日本IBMは6月8日、セキュリティ製品群「IBM Security QRadar Suite」に関する記者説明会を開いた。米国では4月23日に発表されたもので、日本でも既に提供が始められている。
執行役員 セキュリティ事業本部長の小川真毅氏はまず、クラウド移行やITモダナイゼーションが進展したことの副作用として、攻撃対象（アタックサーフェス）が拡大しており、「セキュリティの可観測性は日に日に難しくなっている」と指摘した。それに対して、同社は「セキュリティアナリストの監視業務をいかに効率的にするかが非常に重要」だと考え、今回の製品提供に至ったという。
小川氏はこれまでのセキュリティ運用の特徴として「テクノロジー重視」「エキスパートとヒーローに依存」「独自のエコシステム」の3点を挙げ、これを「アナリスト重視」「専門知識とAI（人工知能）によるスケーリング」「コミュニティーとの連携」に変えていくとした。
従来のセキュリティ運用と新しいIBM QRadar Suiteが目指すセキュリティ運用の違い
セキュリティ事業本部 テクニカル・セールス部長の赤松猛氏は、製品群の中核と位置づけられる「Unified Analyst Experience」（UAX）について説明。UAXは、これまで「XDR Connect」として提供されていた相互接続ツールを共通コンポーネントとして仕立て直したもの。セキュリティアナリストの分析作業のうち、複数のツールを併用するといった手作業による負荷の増大やUIの違いによる煩雑な操作などを効率化する。UAX機能はツール間を有機的に結合し、AIなども組み合わせてより効率的なアラートの発報も可能という。
IBM Security QRadarの変更点。従来独立した製品として提供されていたXDR Connectの機能をスイートの共通コンポーネントとして位置づけ直し、Unified Analyst Experience（UAX）とした。また、セキュリティ観察可能性とログ管理のための新ツールとしてLog Insightsが追加された
赤松氏によると、同製品は以前から提供されているXDR（Extended Detection and Response）やSIEM（セキュリティー情報イベント管理）といったツールを実際に運用する顧客の声を聴き、その要望を反映しているという。
追加機能となる「IBM QRadar Log Insights」はまずSaaSとして提供され、クラウドネイティブのログ管理とセキュリティ可観測性のソリューションとなる。前述のUAXとも接続可能。また、簡易的なSIEMとしてクエリー言語を利用した高速な検索が可能で、リアルタイム処理には対応しないものの、特定の条件で常時監視したい場合などには反復検索という形でバッチ的に処理できるという。
IBM QRadar Log Insightsの概要
QRadar SIEMとの違いについて、赤松氏は「リアルタイム分析機能やユーザー行動分析など、『そこまではいらない』というユーザー向けに機能を絞り、シンプルかつ低コストにした」と説明する。
ランサムウェア被害などが多発する中、かつてのウイルス対策ソフトのような「インストールしておけば大丈夫」という状況は既に過去のものとなり、見逃していた脆弱性やゼロデイ攻撃、対策が間に合っていない最新の攻撃手法などによってシステム内部への侵入感染を前提とせざるを得なくなってきている。
そのため、SIEMやXDRといったツールを活用して「何かあった時に手遅れになる前に気付くことができる」ように備えておくことが重視されるようになってきた。とはいえ、インシデントが発生したら速やかに対応するためにはセキュリティ人材が的確に分析対応できることが前提となる。小川氏は、QRadar Suiteのコンセプトを「アナリストファースト」と表現し、「正確に素早く情報を収集し、セキュリティ調査できるようにこだわった」としている。
IBM Security QRadar Suiteの全体像
