情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問15
問題文
SIEM (Security Information and Event Management)の機能として、最も適切なものはどれか。
選択肢
ア：機密情報を自動的に特定し、機密情報の送信や出力など、社外への持出しに関連する操作を検知しブロックする。
イ：サーバやネットワーク機器などのログデータを一括管理、分析して、セキュリティ上の脅威を発見し、通知する。（正解）
ウ：情報システムの利用を妨げる事象を管理者が登録し、各事象の解決・復旧までを管理する。
エ：ネットワークへの侵入を試みるパケットを検知し、通知する。
🔒 解説は解答すると表示されます
ログ一元管理と脅威検出【情報セキュリティマネジメント解説】
正解の理由
SIEM（Security Information and Event Management：セキュリティ情報・イベント管理）は、サーバ（サービスを提供するコンピュータ）やネットワーク機器などから出る「ログ（操作や通信の記録）」を集めて一元的に管理・分析し、不審な振る舞いや攻撃の兆候を検出してアラートを出す仕組みです。選択肢のなかでは、ログを一括管理し分析して脅威を発見・通知すると説明している イ が SIEM の機能を的確に表しています。
ポイント：SIEMは「収集」「正規化（形式をそろえる）」「相関分析（複数のログを組合せて意味を見出す）」「通知・レポート」が主な役割です。
解法ステップ
- 問題文のキーワードを見る：「ログデータを一括管理、分析」「セキュリティ上の脅威を発見、通知」→ これは SIEM の典型的な説明。
- 他の選択肢と比較する：機密情報の自動特定やブロックは DLP（Data Loss Prevention：情報漏えい防止）、侵入パケットの検知は IDS/IPS（Intrusion Detection/Prevention System：侵入検知/防御）、事象の登録と復旧管理はインシデント/障害管理の説明であり、SIEM とは機能が違う。
- よって「ログの一括管理と分析で脅威を検出して通知する」記述を含む イ を選ぶ。
選択肢別の誤答解説
- ア: 機密情報を自動で特定して送信や出力を検知・ブロックする機能は DLP（Data Loss Prevention：情報漏えい防止）の役割です。DLPはファイル中の機密情報（個人情報や機密文書など）を検出して遮断や警告を行います。SIEM は全体のログ分析が主で、直接ブロックする機能は基本的に持ちません（別製品と連携する場合あり）。
- イ: 正しい。SIEM は多数のログを集めて相関分析し、攻撃の兆候を検出して通知する仕組みです。
- ウ: 利用妨げ事象を登録して解決・復旧まで管理するのはインシデント管理／障害管理（IT サービス管理の一部）です。チケット管理ツールやヘルプデスクの領域で、SIEM の説明ではありません。
- エ: ネットワークへの侵入を試みるパケットを検知して通知するのは IDS（Intrusion Detection System：侵入検知システム）の説明です。IDS はネットワークのトラフィックを監視する専用の監視機能で、SIEM は IDS など複数のログを取り込んで総合的に判断します。
よくある誤解
- SIEM はすべて自動で攻撃を止めると思い込む：SIEM は検出と通知（分析）の仕組みであり、即時に遮断するのは IDS/IPS やファイアウォールなど別の仕組みです。SIEM はそれらと連携して運用されることが多いです。
- SIEM = IDS と混同する：IDS はネットワークトラフィック中心の検知装置、SIEM は様々なログ（認証、アプリ、OS、ネットワーク機器など）を統合して相関的に分析する点が異なります。
- 導入すればすぐ有効になると思う：SIEM はログの正規化や相関ルールの設定、誤検知対策、チューニングが必要です。運用体制（監視担当）も重要です。
補足コラム
- 職場での運用イメージ：社内のサーバやネットワーク機器、認証サーバ、クラウドサービスなどからログを集め、SOC（Security Operation Center：セキュリティ運用センター）や専任担当者が SIEM のアラートを確認して対応方針を決めます。すぐにブロックが必要なら IDS/IPS やネットワーク機器に指示を出して連携します。
- クラウド時代の注意点：クラウド環境でもログ収集は可能ですが、ログ取得箇所や保存期間、個人情報の扱い（プライバシー）に配慮する必要があります。
- 簡単な構成要素：ログ収集エージェント、ログ保管・インデックス、相関ルールエンジン、ダッシュボード／アラート機能、レポート機能。
FAQ
Q: SIEM が検知したら自動で遮断されますか？
A: 通常はされません。SIEM は通知・分析が中心で、自動遮断は IDS/IPS や EDR（Endpoint Detection and Response：端末検知・対応）などと連携したときに実行される場合があります。運用ポリシーで自動化するか手動で対応するかを決めます。
A: 通常はされません。SIEM は通知・分析が中心で、自動遮断は IDS/IPS や EDR（Endpoint Detection and Response：端末検知・対応）などと連携したときに実行される場合があります。運用ポリシーで自動化するか手動で対応するかを決めます。
Q: 小規模な会社でも SIEM は必要ですか？
A: ログの重要性や監視体制によります。まずは重要なログを centralized（中央管理）で保管し、定期的に確認する運用から始め、必要ならマネージド SIEM サービスを検討するとよいです。
A: ログの重要性や監視体制によります。まずは重要なログを centralized（中央管理）で保管し、定期的に確認する運用から始め、必要ならマネージド SIEM サービスを検討するとよいです。
Q: SIEM と DLP、IDS はどれを優先すべき？
A: 目的で決まります。情報漏えい防止が最重要なら DLP、ネットワーク侵入検知が重要なら IDS/IPS、全体的な脅威の見える化が目的なら SIEM。多くの組織では複数を組み合わせて運用します。
A: 目的で決まります。情報漏えい防止が最重要なら DLP、ネットワーク侵入検知が重要なら IDS/IPS、全体的な脅威の見える化が目的なら SIEM。多くの組織では複数を組み合わせて運用します。
関連キーワード: SIEM、ログ管理、相関分析、DLP、IDS、IPS、SOC、セキュリティ監視、ログ相関、インシデント対応
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！