SIEM（Security Information and Event Management：セキュリティ情報イベント管理）は、さまざまな機器のログを一カ所に集約し、
相関分析によって脅威を検知するためのシステムです。多くの企業がセキュリティ監視（SOC）の中核として導入していますが、
運用が進むにつれて「年々ライセンス費用が増えていく」「分析に使わないログにまでコストを払っている気がする」といったご相談が、近年特に増えています。
本稿では、その根本原因を整理したうえで、ソフネットがデータパイプラインの第一推奨製品として
ご提案している Cribl を例に、SIEMコストを最適化する仕組みを、当社エンジニアの視点で分かりやすく解説します。
※本稿で紹介する内容は一般的な仕組みと当社での提案方針の一例です。実際の削減効果やライセンス体系はお客様の環境・製品によって異なります。
あくまで参考情報としてお読みください。
なぜSIEMの費用は青天井になりがちなのか
多くのSIEM製品は、取り込むデータ量（日次のログ量）に応じて課金されるモデルを採用しています。これがコスト増の最大の要因です。
セキュリティ強化のためにEDR・SASE・サーバー・ネットワーク機器・各種アプリのログを次々とSIEMへ集約していくと、データ量は容易に膨れ上がります。
ところが、その中で実際にアラート検知や脅威分析に使われているログは、ごく一部ということも珍しくありません。
つまり、多くの企業が「分析にほとんど使わない冗長なログ」にまでライセンス費用を払い続けているという状態に陥りやすいのです。
さらに、ログ収集の経路がSIEM製品に密結合していると、いざ別のSIEMへ乗り換えようとしても収集基盤の作り直しが大規模になり、
ベンダーロックインから抜け出せなくなります。
解決の鍵は「SIEMの手前」にある
この課題を解決するのが、Data Pipelineという考え方です。
ポイントはシンプルで、SIEMにログを取り込む手前に「中継・加工の地点」を一つ置く、というものです。
ここで以下のような処理を行います。
- 分析に必要なログだけを取捨選択して、SIEMへ送る
- 冗長な情報を削ったり、フォーマットを整形したりする
- 生ログ（全量）は、S3などの安価なストレージに長期保管する
これにより、SIEMには「必要な分だけ」が届くようになります。データ量連動の課金が最適化され、コストが大きく下がる、という仕組みです。
一方で、生ログそのものは安価なストレージに丸ごと残しておけるため、監査やコンプライアンス、後からのインシデント調査にも問題なく対応できます。
Data Pipelineのリーディング製品「Cribl」
このData Pipeline領域で、業界をリードしているのが Cribl（クリブル） です。
Criblは特定のSIEMやクラウドに縛られない「ベンダー中立」な設計が特徴で、あらゆるログソースと、主要なSIEM・ストレージとの柔軟な接続に対応します。Criblは単一の製品ではなく、用途ごとに複数の製品で構成された「スイート」になっています。代表的なものを整理すると、次のとおりです。
なかでも、本記事のテーマである「SIEMの手前でログを中継・加工・削減する」役割を担う主役は Cribl Stream です。
Cribl Stream（ストリーム）― 本記事の主役
Data Pipelineの中核を担う製品で、今回のコスト最適化の中心になります。流れてくるログをリアルタイムで加工・整形・ルーティングし、
必要なデータだけを各SIEMへ送り、生ログは別途ストレージへ振り分けるといった処理をGUIで柔軟に設定できます。
複数の送信先へ同時にデータを配るマルチデスティネーションにも対応しています。
本稿でこれまで説明してきた「SIEMの手前での絞り込み」や「ベンダーロックインの解消」を実際に担うのが、このStreamです。
Cribl Edge（エッジ）
ログが発生する端末・サーバー側にエージェントとして配置し、データの発生源に近い場所で収集・選別を行う製品です。
中央へ送る前段で不要なデータを削ることで、ネットワーク負荷や転送コストの削減につながります。
Cribl Lake（レイク）
生ログをオープンな形式のまま安価に保管できる、ストレージ向けの製品です。
長期保管しておいたデータを、必要なときに取り出して再活用（リプレイ）できる点が強みです。
また、Criblでは Cribl Lake以外にもS3などの主要なクラウドストレージにも対応しております。
Cribl Search（サーチ）
保管したデータを「動かさずにその場で検索」できる製品です。
従来は、長期保管したログを調査に使うために、いったんSIEMへ取り込み直す必要があり、時間もコストもかかっていました。
Searchを使えば、Cribl Lakeに置いたままのデータへ直接クエリを投げられるため、調査が大幅に効率化します。
導入で得られる「コスト削減以外」のメリット
Criblの価値はコスト削減だけではありません。SIEMの手前にデータパイプラインを置くことで、移行性・セキュリティ・運用の各面でも
次のような効果が期待できます。
ベンダーロックインからの解放
特にご質問が多いのがベンダーロックインの解消です。ポイントは、SIEMが「どうやってログを取り込んでいるか」にあります。
一般的なSIEMでは、ログを取り込むためにログソースごとに個別の収集設定を作り込む必要があります。
ログソースの数が多いほど、設定の数も積み上がっていきます。そして厄介なことに、これらの収集設定は現行SIEMに紐づいています。
そのため、別のSIEMへ移行しようとすると、ログソースごとの収集設定を移行先でもう一度すべて作り直すことになります。
ログソースが数十・数百と増えるほど、移行時に作り直す設定の数（変更箇所）も比例して増えていきます。
変更箇所が多ければ、それだけ移行にかかる工数・期間・コストが膨らみ、現実的に「SIEMを乗り換えたくても乗り換えられない」状態に陥ります。
これがベンダーロックインの正体です。ここでCriblを手前に挟むと、構図が変わります。
ログソースからCriblまでの収集設定は、一度作ればSIEMを移行しても変わりません。
SIEMはCriblから見れば「付け替え可能な1つの送信先」になるため、移行の際に変更するのはCribl → SIEMの1経路だけで済みます。
ログソース側の設定を作り直す必要がなくなる。
――これがロックイン解消の核心です。さらに、新旧2つのSIEMへ同時にログを流して並行稼働させ、検知精度を比べながら段階的に乗り換える
といった安全な移行も行えます。
個人情報のマスキング・データ品質の向上
SIEMへ送り込む前のデータを、Cribl側で自由に加工できる点も大きなメリットです。
たとえば、ログに含まれるクレジットカード番号やマイナンバー、メールアドレスといった個人情報・機密情報を、SIEMに届く前にマスキング（伏字化）したり、削除したりできます。ここはSOC（セキュリティ監視）を行ううえで、特に重要なポイントです。
――インシデント調査で必要なのは「どんな種類の情報が漏えいした可能性があるか」
たとえば「クレジットカード番号やマイナンバーが含まれていた」という事実であって、その番号そのものの値が必要になることはほとんどありません。
むしろ、SIEMやSOCの現場に生の機密情報を持ち込むこと自体が、新たな漏えいリスクを生みます。
そこで、値はマスキングしつつ「そこに該当する種別の情報があった」という事実は残すという加工ができれば、調査に必要な情報を保ったままリスクを最小化できます。万一SIEM側の権限設定に不備があっても、そもそも生の機密データが入っていなければ被害を抑えられるため、個人情報保護やコンプライアンスの観点でも有効です。
また、ベンダーやフォーマットの異なるログを共通の形式に整える（正規化する）、必要なフィールドだけを抽出する、不要なフィールドを削る、といった整形もまとめて行えます。SIEMに「きれいに整ったデータ」だけが届くようになるため、検知ルールやダッシュボードを作りやすくなり、分析の精度と効率が上がります。
データ量とコストの可視化
「どのログソースが、どれだけのデータ量をSIEMへ送っているか」をCribl上で把握できます。コスト増の原因になっているログを特定して、
ピンポイントで削減・最適化できるため、漠然とした”使いすぎ”を防げます。
一度きりの削減で終わらせず、ログ運用を継続的に改善していくための土台にもなります。
導入はスモールスタートが基本
Criblの導入で大切なのは、いきなり全社展開するのではなく、まず効果を見える化することです。
ソフネットでは、おおむね次の4ステップでご支援しています。
- コスト試算 ― 現在のログ量とSIEM費用を分析し、削減ポテンシャルを把握する
- PoC（検証） ― 小規模な環境で、実際にどれだけ削減できるかを実証する
- 導入・移行 ― ログ収集経路を段階的に切り替える
- 運用開始 ― 継続的にログを最適化し、改善し続ける
特に最初の「コスト試算」と「PoC」で具体的な削減効果を数字で確認できるため、社内での投資判断がしやすくなります。
まとめ
SIEMの費用が膨らむのは、多くの場合「分析に使わないログまでSIEMに取り込んでいる」ことが原因です。
CriblのようなデータパイプラインをSIEMの手前に置き、必要なログだけをSIEMへ、生ログは安価なストレージへと振り分けることで、
コストの最適化とベンダーロックインからの解放を同時に実現できます。
ソフネットでは、現在のログ量とSIEM費用をもとにした具体的な削減シミュレーションから、PoC、導入・移行、運用までをトータルでご支援しています。
「SIEMの請求額が年々上がっている」「ログ運用を見直したい」といった課題がございましたら、お気軽にお問い合わせください。