SIEMとは？

SIEMの意味

ファイアウォールやサーバなど複数の機器から集めたログを一元的に収集・相関分析し、不審な兆候をリアルタイムに検知する仕組み。単独のログでは見えない攻撃の全体像を把握しやすくする。

SIEMの具体例

複数のサーバで発生した不審なログイン失敗の記録をSIEMが相関分析し、標的型攻撃の初期段階と判断してアラートを出す。

SIEMは試験でどう引っ掛けられる？

IDS・IPSと役割が違う。IDS/IPSは通信そのものを見て検知・遮断する装置、SIEMは複数機器のログを集めて相関分析する仕組みで、SIEM自身が通信を遮断するわけではない。また各機器の時刻がNTPで揃っていないと、時系列を突き合わせる相関分析が成り立たない。

SIEMと関連する用語

• IDS・IPS
• 監査ログ

SIEMが出た過去問

• SIEM（Security Information and Event Management）の機能として、最も適切なものはどれか。

  正解：サーバやネットワーク機器などのログデータを一括管理、分析して、セキュリティ上の脅威を発見し、通知する。

  要点：SIEMはログを集約・相関分析して脅威を検知する

  SIEMは、サーバ・ネットワーク機器・セキュリティ製品などが個別に出力するログを一箇所に集約し、相関分析によって単体のログでは気づけない攻撃の兆候を見つけて管理者に通知する仕組みである。時刻を揃えた横断的な分析ができる点が価値であり、インシデントの早期検知と事後の調査の双方に役立つ。DLPやIDSといった個別機能と役割を混同しないこと。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問15（IPA）

• SIEM（Security Information and Event Management）の機能はどれか。

  正解：様々な機器から集められたログを総合的に分析し，管理者による分析を支援する。

  要点：SIEMは各種機器のログを統合分析して兆候を洗い出す

  SIEMは、サーバやネットワーク機器、セキュリティ製品など様々な機器のログを一元的に収集し、相関分析によって単独のログでは見えない攻撃の兆候を浮かび上がらせる。管理者による調査・分析を支援する基盤として使われる。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問14（IPA）

• A社は、金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え、A社の社長は情報セキュリティに対する取組が必要であると…

  正解：（三）,（四）

  要点：最新化には自動適用ツールと非標準ソフトの排除が要る

  評価が不完全なのはOSと標準ソフトではなく、実態が把握できていない非標準ソフトである。したがって、全PCへ修正プログラムを自動適用できるIT資産管理ツールを導入して更新漏れをなくすことと、非標準ソフトの導入を禁止して既存分を強制的に削除することの二つが有効な追加対策になる。EDRやSIEMは侵害の検知・分析の仕組みであり、ソフトウェアを最新に保つ対策ではない。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問51（IPA）

• SIEM製品によるセキュリティ上の効果として、最も適切なものはどれか。

  正解：様々な機器のログを集中管理することによって、横断的な分析や相関分析が可能になり、単純な目視だけでは発見困難な兆候を検知、分析、可視化することが可能になる。

  要点：SIEMは多数機器のログを集約し相関分析で攻撃の兆候を見つける

  SIEM（Security Information and Event Management）は、サーバやネットワーク機器など様々な機器のログを一箇所に集約し、時系列や機器をまたいだ相関分析を行う仕組みです。個々のログを目視するだけでは見えない攻撃の兆候を、横断的な突き合わせによって検知・可視化できる点が最大の効果です。

  出典：令和7年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問2（IPA）