こんにちは！SCSKのSysdig技術担当、鳥飼です。 「SCSKによるSysdig技術者ブログ」第39回をお届けします。

セキュリティ運用の現場において、日々増え続ける膨大なアラートへの迅速な対応と一元管理は、運用の効率化を図る上で避けて通れない課題となっています。特にSysdigのような高度な検知ツールを導入している場合、その検知結果を既存のSIEM（セキュリティ情報イベント管理）へ統合し、相関分析を行いたいというニーズは非常に高いものです。

しかし、セキュリティポリシーによってインターネット経由のデータ転送が制限されている環境では、どのように連携を実現すべきか悩まれるケースも少なくありません。

そこで今回は、Sysdigの検知イベントを直接SIEMへ転送するAgent Local機能に焦点を当て、運用の効率化を実現するための具体的な実装ガイドとして、その設定手順を詳しく解説します。

1. SIEMとは？

SIEM（Security Information and Event Management）とは、企業内のネットワーク機器、サーバ、ソフトウェアなどから出力される膨大なログ情報を一か所に集約し、リアルタイムで分析・管理する仕組みのことです。

各セキュリティツールには得意分野がありますが、ツールが個別に運用されていると、「ネットワークでの不審な動き」と「サーバでの異常操作」の関連性に気づくことが困難です。 SIEMに情報を統合することで、点としての情報を線としてつなぎ、インシデントの調査や分析を強力にスピードアップさせることができます。

2. SysdigとSIEMの連携方式

Sysdigには、検知したデータをSIEMへ転送する機能が備わっています。要件に合わせて、以下の2つの方式から選択可能です。

① Standard（SaaS連携）

Sysdig Agentが検知した内容を一度Sysdig SaaSへ送り、そこからSIEM基盤へ転送します。SysdigのGUI上から数クリックで簡単に設定できるのがメリットです。

② Agent Local（直接連携）

Sysdig Agentが検知した内容を、直接SIEM基盤へ転送します。インターネットからSIEMへの通信を制限している閉域網のような環境では、この方式がベストな選択肢となります。

今回は、より実務的なニーズの高い② Agent Localの設定手順を詳しく解説します。

3. 【実践】Agent Local転送の設定手順

以下の環境で構築を進めます。

• ライセンス: Sysdig Secure
• SIEM基盤（Syslogサーバ）: Ubuntu
• 検知対象ホスト: RHEL 9（Sysdig Agentをインストール）
• 前提条件: 対象ホストからSyslogサーバへ、514/TCPポートの通信が許可されていること

① Sysdig Agentのインストール

まずは監視対象となるLinuxホストにSysdig Agentをインストールし、基本設定を行います。

# リポジトリ追加とインストール
sudo rpm --import https://download.sysdig.com/DRAIOS-GPG-KEY.public
sudo curl -s -o /etc/yum.repos.d/draios.repo https://download.sysdig.com/stable/rpm/draios.repo
sudo yum -y install draios-agent

# Sysdig Agent設定ファイルの作成
sudo bash -c 'cat > /opt/draios/etc/dragent.yaml <<EOF
customerid: <Access keyを指定>
collector: <Collector URLを指定>
collector_port: 6443

# ローカル転送を有効化
local_forwarder:
  enabled: true
  transmit_message_types:
   - POLICY_EVENTS
EOF'

# サービスの有効化と起動
sudo systemctl enable dragent
sudo systemctl start dragent

# 状態確認（Runningであることを確認）
systemctl status dragent

② SIEMへの転送設定（Agent Local設定）

次に、AgentがSIEMに対してログを直接転送するための設定ファイル（local_forwarder_config.yaml）を作成します。

sudo bash -c 'cat > /opt/draios/etc/local_forwarder_config.yaml <<EOF
integrations:
- type: SYSLOG
  channels:
  - SECURE_EVENTS_POLICIES
  configuration:
    ServiceURL: "http://<SyslogサーバのIPアドレス>"
    ServicePort: 514
    ServiceType: tcp
    insecure: true
    MessageFormat: RFC_5424
    formatter: JSON
EOF'

# 設定を反映させるためAgentを再起動
sudo systemctl restart dragent

③ 検知テストとログの確認

実際にテスト用のコマンドを実行し、Sysdigが検知したアラートがSIEM（Syslogサーバ）に届くか確認します。

# /etc配下への書き込み（Write below etcルール）を発生させる
sudo touch /etc/test

Syslogサーバ側の出力結果：
/var/log/syslog を確認すると、検知イベントがJSON形式で転送されていることが確認できます。

/* 転送されたログの抜粋 */
{
  "timestampRFC3339Nano": "2026-06-19T06:56:11.771410011Z",
  "name": "Write below etc",
  "severity": 0,
  "output": "File /etc/test below /etc directory opened for writing by process touch...",
  "container.name": "host",
  "user.name": "root",
  "proc.cmdline": "touch /etc/test"
}

このように、「いつ」「誰が」「どのホストで」「どのような操作を行ったか」という詳細なコンテキストが、直接SIEMへ集約されます。

4. まとめ

今回はSysdig AgentからSIEM基盤への直接転送（Agent Local）の手順をご紹介しました。 SaaSの利便性を活かしつつ、セキュリティ要件やネットワーク環境に合わせて柔軟に構成を選択できる点は、Sysdig Secureの大きな強みです。

• クラウド連携で手軽に運用を始めたいなら「Standard」
• セキュリティポリシーに基づき社内ネットワーク内で完結させたいなら「Agent Local」

貴社の環境に最適な連携方法についてのご相談や、より詳細な仕様を知りたい方は、ぜひSCSKまでお気軽にお問い合わせください。

担当者紹介

担当者名

鳥飼

コメント

Sysdigを中心にコンテナ、Kubernetes、クラウド領域の業務に従事しています。

保有資格

Certified Kubernetes Administrator(CKA)