情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問14

ログ統合分析【情報セキュリティマネジメント解説】

正解の理由

• 「ログ」は操作やイベントの記録（誰がいつ何をしたか）です。
• SIEMはログ収集、正規化（形式を揃える）、相関分析（関連する事象を結び付ける）、アラート生成やダッシュボード表示を行います。
• SIEM自体は通常、ログの分析と検知支援が主な役割であり、直接ファイルを実行して振る舞いを調べる（サンドボックス）、ネットワーク機器を集中制御する（SDN：Software-Defined Networking）、あるいはアプリケーション単位で通信をブロックする（NGFW：Next-Generation Firewall）といった動作は行いません。これらは別の技術や製品です。

解法ステップ

1. 「SIEM」の定義を思い出す（Security Information and Event Management：ログの集約・相関・分析）。
2. 各選択肢で出てくるキーワードを確認する：
   • ファイルを隔離して実行 → サンドボックス（動的解析）
   • ログを総合的に分析 → SIEM
   • 通信機器を集中的に制御 → SDN（ネットワーク制御）
   • アプリケーション識別して通信制御 → NGFW/アプリケーション層ファイアウォール
3. 「ログを集めて分析・管理者支援」を示す選択肢を選ぶ → イ

選択肢別の誤答解説

• ア: 隔離された仮想環境でファイルを実行して振る舞いを見るのは「サンドボックス」です。サンドボックスはマルウェアの動作確認を行うもので、ログの集約・相関を主目的とするSIEMとは別です。C&C（Command-and-Control：攻撃者の遠隔指令サーバ）への通信を監視するのはサンドボックスやネットワーク監視ツールです。
• イ: SIEMが担う典型的な機能です。ログ収集、正規化、相関ルール、アラート生成、ダッシュボード表示、検索・フォレンジック（原因追及）などを含みます。
• ウ: ネットワーク機器を集中的に制御して構成を動的に変更するのは「SDN（Software-Defined Networking：ソフトウェアでネットワーク制御を行う技術）」やネットワーク管理システムの領域です。SIEMは制御自体は行いません。
• エ: パケットのヘッダだけでなくアプリケーションを識別して制御するのは「アプリケーション層のファイアウォール」や「NGFW（Next-Generation Firewall：次世代ファイアウォール）」、場合によってはIPS（Intrusion Prevention System：侵入防止システム）に該当します。これは通信の遮断・制御が主機能で、SIEMのログ分析とは役割が異なります。

よくある誤解

1. 「SIEMがあれば自動で攻撃を止められる」
   → SIEMは主に検知・分析・通知を行います。自動対応（ブロックや修復）を期待する場合は、SOAR（Security Orchestration, Automation and Response：自動化・対応ツール）や連携する防御機器が必要です。
2. 「ログを全部入れれば安心」
   → 量だけでなく、適切なログ（認証ログ、ファイアウォールログ、端末の検知ログなど）を収集し、正しく相関ルールを作ることが重要です。無差別の大量ログはノイズ増加で効果が下がります。
3. 「SIEMは使えばすぐ効果が出る」
   → ルール設定やチューニング、運用体制（担当者による確認・対応）が不可欠です。導入後の運用がなければ検知精度は低いままです。

補足コラム

• SIEMの基本的な処理フロー：ログ収集 → 正規化（フォーマット統一） → 保存（時系列） → 相関分析（複数ログの関連付け） → アラート生成 → 分析・調査（人手）
• 実務上の使い方イメージ：総務がアカウントの不正利用を疑う場合、SIEMで「短時間に同一アカウントから複数拠点のログインがないか」「深夜の大量ダウンロードがないか」を検索して原因を絞れます。
• クラウド時代のSIEM：オンプレ（自社設置）型だけでなく、クラウド提供のSIEMやログの送信先をクラウド型で運用するケースが増えています。ログ転送の暗号化や保存期間のポリシーも合わせて運用設計が必要です。

FAQ