12月の振り返り - codaichi’s note

12月の進捗

12月はMDMの社内展開、SIEMの検知ルールの適正化、入社時のアカウント作成や備品に関するアンケートの自動送付の実装を進めることが目標でした。

やったこと

結果として、MDMの社内展開は拠点メンバーなど数名については未対応ですが、それ以外は展開できました。

SIEMの検知ルールの適正化についても週に500件ほどアラートが上がっていたのが、50件ほどになり、検知ルールの適正化も進みました。

当初の目標である入社時のアンケート自動送付については進捗がありませんでしたが、IdPとSlackのProvisioningを年末に設定することができたので、社内で利用している主要なサービスについては、アカウントライフサイクルをIdP側で一元管理できるようになりました。

難しかったこと

SIEMの運用は楽しさもありますが、やはり難しいと感じることもありました。

セキュリティに関連するデータの一元的な収集やインシデントの早期検知、データの一元的な収集による相関分析、Playbookの事前登録による初動対応の自動化などがSIEM導入の主目的だと思います。

その中で12月に対応できたのはデータの一元的な収集とインシデントの早期検知です。ただし、早期検知に関しては、インシデント以外の誤検知が多いのも事実で、導入したSIEMではSQLとPythonで検知ルールを定義しているため、毎日のようにSQLのクエリやPythonコードを修正し、誤検知を減らし検知したい挙動はアラートとして受け取れるよう試行錯誤しました。

幸いにもSIEM側でMCPサーバーを提供しているので、Cursorと連携しSIEM内のルールを可視化したり、修正を進めることができました。ただ、社内でのAIの活用が進む中でセキュリティのタスクに関してAIを活用して効率的に検知や初動対応を進めていく必要があるので、AIの活用に合わせてセキュリティ側でも検知ルールの改善は必要そうです。

また、複数のデータソースの活用による相関分析やPlaybookの事前登録による初動対応の自動化も行っていく必要があります。ただPythonやSQLがわかるだけ、書けるだけではなく、データベース設計や効率的なデータ抽出方法といった、より上流の設計スキルが必要になるので、AIを活用しつつも、設計思想や考え方は自分自身でしっかり身につけながら進めていきたいです。

1月の目標

本業では引き続きSIEMの活用を進めつつ、入社や退職などアカウントライフサイクルの自動化を進めたいと思います。

プライベートでは2月にセキュリティの試験を受験する予定なので、試験に向けて準備を進めたいと思います。