SIEM連携とは？つなぐ製品ごとに見える脅威と連携方式・優先順位を解説

SIEMを導入したものの、「何をつなげば攻撃が見えるようになるのか」が分からないまま、箱だけが動いている状態になっていないでしょうか。SIEMは手元のさまざまな機器やサービスのログを集めて初めて力を発揮します。では、自社のどの製品をつなぐと、どんな攻撃が見えるようになるのでしょうか。

自社で動いているEDR（Endpoint Detection and Response）やファイアウォール、Active Directory、クラウドサービスのうち、どれをSIEMに連携させると検知の精度が上がるのか。そしてどうやってつなぎ、何から手を付ければよいのか。この「配線」の全体像が見えないと、投資したSIEMが宝の持ち腐れになりかねません。

本記事では、SIEMに連携させる代表的なログ源と「つなぐと何が見えるか」の対応づけを一覧で示したうえで、Syslog・REST APIといった連携方式、何から優先してつなぐべきか、つないだ後の運用までを解説します。自社のSIEMに何を連携させるかを判断する材料としてご活用ください。

SIEM連携とは？まず結論から

SIEM連携とは、エンドポイントやネットワーク機器、認証基盤、クラウドサービスなど、社内に点在するさまざまなログ源をSIEM（Security Information and Event Management）に接続し、ログを一か所に集めて突き合わせられる状態にすることです。

SIEMは、多様な種類のログを一元的に収集する仕組みとして公的にも定義されています。集めたログを相関させることで、単体の機器だけでは気づけない攻撃の兆候を浮かび上がらせます。

SIEMは、ログの収集・保管・検索を担うSIM（Security Information Management）と、リアルタイムの監視・アラートを担うSEM（Security Event Management）を統合したもの、という説明が一般に定着しています。SIEM単体は何をつなぐかで見えるものが決まる「空の器」です。

ログ源を一つもつながなければ何も見えず、適切なログ源をつなぐほど、攻撃の全体像がつかめるようになります。

出典・参考資料（1件）

• 参考資料：Security Information and Event Management（SIEM）用語定義｜NIST Computer Security Resource Center（https://csrc.nist.gov/glossary/term/security_information_and_event_management）

SIEMに何を連携させる？連携先×見える脅威・できること一覧

ここからは、SIEMに連携させる代表的なログ源と、それぞれをつなぐと何が見えるようになるのかを整理します。まずは全体像を一覧で確認してください。自社で動いている製品が「どの行」に当たるかを探すと、SIEMに入れたときの効果をイメージしやすくなります。

この表は、各製品カテゴリが一般に記録するログと、それらをSIEMで相関させたときに見えてくる代表的な脅威を整理したものです。各ログ源が記録する内容と、集めたときに見えてくるものが違う点がポイントになります。以下では、性質の近いログ源をまとめて、それぞれをつなぐ意味を補足します。

認証基盤とエンドポイント：侵入の「入口」と「起点」をおさえる

認証基盤（Active DirectoryやIDaaS・SSO）のログは、誰がいつどこからログインし、どの権限を使ったかを記録します。これをSIEMに入れると、深夜の海外からのログインや、退職者アカウントの突然の利用といった、普段と違うアクセスを検知できます。

たとえば、海外のIPアドレスから管理者アカウントへのログインが短時間に何十回も失敗し、その直後に成功していれば、SIEMの画面にその一連の記録が時系列で並び、総当たりによる乗っ取りの疑いとして気づけます。

エンドポイント（EDR）のログは、端末上でどんなプロセスが動き、どのファイルが書き換えられたかを記録するため、マルウェアの実行やランサムウェアによる暗号化の始まりを捉えられます。

攻撃の多くはアカウントの乗っ取りか端末の感染から始まります。認証基盤とエンドポイントは、その「入口」と「起点」を見張る役割を担うため、SIEM連携の効果が出やすいログ源です。

ネットワークと境界機器：端末に残らない動きを捉える

ファイアウォール・UTMやIDS・IPSは、社内と外部の境界を通る通信を記録し、遮断した攻撃の試みや不審な宛先への通信を可視化します。NDR（Network Detection and Response）は、社内ネットワークを流れる通信そのものを分析する仕組みです。侵入後に攻撃者が別の端末へ移動する「横移動」や、データが外部へ運び出される経路など、個々の端末のログには現れない動きを捉えられます。

エンドポイントにエージェントを入れられない機器や、OT環境・IoT機器が多い組織では、ネットワーク側のログがSIEMにとって重要な補完材料になります。

クラウド・プロキシ・メール：社外とのやり取りを見張る

プロキシやCASB、クラウド・SaaSの監査ログは、社員がどのサイトにアクセスし、どのファイルをアップロード・ダウンロードし、クラウド上で何を共有したかを記録します。これらをSIEMに連携させると、不正サイトへの通信やクラウド経由での情報持ち出し、短時間での大量ダウンロードといった、社外とのやり取りに潜むリスクを検知できます。

メールセキュリティのログは、標的型メールが届いた事実と、その後に端末や認証で起きたイベントを時系列でつなぐ手がかりになります。

SIEMとの連携方式（Syslog・REST API・コネクタ・エージェント）とログ形式

ここからは、「どうやってつなぐか」を整理します。SIEMとログ源の接続にはいくつかの方式があり、製品によって対応する方式が異なります。自社の環境でどの方式が使えるかの当たりをつけておくと、製品選びや設定の見通しが立ちます。

つなぎ方のイメージとしては、たとえばファイアウォールのログをSyslogで送る場合、ファイアウォール側の設定画面で、ログの転送先としてSIEMのIPアドレスとポート（Syslogでは一般的に514番）を指定するのが基本的な流れです。多くの機器は、こうした転送設定を管理画面から行えます。

CEF・LEEFなどのログ形式の違い

ログを転送するだけでなく、SIEMが解釈しやすい「形式」にそろえることも連携では重要です。代表的なのがCEF（Common Event Format）とLEEF（Log Event Extended Format）です。

CEFはArcSight（現OpenText）が策定した、異なる機器のログを正規化するためのテキストベースの標準フォーマットで、標準ヘッダと可変の拡張部（キーと値の組）で構成され、転送にはSyslogを用います。LEEFはIBMのQRadar向けにカスタマイズされたイベント形式で、SyslogまたはログファイルでQRadarへ送られます。

ただし、多くの製品はこうした形式に対応してログを送り出せるため、利用者がログの中身を細かく整える必要はありません。確認すべきは、自社のログ源が送り出せる形式を、使っているSIEMが受け取れるかどうかの1点です。製品選定や連携設定の際に、双方の仕様を公式情報で突き合わせておくと安心です。

出典・参考資料（3件）

• 参考資料：The Syslog Protocol（RFC 5424）｜IETF（https://www.rfc-editor.org/rfc/rfc5424）
• 参考資料：Implementing ArcSight Common Event Format (CEF)｜OpenText（公式仕様書PDF）
• 参考資料：LEEF overview（QRadar）｜IBM Documentation（https://www.ibm.com/docs/SS42VS_DSM/com.ibm.dsm.doc/c_LEEF_Format_Guide_intro.html）

複数のログを相関させて見える脅威（ユースケース）と、連携しない場合の見落とし

SIEM連携の価値は、1つのログ源だけでは判断がつかない事象を、複数のログを突き合わせて初めて「攻撃だ」と見抜ける点にあります。ここでは、連携によって見えるようになる代表的なユースケースを、どのログ源の組み合わせで検知できるかとともに紹介します。

内部不正による情報持ち出し

権限を持つ社員がファイルサーバから大量のファイルをダウンロードし、個人のクラウドストレージへアップロードする——この一連の動きは、認証基盤・ファイルサーバ・プロキシ/CASBのログを相関させると浮かび上がります。1つのログだけ見れば「正規の社員による正規の操作」に見えるため、連携していないと見落とされがちな典型例です。

特権アカウントの乗っ取りと悪用

管理者権限を持つアカウントで普段と違う時間・場所からログインし、その直後にサーバの設定変更やアカウントの作成が行われた場合、認証基盤とサーバ・OSのログを突き合わせると、乗っ取りの疑いとして検知できます。権限の強いアカウントほど被害が大きくなるため、相関による早期の気づきが効きます。

ランサムウェアの横展開

1台の端末がマルウェアに感染し、そこを起点に内部ネットワークをスキャンして他の端末やサーバへ広がっていく動きは、EDR・NDR・サーバログを組み合わせると、感染から拡大までの流れとして追えます。端末単体のEDRだけでは「1台の検知」で止まり、組織全体への広がりを見逃す恐れがあります。

これらに共通するのは、単体のログでは正常に見える操作が、複数のログを時系列で並べると不審な連鎖として見えてくるという点です。IPA（情報処理推進機構）が公表する「情報セキュリティ10大脅威 2025」でも、ランサム攻撃・サプライチェーン攻撃・内部不正による情報漏えいなどが組織にとっての主要な脅威として挙げられており、これらの多くは複数のログ源をまたいで進行します。

SIEM連携は、こうした脅威を「点」ではなく「線」で捉えるための土台になります。

出典・参考資料（1件）

• 出典：情報セキュリティ10大脅威 2025（組織向け、2025年1月30日公表）｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2025.html）

何から優先して連携する？効果の高い順と最低限

すべてのログ源を一度につなぐと、ログ量が増えてストレージやライセンスの負担が重くなり、設定や運用も追いつきません。そこで、効果の高いものから段階的に連携するのが現実的です。優先順位は「どのログ源を相関させると、見逃したくない脅威に最も早く気づけるか」で考えます。

1. 認証基盤（Active Directory／IDaaS・SSO）：不正ログインも内部不正も、まず認証の記録に痕跡が残ります。ここをつなぐと、不正ログインや権限の悪用に気づける範囲が一気に広がります。
2. エンドポイント（EDR）：端末はマルウェア感染やランサムウェアの起点になります。認証と組み合わせると、乗っ取られたアカウントがどの端末で何をしたかまで追えます。
3. 境界機器・プロキシ（ファイアウォール・UTM・プロキシ・CASB）：外部との不審な通信や情報持ち出しを捉え、内部の動きと外部へのつながりを結びつけます。
4. クラウド・SaaSの監査ログ、ネットワーク（NDR）：クラウド利用が多い組織や、端末にエージェントを入れにくい環境では、ここを足すと死角が減ります。

最低限どこまでつなぐかは、自社が最も避けたい被害から逆算して考えるのが基本です。アカウントの乗っ取りと端末の感染は多くの攻撃の共通の入口なので、まずは認証基盤とエンドポイントの2つを連携させ、そこから自社のリスクに合わせて広げていくのが無理のない進め方です。

専任の担当者を置きにくい小規模な組織なら、まずはこの2つだけをつなぎ、運用そのものは外部の専門事業者に任せる形から始めても十分です。すべてを自前で抱え込む必要はありません。

SIEMと混同しやすい製品（EDR・NDR・SOAR・XDR・SOC）との違いと役割分担

SIEMに連携させる相手と、SIEMの代わりや隣に位置する仕組みを混同すると、配線の設計がぶれます。ここでは、よく一緒に語られる製品・概念との違いを、SIEMを中心に整理します。

EDR・NDRとの違い（SIEMにつなぐ「相手」）

EDRは端末、NDRはネットワークを見張る検知の仕組みで、それぞれが得意な範囲で脅威を捉えます。SIEMはこれらを置き換えるものではなく、EDRやNDRが出すログ・アラートを集めて他のログと相関させる「集約と突き合わせ」の役割です。EDR・NDRはSIEMにつなぐ相手であり、競合ではなく補完の関係にあります。

SOAR・XDRとの関係

SOAR（Security Orchestration, Automation and Response）は、SIEMなどが上げたアラートを受けて、対応の手順を自動化する仕組みです。SIEMが「気づく」側、SOARが「対応する」側と役割が分かれます。

XDR（Extended Detection and Response）は、エンドポイント・ネットワーク・クラウドなどの検知を一つの製品群で統合する考え方で、SIEMと機能が重なる部分もありますが、SIEMは多様なログ源を幅広く受け入れて相関させる点に特徴があります。

SOCとの違い（仕組みではなく運用組織）

SOC（Security Operation Center）は、SIEMなどのツールを使ってセキュリティを監視・運用する「組織・体制」を指します。SIEMが道具、SOCがそれを使う人と運用、という関係です。SIEMを入れても見張る人がいなければアラートは放置されるため、後述する運用体制とあわせて考える必要があります。

連携した後の運用：相関ルールのチューニング・アラート過多・外部委託

ログ源をつなぐことはゴールではなく、運用の始まりです。つないだ後に待つ現実をあらかじめ知っておくと、SIEMが「アラートは出るが誰も見ていない」状態に陥るのを避けられます。

相関ルールのチューニング

SIEMは、どのログの組み合わせを「不審」と判断するかを定めた相関ルールにもとづいて動きます。導入直後のルールは自社の業務実態と合っていないことが多く、正常な操作まで警告したり、逆に見逃したりします。実際のログを見ながらルールを調整し続けることで、検知の精度が上がっていきます。

アラート過多とログ量・コスト

連携するログ源を増やすほど、SIEMに流れ込むログの量は増え、アラートの数も増えます。チューニングが追いつかないと、大量のアラートに埋もれて重要な兆候を見落とすことになりかねません。また、ログの保管量に応じてストレージやライセンスのコストも増える傾向があります。何をどこまで連携するかは、検知したい脅威と運用の手間・コストのバランスで決めることになります。

人手が足りないときの外部委託（MSS・SOC）

相関ルールの調整やアラートの確認には、セキュリティの知見を持つ人手が要ります。専任の担当者を置きにくい組織では、SIEMの監視・運用を外部の専門事業者に任せるMSS（マネージドセキュリティサービス）や、外部のSOCを利用する選択肢があります。自社で運用するか、外部に委託するか、両者を組み合わせるかは、社内の体制と求める監視レベルに応じて検討するとよいでしょう。

外部委託を具体的に検討する際は、検知だけを任せるのか、その後の対応・復旧まで含めて任せるのかという代行範囲や、24時間監視の中身・課金単位がサービスごとに異なります。どこまで任せられるかでサービスを見比べたいときは、以下の比較記事が判断材料になります。

SIEM連携に対応したサービス

ここまで見てきた「連携できる製品の地図」の一例として、SIEMと連携できる実在のサービスを紹介します。SIEM製品そのもの（Splunk、Microsoft Sentinel、LogRhythm、Exabeam、QRadarなど）を選ぶ段階では、受け入れられるログ源や連携方式を各製品の公式情報で見比べて判断してください。

ここでは、SIEMにログを送り込む「つなぐ側」の製品として、ネットワーク側の検知を担うサービスを取り上げます。

Network Blackbox（株式会社クワッドマイナージャパン）

Network Blackboxは、社内ネットワークを流れる通信をフルパケットキャプチャ方式で収集・分析するNDR（Network Detection and Response）プラットフォームです。公式でもNDRプラットフォームと位置づけられ、通信の全数を保存して脅威の可視化・分析・対応を行います。

エンドポイント型（EDR）やログ収集型（SIEM）とは層が異なり、ネットワーク上に痕跡が残る侵入・内部の不審通信・データ持ち出しの検知と事後調査を担います。

SIEM連携の観点では、Network Blackboxは対応機能としてSyslog（CEF）やREST APIによる外部連携に対応しており、EDRやSIEMと組み合わせて使う補完的な位置づけとされています。SIEM単体では見えにくいネットワーク層のテレメトリを供給する役割として、既存のSIEM運用に組み込むことができます。

ただし、特定のSIEM製品との連携実績は公式に公開されていないため、連携の可否・方式は導入時に公式情報で確認することをおすすめします。

SIEMにつなぐEDR・NDR・ID基盤・ログ管理といった製品を、守る対象別のタイプと代表サービスから見渡したい場合は、社内セキュリティソリューションの全体像をまとめた以下の記事が参考になります。自社でどの層が手当て済みで、どの層が手薄かを確認しながら、SIEMに連携させる候補を広げられます。

まとめ

SIEMは、何をつなぐかで見えるものが決まります。自社で動いている認証基盤・エンドポイント・ネットワーク機器・クラウドのうち、どれをつなぐと何が見えるかを把握し、効果の高い認証基盤とエンドポイントから段階的に連携していくのが、無理のない進め方です。

連携方式はSyslogやREST APIなどがあり、CEF・LEEFといったログ形式の対応はSIEM製品で異なるため、つなぐ前に公式情報で確認しておくと設定の見通しが立ちます。

つないだ後は、相関ルールのチューニングとアラートへの対応という運用が続きます。人手が足りない場合は外部委託も選択肢に入れながら、自社のリスクに合ったログ源を優先してつないでいきましょう。

よくある質問（FAQ）

Q. SIEM連携とは何ですか？

A. SIEM連携とは、エンドポイント・ネットワーク機器・認証基盤・クラウドなど社内に点在するログ源をSIEMに接続し、ログを一か所に集めて突き合わせられる状態にすることです。SIEM自体は何も連携しなければ力を発揮せず、何をつなぐかによって見える脅威が決まります。適切なログ源をつなぐほど、単体の機器だけでは気づけない攻撃の兆候を相関分析で浮かび上がらせられるようになります。

Q. すでに導入済みのSIEMに、後から新しいログ源を連携できますか？

A. SIEM連携は、すでに運用しているSIEMに対して後から新しいログ源を追加できるのが一般的です。SIEMはもともと多様なログ源を順次取り込んでいく前提の仕組みで、Syslogや専用コネクタに対応したログ源であれば、稼働中のSIEMを止めずに連携先を増やせます。

ただし、ログ量の増加に伴うストレージやライセンスの枠、相関ルールの追加設定が必要になるため、つなぐ前に自社SIEMが対応している連携方式と容量の余裕を確認しておくと安心です。

Q. SIEMにログ源を連携させると、ログ量やコストはどれくらい増えますか？

A. 連携するログ源を増やすほどSIEMに流れ込むログ量は増え、ストレージやライセンスのコストも上がる傾向があります。増加の幅はログ源の種類・組織の規模・ログの保管期間によって大きく変わるため一概には言えませんが、通信を細かく記録するネットワーク系やプロキシのログは量が多くなりやすい一方、認証基盤のログは比較的軽い、といった差があります。

具体的な費用はSIEM製品の課金方式（取り込むデータ量に応じた課金か、固定か）によっても変わるので、連携範囲を広げる際は各製品の料金体系を公式情報で確認してください。

Q. SIEMが対応していないログ形式の製品でも連携できますか？

A. SIEMが直接解釈できない形式のログでも、CEFやLEEFといった標準フォーマットへの変換や専用コネクタを介して連携できる場合が多くあります。CEF（Common Event Format）やLEEF（Log Event Extended Format）は、異なる機器のログをSIEMが扱いやすい形にそろえるための標準形式です。

ログ源側がこれらの形式で出力できるか、またはSIEMベンダーが対応コネクタを用意しているかが、連携できるかどうかの分かれ目になります。対応状況は製品ごとに異なるため、ログ源とSIEMの双方の仕様を事前に突き合わせて確認しましょう。

Q. エージェントを入れられない機器のログもSIEMに連携できますか？

A. 端末に常駐ソフト（エージェント）を導入できない機器でも、Syslog転送やネットワーク側での収集を使えばSIEMに連携できます。ネットワーク機器やサーバの多くはSyslogに標準で対応しており、エージェントを入れなくてもログを送り出せます。

エージェントを導入しにくいOT機器やIoT機器が多い環境では、NDRのようにネットワークを流れる通信そのものを分析する仕組みを介して、機器に手を入れずに通信の記録をSIEMへ供給する方法も有効です。

Q. SIEMはクラウドやSaaSのログとも連携できますか？

A. 多くのSIEMは、AWS・Microsoft Azure・Google CloudなどのクラウドやSaaSの監査ログとも連携できるように設計されています。これらのクラウドサービスが公開するREST APIを通じて、APIの操作履歴・設定変更・共有範囲の変更といったログを取り込めます。

オンプレミスの機器と並行してクラウド環境も監視対象に加えることで、クラウドの設定ミスや不正な外部共有といった、クラウド特有のリスクも検知できるようになります。

Q. SIEM連携の運用には専門の人材が必要ですか？

A. SIEM連携は、つないだ後に相関ルールの調整やアラートの確認を続ける必要があり、セキュリティの知見を持つ人手が欠かせません。ログ源をつなぐこと自体はゴールではなく運用の始まりで、放置すると大量のアラートが出るだけで誰も見ない状態に陥りがちです。

専任の担当者を置きにくい組織では、SIEMの監視・運用を外部の専門事業者に任せるMSS（マネージドセキュリティサービス）や外部SOCの利用も選択肢になります。自社で運用するか外部に委託するかは、社内の体制と求める監視レベルに応じて検討するとよいでしょう。

社内セキュリティ対策サービスの料金・資料を一括チェック

MCB FinTechカタログでは、SIEM連携に対応したNDRや社内セキュリティ対策サービスの最新資料を無料で一括請求できます。対応する連携方式や検知できる脅威の範囲を、資料で見比べられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。