが現実的です。1社だけだと費用や運用範囲が妥当か判断しにくいため、まず本記事の比較表や選定診断で2〜3つの提供形態に当たりを付け、その中から複数の候補に資料請求・問い合わせをして絞り込むとよいでしょう。

Q. 情シス専任が少ない中小企業でもSIEMは導入できますか？

A. 専任のセキュリティ担当が少ない企業でも、構築の負荷が小さいクラウド型や、監視・運用まで任せられるマネージド型を選べばSIEMを導入・運用できます。自社でサーバーを用意し検知ルールを作り込むオンプレミス型は人手が前提になりますが、クラウド型なら短期間で始められ、マネージド型（MDR/SOC委託）なら24時間の監視も外部に委ねられます。

本記事の選定診断で、自社の運用体制に合う形態の当たりを付けられます。

Q. SIEMで集めたログはどのくらいの期間保存すればよいですか？

A. ログの保存期間は満たすべきコンプライアンス要件と、インシデント発生時にどこまで遡って調査したいかで決まり、数ヶ月から数年単位で設定するのが一般的です。製品によって保存できる期間の上限や長期保存時の課金が異なるため、自社が満たすべき保持要件を先に確認し、それに見合う保存期間とコストの製品を選びます。

Q. 無料やオープンソースのSIEMでも十分ですか？

A. 無料・オープンソースのSIEMはライセンス費用を抑えて始められますが、構築・運用・サポートを自社で担う前提になるため、運用できる人材が社内にいるかが導入可否の分かれ目になります。オープンソースとして基本機能を無償提供する製品もありますが、手厚いサポートや高度な機能は商用版が前提になります。

社内に運用体制がなければ、サポートや運用代行が付く商用製品・マネージド型のほうが、結果的に安定して運用できる場合があります。

SIEM・ログ監視に関する法人向けサービスの資料をまとめてチェック

MCB FinTechカタログでは、SIEM導入とあわせて検討したいログ監視・社内セキュリティの法人向けサービスの資料を無料で一括請求できます。自社の運用体制に合う提供元を探す参考にご活用ください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。