SIEM・ログ管理とは？

SIEM・ログ管理の意味

機器やアプリが出力するログを一箇所に集め、相関分析して異常の兆候を検知する仕組み。時刻や識別子をそろえて横断的に追跡できるようにし、不正の早期発見と事後の追跡を可能にする。保存期間と対象範囲は、法令要求と費用の兼ね合いで決める。

SIEM・ログ管理の具体例

認証サーバの失敗ログとVPNの接続ログを突き合わせ、深夜に海外から同一利用者IDで多数の失敗後に成功した事象を検知し、担当者へ自動通知する。ログは監査対応のため1年分をオンラインで保持し、それ以前は安価な保管領域へ移す。

SIEM・ログ管理は試験でどう引っ掛けられる？

SIEMは検知と分析の基盤であり、端末上で攻撃を止める機能は持たない。遮断はEDRやファイアウォールの役目。またログを集めるだけでは意味がなく、相関ルールと運用担当を用意しなければ通知が放置される。

SIEM・ログ管理と関連する用語

• EDR・XDR
• デジタルフォレンジックス

SIEM・ログ管理が出た過去問

• SIEM（Security Information and Event Management）の機能として、最も適切なものはどれか。

  正解：サーバやネットワーク機器などのログデータを一括管理、分析して、セキュリティ上の脅威を発見し、通知する。

  要点：SIEMはログを集約・相関分析して脅威を検知する

  SIEMは、サーバ・ネットワーク機器・セキュリティ製品などが個別に出力するログを一箇所に集約し、相関分析によって単体のログでは気づけない攻撃の兆候を見つけて管理者に通知する仕組みである。時刻を揃えた横断的な分析ができる点が価値であり、インシデントの早期検知と事後の調査の双方に役立つ。DLPやIDSといった個別機能と役割を混同しないこと。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問15（IPA）

• SIEM（Security Information and Event Management）の機能はどれか。

  正解：様々な機器から集められたログを総合的に分析し，管理者による分析を支援する。

  要点：SIEMは各種機器のログを統合分析して兆候を洗い出す

  SIEMは、サーバやネットワーク機器、セキュリティ製品など様々な機器のログを一元的に収集し、相関分析によって単独のログでは見えない攻撃の兆候を浮かび上がらせる。管理者による調査・分析を支援する基盤として使われる。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問14（IPA）

• A社は、金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え、A社の社長は情報セキュリティに対する取組が必要であると…

  正解：（三）,（四）

  要点：最新化には自動適用ツールと非標準ソフトの排除が要る

  評価が不完全なのはOSと標準ソフトではなく、実態が把握できていない非標準ソフトである。したがって、全PCへ修正プログラムを自動適用できるIT資産管理ツールを導入して更新漏れをなくすことと、非標準ソフトの導入を禁止して既存分を強制的に削除することの二つが有効な追加対策になる。EDRやSIEMは侵害の検知・分析の仕組みであり、ソフトウェアを最新に保つ対策ではない。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問51（IPA）

• SIEM製品によるセキュリティ上の効果として、最も適切なものはどれか。

  正解：様々な機器のログを集中管理することによって、横断的な分析や相関分析が可能になり、単純な目視だけでは発見困難な兆候を検知、分析、可視化することが可能になる。

  要点：SIEMは多数機器のログを集約し相関分析で攻撃の兆候を見つける

  SIEM（Security Information and Event Management）は、サーバやネットワーク機器など様々な機器のログを一箇所に集約し、時系列や機器をまたいだ相関分析を行う仕組みです。個々のログを目視するだけでは見えない攻撃の兆候を、横断的な突き合わせによって検知・可視化できる点が最大の効果です。

  出典：令和7年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問2（IPA）